AMD restablece el cifrado de memoria en sus CPU de consumo tras la protesta de los usuarios

AMD anunció que reactivará el Transparent Secure Memory Encryption (TSME) — la función que desactivó en los procesadores Ryzen 9000 lanzados en mayo — mediante una actualización de microcódigo. La compañía dijo a Ars Technica que la decisión se tomó «en respuesta a los comentarios de los usuarios y a las aportaciones de la comunidad de investigación en seguridad».

TSME es una función que cifra automáticamente, a nivel de hardware, los datos que la RAM mantiene en memoria del sistema. Incluso si un atacante accede físicamente a los chips de RAM (por ejemplo en un ataque «cold boot» o «evil maid»), leer datos no cifrados es extremadamente difícil. La función es estándar desde hace tiempo en los procesadores de servidor EPYC, y está presente en la gama de consumo desde 2022.

Cuando AMD dejó TSME desactivado por defecto en la nueva gama Ryzen 9000 (Zen 5), la comunidad de usuarios y los investigadores en seguridad lo consideraron una regresión grave. El desarrollador del núcleo Linux Greg Kroah-Hartman dijo: «Bajar la postura de seguridad por defecto de un dispositivo deja datos explotables en millones de máquinas».

El comentario de AMD fue breve: «TSME tiene un pequeño coste en rendimiento; reconocemos que para la mayoría de las cargas de consumo ese coste no es perceptible. Desplegaremos la actualización de microcódigo este verano». La compañía dijo que el principal motivo del retraso fue un trabajo de verificación adicional sobre ataques por canal lateral en el núcleo.

El impacto en el rendimiento ha sido debatido. Los propios tests de AMD muestran que TSME provoca una caída del 1 al 2 % en cargas de juego y de oficina general. La caída sube hasta el 4 % en virtualización y bases de datos.

El equivalente de Intel, Total Memory Encryption (TME), está habilitado por defecto desde la familia Core de 12.ª generación (Alder Lake). Pero Intel sigue reservando la función TME-Multi-Key (TME-MK) a sus procesadores Xeon, que permite aislamiento por cifrado entre máquinas virtuales.

Microsoft, desde la actualización Windows 11 24H2, selecciona automáticamente los sistemas con TME para la configuración del cifrado de disco BitLocker. La reactivación de TSME por parte de AMD podría desencadenar una detección automática similar para Ryzen 9000 en instalaciones de Windows.

Para los compradores corporativos esto importa. Para un CIO, que la memoria esté automáticamente cifrada si un portátil se pierde o roba reduce el riesgo de filtraciones corporativas. La directiva europea NIS2 y la ley estadounidense Cyber Incident Reporting endurecieron las obligaciones de notificación en este tipo de incidentes.

Desde el núcleo Linux 6.10, existe una opción para forzar la activación de TSME en el arranque (`mem_encrypt=on`). Con el nuevo microcódigo de AMD, esa opción funcionará de forma consistente en Ryzen 9000. En Windows, Microsoft está probando actualmente una actualización de controlador similar en sus builds Insider.

El investigador de seguridad Daniel Gruss (TU Graz) dijo a Ars Technica: «El cifrado de memoria no es por sí solo una bala de plata, pero es una capa de seguridad fundamental; verlo desactivado por defecto en 2026 es inaceptable». La forma en que los fabricantes de PC de consumo aborden la función en sus próximas actualizaciones de BIOS determinará cuán efectivo resulta el nuevo enfoque de AMD en la práctica.