Tu CPU Ryzen solía cifrar tu RAM. Una actualización de firmware desactivó eso en silencio.

      TL;DRAMD desactivó silenciosamente la encriptación de memoria TSME en los procesadores Ryzen de consumo a través de firmware. El silicio aún lo soporta, pero AMD dice que ahora es solo para PRO.

      AMD ha desactivado silenciosamente una función de seguridad en sus procesadores Ryzen de consumo que protegía a los usuarios contra ataques físicos en la memoria de sus computadoras. La función, Encriptación de Memoria Segura Transparente (TSME), encripta todos los datos almacenados en la RAM utilizando una clave generada por hardware que cambia en cada arranque. Cuando está activa, hace que los ataques de arranque en frío, el espionaje de la interfaz DRAM y la extracción física de módulos de memoria sean inútiles porque los datos extraídos están encriptados.

      TSME funcionó en los chips Ryzen de consumo durante años. Una actualización de firmware lo desactivó silenciosamente, y AMD se ha negado a explicar por qué.

      El cambio fue descubierto en abril por Ben Kilpatrick, un usuario de Linux enfocado en la privacidad que estaba instalando un nuevo sistema operativo en una máquina con un Ryzen 7 9700X, parte de la arquitectura Zen 5 de AMD. Cuando ejecutó Host Security ID, una herramienta de auditoría que evalúa configuraciones de seguridad de firmware y hardware, la salida mostró que la RAM encriptada había cambiado de "Encriptada" a "No soportada" sin ninguna actualización de BIOS correspondiente o cambio en el sistema.

      Kilpatrick presentó un informe de error en el repositorio público de ingeniería de AMD en GitHub. Dos ingenieros de AMD respondieron. Tom Lendacky, un ingeniero de software de AMD, dijo que no sabía qué causó el cambio y sugirió alternar la configuración de BIOS.

      Mario Limonciello, un miembro principal del personal técnico de AMD y mantenedor de fwupd, la utilidad de actualización de firmware de Linux, dio el mismo consejo.

      Ninguna de las sugerencias funcionó. Kilpatrick escaló el problema a MSI, el fabricante de su placa base, y finalmente convenció al equipo de ingeniería de la compañía para realizar pruebas controladas.

      Los resultados fueron definitivos. MSI probó tanto un Ryzen 9800X3D de consumo como un Ryzen 9945 Pro en la misma placa base Asus X870E con la misma BIOS. El chip Pro devolvió un estado TSME de 1, lo que significa habilitado, mientras que el chip de consumo devolvió 0.

      Los ingenieros de BIOS de MSI fueron más allá, examinando capturas de memoria del Boot Loader de AMD, un componente dentro del firmware de la Arquitectura de Software Encapsulado Genérico de AMD que inicializa el hardware antes de que se cargue el sistema operativo. Encontraron que una bandera interna de AGESA llamada DfIsTsmeEnabled devolvía FALSE para el procesador de consumo independientemente de si TSME estaba configurado en AUTO o HABILITADO en la BIOS. La misma bandera devolvió TRUE para el chip Pro cuando TSME estaba habilitado.

      El silicio en ambos procesadores es idéntico. La restricción se aplica completamente en el firmware. El chip Ryzen de consumo es físicamente capaz de encriptar la memoria, pero se le indica que no lo haga.

      Cuando Kilpatrick informó estos hallazgos a los ingenieros de AMD en GitHub, preguntó directamente si DfIsTsmeEnabled configurado en FALSE en los chips de consumo era una limitación del silicio o una decisión de política de firmware. Limonciello respondió: "Mis disculpas; pero no tengo más información para compartir sobre este tema." La discusión terminó ahí.

      AMD se negó a responder preguntas de Ars Technica más allá de una sola declaración: TSME "es una función de seguridad aplicada solo a CPUs PRO como parte de las Tecnologías PRO de AMD." Esta es la primera vez conocida que la compañía ha declarado explícitamente esta restricción. AMD ha dicho durante mucho tiempo que la función relacionada de Encriptación de Memoria Segura está limitada a los niveles Pro y EPYC, pero TSME ocupaba un área más gris.

      La historia complica la posición de AMD. En una discusión de GitHub de 2020 sobre funciones de encriptación en procesadores AMD, Lendacky confirmó que un Ryzen 3700X, un chip de consumo, "debería soportar TSME." En un seguimiento de 2025 en el mismo hilo, recomendó usar TSME en lo que claramente era un procesador de consumo.

      Las vulnerabilidades de seguridad a nivel de chip tienen una larga historia de sorprender a los proveedores, pero esto no es un defecto que se esté descubriendo. Es una función operativa que se está retirando.

      AMD nunca anunció formalmente TSME como disponible en chips Ryzen de consumo. Pero la función funcionaba, los propios ingenieros de AMD confirmaron que funcionaba, y los usuarios construyeron su postura de seguridad en torno a ella.

      El cambio llegó a través de una actualización de firmware AGESA de rutina sin nota de lanzamiento, sin aviso y sin forma para que los usuarios de Windows lo detectaran. En Linux, la detección requería ejecutar HSI o leer un registro de hardware específico manualmente.

      El impacto práctico es directo. Cualquiera que use un procesador Ryzen de consumo que dependiera de TSME para protegerse contra ataques de acceso físico, incluidos periodistas, activistas, investigadores de seguridad y cualquier persona que trabaje con datos sensibles en una laptop, ha perdido esa protección sin ser informado.

      La configuración de BIOS aún aparece. Aún se alterna. No hace nada.

      Los cambios de seguridad a nivel de firmware en los procesadores son notoriamente difíciles de detectar para los usuarios finales, y los fabricantes de chips históricamente han sido lentos para comunicarlos. El silencio de AMD sobre si esta fue una decisión de política intencional o una regresión accidental hace que sea imposible para los usuarios afectados evaluar su riesgo.

      Joe Fitzgerald, un experto en seguridad a nivel de silicio, dijo a Ars Technica que AMD le debe a los usuarios una explicación independientemente de la causa. "Podrían no haberse dado cuenta de que lo hicieron, lo que llevó a sus respuestas evasivas, o podrían haberlo hecho intencionalmente y tratar de salir con la suya," dijo. De cualquier manera, el silicio es capaz, la función estaba funcionando y fue retirada a través de firmware sin aviso.

      La pregunta que Kilpatrick planteó a los ingenieros de AMD sigue sin respuesta: ¿es esto un error o una decisión comercial? Si es un error, AMD debería solucionarlo.

      Si es una restricción deliberada de una función de seguridad operativa para empujar a los usuarios hacia hardware Pro más caro, AMD debería decirlo. La posición actual, que reconoce la restricción mientras se niega a explicarla, no satisface ninguna de las posibilidades.