Qu'est-ce que Flipper Zero ? L'outil Hacker devient viral sur TikTok, expliqué

Dhruv Mehrotra

Aux États-Unis, d'innombrables bâtiments, des bureaux du gouvernement à la prochaine porte de votre chambre d'hôtel, sont protégés par des serrures contrôlées par RFID. Lors d'une récente randonnée à travers Manhattan, j'ai croisé près de 20 de ces systèmes d'entrée sans clé, qui sont parmi les plus répandus au monde. Mais un gadget ludique de la taille d'une paume avec une interface de type Tamagotchi peut probablement contrecarrer les serrures de bon nombre de ces portes.

L'appareil à 200 $ s'appelle Flipper Zero, et c'est un outil de test de stylo portable conçu pour les pirates de tous niveaux d'expertise technique. L'outil est plus petit qu'un téléphone, facilement dissimulable et est doté d'une gamme de radios et de capteurs qui vous permettent d'intercepter et de rejouer les signaux des systèmes d'entrée sans clé, des capteurs Internet des objets, des portes de garage, des cartes NFC et de pratiquement tout autre appareil. qui communique sans fil à courte portée. Par exemple, en quelques secondes, j'ai utilisé le Flipper Zero pour cloner de manière transparente le signal d'une carte compatible RFID cachée en toute sécurité dans mon portefeuille.

Si vous n'aviez entendu parler de Flipper Zero que via TikTok, où l'outil est devenu viral, vous pourriez penser qu'il s'agissait d'un jouet qui pourrait faire cracher de l'argent par les distributeurs automatiques de billets, les voitures se déverrouiller et le gaz sortir des pompes gratuitement. J'ai passé la semaine dernière à en tester un pour déterminer si le monde était aussi vulnérable à Flipper Zero que les médias sociaux le prétendaient. Ce que j'ai trouvé était mitigé: la plupart des vidéos les plus dramatiques publiées sur TikTok sont probablement mises en scène - la plupart des appareils sans fil modernes ne sont pas sensibles aux attaques de relecture simples - mais le Flipper Zero est toujours indéniablement puissant, offrant aux pirates en herbe et aux testeurs de stylos chevronnés une pratique nouvel outil pour sonder la sécurité des appareils sans fil les plus répandus au monde.

Dans les critiques, les gens comparent Flipper Zero à un couteau suisse pour les tests de pénétration physique. Mais au cours de ma semaine de test de Flipper Zero, cela ressemblait plus à une lumière noire - quelque chose que je pouvais littéralement tenir devant un appareil qui révélerait des informations, invisibles à l'œil humain, sur son fonctionnement, les données qu'il émettait et à quelle fréquence. le faisait.

Voici une brève liste de certaines choses que j'ai apprises avec l'aide de Flipper Zero cette semaine : Certaines micropuces animales vous indiqueront la température corporelle de votre animal. Le capteur de pression des pneus de la voiture de mon voisin transmet des données à toute personne à portée du signal. Mon iPhone me fait exploser le visage avec des signaux infrarouges toutes les quelques secondes. Mon système de sécurité domestique est doté d'une détection de brouillage de signal intégrée. Certaines salles de bains d'hôtels et de bureaux sont équipées de distributeurs de savon qui signalent s'ils doivent être remplis.

Quand j'ai raconté à Alex Kulagin, l'un des co-créateurs de Flipper Zero, mes expériences d'utilisation de son outil pour faire ce genre d'observations banales, il a expliqué que c'était exactement à cela que l'appareil était destiné. "Nous voulons vous aider à comprendre quelque chose en profondeur, à explorer son fonctionnement et à explorer le monde sans fil qui vous entoure mais qui est difficile à comprendre", dit-il.

Lauren Goode

Personnel filaire

Julien Chokkattu

Chevalier

Kulagin et son partenaire commercial, Pavel Zhovner, ont eu l'idée de Flipper Zero en 2019. Depuis lors, leur entreprise a vendu 150 000 appareils et ils ont agrandi leur équipe à près de 50 personnes. Mais à mesure qu'ils ont grandi, ils ont rencontré une certaine résistance. Cet été, des paiements de plus de 1,3 million de dollars ont été bloqués par PayPal et, en septembre, les douanes et la patrouille frontalière américaines ont saisi une cargaison d'appareils. Selon Kulagin, le CBP a libéré la cargaison après un mois mais n'a pas encore dit à l'entreprise pourquoi il a retenu la cargaison. Le CBP a refusé la demande de WIRED de commenter les Flipper Zeros saisis.

Bob Zahreddine est lieutenant du département de police de Glendale et directeur général des High Tech Crime Cops, un groupe industriel composé de responsables de l'application des lois qui, selon son site Web, "relie les cyber flics et les enquêteurs". Zahreddine dit qu'il n'est pas nécessairement surpris que le CBP s'intéresse à Flipper Zero. "Parce que Flipper Zero est si personnalisable, le potentiel est là pour qu'il soit utilisé dans toutes sortes de crimes", dit-il.

L'organisation de Zahreddine maintient une liste de diffusion où les enquêteurs sollicitent souvent des conseils de leurs pairs et partagent des nouvelles ou des informations sur les développements des dernières technologies d'application de la loi. Il a déclaré à WIRED que bien qu'il n'ait entendu aucune conversation sur l'utilisation de Flipper Zero dans des crimes sur sa liste de diffusion, les enquêteurs là-bas sont au courant de l'outil et suivent son développement depuis que Kulagin et Zhovner ont commencé à collecter des fonds sur Kickstarter.

En effet, il est facile d'imaginer comment quelqu'un pourrait enfreindre la loi ou même simplement faire de petits méfaits avec cet appareil. Par exemple, non seulement j'ai pu cloner une carte d'entrée de bâtiment avec Flipper Zero, mais j'ai pu enregistrer le signal émis par l'ouvre-porte de garage de mon voisin lorsqu'il entre dans son allée. Les voitures plus anciennes qui n'utilisent pas le cryptage à code tournant sont probablement déverrouillables avec l'appareil, et mon Flipper Zero a pu lire mon numéro de carte de crédit à travers mon portefeuille et mon pantalon.

Mais Kulagin n'est pas particulièrement préoccupé par le potentiel de méfaits criminels de son outil. "De toute évidence, certaines vieilles voitures sont vulnérables à Flipper. Mais elles ne sont pas sécurisées par définition - ce n'est pas la faute de Flipper", dit-il. "Il y a de mauvaises personnes, et elles peuvent faire de mauvaises choses avec n'importe quel ordinateur. Nous n'avons pas l'intention d'enfreindre les lois."

À cette fin, le micrologiciel de Flipper Zero, par défaut, empêche les individus de transmettre sur des fréquences interdites dans le pays dans lequel se trouve l'appareil, et le serveur Discord de Flipper Zero interdit explicitement les discussions sur les micrologiciels alternatifs avec des fonctionnalités illégales. (Cependant, comme le projet est open source, un utilisateur avisé de Flipper pourrait ajuster le micrologiciel pour activer des fonctionnalités supplémentaires, peut-être malveillantes.) L'outil n'est pas non plus capable de copier ou de rejouer des signaux cryptés. Par exemple, alors que je pouvais lire le signal de mes cartes de crédit et de débit, je n'étais pas en mesure d'utiliser ce signal pour payer quoi que ce soit avec des systèmes de paiement sans contact - une contrainte matérielle avec l'appareil, et non quelque chose que quelqu'un pourrait retirer avec ajustements logiciels.

Quand j'ai demandé à Kulagin s'il avait été contacté par les forces de l'ordre à propos du Flipper, il m'a répondu que non. "Non, pas encore du moins", dit-il.

Bien qu'il soit possible d'avoir des ennuis avec un appareil comme un Flipper Zero, l'outil donne indéniablement à toute personne curieuse cherchant à en savoir plus sur les appareils qui l'entourent un moyen d'accéder et de disséquer les signaux et les protocoles qui alimentent nos vies. Personnellement, je suis plus engagé avec la technologie que je rencontre en me promenant après ma semaine avec le Flipper Zero. Je pense plus comme un testeur de stylo.

Mise à jour à 14 h HE, le 10 janvier 2023 : Cet article a été mis à jour avec un nouveau langage pour éviter l'exposition potentielle d'un éventuel problème de sécurité.