Una memoria con lector de huellas no necesariamente protege lo que guarda. Un reporte de Tom’s Hardware publicado este 1 de noviembre retoma la investigación de Xusheng Li sobre la Lenovo ThinkPlus FU100, vendida con cifrado AES-256, pero con una tarjeta SD interna sin cifrar; el análisis original se realizó el año pasado.

🔒 El lector de huellas únicamente habilitaba la conexión USB: alguien con acceso físico podía extraer la tarjeta y leer los datos sin superar esa barrera. Una medida provisional consistió en cubrir la tarjeta con resina epóxica, pero eso no equivale a cifrar su contenido.

🛠️ A principios de este año, Lenovo ofreció una solución para las FU100, FU200 y TU800, además del SSD TSD303: llamar a una línea de servicio de China y gestionar un reemplazo o una actualización presencial del firmware. La empresa calificó el aviso como de gravedad alta y pidió respaldar los datos, además de recomendar firmemente borrarlos antes del envío. De las tres vulnerabilidades identificadas con CVE, una afectaba al software de configuración y permitía que un usuario local con sesión iniciada eludiera la autenticación y registrara una huella no confiable.

💻 El TSD303 sí cifraba los datos, pero enviaba la contraseña correcta por USB en texto claro para que el programa la comparara. Su primera corrección llegó tres meses después del reporte inicial y usaba cifrado por bloques con una clave derivada de un valor parecido a una marca de tiempo. Como el software podía reconstruir esa clave, analizarlo permitía deshacer la protección: no era una solución útil frente al robo del dispositivo.

⚙️ Una corrección posterior, publicada a finales del año pasado, trasladó la comprobación de la contraseña al propio TSD303 para que la correcta dejara de salir de la unidad. El mismo kit de desarrollo de software abarcaba otros nueve dispositivos de varios fabricantes: la mayoría también podía revelar contraseñas y dos dejaban los datos sin cifrar en una microSD. Los nombres completos de esos fabricantes estaban ocultos en las diapositivas de Li.

Codex encontró más problemas, pero no todos eran de cifrado

🧠 El reporte también describe un seguimiento asistido por IA realizado la semana pasada: Li combinó Codex, de OpenAI, con una herramienta de ingeniería inversa de su empleador para revisar productos de otros fabricantes. Conviene separar dos objetivos: proteger el acceso a los datos y permitir ver archivos intentando impedir que se copien.

  • Netac: Codex encontró en unos siete minutos una clave fija integrada en el programa y la contraseña del usuario escrita en registros de diagnóstico. Según lo expuesto por Li en su charla de marzo, entonces no había un parche.
  • KakaSoft USB Copy Protection: el programa construía una contraseña interna que Codex logró reconstruir para descifrar un archivo de prueba sin la contraseña del usuario, en alrededor de 26 minutos.
  • Nexcopy Copy Secure: el análisis tomó unos 10 minutos; un certificado integrado en la aplicación de visualización permitía desbloquear la clave.
  • SecZure YutianDun: por separado, una depuración que permite recorrer una traza de ejecución hacia atrás y adelante reveló dos cuentas ocultas con contraseñas sencillas. Li las describió como puertas traseras, aunque sus comentarios no permiten asumir una intención maliciosa.

Li no avisó previamente a KakaSoft, Nexcopy ni SecZure: argumentó que recuperar o actualizar una unidad que ya está en manos de un atacante resulta difícil. Eso no convierte automáticamente todos los hallazgos en fallas equivalentes ni demuestra que todos los dispositivos sigan sin corregirse hoy.

¿Por qué importa para usuarios y desarrolladores?

Una huella puede controlar una conexión sin proteger los datos, y una contraseña deja de ser una barrera sólida si el propio programa contiene lo necesario para recuperarla. Li recomienda comprobar las promesas de seguridad y cuestiona la validación realizada únicamente del lado del cliente. El reporte contrasta estos casos con una USB de código abierto que también usa microSD, pero deriva la clave de la contraseña del usuario: leer únicamente la tarjeta no basta para obtener los archivos.

💬 ¿Qué evidencia pedirías antes de confiar tus respaldos a una memoria que promete cifrado y acceso con huella?

¿Pero deveras? 🌵💚