Lenovo ar fi vândut un stick USB cu amprentă care nu cripta deloc datele stocate pe el

Un stick USB Lenovo promovat ca dispozitiv de stocare cu criptare AES-256 putea fi accesat fără nicio protecție reală a datelor. Analiza unui cercetător în securitate informatică a arătat că modelul ThinkPlus FU100 ascundea în carcasă un simplu card microSD, iar cititorul de amprentă nu cripta informațiile, ci doar permitea activarea conexiunii USB.

Investigația a scos la iveală și alte probleme în produse de stocare comercializate drept sigure. O analiză ulterioară, realizată cu ajutorul AI, a identificat conturi de acces ascunse în dispozitivul unui alt producător și chei de criptare introduse direct în software-ul unor produse similare. Cazurile ridică semne de întrebare privind securitatea reală oferită de unele dispozitive care se bazează pe autentificare biometrică sau criptare hardware, scrie tomshardware.com.

Cititorul de amprentă nu proteja efectiv datele de pe stickul Lenovo

Cercetătorul în securitate Xusheng Li a analizat modelul Lenovo ThinkPlus FU100, comercializat cu funcții de protecție biometrică și criptare AES-256. În interiorul carcasei a găsit însă un card microSD obișnuit, fără criptarea promisă. Cititorul de amprentă avea un rol mult mai simplu: permitea conectarea dispozitivului la portul USB după verificarea amprentei.

Cu alte cuvinte, amprenta nu debloca o zonă de stocare criptată, ci doar activa conexiunea. Datele rămâneau neprotejate pe card, ceea ce însemna că o persoană care obținea acces fizic la dispozitiv putea ajunge la informații fără să treacă prin mecanismul biometric.

Li a descris produsul drept „un card SD într-o carcasă elegantă”, într-o prezentare susținută în luna martie. Cercetătorul a atras atenția și asupra unui risc mai larg: securitatea hardware poate deveni doar un argument de marketing dacă mecanismele tehnice din interior nu oferă protecția promisă.

Lenovo a lansat remedieri, dar procedura presupune intervenția companiei

Problema modelului FU100 nu era nouă. Analiza inițială a fost realizată în anul precedent, iar una dintre soluțiile temporare a constat în acoperirea cardului cu rășină epoxidică, pentru a îngreuna accesul fizic la acesta.

La începutul acestui an, Lenovo a publicat o remediere pentru modelele FU100, FU200 și TU800, precum și pentru SSD-ul extern TSD303. Procedura presupune însă contactarea unui serviciu de asistență din China. În funcție de situație, proprietarii trebuie fie să trimită dispozitivele pentru înlocuire, fie să solicite o actualizare de firmware la fața locului.

Vezi și:

Lenovo intră într-o nouă zonă cu primul său Googlebook: laptopul de 15 inch vine cu funcții AI și ecran OLED

AI-ul din companii începe în camera serverelor, nu în chatbot. Lenovo lansează ThinkAgile VX850 V4 și noi servicii pentru infrastructura virtualizată

Compania recomandă realizarea unei copii de siguranță înainte de intervenție și indică ștergerea datelor de pe dispozitiv înainte de expedierea acestuia. Procedura poate fi incomodă, mai ales pentru cei care folosesc aceste produse pentru păstrarea unor informații importante.

Lenovo a evaluat gravitatea vulnerabilităților ca fiind ridicată. Una dintre cele trei vulnerabilități CVE menționate în avertisment privește software-ul de configurare și ar putea permite unei persoane autentificate local să ocolească verificarea dispozitivului și să înregistreze o amprentă neautorizată.

SSD-ul Lenovo TSD303 avea criptare, dar parola putea fi interceptată

Investigația lui Xusheng Li a identificat o problemă diferită și la SSD-ul extern Lenovo TSD303. În acest caz, datele erau într-adevăr criptate, însă mecanismul de autentificare avea o vulnerabilitate importantă: dispozitivul transmitea parola corectă prin USB, în format text simplu, pentru ca software-ul să o compare cu cea introdusă.

Astfel, cineva care putea monitoriza comunicația dintre SSD și computer avea posibilitatea să captureze parola. Prima remediere a apărut la trei luni după raportarea problemei și folosea un cifru bloc, cu o cheie derivată dintr-o valoare asemănătoare unui marcaj temporal. Totuși, software-ul Lenovo putea calcula acea cheie, iar analiza lui putea permite recuperarea mecanismului de protecție. Prin urmare, soluția nu oferea siguranță suficientă în cazul furtului dispozitivului.

O actualizare ulterioară, lansată spre sfârșitul anului trecut, a schimbat metoda de verificare: SSD-ul compară direct parola introdusă, fără să o mai transmită către computer.

Analiza extinsă a găsit probleme și la alte dispozitive de stocare

Cercetarea nu s-a limitat la produsele Lenovo. Același kit de dezvoltare software folosit pentru dispozitivul TSD303 era utilizat și de alte nouă produse provenite de la mai mulți producători. Cele mai multe puteau dezvălui parolele în anumite condiții, iar două dintre ele păstrau datele necriptate pe carduri microSD.

O analiză ulterioară, asistată de AI, a identificat și conturi de acces ascunse în produsul unui alt producător, precum și chei de criptare introduse direct în alte dispozitive prezentate drept sigure. Numele companiilor nu au fost făcute publice în prezentarea cercetătorului.

Cazurile arată că prezența unui cititor de amprentă, a unei parole sau a unei mențiuni precum AES-256 pe ambalaj nu garantează automat protecția informațiilor. Pentru a evalua securitatea unui dispozitiv de stocare contează modul în care sunt implementate criptarea și autentificarea, dar și felul în care sunt gestionate cheile și comunicațiile cu computerul.

De ce TollRo ar putea aduce noi scumpiri pentru români. Cu cât pot crește prețurile după majorarea costurilor de transport