文：Tony
為了保障個人私密或機密檔案不易洩露，不少商業客戶及一般用家，都會選擇帶指紋識別器，安全性較高的隨身 USB 手指去儲存資料。不過，最近網絡安全機構 HackingPassion 於最新報告中披露，Lenovo 旗下宣稱支援 AES-256 演算法及「硬體級加密」的指紋安全隨身碟如 ThinkPlus FU100，存在嚴重造假問題。經逆向工程專家拆解後發現，該裝置內部實質上僅安裝了一張標準的 MicroSD 記憶卡，使用者儲存的資料完全未經任何加密演算法保護。只要將裝置實體拆卸並取出 MicroSD 卡，即可在一般讀卡器上直接讀取所有明文檔案。
指紋辨識僅作硬體開關：多款系列產品陷入防護失效疑雲
這項設計漏洞由知名逆向工程分析工具 Binary Ninja 開發者 Xusheng Li 揭發。他在分析 Lenovo ThinkPlus FU100 指紋隨身碟時發現，隨身碟上的指紋識別感應器實質上僅充當硬體開關，其運作機制僅為控制 USB 介面的通道導通與否，並未真正參與底層資料的加密解密運算。報告同時指出，除了 FU100 型號外，包含 FU200、TU800 以及 TSD303
等多款標榜同類功能的隨身碟產品亦存在相同問題。
官方緊急封裝補救：安全市場產品防護能力參差
事件曝光後，Lenovo 發布高風險安全通報，並推出臨時補救方案，做法是在電路板的 MicroSD 卡表面覆蓋環氧樹脂（Epoxy）進行物理封裝，藉此增加外部拆解讀取的技術門檻，同時向受影響用戶提供售後處理及免費升級服務。報告亦測試了其餘數款市售加密隨身碟，雖然部分軟體加密方案（如 NetacFileLock、KakaSoft
等）存在固定金鑰推算或組態設定檔驗證漏洞，但至少具備演算法加密過程，相比之下 Lenovo 產品未實施任何加密的設計更引發業界高度關注。
資料來源：x
