AMD が通知なしで消費者向け Ryzen CPU からメモリ暗号化を削除

AMD はユーザーに通知せずに消費者向け Ryzen CPU からメモリ暗号化を削除しました

AMD の最近の AGESA ファームウェア更新により、多くの消費者向け Ryzen プロセッサで Secure Memory Encryption（SME）機能が無効化されました。これにより、以前はハードウェアレベルの RAM 保護の恩恵を受けていたシステムが、ベンダーからの通知なしに脆弱になる可能性があります。

変更点: 最新 AGESA で SME のサポートが削除

  • マザーボード BIOS に同梱される AGESA（AMD Generic Encapsulated Software Architecture）ファームウェアは、Ryzen 5000 以降のデスクトップ CPU の一部で SME が利用できないと報告するようになりました。
  • この変更はリリースノートに記載されておらず、AMD からの公的な声明もありません。
  • 依然として SME を公開している既存の BIOS バージョンはそのまま機能しますが、最新ファームウェアに更新すると機能が黙って無効化されます。

SME がセキュリティ上重要な理由

  • SME はハードウェア生成キーでシステム全体のメモリを暗号化し、コールドブート攻撃、DMA エクスプロイト、物理的なメモリ抽出からデータを保護します。
  • この機能はオプションで、BIOS で有効化できます。存在する場合、Linux などの OS は /sys/devices/system/edac/memory_encryption として公開し、追加のハードニングに利用できます。
  • SME を無効化すると、ユーザーの操作なしに防御層が失われ、これに依存していたシステムの攻撃対象が広がります。

影響を受ける対象

  • Zen 2（5000 系列）および Zen 3（6000 系列）ファミリーの消費者向けデスクトップ Ryzen CPU で、AGESA 1.2.x 以降が搭載されたもの。
  • AGESA の変更後にマザーボード BIOS を更新したユーザーは、BIOS 設定で SME が「Not Supported」と表示されます。
  • エンタープライズまたはサーバー向け AMD プロセッサ（EPYC）は引き続き SME をサポートしており、変更は消費者向けラインに限定されているようです。

システムで SME の状態を確認する方法

# カーネルフラグを確認
cat /sys/devices/system/edac/memory_encryption

# CPU の機能ビットをクエリ
lscpu | grep "SME"

出力が 0 であるか、SME フラグが欠如している場合、CPU のメモリ暗号化は無効化されています。

可能な回避策と緩和策

  • 古い BIOS を使用 し、まだ SME サポートが報告されているものを選択します（ただしマザーボードベンダーが強制的に更新を要求しない場合）。
  • フルディスク暗号化（例: BitLocker、LUKS）を利用してデータの保存時保護を行いますが、これは SME が提供する実行時保護の代替にはなりません。
  • マザーボードベンダーの情報を監視 し、将来的に SME を再有効化するファームウェアや明示的なオプトアウトフラグが提供されるかどうかを確認します。

広範なエコシステムへの影響

  • 静かな削除は、特にハードウェアベースの暗号化に依存してコンプライアンスや脅威モデルを構築しているユーザーに対し、AMD のセキュリティ機能に関する透明性への信頼を損ないます。
  • SME を自動的に有効化するよう設計されたセキュリティ志向の Linux ディストリビューションは、現在機能が無効化された状態で出荷され、ユーザーが気付かないリスクにさらされる可能性があります。
  • この事例は、ファームウェアのドキュメント化とバージョン管理された機能フラグの明確化の必要性を浮き彫りにし、管理者がアップデート後にセキュリティ機能を監査できるようにすべきことを示しています。

今後注目すべき点

  • AMD またはマザーボードメーカーからの公式な説明、SME 削除の根拠に関する情報。
  • SME サポートを復元するか、BIOS 設定で明確なトグルを提供するファームウェア更新。
  • 大規模なマシン群で SME の有無を検出・報告できるコミュニティ主導のツール。

結論: AMD の最新 AGESA ファームウェアは、多くの消費者向け Ryzen CPU で Secure Memory Encryption を静かに無効化し、ユーザーはハードウェアレベルのセキュリティ制御が消失したことに気付いていません。システムの SME 状態を確認し、AMD が明確な修正または説明を提供するまで、機能を保持したファームウェアの使用を検討してください。

Sources