Cảnh báo LEN-210545 của Lenovo liệt kê ThinkPlus FU100, FU200, TU800 và TSD303 sau khi các nhà nghiên cứu chỉ ra những điểm yếu khác nhau trong nhóm thiết bị lưu trữ USB. Trường hợp FU100 đáng chú ý vì vân tay chỉ kiểm soát việc thiết bị có được nối với máy tính hay không, trong khi dữ liệu trên thẻ SD bên trong vẫn đọc được khi tháo ra.

Đây là khác biệt giữa kiểm soát truy cập và mã hóa. Khóa truy cập ngăn người dùng thông thường mở thiết bị; mã hóa biến dữ liệu thành bản mã và cần khóa phù hợp để khôi phục. Một sản phẩm có màn hình nhập mật khẩu hoặc cảm biến vân tay không tự chứng minh rằng tệp đã được mã hóa.

Phân tích của Xusheng Li còn mở rộng sang NetacFileLock, KakaSoft, Nexcopy và SecZure. Các lỗi được công bố liên quan đến khóa được ghi sẵn trong chương trình, mật khẩu chỉ dùng để đối chiếu, dữ liệu cấu hình chứa thông tin giải mã hoặc tài khoản mặc định. Những kết quả này chỉ áp dụng cho phiên bản và cách thiết lập được nghiên cứu.

FU100 dùng vân tay để kiểm soát kết nối

Tài liệu trình bày của Xusheng Li tại RE//verse mô tả FU100 sau khi tháo vỏ. Bên trong là một thẻ SD thông thường, còn chức năng vân tay đóng vai trò như cổng kiểm soát USB. Khi thẻ được lấy ra và đọc bằng thiết bị khác, tệp không được bảo vệ bằng lớp mã hóa tương ứng.

Nhãn phần cứng mã hóa và AES-256 chỉ cho biết sản phẩm nhắc đến một thuật toán cùng độ dài khóa. Chúng không trả lời ba câu hỏi quan trọng: khóa được tạo từ đâu, mật khẩu có tham gia tạo khóa hay không, và dữ liệu có được mã hóa toàn bộ hay chỉ một phần. Với FU100, vân tay không được chuyển thành khóa giải mã tệp.

Lenovo cho biết đã bổ sung giải pháp phần cứng sau khi nhận báo cáo. Cảnh báo công bố vào tháng 1/2026 cũng yêu cầu người dùng sao lưu và xóa hoặc định dạng dữ liệu trước khi gửi thiết bị đi nâng cấp. Nhựa epoxy được dùng trong giai đoạn trung gian để làm khó việc tháo thẻ, nhưng đó không phải là mã hóa dữ liệu.

Bốn mẫu trong cảnh báo không có cùng kết luận

CVE-2025-13453 liên quan khả năng người có tiếp xúc vật lý đọc dữ liệu trên một số ổ USB. CVE-2025-13454 liên quan người dùng đã đăng nhập cục bộ truy cập thông tin nhạy cảm trong phần mềm cấu hình. CVE-2025-13455 liên quan việc vượt qua xác minh thiết bị và đăng ký vân tay không được tin cậy.

TSD303 khác FU100 ở chỗ nghiên cứu cho biết tệp có mã hóa. Điểm yếu nằm trong quá trình xác minh mật khẩu của phiên bản cũ: mật khẩu được truyền về máy tính dưới dạng đọc được, sau đó phiên bản sửa đổi chuyển sang mật mã SM4 nhưng khóa vẫn phục hồi từ dữ liệu tương tự dấu thời gian. Lenovo cho biết những bước xử lý sau đó chuyển việc xác minh về thiết bị.

FU200 và TU800 chỉ được xác nhận là nằm trong danh sách bị ảnh hưởng của cảnh báo. Tài liệu công khai được kiểm tra không đủ để kết luận hai mẫu này có cùng cấu trúc với FU100. Người dùng không nên lấy kết quả tháo thẻ của một mẫu để áp dụng cho toàn bộ dòng sản phẩm.

Cảnh báo hướng người dùng gọi số hậu mãi tại Trung Quốc để xác minh số sê-ri, rồi chọn gửi thiết bị thay thế hoặc nâng cấp tại chỗ. Văn bản không nêu phạm vi tiếp nhận tại Việt Nam. Người mua tại Việt Nam nên hỏi nơi bán hoặc kênh hỗ trợ Lenovo bằng đúng mã sản phẩm và số sê-ri, đồng thời giữ một bản sao dữ liệu trước khi giao thiết bị.

Các sản phẩm khác cho thấy mật khẩu đôi khi chỉ là giao diện

Phân tích trên Binary Ninja Blog ghi nhận NetacFileLock dùng khóa AES-256 cố định trong tệp thực thi. Mật khẩu người dùng được kiểm tra riêng, không quyết định khóa mã hóa. Phân tích cũng ghi nhận chế độ nhanh chỉ xử lý một phần dữ liệu của các tệp lớn trong bối cảnh thử nghiệm và phần mềm ghi mật khẩu vào nhật ký chẩn đoán.

Cùng bài viết thử nghiệm KakaSoft USB Copy Protection 5.6.0.299. Chế độ thường chỉ ẩn hoặc khóa tệp; chế độ cao dùng phép XOR trên phần đầu; chế độ cao nhất ghi nhãn Blowfish 256 bit nhưng nhà nghiên cứu vẫn tìm được cách giải mã không cần mật khẩu người dùng. Khoảng 26 phút và sáu lời nhắc là thời gian của lần thử đó, không phải cam kết rằng mọi thiết bị đều bị phá trong cùng khoảng thời gian.

Bài phân tích tiếp theo mô tả Nexcopy Copy Secure và SecZure trong các phiên bản được kiểm tra. Nexcopy đặt khóa nội dung và vectơ khởi tạo trong tệp cấu hình, còn ứng dụng chứa chứng thư giúp giải mã. Với SecZure, nhà nghiên cứu tìm thấy hai tài khoản không hiển thị trên giao diện quản trị nhưng mở được dữ liệu cần cho việc suy ra khóa. Bài viết gọi đây là một dạng cửa hậu về mặt kỹ thuật, đồng thời không dùng kết quả đó để kết luận về ý đồ của nhà sản xuất.

FIPS 140-2 và FIPS 140-3 xác nhận mô-đun mật mã cùng phiên bản cụ thể. Tên tiêu chuẩn không đủ để chứng minh toàn bộ thiết bị, phần mềm quản lý và quy trình lưu khóa đều an toàn. Khi đọc chứng nhận, cần đối chiếu đúng mô-đun, nền tảng và trạng thái được nêu trong hồ sơ.

Tại Việt Nam thì sao

Người mua USB tại Việt Nam thường phải phân biệt ba việc: tìm sản phẩm đang được bán, xác nhận chính sách hỗ trợ của đúng kênh bán và kiểm tra cơ chế bảo vệ tệp. Không nên lấy giá niêm yết của một sàn thương mại điện tử làm bằng chứng về tính an toàn hoặc phạm vi bảo hành. Giá thay đổi theo nhà bán, thời điểm và phiên bản; trong các nguồn đã kiểm tra, chúng tôi chưa tìm thấy bảng giá chính thức chung cho FU100, FU200, TU800 hoặc TSD303 tại Việt Nam.

Với sản phẩm đã mua, người dùng nên ghi lại mã đầy đủ, số sê-ri, phiên bản phần mềm và nơi mua trước khi hỏi hỗ trợ. Câu hỏi cần tách thành hai phần: thiết bị có được tiếp nhận tại Việt Nam hay không, và dữ liệu được bảo vệ bằng mã hóa ở bộ nhớ hay chỉ bằng khóa kết nối. Nếu phải gửi thiết bị đi, cần sao lưu sang một nơi khác, xóa dữ liệu theo hướng dẫn chính thức và giữ lại biên nhận. Không nên tự tháo ổ đang chứa dữ liệu quan trọng chỉ để kiểm tra thẻ nhớ.

Nghị định số 13/2023/NĐ-CP trên Cổng Thông tin điện tử Chính phủ Việt Nam quy định khung bảo vệ dữ liệu cá nhân. Văn bản này không chỉ định một nhãn USB, thuật toán hay mức giá cụ thể cho mọi trường hợp. Tuy vậy, tổ chức thu thập và xử lý dữ liệu cá nhân tại Việt Nam cần xem xét biện pháp bảo vệ phù hợp với dữ liệu mình quản lý. Với hồ sơ nhân sự, thông tin khách hàng hoặc bản sao giấy tờ, bộ phận phụ trách dữ liệu nên ghi nhận ai giữ khóa, ai được truy cập và cách thu hồi quyền khi thiết bị thất lạc.

Doanh nghiệp tại Việt Nam nên yêu cầu nhà cung cấp trả lời bằng tài liệu thay vì chỉ dựa vào quảng cáo: phạm vi mã hóa, cách tạo và khôi phục khóa, nơi xác minh mật khẩu, khả năng đọc dữ liệu khi tháo bộ nhớ, lịch sử phiên bản và quy trình xử lý khi phát hiện lỗi. Nếu nhà cung cấp không trả lời được, một phương án dễ kiểm tra hơn là dùng công cụ mã hóa tệp hoặc ổ đĩa do tổ chức tự quản lý khóa, rồi lưu bản sao phục hồi tách khỏi USB.

Đối với cá nhân, nên thử bằng tệp không nhạy cảm trên một bản sao. Khi thiết bị bị khóa, hãy kiểm tra xem hệ điều hành hoặc một máy khác có còn đọc được tệp hay không. Thử nghiệm này không chứng minh an toàn tuyệt đối, nhưng giúp phát hiện trường hợp giao diện khóa chỉ kiểm soát phần mềm. Tại Việt Nam, nếu cần xác nhận nghĩa vụ bảo vệ dữ liệu cho một quy trình cụ thể, doanh nghiệp nên hỏi bộ phận pháp chế hoặc cơ quan có thẩm quyền thay vì tự suy ra từ tên sản phẩm.

Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy thông báo chính thức của cơ quan chức năng Việt Nam về việc các mẫu ThinkPlus nêu trên đã được bán, thu hồi hoặc nâng cấp theo một quy trình riêng trong nước. Khoảng trống này không chứng minh sản phẩm không có người dùng tại Việt Nam. Nó chỉ có nghĩa là người dùng cần xác nhận từng trường hợp với nơi mua hoặc hãng, thay vì áp dụng số điện thoại và điều kiện hậu mãi trong thông báo dành cho Trung Quốc.

Cách kiểm tra một USB có thật sự mã hóa

  1. Xác định đối tượng được bảo vệ: kiểm tra sản phẩm đang khóa kết nối, quyền sao chép hay nội dung lưu trữ. Vân tay và thư mục ẩn không đủ để chứng minh tệp là bản mã.
  2. Hỏi về nguồn khóa: mật khẩu có tham gia tạo khóa không, khóa có cố định trong phần mềm không, và thiết bị có thể đưa khóa ra ngoài mà không cần mật khẩu không.
  3. Đối chiếu phiên bản: ghi đúng mã sản phẩm, thế hệ, firmware và phần mềm. Ngoại hình giống nhau không có nghĩa cấu trúc bên trong giống nhau.
  4. Thử bằng dữ liệu không nhạy cảm: kiểm tra bản sao trên một máy khác hoặc bộ đọc khác, nhưng không tháo thiết bị đang chứa dữ liệu quan trọng.
  5. Sao lưu trước khi sửa: nếu sản phẩm nằm trong cảnh báo, giữ một bản sao dùng được, hỏi kênh hỗ trợ chính thức và xóa dữ liệu theo hướng dẫn trước khi gửi đi.

Các công cụ như VeraCrypt, BitLocker To Go hoặc gpg có cách vận hành và cơ chế khôi phục khác nhau. Nếu dùng chúng, người dùng vẫn phải bảo vệ mật khẩu, khóa phục hồi và bản sao lưu. Cần xác định dữ liệu biến thành bản mã ở đâu, khóa do ai kiểm soát và dữ liệu có còn đọc được sau khi rời khỏi thiết bị ban đầu hay không.

Năm bước kiểm tra gồm xác nhận mã sản phẩm, đọc cảnh báo, sao lưu dữ liệu, hỏi kênh hỗ trợ và xử lý theo hướng dẫn

Điểm cần nhớ khi chọn thiết bị

Vân tay hoặc mật khẩu giúp giới hạn quyền sử dụng thiết bị nhưng không tự chứng minh tệp đã được mã hóa. Bốn mẫu ThinkPlus trong cảnh báo Lenovo có phạm vi vấn đề khác nhau, còn các sản phẩm NetacFileLock, KakaSoft, Nexcopy và SecZure chỉ được đánh giá trong những phiên bản cụ thể. Với dữ liệu nhạy cảm, cần kiểm tra nguồn khóa, đường đi của dữ liệu, phiên bản thiết bị và khả năng phục hồi trước khi giao cho một USB.

Tệp được mã hóa trước khi lưu vào USB, còn khóa phục hồi được sao lưu ở nơi tách biệt

Câu hỏi thường gặp

Mẫu ThinkPlus của tôi nằm trong cảnh báo thì nên làm gì?
Ghi lại đúng mã sản phẩm và thế hệ, sao lưu dữ liệu, sau đó hỏi nơi mua hoặc kênh hỗ trợ Lenovo về phạm vi tiếp nhận và cách sửa. Số hậu mãi trong cảnh báo được mô tả cho Trung Quốc, nên không tự mặc định áp dụng tại Việt Nam.

Chỉ cần nhập mật khẩu hoặc vân tay mới đọc được tệp có nghĩa là đã mã hóa không?
Chưa chắc. Cơ chế đó chỉ khóa kết nối hoặc quyền thao tác của phần mềm trong một số thiết kế. Cần kiểm tra định dạng dữ liệu trên bộ nhớ và cách mật khẩu tham gia tạo hoặc mở khóa.

Nhãn AES-256 có đủ để đánh giá một USB an toàn không?
Không. Cần biết khóa có bị ghi cố định trong chương trình không, toàn bộ tệp có được mã hóa không và quy trình giải mã có để lộ khóa hoặc mật khẩu cho phần mềm không đáng tin cậy không.

Dùng VeraCrypt, BitLocker To Go hoặc gpg thì có thể bỏ qua sao lưu không?
Không. Mất mật khẩu hoặc khóa phục hồi khiến dữ liệu không thể lấy lại. Bản sao phục hồi nên được giữ tách khỏi USB được mã hóa và phải được kiểm tra trước khi cần dùng.