联想指纹U盘翻车：宣称加密实际明文存储

IT之家 11 月 1 日消息，据外媒 HackingPassion 本周报道，联想、朗科、KakaSoft、Nexcopy 及御天盾五家厂商的 USB 驱动器被发现安全漏洞。其中一款联想的指纹识别 U 盘宣称使用 AES-256 硬件加密，但实际上数据明文存储于 SD 卡。

IT之家从原报道获悉，研究员 Xusheng Li 去年拆解联想 ThinkPlus FU100 指纹识别 U 盘后发现，这款产品的内部电路板上装着一张 SD 卡，内部数据完全明文存储、没有任何加密。指纹识别器实际上只决定 U 盘是与电脑连接的通断，卡中的文件并不受指纹识别功能保护。

这名研究员去年 8 月向联想报告问题后，联想准备了一个临时修复方案：往 SD 卡上覆盖一层环氧树脂，增加拆下的难度，正式修复方案则是在去年 12 月推出。

同时，联想 ThinkPlus TSD303 指纹识别外置 SSD 也存在漏洞。该产品内部使用了标准尺寸的 M.2 SSD，数据确实经过加密。然而当电脑的联想程序请求密码时，硬盘会通过 USB 数据线明文返回正确密码。任何能监控通信数据或是读取程序的人，都可以获得到密码。

研究员提交漏洞报告三个月后，联想发来测试修复版本。新版本中硬盘不再发送明文密码，而是发送加密数据。研究员最初认为这可能是密码的哈希值，随后通过调试器追踪这段数据的来源。最终发现，它来自 SM4 加密算法。这是一种与 AES 类似的分组密码算法，其密钥则由一个看起来像时间戳的数值生成。

在测试中，该密钥为 2021012700000000，能够通过解密工具成功还原。这代表着联想的修复并不完整，因为程序本身能够推导出密钥，拆解程序的人同样可以做到这一点。

此外，联想已在 2026 年 1 月 13 日发布安全公告 LEN-210545，漏洞评级为高危，列出了三个 CVE 编号：

• CVE-2025-13453：部分 ThinkPlus U 盘存在漏洞，能够让拥有设备物理访问权限的人读取其中存储的数据。
• CVE-2025-13454：ThinkPlus 配置软件存在漏洞，本地已登录用户可以访问设备敏感信息。
• CVE-2025-13455：配置软件存在漏洞，本地已登录用户可以绕过设备身份验证，并注册不受信任的指纹。

FU100 指纹识别 U 盘用户应拨打联想中国服务热线 +86 400-640-1886，申请免费升级。联想会核对设备序列号，安排用户寄回设备进行更换，或由工作人员上门升级固件。

针对 TSD303 的第二版修复方案于 2025 年 12 月推出。在这一版本中，硬盘会自行验证密码。