Flipper Zero : usages, attaques et défense

Petit boîtier orange à l’allure de jouet, le Flipper Zero est devenu l’objet le plus associé au « piratage » dans l’imaginaire populaire. Il est présenté sur son site officiel comme « un multi-outil portable pour pentesters et passionnés, dans un corps de jouet », qui s’intéresse aux protocoles radio, aux systèmes de contrôle d’accès et au matériel. Cet article explique à quoi il sert, liste ses usages un par un, décrit ce qu’il permet côté attaque et côté défense, et rappelle le cadre légal. Il ne contient aucune marche à suivre pour contourner un système.

À retenir : le Flipper Zero ne « craque » pas les systèmes modernes. Il révèle surtout les systèmes anciens ou mal protégés : badges non chiffrés, télécommandes à code fixe, postes laissés sans surveillance. C’est un outil d’audit avant d’être un outil d’attaque, à n’utiliser que sur ce qui vous appartient ou avec autorisation écrite.

Ce qu’est le Flipper Zero #

C’est un appareil de poche qui réunit dans un seul boîtier plusieurs radios et interfaces, un écran, une carte mémoire et une batterie. Selon la documentation officielle, il sait lire, enregistrer et rejouer des signaux de plusieurs familles de technologies courantes dans la vie quotidienne : télécommandes, badges, cartes sans contact, appareils infrarouges. Son intérêt est pédagogique et technique : comprendre comment ces objets communiquent, et donc s’ils sont sûrs.

Tous les usages, un par un #

Radio Sub-GHz #

D’après la documentation, le module peut lire, enregistrer et émuler des télécommandes de portails, barrières, serrures, interrupteurs, sonnettes et lampes connectées, en décodant des protocoles connus ou en capturant des signaux bruts. Une fonction d’information sur la région indique les fréquences autorisées à l’émission.

Ce qu’il ne fait pas. Selon le constructeur, il ne vient pas à bout des codes tournants (rolling codes) qui protègent les voitures modernes, et il ne possède qu’un module radio sous 1 GHz alors que les répéteurs utilisés dans les vols par relais en ont quatre. Il affirme n’avoir connaissance d’aucun vol de voiture confirmé avec un Flipper Zero. C’est la version d’une partie intéressée : l'Electronic Frontier Foundation a de son côté critiqué l’approche du gouvernement canadien, qui visait d’abord cet appareil. Les systèmes à code fixe, eux, sont vulnérables au simple rejeu, et les fabricants les ont abandonnés depuis longtemps.

RFID 125 kHz #

La documentation précise que l’appareil peut lire, enregistrer, émuler et écrire ces cartes, présentes dans des badges, porte-clés, bracelets et puces pour animaux, et reconnaît que les cartes basse fréquence « n’offrent généralement pas de haut niveau de sécurité ». Ce sont les badges les plus faciles à copier.

NFC 13,56 MHz #

Le module lit, enregistre et émule des cartes, et la documentation mentionne des outils de récupération des clés des cartes MIFARE Classic. Cette famille est fragile : le chiffrement Crypto1 a été cassé académiquement en 2008, et NXP recommande de migrer vers MIFARE DESFire EV2 ou EV3, qui utilise AES-128, selon un comparatif technique. Une carte moderne bien configurée résiste à ce genre de copie.

Infrarouge #

D’après la documentation, le Flipper apprend les boutons de télécommandes et dispose d’une bibliothèque universelle qui envoie la même commande à tous les modèles connus. L’usage relève surtout du confort, ou de la plaisanterie dans une salle de réunion. Rien de sensible ne devrait dépendre de l’infrarouge.

iButton #

Les clés iButton sont de petites clés électroniques qui utilisent le protocole 1-Wire, employées pour le contrôle d’accès, selon la documentation. L’appareil lit, émule et écrit les protocoles Dallas, Cyfral et Metakom, que l’on trouve surtout dans d’anciens interphones et accès.

BadUSB #

Le Flipper peut se faire passer pour un clavier ou une souris, par USB ou Bluetooth, et jouer des séquences de frappes écrites en DuckyScript. La documentation avertit que cette fonction permet de faire « tout ce que permet l’accès physique » et que l’exécuter sur un système sans autorisation peut constituer un accès non autorisé. Pour le système, ces frappes sont indiscernables de celles d’un utilisateur.

GPIO et modules #

Les 18 broches du dessus servent à l’électronique : alimentation 3,3 V et 5 V, entrées-sorties, pont USB-UART, selon la documentation. Une carte Wi-Fi de développement se branche en option. C’est l’usage le plus proche de l’électronique et du débogage.

Côté attaque : ce que cela révèle #

Les attaques que le Flipper rend accessibles ne sont pas nouvelles ; il les met simplement à la portée du grand public. Elles ont un point commun : elles touchent des systèmes déjà obsolètes.

• Accès physique par copie de badge : possible surtout contre des badges non chiffrés ou d’ancienne génération.
• Rejeu d’une commande radio : possible contre les systèmes à code fixe.
• Injection de frappes : possible dès qu’un poste est laissé sans surveillance et déverrouillé, ou qu’un port USB accepte n’importe quel clavier.

Ces scénarios exigent de la proximité ou un accès physique, ce qui les distingue des cyberattaques à distance. Leur intérêt pour un attaquant est de contourner la sécurité informatique par le monde physique.

Côté défense : comment l’utiliser légitimement #

Dans un cadre autorisé, le Flipper sert à vérifier ce que vos équipements laissent faire :

1. Inventorier les technologies de badges et de télécommandes en usage : basse fréquence, MIFARE Classic, code fixe.
2. Évaluer le risque de chacune et planifier le remplacement des plus faibles.
3. Tester les postes : verrouillage automatique de session, contrôle des périphériques USB.
4. Sensibiliser : une démonstration à l’équipe montre qu’un badge est copiable, mieux qu’un discours.
5. Intégrer les résultats à un test d’intrusion physique, cadré par un contrat : voir notre article sur la préparation d’un pentest.

Comment se protéger ? #

• Remplacer les badges faibles par des cartes modernes chiffrées (par exemple DESFire EV2 ou EV3) et supprimer les clés par défaut des anciennes cartes.
• Adopter l’architecture recommandée par l’ANSSI. Son guide sur les systèmes de contrôle d’accès physique recommande des lecteurs « transparents », qui ne participent pas aux opérations cryptographiques, et le protocole OSDP v2 en remplacement de Wiegand.
• Combiner les protections : badge et code, caméras, sas, lecteurs surveillés, alertes sur les usages anormaux.
• Verrouiller les postes automatiquement et contrôler les périphériques USB : autoriser les claviers connus, bloquer les autres.
• Choisir des télécommandes à code tournant pour les portails et garages, et remplacer celles à code fixe.
• Former les salariés à signaler les inconnus, les appareils branchés sans raison et les accès suivis de près (« tailgating »).

Ce que dit la loi #

• En France, l'article 323-3-1 du Code pénal punit le fait d’importer, détenir, offrir ou céder, « sans motif légitime, notamment de recherche ou de sécurité informatique », un équipement conçu ou adapté pour commettre des atteintes aux systèmes de traitement automatisé de données. La recherche et la sécurité informatique sont donc reconnues comme motifs légitimes. Utiliser l’appareil sur un système sans autorisation reste en revanche une infraction. Les émissions radio sont par ailleurs réglementées : n’émettez que sur des équipements qui vous appartiennent et dans les fréquences autorisées.
• Ailleurs, les positions divergent. Le Brésil a saisi des envois de Flipper Zero faute de certification de l’appareil par son agence des télécommunications, selon BleepingComputer. Le Canada a annoncé en février 2024 vouloir interdire l’importation, la vente et l’usage de ces appareils, puis a indiqué en mars 2024 s’orienter vers une restriction aux utilisateurs légitimes, d’après Malwarebytes. Amazon a retiré l’appareil de sa vente en 2023 en le classant comme dispositif de clonage de cartes bancaires, ce que son fabricant conteste, d’après BleepingComputer.

La règle simple : ne testez que ce qui vous appartient, ou avec une autorisation écrite précisant le périmètre.

Pour apprendre sans risque #

Pour se former à la sécurité physique et aux protocoles sans matériel, consultez nos plateformes de formation en cybersécurité. Pour cartographier un scénario d’attaque physique et repérer où poser des protections, l’outil Schéma de compromission de ForenShield est utile.

Sources #

• Flipper : site officiel
• Flipper : documentation officielle
• Flipper : réponse au gouvernement canadien
• EFF : restreindre le Flipper Zero
• Malwarebytes : le Canada revient sur l’interdiction
• BleepingComputer : le Brésil saisit des Flipper Zero
• NFCFYI : sécurité de MIFARE Classic
• ANSSI : sécurisation des systèmes de contrôle d’accès physique
• Légifrance : article 323-3-1 du Code pénal