手指一按，灯一亮，盘符弹出来，你以为门锁上了。其实你只是开了盏台灯的开关——盘里真正该锁东西的地方，连门都没有。
这个11月最"硬件安全"的新闻，可能就是一次拆解。 安全研究员 Xusheng Li 把联想 ThinkPlus FU100"指纹加密U盘"撬开了：金属外壳里焊着的，是一张普通 microSD 卡，跟相机里三十块钱一张的那种没区别，卡里的数据一个字节都没加密。商品页上写的"AES-256 硬件加密"，在电路板上根本不存在。哔哩哔哩知乎
那颗指纹到底在干嘛？它的全部工作，是控制U盘和电脑之间USB连接的通断。它回答的是"电脑能不能看见这张卡"，从来不管"卡里的数据锁没锁"。任何拿到实物的人，撬开外壳、拔卡、插进读卡器，你存的合同、证件、客户名单就全摊在人家桌面上——不用破解技术，两分钟的事。高赞评论一针见血：这是"带加密风味的普通U盘"，它保护的是你的安全感，不是你的数据。微博
时间线比漏洞更有戏。 研究员在2025年8月按流程向联想报告了"加密缺失"问题。2026年3月，他在安全会议上把拆解全程讲了个遍，台下听众的反应基本是不敢信。10月底起，相关报道被媒体密集转载，微博、知乎接连上热榜。知乎知乎哔哩哔哩微博
而厂商最早拿出的临时方案是——给SD卡糊一层环氧树脂。不加加密，先上胶水，让你拆不动。用"难拆"冒充"读不了"，障眼法写进了产品整改方案。微博知乎
而且不是孤例。同一位研究员还用AI工具辅助扫了市面上的同类"加密盘"：有厂商的加密软件几分钟就被打穿，密钥直接写死在程序里，用户密码被悄悄记进日志文件；还有设备留着后门账户，密码就是123456。知乎上流传的同类测评也在多款加密盘里发现了内置固定密钥、密码写入日志、后门账户这类毛病。"商务办公首选"的宣传词背后，是一套贴牌方案铺给好几家厂商的同一条流水线。知乎知乎
为什么明知可疑还有人买？更扎心的是：很多买它的人不是不懂，是不得不买。 单位采购的合规清单里，“加密U盘"是一个要打勾的项目，勾打上只代表"买过”，不代表"安全"。假锁比没锁更坑：没锁，你还知道把东西看紧点；假锁，你放心大胆地把所有秘密交出去。知乎
普通人怎么办？给三条实在的：
第一，别信黑盒。 敏感数据直接叠系统自带的 BitLocker/FileVault，或者开源的 VeraCrypt，密钥从你自己的口令推导——存储介质被人整个拔走也读不出内容，而且一分钱不用多花。
第二，已有的盘可以自己验。 写入一段已知内容，锁盘，在Linux下用 `dd` 加 `hexdump` 导原始块：还能看见明文，就说明根本没加密。
第三，买前看白皮书。 厂商敢不敢把密钥存在哪、谁能碰到它讲清楚？讲不清楚的，一律当它没加密。
拆一次只要两分钟，可一只盘几万个买家里，真动手拆过的有几个？这门生意靠的是心照不宣：卖家知道你不会拆，而你也确实没拆。知乎
