Lenovo製「暗号化」指紋認証USBの正体はただのSDカード
原題: Lenovo's 'encrypted' fingerprint USB is just an unencrypted SD card in a case
なぜ重要か
「暗号化ストレージ」市場における製品表記の信頼性問題として、企業の調達基準やセキュリティ製品の審査プロセスに波及しうる事案だ。
Lenovoが販売する指紋認証付き「暗号化」USBドライブが、実際には暗号化されていない通常のSDカードをケースに収めただけの製品であることが判明した。セキュリティ研究者による分解・検証によって明らかになったもので、製品の「暗号化」という表記が実態と大きく乖離していると指摘されている。
Lenovoが販売する指紋認証付きUSBドライブが、セキュリティ研究者の検証によって実態を暴かれた。外観上は指紋センサーを備えた「暗号化ストレージ」として販売されているが、分解すると内部は市販の普通のSDカードをケースに入れただけの構造であることが確認された。
データの保護に用いられるはずのハードウェア暗号化チップは存在せず、指紋認証の仕組みもデータそのものを暗号化するためではなく、単純なアクセスロック程度の機能にすぎない可能性が高い。つまり、ケースを物理的に開封するか、あるいは内部のSDカードを直接取り出せば、認証を一切経由せずにデータへアクセスできる状態だという。
この問題はRedditのr/technologyコミュニティで広く拡散し、多数のユーザーが「セキュリティ製品としての表示が誤解を招く」と批判している。企業や個人が機密データの保護を目的に購入した場合、実際には何の保護も得られていない可能性がある。
Lenovoは本件に関して現時点で公式なコメントを発表していない。製品ページでの「暗号化」という記載が景表法や消費者保護法に抵触するかどうかも注目される。セキュリティ専門家は、ハードウェア暗号化を謳う製品を購入する際には独立した第三者機関の検証レポートを確認することを推奨している。