Por Canuto  

La decisión de AMD de retirar, sin aviso claro, la función de cifrado de memoria TSME en CPUs Ryzen de consumo ha abierto una controversia técnica y reputacional. Usuarios, ingenieros de placas madre y especialistas en seguridad ahora cuestionan si se trató de una política deliberada o de una regresión de firmware que la empresa se niega a aclarar.
***

  • Usuarios detectaron que TSME dejó de estar disponible en CPUs Ryzen de consumo con AGESA 1.2.7.0.
  • Pruebas de MSI apuntan a que la función sigue activa en chips Ryzen PRO, pero no en modelos para consumidores.
  • AMD evitó explicar si el cambio fue una decisión de producto o un error introducido en firmware.

AMD enfrenta críticas de usuarios y expertos en seguridad tras la desaparición silenciosa de Transparent Secure Memory Encryption, o TSME, en procesadores Ryzen de consumo. La función había estado presente durante años en varios chips de menor costo, pese a que la empresa ahora afirma que esa protección pertenece solo a la familia PRO.

La controversia gira en torno a una capacidad diseñada para cifrar todo el contenido de la memoria RAM. Esa capa de protección busca inutilizar los datos frente a ataques físicos como el cold boot, el espionaje sobre la interfaz DRAM o la remoción directa de módulos de memoria.

El caso salió a la luz cuando Ben Kilpatrick, quien se describe como un aficionado a Linux con fuerte preocupación por la privacidad, revisó las defensas activas de su equipo con un Ryzen 7 9700X basado en Zen 5. Lo hizo mientras instalaba un nuevo sistema operativo y auditaba la postura de seguridad del hardware.

La herramienta utilizada fue Host Security ID, o HSI, un sistema de auditoría que evalúa ajustes de firmware y hardware. Para sorpresa de Kilpatrick, el diagnóstico mostró la línea “encrypted RAM: not supported”, aunque antes la misma función aparecía como “encrypted”.

El hallazgo llamó la atención porque TSME seguía activado en el BIOS de su equipo. Esa discrepancia inició una investigación de varios meses para averiguar por qué una función que antes operaba de forma normal había desaparecido sin notificación clara para los usuarios.

Qué es TSME y por qué importa en la seguridad física

TSME fue incorporado por AMD hace aproximadamente una década en CPUs de gama alta. Su propósito era proteger la información sensible almacenada en memoria frente a ataques físicos capaces de leer datos directamente desde los módulos DRAM.

A diferencia de otras defensas gestionadas por software, TSME es controlado por el firmware. Cuando se habilita desde el BIOS, cifra toda la RAM de manera transparente y sin intervención del sistema operativo.

Esa característica lo diferencia de Secure Memory Encryption, o SME. Según la información disponible, SME usa una sola clave y permite que el sistema operativo cifre páginas individuales de memoria, mientras que TSME cubre toda la RAM de forma automática.

En términos prácticos, TSME suele considerarse especialmente útil para escenarios de seguridad física. Si un atacante retira la memoria, manipula el arranque o intenta leer la interfaz de la DRAM, el cifrado reduce drásticamente el valor de los datos obtenidos.

Por eso, la pérdida de esta capacidad no es un detalle menor para ciertos usuarios avanzados. Aunque no todos los compradores de un Ryzen de consumo conocían la función, quienes sí la usaban la consideraban una protección valiosa y ya asumida dentro del paquete de seguridad del hardware.

La investigación técnica apunta a AGESA y a una diferencia entre Ryzen PRO y consumo

Tras detectar la anomalía, Kilpatrick contactó tanto al soporte como al equipo de ingeniería de MSI, fabricante de su motherboard. Luego de insistir, logró que los ingenieros hicieran pruebas controladas para comparar el comportamiento entre distintas versiones de firmware.

Las pruebas, según relató la fuente, mostraron que los Ryzen de consumo instalados en placas MSI y Gigabyte sí tenían TSME habilitado con versiones antiguas del firmware basadas en AMD Generic Encapsulated Software Architecture, más conocido como AGESA. El panorama cambió con AGESA 1.2.7.0.

Cuando se usó esa versión más reciente, TSME pasó a figurar como “not supported” en los chips de consumo. En cambio, las variantes Ryzen PRO continuaron soportando la función tanto en distintas motherboards como en ambas generaciones de AGESA evaluadas.

Con esos datos, Kilpatrick planteó la pregunta central del caso. Quería saber si AMD tomó una decisión deliberada para restringir TSME a los modelos PRO o si el bloqueo apareció por una regresión accidental en AGESA 1.2.7.0.

El propio Kilpatrick explicó que esa diferencia importa mucho para los usuarios. Si se trata de una política consciente, AMD habría quitado una función plenamente operativa del hardware de consumo; si se trata de un error, entonces correspondería una corrección de firmware.

Como parte de la investigación, el usuario abrió además un informe de error en el repositorio público de ingeniería de AMD en GitHub. Dos ingenieros de la compañía participaron en el intercambio, aunque sin ofrecer una explicación concluyente sobre el origen del cambio.

Las respuestas de AMD no aclararon si fue un error o una política de segmentación

Tom Lendacky, ingeniero senior de software en AMD, dijo inicialmente que desconocía la causa del problema. Su primera sugerencia fue desactivar y volver a activar la opción correspondiente en el BIOS para descartar una falla de configuración.

Si ese procedimiento no resolvía la situación, Lendacky planteó que probablemente se tratara de un problema del BIOS del fabricante de la placa madre. Por eso recomendó a Kilpatrick contactar a MSI para profundizar la depuración técnica.

Mario Limonciello, ingeniero principal de software y mantenedor de la implementación de HSI para AMD dentro de fwupd, ofreció una respuesta similar. También propuso desactivar y reactivar los ajustes del BIOS antes de escalar el caso al proveedor de la motherboard.

Seis semanas más tarde, Kilpatrick volvió al hilo con resultados adicionales obtenidos gracias a MSI. Allí informó que el equipo de marketing de producto del fabricante le había dicho que AMD comunicó oficialmente que TSME solo es soportado en procesadores de la serie PRO.

En ese mismo mensaje, el usuario detalló una prueba comparativa en una motherboard Asus X870E con un Ryzen 9800X3D de consumo y un Ryzen 9945 PRO. El resultado mostró tsme_status = 1 en el chip PRO y tsme_status = 0 en el modelo de consumo con la misma placa y el mismo BIOS.

La diferencia implicaba que la función permanecía activa en el procesador PRO y desactivada en el de consumo. Ese resultado reforzó la hipótesis de una segmentación intencional, aunque AMD no la confirmó de forma abierta en sus intercambios técnicos públicos.

La evidencia del AMD Boot Loader aumentó las dudas de la comunidad

Kilpatrick también llevó la discusión a un nivel más profundo con datos procedentes de capturas de memoria del AMD Boot Loader, o ABL. Ese componente forma parte de AGESA y se encarga de inicializar el hardware antes de que cargue el sistema operativo.

Según las pruebas del equipo de ingeniería de MSI, una cadena interna permitía observar el estado de TSME al inicio del arranque. Allí apareció la bandera DfIsTsmeEnabled, un indicador de AGESA que controla si la función queda activada durante la inicialización del firmware.

Los volcados de memoria mostraron comportamientos distintos según el tipo de CPU utilizado. En procesadores de consumo, la bandera devolvía FALSE, mientras que en chips PRO o EPYC devolvía TRUE cuando TSME estaba activado en el BIOS.

Kilpatrick resumió esos hallazgos señalando que DfIsTsmeEnabled retornaba FALSE en un Ryzen 9800X3D incluso cuando TSME estaba configurado como AUTO o ENABLED en el BIOS. En contraste, un Ryzen 9945 devolvía TRUE cuando la opción estaba activada.

Ese punto resultó clave porque sugería que la capacidad no estaba siendo negada por el silicio en sí, sino por la lógica del firmware durante el arranque. De hecho, el propio usuario insistió en que el silicio es capaz y que el cambio parece haberse producido dentro de AGESA.

Luego preguntó de forma directa si esa bandera se fijaba en FALSE para SKUs de consumo por una limitación de silicio o por una decisión de política en firmware. La respuesta de Limonciello fue breve y cerró la discusión: “Mis disculpas; pero no tengo más información que compartir sobre este tema”.

Un cambio sin aviso revive declaraciones previas y golpea la confianza

La falta de una explicación clara generó molestia adicional porque existen antecedentes públicos de soporte en chips Ryzen de consumo. Kilpatrick recordó que en 2020 el propio Tom Lendacky había confirmado que un Ryzen 3700X, un procesador no PRO, “debería soportar TSME”.

Ese antecedente no quedó aislado en el tiempo. En un comentario de 2025, dentro del mismo hilo técnico, Lendacky volvió a recomendar el uso de TSME y aclaró que la función dependía de que el proveedor del BIOS la expusiera como opción en la placa.

Al mismo tiempo, no hay indicios de que AMD haya promocionado oficialmente TSME como una capacidad garantizada en sus CPUs de consumo. La empresa sí ha sostenido desde hace tiempo que SME está reservado a las series PRO y EPYC.

Esa diferencia entre marketing formal y funcionamiento real explica parte del conflicto actual. Durante años, varios usuarios vieron que TSME operaba correctamente en modelos más baratos y recibieron comentarios técnicos que reforzaban la idea de que su disponibilidad era legítima.

Por eso, la eliminación silenciosa de la característica se percibe como una traición entre quienes priorizan la seguridad física de sus equipos. La molestia no proviene solo de la pérdida técnica, sino también de la ausencia de aviso y de una explicación transparente por parte del fabricante.

Joe Fitzgerald, especialista en seguridad a nivel de silicio, resumió esa frustración al señalar que AMD debería ofrecer alguna justificación. A su juicio, incluso una explicación limitada habría sido mejor que una serie de respuestas evasivas frente a una función que claramente dejó de comportarse como antes.

Fitzgerald planteó dos escenarios posibles. AMD pudo no haberse dado cuenta del cambio, lo que explicaría la ambigüedad de sus respuestas, o pudo haberlo hecho deliberadamente y estar intentando evitar el costo reputacional de admitirlo.

También señaló cuál habría sido una salida razonable. Según dijo, la empresa al menos pudo haber indicado que TSME nunca debió estar soportado en consumo y que ciertos firmwares lo habilitaron por error, si ese fuera realmente el caso.

Hasta ahora, sin embargo, AMD solo ha dicho por correo electrónico que TSME “es una característica de seguridad aplicada únicamente a CPUs PRO como parte de las tecnologías PRO de AMD”. Esa declaración es, según la fuente, la primera vez conocida que la empresa hace pública de forma explícita esa restricción.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados