話題
2026年11月2日
Lenovoの「暗号化」指紋認証USB、中身は無暗号のSDカードだった
Lenovoの指紋認証付きUSBメモリが、実際には暗号化を一切行わない、ただのSDカードをケースに収めただけの製品だったことが分解調査で判明し、Hacker Newsで話題になった。指紋センサーはUSB接続のオン・オフを切り替えるだけで、データ自体は裸のまま読み取れる状態だったという。スレでは、この手のハードウェア暗号化デバイスをそもそも信用すべきかという話から、「業界の規制で認証済み製品の使用を義務付けられている」という実務上の事情、MicrosoftのBitLockerの鍵預託機能が「バックドア」に当たるかという論争、さらには記事見出しのセミコロンがAI文章の特徴かという脱線まで、話題が広がった。
Lenovoの『暗号化』指紋認証USBメモリは、実はただのSDカードをケースに入れただけで暗号化すらされていなかった
出典: reddit.com / 元記事はこちら
2
海外の名無しさん
2026-11-01 16:09
基板をポッティング(樹脂で固める)加工すればまだ多少は安全にできただろうに、それだと数円のコストがかさむから省いたんだろうな。https://en.wikipedia.org/wiki/Potting_(electronics)
3
海外の名無しさん
2026-11-01 15:05
そもそもこの手の製品を信用してる人なんているのか?昔からひどい発想だと思ってた。正解は、こういうハードの上にフリーソフトウェアの暗号化を重ねて使うことだよ。
16
海外の名無しさん
2026-11-01 15:09
>>3 政府の規制で似たような製品を使わされたことがある。個人的には全然信用してなかったし、15分くらいかけて分解して調べてみたかったんだけど、データの扱いを決めてるのは政府側だったから自分の手には負えなかった。
17
海外の名無しさん
2026-11-01 15:16
>>3 USBメモリを使う人の大半はセキュリティや暗号化という概念自体は知ってるだろう。でも『フリーソフトウェアの暗号化を上に重ねる』なんて、一般人にとっては火星旅行くらい縁遠い話だよ。
18
海外の名無しさん
2026-11-01 16:09
>>3 うちは普通のものの8倍の値段がして、業界団体の認証が付いたやつを使わされてる。
5
海外の名無しさん
2026-11-01 16:11
これって違法にすべきレベルだろ。というかもう違法なんじゃないか?Lenovoは何か責任を問われるのか?
6
海外の名無しさん
2026-11-01 16:04
ハリウッド映画のハッカーものでこんなシーンが想像できる。暗号化USBを盗んだ男がそれを解読する。『どうやってデータを取り出したんだ?』『中身はただの暗号化されてないSDカードだったよ』地味な展開だけど、現実に忠実と言えばその通りだな。
7
海外の名無しさん
2026-11-01 14:56
リンク先記事はTom's Hardwareのこの記事。
23
海外の名無しさん
2026-11-01 15:09
>>7 そのリンク先がさらにリンクしてる記事はhackingpassion.comのこれ。
37
海外の名無しさん
2026-11-01 15:18
>>23 そのリンクのリンクのリンク先にある元ネタの講演動画がこれ。(実際は先にbinary.ninjaの記事を読む必要があるけどね:))
8
海外の名無しさん
2026-11-01 15:23
なんでTom's Hardwareへの直リンじゃなくてRedditへのリンクなんだ?
24
海外の名無しさん
2026-11-01 16:17
>>8 もっと深いよ。Tom's Hardwareの記事はさらに、ある講演をもとにしたブログ記事にリンクしてる。
9
海外の名無しさん
2026-11-01 15:28
AI登場以前、見出しにセミコロンを使うのは普通だった?Tom's Hardwareのこの見出しがやたら不自然に見える。『指紋認証はただUSB接続をオンにするだけで、カード自体は何も暗号化されていなかった』
25
海外の名無しさん
2026-11-01 16:03
>>9 マジかよ、もうセミコロン使うのやめなきゃいけないのか?馬鹿げてる。
26
海外の名無しさん
2026-11-01 16:08
>>9 教養のある読者向けのニュースを読んでいれば、セミコロンは昔から普通だったよ。
27
海外の名無しさん
2026-11-01 15:39
>>9 少し前ならダッシュ記号(—)が使われてただろうね。
10
海外の名無しさん
2026-11-01 15:15
中間管理職向けに電子ゴミを売りつけるための、ただのマーケティング用語の自己満足。
11
海外の名無しさん
2026-11-01 15:30
この製品が実際に売られてた商品ページ、誰か見つけられる?自分は見つからなかった。
13
海外の名無しさん
2026-11-01 15:23
普通のメモリカードにVeraCryptかeCryptを使えばいい話。こういう機器は『デバイス上での暗号化』を理由にプレミアム価格を取る価値なんてない、しかも今回は暗号化すらされてなかったわけだし。
14
海外の名無しさん
2026-11-01 15:16
こんなにひどいとは思わなかった。分解レビューを見るまでこの手の製品は信用しない。こんなものにOKを出したプロダクトマネージャーの気持ちを想像すると…。
31
海外の名無しさん
2026-11-01 15:37
>>14 今の状況からすると、そのプロダクトマネージャーはHacker Newsというサイトの存在すら知らないんじゃないか。
15
海外の名無しさん
2026-11-01 15:28
まあ、製品名が『FU』って時点でね…
19
海外の名無しさん
2026-11-01 16:11
>>3 少なくともIronKeyはまともな第三者評価を受けてる。
21
海外の名無しさん
2026-11-01 15:41
>>3 ビットコインを持ってるある人物が知ってるモデルがあって、それなら信用できると思う。
28
海外の名無しさん
2026-11-01 15:42
>>9 長すぎてひどい見出しだとは思うけど、文法的には正しいよね。自分にはAI文章っぽく見えないんだけど、なぜそう思うの?
30
海外の名無しさん
2026-11-01 15:43
>>12 『MicrosoftのBitLockerには少なくとも1つバックドアがあったことが分かっている』って、出典は?自分が見つけた中で近いのはMicrosoftのキーエスクロー(鍵の預託)システムだけど、それは公開文書にちゃんと書いてあって設定時にもはっきり明示されるものだから『バックドア』とは言い難い。
39
海外の名無しさん
2026-11-01 15:57
>>30 『YellowKey』で調べてみて。特殊に加工したNTFSのトランザクションログを使うと、透過的暗号化を使っているBitLockerドライブなら解除できてしまう。これが意図的なバックドアだったと考える人もいて、議論が分かれてるところ。自分もどちらとも言い切れない。
44
海外の名無しさん
2026-11-01 16:03
>>39 『透過的暗号化を使っているBitLockerドライブなら』について言うと、それはMicrosoft自身もセキュリティ的には『ごっこ遊び』に近いと認めてるレベル。何もないよりはマシだけど、本格的な攻撃に耐える前提のものじゃない。YellowKeyの手口を使わなくても、TPMへのインターポーザー攻撃で突破できる。
33
海外の名無しさん
2026-11-01 15:59
>>16 まさにそこなんだよ。こういう機器は『ちゃんと機能する』ことが目的じゃなくて、チェックリストの項目を満たすことが目的なんだ。
34
海外の名無しさん
2026-11-01 15:21
>>17 自分の知ってる『普通の人』の大半は、オープンソースの暗号化は『オープン』だから安全性が低いと思ってる(そもそもオープンソース暗号化という概念自体を知らない人も多い)。見る人が多いほど暗号は安全になりやすいと説明しても、大半の人の考えはびくとも変わらない。
35
海外の名無しさん
2026-11-01 16:04
>>20 AES256の鍵を総当たりで破るなんて無理。パスワードが弱いならそれはユーザー側の問題。
36
海外の名無しさん
2026-11-01 15:50
>>20 『正しく実装されていれば』という前提が大きな留保だよ。ハードウェア実装のほとんどは、そもそも検証(オーディット)できる形になっていない。自分の基本的な前提としては、良い商用製品でも本気の攻撃者は防げても、諜報機関クラスには通用しない。諜報機関に対しても安全なものは、そもそも諜報機関にしか売られていない。
42
海外の名無しさん
2026-11-01 15:59
>>36 『諜報機関に対しても安全なものは諜報機関にしか売られていない』というのは、製品に仕込まれたバックドアの数を実際のバグとの比較で過大評価しすぎてると思う。最近の脆弱性報告を見ても、意図せず生まれたバグはいくらでもある。
43
海外の名無しさん
2026-11-01 15:33
>>37 隠しアカウントに『123456』という鉄板の安全なパスワードを使うまた一つの実例だね(笑)
この話題の背景と論点
この話題の発端は、セキュリティ研究者がBinary Ninjaの解析記事で、Lenovoの指紋認証付きUSBメモリの基板を分解し、指紋認証が単にUSBの電気的な接続をオン・オフするだけで、データの暗号化には一切関与していないことを示したことにある。スレで割れたのは「ハードウェア暗号化デバイスは最初から信用に値しない」という立場と、「政府や業界の規制でそうした認証済み製品の使用を義務付けられている現場もある」という立場で、理想と実務のギャップが浮き出た形だ。またMicrosoftのBitLockerについて「鍵預託(キーエスクロー)機能」と「バックドア」を同じものとして語る人がいたが、両者は意図の透明性という点で別物であり、過去に報告されたNTFSログを使った回避手法(通称YellowKey)が意図的な脆弱性だったかどうかも技術者の間で見解が分かれている。記事中で名前が挙がった「IronKey」は独立機関の評価を受けている製品の一例で、ハードウェア暗号化デバイスすべてが同じリスクを抱えているわけではない点は留意したい。
※本記事は海外掲示板 Hacker News のスレッド「Lenovo’s ‘encrypted’ fingerprint USB is just an unencrypted SD card in a case」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。