如果你买过联想的一款“指纹加密U盘”，那你可要注意了，最近有科技媒体爆料，这款宣称使用AES-256加密技术的联想U盘，居然可以绕过所谓“指纹加密”，拆掉U盘外壳，就可以取出里面的TF卡，并直接读取数据！

下图是被安全研究员Xusheng Li拆开外壳的联想FU100指纹加密U盘，一张可以直接插拔的TF存储卡明晃晃地映入眼帘。

既然都能明文读取存储卡的数据了，那么官方宣传的AES-256加密，究竟加到哪里了呢？

据说后续联想紧急召回/修复了这一错误，却是是这样修复的——用环氧树脂裹住TF卡槽，使它没那么容易被拆下来。如下图，左侧的U盘应该是支持C+A双口的FU100 PRO版本，环氧树脂里面包裹的大概率不是我们原本以为的芯片颗粒，而是和FU100类似的TF卡+卡槽结构。

怎么说呢，这就像给保险柜装了一把隐藏式指纹拉手，指纹识别只负责弹出拉手，但是柜门并没有锁，不弹出拉手，直接想办法把保险柜门从“门框上”分离一点就能直接打开，拿走里面的财物。

真正的指纹加密 U 盘，起码得是带独立 AES 硬件引擎的安全主控或 SE 安全芯片 + NAND 闪存颗粒 + 指纹传感器的构造，其中指纹模板、加密密钥都锁在安全芯片内部，密钥不会传到电脑、也不会通过 USB 明文发送，密钥或指纹识别校验都在U盘内部完成，才能保证被加密的数据不会被轻易窃取（数据防物理拆读）。

而且这样的U盘，应该会涉及防暴力重试，比如一旦多次指纹识别失败，立即清零密钥，U盘数据永久不可解密（较低安全级别的只做验证锁定）。靠谱点的，应该通过 FIPS 140、国密二级 GM/T 等权威认证。

此外，指纹不能是唯一的“保险密码”，而是要有独立的 PIN 来兜底。

指纹只控制通断、SD卡裸存明文、猫腻被拆穿后第一时间往上糊树脂……联想这波操作真是把信息差玩到了极致，就欺负你普通用户没能力或者没工夫深究其加密原理！

这不由得让人想起一个经典：“让我们看看里面是什么颗粒？”

在我看来，和消费欺诈已经没色什么区别了，就是不知道消费者能不能告得赢。

最后我想说，真正专业的人，应该不在指纹 U 盘里固定存储涉密文件。

但如果联想有意把这样的假加密U盘卖给某个涉及信息保密的机构，事情的结果肯定很严重。

而你作为普通用户，真不应该交这样的智商税。

我是笔点酷玩，希望我的分享可以给你一些启发和参考，我们下期再会。