Français
La cérémonie d’investiture de New York en 2026 avait une liste d’objets interdits avec un invité particulièrement étrange : le Flipper Zero. Ce gadget de poche à la mascotte dauphin y figurait aux côtés des ordinateurs Raspberry Pi, des drones, des parapluies et des armes ou explosifs.
Un dauphin partageant une liste de sécurité avec des explosifs est un excellent sujet pour internet. C’est moins utile comme évaluation technique. Le Flipper Zero n’est ni une baguette magique universelle de piratage ni un jouet entièrement inoffensif. Ses capacités dépendent du système qui se trouve devant lui.
Ce que New York a réellement interdit
La liste officielle de la ville pour l’investiture nomme explicitement le Flipper Zero et le Raspberry Pi. Il s’agissait d’une restriction propre à l’événement, pas d’une interdiction de posséder l’un ou l’autre dans toute la ville.
Le document ne donne aucune explication propre à ces appareils. Il exclut aussi les chaises, les couvertures et les grands sacs. Figurer sur la même liste ne signifie pas que les organisateurs jugeaient tous les objets également dangereux ; personne n’a besoin de démineurs pour une chaise pliante.
Il est légitime de demander pourquoi ces ordinateurs précis ont été désignés. Affirmer que les organisateurs n’avaient absolument aucun motif de sécurité va au-delà des éléments disponibles. La liste nous donne la règle, pas le raisonnement qui la sous-tend.
Ce que le petit dauphin peut réellement faire
Le matériel du Flipper Zero réunit plusieurs interfaces dans un appareil de poche : radio sub-GHz, infrarouge, RFID basse fréquence, NFC, contacts iButton, Bluetooth et broches d’extension. Cela le rend utile pour explorer les systèmes de contrôle d’accès et les appareils électroniques du quotidien.
À la maison, la version séduisante de tout cela est assez ordinaire : expérimenter avec ses propres tags, organiser des commandes de télécommandes infrarouges ou apprendre quelle technologie utilise un badge d’accès. Il y a un moment satisfaisant où un porte-clés en plastique apparemment mystérieux devient un protocole reconnaissable. Le dauphin vit une aventure ; vous recevez une leçon d’électronique.
La documentation NFC de Flipper décrit la lecture, la sauvegarde et l’émulation des cartes compatibles. « Compatibles » porte une bonne partie du sens. Lire l’identifiant d’une carte n’équivaut pas nécessairement à lire tout son contenu protégé, et posséder cet identifiant ne garantit pas qu’un lecteur acceptera une imitation.
Une carte d’hôtel, un badge de bureau et un titre de transport peuvent se ressembler tout en utilisant des systèmes d’authentification très différents. « Il copie les cartes d’accès » est le point de départ d’une question sur une carte précise, pas une promesse concernant toutes les portes.
Les cartes bancaires et les voitures ne sont pas des télécommandes de télévision
Un téléviseur peut accepter la même commande infrarouge de façon répétée. Les systèmes de paiement sécurisés sont conçus pour faire quelque chose de plus exigeant. L’explication d’EMVCo sur la sécurité des paiements décrit des codes cryptographiques propres à chaque transaction, utilisés pour authentifier les paiements.
C’est pourquoi lire certaines informations sur une carte bancaire sans contact ne produit pas un clone fonctionnel capable d’autoriser de nouvelles transactions EMV quelconques. Cela ne garantit pas l’impossibilité de la fraude aux paiements ; cela explique pourquoi le récit viral « approcher le portefeuille d’un inconnu et copier sa carte bancaire » saute la partie importante.
Les voitures méritent une prudence comparable. Une simple technique d’enregistrement puis de rejeu visant une télécommande à code fixe ne fonctionne pas automatiquement contre un système à code tournant correctement mis en œuvre, où les messages acceptés changent.
Toutefois, « code tournant » n’est pas un certificat magique d’invulnérabilité. Dans une réponse d’août 2025 aux affirmations sur le piratage automobile, le fondateur de Flipper évoquait d’anciennes faiblesses de KeeLoq et des clés de fabricants divulguées. Il distinguait les attaques contre certains systèmes de verrouillage à distance du démarrage d’un moteur, et soulignait que le matériel de relais spécialement conçu constitue une autre catégorie d’équipement.
Le fabricant a un intérêt évident à défendre son produit. La distinction utile demeure : démontrer une action sur un véhicule ne prouve pas que l’appareil peut voler n’importe quelle voiture, tandis qu’un millésime récent ne prouve pas à lui seul que tous les composants sont sûrs.
L’affirmation sur le Wi-Fi mérite un astérisque
L’appareil portable standard ne possède pas de radio Wi-Fi intégrée. Cela limite ce qu’il peut faire seul, mais le connecteur d’extension n’existe pas sans raison. Flipper documente aussi une Wi-Fi Developer Board distincte.
Les accessoires et le micrologiciel peuvent changer la configuration. Une vidéo utilisant du matériel ajouté ne démontre pas les capacités de l’appareil seul, et installer un logiciel non officiel ne rend pas automatiquement tous les usages possibles légaux ou sûrs.
C’est là que la panique comme la défense du fan-club cessent d’être utiles. « Il pirate tout » et « il ne pourrait jamais poser de problème » remplacent tout aussi mal les questions sur l’équipement, le logiciel et le système visé.
Le débat canadien date de 2024
L’annonce du gouvernement canadien sur le vol automobile du 8 février 2024 proposait d’examiner des moyens d’interdire des appareils qu’il associait à la copie de signaux d’accès aux véhicules, en nommant explicitement le Flipper Zero.
Une consultation ultérieure sur les radiocommunications a examiné les restrictions et leurs effets sur les usages légitimes. C’est un débat de politique publique plus complexe que « le Canada a interdit le dauphin en 2023 ». Une annonce, une consultation et une interdiction adoptée sont des choses différentes.
La leçon utile en matière de sécurité
Un outil qui facilite l’examen de systèmes d’accès faibles peut être précieux pour les chercheurs et détourné par quelqu’un d’autre. Une documentation publique ne supprime pas les usages abusifs, et les abus n’effacent pas les applications légitimes.
Pour un gestionnaire de bâtiment, la question productive est de savoir si le système d’accès authentifie correctement un badge et comment les identifiants perdus sont révoqués. Pour un amateur, il s’agit de savoir si l’expérience concerne du matériel qui lui appartient ou qu’il est autorisé à tester. Aucune réponse ne dépend du caractère adorable de l’animation à l’écran.
L’interdiction à l’investiture fait un titre mémorable. L’histoire plus intéressante est le décalage entre les appareils que nous transportons, les protocoles qu’ils utilisent et la confiance que nous leur accordons. Le dauphin peut rester mignon pendant que nous prenons cela au sérieux.
Traduction française de l’article original en anglais du 2026-03-28. Traduction réalisée avec l’aide de l’IA le 2026-11-02 ; les références temporelles restent celles de l’original.
