요약
레노버의 ‘암호화’ 지문 인식 USB가 실은 케이스에 넣은 암호화 안 된 SD 카드라는 폭로입니다.
레딧 r/technology에 올라온 글로, 제목에 따르면 암호화를 내세운 레노버의 지문 인식 USB 안에는 암호화되지 않은 SD 카드가 들어 있습니다. 원문을 읽지 못했습니다.
HN 반응
- 일부 이용자는 케이스를 열어 SD 카드를 리더에 꽂으면 바로 읽히고, 지문 인식은 USB 연결만 켜고 끈다고 설명했습니다.
- 레노버의 과거 백도어(몰래 접근하는 통로) 전력을 들어 믿을 수 없다는 비판과, 펌웨어 위험은 모든 제조사의 문제라는 반론이 맞섰습니다.
레노버 건에서 Codex가 뭘 도왔다는 건지 모르겠네요. 필요한 건 USB를 열어서 SD카드를 컴퓨터에 꽂는 게 전부였는데요.
이러고도 레노버가 보안 하드웨어를 만든다고 계속 신뢰받는다는 게 말이 안 됩니다. 이쯤 되면 취약점이라고 부를 수준도 아니에요. 이게 어떻게 어떤 형태로든 보안 검토를 통과했는지, 설계를 검토하고 승인한 사람이 있다는 건 더더욱 이해가 안 됩니다. 자기들이 내세운 것과 전혀 다른 물건이라는 걸 알았을 텐데도 팔기로 한 거겠죠.
레노버는 이미 자사 기기에 백도어를 심은 전력이 있고, 어떤 때는 돈을 받고 그랬습니다. 이런 회사를 뭐든 믿는 사람이 있다는 게 어이없습니다. https://en.wikipedia.org/wiki/Levono#Security_and_privacy_incidents
제 레노버 노트북이 안전하다고 어떻게 확신할 수 있을까요? OS는 깨끗하게 새로 설치했는데, 메인보드 펌웨어를 덤프해서 AI한테 디컴파일을 시켜야 할까요? 블로트웨어를 숨길 만한 곳이 또 있나요? 메인 스토리지와 메인보드 펌웨어 말고요.
네트워크 카드 펌웨어도 확인해야 할까요? CPU에 내장된 OS로 특정 명령을 넘기는 규칙을 넣어 놨을 수도 있잖아요.
스토리지 펌웨어에 숨길 수 있습니다. Sprites Mods는 일반 소비자용 하드디스크에 JTAG을 연결해서 CPU를 알아내고, 펌웨어를 덤프하고, 수정해서 다시 써 넣었습니다. 디스크에 쓰는 어떤 데이터에서든 특정 문자열이 보이면 악의적인 모드로 들어가고, 이후 유닉스 비밀번호 파일처럼 보이는 것을 발견하면 미리 정해 둔 값으로 바꿔치기합니다. 예를 들어 웹 서버에 쿼리 스트링 부분에 그 마법의 문자열을 넣은 요청을 보낸 다음, 그 서버에 ssh로 접속해 알고 있는 비밀번호로 로그인하는 식입니다. 펌웨어가 드라이브 안에 있으니 OS를 다시 설치해도 아무 소용이 없습니다. 물리적 접근 없이 온라인으로 펌웨어를 다시 프로그래밍하는 것도 가능했습니다. 하지만 말 그대로 뭐든 침해될 수 있습니다. DIMM이 특정 비트를 감시하다가 그걸 보면 코드를 바꿔치기해서, 국가 차원의 공격자가 원할 때마다 내 컴퓨터에서 코드를 돌리게 할 수도 있어요. CPU도 마찬가지입니다. 특정 체크섬이 나오는 아주 긴 바이트열을 보는 순간 링 0이나 링 -1, SMM 모드로 넘어가게 만들 수 있죠.
https://spritesmods.com/?art=hddhack&page=1
흥미로운 사고 실험이긴 한데, 실제로는 통하지 않습니다.
dm-crypt나 zfs 암호화, 그 밖에 흔히 쓰는 암호화는 데이터를 디스크에 쓰기 전에 암호화합니다. 그러니 디스크 컨트롤러는 암호화 키가 없어서 쓰기든 읽기든 아무것도 할 수 없습니다.
기사 주제와 관련된 핵심은, 기기 안에서 돌아가는 수많은 컨트롤러가 거의 들여다볼 수 없는 블랙박스라는 점입니다(레노버만의 문제도 아니고요). 하드웨어 암호화 USB 스틱의 암호화 엔진은 상황을 더 어렵게 만듭니다. 그런 기능을 구현할 수도 있는데, 펌웨어를 덤프하거나 실리콘에 구현된 기능을 들여다보기는 아마 극도로 어렵게 만들어져 있을 겁니다.
dm-crypt나 zfs 암호화 같은 소프트웨어 암호화를 쓴다면 굳이 하드웨어 암호화까지 신경 쓸 필요가 없습니다. 소프트웨어 암호화가 더 믿기 쉬워요. 같은 암호화 방식을 구현한 상호 호환되는, 심지어 오픈소스인 구현이 많고, 출력도 공개된 포맷으로 읽을 수 있어서 필요하면 서로 대조해 검증할 수 있습니다.
이런 "하드웨어 암호화" 제품을 사는 사람들은 대부분 그걸 쓰면 기기로 들어가고 나오는 데이터에 소프트웨어 암호화가 필요 없어진다고 믿기 때문에 사는 겁니다.
>스토리지 펌웨어에 숨길 수 있습니다
쓰신 내용은 전부 레노버만의 위험이나 취약점이 아니라 전 세계에서 팔리는 모든 컴퓨팅 기기에 해당하는 얘기입니다.
맞는 말이지만, 레노버는 실제로 그런 짓을 하고, 고객에게 거짓말해서 취약한 상태로 두면서 가짜 안정감을 준다는 걸 여러 번 보여 줬습니다. 몇 번이나 적발된 뒤에도 고객을 계속 위험에 빠뜨리고 있고요.
> 제 레노버 노트북이 안전하다고 어떻게 확신할 수 있을까요?
못 합니다.
솔직히 그러면 잠깐 인터넷에서 유명해지긴 하겠네요 ㅋㅋ
씽크패드 계보 덕분에 레노버가 노트북 제조사 중 가장 믿을 만한 곳 중 하나라고 생각했는데요.
더 말할 것도 없겠네요.
제 기억으로는 2010년쯤 회사 주인이 바뀌면서 달라졌습니다.
2016년에도 사용자 시스템에 악성코드를 미리 깔아 놨습니다. 그 뒤에는 지문 스캐너에 하드코딩된 비밀번호가 있다가 적발됐고요. 2019년에도 기기에 백도어를 심지 않을 거라고 믿을 수 없어서, 하드코딩된 SSH 비밀번호가 든 알람 시계를 내놨습니다. 무엇이든 맡길 만한 회사가 아닙니다.
그렇죠? 그 사례는 전부 2010년 이후 같은데요. 저와 같은 의견인 것 같은데, 그 댓글을 다른 댓글이 아니라 제 댓글에 답글로 다시니까 다른 인상을 줍니다.
레노버는 지금도 실제 검증된 하드웨어를 내놓는 3대 업체 중 하나입니다. 지금 PC 세계에 안전한 하드웨어라는 게 실재하는 것 같지도 않고요.
"다른 회사들도 시스템에 백도어를 심지 않는다고 장담할 수는 없다"와 "레노버가 여러 번 백도어를 심었고, 들통나면 고객에게 번번이 거짓말을 했고, 심지어 문제를 고쳤다며 패치를 내놓고서 실제로는 고객을 여전히 취약한 채로 둔 것을 확실히 안다" 사이에는 큰 차이가 있습니다.
모든 사람이 신뢰할 수 없는 존재가 될 수는 있지만, 그렇다고 모든 사람이 이미 그걸 증명한 사람과 같아지는 건 아닙니다.
"지금 PC 세계에 안전한 하드웨어라는 게 실재하는 것 같지도 않고요."
아주아주아주 오래전부터 그랬죠.
OSI 모델의 첫 세 계층은 형편없이 방치되고 있습니다.
씽크패드 브랜드를 2000년대 후반까지 IBM이 갖고 있던 때는 어느 정도 그랬지만, 레노버는 중국 회사입니다.
정확해요. 씽크패드 브랜드를 인수하고 나서 너무 일찍 신뢰성을 포기해 버려서, 곧바로 쓸 수 없는 물건이 됐죠.
그분은 다른 기기들에 Codex를 썼어요. 레노버 USB는 그냥 케이스를 열기만 했고 AI는 필요 없었습니다. SD카드는 리더기로 읽으면 되니까요. USB 연결은 지문 인식기가 켜고 끄는 방식이고요.
체크할 항목은 많은데, 회사 문화는 체크박스 채우기와 무관심으로 기울어 있는 거죠(규제 체크리스트에는 "그 마지막 체크박스는 진짜 체크박스인가?"라는 항목이 없고, 그걸 물으려면 너무 바빠서 당신의 한심한 질문 따윈 받아 줄 시간이 없는 괴짜 부서를 찾아가야 하고... 등등). 그러니 뭘 기대하겠어요? 레노버에 실망스럽지만, 저 자신의 무관심도 아무도 책임지지 않으리라고 예상하네요!
링크된 기사입니다: https://www.tomshardware.com/tech-industry/cyber-security/lenovo-fingerprint-usb-stick-sold-as-aes-256-encrypted-had-a-plain-sd-card-inside-ai-assisted-follow-up-finds-a-backdoor-and-hardcoded-keys-in-other-secure-usb-products
링크된 링크된 기사입니다: https://hackingpassion.com/lenovo-thinkplus-encrypted-usb-sd-card/
링크된 링크된 링크된 기사에 나온 원래 발표 영상입니다: https://youtu.be/Rv6jdnQ4YhY?t=335
(사실 먼저 https://binary.ninja/2026/10/22/breaking-more-encrypted-usb-drives-with-ai.html 을 거쳐야 합니다 :))
숨겨진 계정에 쓰는 고전적인 "보안" 비밀번호 "123456"이 또 한 번 쓰였네요 :-)
사실 이 링크가 제출됐어야 했어요. 기술적인 내용이 많은 원문 기사를 더 쉽게 풀어 주고 출처도 제공하거든요. Tom's Hardware 기사는 그보다 나은 게 없고, 레딧 토론도 마찬가지고요.
이런 제품을 정말로 누가 믿기는 하나요? 저한테는 늘 끔찍한 발상 같았습니다. 올바른 해법은 이런 기기 위에 자유 소프트웨어 암호화를 쓰는 겁니다.
저는 정부 규정 때문에 비슷한 제품을 써야 했습니다. 개인적으로는 한 번도 믿지 않았고 15분쯤 뜯어보고 싶었지만, 정부가 자기들 데이터에 그 제품을 쓰라고 강제한 거라 결국 제 손을 떠난 일이었어요.
혹시 IronKey였나요? 미국 국토안보부 보조금을 받았던 제품인데, 저도 그때 하나 썼습니다. 제게는 소프트웨어 방식이 장점이 좀 있었어요. 하드웨어에 의존하지 않고 암호화된 데이터를 쉽게 백업할 수 있으니까요. IronKey는 제 기억으로 이 문제를 어떻게든 해결했던 것 같습니다. 믿어야만 하는 사용자 입장에서 블랙박스가 아니기도 했고요. 소프트웨어 방식의 가장 큰 문제는 비밀번호를 아마도 침해됐을 컴퓨터에서 입력해야 한다는 점입니다.
초기 IronKey(나중에 Kingston에 팔렸습니다)는 뚫린 것 같습니다. Unciphered라는 팀/회사가 IronKey를 깨는 데 성공했는데, 이 키에 비트코인 7002개를 넣어 둔 Stefan Thomas에게 그런 복호화를 제공하려는 시도였습니다. 당시 가치로 2억 3,500만 달러(지금은 5억 달러 이상)였으니 당연히 아주 강력한 동기입니다. [1]
레노버 사례는 보안을 잘못 구현한 정도가 아니라 보안 자체가 없는 것으로 보입니다. 특히 암호화를 내세워 광고했다는 점에서요. 중국 레노버 웹사이트에서 이 키의 사양이 아직 남아 있는 걸 봤습니다. [2] 평판을 깎아먹고 싶다면 좋은 방법이네요.
[1] https://www.wired.com/story/unciphered-ironkey-password-cracking-bitcoin/
[2] https://tk.lenovo.com.cn/product/1003497.html