联想的“加密”指纹 USB 其实只是装在外壳里的未加密 SD 卡

联想“加密”USB 问题的性质

• 所谓“加密”的指纹 USB，实际上只是一个外壳，里面放着一张普通 SD 卡；指纹模块只负责控制 USB 供电/连接，数据本身并没有加密。
• 有人指出，这比一个有缺陷的加密实现还糟，因为它实际上根本没有安全性，却被宣传为安全产品。
• 提到的时间线是：产品大约在 2019 年发布，漏洞在 2025 年被发现，2025 年发布 CVE，2026 年公开演讲披露。
• 一些评论者认为这更像欺诈，而不是普通漏洞；另一些人则认为这可能是无能加上“只为过审”的文化所致。

对硬件加密设备的信任

• 许多人不信任硬件加密 U 盘，更倾向于在普通介质上使用软件方案（VeraCrypt、LUKS、BitLocker）。
• 硬件设备被认为：
  • 不透明，难以审计。
  • 往往实现拙劣（后门、随机性不足、硬编码密钥等）。
  • 是单点故障（控制器坏了，数据就丢了）。
• 也有人认为，硬件加上安全元件在抗暴力破解和易用性方面可能更强（短 PIN、指纹、生物识别、锁定机制），尤其适合非专业用户。
• 另一些人强调，“正确实现”是一个要求极高且很少真正满足的前提。

生物识别与指纹 U 盘

• 指纹保护的 USB 受到批评：
  • 攻击者很可能同时拿到了设备和设备上的指纹样本。
  • 生物识别传感器和控制器通常是无法审计的黑盒。
• 更好的做法被建议为：使用软件加密，密钥存放在小型硬件安全模块中（TPM、Secure Enclave、FIDO/YubiKey），而不是直接放在 U 盘里。

企业、合规与使用场景

• 在受监管/政府环境中，这类设备往往是为了“满足合规要求”而被强制使用，并不一定是为了提供强安全性。
• 一些组织会使用带键盘/白名单的 USB 产品来简化策略执行和灾难恢复，但日常仍更偏好软件 FDE。

联想与厂商信任

• 过去联想的安全事件（例如预装恶意软件、硬编码凭据）被拿来作为不信任其安全产品的理由。
• 更广泛的观点是：没有任何 PC 厂商的硬件能被完全信任；最多只能尽量降低信任，并依赖开源、可验证的软件加密。

法律、伦理与市场问题

• 多位评论者质疑这种误导性营销为什么不违法，并怀疑联想不会受到后果。
• 也有人指出该产品似乎主要在中国销售，并推测面向特定地区的误导更容易发生。

附带讨论

• 一些支线讨论涉及 AI 辅助逆向工程、类似 AI 的写作模式（小标题里的分号），以及对 Reddit 链接而非直接来源的抱怨。