据外媒HackingPassion报道，安全研究员Xusheng Li在对联想ThinkPlus FU100指纹识别U盘进行拆解后发现，该产品宣称的AES-256硬件加密并未实际生效，内部数据以明文形式存储于电路板上的一张SD卡中。一同被披露存在安全问题的还包括朗科、KakaSoft、Nexcopy及御天盾四家厂商的USB驱动器产品。
研究显示，FU100的指纹识别模块仅控制U盘与电脑之间的连接通断，SD卡中的文件并不受指纹识别功能保护。拥有设备物理访问权限的人可直接读取其中存储的数据。该研究员于去年8月向联想报告问题后，联想先后采取了两项措施：先是在SD卡上覆盖环氧树脂以增加拆解难度，作为临时修复方案；正式修复方案则于去年12月推出。
另一款产品ThinkPlus TSD303指纹识别外置SSD同样存在漏洞。该产品内部使用标准尺寸的M.2 SSD，数据本身经过加密，但当电脑端的联想程序请求密码时，硬盘会通过USB数据线以明文形式返回正确密码。任何能够监控通信数据或读取程序的人均可获取该密码。研究员提交报告三个月后，联想提供了测试修复版本，新版本改为发送加密数据而非明文密码。但研究员通过调试器追踪发现，该数据由SM4加密算法生成，其密钥来自一个类似时间戳的数值，测试中该密钥为2021012700000000，可通过解密工具成功还原。这意味着修复并不完整，因为程序本身能够推导出密钥，拆解程序的人同样可以做到。
联想已于2026年1月13日发布安全公告LEN-210545，将相关漏洞评级为高危，并列出三个CVE编号。其中CVE-2025-13453涉及部分ThinkPlus U盘，允许拥有物理访问权限者读取存储数据；CVE-2025-13454涉及ThinkPlus配置软件，本地已登录用户可访问设备敏感信息；CVE-2025-13455涉及配置软件，本地已登录用户可绕过设备身份验证并注册不受信任的指纹。FU100用户可拨打联想中国服务热线申请免费升级，联想将核对设备序列号后安排寄回更换或上门升级固件。针对TSD303的第二版修复方案于2025年12月推出，硬盘改为自行验证密码。
此次事件反映出硬件加密产品在实现层面与宣传规格之间可能存在显著落差。对于主打数据安全的企业级存储设备而言，加密链路的完整性与密钥管理机制是核心能力，任何环节的简化都可能导致安全承诺失效。随着监管对数据安全合规要求趋严，硬件厂商在加密实现上的透明度与可验证性将成为企业采购的重要考量。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
