硬件加密神话，被一张SD卡戳破

一张几块钱的SD卡，把联想的『AES-256硬件加密』打回了原形。

据外媒 HackingPassion 本周报道，研究员 Xusheng Li 拆解 ThinkPlus FU100 指纹识别U盘后发现，这块内部电路板上插着的就是一张普通SD卡，数据完全明文存储，没有任何加密。指纹识别器唯一的作用，是决定U盘与电脑之间的通断——文件本身，从头到尾没被指纹保护过一秒。

同一批被点名的还有朗科、KakaSoft、Nexcopy、御天盾四家厂商的USB驱动器。五家公司，同一类病。

这件事的价值不在于又一家大厂翻车，而在于它把存储行业一个公开的秘密摆上了台面：在HBM4一克硅片千金的年代，消费级存储设备的安全，很多时候只是印在包装盒上的一行字。

🕳️ 指纹是个开关，加密是个传说

先看这台设备的真实结构。

拆解结果很直白：ThinkPlus FU100 的指纹模块与数据通路之间，只隔着一个『开/关』。手指通过验证，电路接通，电脑读到的就是SD卡里的原始数据；验证不通过，电路断开而已。整个链路中不存在加密引擎、不存在密钥管理，自然也不存在『AES-256硬件加密』这回事。

『宣称AES-256』和『实现AES-256』之间的距离，在这里是一整块加密主控的成本。

懂行的人都明白这句话的分量：真正的硬件加密U盘需要专用安全主控、密钥存储与销毁机制，物料和认证成本会显著抬高售价；而『指纹当开关』的公模方案，几乎是白牌市场流通多年的成熟设计。把前者的话术套在后者身上，就是这次事件的全部本质。

据多位接近供应链的人士透露，这类指纹U盘方案在白牌市场流通时间不短，模具与固件高度共享——这也解释了为什么一次研究中会同时倒下五家厂商：它们买的，很可能是同一套『安全叙事』。

产业逻辑很简单：当『加密』从工程属性退化为营销标签，最先省掉的一定是看不见的那部分——加密主控、密钥管理、第三方审计。用户看不见，采购验收时也测不出来，直到有人拿螺丝刀。

🩹 三次修复，没一次修到根上

如果说FU100是『压根没做加密』，那 ThinkPlus TSD303 指纹识别外置SSD的故事更值得玩味：它做了加密，但三次修复，次次都慢半拍。

TSD303内部是一块标准尺寸的M.2 SSD，数据确实经过了加密。问题出在验证环节：当电脑上的联想程序请求密码时，硬盘会通过USB数据线把正确密码明文传回去。任何能监控这条通信线路、或者能读取程序的人，都能直接拿到密码。

加密了数据，却在门缝里把钥匙递出去。

研究员提交漏洞报告三个月后，联想发来了测试修复版本：硬盘不再发送明文密码，改为发送一段加密数据。研究员起初以为是密码的哈希值，随后用调试器追踪这段数据的来源，最终发现它来自SM4——一种与AES类似的分组密码算法。而其密钥，由一个看起来像时间戳的数值生成。

测试中，这个密钥是 2021012700000000。解密工具可以成功还原。换句话说，程序自己能推导出密钥，那么拆解程序的人同样可以。修复等于把明锁换成了暗锁，钥匙还插在锁上。

直到2025年12月推出的第二版修复方案，硬盘才开始自行验证密码——这才摸到了正确架构的边。

FU100的处理路径也值得一提：2025年8月报告问题后，联想的临时方案是往SD卡上覆盖一层环氧树脂，增加拆解难度——这是典型的『提高攻击成本』而非『消除漏洞』。直到正式修复版推出、安全公告发布，用户才等来完整交代：ThinkPlus FU100用户可拨打联想中国服务热线申请免费升级，联想核对设备序列号后安排寄回更换，或由工作人员上门升级固件。

平心而论，联想的响应流程是规范的：报告、临时缓解、正式修复、公告、召回升级，链条完整。但三轮修复才触及密钥管理的根本，暴露的是另一个问题——安全修复不是打补丁，而是要像攻击者一样重新想一遍架构。这一点，绝大多数厂商的安全团队做不到，或者没被要求做到。

🏭 五家同坑：安全不能靠贴牌

2026年1月13日，联想发布安全公告 LEN-210545，漏洞评级为高危，列出三个CVE编号：

三条CVE、一家巨头、五家厂商，构成了一份足够典型的产业切片。

安全行业里流传一句半开玩笑的话：『公模方案最大的安全特性，是没人认真看过它的安全特性。』当一家厂商以贴牌方式引入存储外设时，它采购的通常是一整套解决方案——主控、固件、上位机软件，安全设计内嵌在其中，品牌方很难逐行审计。于是『AES-256』作为方案商提供的卖点被原样印上包装，验证责任在链条上层层传递，最后落在无人负责的地方。

这次五家厂商同时中招，几乎坐实了方案复用的猜想。而对联想这样的品牌方来说，最贵的教训在于：品牌为安全背书，却未必掌握安全的实现细节。贴牌可以贴出性价比，贴不出安全边界。

往前推演一步，这件事对行业的正向价值恰恰在于：它会让『安全来源可追溯』『固件可审计』成为存储外设的新溢价点。谁来率先把第三方安全审计报告变成产品页面的标准配置，谁就能在B端采购里拿到下一个十年的信任溢价。

📈 存储业的钱，都流向了另一头

把镜头从一张SD卡拉远到整个存储产业，你会发现更深的断层。

就在漏洞曝光的同一周，SK海力士表态：公司将快速提高第六代10纳米级（1c）工艺的比重，增加DDR5和面向AI服务器的LPDDR5 SOCAMM销售，进一步强化DRAM以高附加值产品为中心的产品组合。为应对激增的HBM需求，公司计划年底前将M15X工厂的产能提升至最大水平，扩大HBM4生产。结论很明确：第四季度，HBM4将在出货量和营业收入两个维度同时超越HBM3E，正式确立主力产品地位。

NAND一侧同样在向高端集中：第四季度，321层工艺占韩国本土产能的比重将提升至50%以上，以此扩大高性能、大容量eSSD的供应。

一边是HBM产线火力全开、利润滚滚流向AI服务器；另一边，是消费级指纹U盘连一块真正的加密主控都省了。

这不是道德问题，是资源配置问题。存储是强周期行业，产能和研发自然涌向回报最高的HBM与eSSD；消费级外设沦为长尾生意，方案商压缩成本、品牌方贴牌收割，安全投入成了最先被砍的那一项。但周期行业有个规律：利润最薄的环节，往往也是品控与安全最脆弱的环节——而它们恰恰握着离用户最近的那份数据。

讽刺的是，同一次事件里还出现了SM4这个国密算法的身影。行业并不缺加密技术，缺的是把技术放进正确架构的意愿。钱去了HBM，责任却不能跟着一起搬走。

⚠️ 买家的评估表，该重写了

对企业和机构采购者来说，LEN-210545最实际的价值，是给所有人的评估表打了一个大大的叉。

『指纹识别』『AES-256』『硬件加密』这些词，过去是采购清单上的加分项；经过这一轮，它们必须降级为待验证声明。指纹是便捷解锁手段，不等于加密边界；参数表上的算法名词，不等于经过验证的实现。真正的分界线只有一条：这套安全设计，是否经过可复现的第三方审计。

具体怎么改，可以参考这张清单：

还有一个容易被忽略的细节：三条CVE中有两条的利用条件都是『本地已登录用户』。这提醒采购方，安全的评估必须覆盖完整威胁模型——设备落在谁手里、配置软件跑在哪台机器、密码在哪一段线路上传输，每一环都要问。安全从来不是参数，是流程。

对厂商而言，这次事件同样是一份免费的路线图：把FU100和TSD303踩过的坑——明文存储、密码明文回传、可推导密钥——全部写进下一代产品的设计红线，成本增量有限，信任收益巨大。危机处理得体，本身就是最好的产品发布会。

结语：断层处，就是机会

一张明文的SD卡，和一条满产的HBM4产线，属于同一个存储产业。价值的断层越大，信任的稀缺性就越强。

可以预期的是，经过这一轮曝光，『硬件加密』这四个字会迎来一次行业级的重新定价：有审计背书的产品会把安全做成溢价，浑水摸鱼的方案会被采购清单淘汰。而对于联想们来说，下次把『AES-256』印上包装盒之前，最好先确认——那张SD卡里的数据，真的加密了。

用户的数据没有周期，安全投入不该有。