Speicherverschlüsselung: AMD entfernt TSME-Unterstützung für Ryzen-Prozessoren

[HWL News Bot]

Vor rund zehn Jahren führte AMD bei seinen High-End-Prozessoren eine zusätzliche Sicherheitsfunktion ein, die Systeme vor sogenannten Cold-Boot-Angriffen und weiteren physischen Angriffsszenarien schützen sollte. Ziel dieser Maßnahmen ist es, das Auslesen sensibler Daten aus angeschlossenen Speicherbausteinen zu verhindern. Die Technik trägt die Bezeichnung Transparent Secure Memory Encryption (TSME) und verschlüsselt den gesamten Inhalt des Arbeitsspeichers. Dadurch werden die dort abgelegten Daten für Angreifer, die physischen Zugriff auf das System besitzen, unbrauchbar.
... weiterlesen

 

[Bitmaschine]

Müssen wir uns Sorgen machen, haben sie Kenny getötet?

 

[zog88]

Diese Sicherheitsvorkehrung ist auf Enterpriseprodukten weiterhin verfügbar, es liegt nahe dass die Consumerprodukte daher ebenfalls hardwareseitig nach wie vor fähig dazu sind aber diese Funktion wohl per Microcode / AGESA / soft abgeschalten wurde.
Richtig interessant wäre eine Erklärung seitens AMD warum man eine seit langem unterstütze, schlanke und gut funktionierende Lösung plötzlich und unangekündigt einstellt.
Das muss kritisch hinterfragt werden.

 

[w00tw00t]

Super. Mein 9950X unterstützt jetzt kein TSME mehr. Einen gleichwertigen Prozessor aus der Pro-Serie gibt es nicht. Ein EPYC 4005 wird von meinem Mainboard ebenfalls nicht unterstützt. Ein BIOS-Downgrade ist auch nicht möglich.

 

[Schwinni]

Super. Mein 9950X unterstützt jetzt kein TSME mehr. Einen gleichwertigen Prozessor aus der Pro-Serie gibt es nicht. Ein EPYC 4005 wird von meinem Mainboard ebenfalls nicht unterstützt. Ein BIOS-Downgrade ist auch nicht möglich.

Bist du ein potentielles Opfer einer Cold-Boot-Attacke?

 

[Luebke]

das ist halt ein feature, das im privaten umfeld keinen sinn macht. vllt will AMD damit ein zusätzliches feature pr-wirksam für seine pro-produkte anpreisen, dazu muss es allerdings pro-exklusiv werden.

 

[zog88]

Möglich ist alles. Man kann sich natürlich auch anders schützen aber im Zeiten von TPM und Secureboot ist das aus meiner Sicht eine gangbare Alternative.
Und wie gesagt es geht nicht darum das man es weg macht, sondern darum das man es still und leise Kommentarlos verschwinden lässt.
Warum kann man das nicht transparent kommunizieren?

 

[Luebke]

das ist was anderes als secureboot. es geht darum vor unberechtigten physischen zugriff zu schützen.

warum man das nicht transparent kommuniziert? falls meine theorie zutrifft, wäre es dumm zuzugeben, dass das beworbene feature eigentlich gar nicht exklusiv ist und nur künstlich durch nachträglichen eingriff exklusiv wird. das hätte dann einen ganz faden beigeschmack. hier gehts einfach nur um marketing. "schaut mal was unsere pro-produkte besonderes können. kauft deshalb diese tollen produkte und keine anderen"
klingt doch besser als "eigentlich können das ja alle unsere produkte, aber wir nötigen euch jetzt mal vorsätzlich, die teureren produkte zu kaufen", findeste nicht?

 

[Holt]

Bist du ein potentielles Opfer einer Cold-Boot-Attacke?

Vielleicht hat ja ein Angreifer bei ihm unbefugt Speichermodule entfernt. Wobei ich mich frage, wie man danach noch was auslesen will, da DRAM bekanntlich flüchtig ist und mehr als 10mal pro Sekunde einen Refresh braucht, um die Daten nicht zu verlieren. Es würde mich echt interessieren ob es jemand außerhalb von Laborbedingungen je geschafft hätte RAM Riegel aus einem laufenden Rechner zu entfernen und dann noch Daten auszulesen. Aber genau wie ein Cold-Boot-Exploit sind das Angriffe bei denen man physikalischen Zugriff auf den Rechner braucht und dies ist in Firmen und Rechenzentren vielleicht ein Problem, wo man nie allen Mitarbeitern wirklich trauen kann, aber Zuhause wäre das eher ein Dieb, der dann gleich den ganzen Rechner klauen würde. Aber bei den aktuellen RAM Preisen würde er vielleicht auch nur die RAM Riegel klauen um sie zu verkaufen.

Warum kann man das nicht transparent kommunizieren?

Ja wäre besser gewesen. Aber andererseits haben sie auch nie offen kommuniziert, dass die normalen RYZEN TSME haben, es war eben einfach da und das ist eben das Problem mit solchen Features, die es offiziell nicht gibt: Sie können jederzeit auch wieder verschwinden. Hat schon mal jemand geprüft, ob die ECC RAM Funktion mit dem aktuellen AGESA noch da ist?

 

[towa]

das ist halt ein feature, das im privaten umfeld keinen sinn macht.

Durchaus, ich wage sogar zu behaupten, dass es im Firmenumfeld (<=Mittelstand) ebenfalls keine große Rolle spielt.
Bei mobilen Geräten, oder bei festen Home-Office Geräten mit Firmendaten könnte das sinnvoll sein, aber wenn jemand physischen Zugang zu Geräten hat, dann hat man da auch ganz andere Möglichkeiten.

Hat schon mal jemand geprüft, ob die ECC RAM Funktion mit dem aktuellen AGESA noch da ist?

Jap, habe in der Firma an meinem System einen Ryzen 9700X mit einem ASUS PRIME B650-PLUS-CSM und DDR5-5600 ECC Speicher am Laufen.
Da gibt es momentan aber auch einen Bug wo etwas RAM-Speed fehlt:

Starting from AGESA ComboAM5 PI 1.3.0.0, ECC-UDIMM memory speed will be limited to 5200 MT/s when paired with 9000 series CPUs.

Das ist seit dem BIOS vom 2026/02/13 der Fall und wurde bislang nicht gefixt.