AMD TSME 논란의 핵심은 “소비자용 CPU에서 보안 기능 하나가 빠졌다”는 데서 끝나지 않는다. 더 중요한 문제는 사용자가 메모리 암호화 기능이 실제로 지원되고 활성화됐는지 확인하기 어렵다는 점이다.
TSME가 필요한 환경이라면 CPU 이름이나 BIOS 옵션만 보고 판단해서는 안 된다. SKU, 메인보드 펌웨어, AGESA 버전, 실제 부팅 후 상태까지 확인해야 한다.
TSME가 하는 일
TSME는 Transparent Secure Memory Encryption의 약자다. 부팅 과정에서 AMD Secure Processor가 임시 키를 만들고, 이 키로 시스템 DRAM 전체를 암호화한다.1 암호화 키는 실리콘 밖으로 나가지 않는다.2
이 방식의 목적은 분명하다. 콜드부트 공격이나 DMA 기반 RAM 추출 공격이 발생해도 공격자가 평문 데이터를 가져가는 대신 암호화된 바이트만 보게 만드는 것이다.2
사용자 입장에서는 “투명한” 기능에 가깝다. 운영체제나 애플리케이션이 데이터를 따로 암호화하도록 수정할 필요가 없고, 펌웨어 단계에서 켜지면 시스템 메모리 전체에 적용된다. 성능 부담도 크지 않은 편으로, Phoronix의 PRO 395 테스트에서는 AMD Memory Guard의 비용이 약 2% 수준으로 언급됐다.2
지원과 활성화는 다르다
TSME를 이해할 때 가장 중요한 구분은 “실리콘이 기능을 지원하는가”와 “현재 시스템에서 실제로 켜져 있는가”다.
Linux의 /proc/cpuinfo에서 sme CPUID 플래그가 보이면, 해당 실리콘이 SME 계열 기능을 지원한다는 신호로 볼 수 있다.2 하지만 이것만으로 메모리 암호화가 활성화됐다고 판단할 수는 없다.
실제 활성화 여부는 더 낮은 수준의 상태를 봐야 한다. 예를 들어 MSR_AMD64_SYSCFG의 23번 비트가 0이면 BIOS가 SME를 활성화하지 않았다는 의미로 설명된다.2 또한 Linux는 사용자 공간이나 커널 명령줄에서 이 SME 활성화 비트를 직접 설정할 수 없다고 설명된다.2
즉, “CPU가 지원하니 OS에서 켜면 되겠지”라는 접근은 통하지 않는다. TSME 활성화는 펌웨어가 담당한다. BIOS에 관련 항목이 있더라도, 최종적으로 해당 조합에서 실제로 켜졌는지는 별도로 확인해야 한다.
왜 소비자용 Ryzen에서 논란이 됐나
최근 보고된 사례들은 이 차이를 잘 보여준다. Ben Kilpatrick은 Ryzen 7 9700X 시스템에서 HSI가 “Encrypted RAM: Not supported”를 표시했다고 보고했다.3 관련 이슈에서는 BIOS 옵션이나 커널 옵션이 실제 활성화로 이어지지 않는 상황도 언급됐다.3
AMD는 이메일 답변에서 TSME가 AMD PRO Technologies의 일부이며 PRO CPU에만 적용되는 보안 기능이라고 밝혔다.4 테스트 결과도 이 설명과 맞물린다. PRO 버전 Ryzen CPU는 MSI 및 Gigabyte 메인보드와 여러 AGESA 버전에서 TSME를 지원한 반면, 소비자용 Ryzen은 MSI 테스트에서 AGESA 1.2.7.0 사용 시 TSME가 “not supported”로 표시됐다.4
따라서 이 문제는 단순히 BIOS 메뉴 하나의 유무가 아니다. 소비자용 Ryzen과 PRO Ryzen 사이에서 보안 기능의 적용 범위가 달라질 수 있고, 그 차이가 사용자가 기대한 방식으로 명확히 드러나지 않을 수 있다는 점이 논란의 본질이다.
사용자가 확인해야 할 것
민감한 키, 업무 데이터, 노드 운영 환경처럼 메모리 추출 공격까지 고려해야 하는 PC라면 “Ryzen이면 된다”는 식으로 판단하면 안 된다.
확인 기준은 더 구체적이어야 한다.
사용 중인 CPU가 PRO SKU인지
메인보드 BIOS가 TSME 활성화를 제공하는지
AGESA 버전에 따라 동작이 달라지지 않는지
부팅 후 HSI나 MSR 상태에서 실제로 활성화됐는지
TSME 설정은 OEM에 제공되는 AMD CBS 레퍼런스 코드의 표준 항목으로 언급되지만,2 최종 노출 여부와 활성화 여부는 사용자가 접하는 시스템 구성에 따라 달라질 수 있다. 결국 중요한 것은 스펙표나 BIOS 문구가 아니라 부팅 후 실제 상태다.
AMD TSME 논란이 주는 실질적인 교훈은 명확하다. 보안 기능은 “지원”보다 “검증”이 중요하다. 특히 메모리 암호화처럼 펌웨어와 CPU SKU에 묶인 기능은 구매 전후에 실제 활성화 여부를 확인해야 한다.
1AMD Secure Encrypted Virtualization (SEV)
2BIOS feature request: AMD Memory Guard (TSME) - Framework Community
3TSME/SME not activating on Ryzen 7 9700X · GitHub
4Users cry foul after AMD stripped memory crypto from its consumer CPUs
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.