联想指纹U盘被指虚假加密：数据实为明文存储

据外媒HackingPassion本周报道，联想、朗科、KakaSoft、Nexcopy及御天盾五家厂商的USB驱动器被曝存在安全漏洞。其中一款联想指纹识别U盘宣称采用AES-256硬件加密，实际数据却以明文形式存储在SD卡中。

IT之家从原报道获悉，研究员Xusheng Li去年拆解联想ThinkPlus FU100指纹识别U盘后发现，该产品内部电路板上装有一张SD卡，卡内数据完全明文存储，未做任何加密处理。指纹识别器实际只控制U盘与电脑之间的连接通断，卡内文件并不受指纹识别功能保护。

该研究员于去年8月向联想报告问题。联想随后准备了临时修复方案，在SD卡上覆盖一层环氧树脂，以增加拆卸难度；正式修复方案于去年12月推出。

联想ThinkPlus TSD303指纹识别外置SSD同样存在漏洞。该产品内部使用标准尺寸的M.2 SSD，数据确实经过加密，但当电脑端的联想程序请求密码时，硬盘会通过USB数据线以明文返回正确密码。任何能够监控通信数据或读取程序的人，都可以获取该密码。

研究员提交漏洞报告三个月后，联想提供了测试修复版本。新版本中硬盘不再发送明文密码，改为发送加密数据。研究员最初判断这可能是密码的哈希值，随后通过调试器追踪数据来源，最终发现其来自SM4加密算法。这是一种与AES类似的分组密码算法，密钥由一个看似时间戳的数值生成。测试中该密钥为2021012700000000，可通过解密工具成功还原。这意味着联想的修复并不完整，因为程序本身能够推导出密钥，拆解程序的人同样可以做到。

联想已于2026年1月13日发布安全公告LEN-210545，漏洞评级为高危，并列出三个CVE编号：CVE-2025-13453，部分ThinkPlus U盘存在漏洞，拥有设备物理访问权限的人可读取其中存储的数据；CVE-2025-13454，ThinkPlus配置软件存在漏洞，本地已登录用户可访问设备敏感信息；CVE-2025-13455，配置软件存在漏洞，本地已登录用户可绕过设备身份验证并注册不受信任的指纹。

FU100指纹识别U盘用户可拨打联想中国服务热线+86 400-640-1886申请免费升级。联想将核对设备序列号，安排用户寄回设备进行更换，或由工作人员上门升级固件。针对TSD303的第二版修复方案已于2025年12月推出，在该版本中硬盘会自行验证密码。