如果你买过联想的一款 " 指纹加密 U 盘 "，那你可要注意了，最近有科技媒体爆料，这款宣称使用 AES-256 加密技术的联想 U 盘，居然可以绕过所谓 " 指纹加密 "，拆掉 U 盘外壳，就可以取出里面的 TF 卡，并直接读取数据！

下图是被安全研究员 Xusheng Li 拆开外壳的联想 FU100 指纹加密 U 盘，一张可以直接插拔的 TF 存储卡明晃晃地映入眼帘。

既然都能明文读取存储卡的数据了，那么官方宣传的 AES-256 加密，究竟加到哪里了呢？

据说后续联想紧急召回 / 修复了这一错误，却是是这样修复的——用环氧树脂裹住 TF 卡槽，使它没那么容易被拆下来。如下图，左侧的 U 盘应该是支持 C+A 双口的 FU100 PRO 版本，环氧树脂里面包裹的大概率不是我们原本以为的芯片颗粒，而是和 FU100 类似的 TF 卡 + 卡槽结构。

怎么说呢，这就像给保险柜装了一把隐藏式指纹拉手，指纹识别只负责弹出拉手，但是柜门并没有锁，不弹出拉手，直接想办法把保险柜门从 " 门框上 " 分离一点就能直接打开，拿走里面的财物。

真正的指纹加密 U 盘，起码得是带独立 AES 硬件引擎的安全主控或 SE 安全芯片 + NAND 闪存颗粒 + 指纹传感器的构造，其中指纹模板、加密密钥都锁在安全芯片内部，密钥不会传到电脑、也不会通过 USB 明文发送，密钥或指纹识别校验都在 U 盘内部完成，才能保证被加密的数据不会被轻易窃取（数据防物理拆读）。

而且这样的 U 盘，应该会涉及防暴力重试，比如一旦多次指纹识别失败，立即清零密钥，U 盘数据永久不可解密（较低安全级别的只做验证锁定）。靠谱点的，应该通过 FIPS 140、国密二级 GM/T 等权威认证。

此外，指纹不能是唯一的 " 保险密码 "，而是要有独立的 PIN 来兜底。

指纹只控制通断、SD 卡裸存明文、猫腻被拆穿后第一时间往上糊树脂……联想这波操作真是把信息差玩到了极致，就欺负你普通用户没能力或者没工夫深究其加密原理！

这不由得让人想起一个经典：" 让我们看看里面是什么颗粒？"

在我看来，和消费欺诈已经没色什么区别了，就是不知道消费者能不能告得赢。

最后我想说，真正专业的人，应该不在指纹 U 盘里固定存储涉密文件。

但如果联想有意把这样的假加密 U 盘卖给某个涉及信息保密的机构，事情的结果肯定很严重。

而你作为普通用户，真不应该交这样的智商税。

我是笔点酷玩，希望我的分享可以给你一些启发和参考，我们下期再会。

#U 盘加密 #