Los dos relatos publicados el 1 de noviembre atribuyeron al investigador de seguridad Xusheng Li un fallo en la Lenovo ThinkPlus FU100: aunque se comercializaba con cifrado AES-256, Li habría encontrado los archivos sin cifrar en una tarjeta interna. El lector de huellas habilitaba la conexión USB, pero no cifraba los datos.
Qué hacía el lector de huellas de la FU100
La huella servía para controlar el acceso al USB; no protegía los archivos mediante cifrado. La diferencia es importante: la autenticación comprueba quién puede acceder, mientras que el cifrado transforma los datos para que no se puedan leer sin la clave adecuada. Según los hallazgos atribuidos a Li, los archivos de la FU100 permanecían sin cifrar en su tarjeta interna.
Para qué se usó Codex
En análisis posteriores de software de protección de otros fabricantes, Li habría utilizado OpenAI Codex junto con herramientas de ingeniería inversa. El examen físico de la FU100 y el análisis asistido por Codex corresponden a trabajos distintos.
En pruebas concretas descritas en esos relatos, Li habría encontrado una clave fija y una contraseña de usuario en registros de diagnóstico del software de Netac. También habría reconstruido la contraseña interna de KakaSoft USB Copy Protection y descifrado un archivo de prueba, y localizado en Copy Secure, de Nexcopy, un certificado de la aplicación visualizadora que desbloqueaba una clave. Los tiempos aproximados citados para esas pruebas fueron siete, 26 y diez minutos, respectivamente.
Un SDK compartido abarcaba otros nueve dispositivos de almacenamiento de varios fabricantes. Según los hallazgos atribuidos a Li, la mayoría podía revelar contraseñas y dos guardaban datos sin cifrar en tarjetas microSD.
La TSD303 tenía un problema distinto
Los relatos describieron los datos de la SSD externa Lenovo TSD303 como cifrados, pero indicaron que su diseño inicial enviaba la contraseña correcta por USB en texto sin cifrar para que el software la comprobara. Una primera corrección habría derivado la clave de un valor parecido a una marca temporal, que podía reconstruirse con software de Lenovo. Una corrección posterior hizo que la propia unidad comprobara la contraseña introducida.
Las correcciones atribuidas a Lenovo
Los relatos atribuyeron a Lenovo correcciones para FU100, FU200, TU800 y TSD303. Para China describieron un proceso de servicio con reemplazo o actualización de firmware in situ. Lenovo aconsejaba hacer una copia de seguridad de los datos y borrar la unidad antes de devolverla.
