Berichten vom 1. November zufolge fand Sicherheitsforscher Xusheng Li in der Lenovo ThinkPlus FU100 unverschlüsselte Dateien auf einer internen Speicherkarte. Der Fingerabdrucksensor gab demnach lediglich die USB-Verbindung frei; er verschlüsselte die Dateien nicht. Die FU100 war mit AES-256-Verschlüsselung beworben worden.
Zugriffskontrolle ist keine Verschlüsselung
Ein Fingerabdrucksensor kann den Zugriff auf ein Gerät freigeben. Verschlüsselung schützt dagegen die gespeicherten Dateien, indem sie ohne den passenden Schlüssel nicht lesbar sind. Li zufolge übernahm die FU100 laut den Berichten die erste Aufgabe, nicht die zweite.
Wofür Li Codex einsetzte
Li nutzte OpenAI Codex den Berichten zufolge zusammen mit Reverse-Engineering-Werkzeugen, um Schutzsoftware anderer Anbieter zu untersuchen. Codex kam bei diesen späteren Softwareanalysen zum Einsatz, nicht bei der ursprünglichen physischen Untersuchung der FU100.
Bei konkreten Tests berichtete Li von einer fest eingebauten Schlüsselinformation und einem in Diagnoseprotokollen offengelegten Nutzerpasswort bei Netac. Bei KakaSoft USB Copy Protection rekonstruierte er demnach innerhalb von etwa 26 Minuten ein internes Passwort und entschlüsselte damit eine Testdatei ohne das Passwort des Nutzers. Für Nexcopy Copy Secure identifizierte er in etwa zehn Minuten ein Zertifikat in der Anzeige-App, das einen Schlüssel freigab. Die Untersuchung der Netac-Software dauerte laut Bericht etwa sieben Minuten.
Ein gemeinsames Software-Entwicklungskit deckte demnach neun weitere Speichergeräte verschiedener Anbieter ab. Bei den meisten ließen sich Passwörter auslesen; zwei speicherten Daten unverschlüsselt auf microSD-Karten. Bei SecZures YutianDun fand Li den Berichten zufolge außerdem zwei versteckte Konten mit einfachen Passwörtern.
Der TSD303 hatte einen anderen Fehler
Bei der Lenovo TSD303 waren die Daten den Berichten zufolge verschlüsselt. Das frühere Verfahren übermittelte das richtige Passwort jedoch unverschlüsselt über USB an eine Software, die es verglich. Eine spätere Korrektur ließ das Laufwerk selbst das eingegebene Passwort prüfen.
Berichtete Korrekturen für Lenovo-Geräte
Lenovo stellte den Berichten zufolge Korrekturen für FU100, FU200, TU800 und TSD303 bereit. Der beschriebene Serviceweg bezog sich auf China und sah je nach Gerät einen Austausch oder ein Firmware-Update vor. Lenovo empfahl dabei, die Daten vorher zu sichern und ein Laufwerk vor der Rücksendung zu löschen.
