Pendrives Criptografados: Quando o Cadeado Não Protege Nada

Neste momento, há caixas de pendrives em algum armazém prometendo 'criptografia de impressão digital com padrão militar' que um garoto de doze anos com uma espátula conseguiria quebrar em noventa segundos. O pendrive com impressão digital FU100, da Lenovo, é o exemplo mais recente de produto desmontado em público: basta abrir a carcaça de plástico e dentro você encontra um cartão microSD perfeitamente comum, totalmente sem criptografia. O sensor de impressão digital não desbloqueia os dados. Ele não desbloqueia nada. Ele controla uma chave que torna o leitor de cartão visível para o computador, e os dados ficam na memória flash em texto puro o tempo todo.

Isto não é uma vulnerabilidade. Vulnerabilidades são bugs, erros em projetos que são honestos no fundo. Este é um produto cujas alegações de segurança são apenas decorativas. E isso importa porque as pessoas que compram esses pendrives são justamente as menos preparadas para verificar as promessas: donos de pequenas empresas, advogados, contadores, pais guardando digitalizações de passaporte. Elas pagaram um preço extra por uma promessa que nunca foi de fato projetada.

O que o Sensor de Impressão Digital Realmente Controla

Para entender por que esse design é tão condenável, vale descrever o que um pendrive criptografado de verdade faz. Em um dispositivo de criptografia por hardware honesto, existe um chip controlador dedicado entre o computador e a memória flash. Esse controlador guarda a chave de criptografia, idealmente derivada do seu PIN ou liberada pela sua impressão digital, e cada bloco de dados que passa por ele é cifrado com AES antes de chegar à memória NAND. Se você retirar os chips de memória da placa e lê-los com um programador chip-off, obtém apenas texto cifrado. Esse é todo o objetivo. A memória física e a inteligência estão acopladas pela criptografia, então remover a memória não leva nada de valor.

O FU100 da Lenovo ignora tudo isso. A arquitetura é mais ou menos esta: um módulo de impressão digital, um microcontrolador, um hub USB ou circuito leitor de cartão e um slot microSD. Quando você cadastra uma digital, o módulo do sensor armazena o template internamente, o que é padrão, e a comparação da digital provavelmente funciona bem. Quando a autenticação é bem-sucedida, o microcontrolador aciona uma linha que conecta o leitor de cartão ao barramento USB. Se a autenticação falha, o leitor nunca é enumerado. É um relé com porteiro biométrico.

Só que o porteiro está guardando um prédio sem paredes. Como o cartão microSD é um componente removível e padrão, nem sequer é preciso um ataque: sem solda, sem glitch, sem canais laterais. Você abre a carcaça (clipes de plástico, talvez uma gota de cola), coloca o cartão em qualquer leitor e lê tudo. A 'criptografia' teve um raio de impacto igual a zero.

Vale parar para analisar como o modelo de ameaça desmorona aqui, porque os fabricantes desses dispositivos adoram falar em modelos de ameaça no marketing. A história implícita é: você perde o pendrive, um desconhecido o pega, conecta, e não consegue nada sem o seu dedo. Isso só é verdade até o desconhecido pesquisar 'FU100 teardown' no Google, ou simplesmente reparar na costura da carcaça. O adversário realista de um pendrive perdido não é um Estado-nação com fábrica de raio-X; é uma pessoa curiosa com uma faca de cozinha. Contra esse adversário, este design oferece zero proteção. O sensor de impressão digital funciona perfeitamente e não protege nada, que é a ilustração mais pura possível de um mecanismo desconectado da coisa que diz proteger.

Se o atacante consegue remover o meio de armazenamento e lê-lo com ferramentas comuns, seu dispositivo não estava criptografado. Era um cadeado numa planície aberta.

A Pergunta-Chave É, Literalmente: Onde Mora a Chave?

Existe uma pergunta que atravessa qualquer alegação de marketing sobre armazenamento criptografado, e você deveria ensiná-la a qualquer pessoa que peça seu conselho: onde fica a chave e o que o sensor realmente controla? Toda resposta cai em um de três grupos.

• Chave em um controlador criptográfico, dados cifrados em repouso. A impressão digital ou o PIN libera uma chave para um chip dedicado; a NAND guarda texto cifrado. É o que produtos como a linha Kingston IronKey fazem, e é o único design que sobrevive a uma desmontagem.
• Chave em um controlador, mas guardada ou derivada de forma ruim. Os dados estão nominalmente cifrados, mas a chave está gravada no firmware, derivada de um número de série ou recuperável na memória flash do MCU. Melhor do que nada contra perda casual, inútil contra qualquer pessoa com um analisador lógico e um fim de semana livre.
• Nenhuma chave. O sensor controla apenas a enumeração, a energia ou uma porta do hub. O armazenamento é texto puro. Este é o design da Lenovo, e é muito mais comum do que os compradores imaginam.

O grupo do meio merece atenção, porque é onde até marcas bem conhecidas já tropeçaram. Pesquisadores de segurança passaram anos desmontando pendrives 'seguros' e encontrando implementações de AES com a chave recuperável da memória flash do controlador, autenticações que podiam ser contornadas curto-circuitando um pad de debug, ou mecanismos de atualização de firmware que permitem regravar o MCU e extrair tudo. A análise da Universidade de Cambridge sobre os primeiros dispositivos IronKey é a referência clássica, e vale notar que ela é uma história sobre o quanto é difícil fazer isso direito, não só o quanto é fácil fazer isso de forma fraudulenta. A IronKey pelo menos se esforçou. O FU100 nunca tentou.

Há uma heurística útil escondida nesses três grupos: o primeiro exige que o fabricante faça alegações difíceis, caras e verificáveis. AES-256 no modo XTS. Chaves geradas no próprio dispositivo por um gerador de números aleatórios em hardware. Contadores de tentativas de PIN que apagam a chave após dez erros. São afirmações que um engenheiro consegue confirmar ou refutar. Os dois outros grupos se escondem atrás de linguagem vaga, como 'protegido', 'seguro', 'acesso biométrico', que descreve uma experiência, não um mecanismo. Quando a ficha técnica parece um anúncio de estilo de vida, ela está dizendo em qual grupo você está comprando.

Por Que Isso Continua Passando na Revisão

O desdobramento incômodo é organizacional. Não se trata de um fornecedor desconhecido e suspeito, saído de uma barraca em Shenzhen, embora alguns já tenham apontado que o FU100 mal tinha presença no varejo fora dos marketplaces chineses. É a Lenovo, uma empresa que coloca seu logo em ThinkPads entregues a governos e bancos, uma empresa que já perdeu a confiança uma vez com o Superfish. Em algum ponto do organograma, este produto passou por design industrial, revisão de firmware, aprovação de marketing e jurídico. Ou ninguém com conhecimento de segurança olhou para ele, ou alguém olhou e a decisão foi lançar mesmo assim.

As duas explicações são plausíveis, e ambas são condenáveis de formas diferentes. A primeira diz que a revisão de segurança é uma formalidade. A segunda diz que é uma negociação que o marketing vence. Já acompanhei histórias suficientes para acreditar que, normalmente, é uma terceira coisa: o produto é projetado por um ODM, rebatizado pela marca, e ninguém na cadeia se sente responsável pelas alegações na caixa. O texto de marketing diz 'criptografado' porque o texto do líder da categoria diz 'criptografado'. A palavra se espalha pelos anúncios como 'padrão militar' se espalha: é uma sensação, não uma especificação.

O esquema de rebatizar produtos de ODMs explica muita coisa quando você entende como funciona. Um fabricante white-label projeta um leitor de cartão com trava por impressão digital, um produto bom para o que é, talvez voltado ao mercado de 'manter meus filhos longe dos meus arquivos', e oferece às marcas um catálogo de carcaças e logotipos. O gerente de produto da marca escreve o texto do anúncio copiando concorrentes. Ninguém nessa cadeia é criptógrafo, e nenhum cargo inclui 'verificar as alegações criptográficas'. O jurídico revisa risco de marca registrada, não se o AES existe. O resultado é um jogo de telefone sem fio em que 'controle de acesso biométrico' vira 'criptografia por impressão digital' entre a folha de dados e a página do produto, e nenhuma pessoa jamais escreveu uma falsidade que reconhecesse como falsa. Isso é, de certa forma, pior que má-fé, porque não há um vilão para demitir, apenas um processo que produz segurança falsa em escala de forma confiável.

Como Verificar de Fato um Pendrive Criptografado

Você não precisa de laboratório para fazer uma verificação básica da maioria desses produtos. Algumas perguntas feitas antes da compra eliminam os piores casos.

Primeiro, procure por validação FIPS 140-2 ou 140-3 com um número de certificado real que você possa consultar na base CMVP do NIST. Não 'compatível com FIPS', porque essa expressão não significa nada, e fornecedores a usam justamente porque soa como algo real sem comprometê-los com nada. Procure um certificado que liste o produto exato e a versão exata do firmware. Módulos criptográficos reais custam dinheiro de verdade para serem validados, muitas vezes dezenas de milhares de dólares e meses de trabalho em laboratório, e é exatamente por isso que essa validação tem correlação com criptografia real. Fraude é barata; certificação não é.

Segundo, veja se o fabricante publica algo sobre a arquitetura. Fabricantes sérios vão dizer que o motor de criptografia está no controlador, que as chaves são geradas no dispositivo e que o computador nunca vê a chave. Linguagem vaga sobre 'proteção biométrica' e 'acesso seguro', sem menção a AES, derivação de chave ou criptografia no dispositivo, é um sinal de alerta: está descrevendo uma trava de acesso, não criptografia.

Terceiro, a opção nuclear: pesquise por desmontagens. A comunidade de segurança tem uma vontade admirável de destruir gadgets caros em benefício de todos. Se um pendrive 'criptografado' de US$ 90 está no mercado há dois anos e ninguém publicou fotos do die ou traçado da placa, esse silêncio já é uma informação: normalmente significa que ninguém da pesquisa em segurança achou que valia o preço da compra.

Há uma quarta verificação mais grosseira, mas surpreendentemente eficaz: a relação entre preço e promessa. Um pendrive com criptografia de hardware genuína tem um custo real de materiais: um MCU seguro, firmware validado, às vezes uma carcaça preenchida com epóxi para resistir a ataques chip-off. Quando um pendrive de 128 GB 'criptografado com padrão militar' e impressão digital custa menos que um pendrive comum de 128 GB de marca confiável, a conta está dizendo que a criptografia saiu de graça, e criptografia que não custa nada vale exatamente isso. Alegações de segurança suspeitosamente baratas merecem a mesma desconfiança que carregadores 'originais' da Apple com preço suspeito: o componente que importa é justamente o que eles pularam.

O Argumento Para Não Confiar no Hardware de Jeito Nenhum

Aqui está minha posição real, e assumo o trade-off: para a maioria das pessoas, pendrives com criptografia por hardware são simplesmente a categoria de produto errada. A resposta certa é criptografia por software em armazenamento comum e barato. Um pendrive de R$ 50 com VeraCrypt, um contêiner LUKS no Linux ou um simples arquivo compactado com age oferecem garantias criptográficas auditáveis publicamente, implementadas em código que milhares de pessoas já leram, e totalmente independentes de o microcontrolador de algum ODM fazer o que a caixa diz.

A objeção é sempre a usabilidade, e ela é justa. Contêineres do VeraCrypt confundem as pessoas. Advogados e contadores não os usam de forma confiável, e é por isso que arquivos sensíveis de clientes acabam em pendrives sem criptografia para início de conversa. Esta é uma falha real das nossas ferramentas, e já escrevi antes sobre como os anti-padrões de UX enfraquecem a segurança discretamente. Mas a resposta para 'criptografia boa é difícil de usar' não é 'compre criptografia falsa que é fácil'. É exigir padrões melhores: contêineres criptografados nativos do sistema operacional que montam com uma senha, gerenciadores de arquivos que oferecem criptografia no clique com o botão direito, e departamentos de TI que preparam os pendrives corretamente.

Há também um argumento de manutenção que as pessoas costumam ignorar. Um contêiner com criptografia por software em hardware comum pode ser substituído para sempre: perdeu o pendrive, compre outro, restaure do backup, pronto. Um pendrive com criptografia por hardware é um caso único: se o controlador morrer, se o fabricante abandonar o utilitário de desbloqueio (que normalmente só roda no Windows, e só nas versões que se deram ao trabalho de suportar), ou se a empresa fechar, a disponibilidade dos seus dados depende de uma cadeia de fornecimento que você não controla. Coletivamente, aprendemos isso da forma mais difícil ao confiar que componentes de plataforma opacos continuariam funcionando. Aparelhos de criptografia proprietários falham do mesmo jeito, só que mais silenciosamente.

Se você realmente precisa de um dispositivo de hardware, por exemplo para um fluxo de transferência isolado da rede ou porque a exigência de compliance pede módulos validados pela FIPS, compre de um pequeno grupo de fornecedores cujos produtos sobreviveram a uma análise independente, e verifique o certificado você mesmo. Trate a compra como qualquer outra decisão de confiança na sua stack. O mesmo ceticismo que nós (eventualmente) aprendemos a aplicar a firmware, cadeias de suprimento e extensões de marketplace nos nossos editores se aplica ainda mais a uma caixa-preta que afirma fazer criptografia de forma invisível.

Teatro de Segurança Cobra um Preço em Confiança

A expressão 'teatro de segurança' costuma ser usada para filas de aeroporto, mas este é o seu exemplo mais puro: um controle que existe para fazer o usuário se sentir protegido enquanto não oferece proteção alguma. E o teatro é, arguivelmente, pior do que nada, porque o nada pelo menos diz a verdade. Quem sabe que o pendrive não é criptografado pode colocar senha nos arquivos, não deixar o pendrive no táxi, pensar duas vezes sobre o que tem nele. Quem tem um pendrive 'criptografado' relaxa. O produto não apenas deixa de reduzir o risco, ele ativamente o aumenta, porque muda o comportamento.

Esse é o verdadeiro custo de histórias como esta. Não é que exista um produto ruim, o mercado sempre teve produtos ruins. É que cada farsa exposta ensina os compradores que 'criptografado' é só uma palavra de marketing, erodindo o sinal para os fornecedores que de fato fazem a engenharia direito. Quando um Kingston IronKey e um leitor de cartão SD com trava por impressão digital aparecem lado a lado num resultado de busca, por preços parecidos e com os mesmos adjetivos, o produto honesto está competindo com uma mentira que não consegue refutar pela página de anúncio.

Os reguladores poderiam resolver parte disso, e às vezes resolvem: órgãos de defesa do consumidor já foram atrás de alegações de segurança enganosas em software, e 'criptografado' numa caixa com armazenamento em texto puro é uma falsidade tão clara quanto possível. Mas a fiscalização é lenta e limitada por jurisdição, e o anúncio é clonado para uma nova loja mais rápido do que qualquer reclamação anda. O sistema imunológico mais rápido é o que já está funcionando: pesquisadores com chaves de fenda e compradores que aprenderam a esperar pela desmontagem antes de confiar nos adjetivos.

Então a conclusão não é 'a Lenovo é ruim', embora a Lenovo mereça o desgaste de reputação e os recalls que deveriam vir. A conclusão é que, em segurança de hardware, a desmontagem é a ficha técnica. Enquanto um dispositivo não for aberto, rastreado e lido por alguém que não lucra com a sua venda, 'criptografado' é uma alegação, não uma propriedade. Compre com esse cuidado, ou melhor ainda, criptografe você mesmo e pare de confiar no plástico.