Приховане вимкнення захисту пам'яті в Ryzen

У сучасній ієрархії кібербезпеки захист даних в оперативній пам'яті посідає критично важливе місце. Одним із найефективніших інструментів у цій сфері є технологія Transparent Secure Memory Encryption (TSME). На відміну від стандартних методів шифрування, що потребують активної участі операційної системи, TSME функціонує на рівні вбудованого ПЗ. Вона робить процес шифрування та дешифрування даних «прозорим» для ОС, що фактично унеможливлює викрадення конфіденційної інформації навіть за умови фізичного доступу до модулів пам'яті.

Тривалий час ця функція вважалася доступною в широкому спектрі продуктів AMD. Хоча початково TSME позиціонувалася як частина професійної лінійки Pro, на практиці вона стабільно працювала і в споживчих чипах Ryzen. Проте останнім часом користувачі почали помічати дивну закономірність: функція, що роками була доступною, раптово перестала виявлятися в системах під керуванням Windows і почала вимагати надмірних зусиль для активації в Linux.

Розслідування ситуації розпочалося з аналізу роботи нового процесора Ryzen 7 9700X на базі архітектури Zen 5. Під час перевірки системи за допомогою утиліти Linux Host Security ID (HSI) виявився парадокс: інструмент повідомляв про відсутність підтримки TSME, але водночас підтверджував, що пам'ять зашифрована. При цьому в налаштуваннях BIOS функція була явно увімкнена. Подальший аналіз показав, що проблема має системний характер і пов'язана не з апаратним браком, а з програмним обмеженням.

Ключовим фактором стало оновлення AGESA (AMD Generic Encapsulated Software Architecture) — базового мікрокоду, що слугує сполучною ланкою між процесором і BIOS материнської плати. З'ясувалося, що в прошивках, заснованих на AGESA версії 1.2.7.0, підтримка TSME для споживчих моделей Ryzen була фактично заблокована. У старіших версіях прошивок від MSI та Gigabyte ця функція продовжувала працювати справно, що однозначно вказує на штучний характер обмежень.

Для остаточного підтвердження гіпотези було проведено порівняльні тести. На одну й ту саму материнську плату з чипсетом X870E послідовно встановлювалися споживчий Ryzen 7 9800X3D та професійний Ryzen 9 Pro 9945. Аналіз дампів пам'яті завантажувача ABL (AMD Boot Loader) виявив наявність специфічного індикатора DfIsTsmeEnabled. Для професійного чипа цей параметр мав значення «активний», тоді як для споживчої моделі він був примусово встановлений у значення FALSE. Примітно, що будь-які маніпуляції в BIOS не могли змінити цей статус — обмеження було закладено глибше, на рівні політики мікрокоду.

Реакція AMD на ці відкриття виявилася підкреслено ухильною. Представники компанії обмежилися твердженням, що TSME є ексклюзивною функцією серії Pro. Однак така позиція прямо суперечить попереднім заявам інженерів компанії, які в минулому підтверджували підтримку цієї технології у звичайних Ryzen і навіть рекомендували її використання.

Розрив між технічною реальністю та офіційним дискурсом створює небезпечний прецедент. Існує принципова різниця між SME (Secure Memory Encryption), якою керує ОС, і TSME, що працює автономно. Остання забезпечує значно вищий рівень захисту, оскільки не залежить від уразливостей ядра операційної системи.

Ситуація з TSME виглядає як класичний приклад «функціонального гейтингу», коли апаратні можливості процесора навмисно відключаються програмним шляхом для створення штучної цінності дорожчих корпоративних лінійок. Той факт, що компанія відмовляється прямо підтвердити або спростувати факт навмисного відключення функції, лише посилює відчуття недовіри з боку спільноти ентузіастів. У світі, де апаратна безпека стає базовою вимогою, подібні приховані маніпуляції з функціоналом виглядають не просто як маркетинговий хід, а як крок назад у забезпеченні прозорості та захисту кінцевого користувача.