Lenovo의 ‘암호화’ 지문 인식 USB, 실제로는 케이스에 담긴 암호화되지 않은 SD 카드

보안 연구원 Xusheng Li가 AES-256 암호화 제품으로 판매된 Lenovo ThinkPlus FU100 내부에서 암호화되지 않은 SD 카드를 확인함 지문 인식기는 USB 연결만 활성화했으며, 저장 데이터는 보호하지 않아 기기에 물리적으로 접근하면 데이터를 쉽게 읽을 수 있음 Lenovo의 TSD303 외장 SSD는 데이터를 암호화했지만, 올바른 비밀번호를 USB로 평문 전송하는 별도 취약점이 있었음 여러 제조사의 보안 저장장치와 복사 방지 제품에서도 하드코딩된 키, 비밀번호 노출, 숨겨진 계정 등이 발견됐으며, 일부 분석에는 OpenAI Codex가 쓰임 Lenovo는 관련 제품에 교체 또는 현장 펌웨어 업데이트를 제공하지만 서비스 접수가 필요하며, 반송 전 데이터 백업과 삭제를 권고함 Lenovo 저장장치의 취약점과 수정 HackingPassion에 따르면, Xusheng Li는 ThinkPlus FU100을 분석해 내부 SD 카드에 데이터가 암호화 없이 저장된다는 사실을 확인함 지문 인식은 USB 연결 활성화만 제어함 3월 콘퍼런스 발표에서 기기를 “그럴듯한 케이스에 담긴 SD 카드일 뿐”이라고 말하며, ‘하드웨어 보안’이 순전히 마케팅일 수 있다고 경고함 저장장치 제조사 자체 암호화가 우회된 전례도 있음 FU100의 최초 분석은 지난해 이뤄졌으며, 중간 대응으로 카드 위를 에폭시로 덮는 조치가 있었음 Lenovo가 올해 초 내놓은 후속 조치는 FU100, FU200, TU800, TSD303을 대상으로 함 소유자는 중국 서비스 전화로 접수한 뒤 기기를 반송해 교체하거나 현장 펌웨어 업데이트를 받아야 함 먼저 데이터를 백업해야 하며, Lenovo는 반송 전 드라이브 삭제를 강력히 권고함 Lenovo는 보안 권고의 심각도를 높음으로 분류함 관련 CVE 3개 중 하나는 설정 소프트웨어 취약점으로, 로컬에 로그인한 사용자가 기기 인증을 우회하고 신뢰할 수 없는 지문을 등록할 수 있음 TSD303 외장 SSD는 데이터를 실제로 암호화했지만, 소프트웨어가 비밀번호를 비교하도록 올바른 비밀번호를 USB로 평문 전송해 쉽게 가로챌 수 있었음 최초 신고 3개월 뒤 나온 첫 수정은 타임스탬프와 유사한 값에서 키를 도출해 블록 암호로 보호하는 방식이었음 Lenovo 소프트웨어도 같은 키를 도출할 수 있어 소프트웨어 역분석에 취약했으며, 기기 도난 시 데이터를 보호하는 데 유효하지 않았음 지난해 말 후속 수정에서는 기...