联想ThinkPlus指纹U盘被曝实为明文SD卡，AES-256加密宣传系虚假标注

联想ThinkPlus系列指纹识别U盘近期被曝出严重安全缺陷：一款标称采用AES-256硬件加密的FU100型号，实际内部仅封装了一张普通SD卡，数据以明文形式存储，完全未加密。安全研究员Xusheng Li在2025年3月的一场技术会议上公开指出，该产品“不过是套了精美外壳的SD卡”，其指纹识别模块仅用于开关USB连接通路，对存储内容无任何保护作用。

据Li披露，他在2025年8月向联想提交漏洞报告后，厂商最初采取的临时措施是在SD卡表面覆盖环氧树脂胶层，试图增加物理拆解难度；正式修复版本则于2025年12月推出，涉及FU100、FU200、TU800三款U盘及TSD303外置SSD。用户需拨打中国服务热线+86 400-640-1886申请免费更换或上门固件升级，联想明确建议用户备份数据并提前擦除设备——这一流程本身即暴露了原始设计的脆弱性。

更值得警惕的是，联想对TSD303外置SSD的修复同样存在隐患。该产品虽采用标准M.2 SSD并启用加密，但早期固件中，当配套软件向硬盘请求密码时，设备会通过USB接口以明文形式返回密码。任何具备基础逆向能力者均可截获该密码。尽管联想在三个月后推送测试版固件，将明文传输改为加密数据，Li通过调试器进一步追踪发现，该“加密数据”实为SM4算法输出，而其密钥由固定时间戳（如2021012700000000）生成，可被轻易还原。这意味着攻击者无需物理接触设备，仅通过分析客户端程序即可推导出解密密钥。

2026年1月13日，联想正式发布安全公告LEN-210545，将相关漏洞评级为“高危”，并分配三个CVE编号：

• CVE-2025-13453：部分ThinkPlus U盘存在物理访问即可读取数据的漏洞；
• CVE-2025-13454：配置软件存在本地提权风险，已登录用户可访问敏感信息；
• CVE-2025-13455：配置软件允许绕过身份验证，注册非授权指纹。

值得注意的是，此次事件并非孤立个案。Li在AI辅助分析下进一步发现，朗科、KakaSoft、Nexcopy及御天盾等其他四家厂商的“加密”U盘也存在类似问题，包括硬编码密钥与后门账户。这反映出行业对“硬件加密”概念的滥用已形成系统性风险——营销话术中的“AES-256硬件加密”往往仅指代芯片支持该算法，而非实际启用加密逻辑。

从技术实现角度看，真正的硬件级加密U盘应集成专用加密控制器（如Secure Element或TPM兼容芯片），在数据写入前实时加密，并确保密钥永不暴露于主机环境。而FU100所用方案仅依赖主控芯片的通用功能，指纹模块仅作为机械开关使用，连基本的认证逻辑都未实现。这种设计成本极低，却能支撑高价销售——有渠道信息显示，该产品零售价曾达399元，远高于同容量普通U盘。

行业专家指出，此类产品问题根源在于供应链分工模糊与质量监管缺位。OEM厂商常将外壳、指纹模组、主控芯片分别采购组装，缺乏统一安全架构设计。当营销部门要求“必须支持指纹+AES加密”时，工程团队可能仅在固件中添加一个“加密开关”标识，而实际逻辑为空。消费者误以为“带指纹=安全”，实则陷入“伪加密”陷阱。

值得补充的是，此类漏洞对政企用户构成真实威胁。许多单位采购加密U盘用于传递涉密文档或备份关键数据，若设备本身无加密能力，一旦遗失即等同于数据裸奔。2025年国内某省级政务云项目审计中，即发现批量采购的同类U盘存在相同问题，最终被迫全部召回。

目前，联想已启动第二轮修复：针对TSD303的2025年12月版固件使硬盘独立完成密码校验，不再依赖主机程序。但安全社区普遍认为，除非彻底重构硬件架构并引入可信执行环境（TEE），否则此类产品难以达到真正意义上的“硬件加密”标准。

在消费电子领域，“安全”正成为高频营销词，但缺乏第三方认证与透明测试机制的产品极易误导用户。中国信息安全测评中心近年已推动《安全U盘技术规范》草案，要求厂商公开加密流程、提供密钥管理说明，并强制进行FIPS 140-2 Level 2级第三方检测。然而，市场主流产品仍未普遍达标。

对于已购用户，除联系联想升级外，唯一可靠做法是避免将敏感数据存入此类设备。真正的数据安全不能依赖单一硬件特性，而需结合全盘加密（如BitLocker）、访问控制与定期审计构成纵深防御体系。当厂商把“指纹”当作安全卖点时，用户更应追问：数据是否真被加密？密钥如何生成与保管？——这些问题的答案，往往藏在拆开外壳后的电路板上。