Log for Ubuntu 台灣社群
AMD 悄悄移除消費級 Ryzen 處理器的記憶體加密功能 （★ 387 分 🔥）
Tom's Hardware 引述 Ars Technica 報導指出，AMD 似乎在新版 AGESA（AMD Generic Encapsulated Software Architecture，用於初始化 AMD 平台的底層韌體元件）中，讓消費級 Ryzen 處理器失去 TSME（Transparent Secure Memory Encryption，透明安全記憶體加密）功能。TSME 會由韌體與記憶體控制器自動加密整個 RAM（隨機存取記憶體），用來防範冷開機攻擊（cold boot attack，利用斷電後 DRAM 殘留資料讀取機密）、記憶體匯流排側錄或拔取記憶體模組等實體攻擊。過去部分非 Pro Ryzen 處理器可啟用這項功能，但在 AGESA 1.2.7.0 之後，消費級晶片回報為不支援，AMD 目前未正式說明原因。
事件由重視隱私的 Linux 玩家 Ben Kilpatrick 發現。他在 Ryzen 7 9700X 系統上安裝作業系統後，使用 HSI（Host Security ID，用於稽核韌體與硬體安全狀態的工具）檢查安全功能，發現即使 BIOS（Basic Input/Output System，主機板基本輸入輸出系統）已開啟 TSME，系統仍顯示不支援。Kilpatrick 後續向 MSI 與 AMD GitHub 工程師追查，MSI 測試顯示舊版韌體下消費級 Ryzen 可啟用 TSME，新版 AGESA 則否；Ryzen Pro 則不受影響。MSI 也回報，AMD 告知 TSME 屬於 AMD PRO Technologies 的 Pro 處理器功能，而內部啟用旗標在消費級晶片上會回傳 FALSE。
文章指出，問題仍不清楚是 AMD 有意將 TSME 收回到 Pro 與 EPYC（AMD 伺服器 CPU 系列）產品線，還是新版 AGESA 導入的韌體退化。AMD 工程師先前曾表示消費級 Ryzen 3700X 應可支援 TSME，也曾建議使用者在 BIOS 中啟用；但當 Kilpatrick 追問這是矽晶層級限制或韌體政策時，AMD 工程師僅回覆沒有更多資訊可分享。報導也區分 SME（Secure Memory Encryption，安全記憶體加密）與 TSME：SME 由作業系統管理、可選擇加密記憶體頁；TSME 則由韌體管理、啟用後加密全部 RAM。更麻煩的是，這項變更在 Windows 上幾乎無法察覺，在 Linux 上也需要技術檢查才看得出來。
Hacker News 討論的重點不只在安全風險，也在「售後移除硬體能力」的信任問題。部分留言認為，若攻擊者已有實體接觸電腦，冷凍記憶體再搬到另一台機器讀取的攻擊門檻很高，一般桌機使用者影響有限；也有人提到 TSME 可能帶來耗電、發熱或相容性問題，並分享在 VFIO（Virtual Function I/O，Linux 常見的 PCIe 裝置直通框架）、Nvidia 驅動或 amdgpu 情境下曾遇過當機。不過反方指出，記者、吹哨者、攜帶筆電處理機密工作的人，以及倚賴全磁碟加密的人，確實可能需要這類「縱深防禦」；也有留言補充，記憶體加密可能降低 Rowhammer、RAMBleed 等記憶體位元翻轉或側通道攻擊的可預測性，雖然它不是 SEV（Secure Encrypted Virtualization，安全加密虛擬化）那種逐虛擬機器金鑰保護。
整體討論對 AMD 的沉默相當不滿，許多人把這視為產品分級與韌體控制權過度集中的案例，並拿 ECC（Error-Correcting Code，錯誤更正碼記憶體）、GPU 虛擬化、汽車加熱座椅訂閱、SSD 零件偷換等市場分級做比較。也有人指出，若 TSME 從未被正式宣傳為消費級功能，AMD 法律上或許有空間，但對已購買並實際使用的人而言，韌體更新後無聲停用仍不合理。部分使用者建議停留或降回 AGESA 1.2.7.0 以前版本，但這會犧牲後續安全修補。除非 AMD 進一步說明或恢復功能，真正需要記憶體加密的 AMD 使用者，目前看來只能選擇 Ryzen Pro 或 EPYC 平台。
👥 185 則討論、評論 💬
https://news.ycombinator.com/item?id=48582320
Tom's Hardware 引述 Ars Technica 報導指出，AMD 似乎在新版 AGESA（AMD Generic Encapsulated Software Architecture，用於初始化 AMD 平台的底層韌體元件）中，讓消費級 Ryzen 處理器失去 TSME（Transparent Secure Memory Encryption，透明安全記憶體加密）功能。TSME 會由韌體與記憶體控制器自動加密整個 RAM（隨機存取記憶體），用來防範冷開機攻擊（cold boot attack，利用斷電後 DRAM 殘留資料讀取機密）、記憶體匯流排側錄或拔取記憶體模組等實體攻擊。過去部分非 Pro Ryzen 處理器可啟用這項功能，但在 AGESA 1.2.7.0 之後，消費級晶片回報為不支援，AMD 目前未正式說明原因。
事件由重視隱私的 Linux 玩家 Ben Kilpatrick 發現。他在 Ryzen 7 9700X 系統上安裝作業系統後，使用 HSI（Host Security ID，用於稽核韌體與硬體安全狀態的工具）檢查安全功能，發現即使 BIOS（Basic Input/Output System，主機板基本輸入輸出系統）已開啟 TSME，系統仍顯示不支援。Kilpatrick 後續向 MSI 與 AMD GitHub 工程師追查，MSI 測試顯示舊版韌體下消費級 Ryzen 可啟用 TSME，新版 AGESA 則否；Ryzen Pro 則不受影響。MSI 也回報，AMD 告知 TSME 屬於 AMD PRO Technologies 的 Pro 處理器功能，而內部啟用旗標在消費級晶片上會回傳 FALSE。
文章指出，問題仍不清楚是 AMD 有意將 TSME 收回到 Pro 與 EPYC（AMD 伺服器 CPU 系列）產品線，還是新版 AGESA 導入的韌體退化。AMD 工程師先前曾表示消費級 Ryzen 3700X 應可支援 TSME，也曾建議使用者在 BIOS 中啟用；但當 Kilpatrick 追問這是矽晶層級限制或韌體政策時，AMD 工程師僅回覆沒有更多資訊可分享。報導也區分 SME（Secure Memory Encryption，安全記憶體加密）與 TSME：SME 由作業系統管理、可選擇加密記憶體頁；TSME 則由韌體管理、啟用後加密全部 RAM。更麻煩的是，這項變更在 Windows 上幾乎無法察覺，在 Linux 上也需要技術檢查才看得出來。
Hacker News 討論的重點不只在安全風險，也在「售後移除硬體能力」的信任問題。部分留言認為，若攻擊者已有實體接觸電腦，冷凍記憶體再搬到另一台機器讀取的攻擊門檻很高，一般桌機使用者影響有限；也有人提到 TSME 可能帶來耗電、發熱或相容性問題，並分享在 VFIO（Virtual Function I/O，Linux 常見的 PCIe 裝置直通框架）、Nvidia 驅動或 amdgpu 情境下曾遇過當機。不過反方指出，記者、吹哨者、攜帶筆電處理機密工作的人，以及倚賴全磁碟加密的人，確實可能需要這類「縱深防禦」；也有留言補充，記憶體加密可能降低 Rowhammer、RAMBleed 等記憶體位元翻轉或側通道攻擊的可預測性，雖然它不是 SEV（Secure Encrypted Virtualization，安全加密虛擬化）那種逐虛擬機器金鑰保護。
整體討論對 AMD 的沉默相當不滿，許多人把這視為產品分級與韌體控制權過度集中的案例，並拿 ECC（Error-Correcting Code，錯誤更正碼記憶體）、GPU 虛擬化、汽車加熱座椅訂閱、SSD 零件偷換等市場分級做比較。也有人指出，若 TSME 從未被正式宣傳為消費級功能，AMD 法律上或許有空間，但對已購買並實際使用的人而言，韌體更新後無聲停用仍不合理。部分使用者建議停留或降回 AGESA 1.2.7.0 以前版本，但這會犧牲後續安全修補。除非 AMD 進一步說明或恢復功能，真正需要記憶體加密的 AMD 使用者，目前看來只能選擇 Ryzen Pro 或 EPYC 平台。
👥 185 則討論、評論 💬
https://news.ycombinator.com/item?id=48582320