联想 ThinkPlus FU100 指纹U盘被曝：宣称AES-256硬件加密，实测内部为明文SD卡

据 IT之家与 Tom's Hardware 2026年11月1日起报道，安全研究员 Xusheng Li 拆解联想 ThinkPlus FU100 指纹识别U盘后发现：产品营销宣称采用 AES-256 硬件加密，内部却是一张未加密的 SD 卡，拆壳即可明文读取数据。[1][2]

指纹识别器实际只控制U盘与电脑的 USB 通断，卡内文件并不受指纹功能保护。Li 在会议演讲中称，FU100「不过是花哨外壳里的一张 SD 卡」，并总结「所谓硬件安全可以纯属营销」。[2]

Li 约于前一年8月向联想报告该问题。临时方案是在 SD 卡上覆盖环氧树脂以提高拆卸难度；正式修复方案约于当年12月推出，覆盖 FU100、FU200、TU800 等型号。用户需拨打联想中国服务热线 +86 400-640-1886，核对序列号后寄回更换，或由工作人员上门升级固件；官方建议先备份并强烈建议寄回前清空数据。[1][2]

同批研究还涉及 ThinkPlus TSD303 指纹外置 SSD：其内部数据确经加密，但配置软件请求密码时，硬盘曾通过 USB 明文回传正确密码，监听通信即可截获。首版修复改为 SM4 等分组加密并依赖可推导密钥，仍不完整；约2025年12月的第二版改为由硬盘自行校验密码，正确口令不再离开设备。[1][2]

联想于2026年1月13日发布高危安全公告 LEN-210545，列出三个 CVE：[1]

• CVE-2025-13453：部分 ThinkPlus U 盘在拥有物理访问权限时可读取存储数据；

• CVE-2025-13454：配置软件可让本地已登录用户访问设备敏感信息；

• CVE-2025-13455：配置软件可让本地已登录用户绕过设备身份验证并注册不受信任的指纹。

外媒同源报道还提到，同一类 SDK 覆盖多家厂商设备，后续用 AI 辅助逆向又在其他「安全」U盘产品上发现硬编码密钥、后门账户等问题；本稿只固定联想 ThinkPlus 指纹U盘「宣称硬件加密 vs 实测明文 SD」这一主线。[2]

说明：以上据 IT之家、Tom's Hardware 对研究员 Xusheng Li 发现及联想公告 LEN-210545 的报道转述；营销宣称与实测结果并列呈现。更换/固件升级安排以联想官方服务渠道后续说明为准。

来源

[1] 联想 ThinkPlus 指纹识别 U 盘被曝严重安全漏洞：宣称 AES-256 硬件加密，实际数据明文保存于 SD 卡，IT之家，2026年11月1日。

[2] Lenovo's 'encrypted' fingerprint USB drive is just an unencrypted SD card in a fancy case，Tom's Hardware（Shane Downing），2026年11月1日。

#联想 #ThinkPlus #FU100 #指纹U盘 #AES-256 #LEN-210545

查看全文