Флашката на Lenovo с пръстов отпечатък се оказа обикновена SD карта

Флашката Lenovo ThinkPlus FU100, продавана като криптирана флашка с AES-256 и четец за пръстов отпечатък, всъщност пази файловете на обикновена SD карта, без никакво криптиране. Изследователят Xusheng Li показа това още в началото на годината, а на 22 октомври публикува продължение, в което с помощта на изкуствен интелект откри скрити пароли и вградени ключове в още четири „защитени“ USB продукта.

Какво имаше под пластмасата

Li отвори FU100 и откри малка платка със SD карта. Пръстът на собственика не отключва ключ за декриптиране, а само разрешава USB връзката към компютъра. Достатъчно е картата да се извади и сложи в четец, за да се видят всички файлове.

Той съобщи за проблема на Lenovo на 2 август 2025 г. Първата временна мярка е готова на 27 август и е доста буквална – слой епоксидна смола върху картата, за да е по-трудно да се извади. На 13 януари 2026 г. компанията публикува бюлетин за сигурност LEN-210545 с висока степен на опасност и три уязвимости (CVE-2025-13453, CVE-2025-13454 и CVE-2025-13455).

Засегнати са четири модела – флашките ThinkPlus FU100, FU200 и TU800 и външният SSD ThinkPlus TSD303. Според HackingPassion TSD303 наистина криптира данните, но изпращал правилната парола по USB кабела в чист вид. Първата поправка я обвила в SM4 криптиране с ключ, изведен от стойност, подобна на времеви печат, така че и тя не решава проблема докрай.

Четири продукта, разбити с помощта на AI

В новата си публикация Li, който работи по инструмента за обратен инженеринг Binary Ninja, свързва OpenAI Codex с него и анализира софтуера на още четири продукта за защита на файлове на флашки. Резултатите са обобщени в таблицата.

Скоростта е отделна новина. По думите на Li основният пропуск в Netac FileLock е открит за около седем минути с една заявка, а за Nexcopy са стигнали около десет минути и пет заявки. За тези продукти той не е уведомил производителите предварително с аргумента, че вече продадените устройства трудно могат да бъдат изтеглени или обновени и хората трябва да знаят ограниченията им.

Li нарича скритите акаунти в SecZure „задна врата“, но уточнява, че това само по себе си не доказва злонамерено намерение. Наличието на парола „123456“ обаче напомня колко често тя присъства и в класациите на най-слабите пароли.

Ако имате такава флашка

Lenovo описва своята поправка като „решение на хардуерно ниво“. Собствениците на засегнатите модели могат да заявят безплатен ъпгрейд – компанията проверява серийния номер и подменя устройството или обновява фърмуера му. Сервизната линия, посочена в бюлетина, е китайската +86 400-640-1886. Преди това направете резервно копие и форматирайте флашката.

Общият извод е по-широк от един модел. Четецът на пръстови отпечатъци или екранът за парола още не означават, че файловете са криптирани с ключ, който зависи от вас. По-сигурният подход е да криптирате данните сами, преди да ги копирате:

• В Windows 11 Pro използвайте BitLocker To Go – десен бутон върху флашката и „Включване на BitLocker“.
• На Mac форматирайте флашката като APFS (криптиран) през Disk Utility или изберете „Encrypt“ от контекстното меню във Finder.
• На всяка система работи безплатният VeraCrypt, който създава криптиран контейнер или криптира целия носител.
• Приемете, че файл, „защитен от копиране“, може да бъде прочетен от всеки, който получи флашката.

Нашата преценка. Хардуерно криптирани флашки с добра репутация съществуват, но тази история показва, че етикетът „AES-256“ върху кутията не е доказателство. Ако носите лични документи или служебни данни, софтуерното криптиране с ваша парола е по-евтино и по-проверимо решение. Повече за компоненти, памети и периферия четете в рубриката Хардуер, а актуални уязвимости в устройствата на Apple – в последния ни преглед на кръпките.