AMD הסירה בשקט הצפנת זיכרון ממעבדי Ryzen לצרכנים

‏AMD הסירה בשקט את Transparent Secure Memory Encryption (TSME) ממעבדי Ryzen לצרכנים, כך לפי דיווח ב-Ars Technica. בעלי השבבים האלה לא יכולים לדעת שההגנה שהפעילו ב-BIOS אולי אינה פעילה עוד.

איך התגלתה השינוי

את הממצא גילה בן קילפטריק, שמתאר את עצמו כ"חובב לינוקס מודאג לפרטיות", בעת שהתקין מערכת הפעלה במחשב עם Ryzen 7 9700X בארכיטקטורת Zen 5. כשהריץ Host Security ID (HSI), כלי ביקורת שמעריך את תצורת האבטחה של הקושחה והחומרה, הוא גילה ש-TSME מדווח כלא נתמך — אף שהפעיל אותו ב-BIOS. הוא פתח דיווח באג במאגר ההנדסי הציבורי של AMD ב-GitHub, ושם השיבו מהנדסי החברה טום לנדקי ומריו לימונצ'לו; עצתם הייתה לכבות ולהדליק את ההגדרה, ואם זה לא עוזר — לפנות ליצרן לוח האם.

הבדיקות של MSI ודגל ב-AGESA

אחרי שקילפטריק הפעיל לחץ על MSI, מהנדסי יצרנית הלוחות ערכו בדיקות מבוקרות. בשבבי Ryzen לצרכנים TSME היה פעיל בגרסת קושחה ישנה יותר, אך הוצג כ"לא נתמך" ב-AGESA 1.2.7.0, בעוד גרסאות Pro של המעבד תמכו בתכונה ללא תלות בקושחה או בלוח האם. לצוות השיווק של MSI נמסר ישירות מ-AMD ש-TSME נתמך אך ורק במעבדי סדרת Pro, ובדגל פנימי ב-AGESA שקובע אם TSME מופעל באתחול הוחזר FALSE בשבבים לצרכנים ללא קשר להגדרת ה-BIOS, אך TRUE במעבדי Pro.

בדיון עלתה גם הערה של לנדקי מ-2020, שלפיה Ryzen 3700X לצרכנים "אמור לתמוך ב-TSME". קילפטריק שאל אם הערך FALSE הוא מגבלה של הסיליקון או החלטת מדיניות בקושחה; לימונצ'לו השיב שאין לו מידע נוסף למסור בנושא.

מה אמרה AMD ומה עומד על הפרק

התגובה הרשמית היחידה של AMD, לפי הדיווח, היא הודעת דואר שבה נאמר כי TSME "היא תכונת אבטחה המיושמת רק במעבדי PRO כחלק מ-AMD PRO Technologies" — הפעם הראשונה שבה החברה מציינת את המגבלה בפומבי. עדיין לא ברור אם מדובר בפילוח מכוון של המוצרים או ברגרסיה שהוכנסה בקושחה החדשה.

שלא כמו Secure Memory Encryption (SME), שמנוהלת בידי מערכת ההפעלה וזמינה רק בדרגי Pro ו-EPYC, ‏TSME מנוהלת בידי הקושחה ומצפינה את כל הזיכרון בלי מעורבות מערכת ההפעלה, ומגנה מפני התקפות cold-boot, האזנה לממשק DRAM והוצאת מודולי זיכרון. ההשפעה המעשית מצומצמת אך אמיתית למי שנושאים מחשבים רגישים, עובדים עם מידע חסוי, נשענים על הצפנת דיסק מלאה או מתמודדים עם סיכוני גניבה או חבלה ממשיים. ב-Windows אי אפשר להבחין בהסרה, ובלינוקס נדרשת עבודה טכנית ניכרת כדי לזהות אותה.