Un análisis reciente de una unidad USB de Lenovo con autenticación por huella dactilar ha revelado una discrepancia significativa entre el marketing del producto y su mecánica interna. Aunque el dispositivo se posiciona como una solución de almacenamiento cifrado, el hardware no realiza en realidad operaciones criptográficas en los archivos almacenados en su interior. En su lugar, el escáner de huellas dactilares actúa como un interruptor físico: una vez que se proporciona una huella dactilar válida, el dispositivo habilita la conexión USB a una tarjeta SD interna que permanece completamente sin cifrar.
Esta elección de diseño significa que la seguridad de los datos depende únicamente de la integridad física de la carcasa del dispositivo. Debido a que los datos en la tarjeta SD no son transformados por ningún cifrado matemático, cualquier individuo que pueda evadir la carcasa externa o acceder a los componentes internos puede leer los archivos directamente. Esto contrasta con las unidades de cifrado de hardware reales, que utilizan un controlador dedicado para cifrar y descifrar datos a nivel de bit, asegurando que la información permanezca codificada incluso si el medio de almacenamiento es extraído del dispositivo.
La revelación ha generado un debate significativo sobre la fiabilidad de la seguridad de hardware propietaria. Los comentaristas en Hacker News expresaron una desconfianza general hacia el cifrado de hardware de 'caja negra', y algunos sugirieron que la única forma de garantizar la integridad de los datos es utilizar soluciones de software de código abierto como VeraCrypt o LUKS en tarjetas de memoria estándar. Si bien estos dispositivos de hardware ofrecen una experiencia de usuario premium al simplificar el proceso de autenticación, los críticos argumentan que pueden proporcionar una falsa sensación de seguridad. Algunos usuarios señalaron que, aunque tales dispositivos suelen ser exigidos por regulaciones gubernamentales, carecen de la seguridad verificable de la criptografía basada en software, la cual permite a los usuarios auditar el proceso de cifrado por sí mismos.