Xusheng Li meldde dat de Lenovo ThinkPlus FU100 bestanden onversleuteld opsloeg, ondanks de claim van AES-256-versleuteling. De vingerafdruklezer activeerde volgens hem de USB-verbinding, maar versleutelde de bestanden niet. Li gebruikte OpenAI Codex later met reverse-engineeringtools om beveiligingssoftware van andere aanbieders te onderzoeken.
De vingerafdruklezer versleutelde de bestanden niet
Versleuteling maakt opgeslagen bestanden onleesbaar zonder de juiste sleutel. Toegangscontrole bepaalt alleen wie een apparaat mag gebruiken. Bij de FU100 vervulde de vingerafdruk volgens Li die tweede functie: na herkenning werd de USB-verbinding actief. Hij trof de bestanden op een interne geheugenkaart onversleuteld aan.
Waarvoor Li Codex gebruikte
Li gebruikte OpenAI Codex met reverse-engineeringtools voor onderzoek naar software van andere aanbieders, niet voor de oorspronkelijke fysieke inspectie van de FU100. In tests die aan Li worden toegeschreven, vond hij bij Netac-software een vaste sleutel en een gebruikerswachtwoord in diagnoselogs; dat onderzoek duurde ongeveer zeven minuten. Bij KakaSoft USB Copy Protection reconstrueerde hij in ongeveer 26 minuten het interne wachtwoord en ontsleutelde hij een testbestand zonder het gebruikerswachtwoord. Bij Nexcopy Copy Secure vond hij in circa tien minuten een certificaat in de viewer-app dat een sleutel vrijgaf. Dit zijn uitkomsten van afzonderlijke tests, geen algemene snelheidsmetingen.
Een gedeelde software-developmentkit zou volgens Li betrekking hebben gehad op negen opslagapparaten van meerdere aanbieders. De meeste konden volgens die bevinding wachtwoorden prijsgeven; twee sloegen gegevens onversleuteld op microSD-kaarten op.
De TSD303 had een ander beveiligingsprobleem
De Lenovo TSD303 versleutelde de gegevens volgens Li wel, maar stuurde in de eerdere uitvoering het juiste wachtwoord onversleuteld via USB naar software op de computer. Een latere correctie liet de schijf zelf het ingevoerde wachtwoord controleren. Dat verschilt van de FU100, waar de gemelde tekortkoming juist het ontbreken van versleuteling van de opgeslagen bestanden was.
Lenovo meldde correcties voor vier modellen
Lenovo zou correcties hebben uitgebracht voor de FU100, FU200, TU800 en TSD303. De beschreven serviceprocedure in China bood vervanging of een firmware-update op locatie. Lenovo adviseerde gebruikers eerst een back-up te maken en een apparaat te wissen voordat ze het terugstuurden.
