AMD, tüketici Ryzen işlemcilerinden bellek şifrelemesini sessizce kaldırdı

AMD, Ars Technica'nın haberine göre tüketici Ryzen işlemcilerinden Transparent Secure Memory Encryption (TSME) desteğini sessizce kaldırdı. Bu çipleri kullananlar, BIOS'ta açtıkları korumanın artık etkin olmayabileceğini fark edemiyor.

Değişiklik nasıl keşfedildi

Bulguyu, kendini "gizliliğe duyarlı bir Linux meraklısı" olarak tanımlayan Ben Kilpatrick yaptı. Kilpatrick, Zen 5 mimarisine dayanan Ryzen 7 9700X'li bir makineye işletim sistemi kuruyordu. Yazılım ve donanım güvenlik yapılandırmasını değerlendiren denetim aracı Host Security ID'yi (HSI) çalıştırdığında, BIOS'ta etkinleştirmiş olmasına rağmen TSME'nin desteklenmiyor olarak göründüğünü fark etti. AMD'nin herkese açık mühendislik GitHub deposunda hata kaydı açtı; şirketin mühendisleri Tom Lendacky ve Mario Limonciello yanıt verdi ve önerileri ayarı kapatıp açmak, işe yaramazsa anakart üreticisiyle görüşmek oldu.

MSI testleri ve bir AGESA bayrağı

Kilpatrick MSI'ya daha ısrarcı başvurduktan sonra anakart üreticisinin mühendisleri kontrollü testler yaptı. Tüketici Ryzen çiplerinde TSME eski bir ürün yazılımı sürümünde etkindi, ancak AGESA 1.2.7.0 altında "desteklenmiyor" olarak görünüyordu; işlemcinin Pro sürümleri ise ürün yazılımı ve anakarttan bağımsız olarak özelliği destekliyordu. MSI'nin ürün pazarlama ekibine AMD tarafından doğrudan, TSME'nin yalnızca Pro serisi işlemcilerde desteklendiği söylendi. Açılışta TSME'nin etkinleşip etkinleşmeyeceğini belirleyen dahili AGESA bayrağı, BIOS ayarından bağımsız olarak tüketici çiplerinde FALSE, Pro işlemcilerde ise etkinleştirildiğinde TRUE döndürüyordu.

Tartışmada Lendacky'nin 2020'deki bir yorumu da ortaya çıktı: tüketici sınıfı bir Ryzen 3700X "TSME'yi desteklemeliydi". Kilpatrick, FALSE değerinin silikon sınırı mı yoksa ürün yazılımı politikası kararı mı olduğunu sordu; Limonciello bu konuda paylaşacak başka bilgisi olmadığını söyledi.

AMD ne dedi, risk ne?

AMD'nin tek resmî yanıtı, habere göre, TSME'nin "yalnızca AMD PRO Technologies kapsamında PRO işlemcilere uygulanan bir güvenlik özelliği" olduğunu belirten bir e-posta. Şirket bu kısıtlamayı ilk kez kamuya açık biçimde dile getirdi. Değişikliğin bilinçli bir ürün segmentasyonu mu yoksa yeni ürün yazılımında ortaya çıkan bir gerileme mi olduğu belirsizliğini koruyor.

İşletim sistemi tarafından yönetilen ve yalnızca Pro ile EPYC sınıflarında sunulan Secure Memory Encryption (SME) özelliğinden farklı olarak TSME, ürün yazılımıyla yönetilir ve tüm RAM'i işletim sisteminin katılımı olmadan şifreler; cold-boot saldırılarına, DRAM arayüzünün dinlenmesine ve bellek modülünün sökülmesine karşı korur. Pratik etkisi dar ama hassas dizüstü taşıyanlar, gizli işlerle uğraşanlar, tam disk şifrelemesine güvenenler ya da hırsızlık ve müdahale riski gerçek olan ortamlarda çalışanlar için anlamlı. Kaldırılma Windows'ta hiç fark edilmiyor, Linux'ta ise tespit ciddi teknik çalışma gerektiriyor.