Lenovo、暗号化USBの中身は平文のSDカードと報道。他社品に裏口も

Tom's Hardwareの見出しによると、Lenovoの指紋認証付き「暗号化」USBドライブは、実際には暗号化されていないSDカードをケースに収めたものだった。記事URLには、AES-256で暗号化すると説明して販売されていたとの記述がある。

見出しは続けて、AIの支援を受けた追跡調査により、ほかの「セキュア」USB製品からバックドアとハードコードされた暗号鍵が見つかったと伝えている。調査を行った人物や組織、対象の型番、他製品のメーカー、Lenovoの見解は、今回の材料からは確認できない。

技術面で問題になるのは、指紋認証が機能していても、記録媒体の中身が平文なら保護にならないという点である。媒体を取り出して別の機器で読めるなら、認証を迂回できることになるとみられる。また、ハードコードされた鍵やバックドアがあれば、暗号化が実装されていても、鍵を知る者には保護が効かない。

意味合いとしては、製品の説明にある暗号方式の名前だけでは安全性を判断できないことを示す事例である。AIが製品の解析を支援した点も、今後の同種の調査の広がりを考えるうえで確認しておきたい。