HN 383 分、136 則留言（2026-11-02 抓取）。指紋辨識器只是 USB 通電開關，卡片上的資料完全沒有加密。
事件經過
資安研究員 Xusheng Li（Binary Ninja 核心開發者，Vector 35）發現，聯想 ThinkPlus FU100 的指紋辨識器只負責接通 USB 連線，資料存在一張未加密的 SD 卡上。聯想把這款產品以 AES-256 加密儲存的名義，主打資料安全。（據 HackingPassion 報導，Tom’s Hardware 轉述。）
李在三月研討會演講中稱 FU100「只是精美外殼裡的一張 SD 卡」，有實體接觸就能輕易讀取資料。他的心得之一是：「『硬體安全』可能純屬行銷。」
他二〇二五年首度分析 FU100；過渡性修補是把卡片用環氧樹脂覆蓋。聯想在二〇二六年初針對 FU100、FU200、TU800 隨身碟以及 TSD303 SSD 發布後續修復，使用者須撥打中國客服專線，送回換貨或安排到府韌體升級。聯想建議先備份資料，送修前務必抹除隨身碟。
聯想把這份通報的嚴重性列為 high。三個 CVE 之一涉及設定軟體：本機已登入的使用者可繞過裝置驗證、註冊不受信任的指紋。
研究另在聯想 TSD303 外接 SSD 發現不同缺陷：資料雖有加密，但隨身碟把正確密碼以明文經 USB 傳給軟體比對，容易被側錄。初版修復在通報三個月後到來，改用時間戳衍生金鑰做分組加密——但聯想的軟體可自行推導出金鑰，經分析即可破解，裝置失竊仍無保護。二〇二五年底的後續修復，改由隨身碟自行驗證輸入密碼，正確密碼不再離開裝置。
同一套 SDK 涵蓋其他廠商九款裝置：多數可被有技術的攻擊者挖出密碼，兩款把資料未加密存在 microSD 卡。李的投影片遮住了廠商完整名單。
李用 OpenAI 的 Codex，搭配雇主的逆向工程工具，檢視其他廠商的保護機制：Netac（朗科）工具約七分鐘攻破——Codex 在程式內找到寫死的金鑰，並在診斷日誌裡找到使用者密碼。
防拷設計本意是讓收件者可看檔、不可拷貝。KakaSoft 的 USB Copy Protection，用程式產生的內部密碼，Codex 未用使用者密碼、約二十六分鐘重建密碼並解密測試檔。Nexcopy 的 Copy Secure 約十分鐘攻破，金鑰由檢視器 App 內建憑證解鎖。
另以時間旅行除錯（沿時間軸追蹤、逐步執行）在 SecZure 禦天盾發現兩個弱密碼隱藏帳號。李表示不宜逕自推斷惡意意圖。
李未通知 KakaSoft、Nexcopy、SecZure，理由是已落入攻擊者手中的隨身碟難以召回或更新。他說「客戶端驗證永遠不安全」，建議使用者自行驗證安全宣稱。截至三月演講時，Netac 尚未發布修補。
正面案例是一款開源隨身碟：同樣用 microSD 卡卻正確加密——金鑰由使用者密碼衍生，單讀卡片什麼也拿不到。
HN 網友怎麼看
一、這不是漏洞，是詐欺
網友 @charles_f 的開場，定義了整串基調：
「我不確定 Codex 在這案子幫上了什麼忙，如果需要的只是打開隨身碟、把 SD 卡插進電腦。聯想在這之後還能被信任去打造安全硬體，這太瘋狂了。到這個地步它已經不是漏洞了。」
@hosteur 補刀：「所以基本上就是詐騙？」@nik282000 預測企業現實：「他們只會主張打開裝置就破壞了安全功能。」@ryandrake 把層級拉高：大企業賣假貨在美國幾乎沒有後果。
二、信任赤字：Superfish 之後就沒修好
@autoexec 貼出維基連結：「聯想已經有把他們賣的裝置加後門的歷史。」@regus：「Superfish 醜聞之後，聯想就進了我的絕不購買清單。」@ksh09 代表被背叛的期待：「我以為聯想是最可信的筆電廠之一，因為 ThinkPad 的血統。」@aucisson_masque 反問：「那你更信任哪一家？」整串沒有公認答案。
三、技術追問：為什麼不加密？
@aftbit 問了最該問的問題：「如果都要在外殼加一顆客製控制器了，為什麼不在寫入 SD 卡之前加密？」@forgotpwd16：「因為無能。」@hamburglar 給了組織病理學版本：有人以為自己在做安全產品，行銷照單全收就宣傳了。
四、威脅模型之爭
@xp84 試著緩頰：這產品防的是室友或小孩，不是國家級對手。@nkrisc 一句打穿：「那它為什麼說自己是加密的，實際上卻不是？」
五、硬體加密到底有沒有意義
@matheusmoreira 主張用自由軟體密碼學就好。@gruez 反駁：實作正確時硬體加密可抗暴力破解，這是軟體做不到的。@close04 回以整串最務實的一句：「『正確』是個很大的前提。幾乎沒有硬體實作是可稽核的。」@jwr：「我一直說無法驗證的裝置內加密是無用的。」
六、正反分歧一覽
| 面向 | 正方 | 反方 |
|---|---|---|
| 法律定性 | 詐欺／廣告不實，應有產品責任 | 實務上不會有事，大企業戴著天鵝絨手套 |
| 聯想是否可信 | ThinkPad 血統仍有基本信任 | Superfish 後已列拒絕往來 |
| 威脅模型 | 防室友定位下仍有價值 | 宣稱加密卻沒加密就是詐欺 |
| 硬體加密意義 | 抗暴力破解、災難復原無可替代 | 幾乎不可稽核，直接用 VeraCrypt／LUKS |
自保三招
一、重要資料改用 VeraCrypt 或 LUKS 等自由軟體密碼學。二、記住李的那句話：客戶端驗證永遠不安全。三、送修前備份並抹除，自行驗證安全宣稱。
來源
- Tom’s Hardware 原文（經 Mezha 轉述）：Lenovo fingerprint USB drive stored data unencrypted
- HN 討論串：https://news.ycombinator.com/item?id=50326099
- Reddit 原帖：https://www.reddit.com/r/technology/comments/1xl2pr3/lenovos_encrypted_fingerprint_usb_drive_is_just/
譯註（非原文）：研究者姓名僅見羅馬拼音 Xusheng Li，未見官方漢字寫法，本文不硬翻；Netac 為朗科；CVE-2025-13453 指 FU100 系列通報編號。