Tóm tắt nhanh
- Ổ USB vân tay Lenovo ThinkPlus FU100 quảng cáo mã hóa AES-256 nhưng bên trong là thẻ microSD thường không mã hóa; cảm biến chỉ bật hoặc ngắt kết nối USB.
- Xusheng Li dùng Codex cùng Binary Ninja để rà soát thêm các công cụ bảo vệ USB, phát hiện khóa mã hóa cố định và tài khoản bí mật.
- Lenovo công bố cảnh báo LEN-210545 cho FU100, FU200, TU800 và SSD TSD303; cách khắc phục yêu cầu liên hệ dịch vụ tại Trung Quốc.
- Với dữ liệu nhạy cảm, nên tự mã hóa tệp bằng công cụ đáng tin cậy thay vì dựa vào vân tay hay ứng dụng đi kèm ổ USB.
Ổ USB vân tay Lenovo ThinkPlus FU100 được quảng cáo có mã hóa phần cứng AES-256, nhưng Xusheng Li phát hiện thiết bị chỉ chứa một thẻ microSD thông thường, còn cảm biến vân tay làm nhiệm vụ bật kết nối USB. Khi có thể tháo thẻ ra và đọc trực tiếp, lớp xác thực bên ngoài không bảo vệ được dữ liệu.
Phát hiện này trở nên đáng chú ý hơn khi Li dùng Codex kết hợp với công cụ dịch ngược Binary Ninja để kiểm tra thêm các sản phẩm USB khác. Trong vài phút đến vài chục phút, công cụ hỗ trợ ông lần ra khóa cố định, mật khẩu nội bộ và tài khoản ẩn trong một số phần mềm được quảng bá là bảo vệ tệp.
Vân tay trên FU100 chỉ kiểm soát kết nối, không khóa dữ liệu
Trong ThinkPlus FU100, cảm biến vân tay hoạt động như một công tắc cho đường USB: xác thực xong thì máy tính nhìn thấy ổ, còn dữ liệu trên thẻ không được mã hóa. Người tháo được thiết bị hoặc lấy thẻ nhớ ra có thể tiếp cận tệp mà không cần vượt qua cơ chế vân tay.
Điểm cần phân biệt là AES-256 không bị phá trong trường hợp này. Vấn đề nằm ở chỗ thiết bị không dùng thuật toán đó để mã hóa dữ liệu như quảng cáo khiến người mua kỳ vọng. Một con số thuật toán mạnh trên bao bì không cho biết khóa được tạo ra thế nào, hoặc liệu dữ liệu có thực sự đi qua bước mã hóa hay không.
Lenovo công bố cảnh báo bảo mật LEN-210545, liệt kê FU100, FU200, TU800 và SSD ngoài TSD303. Ba mã CVE đề cập đến khả năng đọc dữ liệu khi có quyền tiếp cận vật lý, truy cập thông tin thiết bị qua phần mềm cấu hình và vượt xác thực để đăng ký vân tay không đáng tin cậy. Đây là các vấn đề có phạm vi khác nhau, không nên gộp tất cả thành khẳng định rằng mọi mẫu đều có cùng cách lưu trữ hay cùng một lỗi.
Hướng khắc phục Lenovo đưa ra không phải bản vá tự tải đơn giản. Chủ sở hữu cần liên hệ đường dây dịch vụ tại Trung Quốc để kiểm tra số sê-ri; thiết bị có thể được gửi về thay thế hoặc nâng cấp firmware tại chỗ. Hãng cũng khuyến nghị sao lưu dữ liệu và xóa ổ trước khi gửi. Với người dùng tại Việt Nam, việc phải xử lý qua kênh dịch vụ ở Trung Quốc làm quy trình này kém thuận tiện hơn một bản cập nhật trực tuyến.
AI giúp tìm khóa trong phần mềm, nhưng không tự chứng minh mọi ổ đều yếu
Với phần mềm NetacFileLock của Netac, Codex kết hợp Binary Ninja tìm ra khóa AES-256 cố định được nhúng trong chương trình sau khoảng bảy phút phân tích. Mật khẩu người dùng được kiểm tra riêng và không quyết định khóa giải mã. Phần mềm còn ghi mật khẩu người dùng vào nhật ký chẩn đoán.
Ở hai sản phẩm bảo vệ sao chép khác, KakaSoft USB Copy Protection và Nexcopy Copy Secure, Li lần theo cách ứng dụng tạo hoặc lưu khóa. Với KakaSoft, mật khẩu nội bộ được dựng từ mã nằm sẵn trong chương trình; với Nexcopy, ứng dụng xem tệp cấu hình bằng chứng chỉ nhúng trong phần mềm, còn mật khẩu giao diện không tham gia tạo khóa giải mã. Mỗi trường hợp có thiết kế riêng, nhưng cùng cho thấy kiểm tra mật khẩu ở giao diện không đồng nghĩa dữ liệu được bảo vệ bằng khóa phụ thuộc vào mật khẩu đó.
Li cũng phát hiện hai tài khoản tích hợp trong sản phẩm YutianDun của SecZure, mang tên Buffer và System, có thể mở dữ liệu trên hai thiết bị ông kiểm tra. Ông gọi đây là backdoor theo nghĩa kỹ thuật, đồng thời lưu ý phát hiện này không tự chứng minh nhà sản xuất có ý đồ xấu. Nêu rõ giới hạn đó quan trọng: kết quả trên hai mẫu thử không đủ để khẳng định mọi thiết bị của hãng đều bị khai thác theo cách giống nhau.
AI đã rút ngắn một số bước tìm kiếm trong mã, nhưng kết quả vẫn cần người nghiên cứu định hướng, kiểm tra trên tệp và thiết bị cụ thể, rồi xác nhận cách giải mã. Thời gian nêu trong nghiên cứu là thời gian của các thử nghiệm Li thực hiện, không phải cam kết rằng bất kỳ ổ USB nào cũng có thể bị mở trong vài phút.
Mật khẩu chỉ có ích khi nó thực sự tạo ra khóa bảo vệ tệp
Người mua thường nhìn thấy vân tay, màn hình nhập PIN hoặc dòng chữ AES-256 rồi suy ra rằng tệp bên trong được mã hóa. Thực tế, các cơ chế đó có thể chỉ quyết định ứng dụng có mở hay máy tính có nhận ổ hay không. Nếu khóa đã nằm trong phần mềm, được tạo bằng một giá trị cố định, hoặc dữ liệu vốn không mã hóa, người có quyền đọc bộ nhớ có thể bỏ qua lớp giao diện.
Với tệp nhạy cảm, cách ít phụ thuộc vào lời quảng cáo của thiết bị là mã hóa tệp trước khi chép vào USB, dùng công cụ có quy trình khóa rõ ràng như VeraCrypt, BitLocker To Go trên phiên bản Windows hỗ trợ hoặc GPG. Doanh nghiệp cũng nên thử khôi phục dữ liệu và kiểm tra cách quản lý khóa trước khi giao thiết bị cho nhân viên hay khách hàng; nhãn chống sao chép không thể bảo đảm người nhận không lấy được nội dung nếu máy tính của họ phải giải mã để hiển thị.
ThinkPlus FU100 chủ yếu lưu hành tại Trung Quốc và chưa được phân phối chính hãng tại các hệ thống bán lẻ lớn ở Việt Nam. Lenovo Trung Quốc niêm yết giá tham khảo 499 nhân dân tệ cho bản 64 GB, nhưng con số này không phải giá bán tại Việt Nam và không phản ánh chi phí nhập khẩu hay hỗ trợ bảo hành.
Nguồn tham khảo: Binary Ninja — Discovering a Backdoor and Flaws in More Encrypted USB Drives; Tom’s Hardware; HackingPassion; Lenovo Trung Quốc
