AMD тихо прибрала шифрування пам'яті зі споживчих процесорів Ryzen

AMD тихо прибрала Transparent Secure Memory Encryption (TSME) зі своїх споживчих процесорів Ryzen — про це повідомляє Ars Technica. Власники таких чіпів не мають способу дізнатися, що захист, увімкнений ними в BIOS, може більше не працювати.

Як виявили зміну

Знахідку зробив Бен Кілпатрік, який називає себе «стурбованим приватністю Linux-ентузіастом». Він встановлював операційну систему на машині з Ryzen 7 9700X архітектури Zen 5. Запустивши Host Security ID (HSI) — інструмент, що оцінює конфігурацію апаратної та програмної безпеки, — він побачив, що TSME позначено як непідтримуване, хоча в BIOS його було увімкнено. Він зареєстрував звіт про помилку в публічному інженерному репозиторії AMD на GitHub, де відповіли інженери компанії Том Лендакі та Маріо Лімончіелло; їхня порада зводилася до перемикання налаштування, а якщо це не допоможе — до звернення до виробника материнської плати.

Тести MSI і прапорець AGESA

Після того як Кілпатрік наполегливіше звернувся до MSI, інженери виробника плат провели контрольовані тести. На споживчих чіпах Ryzen TSME був увімкнений на старішій версії прошивки, але на AGESA 1.2.7.0 показувався як «не підтримується», тоді як Pro-версії процесора підтримували функцію незалежно від прошивки чи материнської плати. Маркетинговій команді MSI в AMD прямо повідомили, що TSME підтримується виключно на процесорах серії Pro, а внутрішній прапорець AGESA, який визначає активацію TSME під час завантаження, повертав FALSE на споживчих чіпах незалежно від налаштування BIOS, але TRUE на Pro-процесорах.

У дискусії також згадали коментар Лендакі 2020 року, де йшлося, що споживчий Ryzen 3700X «має підтримувати TSME». Кілпатрік запитав, чи значення FALSE — це обмеження кремнію чи рішення політики прошивки; Лімончіелло відповів, що більше інформації з цієї теми не має.

Що сказала AMD і що на кону

Єдина офіційна реакція AMD, за даними видання, — це лист, у якому сказано, що TSME «є функцією безпеки, застосовною лише до PRO-процесорів у межах AMD PRO Technologies». Уперше компанія публічно заявила про таке обмеження. Досі неясно, чи це навмисна сегментація продуктів, чи регресія, внесена новішою прошивкою.

На відміну від Secure Memory Encryption (SME), яким керує операційна система і який доступний лише на рівнях Pro та EPYC, TSME керується прошивкою і шифрує всю RAM без участі ОС, захищаючи від cold-boot-атак, підслуховування інтерфейсу DRAM і вилучення модулів пам'яті. Практичний вплив вузький, але реальний для тих, хто носить із собою чутливі ноутбуки, працює з конфіденційними даними, покладається на повне шифрування диска або стикається з реальними ризиками крадіжки чи втручання. На Windows зміну виявити неможливо, а на Linux для цього потрібна серйозна технічна робота.