NuAxi半导体贸易情报

联想ThinkPlus FU100指纹U盘被曝SD卡数据未加密，拆开外壳即可绕过指纹识别读取数据，联想已就FU100、FU200、TU800及TSD303发布修复方案并将公告严重程度评为高

发生了什么

据Tom's Hardware报道，安全研究人员发现联想宣称采用AES-256加密的ThinkPlus FU100指纹U盘，内部SD卡数据实际未加密，拆开外壳即可绕过指纹识别读取数据。研究员Xusheng Li去年拆解FU100并于今年3月在会议上公布结果，发现指纹识别仅控制USB连接，数据以明文保存，他将该产品形容为"装在花哨外壳里的SD卡"。联想随后针对FU100、FU200、TU800 U盘及TSD303移动固态硬盘发布修复方案，用户需拨打中国服务热线选择寄回更换或等待现场固件升级，联想建议提前备份数据并强烈建议寄回前擦除数据；联想将安全公告严重程度评为"高"，公告中三个漏洞之一与配置软件有关，可能允许已登录的本地用户绕过设备认证录入未经授权指纹。Li另在TSD303上发现漏洞：数据虽经加密，但硬盘此前会通过USB以明文发送正确密码供软件比对，密码可能被截获；首个修复在漏洞报告约三个月后推出，但所用加密密钥可由类似时间戳的数值推导，去年晚些时候的后续修复改为硬盘自行校验密码。报道还称同一SDK被多家厂商另外九款设备使用，可能泄露密码；另有两款设备将未加密数据存于microSD卡。Li使用OpenAI编程工具Codex在约7分钟内攻破朗科一款工具（内置固定密钥且密码写入诊断日志，截至今年3月朗科未发补丁，报道未说明现是否修复），约26分钟重建KakaSoft USB Copy Protection密码并解密测试文件，Nexcopy的Copy Secure约10分钟被攻破；Li还在SecZure的YutianDun中发现两个密码简单的隐藏账户，称其为"后门"但报道称不能据此认定厂商恶意。Li未提前向KakaSoft、Nexcopy或SecZure通报，并表示已流入攻击者手中的U盘难以召回或更新；他还举出一款正确实现加密并通过用户密码生成密钥的开源U盘作为正面案例。