نگاهی فنی به رسوایی امنیتی فلش مموری اثر انگشت لنوو؛ وقتی رمزنگاری تنها یک کلاهبرداری سخت‌افزاری است — Lenovo's 'encrypted' fingerprint USB is just an unencrypted SD card in a case
خلاصه
بررسی‌ها نشان می‌دهد فلش مموری موسوم به رمزنگاری‌شده و حسگر اثر انگشت لنوو در واقع یک کارت حافظه SD معمولی و بدون رمزنگاری است که در یک محفظه قرار دارد. این مسئله اهمیت اعتماد نکردن به راهکارهای امنیتی انحصاری و لزوم استفاده از ابزارهای متن‌باز را برای مهندسان نرم‌افزار برجسته می‌کند.
در دنیای امنیت سخت‌افزار، اعتماد یکی از حیاتی‌ترین مؤلفه‌هاست. هنگامی که محصولی با عنوان «فلش مموری رمزنگاری‌شده مجهز به حسگر اثر انگشت» به بازار عرضه می‌شود، خریداران انتظار دارند با مکانیزمی پیشرفته و امن روبه‌رو شوند. با این حال، بررسی‌های اخیر روی یکی از محصولات لنوو نشان داده است که واقعیت فنی پشت این گجت‌ها گاهی تفاوت زمین تا آسمانی با ادعاهای سازندگان دارد.
ماجرای از چه قرار است؟
بر اساس گزارش‌های منتشرشده، این محصول امنیتی لنوو در عمل فاقد هرگونه تراشه سخت‌افزاری برای رمزنگاری داده‌هاست. مهندسانی که این دستگاه را کالبدشکافی کرده‌اند متوجه شده‌اند که کل این سیستم امنیتی پیچیده، صرفاً یک کارت حافظه SD معمولی و کاملاً غیراستاندارد است که درون بدنه‌ای با ظاهر مدرن و یک حسگر اثر انگشت قرار گرفته است. به بیان ساده‌تر، اثر انگشت کاربر نقشی در باز کردن قفل رمزنگاری داده‌های روی دیسک ندارد، زیرا اصلا هیچ رمزنگاری واقعی در سطح سخت‌افزار صورت نگرفته است.
چرا این مسئله خطرناک است؟
برای توسعه‌دهندگان و متخصصان امنیت، این خبر یادآور یک اصل قدیمی است: امنیت مبهم (Security through obscurity) یا راهکارهای انحصاری (Proprietary) فاقد ارزش واقعی هستند. در این محصول:
- هیچ لایه رمزنگاری واقعی (مانند AES) روی تراشه حافظه پیاده‌سازی نشده است.
- با خارج کردن کارت حافظه داخلی و اتصال مستقیم آن به رایانه، تمام اطلاعات بدون نیاز به اثر انگشت یا رمز عبور قابل دسترسی هستند.
- این امر خطای کاذب امنیتی ایجاد می‌کند؛ کاربران با تصور اینکه داده‌هایشان محافظت می‌شود، اطلاعات حساسی را روی دستگاه قرار می‌دهند در حالی که امنیت آن عملاً صفر است.
دیدگاه جامعه مهندسی
در بحث‌های شکل‌گرفته پیرامون این موضوع، کاربران و توسعه‌دهندگان به شدت به چنین محصولاتی انتقاد کرده‌اند. کامنت‌گذاران در جوامع تخصصی تأکید می‌کنند که اصولاً نباید به سخت‌افزارهای رمزنگاری‌نشده و جعبه‌سیاه (Black-box) اعتماد کرد. نظر غالب این است که رویکرد صحیح، استفاده از نرم‌افزارهای متن‌باز و استانداردهای اثبات‌شده مانند LUKS یا VeraCrypt بر روی سخت‌افزارهای ساده و قابل اعتماد است، نه تکیه بر گجت‌های تجاری مشکوک که امنیت را تنها به عنوان یک ابزار بازاریابی به کار می‌گیرند.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل