Badacz bezpieczeństwa Xusheng Li miał ustalić, że pliki zapisane na wewnętrznej karcie w Lenovo ThinkPlus FU100 nie były szyfrowane, mimo deklaracji AES-256. Czytnik linii papilarnych umożliwiał połączenie USB, ale nie szyfrował danych. OpenAI Codex pojawił się dopiero w późniejszych analizach oprogramowania ochronnego innych producentów.
Co Li miał znaleźć w Lenovo ThinkPlus FU100
Szyfrowanie zmienia pliki tak, by bez odpowiedniego klucza nie dało się odczytać ich treści. Uwierzytelnianie, na przykład odciskiem palca, sprawdza tożsamość użytkownika lub decyduje o dostępie do urządzenia. Według ustaleń przypisanych Li czytnik FU100 sterował połączeniem USB, podczas gdy dane na wewnętrznej karcie pozostawały niezaszyfrowane.
Ta różnica wyjaśnia, dlaczego sama biometria nie oznacza ochrony zapisanych plików. Li analizował FU100 w 2025 roku; opisane ustalenie dotyczy tego konkretnego modelu.
Do czego użyto OpenAI Codex
Li miał używać OpenAI Codex razem z narzędziami inżynierii wstecznej do badania oprogramowania ochronnego innych dostawców. Nie przypisano Codexowi fizycznych oględzin FU100.
W opisanych próbach Li miał znaleźć stały klucz i hasło użytkownika w logach diagnostycznych oprogramowania Netac; badanie trwało około 7 minut. W przypadku KakaSoft USB Copy Protection po około 26 minutach miał odtworzyć wewnętrzne hasło programu i odszyfrować plik testowy bez hasła użytkownika. Analiza Nexcopy Copy Secure trwała około 10 minut i miała ujawnić certyfikat w aplikacji do przeglądania, który odblokowywał klucz. To czasy konkretnych opisanych testów, a nie miara ogólnej skuteczności Codex ani porównawczy benchmark.
W dalszym badaniu zestaw narzędzi programistycznych miał obejmować dziewięć innych urządzeń pamięci masowej różnych producentów. Większość miała ujawniać hasła, a dwa urządzenia przechowywać niezaszyfrowane dane na kartach microSD. Li miał też znaleźć dwa ukryte konta z prostymi hasłami w SecZure YutianDun. Samo to ustalenie nie przesądza o intencjach producenta.
TSD303 miała odrębny problem z hasłem
Przypadek Lenovo TSD303 różnił się od ustalenia dotyczącego FU100: dane w TSD303 miały być szyfrowane, ale wcześniejsza wersja urządzenia przesyłała prawidłowe hasło przez USB w postaci jawnej, by oprogramowanie mogło je sprawdzić. Późniejsza poprawka miała przenieść sprawdzanie hasła do samego dysku. Szyfrowanie danych nie chroni więc hasła, jeśli urządzenie przesyła je w czytelnej postaci.
Jakie poprawki Lenovo opisano
Lenovo miało wydać poprawki dotyczące FU100, FU200, TU800 i TSD303. Opisany tryb obsługi w Chinach przewidywał kontakt z tamtejszą infolinią serwisową oraz wymianę urządzenia lub aktualizację oprogramowania układowego na miejscu. Lenovo zalecało wcześniej wykonać kopię zapasową danych, a przed odesłaniem urządzenia je wymazać.
