两百块的加密U盘，拆开是张不加密的SD卡

双 11 购物车里有指纹加密 U 盘的兄弟，先别急着付尾款。联想 ThinkPlus 的 FU100 指纹 U 盘，宣传页写着 AES-256 硬件加密，安全研究员 Xusheng Li 拆开一看，电路板上焊的就是一张普通 SD 卡，数据全程明文。指纹识别模块干的活，是决定 U 盘跟电脑通不通电，验证通过就通电，不通过就断电。拆开壳、取下卡、插上读卡器，指纹密码全绕过去，文件一览无余。

图片

这事最讽刺的地方是修复动作。研究员去年 8 月报了漏洞，联想的临时方案是往 SD 卡表面浇一层环氧树脂，意思是让你拆不动，而不是把加密补上。同系列还有个 TSD303 外置 SSD，数据倒是真加密，结果电脑请求密码时，它顺着 USB 线把正确密码明文传回去，谁监控通信谁就能拿到。后续修复版改用 SM4 算法，研究员追着调试器一看，密钥居然由一个长得像时间戳的数值生成，测试里那串 2021012700000000 能直接还原，等于钥匙就插在锁上。联想今年 1 月发了安全公告，定了高危，挂了三个 CVE 编号，FU100 用户可以打客服热线免费换新。

图片

图片

落到哥们头上就一句话：别信指纹和 AES-256 这几个字，要看数据本身在存储介质里是不是密文。真硬件加密，是文件写进颗粒前就被加密芯片处理过，拆下颗粒直读全是乱码。假加密，是数据进盘就是明文，锁的只是门把手。判断标准三条：详情页有没有写独立加密主控，多花的钱是贵在加密芯片还是指纹模块，拆解评测里直读颗粒是不是乱码。还有一个土办法，把文件存进去，换台电脑用读卡器直读一次，读得出明文就赶紧退货。有玩家算过账，一张普通 64G SD 卡几十块钱，这 U 盘卖两百多，多出来的钱买的是个带指纹的壳。另外这事不止联想一家，同批被点名的还有朗科、KakaSoft、Nexcopy、御天盾四家，固定密钥、默认密码、后门账号什么都有。

图片

所以兄弟，双 11 别为带指纹壳的明文 U 盘多花两百块。真有敏感文件，BitLocker 和文件保险箱免费又实在，先加密再进盘，永远别把隐私押在一把锁上。