باحث يكشف مفاتيح ثابتة وحسابات خلفية في منتجات تخزين مشفّرة

كشف الباحث الأمني Xusheng Li عن مفاتيح ثابتة وحسابات خلفية مخفية في عدد من منتجات التخزين التي تُسوَّق بوصفها مشفّرة، شملت أدوات من Netac وKakaSoft وNexcopy ومنتج YutianDun من SecZure، بحسب tomshardware.com. وأجرى Li هذا الجولة من التحليل بمساعدة أداة البرمجة OpenAI Codex إلى جانب أدوات الهندسة العكسية.

وفي منتج YutianDun من SecZure وجد Li حسابين خلفيين مخفيين بكلمتي مرور بسيطتين. أما أداة Netac فقد استغرق كسرها نحو 7 دقائق باستخدام OpenAI Codex، حيث عُثر على مفتاح ثابت وكلمة مرور المستخدم داخل سجلات التشخيص.

وفي أداة KakaSoft استغرق الأمر نحو 26 دقيقة لإعادة بناء كلمة المرور الداخلية وفك تشفير ملف اختباري، بينما احتاج فتح مفتاح Copy Secure من Nexcopy إلى نحو 10 دقائق عبر شهادة موجودة في تطبيق العارض.

ويعود هذا البحث إلى تحليل سابق خلص فيه Li إلى أن قرص ThinkPlus FU100 من Lenovo، المُسوَّق بتشفير AES-256، يحتوي في الحقيقة على بطاقة SD غير مشفّرة، وأن قارئ البصمة فيه لا يفعل أكثر من تفعيل منفذ التوصيل. وفي أكتوبر 2025 قال Li في كلمة بمؤتمر إن الجهاز مجرد بطاقة SD في هيكل أنيق.

وأصدرت Lenovo أوائل هذا العام إصلاحًا لأقراص FU100 وFU200 وTU800 ووحدة TSD303، يتطلب من المالكين الاتصال بخط خدمة في الصين للحصول على بديل أو ترقية برنامج ثابت في الموقع. وصنّفت الشركة خطورة التنبيه بدرجة عالية، ويتعلق أحد ثلاثة ثغرات CVE بإصلاحها ببرنامج إعدادات قد يسمح لمستخدم محلي مسجّل بتجاوز المصادقة وتسجيل بصمة غير موثوقة. كما وجد Li أن وحدة TSD303 تشفّر البيانات لكنها ترسل كلمة المرور الصحيحة عبر المنفذ بنص صريح للمقارنة في البرنامج.

إصلاحات لاحقة لـ TSD303

جاء أول إصلاح لوحدة TSD303 بعد ثلاثة أشهر من التقرير الأول، واعتمد تشفير الكتل بمفتاح مشتق من قيمة تشبه الطابع الزمني. أما الإصلاح اللاحق في أواخر العام الماضي فجعل الوحدة تتحقق من كلمة المرور المكتوبة بنفسها كي لا تغادر كلمة المرور الصحيحة الجهاز.