Generated by Answer me with HTML 0.5.10 · 2026-11-02 08:39 · ★ Star on GitHub

聯想「加密」指紋隨身碟

精美外殼裡只是一張未加密的 SD 卡

sourceTom's Hardware／HN #50326099

Lead: 指紋辨識器只是 USB 通電開關，卡片上的資料完全沒有加密。同系列追蹤研究再揭後門帳號、寫死金鑰與明文密碼。

A

宣稱對拆解

項目	官方說法	拆解結果
加密	宣稱 AES-256 加密	卡片完全未加密
指紋辨識器	身分驗證後解密	只負責接通 USB 連線
本體	安全硬體	普通 SD 卡加外殼

B

時間線

2019 \開賣 \ThinkPlus FU100 在中國上市，主打硬體加密
2025-08 \拆解 \Xusheng Li 發現指紋只是開關，資料未加密
2026-01 \編號 \CVE-2025-13453 發布，列為 high
2026-03 \公開 \研討會演講：只是精美外殼裡的 SD 卡
2026初 \修復 \灌膠過渡，後續換貨或到府韌體升級

C

同門還有問題

裝置	缺陷	修復現況
FU100 FU200 TU800	資料未加密，指紋只當開關	中國客服換貨或到府升級
TSD303 SSD	正確密碼以明文經 USB 比對	初版修復仍可推導，2025 年底改裝置端驗證
設定軟體	本機用戶可繞過驗證註冊指紋	列入三個 CVE 之一

D

其他廠商也中獎

廠商	手法	結果
Netac	程式內寫死金鑰，日誌留密碼	約 7 分鐘攻破
KakaSoft	重建程式內部密碼	約 26 分鐘解密測試檔
Nexcopy	檢視器內建憑證解鎖金鑰	約 10 分鐘攻破
SecZure	時間旅行除錯挖出隱藏帳號	兩個弱密碼帳號

E

HN 吵的三件事

是詐欺還是漏洞：宣稱加密卻沒加密，擋箭牌會是「拆開即破壞安全功能」。
信任赤字：Superfish 舊帳被翻出，有人把聯想列入拒絕往來。
硬體加密哲學：實作正確可抗暴力破解，但前提是可稽核，而幾乎沒有硬體實作可稽核。

F

自保三招

重要資料改用 VeraCrypt 或 LUKS 等自由軟體密碼學。
記住一句話：客戶端驗證永遠不安全。
送修前備份並抹除，自行驗證安全宣稱。

---
template: sheet
theme: auto
title: 聯想「加密」指紋隨身碟
subtitle: 精美外殼裡只是一張未加密的 SD 卡
lang: zh-Hant
source: Tom's Hardware／HN #50326099
---
Lead: 指紋辨識器只是 USB 通電開關，卡片上的資料完全沒有加密。同系列追蹤研究再揭後門帳號、寫死金鑰與明文密碼。

## A 宣稱對拆解

| 項目 | 官方說法 | 拆解結果 |
|---|---|---|
| 加密 | no 宣稱 AES-256 加密 | no 卡片完全未加密 |
| 指紋辨識器 | 身分驗證後解密 | no 只負責接通 USB 連線 |
| 本體 | 安全硬體 | no 普通 SD 卡加外殼 |

## B 時間線

```timeline
2019 \| 開賣 \| ThinkPlus FU100 在中國上市，主打硬體加密
2025-08 \| 拆解 \| Xusheng Li 發現指紋只是開關，資料未加密
2026-01 \| 編號 \| CVE-2025-13453 發布，列為 high
2026-03 \| 公開 \| 研討會演講：只是精美外殼裡的 SD 卡
2026初 \| 修復 \| 灌膠過渡，後續換貨或到府韌體升級
```

## C 同門還有問題

| 裝置 | 缺陷 | 修復現況 |
|---|---|---|
| FU100 FU200 TU800 | 資料未加密，指紋只當開關 | warn 中國客服換貨或到府升級 |
| TSD303 SSD | 正確密碼以明文經 USB 比對 | warn 初版修復仍可推導，2025 年底改裝置端驗證 |
| 設定軟體 | 本機用戶可繞過驗證註冊指紋 | no 列入三個 CVE 之一 |

## D 其他廠商也中獎

| 廠商 | 手法 | 結果 |
|---|---|---|
| Netac | 程式內寫死金鑰，日誌留密碼 | 約 7 分鐘攻破 |
| KakaSoft | 重建程式內部密碼 | 約 26 分鐘解密測試檔 |
| Nexcopy | 檢視器內建憑證解鎖金鑰 | 約 10 分鐘攻破 |
| SecZure | 時間旅行除錯挖出隱藏帳號 | 兩個弱密碼帳號 |

## E HN 吵的三件事

- 是詐欺還是漏洞：宣稱加密卻沒加密，擋箭牌會是「拆開即破壞安全功能」。
- 信任赤字：Superfish 舊帳被翻出，有人把聯想列入拒絕往來。
- 硬體加密哲學：實作正確可抗暴力破解，但前提是可稽核，而幾乎沒有硬體實作可稽核。

## F 自保三招

- 重要資料改用 VeraCrypt 或 LUKS 等自由軟體密碼學。
- 記住一句話：客戶端驗證永遠不安全。
- 送修前備份並抹除，自行驗證安全宣稱。