Un expert trouve des failles dans les clés Lenovo protégées
Le chercheur en cybersécurité Xusheng Li a mis au jour de sérieuses failles dans la protection de clés USB de plusieurs fabricants. L’attention s’est surtout portée sur la Lenovo ThinkPlus FU100, vendue comme un appareil doté d’un chiffrement matériel AES 256 bits et d’un lecteur d’empreintes digitales intégré.
La vérification a montré qu’elle renfermait en réalité un simple lecteur avec carte SD. Le lecteur d’empreintes se contente d’autoriser la connexion de l’appareil à l’ordinateur, tandis que les données elles-mêmes ne sont pas chiffrées. Selon HackingPassion, Li a décrit la clé comme une carte SD ordinaire dans un boîtier élégant et a précisé que toute personne ayant un accès physique peut en lire le contenu sans difficulté.
Des lacunes ont également été relevées sur un autre produit Lenovo, le SSD externe TSD303. Il chiffrait bien les données, mais lors de la vérification du mot de passe, il envoyait la bonne combinaison à l’ordinateur via USB en clair, ce qui permettait de l’intercepter facilement. Le premier correctif a supprimé cette transmission, mais employait une clé qu’il était possible de reconstituer à partir du logiciel. Seule une version ultérieure du micrologiciel a modifié le principe de fonctionnement : désormais, le disque vérifie lui-même le mot de passe saisi sans le transmettre à l’ordinateur.
L’étude a aussi porté sur des produits d’autres fabricants utilisant le même kit de développement que les disques Lenovo. Au total, neuf appareils différents ont été examinés. Dans la plupart des cas, un chercheur expérimenté pouvait obtenir le mot de passe, et deux disques stockaient leurs données sur des cartes microSD sans aucun chiffrement.
Pour la rétro-ingénierie, Li a utilisé Codex d’OpenAI ainsi que les outils de son entreprise. Ainsi, la protection du disque Netac a été contournée en environ sept minutes : l’IA a trouvé dans le programme une clé permanente intégrée, ainsi que le mot de passe de l’utilisateur, consigné dans les journaux de diagnostic. L’analyse des logiciels de protection contre la copie a révélé des problèmes similaires. KakaSoft USB Copy Protection s’appuyait sur un mot de passe interne généré par le logiciel lui-même ; Codex a reconstitué l’algorithme et déchiffré un fichier de test sans le mot de passe de l’utilisateur en 26 minutes environ. La protection de Nexcopy Copy Secure a été déjouée en une dizaine de minutes, la clé étant accessible via un certificat intégré à l’application de consultation des fichiers.
Dans le logiciel SecZure YutianDun, le chercheur a découvert deux comptes cachés protégés par des mots de passe simples. Il a pour cela recouru à un débogage avec retour en arrière sur la chronologie, qui a permis de suivre le fonctionnement du programme. Li a souligné que de telles failles ne prouvent pas, à elles seules, une intention malveillante de la part des fabricants. Il n’a pas prévenu KakaSoft, Nexcopy et SecZure, expliquant qu’un appareil tombé entre les mains d’un attaquant ne peut pratiquement pas être rappelé ni mis à jour.
Comme exemple d’approche plus fiable, le chercheur a cité le projet open source Phantomdrive. Il utilise lui aussi une carte microSD, mais chiffre les données avec une clé dérivée du mot de passe de l’utilisateur. Le simple retrait de la carte ne permet donc pas d’en lire le contenu.