El USB de huellas dactilares “cifrado” de Lenovo no es más que una tarjeta SD sin cifrar dentro de una carcasa

Artículo original ↗ Discusión en Hacker News ↗

La unidad USB de huellas dactilares Thinkplus FU100 de Lenovo ha quedado expuesta como poco más que una tarjeta SD sin cifrar detrás de un interruptor de alimentación controlado por huella, lo que ha provocado acusaciones de fraude directo y no solo de una implementación defectuosa. Los comentaristas usan el caso para subrayar el escepticismo general hacia el hardware “seguro” y opaco —desde memorias con huella hasta unidades con autocifrado y el depósito de claves de BitLocker— y sostienen que el cifrado auditable basado en software (a menudo combinado con elementos seguros) suele ser mucho más fiable. El incidente también reaviva las preocupaciones sobre las prácticas de seguridad pasadas de Lenovo e ilustra cómo muchos productos de seguridad empresariales y regulatorios existen principalmente para cumplir con requisitos de cumplimiento más que para ofrecer protección real.

Naturaleza del problema del USB “cifrado” de Lenovo

  • Resulta que el USB de huellas dactilares “cifrado” es una carcasa con una tarjeta SD normal en su interior; el módulo de huellas solo controla la alimentación/conexión USB, no cifra los datos.
  • Algunos señalan que es peor que una implementación criptográfica defectuosa, porque en la práctica no ofrece seguridad alguna aunque se comercialice como seguro.
  • Cronología mencionada: producto anunciado alrededor de 2019, fallo encontrado en 2025, CVE emitido en 2025, charla pública en 2026.
  • Varios comentaristas lo ven como fraude más que como un simple error; otros admiten incompetencia sumada a una cultura de cumplir requisitos mínimos.

Confianza en dispositivos con cifrado por hardware

  • Muchos desconfían de las unidades USB con cifrado por hardware y prefieren soluciones de software (VeraCrypt, LUKS, BitLocker) sobre medios genéricos.
  • Los dispositivos por hardware se ven como:
    • Opacos y difíciles de auditar.
    • A menudo mal implementados (puertas traseras, aleatoriedad débil, claves codificadas de forma fija).
    • Un único punto de fallo (si falla el controlador, se pierden los datos).
  • Algunos sostienen que el hardware + elementos seguros puede ser más fuerte frente al fuerza bruta y más usable (PIN cortos, biometría, bloqueos), especialmente para personas no expertas.
  • Otros subrayan que “implementado correctamente” es un requisito enorme y rara vez cumplido.

Biometría y unidades con huella dactilar

  • Las USB protegidas por huella dactilar son criticadas:
    • Es probable que el atacante tenga tanto el dispositivo como una muestra de huella en él.
    • Los sensores biométricos y controladores suelen ser cajas negras no auditables.
  • Se sugieren mejores patrones: criptografía por software con claves almacenadas en un pequeño módulo de seguridad de hardware (TPM, secure enclave, FIDO/YubiKey) en lugar de en la propia unidad.

Empresa, cumplimiento normativo y casos de uso

  • En entornos regulados o gubernamentales, este tipo de dispositivos a menudo se exige para “marcar casillas de cumplimiento”, no necesariamente para ofrecer seguridad robusta.
  • Algunas organizaciones usan productos USB con teclado/lista blanca para simplificar la aplicación de políticas y la recuperación ante desastres, aunque sigan prefiriendo FDE por software para el uso diario.

Lenovo y la confianza en los proveedores

  • Se citan incidentes de seguridad anteriores de Lenovo (por ejemplo, malware preinstalado, credenciales codificadas de forma fija) como motivos para desconfiar de sus productos de seguridad.
  • Sentimiento más amplio: no se puede confiar plenamente en el hardware de ningún proveedor de PC; como mucho, los usuarios minimizan la confianza y dependen de criptografía de software abierta y verificable.

Preocupaciones legales, éticas y de mercado

  • Varios comentaristas preguntan por qué una publicidad tan engañosa no es ilegal y dudan de que Lenovo sufra consecuencias.
  • Algunos señalan que el producto parece venderse principalmente en China, especulando que allí es más fácil la tergiversación dirigida por región.

Discusión meta

  • Hilos secundarios tratan sobre ingeniería inversa asistida por IA, patrones de escritura parecidos a los de la IA (puntos y coma en subtítulos) y la frustración con enlaces de Reddit frente a fuentes directas.