Lenovo'nun 'şifreli' parmak izi USB bellek şifrelenmemiş bir SD karttan ibaret çıktı

Güvenlik araştırmacısı Xusheng Li, Lenovo'nun AES-256 şifreli olarak satılan FU100 sürücüsünün düz bir SD kart olduğunu ortaya çıkardı.

Güvenlik araştırmacısı Xusheng Li, Lenovo'nun ThinkPlus FU100 parmak izi USB belleğinin AES-256 ile şifreli olarak pazarlandığını, ancak içinde düz bir SD kart bulunduğunu tespit etti. Parmak izi okuyucusu yalnızca USB bağlantısını etkinleştiriyordu.

Lenovo'nun FU100, FU200, TU800 ve TSD303 sürücüleri için sonradan yayımladığı düzeltme, sahiplerinin önce Çin'deki bir servis hattını araması, ardından cihazı iade etmesi ya da yerinde bir firmware güncellemesi yaptırması anlamına geliyor. Şirket, işlemden önce verilerin yedeklenip silinmesini tavsiye ediyor.

Aynı araştırmada TSD303 harici SSD'de de bir açık bulundu: doğru parola, yazılımın karşılaştırması için USB üzerinden düz metin olarak geri gönderiliyordu. Sonraki düzeltmede parola kontrolü sürücünün kendisine taşındı. Li ayrıca OpenAI'nin Codex aracını kopya koruma ürünlerinde kullandı. Netac'ın aracı, programa gömülü sabit bir anahtar ve kullanıcı parolasının tanılama günlüklerine yazılması sayesinde yaklaşık yedi dakikada kırıldı. KakaSoft ve Nexcopy'nin şemaları da aşıldı.

Li, SecZure'un YutianDun yazılımında zaman yolculuğu hata ayıklaması ile iki gizli arka kapı hesabı buldu. Açıklamadan önce KakaSoft, Nexcopy ya da SecZure'u uyarmadığını belirtti. Gerekçesi, bir saldırganın eline geçmiş bir sürücünün kolayca geri çağrılamayacağı ya da güncellenemeyeceğiydi.