USB vân tay "mã hóa" của Lenovo chỉ là thẻ SD không mã hóa trong vỏ

Chiếc USB tích hợp cảm biến vân tay được Lenovo tiếp thị như một giải pháp lưu trữ an toàn đã bị "bóc mẽ" theo cách khó ngỡ nhất: bên trong lớp vỏ hào nhoáng ấy chỉ là một thẻ SD thông thường, hoàn toàn không có bất kỳ lớp mã hóa nào.

Cảm biến vân tay chỉ là "cửa ngõ", không phải mã hóa

Theo phát hiện được chia sẻ trên Reddit, thiết bị này sử dụng cảm biến vân tay để đóng vai trò như một công tắc truy cập: khi xác thực thành công, dữ liệu trên thẻ SD mới được "mở khóa" để hệ điều hành đọc được. Tuy nhiên, bản thân dữ liệu trên thẻ không hề được mã hóa.

Điều này có nghĩa là bất kỳ ai tháo được thẻ SD ra khỏi vỏ và cắm trực tiếp vào đầu đọc thẻ đều có thể truy cập toàn bộ nội dung bên trong mà không cần vân tay. Lớp bảo vệ duy nhất chính là phần vỏ nhựa và mạch điều khiển gắn cảm biến — một rào cản vật lý chứ không phải một cơ chế mật mã.

"Mã hóa" và "kiểm soát truy cập bằng vân tay" là hai khái niệm hoàn toàn khác nhau. Trộn lẫn chúng trong tiếp thị là hành vi gây hiểu nhầm cho người dùng.

Vì sao đây là vấn đề nghiêm trọng

Với người dùng phổ thông, cụm từ "USB mã hóa vân tay" tạo ra cảm giác an tâm tuyệt đối: mất thiết bị cũng không lo lộ dữ liệu. Nhưng thực tế, nếu kẻ gian có chút hiểu biết kỹ thuật, chúng chỉ cần tháo ốc, lấy thẻ SD ra là xong.

• Rủi ro mất dữ liệu: Ổ USB rơi vào tay người khác đồng nghĩa với việc toàn bộ tệp tin có thể bị sao chép.
• Rủi ro pháp lý và tuân thủ: Các tổ chức yêu cầu lưu trữ dữ liệu nhạy cảm theo chuẩn mã hóa sẽ không thể dùng thiết bị này để đáp ứng quy định.
• Rủi ro niềm tin: Người tiêu dùng mua sản phẩm dựa trên lời quảng cáo, và đây là dạng tiếp thị dễ bị coi là phóng đại quá mức.

Bài học cho người dùng Việt Nam

Tại Việt Nam, các thiết bị lưu trữ gắn nhãn "bảo mật vân tay" cũng xuất hiện khá phổ biến trên các sàn thương mại điện tử với mức giá dao động từ vài trăm nghìn đến vài triệu đồng. Người mua thường không có cách nào kiểm chứng bên trong thiết bị cho đến khi... có người tháo ra.

Một số lưu ý khi chọn thiết bị lưu trữ bảo mật:

• Tìm chuẩn mã hóa cụ thể: Các sản phẩm nghiêm túc thường công bố rõ thuật toán như AES-256 cùng chứng nhận phần cứng (ví dụ FIPS 140-2/3).
• Ưu tiên mã hóa phần cứng thực sự: Những ổ đĩa như dòng IronKey hay các thiết bị có chip bảo mật chuyên dụng sẽ mã hóa dữ liệu ngay ở tầng phần cứng, không phụ thuộc vào việc tháo lắp.
• Cảnh giác với giá rẻ bất thường: Một chiếc USB có cảm biến vân tay và chip mã hóa thực thụ có giá thành sản xuất cao hơn nhiều so với vỏ nhựa cộng thẻ SD.
• Tự mã hóa trước khi lưu: Dù dùng thiết bị nào, việc bọc dữ liệu trong các công cụ như VeraCrypt vẫn là lớp bảo vệ đáng tin cậy nhất.

Góc nhìn kỹ thuật: "Bảo mật" cần được định nghĩa rõ ràng

Sự việc này phản ánh một vấn đề rộng hơn trong ngành phần cứng tiêu dùng: ranh giới giữa kiểm soát truy cập và mã hóa thường bị xóa nhòa trong tài liệu tiếp thị. Kiểm soát truy cập chỉ ngăn người không có quyền sử dụng thiết bị theo cách thông thường, còn mã hóa đảm bảo rằng ngay cả khi dữ liệu bị sao chép, nó vẫn vô nghĩa nếu không có khóa.

Với các nhà sản xuất, đây là lời nhắc nhở rằng người dùng ngày càng tinh ý và cộng đồng công nghệ sẵn sàng "mổ xẻ" sản phẩm. Một khi khoảng cách giữa lời quảng cáo và thực tế bị phát hiện, thiệt hại về uy tín sẽ lớn hơn nhiều so với chi phí tiết kiệm được từ việc bỏ qua lớp mã hóa thực sự.