La tua CPU Ryzen era utilizzata per crittografare la tua RAM. Un aggiornamento del firmware ha disattivato silenziosamente questa funzione.

      TL;DRAMD ha disabilitato silenziosamente la crittografia della memoria TSME sui processori Ryzen consumer tramite firmware. Il silicio la supporta ancora, ma AMD afferma che ora è solo per PRO.

      AMD ha disabilitato silenziosamente una funzione di sicurezza sui suoi processori Ryzen consumer che proteggeva gli utenti da attacchi fisici sulla memoria del computer. La funzione, Transparent Secure Memory Encryption, crittografa tutti i dati memorizzati nella RAM utilizzando una chiave generata dall'hardware che cambia ad ogni avvio. Quando è attiva, rende inutili gli attacchi a freddo, l'intercettazione dell'interfaccia DRAM e la rimozione fisica dei moduli di memoria, poiché i dati estratti sono crittografati.

      TSME ha funzionato sui chip Ryzen consumer per anni. Un aggiornamento del firmware l'ha disattivato silenziosamente e AMD ha rifiutato di spiegare il motivo.

      Il cambiamento è stato scoperto ad aprile da Ben Kilpatrick, un utente Linux focalizzato sulla privacy che stava installando un nuovo sistema operativo su una macchina con un Ryzen 7 9700X, parte dell'architettura Zen 5 di AMD. Quando ha eseguito Host Security ID, uno strumento di auditing che valuta le configurazioni di sicurezza del firmware e dell'hardware, l'output ha mostrato che la RAM crittografata era cambiata da "Crittografata" a "Non supportata" senza alcun aggiornamento del BIOS corrispondente o cambiamento di sistema.

      Kilpatrick ha presentato un rapporto di bug sul repository pubblico di ingegneria di AMD su GitHub. Due ingegneri AMD hanno risposto. Tom Lendacky, un ingegnere software AMD, ha detto di non sapere cosa avesse causato il cambiamento e ha suggerito di attivare/disattivare l'impostazione del BIOS.

      Mario Limonciello, un membro principale del personale tecnico di AMD e manutentore di fwupd, l'utilità di aggiornamento del firmware per Linux, ha dato lo stesso consiglio.

      Nessuna delle due soluzioni ha funzionato. Kilpatrick ha portato la questione a MSI, il produttore della sua scheda madre, e alla fine ha convinto il team di ingegneria dell'azienda a eseguire test controllati.

      I risultati sono stati definitivi. MSI ha testato sia un Ryzen 9800X3D consumer che un Ryzen 9945 Pro sulla stessa scheda madre Asus X870E con lo stesso BIOS. Il chip Pro ha restituito uno stato TSME di 1, che significa abilitato, mentre il chip consumer ha restituito 0.

      Gli ingegneri del BIOS di MSI sono andati oltre, esaminando le catture di memoria dal Boot Loader di AMD, un componente all'interno del firmware dell'architettura software incapsulata generica di AMD che inizializza l'hardware prima che il sistema operativo si carichi. Hanno scoperto che un flag interno AGESA chiamato DfIsTsmeEnabled restituiva FALSE per il processore consumer indipendentemente dal fatto che TSME fosse impostato su AUTO o ABILITATO nel BIOS. Lo stesso flag restituiva TRUE per il chip Pro quando TSME era abilitato.

      Il silicio in entrambi i processori è identico. La restrizione è applicata interamente nel firmware. Il chip Ryzen consumer è fisicamente in grado di crittografare la memoria ma gli viene detto di non farlo.

      Quando Kilpatrick ha riportato queste scoperte agli ingegneri di AMD su GitHub, ha chiesto direttamente se il fatto che DfIsTsmeEnabled fosse impostato su FALSE sui chip consumer fosse una limitazione del silicio o una decisione politica del firmware. Limonciello ha risposto: "Le mie scuse; ma non ho ulteriori informazioni da condividere su questo argomento." La discussione è finita lì.

      AMD ha rifiutato di rispondere a domande da Ars Technica oltre a una singola dichiarazione: TSME "è una funzione di sicurezza applicata solo ai processori PRO come parte delle tecnologie PRO di AMD." Questa è la prima volta nota in cui l'azienda ha dichiarato esplicitamente questa restrizione. AMD ha a lungo affermato che la funzione correlata Secure Memory Encryption è limitata ai livelli Pro ed EPYC, ma TSME occupava un'area più grigia.

      La storia complica la posizione di AMD. In una discussione su GitHub del 2020 riguardo alle funzioni di crittografia sui processori AMD, Lendacky ha confermato che un Ryzen 3700X, un chip consumer, "dovrebbe supportare TSME." In un seguito del 2025 nella stessa discussione, ha raccomandato di utilizzare TSME su quello che era chiaramente un processore consumer.

      Le vulnerabilità di sicurezza a livello chip hanno una lunga storia di sorprendere i fornitori, ma questo non è un difetto scoperto. È una funzione funzionante che viene ritirata.

      AMD non ha mai pubblicizzato formalmente TSME come disponibile sui chip Ryzen consumer. Ma la funzione funzionava, gli stessi ingegneri di AMD hanno confermato che funzionava e gli utenti hanno costruito la loro postura di sicurezza attorno ad essa.

      Il cambiamento è arrivato tramite un aggiornamento di routine del firmware AGESA senza note di rilascio, senza avviso e senza modo per gli utenti Windows di rilevarlo. Su Linux, la rilevazione richiedeva di eseguire HSI o di leggere manualmente un registro hardware specifico.

      L'impatto pratico è chiaro. Chiunque utilizzi un processore Ryzen consumer che si è affidato a TSME per proteggere contro attacchi di accesso fisico, inclusi giornalisti, attivisti, ricercatori di sicurezza e chiunque lavori con dati sensibili su un laptop, ha perso quella protezione senza essere avvisato.

      L'impostazione del BIOS appare ancora. Si attiva e disattiva ancora. Non fa nulla.

      Le modifiche alla sicurezza a livello firmware nei processori sono notoriamente difficili da rilevare per gli utenti finali, e i produttori di chip sono storicamente stati lenti a comunicarle. Il silenzio di AMD su se questa fosse una decisione politica intenzionale o un regresso accidentale rende impossibile per gli utenti interessati valutare il proprio rischio.

      Joe Fitzgerald, un esperto di sicurezza a livello silicio, ha detto ad Ars Technica che AMD deve agli utenti una spiegazione indipendentemente dalla causa. "Potrebbero non essersi resi conto di averlo fatto, portando alle loro risposte evasive, oppure potrebbero averlo fatto intenzionalmente e cercato di farla franca," ha detto. In entrambi i casi, il silicio è capace, la funzione funzionava ed è stata rimossa tramite firmware senza preavviso.

      La domanda che Kilpatrick ha posto agli ingegneri di AMD rimane senza risposta: è un bug o una decisione aziendale? Se è un bug, AMD dovrebbe correggerlo.

      Se è una restrizione deliberata di una funzione di sicurezza funzionante per spingere gli utenti verso hardware Pro più costoso, AMD dovrebbe dirlo. L'attuale posizione, che riconosce la restrizione mentre si rifiuta di spiegarla, non soddisfa nessuna delle due possibilità.