Le Canada va interdire les dispositifs Flipper Zero et éventuellement d'autres équipements similaires. Le gouvernement canadien affirme que ce dispositif de test de sécurité semblable à un jouet a alimenté les vols de voitures dans le pays. Le Flipper Zero serait utilisé pour voler des véhicules en copiant les signaux sans fil pour le déverrouillage à distance. Mais les experts remettent en cause les affirmations du gouvernement canadien, affirmant que le dispositif n'est pas équipé pour la mise en œuvre ce type d'attaque. Le fabricant du Flipper Devices, quant à lui, affirme que l'outil ne peut pas être utilisé pour déverrouiller les voitures fabriquées au cours des 30 dernières années.Le Flipper Zero est un dispositif de test portable et programmable qui permet d'expérimenter et de déboguer divers appareils matériels et numériques via plusieurs protocoles, notamment RFID, radio, NFC, infrarouge et Bluetooth. Les utilisateurs ont fait la démonstration des fonctionnalités du Flipper Zero dans des vidéos partagées en ligne depuis sa sortie, montrant sa capacité à mener des attaques par rejeu pour ouvrir des portes de garage, activer des sonnettes, cloner diverses clés numériques, et bien d'autres. Le Flipper Zero semble avoir été détourné de son usage initial par des acteurs de la menace.
Au Canada, le gouvernement central accuse le Flipper Zero d'être à l'origine de la hausse des vols de voitures dans le pays. Les autorités canadiennes envisagent maintenant d'interdire le Flipper Zero. Le texte de la législation mentionne spécifiquement le Flipper Zero, mais la formulation semble impliquer que tout dispositif capable de copier un signal sera interdit. Le ministre canadien de l'Innovation, des Sciences et de l'Industrie, François-Philippe Champagne, a annoncé l'interdiction jeudi. Il a déclaré : « les criminels utilisent des outils sophistiqués pour voler des voitures. Les Canadiens s'inquiètent à juste titre ».
[tweet]<blockquote class="twitter-tweet"><p lang="en" dir="ltr">Criminals have been using sophisticated tools to steal cars. And Canadians are rightfully worried. <br> <br>Today, I announced we are banning the importation, sale and use of consumer hacking devices, like flippers, used to commit these crimes.<br><br>🔗: <a href="https://t.co/K4MA3u68kP">https://t.co/K4MA3u68kP</a></p>— François-Philippe Champagne (FPC) 🇨🇦 (@FP_Champagne) <a href="https://twitter.com/FP_Champagne/status/1755691837531078820?ref_src=twsrc%5Etfw">February 8, 2024</a></blockquote> <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script>[/tweet]
Champagne a annoncé dans un message sur X (ex-Twitter) que le Canada interdit l'importation, la vente et l'utilisation de dispositifs de piratage grand public, comme le Flipper. Actuellement, il y aurait environ 90 000 vols de voitures par an dans le pays. L'annonce du ministre signifie que l'interdiction pourrait s'étendre aux SDR RX/TX comme le HackRF et peut-être même aux SDR RX uniquement comme les RTL-SDR. Le gouvernement canadien a déclaré que la campagne viserait tous les dispositifs similaires qui, selon lui, peuvent être utilisés afin de déjouer les protections antivol intégrées aux nouvelles voitures.
Le Premier ministre canadien, Justin Trudeau, affirme : « en réalité, il est devenu trop facile pour les criminels d'obtenir des dispositifs électroniques sophistiqués qui leur facilitent la tâche. Par exemple, pour copier les clés de voiture. Il est inacceptable qu'il soit possible d'acheter des outils qui facilitent le vol de voitures sur les principales plateformes d'achat en ligne ». Il est vrai que le Flipper Zero, vendu 169 dollars, peut être utilisé pour perturber certains appareils, grâce à sa capacité à émuler l'identification par radiofréquence. Il a déjà permis aux pentesters de mettre en lumière les failles dans certains produits.
Par exemple, en décembre, Apple a corrigé un bogue qui permettait à une version modifiée de l'outil d'inonder les iPhone de messages contextuels. Mais le fabricant du Flipper Zero estime que l'interdiction du Canada n'est pas judicieuse lorsqu'il s'agit de protéger les voitures contre les cybermenaces. Selon Alex Kulagin, directeur de l'exploitation de Flipper Devices, le Flipper Zero ne peut pas être utilisé pour déverrouiller les véhicules : « le Flipper Zero ne peut être utilisé pour pirater une voiture, en particulier celles produites après les années 1990, car leurs systèmes de sécurité sont dotés de codes déroulants ».
Il a ajouté : « de plus, il faudrait bloquer activement le signal du propriétaire pour capter le signal original, ce que le matériel de Flipper Zero est incapable de faire ». Les autorités canadiennes pourraient réagir à de nombreuses vidéos en ligne qui montrent que le Flipper Zero peut être utilisé pour déverrouiller une voiture à distance. Certaines vidéos expliquent même aux utilisateurs comment configurer un Flipper Zero pour qu'il corresponde au porte-clés de la voiture, ce qui implique de se trouver à proximité de celui-ci et de capter le signal. Mais selon les experts, il n'est pas facile de faire fonctionner ce piratage.
[tweet]<blockquote class="twitter-tweet"><p lang="en" dir="ltr">Dear François-Philippe,<br><br>We'd appreciate it if you could provide any evidence of Flipper Zero being involved in any criminal activities of this kind. We're not aware of any events like this and frankly speaking not sure what was the reason for this discussion to begin with.</p>— Flipper Zero (@flipper_zero) <a href="https://twitter.com/flipper_zero/status/1756087390974660612?ref_src=twsrc%5Etfw">February 9, 2024</a></blockquote> <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script>[/tweet]
En effet, les systèmes automobiles actuels utilisent des codes déroulants en constante évolution - au lieu de codes fixes - pour déverrouiller une voiture à distance. Cela signifie que chaque code déroulant du porte-clés ne peut être utilisé qu'une seule fois pour déverrouiller une voiture. Si un Flipper Zero captait le signal, cela n'aurait pas d'importance ; le code serait expiré. Au lieu de cela, un voleur de voiture devrait faire tout son possible pour brouiller le signal radio de la télécommande, tout en capturant le code roulant à l'aide d'un Flipper Zero. C'est ce qu'Alex Kulagin de Flipper Devices a tenté d'expliquer.
Flipper Devices ajoute : « le Flipper Zero est destiné aux tests de sécurité et au développement et nous avons pris les précautions nécessaires pour garantir que l'appareil ne puisse pas être utilisé à des fins malveillantes ». En outre, dans un rapport d'étude, la Cellule d'intégration de la cybersécurité et des communications du New Jersey (NJCCIC) a également fait la remarque suivante : « la plupart des vidéos TikTok publiées semblent avoir été mises en scène et auraient fourni des informations erronées, car la plupart des appareils sans fil modernes ne sont pas vulnérables à de simples attaques par rejeu ».
Cependant, le Flipper Zero a connu une longue série d'échecs par le passé, notamment le gel par PayPal de 1,3 million d'euros appartenant au fabricant, la saisie temporaire des exportations par les douanes américaines et la facturation de 70 000 dollars pour les frais de stockage. De plus, depuis avril 2023, Amazon interdit la vente du Flipper Zero sur sa place de marché parce qu'il a été signalé comme dispositif d'écrémage de cartes de crédit. Et l'Agence nationale brésilienne des télécommunications a commencé à saisir les achats de Flipper Zero en mars 2023 en raison de son utilisation présumée par des criminels.
En attendant, la nouvelle de l'interdiction amène certains critiques à reprocher au Canada d'avoir ciblé le Flipper Zero, plutôt que les constructeurs automobiles, pour tenter de mettre un terme aux vols de voitures. De nombreux utilisateurs du Flipper Zero critiquent la décision des autorités canadiennes, affirmant que cela nuirait aux chercheurs en sécurité. Dans les commentaires sur X, un critique a répondu à la nouvelle comme suit : « On peut aussi utiliser des tournevis pour voler des voitures. Cela signifie-t-il que vous avez l'intention de vous assurer que les Canadiens n'ont accès à aucun outil numérique ? ».
[tweet]<blockquote class="twitter-tweet"><p lang="en" dir="ltr">They aren’t using Flipper Zero, they’re using crude RF signal boosters that can be made with a spool of wire. <br><br>I’ve seen a lot of videos like this, but none with a flipper. <br><br>🇨🇦 doesn’t care about facts, it just randomly targets to distract.<a href="https://t.co/euRxWkJvpM">pic.twitter.com/euRxWkJvpM</a></p>— Stephen Punwasi 🏚️📉🐈☃️ (@StephenPunwasi) <a href="https://twitter.com/StephenPunwasi/status/1756463230191329353?ref_src=twsrc%5Etfw">February 10, 2024</a></blockquote> <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script>[/tweet]
Le prix et la facilité d'utilisation de Flipper Zero en font un outil idéal pour les débutants et les amateurs qui souhaitent comprendre le fonctionnement de protocoles de communication de plus en plus omniprésents, tels que le NFC et le Wi-Fi. Il regroupe divers matériels et logiciels open source dans un format portable vendu à un prix abordable. Selon les critiques, le gouvernement canadien a perdu de vue que l'appareil n'est pas particulièrement utile pour voler des voitures, car il ne dispose pas des capacités les plus avancées nécessaires pour contourner les protections antivol mises en place il y a plus de vingt ans.
« Le Flipper Zero est très mal équipé pour déjouer les protections antipiratage modernes intégrées dans les voitures, les cartes à puce, les téléphones et autres appareils électroniques ». Selon certains experts, la plus grande source d'inquiétude en matière de vol de voitures est un type d'attaque différent appelé "relais d'amplification du signal". Elle est utilisée contre les systèmes de démarrage et de déverrouillage sans clé. Plus précisément, l'attaque par relais d'amplification du signal consiste à tenir un dispositif près d'un porte-clés et un second dispositif près du véhicule avec lequel le porte-clés fonctionne.
Dans le scénario le plus typique, le porte-clés est placé sur une étagère près d'une porte d'entrée verrouillée, et la voiture se trouve à plusieurs dizaines de mètres dans une allée. En plaçant un dispositif près de la porte d'entrée et un autre près de la voiture, le pirate émet les signaux radio nécessaires pour déverrouiller et démarrer le véhicule. Ce type d'attaque serait beaucoup moins sophistiqué à bien des égards, car il s'agit simplement d'amplifier un signal, et qu'aucun matériel intelligent comme le Flipper Zero ou une radio logicielle n'est nécessaire. La vidéo intégrée ci-dessus illustre ce type de piratage.
Dans la vidéo, un criminel tend une antenne en boucle vers une maison. L'antenne en boucle est connectée à un amplificateur de signal qui amplifie le signal de la télécommande, faisant croire à la voiture que la télécommande est à proximité, ce qui permet de déverrouiller la porte en touchant la poignée, puis de la mettre en marche en appuyant sur le bouton de démarrage. Flipper Devices a déclaré qu'il n'a pas été consulté par les autorités canadiennes au sujet de l'interdiction, ajoutant qu'il n'avait pas connaissance de l'utilisation du Flipper Zero pour le vol de voitures.
Source : communiqué de presse du gouvernement canadien
Et vous ?
Quel est votre avis sur le sujet ? Que pensez-vous de l'interdiction du Flipper Zero par le gouvernement canadien ? Les allégations du gouvernement canadien sont-elles fondées ? L'interdiction résout-elle le problème ? Que pensez-vous du démenti du fabricant du dispositif Flipper Zero et de celui d'autres experts de l'industrie ? Quel pourrait être l'impact de cette interdiction sur les utilisateurs des dispositifs interdits par le Canada ? Que pensez-vous des dispositifs open source comme le Flipper Zero ? Leurs avantages l'emportent-ils sur leurs inconvénients ?Voir aussi
Le PDG de Raspberry Pi, Eben Upton, parle des améliorations du stock et des priorités de l'industrie, les modèles Pi Zero, Pi 3 et Pi 3B devraient être disponibles à nouveau à partir de ce trimestre Le développeur Roy Longbottom compare le supercalculateur Cray-1 de 1976 au Raspberry Pi, le modèle original B du Raspberry Pi surpasse le Cray-1 jusqu'à 15,7 fois Une faille dans les voitures Tesla permet aux voleurs d'avoir leur propre clé et de s'emparer de la voiture en seulement 130 secondes, l'exploit tire parti du lecteur de carte NFC des voitures Tesla