AMD âm thầm gỡ bỏ tính năng mã hóa bộ nhớ trên CPU Ryzen, người dùng đối mặt rủi ro bảo mật

Theo một báo cáo mới đây từ Ars Technica, AMD đã âm thầm loại bỏ một tính năng bảo mật quan trọng khỏi các dòng CPU Ryzen dành cho người dùng phổ thông (non-Pro), khiến nhiều người dùng không hay biết rằng hệ thống của mình đang bị "hở" trước các nguy cơ tấn công vật lý.

AMD Ryzen CPU

Cuộc điều tra kéo dài nhiều tháng qua GitHub do Ben Kilpatrick khởi xướng đã xác nhận rằng tính năng Transparent Secure Memory Encryption (TSME) – vốn giúp bảo vệ dữ liệu trong RAM trước các kẻ tấn công có tiếp xúc vật lý với máy – đã đột ngột biến mất trên các bộ vi xử lý AMD không thuộc dòng Pro. Tính đến thời điểm này, AMD vẫn chưa chính thức thừa nhận hay giải thích rõ ràng về sự biến mất của tính năng này, gây ra nhiều tranh cãi trong cộng đồng kỹ thuật.

TSME là gì và tại sao quan trọng?

TSME là một tính năng bảo mật mã hóa toàn bộ dữ liệu lưu trữ trong bộ nhớ máy tính. Không giống như Secure Memory Encryption (SME) vốn được quản lý bởi hệ điều hành và chỉ mã hóa từng trang bộ nhớ cụ thể, TSME hoạt động ở mức độ phần mềm hệ thống (firmware), mã hóa toàn bộ RAM một cách minh bạch mà không cần sự can thiệp của hệ điều hành.

Khi được kích hoạt, TSME giúp ngăn chặn các cuộc tấn công vật lý như khai thác lỗi khởi động lạnh (cold-boot attacks), nghe lén giao tiếp DRAM hoặc tháo lắp thanh RAM để trích xuất dữ liệu. Trước đây, tính năng này từng có mặt trên cả các dòng CPU cấp cao và phổ thông của AMD, khiến người dùng tin rằng nó là một tiêu chuẩn bảo mật tích hợp sẵn trong sản phẩm.

Hình ảnh minh họa bo mạch chủ và CPU

Cuộc điều tra và sự im lặng của AMD

Vấn đề được phát hiện khi Kilpatrick, một người dùng hệ điều hành Linux, cài đặt máy tính mới sử dụng chip Ryzen 7 9700X (kiến trúc Zen 5). Khi sử dụng công cụ kiểm tra Host Security ID (HSI) để kiểm tra cấu hình bảo mật, ông bất ngờ khi thấy TSME bị báo cáo là "không được hỗ trợ", mặc dù tùy chọn này đã được bật trong BIOS.

Sau khi trao đổi với nhà sản xuất bo mạch chủ MSI và các kỹ sư của AMD trên GitHub, Kilpatrick không nhận được câu trả lời thỏa đáng. Các kỹ sư của AMD, bao gồm cả Tom Lendacky và Mario Limonciello, ban đầu cũng bối rối và chỉ khuyên người dùng thử bật/tắt lại trong BIOS. Tuy nhiên, sau khi MSI kiểm tra và xác nhận sự thay đổi bắt nguồn từ phiên bản firmware AGESA 1.2.7.0, câu chuyện đã đi vào ngõ cụt.

Khi Kilpatrick quay lại hỏi AMD xem việc cờ (flag) TSME bị tắt trên chip phổ thông là giới hạn ở phần cứng (silicon) hay quyết định chính sách từ phần mềm, câu trả lời nhận được vô cùng đáng ngại:

"Tôi xin lỗi, nhưng tôi không có thêm thông tin nào để chia sẻ về chủ đề này."

Lỗi kỹ thuật hay phân khúc sản phẩm?

MSI đã thực hiện các bài kiểm tra được kiểm soát chặt chẽ và kết quả cho thấy: chip Ryzen phổ thông có TSME hoạt động trên phiên bản firmware cũ, nhưng chuyển sang trạng thái "không hỗ trợ" khi cập nhật lên AGESA 1.2.7.0. Trong khi đó, các phiên bản CPU dòng Pro vẫn hỗ trợ tính năng này bất kể firmware hay bo mạch chủ được sử dụng.

Bảo mật phần cứng

Điều này đặt ra câu hỏi lớn: Liệu AMD đã vô tình tạo ra một lỗi (regression) trong bản cập nhật firmware hay đây là một động thái cố ý để giới hạn tính năng bảo mật cao cấp chỉ dành cho dòng CPU đắt tiền hơn (Ryzen Pro hay EPYC)? Một đại diện tiếp thị sản phẩm của MSI cho biết họ nhận được thông tin từ AMD rằng TSME "chỉ được hỗ trợ độc quyền trên các bộ vi xử lý dòng Pro".

Điều này càng gây bối rối hơn khi chính các kỹ sư của AMD từng khẳng định vào năm 2020 rằng chip Ryzen 3700X (dòng phổ thông) "nên hỗ trợ TSME".

Tác động đối với người dùng

Một khía cạnh đáng lo ngại khác là sự gỡ bỏ này rất khó bị phát hiện. Trên Windows, không có cách nào đơn giản để người dùng nhận biết liệu TSME đang hoạt động hay không. Trên Linux, việc phát hiện cũng đòi hỏi các công cụ kiểm tra kỹ thuật chuyên sâu.

Đối với đa số người dùng phổ thông tại Việt Nam sử dụng máy tính bàn tại nhà trong môi trường an toàn, rủi ro từ việc mất TSME không quá lớn. Tính năng này chủ yếu quan trọng đối với các máy tính xách tay chứa dữ liệu nhạy cảm, các máy chủ, hoặc những người thường xuyên phải lo ngại về việc thiết bị bị tịch thu, đánh cắp hoặc can thiệp phần cứng vật lý. Tuy nhiên, việc thay đổi cấu hình bảo mật một cách âm thầm khiến người dùng mất đi quyền kiểm soát và niềm tin vào sản phẩm họ đã mua.

Hiện tại, AMD vẫn chưa đưa ra bất kỳ thông báo chính thức nào về việc liệu đây là lỗi cần sửa chữa hay là chính sách phân khúc sản phẩm mới. Những ai thực sự cần mã hóa bộ nhớ trên nền tảng AMD hiện nay có thể cần cân nhắc chuyển sang các dòng chip Ryzen Pro hoặc EPYC, hoặc tìm cách giữ lại phiên bản firmware cũ hơn để duy trì tính năng này.