AMD deaktiviert heimlich kritische Sicherheitsfunktion

Ein Firmware-Update deaktiviert heimlich die TSME-Speicherverschlüsselung bei normalen AMD-Ryzen-Prozessoren. Die Funktion bleibt nun Pro-Modellen vorbehalten.

Der Linux-Anwender Ben Kilpatrick stellte bei der Einrichtung eines Systems mit einem AMD Ryzen 7 9700X fest, dass die Sicherheitsfunktion Transparent Secure Memory Encryption, kurz TSME, nicht mehr unterstützt wird. Eine Überprüfung mit dem Werkzeug Host Security ID zeigte den Wegfall der Funktion, obwohl diese im BIOS aktiviert war. Nachfolgende Untersuchungen ergaben, dass die Änderung mit der Firmware-Version AGESA 1.2.7.0 eingeführt wurde. Während ältere Versionen die hardwarebasierte Verschlüsselung des Arbeitsspeichers auf herkömmlichen Consumer-CPUs noch unterstützten, schaltet die neue Firmware ein internes Kontrollbit bei diesen Prozessorreihen standardmäßig ab.

Beschränkung auf die Pro-Modellreihe von AMD

Der Mainboard-Hersteller MSI bestätigte nach eigenen Tests, dass eine Aktivierung von TSME nur noch bei den Pro-Prozessoren von AMD zu einem positiv Status führt. Auf direkte Nachfragen im öffentlichen GitHub-Entwickler-Repository von AMD verweisen beteiligte Software-Ingenieure auf die Mainboard-Hersteller oder verweigerten nähere Auskunft. Der leitende AMD-Ingenieur Mario Limonciello erklärte zu der Systemänderung: „Entschuldigen Sie, aber ich habe keine weiteren Informationen zu diesem Thema zu teilen.“

Schriftliche Stellungnahmen von AMD per E-Mail bestätigen inzwischen, dass TSME fortan als exklusiver Bestandteil der AMD PRO Technologien behandelt wird. Dies widerspricht früheren Aussagen von AMD-Entwicklern aus dem Jahr 2020, nach denen auch reguläre Consumer-Chips wie der Ryzen 7 3700X die Funktion unterstützen sollten.

Schutzverlust gegen physische Angriffe

Die Funktion TSME verschlüsselt den gesamten Arbeitsspeicher direkt über die Firmware, ohne dass das Betriebssystem involviert sein muss. Dies schützt Systeme vor physischen Angriffsformen wie Cold-Boot-Attacken, dem Ausspionieren der DRAM-Schnittstellen oder dem unbefugten Entfernen von Speichermodulen, um sensible Daten im Klartext auszulesen. Unter Windows bleibt das Fehlen dieser Schutzfunktion für den Nutzer im laufenden Betrieb unsichtbar und kann nur unter Linux mit erhöhtem technischem Aufwand überprüft werden.

(red)