Trong gần một thập kỷ, AMD đã cung cấp một tính năng bảo mật yên lặng nhưng mạnh mẽ trên nhiều bộ xử lý người dùng của mình: Mã hóa bộ nhớ an toàn trong suốt, hay TSME. Nó mã hóa mọi thứ được lưu trữ trong bộ nhớ hệ thống, khiến các cuộc tấn công cold boot và các lỗ hổng vật lý khác trở nên cơ bản vô dụng. Sau đó, AMD đã loại bỏ tính năng này khỏi các chip người dùng của mình và không hề thông báo cho bất kỳ ai.
Tính năng này, đôi khi được quảng bá là AMD Memory Guard, hoạt động bằng cách tạo một khóa mã hóa tại thời điểm khởi động thông qua Bộ xử lý Bảo mật của AMD. Mỗi byte được ghi vào RAM đều được mã hóa một cách minh bạch, không cần sự can thiệp của hệ điều hành.
Điều gì đã xảy ra và tại sao nó quan trọng
AMD đã giới thiệu TSME từ năm 2017, ban đầu là tính năng tiêu chuẩn trên các bộ xử lý Ryzen PRO nhắm đến môi trường doanh nghiệp và doanh nghiệp. Theo thời gian, tính năng bảo vệ này đã được áp dụng xuống các chip Ryzen tiêu dùng cấp thấp hơn.
Sau đó, mà không có thông báo công khai hay thay đổi tài liệu nào, AMD bắt đầu vô hiệu hóa tính năng này ở cấp độ silicon trên một số mẫu người dùng không phải PRO. Ryzen AI Max+ 395 là một ví dụ được xác nhận nơi TSME đã bị vô hiệu hóa theo thiết kế.
Đây là vấn đề: đây không phải là bản cập nhật firmware mà người dùng có thể nhận thấy. Tính năng này đã bị gỡ bỏ ở cấp phần cứng, nghĩa là không có cách nào qua phần mềm để khôi phục lại. Và việc phát hiện xem TSME có đang hoạt động trên máy Windows hóa ra lại rất khó, có thể yêu cầu các công cụ dựa trên Linux hoặc các kiểm tra chẩn đoán chuyên dụng để xác nhận.
Các hệ quả về bảo mật là có thật
Các cuộc tấn công cold boot nghe có vẻ kỳ lạ, nhưng chúng là một vectơ đe dọa đã được ghi nhận rõ ràng. Một kẻ tấn công có quyền truy cập vật lý vào máy tính có thể làm đông các module RAM, tháo chúng ra và đọc dữ liệu còn sót lại trước khi chúng biến mất. TSME vô hiệu hóa mối đe dọa này bằng cách đảm bảo dữ liệu trong bộ nhớ luôn được mã hóa, bất kể hệ điều hành đang thực hiện thao tác gì.
Chi phí hiệu suất cho biện pháp bảo vệ này là tối thiểu. Tài liệu của chính AMD cho biết mức chi phí thường dưới 5%.
AMD dường như đang phân biệt rõ ràng hơn giữa các dòng sản phẩm PRO và không PRO. Các chip PRO vẫn giữ TSME như một tính năng tiêu chuẩn. Các chip dùng cho người tiêu dùng, kể cả dòng cao cấp, đều bị vô hiệu hóa tính năng này ở cấp độ silicon. Cùng kiến trúc, cùng quy trình sản xuất, nhưng cấu hình cầu chì khác nhau.
Tại sao người dùng tiền điện tử nên chú ý
Nếu bạn đang sử dụng giao diện ví phần cứng, quản lý khóa riêng tư hoặc vận hành bất kỳ phần mềm nút mạng nào trên hệ thống AMD tiêu dùng, điều này trực tiếp liên quan đến bạn. Mã hóa bộ nhớ cung cấp một lớp bảo vệ chống lại các cuộc tấn công vật lý nhằm vào các khóa mã hóa và dữ liệu nhạy cảm được lưu trữ trong RAM trong quá trình vận hành.
Các ví phần cứng tự thân lưu trữ khóa trong các phần tử an toàn, nhưng máy chủ vẫn thực hiện các thao tác nhạy cảm trong quá trình ký giao dịch, khởi tạo ví và cập nhật firmware. Một bus bộ nhớ không được mã hóa trên máy chủ tạo ra một bề mặt tấn công tiềm ẩn mà TSME được thiết kế để đóng lại.
Đối với bất kỳ ai đang chạy các nút mạng xác thực, cơ sở hạ tầng staking hoặc hoạt động DeFi trên phần cứng dựa trên AMD, sự vắng mặt của mã hóa bộ nhớ có thể khiến các khóa riêng, cụm từ hạt giống hoặc token phiên bản đang lưu trong bộ nhớ bị lộ nếu có truy cập vật lý vào máy. Điều này đặc biệt quan trọng đối với các nhà vận hành trong các trung tâm dữ liệu chia sẻ, nơi an ninh vật lý là chung chứ không tuyệt đối.
Intel cung cấp công nghệ mã hóa bộ nhớ riêng của mình, Total Memory Encryption, trên một số dòng bộ xử lý. Việc Intel có duy trì khả năng sẵn có rộng rãi hơn của tính năng này trên toàn bộ sản phẩm tiêu dùng hay không có thể trở thành điểm khác biệt quan trọng đối với những người mua quan tâm đến bảo mật.
Người dùng chọn AMD một phần vì tư thế bảo mật của nó giờ đây phải xác minh tính khả dụng của tính năng trên từng con chip họ mua, với các công cụ không trực quan trên hệ điều hành máy tính để bàn phổ biến nhất thế giới.