Por Canuto  

Una unidad Lenovo promocionada con cifrado AES-256 guardaba, según el análisis de un investigador, una tarjeta SD sin protección. Una investigación más amplia detectó claves fijas, contraseñas expuestas y cuentas ocultas en otros productos USB.
***

  • El investigador Xusheng Li encontró que la huella dactilar de la ThinkPlus FU100 solo habilitaba la conexión USB; los datos permanecían sin cifrar.
  • El análisis identificó fallas en herramientas de protección de archivos y otros dispositivos, entre ellas claves predefinidas, contraseñas expuestas y dos cuentas ocultas.
  • Lenovo publicó correcciones para varios productos. El procedimiento descrito contemplaba contactar con su servicio en China, enviar el dispositivo o actualizar el firmware.

Una USB de Lenovo prometía cifrado, pero guardaba los datos en una tarjeta SD común

Una huella que no protegía los archivos

La unidad Lenovo ThinkPlus FU100 se comercializó con lector de huellas dactilares y cifrado AES-256, pero el análisis del investigador de seguridad Xusheng Li encontró una arquitectura menos robusta: dentro de la carcasa había una tarjeta SD común y los archivos no estaban cifrados. Según el análisis, el lector biométrico solo habilitaba la conexión USB; la huella no protegía el contenido frente a quien consiguiera acceso físico al dispositivo.

Li describió la FU100 como “solo una tarjeta SD en una carcasa elegante” durante una charla en marzo, según el relato de la investigación. Retirar la tarjeta permitía acceder a los datos sin superar una barrera criptográfica, por lo que la apariencia de seguridad del producto no correspondía con la protección real de la información.

El caso muestra la diferencia entre autenticar a una persona y cifrar los datos almacenados. Un lector de huellas puede controlar el acceso a una interfaz, pero si el almacenamiento interno conserva los archivos sin cifrar, esa función no impide que alguien con acceso físico lea la tarjeta por otra vía.

Li había analizado la FU100 en 2025 y, como medida provisional, colocó epoxi sobre la tarjeta para dificultar su extracción. Esa solución no sustituye un diseño criptográfico, pero ilustra el problema práctico: cuando el componente que guarda los datos no cifra su contenido, la carcasa y el lector biométrico no bastan para mantenerlo confidencial.

Correcciones de Lenovo y otra falla en el SSD externo

Lenovo publicó correcciones para las unidades FU100, FU200 y TU800, además del SSD externo TSD303. El procedimiento descrito para los propietarios contemplaba llamar a una línea de servicio en China y enviar los dispositivos para su reemplazo; también se mencionaba la posibilidad de actualizar el firmware en el sitio.

La empresa recomendó respaldar los datos antes de iniciar el proceso y aconsejó borrar la unidad antes de enviarla, una condición que puede complicar la recuperación y migración de archivos. El aviso de Lenovo calificó la gravedad como alta e incluyó tres CVE; uno de ellos se refería al software de configuración y a una posible evasión de la autenticación del dispositivo.

En ese escenario, un usuario local que ya hubiera iniciado sesión podría registrar una huella dactilar no confiable, según la descripción de la vulnerabilidad. El hallazgo no significa que cualquier atacante pueda acceder remotamente a las unidades, pero sí señala que el control biométrico y el programa que lo administra deben evaluarse por separado.

La investigación también detectó un problema distinto en el SSD externo TSD303: a diferencia de la FU100, sus datos sí estaban cifrados, pero la unidad enviaba por USB la contraseña correcta en texto plano para que el software la comparara. Una persona capaz de interceptar esa comunicación podía capturar el secreto necesario para acceder a la información.

Las primeras soluciones también tuvieron límites

Lenovo presentó una primera corrección para el problema del TSD303 meses después del informe inicial. La solución utilizaba cifrado de bloque con una clave derivada de un valor parecido a una marca de tiempo, pero el programa de Lenovo podía calcular esa clave y un análisis inverso del software podía revelar cómo funcionaba el mecanismo.

Por esa razón, la primera actualización no ofrecía una defensa suficiente si alguien robaba el dispositivo y podía examinar el software asociado. El problema no estaba en la idea general de cifrar los archivos, sino en que la clave dependía de información que el programa cliente podía reconstruir, lo que reducía el beneficio de mantener los datos cifrados dentro de la unidad.

Una actualización posterior cambió el proceso para que la propia unidad verificara la contraseña introducida. Con ese diseño, la contraseña correcta ya no salía del dispositivo hacia el software, lo que evitaba la exposición que Li había observado en la comunicación USB.

El mismo kit de desarrollo de software utilizado para el dispositivo cubría otros nueve productos de almacenamiento de distintos proveedores, y la mayoría también podía revelar contraseñas a un atacante con los conocimientos adecuados. Además, dos de esas unidades guardaban los datos sin cifrar en tarjetas microSD, un patrón que reproduce el problema de la FU100 aunque corresponda a productos de otras marcas.

La IA aceleró el análisis de otros productos

En el seguimiento de su investigación, Li utilizó Codex de OpenAI junto con herramientas de ingeniería inversa de su empleador para examinar mecanismos de protección de otros proveedores. La asistencia de IA permitió localizar debilidades en varios programas, aunque los tiempos que describió corresponden a pruebas concretas y no demuestran por sí solos que todos los dispositivos del mercado puedan vulnerarse de la misma manera.

La herramienta de Netac tomó unos siete minutos en revelar una clave fija incorporada en el programa y una contraseña del usuario escrita en los registros de diagnóstico. Según la información presentada por Li, Netac aún no había publicado un parche para ese problema en el momento de la charla.

En USB Copy Protection, de KakaSoft, Codex reconstruyó en unos 26 minutos la contraseña interna que el programa generaba por sí mismo y descifró un archivo de prueba sin utilizar la contraseña del usuario. Copy Secure, de Nexcopy, cedió en alrededor de 10 minutos, cuando el análisis identificó que un certificado integrado en la aplicación visualizadora podía desbloquear la clave.

Estos sistemas de protección contra copias no persiguen exactamente el mismo objetivo que el cifrado de una unidad: buscan permitir que alguien vea archivos, pero impedir que los copie. Sin embargo, si la aplicación cliente contiene los elementos necesarios para reconstruir una contraseña o liberar una clave, un análisis del programa puede frustrar esa restricción.

Cuentas ocultas y límites de la protección del lado del cliente

En otro producto, YutianDun, de SecZure, Li encontró dos cuentas ocultas que describió como puertas traseras y que utilizaban contraseñas simples. La investigación las localizó mediante depuración de viaje en el tiempo, una técnica que permite recorrer paso a paso el rastro de ejecución de un programa y observar cómo llega a determinados resultados.

El hallazgo no permite concluir por sí solo que hubiera una intención maliciosa detrás de esas cuentas. Li señaló que no notificó los problemas a KakaSoft, Nexcopy ni SecZure porque, a su juicio, una unidad que ya está en manos de un atacante no puede retirarse o actualizarse fácilmente; esa decisión refleja un límite práctico de la remediación, no una confirmación sobre las intenciones de los fabricantes.

Como principio general, Li afirmó que “la validación del lado del cliente nunca es segura” y recomendó verificar por cuenta propia las promesas de seguridad. La advertencia apunta a que un programa instalado en la computadora del usuario puede inspeccionarse y modificarse, por lo que una contraseña, una clave o una comprobación que dependa exclusivamente de ese software podría quedar al alcance de quien analice el dispositivo.

La investigación también permite distinguir entre una tarjeta microSD como soporte y la forma en que se protege su contenido: usar una tarjeta no vuelve inseguro automáticamente un producto. Li citó como ejemplo una memoria USB de código abierto que cifra correctamente los datos y deriva la clave de la contraseña del usuario, de modo que leer la tarjeta por sí sola no entrega la información al atacante.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados