去年有位研究员把联想 ThinkPlus FU100 指纹 U 盘拆开了。包装上印着 AES-256 硬件加密，卖点全在「指纹」两个字上。拆完发现，电路板上贴着一张普通 SD 卡，文件明文躺在里面，一个字节都没加密。

指纹识别器干的活，是决定这块盘能不能跟电脑连上。它是开关，不是钥匙。手指按下去，门开了，可门后那间屋子从头到尾没锁。SD 卡抽出来插进读卡器，什么都不用按。

接下来这段最耐人寻味。研究员去年 8 月把问题报给联想，第一版「修复方案」是：往 SD 卡上盖一层环氧树脂，让拆下来更费劲。不是把加密补上，是把拆的人手弄疼。正式修复拖到去年 12 月才做。

同批被点名的还有朗科、KakaSoft、Nexcopy、御天盾，出自外媒 HackingPassion 本周报道。联想另一款 TSD303 指纹外置 SSD 更典型：数据确实加密了，可电脑那边一问「密码是多少」，它顺着 USB 线把密码明文递回去——能看见这条通信的人，密码直接到手。

后来联想出了新版本，不再发明文，改发一串加密数据。研究员起初以为那是哈希值，追进调试器才发现是 SM4 加密，密钥由一个像时间戳的数字生成，测试里是 2021012700000000。程序能推出的密钥，拆程序的人也能推。这段代码守的是流程，不是秘密。

这类小东西我拆过不少，规律挺一致：加密卖的是看不见的那部分，而看不见的最容易被省。指纹、AES-256、军工级、银行级，这些词都能印在包装盒上，一颗真正的安全芯片却得写进成本表。卖点可以写，成本不能涨，省的那一刀就落在你看不见的一侧。

生活里的类比：防盗门花三万块，墙是石膏板的；更贴切的是给抽屉装了指纹锁，抽屉底是纸板。锁是真的，指纹也是真的，只是保护的不是你以为的那样东西。

苹果做得最对的地方，恰恰是不出现在参数表里的那部分。iPhone 的密钥待在 Secure Enclave 里，从芯片里不出门，系统拿到的也是加密后的结果。这才是「硬件加密」四个字该有的样子。可惜买这类小配件时，没人给你看那层东西。

联想今年 1 月 13 日发了安全公告 LEN-210545，三枚 CVE，评级高危——其中一条就是配置软件能被绕过、注册不受信任的指纹。FU100 用户可拨 400-640-1886 申请免费换新或上门升级固件。

用它存过合同、体检报告、身份证扫描件的，值得花两分钟查型号。