Dans ce dossier GinjFo a testé le Meshify 3 Ambience Pro RGB. Son équipement comprend de l'aRGB, trois Momentum 14 et un Adjust Pro HUB.
Cet article Test Meshify 3 Ambience Pro RGB de Fractal Design a été publié en premier par GinjFo.
Après plusieurs semaines avec cet aspirateur robot dans les pattes (et les câbles qui traînent), je peux vous dire qu’il y a pas mal de trucs intéressants à raconter. Le Narwal Flow fait en effet partie de la nouvelle génération d’aspirateurs robots qui débarquent en 2025, et celui-co a quelques arguments qui sortent du lot.
D’abord, parlons du bruit, ou plutôt de l’absence de bruit. Ce truc est assez silencieux, je trouve. Pendant que le CES 2025 nous présentait des robots avec des bras robotisés pour ramasser les chaussettes, chez Narwal ils ont préféré se concentrer sur la réduction du bruit. Et ça marche ! Vous pouvez donc le lancer pendant une réunion Zoom sans que vos collègues s’en rendent compte.
Il a aussi une excellente gestion des obstacles. Non seulement il évite mes câbles qui traînent partout (oui, je sais, je devrais ranger), mais il contourne aussi mes chaussettes lâchement abandonnées. Cette capacité géniale lui vient de son système de navigation avec deux caméras RGB à 136° et un chip IA embarqué qui reconnaît plus de 200 types d’objets. Pas de traitement dans le cloud, tout se fait en local donc pour les parano de la vie privée, c’est plutôt rassurant. Puis comme ça, quand vous regardez la map avec tous les obstacles, vous pouvez voir sur quoi il tombe…
Parlons maintenant de la fonction qui m’amuse le plus : la surveillance à distance. Grâce à la caméra embarquée, je peux prendre le contrôle du robot depuis mon téléphone et faire un petit tour de la maison. C’est pratique pour vérifier si j’ai bien fermé une fenêtre, si le chat a renversé quelque chose ou si y’a un gars chelou dans ma cuisine. Ces aspirateurs robots avec caméra permettent même une communication bidirectionnelle, donc techniquement, vous pouvez parler à votre chat à distance. Je l’ai fait. Il s’en fout complètement. Puis bon bah comme toujours avec ce genre de gadgets, vous pouvez prendre des photos, faire des vidéos comme ceci :
Pour ceux qui ont des animaux justement, il y a un mode spécial qui évite que Médor se coince la queue dedans ou que le petit dernier y mette les doigts. Le robot ralentit et devient plus prudent quand il détecte du mouvement. C’est bien pensé, même si mon chat continue de le regarder comme un ennemi mortel.
La vraie innovation du Flow, c’est surtout son système de nettoyage FlowWash. Au lieu des serpillères rotatives classiques, Narwal a opté pour un rouleau au format chenille qui se nettoie en continu. Le principe c’est que le rouleau applique de l’eau propre d’un côté tout en aspirant l’eau sale de l’autre. Résultat, la serpillère reste toujours propre pendant le nettoyage. Et ce système permet enfin d’aller nettoyer dans les coins… Et ça j’apprécie car mes robots précédents laissaient toujours des trucs sales dans les angles.
Avec une puissance d’aspiration entre 20 000 et 22 000 Pa, on donc est sur du très haut de gamme… pour vous donner une idée, un robot aspi en général, c’est au moins 2 500 Pa, donc là on est carrément dans l’excès. Mais bon, quand on voit le prix autour de 900 €, on comprend qu’on n’est pas sur de l’entrée de gamme.
Maintenant, tout n’est pas parfait. Par exemple, il faut régulièrement passer un petit coup de sopalin dans la station d’acceuil pour nettoyer les résidus qui s’accumulent. C’est pas dramatique mais bon, c’est beurk ;-)
Deuxième point qui m’embête, la consommation d’eau. J’ai une grande maison, et si je veux passer toute la surface à la serpillère, il faut que je recharge le réservoir d’eau une fois par jour. Du coup, j’ai trouvé la parade : mode serpillère pour la cuisine uniquement, et mode aspirateur pour le reste. De temps en temps, je lance quand même un grand nettoyage complet à l’eau quand j’ai le temps de gérer la logistique eau.
Le robot gère aussi très bien les tapis, il les détecte et adapte automatiquement sa puissance d’aspiration. Et pour les petits dénivelés entre les pièces (genre ces petites marches de 1-2 cm qu’on a parfois), il fait son petit numéro d’escalade roue après roue. C’est rigolo à regarder et il s’en sort très bien !
Après c’est surtout la station d’accueil qui fait tout le boulot : vidange automatique de la poussière (jusqu’à 120 jours d’autonomie avec un petit sac aspi), lavage et séchage de la serpillère, remplissage d’eau propre dans le robot (avec détergent livré avec). Vous n’avez quasiment rien à faire, à part nettoyer la base de temps en temps et vider l’eau sale / remplir l’eau propre.
Comparé à la concurrence, le Flow se positionne donc clairement sur le haut de gamme. Narwal ne s’est pas perdu dans l’inovation ridicule (comme les robots avec les bras dont je vous parlais tout à l’heure) en misant sur un système de nettoyage innovant et une navigation ultra-précise. Chacun sa stratégie.
Bref, si je devais résumer mon expérience avec ce petit nouveau, je trouve que c’est un excellent robot aspirateur qui fait le job sans faire de bruit. En plus, je passe plus mon temps à le chercher dans toute la maison pour le débloquer d’un câble ou d’une chaussette, alors je suis content. Puis ce système de serpillère chenille nettoie vraiment bien je trouve, y compris les coin. Donc voilà, si vous cherchez du haut de gamme avec des fonctions originales, c’est une option sérieuse à considérer.
Synology has long been regarded as one of the most user-friendly and reliable NAS brands in the market, balancing intuitive software with a wide hardware range that appeals to both home and business users. However, in recent years the company has taken an increasingly controversial path by enforcing strict compatibility requirements for hard drives and SSDs. Beginning with DSM 7 and escalating into the 2025 generation of devices, Synology now only certifies and supports its own branded storage media, effectively locking out many widely used alternatives from Seagate, Western Digital, and Toshiba. While Synology positions this move as a way to ensure system stability and consistency, the decision has sparked significant backlash among users who feel restricted in their options and burdened by higher costs. As competitors expand their ecosystems with more openness and flexibility, this proprietary approach risks damaging Synology’s reputation, raising questions about whether the company has prioritized profit margins over user choice.
The most immediate problem with Synology’s hard drive policy is the loss of flexibility that once made their systems so appealing. For years, customers could select from a wide range of industry-standard drives from Seagate, Western Digital, or Toshiba, tailoring storage to their budget, performance requirements, or regional availability. This freedom not only allowed users to balance cost and capacity, but also gave small businesses and home enthusiasts the ability to reuse existing drives, upgrade incrementally, or take advantage of promotions from different vendors. By restricting DSM compatibility to Synology-labelled drives, that flexibility is gone. For many users outside major markets, Synology’s drives are harder to source, priced higher than the competition, or limited in available capacities. What once felt like an open platform now increasingly resembles a closed ecosystem, where users must accept the vendor’s terms even if it means compromising on affordability or performance.
Another dimension of the problem lies in how Synology has communicated these changes, which many see as evasive or disingenuous. Officially, the company justifies the restriction as a move toward greater reliability and predictable system performance. The argument is that by narrowing the range of drives tested and supported, Synology can optimize DSM to work seamlessly with drives that have firmware tailored for its environment. In practice, though, the same underlying hardware often originates from Seagate or Toshiba, with only minor firmware adjustments and new branding. This creates a perception that Synology is overstating the technical benefits while quietly using the policy to secure higher margins. For long-time users, the contrast is stark: older models happily ran third-party drives with few issues, which makes the sudden insistence on “certification” seem less like an engineering requirement and more like a business maneuver. The result has been a significant erosion of trust between the company and its community.
The wider impact of this strategy has also been felt across the storage industry. Resellers have reported declining sales of Synology’s Plus series devices as customers explore alternatives such as QNAP, TrueNAS, or newer entrants like UGREEN and UniFi. For Synology, this shift is particularly damaging because its reputation has historically rested on attracting less technical buyers who value simplicity and reliability over DIY solutions. Now, even these entry-level and mid-range users are questioning whether they should commit to an ecosystem that limits their choice of drives and increases their costs. At the same time, hard drive manufacturers like Seagate and Western Digital are also affected, as Synology’s decision reduces the number of channels through which their products reach end customers. The ripple effect is therefore twofold: Synology risks alienating its base of loyal customers, while storage vendors lose a once-reliable partner, creating tension that could ultimately push more buyers toward competing NAS brands.
One path forward for Synology would be to adopt a hybrid compatibility model, where its own branded drives remain the recommended or default choice but third-party alternatives are still officially supported. This compromise has been proven by other vendors such as UniFi and QNAP, who sell their own labelled drives while maintaining compatibility lists for major manufacturers like Seagate, Western Digital, and Toshiba. By following this model, Synology could continue promoting the reliability benefits of its branded hardware without alienating customers who prefer flexibility. In practice, this would preserve a sense of choice for users while ensuring Synology can still highlight its “optimized” solutions as the safer, supported route.
|
|
Finally, Synology could address the availability and pricing concerns around its own branded drives. In many regions, these drives are either difficult to source or significantly more expensive than equivalent Seagate or Western Digital models. Improving distribution channels, ensuring consistent stock, and narrowing the price gap would make the transition more palatable to users who are willing to adopt Synology’s ecosystem but feel penalized by limited access. By focusing on accessibility and fairness rather than exclusivity, Synology could rebuild goodwill while still driving revenue from its hardware strategy. Taken together, these steps would not fully reverse the controversy but would demonstrate responsiveness and provide a clearer path to balancing stability, customer choice, and profitability.
For users unwilling to accept Synology’s restrictive stance on storage media, the community has developed reliable workarounds that re-enable full functionality for third-party hard drives and SSDs. The most widely adopted method involves injecting a script into the NAS system that bypasses DSM’s compatibility database, allowing otherwise unsupported drives to be used for installation, storage pools, caching, and expansion. Synology’s 2025 Plus-series models, such as the DS925+, block DSM installation if only unverified drives are present and issue constant warnings in Storage Manager. To overcome this, users first employ a Telnet-based flag during initial setup that tricks DSM into accepting the installation, followed by a more permanent fix applied through SSH. At the heart of this solution is Dave Russell’s (007revad) GitHub project Synology_HDD_db, which modifies DSM’s internal drive compatibility files. Once downloaded and executed via SSH, the script detects the NAS model, DSM version, and connected drives, then patches the system to treat them as officially supported.
|
|
|
|
The process is reversible, non-destructive, and works across multiple DSM versions, including DSM 7.2 and later. Additional features allow removal of persistent warning banners, full use of NVMe drives as storage volumes, and optional disabling of intrusive monitoring services like WDDA. To ensure ongoing stability, users can also configure a scheduled task in DSM’s Task Scheduler that re-applies the script at every boot, guaranteeing compatibility survives updates, reboots, or new drive insertions. While the script is robust and actively maintained, there are clear disclaimers: using it involves modifying system files, may void official Synology support, and should only be attempted by users confident with SSH and terminal commands who have reliable data backups. Nonetheless, for advanced users, system integrators, and enthusiasts, this community-driven solution has become the de facto method of restoring the freedom to use affordable and widely available third-party drives in modern Synology NAS systems.
Example of a 30TB Seagate HDD visible and functioning inside a Synology DS925+
Note – You can follow my guide on how to use this script modification (as well as outlining the pros and cons) HERE on the blog, or watch the video below:
Synology’s decision to enforce exclusive support for its own branded hard drives and SSDs marks one of the most controversial shifts in the company’s history, transforming how both long-time customers and potential buyers view the brand. For over a decade, Synology’s appeal rested on a combination of intuitive software, solid hardware, and flexibility in allowing users to choose their own storage media from trusted vendors like Seagate, Toshiba, and Western Digital. By removing that choice in the 2025 generation, Synology has fundamentally altered the value proposition of its systems, making them appear less like open storage platforms and more like tightly controlled appliances. While the company justifies the policy by citing stability, predictability, and reduced support overhead, many users interpret it as a profit-driven attempt to push proprietary drives into the market, especially since these are often rebranded versions of third-party disks with modified firmware and higher price tags.
The backlash has been considerable, with resellers and community forums reporting falling interest in Synology’s Plus-series devices, particularly among home and small business users who previously embraced them for affordability and ease of expansion. Competing NAS providers such as QNAP, TrueNAS, UGREEN, and UniFi have been quick to capitalize on the discontent, positioning themselves as more open alternatives that maintain compatibility with industry-standard drives. At the same time, the growth of unofficial solutions like Dave Russell’s compatibility script demonstrates how determined users are to regain control over their hardware, even at the risk of voiding warranty or stepping outside official support. This dynamic reflects a widening gap between Synology’s official direction and the needs of its customer base, many of whom would prefer to accept a disclaimer about using unverified drives rather than being forced into a closed ecosystem.
Ultimately, Synology now stands at a crossroads that will define its reputation in the storage industry for years to come. If it continues to double down on a closed, proprietary model, the company may secure short-term revenue through drive sales but risks long-term damage to its image and market share. On the other hand, reintroducing a more flexible, transparent approach—such as allowing user consent for unsupported drives or improving global pricing and availability of its own disks—could restore trust and preserve its standing as the NAS brand of choice for both novices and professionals. The availability of community workarounds ensures that frustrated users are not entirely locked out of their systems, but the very existence of these tools highlights how far Synology has drifted from its once customer-first ethos. The next few years will be crucial, as the company either adjusts course and strikes a balance between profitability and user freedom, or risks ceding ground to rivals who are eager to embrace the openness Synology has chosen to leave behind.
SUBSCRIBE TO OUR NEWSLETTER Join Inner Circle Subscribe
This description contains links to Amazon. These links will take you to some of the products mentioned in today's content. As an Amazon Associate, I earn from qualifying purchases. Visit the NASCompares Deal Finder to find the best place to buy this device in your region, based on Service, Support and Reputation - Just Search for your NAS Drive in the Box Below
Need Help?
Where possible (and where appropriate) please provide as much information about your requirements, as then I can arrange the best answer and solution to your needs. Do not worry about your e-mail address being required, it will NOT be used in a mailing list and will NOT be used in any way other than to respond to your enquiry.
[contact-form-7]
TRY CHAT
Terms and Conditions
Ko-fi or old school Paypal. Thanks!To find out more about how to support this advice service check HEREIf you need to fix or configure a NAS, check Fiver
Have you thought about helping others with your knowledge? Find Instructions Here
|
|
|
Découvrez notre test du Geekom XT13 Pro : un mini PC puissant, économe en énergie, silencieux et compact, idéal pour la bureautique et le multimédia.
The post Test du Geekom XT13 Pro : un mini PC à 549 euros avec un Intel Core i9 first appeared on IT-Connect.
Nos confrères ont publié de nombreux dossiers et tests durant cette dernière semaine du mois d’aout 2025. A lire sans aucune modération !
Cet article Barre de son, boitier, carte graphique et performance test, tous les tests à ne pas manquer ! a été publié en premier par GinjFo.
Le Terramaster D1 SSD Plus est un boîtier externe pour SSD NVMe pensé pour les utilisateurs exigeants : vidéastes, photographes… ou simplement passionnés de haute performance. Compatible USB4 et Thunderbolt 4/5, il promet des débits supérieurs à la majorité des solutions grand public, tout en offrant une excellente dissipation thermique. Nous l’avons testé avec un Samsung 990 Pro sur un iMac 2024 Thunderbolt 4. Voici notre verdict…
Le Terramaster D1 SSD Plus inspire immédiatement confiance. Sa construction en aluminium inspire confiance… on est loin des boîtiers en plastique que l’on voit habituellement. Il mesure 112,5 × 60 × 33 mm pour environ 246 g. Oui, il est relativement lourd pour ses dimensions, mais il reste portable !
Le design n’est pas qu’esthétique, car l’aluminium joue un rôle de dissipation thermique passive. Le boîtier reste frais (ainsi que le SSD), même lors de transferts prolongés. Aucun ventilateur n’est nécessaire, ce qui le rend totalement silencieux.
À l’intérieur de la boîte, on retrouve un câble USB-C, un étui de transport, un petit tournevis et une pâte thermique supplémentaire. Terramaster propose un ensemble complet et cohérent, dont le design ne laisse pas indifférent.
Le D1 SSD Plus est conçu pour une large gamme d’usages :
Cette compatibilité élargie en fait une solution pérenne, capable de suivre l’évolution de vos machines, qu’il s’agisse d’un PC, d’un Mac ou même d’une console.
Pour ce test, nous avons installé un Samsung 990 Pro, l’un des SSD NVMe les plus rapides du marché. Nous avons connecté le D1 SSD Plus à un iMac 2024 équipé de ports USB 4 / Thunderbolt 4 (jusqu’à 40 Gbit/s).
Voici les résultats que nous avons obtenus avec le logiciel AJA System Test :
Ensuite, nous avons utilisé Disk Speed Test :
Ces vitesses réelles sont légèrement inférieures aux valeurs maximales possibles avec le boitier en Thunderbolt 5, mais elles restent largement suffisantes pour du montage vidéo 4K/8K en direct ou la manipulation de fichiers très volumineux.
Test du kit 2 x 64 Go Trident Z5 Neo RGB DDR5-6000 CL34 de G.Skill. D’une capacité totale de 128 Go il se compose de deux barrettes avec dissipateur et RGB.
Cet article Test Kit Trident Z5 Neo RGB 2 x 64 Go DDR5-6000 CL34 a été publié en premier par GinjFo.
En 1994, pendant que les autres mômes collectionnent les cartes Pokémon, un gamin de 13 ans fouille les poubelles derrière les magasins d’informatique. HD Moore ne cherche pas de la bouffe… il cherche des cartes mères cassées, des barrettes RAM défectueuses, et tout ce qui pourrait l’aider à construire SA machine. Chaque jour avant l’aube, il se tape 3 km à pied pour arriver à l’école primaire d’Austin, mais au lieu d’aller directement en cours, il se faufile par la fenêtre du labo informatique et en fin de journée, à la bibliothèque du quartier, il emprunte tous les livres et manuels techniques qu’il peut trouver pour comprendre comment fonctionnent vraiment ces machines.
20 ans plus tard, c’est ce même gamin va créer l’arme de destruction massive préférée des pentesters du monde entier. Vous allez voir, l’histoire est complètement dingue.
HD Moore, Harold David Moore de son vrai nom, naît à Honolulu en 1981. Mais contrairement à ce qu’on pourrait croire, il n’a pas grandi en surfant sur les plages hawaïennes. Sa famille déménage constamment** passant dans 13 États différents pendant les années 80**, avant de finalement poser ses valises à Austin, Texas, au début des années 90.
Et là, c’est le début d’une histoire qu’on pourrait qualifier de “la misère à la richesse” version geek. La famille Moore galère financièrement, et HD l’explique sans détour : “On était pauvres. On déménageait souvent, donc j’étais régulièrement dans un nouvel endroit sans ressources. Fouiller les poubelles, même pour la bouffe et les vêtements, c’était notre mode de vie.”
Mais au lieu de se contenter de survivre, le gamin transforme cette galère en opportunité. Il découvre les ordinateurs Apple II dans le labo informatique de son école primaire d’Austin et c’est le coup de foudre immédiat. Sauf que quand t’as pas les moyens de t’acheter un ordi, tu deviens créatif. HD commence donc à fouiller spécifiquement les poubelles des magasins d’informatique, parcourant Austin en bagnole pour récupérer des pièces détachées.
“Je cherchais des pièces d’ordinateur pour essayer de construire une machine parce que ça me donnait quelque chose avec quoi je pouvais jouer et que je pouvais contrôler. D’un point de vue émotionnel, ça me donnait un certain contrôle sur ma propre vie.”
Et le pari fonctionne ! En arrivant au lycée alternatif Gonzalo Garza, HD avait réussi à assembler un vrai 486-DX fonctionnel uniquement avec des composants de récupération. Son prof de maths et informatique, Christian Walker, se souvient encore de lui : “Je ne pouvais rien lui apprendre. La plupart du temps, les étudiants étaient à Gonzalo parce qu’ils avaient foiré leurs notes. Dans le cas de HD, c’était l’inverse. Il était trop intelligent et pas assez challengé par les autres écoles.”
Pendant que ses potes découvrent MTV et les Tamagotchis, HD Moore plonge alors dans l’univers des BBS (Bulletin Board Systems) et d’IRC. On est dans les années 90, Internet n’existe pas encore vraiment pour le grand public, mais ce gamin de 13-14 ans déchiffre déjà les mystères de l’informatique en mode autodidacte total. Et ses farces de l’époque donnent le ton : il se connecte aux tours radio d’Austin avec son modem pour faire clignoter les lumières, et sa connerie la plus épique, c’est quand il a temporairement coupé l’électricité de tout un magasin K-Mart du nord d’Austin juste pour faire une blague à un pote !
Walker découvre vite les talents de son élève et le recrute pour aider à gérer le réseau informatique de l’école. Et c’est là que ça devient dingue car certains jours, HD prend sa caisse et se tape la route jusqu’à Kelly Air Force Base à San Antonio pour faire du boulot de consultant en cybersécurité pour le Département de la Défense américain. Ils le payent même cash en petites coupures pour le garder “off the books” (hors des registres officiels). Il est un consultant fantôme qui audite les systèmes du DoD alors qu’il n’a même pas fini le lycée !
Cette expérience va être déterminante pour la suite. Moore bosse comme pentester dans une boîte, et il se rend compte d’un truc qui le frustre au plus haut point : trouver des vulnérabilités théoriques, c’est bien, mais il faut pouvoir les exploiter réellement pour prouver qu’elles sont dangereuses. Le problème c’est qu’à l’époque, le monde du hacking, c’était un peu le Far West… Chaque exploit était développé de son côté, aucune standardisation, et une galère monstre pour les utiliser. HD passait son temps à valider et nettoyer du code d’exploit pourri, et ça le gavait au plus haut point.
Été 2003. HD Moore, maintenant dans la vingtaine, a une idée qui va changer le game à jamais. Il imagine un framework unifié qui regrouperait tous les exploits connus dans une interface cohérente et pratique. Mais l’inspiration originale est d’ailleurs assez fun car au départ, Moore voulait créer un jeu réseau en mode texte (façon années 80) qui s’appellerait initialement “BFEG” (l’acronyme devrait parler à tous ceux qui ont joué à DOOM), puis “Overkill”. L’idée était que le réseau local serait représenté comme une grille et les machines actives apparaîtraient comme des points sur la carte. Un peu comme un Pac-Man version hacker, quoi. Mais très vite, l’aspect “jeu” passe au second plan et Moore réalise qu’il est en train de créer quelque chose de bien plus important : la boîte à outil ultime du pentesting.
Le nom du projet ? Metasploit.
Quand il montre son projet à son patron, la réaction est glaciale. “Tu veux mettre ce truc en open source ? Donner des armes aux cybercriminels ? T’es malade ?” Le patron refuse alors catégoriquement que HD utilise Metasploit au boulot. Certains clients menacent même de rompre leurs contrats si HD continue à publier des exploits sur leurs produits. Par exemple, un mec de chez Microsoft n’arrêtait pas d’appeler le CEO de la boîte de HD en disant qu’ils devaient l’empêcher de publier des exploits et le virer, sinon ils supprimeraient la licence de partenariat de l’entreprise. La pression était énorme sur ses collègues, son patron et le CEO pour qu’ils se débarrassent de lui.
HD admet lui-même qu’une partie de Metasploit a été créée “par dépit”, pour faire chier ses détracteurs, ses employeurs, tous ces gardiens de la cybersécurité qui le regardaient de haut. C’est quelque chose qu’il assume totalement ! Sa femme avait même créé un “get HD out of jail fund” au cas où ses activités lui causeraient des problèmes légaux.
Puis en octobre 2003, HD publie la première version publique de Metasploit, quelques jours avant ses 23 ans. Elle contient la bagatelle de… 11 exploits. Quand je pense qu’aujourd’hui Metasploit en contient plusieurs milliers, ça fait sourire, mais déjà, l’essentiel est là, à savoir une interface unifiée, des payloads modulaires, et surtout une philosophie claire.
Il présente alors officiellement son bébé à la conférence Hack-in-the-Box en Malaisie. Et là, c’est le début d’une collaboration épique ! Il rencontre un développeur qui va marquer l’histoire du projet : Spoonm. L’anecdote de leur première rencontre est mythique. Spoonm lui envoie un mail cash : “Your software sucks.” (Ton logiciel, c’est de la merde). La réponse de HD ? “OK, why don’t you rewrite it?” (OK, alors pourquoi tu ne le réécris pas ?). Et devine quoi ? Il l’a fait ! Moore avait compris un truc essentiel sur la communauté hacker comme il l’explique : “Dans la communauté d’exploits, il faut faire appel à l’ego. En faire un défi. C’est de ça qu’ils vivent.”
Cette Metasploit 2.0, sortie en avril 2004, c’est la révolution. 19 exploits, 27 payloads, et surtout une architecture modulaire qui permet de mixer et de matcher les composants. Spoonm devient un développeur lead du projet, et HD avait trouvé sa méthode à savoir pas d’attitude moralisatrice, juste du défi technique pur.
Un autre génie rejoint alors l’équipe peu après… Il s’agit de Matt Miller, alias “skape” et ce mec, c’est le Mozart du code d’exploitation. Développeur le jour, chercheur en sécurité la nuit, skape va créer Meterpreter, le payload ultime de Metasploit. C’est un agent qui s’installe en mémoire sur la machine compromise, invisible, persistant, avec des capacités de post-exploitation hallucinantes. Une simple commande, “hashdump”, et vous récupérez tous les mots de passe du système. Il contribue aussi à plein d’autres trucs comme l’injection VNC et de nombreuses autres avancées de payload. Cette collaboration va durer quelques années jusqu’à ce que skape soit recruté par Microsoft en 2008. C’est drôle quand on sait que Microsoft voulait faire virer HD ! Et fun fact, skape a aussi développé SEHOP , une technologie de mitigation qui a pratiquement tué les exploits basés sur SEH overflow.
Matt Miller
Puis en 2007, grosse décision, Metasploit est entièrement réécrit en Ruby. Un travail de titan de 18 mois de développement, et plus de 150 000 lignes de code à écrire from scratch. Metasploit 3.0 sort, et là, c’est plus un outil, c’est une plateforme complète. Interface au top, architecture modulaire, extensibilité infinie… Un pur bonheur pour tout pentester qui se respecte.
Mais HD Moore ne se contente pas de Metasploit car il continue d’innover en permanence. En 2006, il lance le “Month of Browser Bugs” (MoBB), une initiative où il sort une vulnérabilité de navigateur par jour pendant tout le mois de juillet. Les hacks publiés sont soigneusement choisis pour démontrer un concept sans révéler un chemin direct vers l’exécution de code à distance, mais ça fait quand même un tabac ! Il trouve des bugs dans Opera 9, Internet Explorer 6, Internet Explorer 7, et probablement Safari ou Konqueror. L’objectif c’est de forcer les éditeurs à patcher plus vite et sensibiliser le public aux failles de sécurité. Le concept fait tellement de bruit qu’il inspire toute une série d’initiatives similaires : Month of Apple Bugs, Month of PHP Bugs, Month of Kernel Bugs… Moore a littéralement créé un mouvement de disclosure coordonnée.
Mais son projet le plus fou, c’est en 2012 avec Critical.io. Ce projet scanne l’intégralité d’Internet pour identifier les machines vulnérables aux nouvelles failles. Et là, c’est le jackpot puisque Moore découvre une des vulnérabilités les plus critiques de l’histoire d’Internet, une faille UPnP (Universal Plug and Play) qui touche entre 40 et 50 millions d’appareils connectés. Pour vous donner une idée de l’ampleur du truc, avec un simple paquet UDP, on pouvait prendre le contrôle total de millions de routeurs, imprimantes, caméras IP et autres objets connectés. 81 millions d’adresses IP différentes ont répondu aux requêtes UPnP de Rapid7, touchant plus de 6900 produits différents de 1500 fournisseurs ! Une catastrophe potentielle que Moore révèle au grand jour, forçant les constructeurs à réagir en urgence.
2009, année charnière. Le 21 octobre, Rapid7 rachète Metasploit. La communauté open source est en panique totale. “C’est fini, ils vont tout fermer, transformer ça en produit commercial hors de prix !” Les forums s’enflamment, les développeurs menacent de forker le projet. La nouvelle tombe comme un coup de tonnerre, et les réactions sont mitigées. Certains hackers sont carrément pas contents, refusant de contribuer aux produits d’une boîte commerciale.
Mais HD, lui, voit les choses différemment : “C’est plus un buy-in qu’un sell-out”, dit-il. “Il s’agit de faire passer Metasploit au niveau supérieur avec une vraie entreprise et un vrai financement.” Et le pari est osé car HD et ses co-développeurs avaient toujours travaillé sur Metasploit après les heures de bureau, pendant les pauses déjeuner et les week-ends et là, pour la première fois, il peut bosser dessus à temps plein. “Je peux maintenant faire une fonctionnalité en une journée de travail, pas sur tout un week-end… Je suis excité de pouvoir travailler dessus à temps plein.”
HD devient Chief Security Officer puis Chief Research Officer chez Rapid7, mais il garde le contrôle architectural de son bébé jusqu’en 2016. Et là, surprise, non seulement Metasploit Framework reste open source et gratuit, mais Rapid7 investit massivement dedans. Rapid7 promet de financer 5 développeurs à temps plein pour travailler sur le projet et Moore insiste en disant que tout le logiciel développé par la nouvelle équipe restera libre et open source. “Rien de ce que les gens utilisent aujourd’hui ne va disparaître”, assure-t-il. Le pari est gagnant car avec les ressources de Rapid7, Metasploit explose littéralement. Les cycles de release passent de 9-12 mois à une release par semaine. L’équipe de développement passe de quelques bénévoles à une équipe dédiée de 5 chercheurs.
Et les chiffres parlent car au moment où Rapid7 acquiert le projet, ils n’avaient qu’environ 33 000 utilisateurs basés sur les stats subversion. Deux ans plus tard, post-Rapid7, ils étaient passés à 200 000 à 300 000 utilisateurs mensuels ! En 2009, il y avait un total de 17 personnes qui avaient contribué à Metasploit. En 2014, on est passé à environ 150 personnes qui ont contribué à Metasploit cette année-là, et sur les 400 contributeurs environ sur toute la vie de Metasploit, près de la moitié avaient commité quelque chose dans les 12 mois précédant 2014.
Il y a eu plus de commits dans les 12 premiers mois post-acquisition que dans les trois années précédentes !
L’écosystème Metasploit devient alors complètement dingue. Raphael Mudge crée Armitage en 2010, une interface graphique qui rend Metasploit accessible aux noobs du CLI puis plus tard, Mudge développe Cobalt Strike en 2012, qui deviendra l’outil de référence des red teams professionnelles. Les chiffres donnent le vertige. De 11 exploits en 2003, Metasploit passe alors à plus de 1500 exploits intégrés et 4000+ modules d’exploitation en 2025. Le framework contient maintenant plus de 6000 modules au total. Les payloads supportent PPC, MIPS et ARM, permettant de cibler les systèmes embarqués et l’IoT.
Armitage, l’interface graphique de Metasploit
En 2016, après 7 ans chez Rapid7, Moore décide alors qu’il est temps de passer à autre chose. Il quitte l’entreprise (tout en restant consultant pour Metasploit) et se lance dans une nouvelle aventure. En 2018, il crée Rumble Network Discovery, qui deviendra plus tard runZero .
Son constat c’est que même avec tous les outils de sécurité du monde, les entreprises se font encore pirater par des machines qu’elles ne connaissent pas. En effet, le problème fondamental, c’est qu’on ne peut pas sécuriser ce qu’on ne voit pas.
Super HD, toujours en train de résoudre les vrais problèmes que l’industrie préfère ignorer ! “C’est vraiment chouette de prendre l’approche que j’avais utilisée précédemment pour la découverte de réseaux externes et de l’appliquer ensuite au côté interne”, dit-il. “Nous pouvons le faire pour les entreprises derrière leur pare-feu et dans leurs réseaux internes et toutes leurs connexions cloud, VPN, et liens multisites et régionaux.”
runZero, c’est donc la réponse de Moore à ce défi. Et contrairement aux scanners de vulnérabilités classiques, son outil se concentre sur la découverte d’assets et la cartographie des réseaux. Sa philosophie sur ce projet c’est “zéro barrière pour le déploiement, zéro inconnu sur votre réseau”. Et visiblement, ça marche puisque runZero lève 5 millions de dollars en 2019, puis 15 millions supplémentaires en 2024. L’entreprise suit même les traces de Metasploit avec une reconnaissance Gartner comme “Customers’ Choice” dans la catégorie CAASM (Cyber Asset Attack Surface Management). Pas mal !!
En 2025, HD Moore reste une figure incontournable de la cybersécurité mondiale et continue de donner des conférences dans les plus gros événements du secteur tels que BSidesSF, RSA Conference, NorthSec. Son talk récent “A Pirate’s Guide to Snake Oil & Security” au NSEC a même fait sensation avec sa critique acerbe de l’industrie de la sécurité. Et son interview récente pour RSA 2025 sur “la mort et la renaissance du vulnerability management” montre qu’il n’a rien perdu de sa vision disruptive.
Bien avant HD Moore, le pentesting était réservé à une élite. Les outils commerciaux coûtaient une fortune (genre Core Impact à 30 000$ par an), les exploits publics étaient pourris, et partager ses connaissances était mal vu. Heureusement HD a tout pété et a démocratisé l’offensive security, légitimé la recherche en sécurité, et créé une communauté mondiale de chercheurs qui collaborent ouvertement.
Ses détracteurs diront qu’il a armé les cybercriminels et c’est vrai que Metasploit est utilisé par les méchants. Mais c’est aussi vrai que sans Metasploit, des milliers d’entreprises n’auraient jamais pu tester correctement leurs défenses, les pentesters indépendants n’auraient jamais pu concurrencer les grosses boîtes de sécu sans cet accès à des outils professionnels. Et quand on lui demande pourquoi il a créé Metasploit, HD répond simplement qu’il en avait marre de valider et nettoyer du code d’exploit pourri. Pas pour la gloire, pas pour l’argent (il a mis des années avant de gagner un centime avec Metasploit), mais juste pour résoudre un problème pratique qui l’emmerdait.
Vingt-deux ans après sa création, Metasploit continue d’évoluer. Les modules pour Kubernetes, les exploits pour le cloud AWS/Azure/GCP, les attaques contre l’IA et le machine learning… Le framework s’adapte constamment aux nouvelles menaces. Les releases hebdomadaires apportent régulièrement de nouveaux modules qui chaînent des vulnérabilités pour des attaques sophistiquées.
Et HD Moore ? Et bien à 44 ans, il continue de hacker, mais cette fois-ci c’est l’industrie de la cybersécurité elle-même qu’il essaie de disrupter avec runZero.
Bref la prochaine fois que vous lancerez msfconsole, pensez à ce gamin faisant les poubelles d’Austin qui a décidé un jour de faire évoluer le milieu du pentest…
Sources : Darknet Diaries Episode 114 - HD , Rapid7 - Metasploit Anniversary , Wikipedia - H.D. Moore , Wikipedia - Metasploit , Threat Picture - HD Moore , O’Reilly - History of Metasploit , Hacker Valley - HD Moore Interview , Dark Reading - runZero , Dark Reading - One Year After Acquisition , Metasploit Official , Cobalt Strike - Raphael Mudge , Rapid7 - Metasploit Documentation , Hacker History - HD Moore , InfoWorld - The mind of HD Moore , Slashdot - Metasploit Project Sold To Rapid7 , The Register - UPnP scan shows 50 million network devices open to packet attack , Wikipedia - Month of bugs
Nos confrères ont publié de nombreux dossiers et tests durant cette troisième semaine du mois d’aout 2025. A lire sans aucune modération !
Cet article Cartes graphique et mère, smartphone et casque audio, tous les tests à ne pas manquer ! a été publié en premier par GinjFo.
Bon, on va pas se mentir. Il y a des objets qui marquent une époque. Le transistor, le micro-processeur, l’iPhone… Et puis il y a ces créations plus discrètes qui révolutionnent un domaine entier sans que le grand public s’en aperçoive. Le WiFi Pineapple fait clairement partie de cette catégorie d’ananas pas comme les autres ! Ce petit boîtier noir et jaune pas plus grand qu’un smartphone transforme radicalement notre perception de la sécurité WiFi. Il inspire Hollywood, donne naissance à toute une industrie de l’audit sans fil, et surtout, il révèle à quel point nos connexions quotidiennes sont vulnérables.
L’histoire commence au milieu des années 2000, quand Darren Kitchen, un jeune administrateur système aux cheveux longs et aux idées claires, se pose une question apparemment anodine : “Pourquoi nos appareils font-ils autant confiance aux réseaux WiFi ?” Simple, mais géniale. Cette interrogation va déclencher une révolution dans le monde de la cybersécurité.
Darren Kitchen, le fondateur de Hak5
Kitchen n’est pas né de la dernière pluie. Apparu sur Terre le 11 février 1983, ce gamin grandit avec un modem 1200 bauds entre les mains, explorant les BBS (Bulletin Board Systems) de l’époque pré-Internet. “J’ai trouvé du réconfort dans le cyberespace… J’y étais accepté”, raconte-t-il avec cette nostalgie caractéristique des premiers hackers. Ses premières créations ? Des boîtes de phone-phreaking artisanales et des e-zines pour groupes de hackers dans les années 90. Du pur underground ! Après une brève mais mémorable rencontre avec la compagnie de téléphone qui l’a “dissuadé” de poursuivre ses activités de phreaking (comprendre : ils lui ont fait suffisamment peur pour qu’il arrête ses conneries), il se concentre sur ses études et fait carrière dans l’administration système.
Mais la passion du hack sommeille toujours. Kitchen commence par écrire un dialer BBS en BASIC sur un PC-XT… Je vous laisse imaginer le niveau du geek. Un IBM PC-XT, pour ceux qui ne connaissent pas, c’est l’ancêtre du PC sorti en 1983 avec son processeur 8088 à 4,77 MHz et ses 640 Ko de RAM maximum. Autant dire qu’à l’époque, coder dessus relevait de l’exploit !
En 2005, il fonde Hak5, d’abord comme un vidéocast couvrant l’open source, l’infrastructure réseau et les tests de pénétration. Son objectif est noble : créer une communauté où tous les hackers ont leur place, inspiré par ce sentiment d’appartenance qu’il a ressenti dans les premiers espaces cyber. Et ça marche ! Depuis, Hak5 est devenu la série la plus longue sur YouTube dans ce domaine, touchant des centaines de millions de personnes dans le monde. En 2008, le show rejoint même Revision3, consolidant sa place dans le paysage médiatique tech.
La révélation du WiFi Pineapple naît d’une observation simple mais géniale. Nos appareils, smartphones, laptops, tablettes, sont programmés pour chercher constamment les réseaux WiFi qu’ils connaissent. Ils envoient en permanence des requêtes dans l’éther : “Es-tu le réseau de la maison ?” “Es-tu celui du bureau ?” “Es-tu Starbucks_WiFi ?” C’est le protocole de probe request, intégré dans la norme 802.11 depuis ses débuts.
Et Kitchen se dit : “Et si je leur répondais oui à tous ?” Bingo ! L’idée est brillante !
Car plutôt que d’essayer de casser le chiffrement WiFi, un processus long et complexe qui nécessite de capturer des handshakes et de faire du bruteforce, pourquoi ne pas faire croire aux appareils qu’ils se connectent à un réseau de confiance ? Ce principe du rogue access point (point d’accès pirate) existe déjà, mais Kitchen va le pousser dans ses retranchements avec une innovation cruciale : le PineAP.
PineAP, c’est l’âme du WiFi Pineapple. Ce système breveté écoute les requêtes des appareils et leur répond de manière convaincante. Mais Kitchen ne s’arrête pas là. Il développe tout un écosystème : une interface web intuitive accessible depuis n’importe quel navigateur, des modules extensibles permettant d’ajouter des fonctionnalités (captures de handshakes, attaques de déauthentification, portails captifs…), une gestion fine des attaques avec filtrage par MAC address et SSID. Le WiFi Pineapple n’est plus juste un outil technique, c’est une plateforme complète pour l’audit sans fil.
Les premières versions sont artisanales mais déjà redoutables. En 2008, Kitchen commercialise officiellement le premier WiFi Pineapple. Les Mark I, II et III représentent l’époque bénie où les hackers modifient leurs propres équipements. On achète un routeur Alfa AP121U pour quelques dizaines de dollars, on flashe le firmware Pineapple dessus via TFTP, et voilà ! Mais Kitchen voit plus grand. Il veut créer un produit fini, professionnel, qui ne nécessite aucune compétence technique particulière pour être déployé.
Le Mark IV marque alors un tournant. Fini le bricolage, place au professionnalisme ! Cette version, basée sur un processeur Atheros AR9331 à 400 MHz, est deux fois plus rapide que les précédentes. Elle intègre tout ce qu’il faut pour mener des attaques sérieuses : WiFi 802.11 b/g/n, plusieurs ports USB pour brancher des adaptateurs WiFi supplémentaires ou des clés 3G/4G, et surtout la possibilité de l’alimenter directement via Power over Ethernet (PoE). Plus besoin de se trimballer avec des batteries ! L’interface web évolue aussi avec le système Infusion permettant d’installer des modules tiers depuis un dépôt centralisé.
Le Mark IV, première version vraiment professionnelle
Mais c’est avec le Mark V en 2013 que la magie opère vraiment et les constructeurs de smartphones commencent à se méfier. iOS 8 et Android 6.0 développent des contre-mesures : randomisation des adresses MAC lors des probe requests, détection des points d’accès suspects, limitation du broadcast des SSID connus. Les appareils deviennent plus prudents, ils ne révèlent plus aussi facilement les réseaux qu’ils connaissent.
Qu’à cela ne tienne ! Kitchen et son équipe contre-attaquent avec de nouvelles techniques encore plus sournoises. Le Mark V embarque deux radios WiFi permettant de mener des attaques sur plusieurs canaux simultanément. Une radio écoute pendant que l’autre émet. Le système PineAP évolue avec de nouveaux modes : Beacon Response Mode qui répond sélectivement aux requêtes, Broadcast SSID Pool qui diffuse une liste de réseaux populaires, Targeted Portal qui crée des pages de phishing personnalisées. Tactique redoutable !
Le Mark V avec ses deux antennes pour les attaques multi-canaux
Petit détail qui tue : il n’y a jamais eu de Mark VI commercialisé. Kitchen a sauté directement au Mark VII pour des raisons que lui seul connaît. Certains spéculent sur un prototype raté, d’autres sur une superstition autour du chiffre 6. Le mystère reste entier !
Aujourd’hui, le Mark VII représente l’état de l’art absolu. Ce bijou de technologie embarque dans sa version de base tout ce dont rêvent les hackers : trois radios qui peuvent écouter et émettre simultanément (une dédiée au monitoring, une pour les attaques, une pour le management), le support des fréquences 2.4 et 5 GHz avec 802.11 a/b/g/n/ac, un processeur MediaTek MT7628 cadencé à 580 MHz avec 256 MB de RAM, et même un port USB-C pour suivre la modernité. C’est le couteau suisse ultime de l’audit WiFi !
Le Mark VII, l’état de l’art actuel avec ses trois radios
L’interface utilisateur, entièrement réécrite en Angular, offre un contrôle fin sur tous les aspects de l’audit. Les “Campagnes” automatisent les tests de pénétration et génèrent des rapports détaillés conformes aux standards de l’industrie. Le Cloud C2 permet une gestion à distance pour de la simulation de menaces persistantes avancées (APT). On peut contrôler une flotte entière de Pineapples depuis un dashboard centralisé !
L’interface moderne du Mark VII avec ses modules d’attaque
Les nouvelles attaques incluent la capture automatique de handshakes WPA/WPA2 avec hashcat intégré, l’amélioration des attaques de déauthentification ciblées, et même des attaques contre les réseaux WPA-Enterprise avec module RADIUS intégré. L’architecture logicielle est entièrement repensée avec un backend découplé et une API REST permettant aux développeurs d’écrire des modules dans leur langage de prédilection. Une bibliothèque Python officielle facilite l’intégration. Tout cela fait du Mark VII une plateforme mûre, stable et extensible.
L’histoire des attaques WiFi ressemble vraiment à une course aux armements permanente. Et le WiFi Pineapple s’adapte à chaque évolution comme un caméléon technologique.
Au début, il y avait le WEP (Wired Equivalent Privacy), censé protéger nos réseaux WiFi. Mais ce protocole était tellement mal conçu qu’en 2001, des chercheurs découvrent qu’on peut récupérer la clé en collectant environ 40 000 paquets. Avec les outils modernes comme aircrack-ng, n’importe quel script kiddie peut alors casser du WEP en quelques minutes. Puis arrive le WPA en 2003, puis le WPA2 en 2004, chacun promettant d’être LA solution définitive. Spoiler : ils ne l’étaient pas !
Le coup de grâce arrive en octobre 2017 avec l’attaque KRACK (Key Reinstallation Attack). Mathy Vanhoef, un chercheur belge de l’université de Louvain, découvre que même le WPA2 peut être cassé. La faille exploite la réinstallation de clés dans le four-way handshake, permettant de déchiffrer le trafic, injecter des paquets malveillants et même forcer des downgrades vers des protocoles plus faibles. Et le pire ? La faille est dans le standard WiFi lui-même, pas dans une implémentation particulière. Autrement dit, TOUS les appareils WiFi au monde sont vulnérables !
En mai 2021, Vanhoef enfonce le clou avec les FragAttacks (Fragmentation and Aggregation Attacks). Ces vulnérabilités, présentes depuis 1997 dans le WiFi, touchent TOUS les protocoles de sécurité WiFi, du vieux WEP au tout nouveau WPA3. Trois failles de conception fondamentales et plusieurs bugs d’implémentation permettent d’injecter des paquets arbitraires, d’intercepter le trafic et de contourner les pare-feu. Des bugs vieux de plus de 20 ans qui étaient passés inaperçus !
Le WiFi Pineapple intègre rapidement ces nouvelles attaques. Les modules KRACK et FragAttack sont disponibles quelques semaines après leur divulgation. Les attaques multi-canaux, développées depuis 2014, permettent de manipuler les trames chiffrées entre deux points légitimes. Les techniques Evil Twin exploitent les mécanismes de roaming, particulièrement le standard 802.11v (BSS Transition Management) qui permet de demander poliment aux appareils de se reconnecter à un autre point d’accès. “Poliment” étant un euphémisme pour “de force”, vous l’aurez compris.
Même WPA3, lancé en 2018 et censé résoudre les problèmes de ses prédécesseurs avec son protocole SAE (Simultaneous Authentication of Equals) et son chiffrement 192-bit en mode Enterprise, peine à s’imposer. L’adoption reste faible, quelques pourcents à l’échelle mondiale selon WiGLE, la base de données collaborative des réseaux WiFi. WPA2 règne toujours en maître avec plus de 70% des réseaux.
Mais l’histoire du WiFi Pineapple ne se limite pas à ses prouesses techniques. Elle raconte aussi comment un outil de niche devient un phénomène culturel.
Tout commence lors des conférences de hacking. DefCon 21 en 2013 : le WiFi Pineapple Mark V se vend à raison de 1,2 unités par minute le premier jour avant rupture de stock totale ! Un succès fou pour un gadget à 90 dollars. Les hackers font littéralement la queue devant le stand Hak5 pour mettre la main sur ce petit ananas jaune. Kitchen raconte qu’ils ont dû limiter les achats à deux unités par personne pour éviter que des revendeurs ne raflent tout le stock.
Les démonstrations spectaculaires se multiplient. DefCon 25 en 2017 : des chercheurs installent discrètement des Pineapples dans les couloirs du Caesars Palace. Ils diffusent des SSID alléchants comme “DEFCON_FreeWiFi”, “DEFCON_guest” et même “FBI_Surveillance_Van_42” (pour le lol). Les participants, pourtant experts en sécurité et censés savoir mieux, se connectent massivement aux faux réseaux. Certains entrent même leurs identifiants Gmail, Facebook et bancaires sur des pages de portail captif parfaitement imitées. L’arroseur arrosé, version cybersec ! Les chercheurs publient ensuite un “Wall of Sheep” anonymisé montrant le nombre effarant de credentials capturés.
Mais LA démonstration la plus spectaculaire reste celle de Mike Spicer en 2017. Ce chercheur en sécurité indépendant qui se fait appeler d4rkm4tter construit un monstre qu’il baptise le “WiFi Cactus”. L’engin est composé de 25 Pineapple Tetras (soit 50 radios au total !) montés sur une structure métallique elle-même fixée sur un sac à dos de randonnée militaire. Le tout pèse 14 kilos et ressemble à un cosplay de cyborg sorti tout droit de Ghost in the Shell.
Mike Spicer (d4rkm4tter) avec son impressionnant WiFi Cactus à DefCon
Son WiFi Cactus couvre TOUS les canaux WiFi simultanément avec une portée de 100 mètres et une autonomie de 2 heures. L’appareil est décoré de LEDs bleues et vertes qui clignotent en fonction de l’activité réseau, alimenté par une batterie LiPo de 30 ampères-heures, et contrôlé par un Intel NUC i7 avec deux switches Cisco Catalyst 2960 à 16 ports. Le système tourne sous Kali Linux avec une interface custom développée en Python. Il arrive à surveiller jusqu’à 14 000 appareils simultanément avant que le kernel Linux ne commence à avoir des ratés sous la charge !
L’objectif de Spicer est de mesurer le niveau réel d’attaques WiFi à DefCon. Résultat : les attaques de déauthentification pleuvent comme à Verdun. En moyenne, chaque appareil subit 23 tentatives de déauth par heure ! L’écosystème est plus hostile qu’une fosse aux lions affamés. “J’ai été époustoufflé par la réaction des gens face au Cactus”, raconte Spicer. “Partout où j’allais, les gens m’arrêtaient pour demander ce que c’était, prendre des photos, et certains voulaient même l’acheter !” Hak5 lui envoie finalement 40 Pineapples gratuits pour soutenir ses recherches.
L’anecdote la plus savoureuse reste celle de DefCon 22 en 2014. Un mystérieux hacker opérant sous le pseudo @IHuntPineapples découvre des script kiddies utilisant un WiFi Pineapple mal configuré pendant la conférence. Sa réaction est épique : il déploie un exploit zero-day contre l’appareil (une injection de commande dans le module Karma via une vulnérabilité d’authentification), prend le contrôle total du Pineapple, et remplace l’interface web par un message cinglant : “Mess with the best, die like the rest. Vous voulez jouer avec le WiFi de quelqu’un à Vegas dans une putain de conférence de hackers ? Qu’est-ce que vous attendiez ? Votre merde est complètement défoncée maintenant. Hack the planet!”, une référence directe au film culte “Hackers” de 1995.
Le message vengeur laissé par @IHuntPineapples sur un Pineapple compromis
@IHuntPineapples publie même les détails techniques de son exploit sur Twitter, révélant une faille d’injection de commande dans /components/system/karma/functions.php. Kitchen corrige la vulnérabilité dans les 48 heures avec le firmware 2.0.1. C’est ça, la beauté de DefCon : même les outils de hacking se font hacker !
Kitchen et Hak5 naviguent dans une zone grise éthique fascinante. D’un côté, ils créent des outils pouvant être utilisés de manière malveillante. De l’autre, ils éduquent la communauté sur les vulnérabilités réelles des réseaux sans fil. Cette dualité est assumée : depuis 2008, le WiFi Pineapple aide officiellement les pentesteurs, les équipes de sécurité des entreprises Fortune 500, les agences gouvernementales et même les forces de l’ordre comme plateforme de test sans fil. Le FBI et la NSA sont des clients réguliers, utilisant des versions modifiées pour leurs opérations.
La consécration arrive avec une série culte : Silicon Valley. Dans l’épisode “Hooli-Con” de la saison 4 (diffusé le 18 juin 2017), Richard Hendricks décide de planter des “pineapples” dans tout le salon technologique pour forcer le téléchargement de l’application Pied Piper sur les smartphones des visiteurs. Sa stratégie ? “L’adoption forcée par le marketing de guérilla agressif” ! Le plan est techniquement précis : ils exploitent le fait que l’app Hooli est requise pour utiliser le WiFi gratuit du salon, et injectent Pied Piper dans le processus d’installation.
Jared objecte avec sa sagesse habituelle : “En tant que victime d’une adoption forcée, je dois dire que c’est du malware, Richard !” Mais Richard, aveuglé par son ambition, rétorque : “C’est pour le bien commun !” Le plan échoue spectaculairement quand Richard, jaloux de voir son ex avec un nouveau copain, change le screensaver du gars en “Poop Fare” via le Pineapple. Cette action puérile alerte la sécurité qui lance un balayage avec des antennes directionnelles haute puissance. Ils localisent et retirent tous les Pineapples en quelques minutes.
Quand Richard se fait choper par la sécurité.
Kitchen, consultant technique sur l’épisode, confirme : “La représentation du Pineapple dans la série n’est pas si loin de la réalité. Les scénaristes ont vraiment fait leurs devoirs. La seule liberté qu’ils ont prise, c’est la vitesse d’installation de l’app. Dans la vraie vie, ça prendrait plus de temps.” Fun fact : les vrais WiFi Pineapples utilisés pendant le tournage ont été offerts à l’équipe technique de la série qui les utilise maintenant pour tester la sécurité de leurs propres réseaux !
Cette apparition télévisée propulse le WiFi Pineapple au-delà des cercles de hackers. Le grand public découvre soudainement l’existence de ces attaques WiFi sophistiquées. Les ventes explosent et Hak5 enregistre une augmentation de 400% des commandes dans les semaines suivant la diffusion. Mais plus important encore, la sensibilisation aux risques des réseaux sans fil publics augmente drastiquement. Les VPN deviennent mainstream, et “ne jamais se connecter au WiFi public” devient un conseil de sécurité basique.
Aujourd’hui, le WiFi Pineapple incarne ce paradoxe fascinant : un outil d’attaque qui améliore les défenses. Chaque nouvelle version force l’industrie à renforcer ses protections. C’est un jeu du chat et de la souris où tout le monde finit gagnant.
Et l’avenir du WiFi Pineapple s’écrit avec une évolution complètement dingue : le Pineapple Pager !
Dévoilé à la DefCon 33 en août 2025 pour les 20 ans de Hak5, ce petit appareil ressemble à un pager des années 90 mais cache une bête de course. Le design rétro n’est pas un hasard, c’est un hommage direct au film “Hackers” et à l’esthétique cyberpunk des années 90. L’appareil embarque le moteur PineAP 8e génération, complètement réécrit from scratch en Rust pour des performances 100 fois supérieures. Il supporte le WiFi 6 GHz (WiFi 6E), une première mondiale pour un outil de pentest portable ! Le tout dans un boîtier de 131 grammes qui se clipse sur votre ceinture.
Le plus fou c’est qu’il fonctionne de manière totalement autonome, sans ordinateur ! Plus besoin de trimballer son laptop puisque ce truc lance des attaques automatisées grâce à DuckyScript 3.0, le langage de scripting de Hak5. Il vibre même quand il détecte une cible, affiche les résultats sur son écran couleur haute résolution, et peut même envoyer des alertes sur votre téléphone via Bluetooth. La batterie de 2000 mAh offre jusqu’à 8 heures d’autonomie en mode passif, 2 heures en mode attaque aggressive.
Les fonctionnalités sont délirantes… support tri-bande (2.4, 5 et 6 GHz) avec deux radios indépendantes, intégration native de hashcat pour le cracking WPA on-device, mode “stealth” qui imite les patterns de trafic d’un smartphone normal, et même un mode “warwalking” qui cartographie automatiquement les réseaux pendant que vous vous baladez.
Kitchen prouve encore qu’il sait transformer la nostalgie en arme de destruction massive du WiFi. “Le Pager, c’est 20 ans d’expérience condensés dans la poche”, explique-t-il. “On voulait créer quelque chose qui capture l’essence du hacking des années 90 tout en étant à la pointe de la technologie moderne.” Mission accomplie.
Ce qui est fascinant avec le WiFi Pineapple, c’est qu’il nous force à repenser notre rapport à la technologie. Chaque fois que votre téléphone se connecte automatiquement à un réseau, chaque fois que vous cliquez sur “Se souvenir de ce réseau”, vous créez une vulnérabilité potentielle. Le Pineapple ne fait que révéler ce qui a toujours été là : notre confiance aveugle dans des protocoles conçus à une époque où la sécurité n’était pas la priorité.
Kitchen et son équipe continuent d’innover, toujours avec cette philosophie : “Know your network. Know your risks. Know your tools.” Ils ne vendent pas juste du matériel, ils vendent de la connaissance, de la prise de conscience. Et dans un monde où nos vies entières transitent par le WiFi, c’est peut-être le service le plus précieux qu’ils puissent rendre. Car comme toutjours, la meilleure défense, c’est de comprendre les attaques.
Dans un monde parfait, le WiFi Pineapple n’aurait pas besoin d’exister. Mais on ne vit pas dans un monde parfait. On vit dans un monde où la commodité prime souvent sur la sécurité, où les standards sont adoptés avant d’être vraiment testés, où les failles de 20 ans passent inaperçues. Et tant que ce sera le cas, on aura besoin de hackers comme Kitchen pour nous rappeler que la confiance aveugle en la technologie est le premier pas vers la catastrophe.
Sources : Darren Kitchen - Site personnel, Hak5 - WiFi Pineapple, The Outline - WiFi Cactus Story, KRACK Attacks - Mathy Vanhoef, FragAttacks - WiFi Vulnerabilities, Wikipedia - Wi-Fi Protected Access, Wikitia - Darren Kitchen Biography, Hak5 Documentation, Hak5 Community Forums, CSO Online - IHuntPineapples Story
Le mini PC Geekom IT12 2025 Edition se décline en 4 versions, avec un rapport qualité/prix attractif et de bonnes performances. Voici notre avis complet.
The post Test Geekom IT12 2025 Edition – Mini PC first appeared on IT-Connect.
Regarder Star Wars en version Despecialized ou le premier Jurassic Park sur un écran géant dans mon salon, c’est un peu retrouver son âme d’enfant. Et c’est exactement ce que j’ai fait ces dernières semaines avec le XGIMI Aura 2 que j’ai reçu en test.
Le truc qui m’a le plus impressionné avec ce projecteur ultra courte focale (UST - Ultra Short Throw), c’est qu’il suffit de le poser à environ 17 / 18 cm du mur pour obtenir une image de 100 pouces (2,54 m de diagonale). Plus besoin de câbles qui traînent partout, plus de projo pendu au plafond qui fait peur aux invités… Ça me change de mon ancien. Là, on le pose sur le meuble TV, et basta. (Bon, j’avoue, j’ai pas encore acheté le meuble TV…).
Un petit détail dont on parle rarement quand même avec ce genre de projo, c’est que comme la lumière arrive de façon rasante, la texture du mur se voit et ça donne un petit grain. Je fixais dessus au début, puis on s’y fait. Donc si vous êtes perfectionnistes, une toile ALR spéciale UST (type Fresnel) ou une peinture très lisse règle ce “problème” et améliorera aussi le contraste en lumière ambiante.
Côté image, le Aura 2 exploite la techno Dual Light 2.0 (hybride LED + laser) pour sortir 2300 lumens ISO et ainsi couvrir 99 % du DCI-P3. En clair, ça donne des couleurs bien pétantes et suffisamment de pêche pour regarder en journée (rideaux tirés, c’est mieux quand même). La puce 0,47” DMD affiche l’image 4K via wobulation, ce qui n’est pas du vrai 4K natif, mais honnêtement, à l’usage, on ne voit pas la différence. Et la plage de taille conseillée par XGIMI s’étends de 90 à 150”, le mieux étant 100/120”.
Autre bonne surprise dans ce projo, c’est la prise en charge de Dolby Vision, HDR10, HLG et mode IMAX Enhanced, comme ça le contraste dynamique annoncé grimpe à 1 000 000:1. Maintenant, dans la vraie vie, on n’atteint pas les noirs d’une OLED, mais pour un UST, ça fait le job.
Dessus, c’est Android TV 11.0 (pas Google TV). J’ai trouvé l’interface plutôt fluide**, par contre, pas de Netflix natif** (question de certification) alors il faudra passer par un boîtier externe (Apple TV, Chromecast/Google TV, Fire TV…) ou bidouiller. Disney+ est dispo selon les régions et versions, mais pour avoir toutes les plateformes, le plus simple reste comme je vous le disais d’y adjoindre un petit streamer HDMI.
Un gros point fort de ce projo c’est une barre Harman Kardon 60 W intégrée (4 x 15 W) avec Dolby Atmos, DTS-HD et DTS Virtual:X. Pour Netflix & chill (ou L’Amour est dans le pré), c’est largement suffisant. Après si vous voulez aller plus loin, il y a une sortie HDMI eARC pour brancher un ampli ou une barre externe.
Notez que la barre blanche que vous voyez devant le projo, c’est ma barre de son, et elle n’est pas livrée avec…
En mode Jeu, j’ai une latence autour de 20 ms, ce qui est très bon pour un projecteur. Mon astuce, c’est de désactivez l’auto keystone pour profiter du plus faible input lag. Pas de VRR ni 120 Hz en 4K, donc on reste sur du 60 Hz pour les consoles. Je me suis fait quelques parties de Mario Kart sur la Switch 2, là dessus, c’était quand même pas mal.
Niveau connectique, on peut y mettre 3 x HDMI (dont 1 eARC), 3 x USB, Ethernet, optique, jack 3,5 mm. Y’a également du Wi-Fi 6, Bluetooth 5.2, Chromecast intégré, 3D (Frame Packing & Side-by-Side). Le tout avec un capot motorisé qui protège l’optique, un Art Mode pour afficher des œuvres quand on n’utilise pas le projo, et l’ISA 5.0 (autofocus, auto-keystone continu, correction de planéité du mur, adaptation à la couleur du mur, alignement auto avec l’écran, etc.).
Bien sûr, ce n’est pas “portable” puisque ce projecteur mesue 51 cm de large, 27 cm de profondeur, 14,4 cm de haut pour environ 9 kg. Et le bruit mesuré est ≤ 32 dB à 1 m (c’est donc discret par rapport à mon vieux BenQ qui soufflait plus qu’une documentaliste de collège). Et pour la conso, on est autour de 180 W en usage.
Maintenant, le tarif officiel en Europe est de 2 899 €. C’est cher mais face à lui y’a le Hisense PX3-Pro (tri-laser, Dolby Vision, Google TV avec Netflix) qu’on voit souvent entre 2 499–2 999 €, le Samsung The Premiere 9 (tri-laser) autour de 5 999 €, et le Formovie Theater Premium (Google TV + Netflix natif, DV, ALPD RGB+) annoncé à 2 999 €.
Niveau recul donc, le XGIMI est très bien placé avec un ratio 0,177:1 (100” à 17,8 cm), ce qui est plus court que pas mal de concurrents. Bref, j’ai bien aimé l’installation ultra simple, et surtout la qualité d’image et le son 60 W très propre. Le fait aussi que ça se coupe quand on approche sa grosse tête au dessus, c’est une excellente sécurité pour ne pas se prendre un coup de laser dans l’œil.
Par contre, dommage pour Netflix et j’ai trouvé aussi que la télécommande n’était pas hyper lisible dans le noir, ce qui peut être vite relou.
Bref, après plusieurs semaines d’utilisation, je suis conquis par ce XGIMI Aura 2. Donc si vous avez le budget et que vous voulez un UST plug-and-play qui envoie une vraie image de cinéma sans transformer le salon en salle machine avec des câbles partout, foncez.
Test du NAS ASUSTOR Lockerstor 4 Gen3 (AS6804T) : un modèle puissant avec processeur Ryzen, RAM DDR5 ECC, et 4 interfaces réseau, y compris du 10 GbE.
The post Test NAS ASUSTOR Lockerstor 4 Gen3 (AS6804T) : réseau 5 GbE et 10 GbE, USB4, et SSD NVMe first appeared on IT-Connect.
Bon, vous connaissez sans doute le Flipper Zero, ce petit boîtier orange qui ressemble à un Tamagotchi sous stéroïdes et qui fait flipper Amazon, le Canada et à peu près tous les responsables sécurité de la planète. Mais connaissez-vous vraiment l’histoire dingue de Pavel Zhovner, le mec qui a créé ce truc ?
Allez, c’est parti, je vais tout vous raconter !!
L’histoire commence à Odessa, en Ukraine, où le jeune Pavel Zhovner grandit avec une obsession maladive : Comprendre comment fonctionnent les trucs. Pas juste les comprendre superficiellement façon notice IKEA, mais aller au fond des choses, décortiquer, analyser, reconstruire. C’est le genre de gamin qui démonte le grille-pain familial “pour voir” et qui finit avec 12 pièces en trop au remontage. Diplômé de l’Université Polytechnique Nationale d’Odessa, Pavel se décrit lui-même avec une phrase qui résume tout : “Depuis mon enfance, j’aime explorer les choses autour de la nature, de la technologie et des humains”. Oui, des humains aussi.
Mais attention, Pavel refuse catégoriquement le terme “hacker”. Il préfère “nerd”, qu’il trouve plus honnête. Du coup, cette distinction n’est pas anodine car elle révèle une philosophie qui imprégnera plus tard tout le projet Flipper Zero à savoir la transparence, l’honnêteté, et le refus des étiquettes faciles. Parce que bon, entre nous, “hacker” ça fait tout de suite film hollywoodien avec des mecs en capuche qui tapent frénétiquement sur un clavier dans le noir. Alors que “Nerd”, c’est plus… authentique.
Avant de devenir le CEO de Flipper Devices et de terroriser les gouvernements du monde entier avec son dauphin orange, Pavel n’était pas un inconnu dans le monde de la tech underground. En 2017, face aux blocages internet imposés en Ukraine (merci Poutine), il crée Zaborona.help, un service VPN gratuit pour contourner la censure. Le projet, entièrement open source sur GitHub, utilise OpenVPN avec des serveurs multiples et propose même un script d’installation automatique pour Windows. C’était déjà la marque de fabrique de Pavel : Créer des outils accessibles pour donner du pouvoir aux utilisateurs face aux restrictions imposées par les couillons au pouvoir.
Mais le vrai game changer dans la vie de Pavel, c’est sa rencontre avec le Moscow Neuron Hackspace. En 2011, après avoir assisté au Chaos Communication Congress à Berlin (le Burning Man des hackers, mais avec plus de LED et moins de hippies), Alexander Chemeris décide d’importer le concept de hackerspace en Russie. Il faudra deux ans pour construire une communauté solide, mais Moscow Neuron Hackspace finit par voir le jour, installé au Хохловский пер 7/9 стр. 2, au cœur de Moscou. L’adresse est imprononçable, mais l’endroit était mythique.
C’est là que Pavel Zhovner prend les rênes et devient responsable du hackerspace. Entre 2013 et 2015, des universitaires sont même venus observer ces nerds dans leur habitat naturel, comme des gorilles des montagnes, dans le cadre d’une étude ethnographique. Neuron devient alors un espace alternatif pour l’industrie IT créative et l’entrepreneuriat startup, loin des initiatives étatiques pourries comme Skolkovo (le Silicon Valley russe, mais en nul). On y organise des conférences TEDx en anglais pour faire chier les autorités, des ateliers sur les réseaux sociaux, on apprend à construire des robots qui servent à rien mais qui sont cool, on expérimente avec l’impression 3D avant que tout le monde sache ce que c’est.
Neuron n’est pas qu’un simple makerspace où des barbus soudent des trucs random. C’est un lieu de résistance culturelle, un espace qui promeut “la confiance, le partage de connaissances et l’échange de compétences” selon l’étude académique (qui utilisait beaucoup de mots compliqués pour dire “des mecs cool qui s’entraident”). Pavel y développe sa vision où la technologie doit être accessible, compréhensible, hackable. C’est dans cet environnement bouillonnant de créativité et de café instantané qu’il rencontre alors Alex Kulagin.
Alexander Kulagin, diplômé du prestigieux MEPhI (Institut de Physique et d’Ingénierie de Moscou, l’endroit où l’URSS formait ses génies du nucléaire), apporte une expertise hardware cruciale. Entrepreneur IT avec plus de 5 ans d’expérience dans le développement hardware et la production de masse, il devient le COO (Chief Operations Officer) de ce qui deviendra Flipper Devices. Là où Pavel est le visionnaire philosophe qui part dans des délires métaphysiques sur la nature du hacking, Alex, lui, est le pragmatique qui sait transformer les idées en produits manufacturables sans faire exploser l’usine.
Alex et Pavel (Image IA)
Dans une interview, Kulagin explique leur vision commune : “Nous avons conçu l’appareil comme un outil de recherche et d’éducation pour tester la vulnérabilité des technologies quotidiennes qui nous entourent, souvent celles auxquelles vous n’auriez jamais pensé qu’elles pouvaient être dangereuses.” Genre votre porte de garage qui s’ouvre avec un signal radio basique qu’un gamin de 12 ans pourrait copier. Ou votre badge de bureau qui utilise une techno des années 90.
Le choix du dauphin comme mascotte n’est pas anodin non plus. “Nous avons décidé que le personnage principal serait un dauphin dès le début”, explique Kulagin. “Notre dauphin est excentrique, queer, enthousiaste mais simple et gentil en même temps. Nous voulions créer un personnage avec qui vous auriez envie d’être ami.” Et puis soyons honnêtes, un dauphin c’est moins menaçant qu’un requin ou qu’un logo de tête de mort…
2019, Pavel se balade avec l’arsenal classique du pentester dans son sac à dos… Il est bien équipé… adaptateurs WiFi, lecteurs NFC, SDR, Proxmark3, HydraNFC, Raspberry Pi Zero. Le truc, explique-t-il c’est que “Tous ces appareils ne sont pas faciles à utiliser en déplacement surtout quand vous avez une tasse de café dans une main ou que vous faites du vélo”. Et c’est vrai que sortir un Proxmark3 dans le métro pour tester une carte de transport, ça fait tout de suite très louche.
Il expérimente alors avec un Raspberry Pi Zero W pour automatiser les interactions AirDrop dans le métro de Moscou (pour envoyer des memes aux gens, évidemment), mais le résultat est catastrophique : “Les pointes de soudure déchiraient le tissu de mon pantalon”. Ses tentatives de boîtiers imprimés en 3D sont tout aussi décevantes… Bref, ça ressemblait plus à un projet d’école primaire qu’à un outil de hacking sérieux.
Le déclic arrive quand un Tamagotchi Friends original de Bandai lui tombe entre les mains. Pavel découvre que ces appareils sont encore produits et vendus en 2019. Mais qui achète encore des Tamagotchi en 2019 ??? Et c’est là que l’idée germe dans sa tête. Et si on combinait le côté ludique et attachant du Tamagotchi avec les capacités d’un outil de pentest sérieux ? Un truc qu’on peut sortir dans un café sans qu’on appelle les flics.
Après avoir utilisé le pwngotchi (un projet de Tamagotchi AI pour le hacking WiFi), Pavel réalise qu’il en fait qu’il veut, je cite “Un appareil qui apportera simultanément de la joie au format Tamagotchi, serait esthétiquement similaire aux consoles de jeux rétro et serait assez méchant pour hacker tout autour”. En gros, une Game Boy qui peut ouvrir des portes.
Pavel tweete alors son idée et ses amis designers produit, ceux qui “font des trucs électroniques sérieux” (comprendre : pas des bricolages avec de la colle chaude), lui suggèrent de créer un appareil fini, au lieu de se lancer dans un bricolage DIY fait maison avec “une vraie production en usine et des pièces de qualité”. Bref, arrête de jouer avec ton fer à souder dans ton garage et fais un vrai produit.
C’est donc le début de l’aventure Flipper Zero et Pavel et Alex se lancent dans le développement des premiers prototypes. Le nom “Flipper” vient du dauphin cybernétique du film Johnny Mnemonic avec Keanu Reeves et le concept c’est un dauphin virtuel qui vit dans l’appareil et évolue au fur et à mesure que son propriétaire interagit avec lui, se fâchant quand il n’est pas utilisé fréquemment. C’est un Tamagotchi, mais pour hackers.
Mais détrompez-vous, le Flipper Zero n’est pas qu’un gadget mignon qui fait bip-bip. C’est une prouesse technique basée sur un microcontrôleur STM32WB55 à double cœur ARM. Un Cortex-M4 à 64 MHz pour le firmware principal (le cerveau) et un Cortex-M0 à 32 MHz pour le Bluetooth Low Energy (le moulin à paroles). Avec 256 KB de RAM et 1 MB de stockage Flash, c’est suffisant pour faire tourner un système complet. C’est évidemment moins puissant que votre smartphone, mais c’est exactement ce qu’il faut.
L’écran est un LCD monochrome rétro avec rétroéclairage orange de 128×64 pixels. “Au lieu des écrans modernes TFT, IPS ou OLED, nous avons délibérément choisi un cool LCD old-school”, explique l’équipe et comme sur les vieux téléphones monochromes Nokia 3310 et les Tamagotchi, l’écran est toujours allumé. Rassurez-vous, la batterie ne se vide en 3 heures comme sur votre iPhone.
Les capacités radio sont aussi impressionnantes pour un truc de la taille d’un paquet de clopes. Il est équipé d’une antenne 125 kHz en bas pour lire les cartes de proximité basse fréquence (vos vieux badges de bureau), d’un module NFC intégré (13.56 MHz) pour les cartes haute fréquence (cartes de transport, badges modernes), d’une puce CC1101 avec antenne multi-bande pour une portée jusqu’à 50 mètres (portails, alarmes de voiture), d’infrarouge pour contrôler les appareils domestiques (bye bye la télécommande perdue), et de GPIO pour se connecter à des modules externes (pour les vrais nerds).
Puis le 30 juillet 2020, la campagne Kickstarter est lancée avec un seul objectif : Récolter 60 000 dollars. Et le résultat est au delà de toutes leurs espérance puisque c’est exactement 4 882 784 dollars qui seront récoltés auprès de 37 987 contributeurs en seulement 30 jours. C’est 8138% de l’objectif initial. Du délire total.
Quand Pavel et Alex regardent les compteurs, ils se regardent, mi-excités, mi-terrifiés. “Comment on va produire tout ça ?” La réponse : avec beaucoup de café et pas mal de crises de panique.
La communauté est plus qu’excitée, elle est en ébullition totale. Et sur les forums, certains s’inquiètent déjà : “Devoir soudainement produire 8000% de votre objectif de production d’ici une date prédéfinie ressemble à un cauchemar.” Et ils avaient raison. Pavel et Alex se retrouvent alors face à un défi monumental : transformer un projet de hackerspace en une entreprise capable de produire près de 40 000 unités. Et tout cela en pleine pandémie de COVID-19. C’est là que le fun commence vraiment.
2021-2022, c’est l’enfer sur terre. La pénurie mondiale de puces frappe de plein fouet. Le fournisseur taïwanais Sitronix annonce une pénurie continue de puces 7565R. Toutes les commandes passées avant juin 2021 sont retardées. Pire, ils suspendent temporairement toutes les nouvelles commandes. C’est la merde totale.
L’équipe doit alors redesigner l’électronique et les PCB plusieurs fois pour remplacer les composants introuvables. Un cauchemar d’ingénierie surtout que les composants de puissance deviennent l’objet de spéculation sauvage, pire que les cartes Pokémon. Un convertisseur de tension passe de 0,50$ à 10,70$, un chargeur de batterie BQ25896RTWR devient littéralement impossible à acheter. Y’a aucun stock chez TI, DigiKey ou Mouser. C’est le Far West des composants électroniques.
L’équipe cherche alors des stocks dans des entrepôts alternatifs, chez de petits fournisseurs louches car ils refusent de payer 20 fois le prix normal par principe. La production est alors fragmentée : les boîtiers plastiques dans une usine en Chine, l’électronique dans une autre en Europe de l’Est. Et coordonner tout ça pendant les perturbations de la chaîne d’approvisionnement est un cauchemar logistique qui ferait pleurer un responsable Amazon.
Malgré tout, ils commencent à expédier en janvier 2022. Mi-2022, 90% des commandes Kickstarter sont expédiées. C’est un miracle dans ce contexte de “l’une des plus grandes crises du marché des composants électroniques des dernières décennies”. D’autres projets Kickstarter de la même époque n’ont toujours pas livré.
Mais dès le début, Pavel et Alex on adopté la tactique de la transparence et de l’ouverture maximales. Tout le code est sur GitHub sous licence GPLv3, y’a pas de bullshit propriétaire, pas de DRM, pas de fonctionnalités bloquées derrière un paywall. Et cette approche attire une communauté massive.
Des firmwares alternatifs apparaissent comme des champignons après la pluie : Unleashed (firmware débloqué avec support des rolling codes pour les vrais méchants), RogueMaster (le plus cutting-edge avec les dernières fonctionnalités communautaires), Momentum (continuation officielle d’Xtreme après son arrêt). La philosophie est claire… pas de paywall, pas d’apps propriétaires. “Chaque build a toujours été et sera toujours gratuit et open source”, proclament les développeurs d’Unleashed. Respect.
Comme je vous le disais, le dauphin du Flipper Zero n’est pas qu’une mascotte mignonne pour faire joli. L’équipe lui a donné une personnalité complexe : il “a des opinions politiques de gauche, écoute de la techno, et n’a pas d’identité de genre prononcée”. C’est une déclaration politique subtile mais claire sur les valeurs de l’entreprise. Un dauphin woke, en somme. Et cette personnalité se reflète dans les interactions car le dauphin s’énerve si vous ne l’utilisez pas, il évolue avec vos hacks, il a ses humeurs. C’est un compagnon numérique avec du caractère, et pas un simple assistant style Alexa qui répond “Désolé, je n’ai pas compris”.
Nous sommes maintenant en février 2022. La Russie envahit l’Ukraine. Pavel Zhovner est ukrainien et plus de 10% de l’équipe Flipper Devices est ukrainienne. La décision est alors immédiate et radicale : Plus aucune livraison vers la Russie, plus aucun recrutement en Russie, et une aide active pour faire sortir tous les employés russes du pays, avec un déménagement du siège à Londres. C’est efficace et c’est surtout un positionnement politique fort pour une entreprise tech qui aurait pu fermer sa gueule et continuer à vendre. Flipper Devices n’a plus rien à voir avec la Russie.
Puis en 2023, le Flipper Zero devient viral sur TikTok. Des vidéos montrent des utilisateurs qui ouvrent les ports de charge des Tesla (véridique), éteignent les menus électroniques des fast-foods (hilarant), changent les prix sur les pompes à essence (illégal), déverrouillent des voitures (parfois). Les vidéos accumulent des millions de vues. “Je ne m’attendais pas à ce que ça marche 😭”, titre l’une d’elles montrant l’ouverture d’une Tesla.
Mais la réalité est plus nuancée car la plupart des vidéos sont probablement mises en scène ou nécessitent une préparation significative. Les attaques démontrées ne fonctionnent que contre des systèmes primitifs ou mal protégés. Votre Tesla Model 3 est tranquille. Votre vieille Clio de 1998, peut-être un peu moins.
Puis en avril 2023, Amazon bannit le Flipper Zero, le classifiant comme “appareil de skimming de cartes”. L’ironie c’est que toutes les annonces sur Amazon étaient de toute façon des revendeurs non officiels vendant des contrefaçons chinoises, et pas Flipper Devices directement.
La réaction de Pavel et Alex est brillante car ils transforment alors cet obstacle en opportunité en créannt leur propre réseau de distribution. Le bannissement devient un argument marketing pour la liberté technologique et le “Amazon nous a bannis” devient un badge d’honneur. L’effet Streisand joue à plein tube et chaque nouvelle interdiction génère une couverture médiatique qui fait découvrir l’appareil à de nouveaux publics. Merci Amazon et les autres shop pour la pub gratuite !
En février 2024, le Canada annonce son intention de bannir le Flipper Zero, invoquant une vague de vols de voitures. Le problème, c’est qu’aucun vol de voiture connu à cette époque, n’implique un Flipper Zero. C’est comme bannir les cuillères parce que quelqu’un s’est noyé dans sa soupe. Car techniquement, le Flipper Zero ne peut pas démarrer une voiture moderne. Il peut capturer et rejouer certains signaux, mais c’est plus compliqué que ce qu’on croit. Bref, tout ceci n’est qu’un cas classique de panique morale technologique, comme quand les parents pensaient que Doom allait transformer leurs enfants en tueurs en série ou que le téléchargement illégal ou l’IA va tuer la création et les artistes.
La réponse cinglante de Flipper Devices ne se fait pas attendre : ils pointent l’absurdité de bannir un outil à 169$ qui ne peut pas faire ce dont on l’accuse, pendant que de vrais outils de vol de voitures (genre les programmeurs de clés à 5000$) circulent librement sur eBay…
Les résultats financiers de Flipper Devices sont stupéfiants pour une entreprise sans investisseurs, sans VCs vampires, sans bullshit corporate : 2021 - 5 millions de dollars de revenus. 2022 - 25 millions de dollars. 2023 - 80 millions de dollars avec 500 000 unités vendues en cette années là. Soit une croissance de 1500% en deux ans, entièrement organique. Comme je vous le disais, pas de VCs, pas de dilution. Juste le crowdfunding initial et des ventes. “C’est du capitalisme old school” : tu vends un produit, tu fais du profit, tu réinvestis. Point.
Le business model est d’une simplicité désarmante. Un prix fixe d’environ 169 dollars (pas de Flipper Zero Pro Max Ultra à 500$), des marges confortables grâce à la production en volume, une distribution directe. Pas de versions multiples pour embrouiller les clients, pas de segmentation marketing. Un produit unique qui fait tout. Apple pourrait apprendre.
2024, après trois ans de développement intensif, la version 1.0 du firmware sort enfin. Les nouveautés sont importantes : support JavaScript pour créer des apps sans connaître le C (pour les noobs), système NFC complètement réécrit avec système de plugins, autonomie d’un mois en veille (mange-toi ça Apple Watch), transfert Bluetooth 2x plus rapide avec Android, support des apps tierces dynamiques. C’est l’aboutissement de trois ans de travail acharné, mais aussi un nouveau départ. Car la v1.0 n’est pas une fin, c’est une nouvelle base pour la communauté.
Plus de 500 000 utilisateurs actifs, des centaines de repositories sur GitHub et tout autant d’apps communautaires, c’est ça, le vrai succès du Flipper Zero. La communauté développe des usages créatifs inattendus comme de l’émulation de cartes d’hôtel pour tester la sécurité (ou entrer dans sa chambre bourré), analyse de protocoles propriétaires d’équipements médicaux (ça fait peur !), reverse engineering de jouets connectés (pourquoi pas), ou encore audit de sécurité de systèmes domotiques (votre frigo connecté est vulnérable).
Le repository awesome-flipperzero liste des centaines de ressources, projets, et modifications. C’est un écosystème vivant qui dépasse largement ce que Pavel et Alex avaient imaginé. Comme Linux, mais en plus fun. Et l’équipe ne s’arrête pas au device de base puisque des modules additionnels sortent régulièrement comme un module WiFi pour l’analyse réseau (pour hacker le WiFi du voisin légalement), une carte SD pour stocker plus de données (tous vos dumps de cartes), des modules GPIO custom pour des projets spécifiques (pour les vrais malades). Une collaboration avec Raspberry Pi est même annoncée pour de nouveaux modules hardware. Le Flipper Zero devient une plateforme, pas juste un gadget.
Dans une interview, Alex Kulagin explique leur vision : “Pour moi, le Flipper Zero est un lanceur d’alerte pour les systèmes de sécurité du monde qui reposent sur de la technologie vieille, médiocre et facilement hackable. […] Ce que Flipper apporte, c’est la prise de conscience que, les gars, ce truc n’est pas sécurisé. Si quelque chose peut être hacké par un jouet à 100$, c’est peut-être trop vieux.”
Et cette philosophie guide tout. Le Flipper Zero n’est pas conçu pour les criminels - ils ont déjà des outils bien plus puissants et ne vont pas attendre qu’un dauphin orange arrive sur Kickstarter. Non, il est conçu pour les chercheurs en sécurité, les étudiants, les curieux afin de démocratiser la compréhension de la sécurité et surtout pour montrer que la sécurité par l’obscurité, c’est de la merde.
Bien sûr, tout n’est pas rose dans le monde merveilleux du dauphin orange. Des voix s’élèvent pour critiquer le Flipper Zero : “C’est un outil pour les script kiddies”, “Ça facilite le hacking malveillant”, “Les vidéos TikTok encouragent des comportements illégaux”…etc. Alors l’équipe répond patiemment…
Sur leur blog, ils expliquent que la majorité des fonctions peuvent être répliquées avec un smartphone et 10$ d’équipement sur AliExpress. Que les vrais criminels n’attendaient pas le Flipper Zero. Que l’éducation à la sécurité passe par la compréhension pratique. Voilà, c’est comme interdire les cours de serrurerie parce que ça pourrait former des cambrioleurs.
Le Flipper Zero a changé la perception du hacking hardware car ce n’est plus réservé à une élite technique avec des outils coûteux et un PhD en électronique. C’est accessible, ludique, mais sérieux. Des universités l’utilisent pour enseigner la sécurité (MIT, Stanford, même la Sorbonne s’y met). Des entreprises l’achètent pour auditer leurs systèmes (cheaper than a consultant). Des hobbyistes découvrent le monde du hardware hacking (et arrêtent de jouer à Candy Crush).
Le design “toy-like” brise les barrières psychologiques car les gens n’ont pas peur d’un Tamagotchi orange. Ils sont curieux, ils veulent comprendre. Et c’est exactement ce que voulaient Pavel et Alex à savoir rendre le hacking moins intimidant, plus accessible. Mission accomplie !!
Dans un tweet récent, Pavel avoue que “C’est encore difficile à croire. Je n’aurais jamais pu imaginer que le projet Flipper Zero atteindrait cette taille.” Et les défis sont encore nombreux du genre comment rester fidèle à l’esprit hacker en devenant mainstream ? Comment naviguer les régulations sans compromettre les fonctionnalités ? Comment scaler sans perdre l’âme du projet et finir comme Arduino (RIP) ?
Les projections pour 2024-2025 suggèrent un dépassement des 100 millions de revenus mais l’argent n’est pas le but. “Je crois en l’open source”, répète Pavel. “Le projet sera complètement ouvert.” Pas de vente à Microsoft ou Google, pas d’IPO foireuse, pas de transformation en corporation sans ame.
C’est de l’authenticité pure et ça paye car Pavel et Alex n’ont jamais caché leurs intentions, leurs valeurs, leurs difficultés. C’est cette transparence qui a créé une confiance inébranlable avec la communauté. Et c’est surtout une preuve que l’open source n’est pas incompatible avec le succès commercial. 80 millions de dollars de revenus avec tout le code sur GitHub, c’est la preuve que le modèle fonctionne, contrairement à ce que racontent certains.
Et les contraintes créent l’innovation… la pénurie de composants, les bannissements, les controverses… chaque obstacle a été transformé en opportunité. Surtout que la communauté est plus importante que le produit. Ce Flipper Zero ne serait rien sans ses 500 000 utilisateurs qui créent, partagent, innovent. Sans oublier que le design compte autant que les fonctionnalités… c’est un dauphin mignon qui a quand même rendu le pentest accessible au grand public.
Je ne l’aurais pas cru à l’époque. Et l’équipe tease régulièrement de nouveaux appareils en laissant entendre que d’autres produits sont en développement. Mais rassurez-vous, la vision reste la même. Démocratiser la compréhension de la technologie tout en donnant aux gens les outils pour comprendre et contrôler leur environnement numérique.
C’est une mission qui dépasse largement le Flipper Zero.
Pavel Zhovner et Alex Kulagin ont créé plus qu’un gadget. Ils ont créé un mouvement. Un mouvement qui dit que la technologie ne devrait pas être une boîte noire. Comme Phil Zimmermann avec PGP, ils ont mis un outil puissant entre les mains du peuple. Et comme Zimmermann, ils font face à l’incompréhension, aux interdictions, aux controverses. Mais ils tiennent bon.
Le succès du Flipper Zero a également inspiré des concurrents tels que HackRF (plus puissant mais moins accessible et coûte un bras), Proxmark (spécialisé RFID mais moins polyvalent), WiFi Pineapple (focus WiFi mais pas portable), mais aucun n’a la combinaison magique du Flipper, accessible, portable, polyvalent, et surtout, fun.
Le Flipper Zero est surtout devenu un symbole inattendu… un mélange de tech ukrainienne innovante (fuck yeah), de résistance à la censure technologique, d’innovation hors des grands centres tech américains, et de la possibilité de succès sans Silicon Valley et ses VCs toxiques. Des gouvernements s’inquiètent, des entreprises tremblent… Et tout ça à cause d’un Tamagotchi créé par deux nerds d’Europe de l’Est.
La créativité de la communauté surprend même les créateurs. Des vétérinaires l’utilisent pour cloner les puces d’animaux perdus, des escape games l’intègrent dans leurs énigmes, des artistes créent des installations interactives, des professeurs l’utilisent pour des démonstrations de physique. Chaque jour, de nouveaux usages émergent et c’est la beauté d’un outil vraiment ouvert.
Et leurs plans pour 2025 sont ambitieux avec de nouveaux modules hardware (ça parle d’un module SDR complet), de l’intégration IA pour l’analyse de protocoles, un marketplace officiel pour les apps, des programmes éducatifs et une expansion internationale. Mais Pavel insiste “L’important n’est pas ce que nous planifions, mais ce que la communauté créera.”
Pavel et Alex pensent en décennies, pas en trimestres comme les commerciaux car le Flipper Zero doit durer 10 ans minimum (construit pour durer), l’écosystème doit survivre aux fondateurs (immortalité du projet), la communauté doit s’auto-organiser (décentralisation), et le projet doit rester pertinent technologiquement (innovation continue). Une vision long terme guide chaque décision… et surtout, pas de quick wins au détriment de la durabilité.
Et ce succès a un prix que peu comprennent car Pavel et Alex ont sacrifié leur anonymat (menaces régulières de tous les camps), leur stabilité (déménagements forcés, merci la guerre), leur vie privée (les médias sur le dos), et leur tranquillité (controverses permanentes sur Twitter), mais ils ne regrettent rien. “C’est le prix de changer le monde”, dit Pavel.
Pavel avoue parfois douter : “Sommes-nous légitimes ? Méritons-nous ce succès ?” Le syndrome de l’imposteur frappe même après 80 millions de revenus mais Alex est plus pragmatique : “On a créé quelque chose dont les gens ont besoin. Le marché a validé. Point.” Cette tension entre doute et confiance nourrit l’humilité de l’équipe et il n’y a pas de grosse tête chez Flipper Devices.
Aujourd’hui, Pavel Zhovner continue de coder depuis Londres et Alex Kulagin négocie avec les usines. Le Flipper Zero n’est pas qu’un gadget. C’est un acte de résistance et un vent de liberté dans un monde où la tech devient de plus en plus fermée.
Faudra faire avec !
Sources : LinkedIn - Pavel Zhovner, Hackaday - Why I started Flipper, GitHub - Zaborona.help, Kickstarter - Flipper Zero Campaign, Flipper Blog - Manufacturing Updates, GitHub - Flipper Zero Firmware, Moscow Neuron Hackspace Study, The Birth of Russia’s Hackerspace Movement, Gizmodo - Flipper Zero Interview, Flipper Zero Firmware 1.0, TechCrunch - M Sales, Hackaday - Canada Ban, BleepingComputer - Amazon Ban, Flipper Zero Official, Awesome Flipper Zero
Nos confrères ont publié de nombreux dossiers et tests durant cette deuxième semaine du mois d’aout 2025. Les thèmes abordés sont nombreux
Cet article Carte mère, souris, enceintes et smartphone, tous les tests à ne pas manquer ! a été publié en premier par GinjFo.
Note – there is a YouTube tutorial version of this guide HERE on the NASCompares YouTube Channel
Synology’s 2025 generation of NAS systems, such as the DS925+ and other Plus series models, introduced a more restrictive approach to drive compatibility. Unlike previous generations, these devices enforce a compatibility check that blocks or limits functionality when non-Synology hard drives or SSDs are used. As a result, users are unable to install DSM, create storage pools, or configure caching volumes using unverified drives. Even drives that work in earlier Synology models are now flagged as unsupported, resulting in persistent alerts or outright refusal to function. This guide provides a complete walkthrough for users who want to bypass those restrictions and enable full usage of third-party SATA and NVMe drives, including for pools, volumes, hot spares, and cache. It includes step-by-step instructions on how to install DSM with only unverified drives, how to remove system warnings, and how to automate the process for future updates or drive additions. The solutions here rely on trusted scripts developed by the Synology community and require minimal system modification, allowing users to regain control over their own hardware.
The ability to bypass Synology’s restrictive drive compatibility checks would not be possible without the extensive work of Dave Russell, widely known in the Synology community as 007revad. His GitHub project, Synology_HDD_db, is the basis for all the procedures outlined in this guide. The script he developed modifies DSM’s internal compatibility database, enabling full functionality for otherwise unsupported HDDs, SSDs, and NVMe drives. Dave has not only written and maintained this complex script, but also ensured that it works across different NAS models and DSM versions, including DSM 7.2 and newer. He continues to improve the tool in response to Synology firmware changes, regularly providing updates and extended options such as M.2 volume support and WDDA disablement. Users are strongly encouraged to consult the official GitHub repository, follow the provided documentation, and, where possible, support his ongoing work HERE, which remains freely available to the broader NAS community.
Modifying your Synology NAS to allow the use of unverified drives is not officially supported by Synology. By applying the changes described in this guide, you will be altering system files and bypassing built-in compatibility checks within DSM. While these changes are reversible and have been widely tested, doing so may void your Synology warranty or affect your ability to receive technical support from the manufacturer, even in cases unrelated to storage. Additionally, although the script-based method described here is non-destructive and has proven safe for many users, there is always a minimal risk of issues following DSM updates or hardware changes. You should not proceed unless you have full backups of your data and are comfortable with SSH and terminal operations. This guide is intended for advanced users, system integrators, or home NAS enthusiasts who understand the risks and accept responsibility for operating outside of official Synology support channels.
Synology’s 2025 and later Plus-series NAS systems will not allow DSM installation if only unverified drives are present. However, it is possible to bypass this limitation and install DSM without using any Synology-branded or officially supported drives. The method involves enabling Telnet access and overriding the drive compatibility check during the DSM installation process.
Physically set up your NAS
Connect the NAS to your local network using Ethernet.
Ensure the device is powered on, even if no drives are installed or only unverified drives are present.
Attempt initial DSM setup
Use Synology Assistant or go to http://find.synology.com to locate your NAS.
Proceed through the DSM installation wizard. You will likely encounter an error indicating that the inserted drive(s) are unsupported.
Enable Telnet access
In a browser, navigate to:http://<NAS-IP>:5000/webman/start_telnet.cgi
Replace <NAS-IP> with the actual IP address of your NAS.
Connect via Telnet
Open a Telnet client like PuTTY.
Enter your NAS IP address and connect via Telnet.
When prompted, use:
Username: root
Password: 101-0101 (default for this Telnet interface)
Bypass installation check
Enter the following command into the Telnet window:
Connexionwhile true; do touch /tmp/installable_check_pass; sleep 1; done
This creates a temporary flag that bypasses the system’s compatibility verification loop.
Return to the DSM install page
Refresh the browser window where you began the DSM setup.
DSM will now allow installation to proceed, even on unverified drives.
Finish DSM setup
Complete the DSM installation.
Create your admin user account when prompted.
You can now access the full DSM interface.
Once DSM is installed, you can proceed to apply the permanent drive compatibility fixes, create storage pools, and remove warning banners—all covered in the next section.
Once DSM is installed, unverified drives will still be blocked from creating storage pools, volumes, or caches. Even if the system boots, Storage Manager will display warnings or greyed-out options. To unlock full functionality, you must apply a community-developed script that updates DSM’s internal drive compatibility database. This section outlines how to download, apply, and validate that change.
root at this stage).sudo -i
mkdir -m775 /opt
cd /opt
curl -O "https://raw.githubusercontent.com/007revad/Synology_HDD_db/refs/heads/main/syno_hdd_db.sh"
curl -O "https://raw.githubusercontent.com/007revad/Synology_HDD_db/refs/heads/main/syno_hdd_vendor_ids.txt"
chmod 750 /opt/syno_hdd_db.sh
/opt/syno_hdd_db.sh
/usr/syno/bin/synosetkeyvalue /etc.defaults/synoinfo.conf support_disk_compatibility no
At this point, all third-party drives currently installed in the system will be fully usable and recognized as supported. The next section explains how to add additional unverified drives later and have them automatically accepted.
After your initial setup and database modification, any newly added unverified drives will still appear as unsupported in DSM until they are explicitly added to the modified compatibility database. This section outlines how to safely introduce new drives for RAID expansion, hot spare assignment, or disk replacement without encountering blockages or warning messages.
sudo -i
/opt and stored the script there:
cd /opt
./syno_hdd_db.sh
This process can be repeated anytime new unverified drives are introduced. However, to avoid having to manually re-run the script every time, the next section covers how to set up a scheduled task that automates this during every system boot.
Synology DSM updates or certain system operations can overwrite or reset the internal compatibility database, especially after version upgrades or service restarts. To ensure that unverified drives remain recognized and fully functional even after a reboot, you can configure a scheduled task that automatically re-applies the compatibility script at every startup.
Drive Compatibility Patch.root from the dropdown (this is essential for full system access).Boot-up so the script runs every time the NAS starts.
mkdir -m775 /opt
cd /opt || (echo "Failed to CD to /opt"; exit 1)
curl -O "https://raw.githubusercontent.com/007revad/Synology_HDD_db/refs/heads/main/syno_hdd_db.sh"
curl -O "https://raw.githubusercontent.com/007revad/Synology_HDD_db/refs/heads/main/syno_hdd_vendor_ids.txt"
chmod 750 /opt/syno_hdd_db.sh
/opt/syno_hdd_db.sh -e
-e flag for compatibility with scheduled tasks and email output (if enabled).
This scheduled task ensures long-term reliability and reduces the need for manual intervention whenever DSM is restarted, updated, or new drives are introduced.
Synology’s decision to restrict drive compatibility in its 2025 and later NAS models has complicated matters for users who prefer flexibility in their storage choices. However, through a combination of Telnet access, SSH scripting, and community-built tools like Dave Russell’s syno_hdd_db.sh, it is entirely possible to restore full drive functionality—even when using completely unverified SATA or NVMe devices. By following the steps outlined in this guide, users can install DSM on unverified drives, create storage pools, use SSDs for caching, and expand or modify their RAID configurations without limitations. Setting up an automated scheduled task further ensures these capabilities persist through reboots and DSM updates. While Synology may eventually broaden official support, this method provides a reliable and reversible way to maintain full control over your hardware today.
In practical terms, the DS925+ is the stronger out-of-the-box choice, especially for users who value simplicity, improved default performance, and do not anticipate needing higher-than-2.5GbE networking down the line. However, the long-term value proposition becomes murkier when you factor in the DS923+’s PCIe expansion, broader drive compatibility, and the potential price drops that will follow its ageing status in Synology’s lineup. In short, the DS925+ is the better NAS on day one—more powerful, faster, and quieter. But if you’re planning for day 1,000, it’s worth pausing to consider whether the expandability and media flexibility of the DS923+ may be a better fit for your storage and networking needs over the next five to seven years.
|
|
Synology DS923+ NAS |
||
|
Check Amazon in Your Region for the Synology DS925+ NAS
|
Check B&H for the Synology DS925+ NAS
|
Check Amazon in Your Region for the Synology DS923+ NAS
|
Check B&H for the Synology DS923+ NAS
|
SUBSCRIBE TO OUR NEWSLETTER Join Inner Circle Subscribe
This description contains links to Amazon. These links will take you to some of the products mentioned in today's content. As an Amazon Associate, I earn from qualifying purchases. Visit the NASCompares Deal Finder to find the best place to buy this device in your region, based on Service, Support and Reputation - Just Search for your NAS Drive in the Box Below
Need Help?
Where possible (and where appropriate) please provide as much information about your requirements, as then I can arrange the best answer and solution to your needs. Do not worry about your e-mail address being required, it will NOT be used in a mailing list and will NOT be used in any way other than to respond to your enquiry.
[contact-form-7]
TRY CHAT
Terms and Conditions
Ko-fi or old school Paypal. Thanks!To find out more about how to support this advice service check HEREIf you need to fix or configure a NAS, check Fiver
Have you thought about helping others with your knowledge? Find Instructions Here
|
|
|
Imaginez pouvoir scanner votre propre installation Odoo comme un hacker éthique pour y débusquer toutes les failles en quelques minutes. Et bien c’est exactement ce que fait OdooMap créé par Mohamed Karrab et dispo sur GitHub. Avec plus de 7 millions d’entreprises qui utilisent Odoo dans le monde, les failles de sécurité peuvent coûter très cher, donc c’est super de s’y intéresser un minimum.
Pour ceux qui ne connaissent pas, Odoo c’est cet ERP open source hyper populaire qui gère tout dans une entreprise : ventes, stocks, comptabilité, RH, site web, et j’en passe. Le problème, c’est que beaucoup d’installations Odoo sont mal configurées ou pas à jour, ce qui les rend vulnérables. Et quand on sait que cet ERP contient littéralement toutes les données sensibles d’une boîte, ça fait froid dans le dos.
C’est là qu’OdooMap entre en jeu. Mohamed Karrab a développé cet outil de reconnaissance et de test de sécurité spécialement pour Odoo. Et c’est du sérieux car l’outil fait tout : détection de version, énumération des bases de données, vérification des permissions CRUD (Create, Read, Update, Delete), extraction de données, et même du brute-force sur les logins et le master password.
Ce qui est vraiment bien pensé, c’est que OdooMap couvre toutes les phases d’un test de sécurité. D’abord la reconnaissance pour identifier la version d’Odoo et récupérer les métadonnées. Ensuite l’énumération pour lister les bases de données accessibles et les modèles exposés. Puis l’authentification et la vérification des permissions pour voir ce qu’un utilisateur peut vraiment faire. Et enfin l’extraction de données depuis des modèles spécifiques si vous avez les droits.
L’installation est super simple. Vous clonez le repo GitHub, vous installez avec pipx (ou pip si vous préférez), et c’est parti. Le développeur recommande d’utiliser pipx pour éviter de polluer votre système Python, ce qui est une bonne pratique :
git clone https://github.com/MohamedKarrab/odoomap.git
cd odoomap
pipx ensurepath && pipx install .
odoomap -h
Les fonctionnalités de brute-force sont particulièrement intéressantes. Par exemple, OdooMap peut tester des credentials par défaut, utiliser vos propres listes de mots de passe, ou même attaquer le master password de la base de données. C’est exactement le genre d’attaques que les vrais hackers utiliseraient, donc autant les tester vous-même avant eux.
Pour un scan de base, c’est aussi simple que :
odoomap -u https://example.com
Mais la vraie puissance se révèle quand vous commencez à combiner les options. Par exemple, pour authentifier et énumérer les modèles :
odoomap -u https://example.com -D database_name -U admin -P pass -e -l 200 -o models.txt
Ou pour vérifier les permissions sur les modèles (ce qui peut révéler des problèmes de configuration critiques) :
odoomap -u https://example.com -D database_name -U [email protected] -P pass -e -p -l 10
L’outil a également la capacité d’extraire des données depuis des modèles spécifiques. Si vous avez accès à res.users ou res.partner par exemple, vous pouvez dumper toutes les infos comme ceci :
odoomap -u https://example.com -D database_name -U admin -P pass -d res.users,res.partner -o ./output.txt
D’après mes recherches, les vulnérabilités les plus courantes dans Odoo incluent les failles XSS (Cross-Site Scripting), les problèmes de contrôle d’accès, les IDOR (Insecure Direct Object References) et les SSRF (Server-Side Request Forgery). OdooMap permet donc de tester une bonne partie de ces vulnérabilités, notamment les problèmes d’accès et d’authentification.
Ce qui est intéressant aussi, c’est que l’outil peut faire du brute-force sur les noms de modèles internes. Odoo a des centaines de modèles, et parfois certains sont exposés alors qu’ils ne devraient pas l’être. OdooMap peut les découvrir automatiquement :
odoomap -u https://example.com -D database_name -U admin -P pass -e -B --model-file models.txt
Bien sûr, comme tout outil de sécurité, OdooMap doit être utilisé de manière responsable. Mohamed Karrab le rappelle clairement : c’est fait pour des tests autorisés uniquement. Utiliser cet outil sans permission, c’est illégal et vous risquez de gros problèmes avec la police (et pas la Municipale, hein ^^) !! Mais si vous gérez une installation Odoo ou si vous êtes mandaté pour faire un audit, c’est un must-have.
L’outil est sous licence Apache 2.0, donc totalement open source et gratuit et le code est en Python 3.9+, donc accessible si vous voulez comprendre comment ça fonctionne ou l’adapter à vos besoins.
Pour aller plus loin dans la sécurisation d’Odoo, je vous conseille de jeter un œil à la page officielle de sécurité d’Odoo. Ils prennent la sécurité au sérieux et encouragent la divulgation responsable des vulnérabilités.
Pour ceux qui cherchent d’autres outils de pentest, il y a évidemment les classiques comme Metasploit, Burp Suite ou Nessus mais l’avantage d’OdooMap, c’est qu’il est spécialisé pour Odoo. Il connaît les spécificités de cet ERP et peut donc aller beaucoup plus loin qu’un scanner générique.
Pour finir, un grand bravo à Mohamed Karrab pour cet outil !
Sélection des tests hardware à ne pas manquer. Ils s'attaquent à beaucoup de choses. Résumé des tests à ne pas manquer ! (semaine 31).
Cet article AIO, boitier, enceintes et processeurs, tous les tests à ne pas manquer ! a été publié en premier par GinjFo.
L'avis complet sur le fat bike électrique ENGWE EP-2 Boost : montage, performances, autonomie, confort et verdict final sur ce vélo.
The post Test ENGWE EP-2 Boost : un vélo électrique pliant, tout-terrain et homologué en France first appeared on IT-Connect.
