Planète Warez

En bref :
(Résumé généré automatiquement par IA)

– Fini les galères Python : ce site transforme votre navigateur en arsenal d’espionnage numérique complet.
– Votre vie privée mise à nu en 3 clics : la plateforme qui révèle tout ce que vous cachez sur le web.
– Les journalistes et recruteurs ont trouvé leur arme secrète pour fouiller dans votre passé numérique.

Je vous ai déjà parlé de Maigret, de Sherlock , de Holehe ou de Toutatis … Mais si vous n’avez pas pris le temps de tester tout ça, ce n’est pas grave car vous allez pouvoir tous les essayer et faire votre meilleur OSINT grâce à OSINT.rocks .

OSINT.rocks est un site qui rassemble les outils d’investigation les plus puissants directement dans votre navigateur. Plus besoin d’installer Python, de configurer des environnements virtuels ou de galérer avec des dépendances. Vous ouvrez votre navigateur, vous tapez l’URL du site, et vous avez accès à une batterie d’outils prêts à l’emploi.

OSINT.rocks centralise tout. Vous avez Sherlock pour traquer les comptes utilisateurs sur les réseaux sociaux, Holehe pour découvrir où une adresse email est enregistrée, Hudson Rock pour vérifier si un email a été compromis par un info stealer, GHunt pour investiguer sur Google, et Maigret qui collecte un dossier complet sur une personne uniquement à partir d’un nom d’utilisateur.

La plateforme propose aussi des outils pour les numéros de téléphone et les recherches WHOIS. Vous entrez un numéro, vous obtenez des informations géolocalisées. Et si vous cherchez des détails sur un domaine, vous avez les enregistrements disponibles. Tout est centralisé, tout est rapide.

Comme ça, un journaliste qui enquête sur quelqu’un peut vérifier rapidement l’empreinte numérique d’une personne, un recruteur peut vérifier les informations d’un candidat, un chercheur en sécurité peut analyser l’exposition d’une cible ou un particulier peut vérifier ce qui traîne sur lui en ligne. L’OSINT, c’est utile dans plein de contextes !

Bref, si vous voulez tester Sherlock, Maigret, Holehe ou Hudson Rock sans vous prendre la tête avec l’installation, OSINT.rocks fait le job. Et si vous voulez aller encore plus loin, j’ai trouvé également une superbe boite à outils OSINT ici .

– Sources : osint.rocks

https://korben.info/osint-rocks-outils-investigation-navigateur.html

En bref :
(Résumé généré automatiquement par IA)

– Une bactérie mangeuse de métal dans la boue vient de ridiculiser les milliards d’Altman et Musk en créant les premiers vrais neurones artificiels.

– Fini les implants qui grillent vos cellules : des chercheurs inventent enfin l’électronique qui chuchote à vos neurones au lieu de leur hurler dessus.

– Pendant que tout le monde rêve d’IA consciente, ces scientifiques viennent de créer la première machine qui dialogue vraiment avec le vivant.

Sam Altman, Elon Musk et leurs copains courent après l’IA qui “pense” comme nous grâce notamment à des machines qui calculent plus vite que nos cerveaux, mais on n’a jamais vraiment réussi à créer des circuits électroniques qui parlent VRAIMENT à nos cellules. Enfin, jusqu’à maintenant.

Des chercheurs de l’Université du Massachusetts viennent de publier une étude dans Nature Communications qui explique un truc assez dingue. Ils ont fabriqué des neurones artificiels qui fonctionnent exactement comme les vrais. Ce qui est fou, c’est pas qu’ils imitent le cerveau, c’est qu’ils utilisent le même langage que nos cellules.

Leur super astuce ? Des nanofils protéiques extraits d’une bactérie qui s’appelle Geobacter sulfurreducens. C’est une bactérie qui vit dans les sédiments et les sols anaérobies (là où y’a pas d’oxygène) et elle a un super-pouvoir qui est de produire de l’électricité. Les chercheurs Shuai Fu et Jun Yao ont donc eu l’idée de prendre ces nanofils protéiques pour construire des “memristors” (une sorte de résistance à mémoire) qui fonctionnent pile-poil aux mêmes voltages que nos neurones biologiques.

Avant, les neurones artificiels fonctionnaient donc à 0,5 volt minimum alors que les vrais neurones dans notre corps tournaient entre 70 et 130 millivolts (soit environ 0,1 volt). C’était donc comme essayer de parler anglais avec quelqu’un qui parle français en gueulant plus fort… ça marchait pas terrible.

Du coup, grâce à cette découverte, Jun Yao et son équipe ont réussi à créer le premier composant électronique qui parle exactement la même langue électrique que nos cellules. Et pour le prouver, ils ont fait un truc de malade. Ils ont branché ces neurones artificiels sur de vraies cellules cardiaques humaines (des cardiomyocytes)… et ça a marché ! Les neurones artificiels ont détecté en temps réel les changements d’activité des cellules quand elles étaient exposées à de la noradrénaline.

Ça ouvre ainsi la voie par exemple à des capteurs corporels qui comprennent vraiment ce que disent nos cellules, à des prothèses intelligentes qui réagissent naturellement, à des interfaces cerveau-machine qui ne forcent plus la communication…etc. Le neuromorphic computing devient enfin biocompatible.

Bon, évidemment je vous vois venir avec vos questions sur les implants cérébraux et tout le tralala futuriste à la Elon Musk mais calmos. On en est pas encore là. Mais on vient peut-être de franchir une frontière un peu bizarre qui est celle où nos machines arrêtent d’imiter le vivant pour commencer à vraiment dialoguer avec lui.

Et tout ça grâce à une bactérie qui bouffe du métal dans la boue sans oxygène…

C’est beau la science, non ?

– Sources : techxplore

https://korben.info/neurones-artificiels-bacteries-cellules-vivantes.html

En bref :
(Résumé généré automatiquement par IA)

– Ce développeur suisse a démoli le business des formations cybersécurité à 5000€ avec un simple dépôt GitHub ouvert.

– Les hackers éthiques ont désormais leur bible complète : du piratage web aux objets connectés, tout est documenté.

– Un étudiant motivé peut maintenant maîtriser le pentesting en quelques mois grâce à cette révolution du savoir libre.

En octobre 2016, un développeur suisse connu sous le pseudo swisskyrepo a commencé à compiler ses notes de pentester dans un dépôt GitHub. Rien de révolutionnaire au départ, juste un mec qui en avait marre de chercher la même injection SQL pour la 50ème fois dans ses notes. Mais ce qui est cool c’est qu’au fur et à mesure des années, il a structuré ça proprement avec une section par type de vulnérabilité, des README clairs, des fichiers Intruder pour Burp Suite, des exemples concrets…etc.

Ça s’appelle Payloads All The Things, et c’est accessible ici .

Ce qui était donc au départ un simple carnet de notes personnel est devenu THE référence mondiale en cybersécurité offensive avec des centaines de contributeurs qui ajoutent quotidiennement de nouvelles techniques. C’est devenu la pierre de Rosette (pas la charcuterie, renseignez-vous !! lol) de la sécurité offensive, celle qu’on cite dans tous les cours de certification OSCP, celle qu’on consulte pendant les CTF, celle qu’on recommande aux débutants…

Avant PayloadsAllTheThings, le savoir en cybersécurité offensive était soit verrouillé dans des formations hors de prix à 5 000 boules, soit éparpillé dans des recoins obscurs du web, soit jalousement gardé par des pentesters qui pètent plus haut que leur cul… Des pêt-testeurs quoi…

SwisskyRepo a d’ailleurs fait un choix radical qui est tout mettre en open source, sous licence MIT, accessible à tous. Et le contenu, c’est du lourd !

On y trouve tout ce dont un pentester peut avoir besoin : SQL Injection avec toutes les variantes possibles (MySQL, PostgreSQL, Oracle, MSSQL…), XSS avec les bypasses de filtres, SSRF avec les techniques d’exfiltration, Command Injection, OAuth Misconfiguration, GraphQL Injection, File Inclusion, Authentication Bypasses, API Key Leaks…etc… La liste est hallucinante.

Chaque section est structurée comme un cookbook technique avec le contexte de la vulnérabilité, les payloads classés par type, les bypasses pour contourner les protections, des exemples concrets, et les références vers les CVE ou les articles de recherche.

Par exemple, si vous voulez exploiter un serveur Redis mal configuré, il y a une section pour ça. Si vous voulez comprendre comment contourner un WAF, pareil ! Et si vous cherchez à pivoter dans un réseau interne après avoir compromis une machine, tout est documenté en anglais sur ce site.

Mais swisskyrepo ne s’est pas arrêté là. Son projet a muté en écosystème puisqu’il a aussi créé InternalAllTheThings , un wiki dédié au pentesting interne et aux attaques Active Directory (Certificate Services, Enumeration, Group Policies, Kerberos attacks, Hash manipulation, Roasting techniques…).

Et également HardwareAllTheThings , le même genre de wiki mais sur la sécurité hardware et IoT : JTAG, SWD, UART pour les interfaces de debug, firmware dumping et reverse engineering, Arduino, Raspberry Pi, Flipper Zero pour les gadgets, Bluetooth, CAN, WiFi, RFID/NFC pour les protocoles, SDR et GSM pour la radio, fault injection pour les attaques par canal auxiliaire…

Bref, tout ce qu’il faut savoir pour hacker des objets connectés, des cartes à puce ou des systèmes embarqués.

Du coup, avec cette famille complète de “AllTheThings”, on couvre toute la surface d’attaque moderne, le web, l’infra interne et le hardware. Un pentest complet peut donc se faire avec ces trois ressources comme base de connaissance. Chouette non ?

Bien, sûr c’est à utiliser dans un cadre légal, sinon, vous irez en prison ! C’est pas un forum de script kiddies qui échangent des zero-days volés, c’est une vraie bibliothèque technique pour les professionnels et les étudiants en cybersécurité.

Grâce à ça, un étudiant motivé peut devenir compétent en sécurité offensive en quelques mois juste avec des ressources gratuites : PayloadsAllTheThings pour les techniques, TryHackMe ou HackTheBox pour la pratique, les blogs de chercheurs pour les analyses approfondies, les conférences enregistrées (DEF CON, Black Hat) pour rester à jour.

Le savoir se libère, n’en déplaise aux relous ! Moi je trouve que c’est cool, car ça vulgarise les connaissances, ça les mets à la portée de tous et c’est tant mieux.

Donc un grand merci à SwisskyRepo d’avoir lancé ce projet !

– Source :

https://korben.info/payloadsallthethings-bibliotheque-hackers-ethiques.html

il va vraiment être temps de lâcher mon Chrome … le truc c’est qu’il me connait tellement bien ce con, que mes recherches s’en trouvent très affutées 😞

putain ils ont pris cher avec leur connerie 😉

je les croyait plus affutés !

En bref :
(Résumé généré automatiquement par IA )

– 13 ans que cette bombe à retardement dormait dans Redis : 330 000 serveurs exposés sur Internet dont 60 000 sans même un mot de passe.

– Quand 5 développeurs maintiennent l’infrastructure de 75% du cloud mondial : bienvenue dans la fragilité d’Internet.

– RediShell : la faille 10/10 qui transforme votre cache Redis en porte d’entrée VIP pour les pirates.

Comme vous le savez, Redis c’est un peu le champion du cache mémoire. C’est rapide, c’est efficace, tout le monde l’utilise mais surtout, ça tourne dans 75% des environnements cloud. En gros, 3 serveurs sur 4 dans le cloud l’utilise…

Cool ? Oui sauf quand une faille critique de sécurité pointe le bout de son nez ! Et pas une petite faille, mes amis ! Une faille notée 10 sur 10 en gravité, qui permet d’exécuter du code à distance sur les serveurs.

Estampillée CVE-2025-49844, et joliment baptisée RediShell, cette faille en elle-même est assez technique puiqu’elle repose sur un bug Use-After-Free dans l’interpréteur Lua intégré à Redis. En gros, un attaquant authentifié peut envoyer un script Lua malveillant qui vient manipuler le garbage collector, provoque un accès mémoire après libération, et permet ainsi d’exécuter du code arbitraire sur le serveur.

C’est de la RCE complète salade tomates oignons, avec sauce système compromis !

Le truc, c’est que ce bug dormait dans le code depuis 13 ans dès que Redis a intégré Lua en 2012 dans la version 2.6.0. Donc pendant tout ce temps, des millions de serveurs Redis dans le monde entier avaient cette vulnérabilité activée par défaut.

Et les chiffres donnent le vertige car d’après les scans de Wiz Research, environ 330 000 instances Redis sont exposées directement sur Internet. Et sur ces 330 000, au moins 60 000 n’ont même pas d’authentification activée. Donc autant dire qu’elles sont ouvertes à tous les vents et que les serveurs qui se cachent derrière aussi…

Toute l’infrastructure cloud moderne repose sur une poignée de briques open source critiques, et ça marche tellement bien qu’on en met partout et on finit souvent par oublier à quel point c’est fragile… On l’a déjà vu par exemple avec Log4Shell qui a touché des millions de serveurs Java en 2021, puis avec Heartbleed dans OpenSSL en 2014. Et on a failli le voir avec la backdoor XZ Utils découverte in extremis en 2024.

À chaque fois, c’est le même schéma où un composant open source critique, utilisé partout, et maintenu par une équipe minuscule (souvent 1 à 5 personnes), se retrouve avec un bug qui expose des pans entiers de l’infrastructure mondiale d’Internet… Argh !

Maintenant, la bonne nouvelle , c’est que Redis a publié des patchs pour toutes les versions maintenues : 6.2.20, 7.2.11, 7.4.6, 8.0.4 et 8.2.2. Donc si vous utilisez Redis, c’est le moment de mettre à jour !! Et pendant que vous y êtes, activez aussi l’authentification avec la directive requirepass, et désactivez les commandes Lua si vous ne les utilisez pas. Vous pouvez faire ça via les ACL Redis ou simplement en révoquant les permissions de scripting.

La découverte de RediShell a été faite par Wiz Research lors du Pwn2Own de Berlin en mai 2025. Alerté, Redis a publié son bulletin de sécurité le 3 octobre dernier, et Wiz a rendu public les détails le 6 octobre. Une Timeline propre, une divulgation responsable, bref tout s’est bien passé de ce côté-là…

Maintenant pour réduire ce genre de risque à terme, je pense que ce serait cool si les géants d’Internet finançaient un peu plus directement les mainteneurs de ces briques logiciels essentielle, ainsi que des audits de l’ OpenSSF car pour le moment, on est loin du compte ! Redis est patché, heureusement, mais on sait aussi que la prochaine faille critique dans un de ces composants critiques, c’est une nouvelle fois, juste une question de temps…

– Sources : wiz.io

https://korben.info/redis-quand-75-du-cloud-repose-sur-le-meme-maillon.html

la situation empire : Scattered Lapsus$ Hunters, collectif de hackers s’invite dans les négos

En bref :
(Résumé généré automatiquement par IA)

–Le piratage de Red Hat, initialement revendiqué par Crimson Collective, prend une nouvelle dimension avec l’alliance annoncée avec les Scattered Lapsus$ Hunters, transformant le chantage en campagne d’extorsion structurée.

– Les hackers ont déjà publié des extraits sensibles (rapports clients, configurations techniques) et menacent de diffuser l’ensemble des données volées via la plateforme ShinyHunters si Red Hat ne cède pas aux demandes avant le 10 octobre.

– Pour limiter les dégâts, les clients de Red Hat doivent immédiatement révoquer les clés et identifiants exposés, revoir les droits d’accès, et durcir la sécurité de leurs dépôts GitLab, notamment en appliquant des mises à jour et en surveillant les logs.

– Source :

https://www.clubic.com/actualite-582148-piratage-de-red-hat-la-situation-empire-alors-qu-un-mega-collectif-de-hackers-s-invite-dans-les-negos.html

En bref :

– Les hackers russes de Medusa proposent 715 000€ à un journaliste BBC pour devenir leur taupe interne.

– Après avoir échoué à pirater directement la BBC, les cybercriminels tentent le pot-de-vin : la preuve que vos employés valent plus cher que vos pare-feux.

– Un groupe de ransomware publie ses “références criminelles” pour convaincre un journaliste de les rejoindre : quand le CV devient une liste de victimes.

Un journaliste de la BBC a reçu une proposition de Medusa pour devenir leur taupe. En effet, Joe Tidy, correspondant cyber sécurité à la BBC, a été contacté en juillet 2024 par le groupe de ransomware russe pour qu’il leur file des infos sur ses collègues. Leur proposition : 600 000 livres sterling sur la table, soit environ 715 000 euros !! Je connais quelques journalistes français sous-payés qui adoreraient recevoir une telle proposition ^^

Medusa (à ne pas confondre avec MedusaLocker, c’est important) opère depuis 2021 et a déjà fait plus de 300 victimes selon les données officielles . Leur mode opératoire ? Le classique double chantage : ils chiffrent vos données ET menacent de les publier si vous ne payez pas. Les rançons vont de 100 000 dollars à 15 millions selon la taille de la victime. C’est le business !

Ce qui rend cette histoire complètement dingue, c’est que Medusa a vraiment cru pouvoir retourner un journaliste de la BBC. Le message initial de “mediaman” (subtil comme pseudo) disait texto : “Si vous pouviez nous fournir des détails sur les vulnérabilités, mots de passe ou accès à l’infrastructure BBC, nous pourrions travailler ensemble.” Autant demander à un pompier de mettre le feu à sa caserne.

Le plus drôle dans tout ça, c’est leur approche… D’après l’enquête de Joe Tidy lui-même , le contact initial s’est fait par email en juillet, suivi d’une attaque MFA bombing en août. Pour ceux qui ne connaissent pas, le MFA bombing c’est quand les hackers spamment votre téléphone de demandes d’authentification jusqu’à ce que vous craquiez et cliquiez sur “Accepter” par erreur ou parce que vous n’en pouvez plus… Sauf que Joe a reconnu ce schéma d’attaque et n’a jamais validé la demande.

Alors près avoir échoué à le hacker directement, Medusa a tenté l’approche “soft” avec une offre d’emploi. Ils lui ont proposé de devenir leur informateur privilégié, de balancer les vulnérabilités de la BBC, en échange d’un petit pot-de-vin… Le groupe lui a même envoyé des “preuves” de leur sérieux en partageant des données volées à d’autres victimes. Genre “regarde, on est des vrais méchants, on a de l’argent”.

Faut dire que cette tactique d’approche directe des employés devient de plus en plus courante. Hé oui, pourquoi s’embêter à craquer des systèmes complexes quand on peut simplement acheter quelqu’un de l’intérieur ? C’est le principe du maillon faible, mais sans Laurence Boccolini ^^ (oui, j’ai encore mangé un clown).

D’ailleurs, petite parenthèse technique : Medusa utilise un ransomware-as-a-service (RaaS) classique. Les développeurs créent le malware, les affiliés le déploient, et tout le monde se partage les gains. Le groupe opère depuis des serveurs russes et utilise Tor pour ses communications et ils ont même un blog sur le dark web où ils publient les données des victimes qui refusent de payer. C’est charmant.

Ce qui m’impressionne vraiment dans cette histoire, c’est le culot astronomique (qui a dit “la connerie” ?) des hackers… Contacter directement un journaliste cyber de la BBC pour lui proposer de devenir une taupe, fallait oser. Leur niveau de déconnexion avec la réalité est stratosphérique.

Joe Tidy a évidemment tout documenté et partagé avec les autorités et le National Crime Agency britannique et le FBI sont sur le coup. Mais bon, avec des serveurs en Russie et des opérateurs probablement basés là-bas aussi, les chances d’arrestation sont proches de zéro. C’est le problème éternel des ransomwares… Tant que certains pays servent de “sanctuaires”, les groupes de cybercriminels continueront d’opérer en toute impunité.

Quoiqu’il en soit, un employé mécontent, endetté ou simplement naïf peut faire plus de dégâts que n’importe quel exploit zero-day.

Moralité : Pour réduire vos risques cyber, payez mieux vos employés 😉

– Sources : bbc.com

https://korben.info/journaliste-bbc-recoit-proposition-medusa-ransomware-groupe.html

@Violence a dit dans Infohash : un projet parfaitement inutile et totalement absurde, mais ça nous fait réaliser l’échelle cosmique de la cryptographie :

45 septillions de pages

j’ai cherché ce que vaux un septillon : Un septillion est l’entier naturel qui vaut 10^42 (1 000 000 000 000 000 000 000 000 000 000 000 000 000 000).
Ca en fait des pages.

En bref :

– CrowdStrike, l’entreprise qui a planté le monde entier, se fait pirater par un ver informatique prenonant le nom d’uen créature de Dune.

– Le premier ver auto-répliquant de l’histoire JavaScript transforme vos dépôts privés en repos publics pour humilier votre RSSI.

– Un développeur français crée l’antidote au chaos npm pendant que les géants de la cybersécurité se font ridiculiser.

Romain, fidèle lecteur de korben.info a développé un scanner pour détecter l’attaque Shai-Hulud qui a secoué l’écosystème npm dernièrement ! L’occasion parfaite pour moi de vous raconter cette histoire complètement dingue.

Vous vous souvenez de CrowdStrike ? Cette entreprise de cybersécurité qui a provoqué la plus grande panne informatique mondiale en juillet 2024 avec une mise à jour défaillante ? Celle qui a cloué au sol des milliers d’avions et fait planter des millions de PC Windows ? Eh bien figurez-vous qu’en septembre 2025, des packages npm mis à disposition par CrowdStrike ont été touchés. Et si Crowdstrike n’a pas été directement piraté, ces packages publics (qui n’étaient pas utilisés dans leurs solutions de sécurité, ni en interne chez eux) utilisaient ces dépendances qui ont été compromises par l’attaque.

C’est ce qu’on appelle une supply chain attack et l’attaque Shai-Hulud (oui, comme le ver des sables dans Dune) n’est pas juste un malware de plus. C’est le premier ver informatique qui s’est propagé de manière autonome dans l’écosystème npm, infectant des centaines de paquets en quelques heures.

Le ver utilise TruffleHog, un outil de sécurité normalement conçu pour DÉTECTER les secrets dans le code, c’est à dire les tokens GitHub, npm, AWS et GCP.

Puis quand il trouve des credentials valides, le ver fait les trois choses suivantes : D’abord, il crée un dépôt GitHub public nommé “Shai-Hulud” où il balance toutes les données volées. Ensuite, il pousse une GitHub Action malicieuse dans tous les repos accessibles pour exfiltrer encore plus de secrets. Et le pompon c’est que parfois, il transforme même les repos privés d’entreprise en repos publics personnels. J’vous laisse imaginer la tête du RSSI qui découvre que tout le code proprio de sa boîte est accessible à tout le monde sur GitHub…

Et quand le ver trouve des tokens npm dans son environnement, il publie automatiquement des versions infectées de tous les paquets auxquels il a accès. C’est d’ailleurs la première fois qu’on voit ce comportement de ver auto-répliquant dans l’écosystème JavaScript. Par exemple, le paquet @ctrl/tinycolor, téléchargé 2 millions de fois par semaine, a été l’un des premiers touchés.

Face à ce bordel monumental, Romain a donc développé npm-shai-hulud-scanner , un outil qui détecte non seulement les paquets connus comme compromis, mais aussi les tentatives de typosquatting et les patterns de code malicieux. Il utilise notamment la distance de Levenshtein pour identifier les variations suspectes de noms de paquets (du genre lodash vs lodash_ ou react vs raect).

Quand vous le lancez, le scanner de Romain vérifie d’abord si vous avez des paquets de la liste des 500+ compromis. Ensuite il analyse votre code à la recherche de patterns suspects : tentatives d’exfiltration de credentials, exécution de code à distance, obfuscation, communications réseau louches. Il peut même tourner en mode monitoring continu pour surveiller votre CI/CD. Et cerise sur le gâteau, il peut mettre en quarantaine les paquets suspects automatiquement. C’est top non ?

Shai-Hulud est l’un des attaques les plus sévères jamais vue sur la supply chain JavaScript et si même CrowdStrike se fait avoir, je me dit que personne n’est à l’abri. Donc soyez hyper vigilants et utilisez des outils de contrôle comme celui de Romain !

On ne sait jamais !

– Sources : Github

https://korben.info/npm-shai-hulud-scanner-attaque-supply-chain.html

Paul Thomas Anderson n’a pas fini de surprendre. Chacun de ses films diffère du précédent, le cinéaste ayant tiré les leçons du passé pour améliorer, innover, se dépasser. Avec Une bataille après l’autre, il pousse le bouchon très loin en réalisant un thriller satirique digne de tous les superlatifs. Un des premiers à venir à l’esprit a trait au budget : c’est son film le plus cher (130 millions de dollars), ce qui en fait un pari risqué, sachant qu’il dénonce les dérives autoritaires de son pays avec une causticité qui ne va pas plaire du tout à l’actuelle administration américaine.

À l’origine, Anderson s’est inspiré d’une nouvelle de Thomas Pynchon (dont il avait déjà adapté Inherent vice), qui imaginait en 1990 une nouvelle génération de révolutionnaires héritiers des années 60, mais opposés à Reagan. En la transposant de nos jours, Anderson en a fait un sujet d’une actualité brûlante, même s’il ne dénonce personne précisément. Le prologue expose une organisation de commandos révolutionnaires qui attaquent des centres de détention pour immigrants et libèrent les prisonniers. L’action a lieu au début des années 2000, mais on a vraiment l’impression d’assister en direct à ce qui se passe actuellement dans les camps mis en place par Trump. On y fait connaissance avec Perfidia (Teyana Taylor), une activiste noire intransigeante qui vit à la colle avec Bob (Leonardo Di Caprio), un artificier inquiet, tout en entretenant une relation de domination avec Steven J. Lockjaw (Sean Penn), un colonel fasciste qui a un faible pour les femmes noires. Lorsque Perfidia se fait serrer après un braquage de banque, elle dénonce ses camarades en échange d’une amnistie. Puis, elle disparait, en laissant Bob s’occuper de sa fille toute jeune.

Le vrai début commence 16 ans plus tard, en développant un thème récurrent chez Anderson : celui de la famille et des rapports parents/enfants. Willa, qui a hérité des qualités guerrières de sa mère, commence à manifester des velléités d’indépendance vis-à-vis de Bob, qui l’a élevée dans la clandestinité, mais dont l’alcoolisme et la toxicomanie n’ont fait rien pour arranger sa paranoïa. Laquelle se révèle justifiée puisque, à la suite d’un invraisemblable concours de circonstances impliquant une société secrète de suprémacistes blancs, Lockjaw cherche à mettre la main sur Willa en mobilisant des moyens logistiques et informatiques considérables. De leur côté, les ex-révolutionnaires vont mettre à profit leur expérience pour échapper aux prédateurs.

Contrairement à Inherent vice, qui restait incompréhensible même après plusieurs visions, tout est ici clair et fluide, l’intrigue obéissant à un jeu classique de chat et de la souris. Anderson le traite en entretenant un suspens permanent qui abolit totalement le sentiment de durée. En même temps, il superpose une dimension satirique qui charge l’administration américaine, ouvertement décrite comme fasciste au point de faire passer pour bénignes les actions des résistants. Le miracle, c’est qu’il le fait avec légèreté, sur la lancée de Licorice pizza, qui avait déjà fait un pas dans ce sens. Comme si, à la suite d’une série de grands films parfois écrasants sous le poids de leur importance, il s’en était rendu compte et avait décidé de corriger le tir. Il est arrivé à un point où sa virtuosité se laisse oublier au profit du pur plaisir dispensé au spectateur.

DiCaprio joue un antihéros abruti qui rappelle le slacker joué par Brad Pitt dans True romance. Son rapport conflictuel avec celle qu’il croit être sa fille est mis en perspective avec le tableau plus général des familles séparées par les rafles. Benicio Del Toro incarne un maitre dans une école d’arts martiaux qui sert de couverture à une organisation clandestine destinée à protéger les immigrants (ce qui le place dans le camp adverse de celui de l’agent fédéral qu’il incarnait dans Sicario). Il le joue comme un guerrier super zen, convoquant « les vagues de l’océan » à tout bout de champ pour inciter au calme. Sean Penn est allé à fond dans son portrait d’un obsessionnel de la virilité : coupe de cheveux nazie, t-shirt moulant sur biceps hypertrophiés, démarche grotesque, jusqu’aux tics convulsifs qui déforment sa bouche chaque fois qu’il est contrarié ou excité sexuellement. Ses excès ne plairont pas à tout le monde, mais sa caricature de masculinité est inoubliable et souvent à hurler de rire. Pour autant, la bouffonnerie ne fait pas oublier la réalité d’un pouvoir brutal de plus en plus lié à des intérêts privés dont les décideurs agissent en secret. Et dans ce contexte où les dirigeants cherchent plus que jamais à diviser, Anderson a clairement choisi son camp : celui de la résistance.

– Source : Chaos

En bref :

– Mathématicien converti au reverse engineering, Thomas Dullien alias Halvar Flake a révolutionné le domaine avec BinDiff, un outil graphique de comparaison de binaires

– Fondateur de zynamics, primé en 2006, acquis par Google en 2011, il découvre le Rowhammer, une faille hardware majeure exploitée depuis le navigateur. Un véritable coup de tonnerre dans la sécurité.

– Aujourd’hui, il continue d’innover : après Google, il co-fonde Optimyze (racheté par Elastic), puis devient Venture Partner chez eCAPITAL, alliant performance logicielle et investissements stratégiques.

Pour ce dernier article de ma série de l’été, je vais vous raconter l’histoire d’un type absolument génial que vous ne connaissez peut-être pas mais qui, lui aussi, a mis sa pierre à l’édifice de la sécurité informatique. Thomas Dullien, plus connu sous le pseudo “Halvar Flake”, c’est un peu le MacGyver du reverse engineering, sauf qu’au lieu de désamorcer des bombes avec un trombone, il désamorce des malwares avec des graphes mathématiques.

Ce gars est surtout à l’origine de BinDiff , un outil légendaire capable de comparer des binaires, très utile par exemple pour comprendre ce que Microsoft a patché dans une mise à jour de sécurité. Cet outil peut vous sortir une analyse graphique qui vous montre exactement où se trouvent les différences entre l’ancienne et la nouvelle version. À l’époque, en 2005, cet outil c’était comme avoir des super-pouvoirs.

Mais commençons par le début. Thomas Dullien, c’est un mathématicien allemand qui a grandi à une époque où Internet commençait tout juste à exploser. Le gars était destiné à devenir avocat, mais à la dernière minute, il change d’avis et s’inscrit en maths à l’Université de Bochum. Best decision ever, comme on dit. Il finit par obtenir son Master en mathématiques en 2008, après avoir commencé un doctorat qu’il abandonne pour se concentrer sur son entreprise.

Son pseudo “Halvar Flake” vient d’un personnage de dessin animé. C’est le chef d’un village viking dans la série télé “Vicky le Viking”. Et l’anecdote est géniale quand il l’explique :

J’étais petit, gros, j’avais des cheveux longs, et je buvais beaucoup de bière, alors les gens m’appelaient Halvar,

raconte-t-il avec humour. Bon, aujourd’hui le nom est resté même si la description ne colle plus vraiment !

Dans les années 90, alors qu’il est encore adolescent, Thomas commence à s’intéresser au reverse engineering et à la gestion des droits numériques (DRM). À l’époque, c’est le Far West total. Les protections logicielles sont simplistes, les entreprises pensent que leur code est impénétrable, et de petits génies comme lui s’amusent à démonter tout ça pièce par pièce. Il écrit même son premier fuzzer à 19 ans, mais refuse de l’utiliser lui-même par fierté… en vrai il préfère trouver les bugs en lisant le code ! Des années plus tard, il admettra que c’était stupide et que le fuzzing est quand même une technique incroyablement efficace.

En 2000, à seulement 19-20 ans, il fait alors sa première présentation à Black Hat Amsterdam sur “Auditing binaries for security vulnerabilities”. En réalité, il voulait rencontrer un pote du Sri Lanka mais aucun des deux n’avait les moyens de payer le billet d’avion alors ils ont décidé de faire une présentation à la même conférence. C’est donc comme ça qu’il commence sa carrière de formateur en reverse engineering… une carrière qui durera plus de 20 ans.

Pendant les années qui suivent, Halvar devient alors LA référence en matière de reverse engineering. Il développe des techniques révolutionnaires comme l’exploitation des tas Windows ( heap exploitation ), le patch diffing (comparer des versions patchées et non patchées de logiciels), et plein d’autres trucs que les chercheurs en sécurité utilisent encore aujourd’hui. Il donne des talks sur l’analyse binaire basée sur les graphes à Blackhat USA 2002, Blackhat Asia 2002, et CanSecWest 2002, où il se plaint déjà qu’IDA Pro ne gère pas bien les fonctions non-contiguës !

Mais son coup de génie, c’est au printemps 2004 quand il fonde SABRE Security, qui deviendra rapidement zynamics. L’idée c’est qu’au lieu de comparer les binaires octet par octet comme tout le monde, il utilise la théorie des graphes. En gros il faut voir ça comme une carte routière avec des intersections (les fonctions) et des routes (les appels entre fonctions). Et chaque programme a la sienne. BinDiff compare alors ces cartes pour trouver les différences.

Cette approche est innovante parce qu’elle fonctionne même si les programmes sont compilés avec des options différentes ou des compilateurs différents. Entre la publication DIMVA de 2004 et début 2005, Rolf Rolles, un autre génie du reverse engineering, contribue au projet avec de nouvelles idées qui améliorent grandement la capacité de BinDiff à matcher les blocs de base.

Puis en 2005, ils publient ensemble “Graph-based comparison of executable objects” au SSTIC… une présentation que Thomas donne en français et qu’il décrit comme “la seule présentation de conférence que j’ai jamais donnée en français. Et parce que j’étais terrifié, c’est probablement aussi celle que j’ai le plus répétée de ma vie”.

En 2006, coup de tonnerre : zynamics remporte le prix Horst Görtz, avec une récompense de 100 000 euros, pour leur technologie de classification de malwares. C’est à l’époque le plus gros prix privé en sciences naturelles d’Allemagne ! Ce prix récompense leur travail sur la similarité de code basée sur les graphes et cet argent leur permet de rester indépendants sans avoir besoin de capital-risque. “Le capital-risque était trop restrictif”, explique Thomas, qui finissait alors son Master tout en dirigeant l’entreprise.

L’entreprise grandit alors jusqu’à une douzaine d’employés, tous des ninjas du reverse engineering. Ils développent non seulement BinDiff, mais aussi BinNavi (essentiellement un IDE pour le reverse engineering centré sur la visualisation interactive de graphes, l’analyse de couverture et le débogage différentiel) et VxClass , qu’ils décrivent comme “un laboratoire d’analyse antivirus dans une boîte”.

L’impact de BinDiff sur l’industrie est énorme. Le nom devient même un verbe… les gens disent “je vais bindiff ça” pour dire qu’ils vont comparer deux binaires. C’est un peu comme quand on dit “googler”… alors quand votre outil devient un verbe, vous savez que vous avez réussi !

– Thomas Dullien

Mais l’histoire prend un tournant dramatique en juillet 2007. Halvar arrive aux États-Unis pour donner sa formation annuelle à Black Hat Las Vegas, une formation qu’il donne depuis 7 ans sans problème. Mais cette fois, catastrophe, les douanes américaines trouvent ses supports de présentation dans ses bagages et le retiennent pendant 4 heures et demie. “Si vous allez faire du profit en tant que conférencier individuel, vous avez besoin d’un visa différent”, lui disent-ils. Le problème c’est qu’il avait un contrat avec Black Hat Consulting en direct en tant qu’individu, pas en tant que représentant de son entreprise.

L’ironie de la situation c’est que la plupart des participants à ses formations sont des employés du gouvernement américain ! Mais ça ne change rien et ils le renvoient en Allemagne sur le prochain vol. “Vous n’avez aucun droit, parce que techniquement vous n’êtes pas encore dans le pays”, lui ont-ils dit. Le programme d’exemption de visa lui est désormais interdit à vie. La communauté Black Hat est furieuse, mais Thomas reste philosophe… il finit par obtenir un visa business et revient l’année suivante, plus fort que jamais.

VxClass devient alors rapidement le produit phare de zynamics. C’est une infrastructure capable de traiter automatiquement les nouveaux malwares en les classifiant automatiquement en familles en utilisant l’analyse de graphes de flux de contrôle. L’outil peut générer des signatures privées en octets (au format ClamAV) pour toute une famille de malwares. VxClass peut par exemple, à partir de 160 extraits de malwares, les classifier automatiquement comme une seule famille et générer un seul pattern pour trouver chaque variante. Mandiant annonce même l’intégration avec VxClass dans leur logiciel de forensique mémoire Memoryze.

– Le chevauchement de 2 malwares de la même “famille”

Et en mars 2011, Google rachète zynamics. C’est la consécration ! C’est d’ailleurs probablement VxClass qui intéresse le plus Google dans ce deal, étant donné l’intérêt de l’entreprise pour classifier les malwares et les sites malveillants. Le prix de BinDiff passe alors de plusieurs milliers de dollars à seulement 200 dollars. Google veut démocratiser ces outils de sécurité, et Halvar se retrouve propulsé dans la cour des grands avec le titre de Staff Engineer.

– Illustration du principe de l’attaque Rowhammer

Chez Google, il travaille d’abord sur l’intégration et le scaling de sa technologie, puis il retourne à la recherche [censored] et dure et c’est là qu’il tombe sur quelque chose d’absolument dingue : le Rowhammer.

Le Rowhammer avait été découvert en juin 2014 par des chercheurs de Carnegie Mellon et Intel Labs (Yoongu Kim et ses collègues) dans leur papier “Flipping Bits in Memory Without Accessing Them”. Mais là où les académiques voient un problème de fiabilité, Thomas et Mark Seaborn de l’équipe Project Zero de Google voient une faille de sécurité monumentale.

Le Rowhammer, c’est une de ces découvertes qui font dire “mais comment c’est possible ?!”. En gros, imaginez que la mémoire de votre ordinateur est comme un parking avec des places très serrées. Si vous ouvrez et fermez la portière de votre voiture des milliers de fois très rapidement (on appelle ça “marteler” une ligne de mémoire), les vibrations peuvent faire bouger les voitures garées à côté (les bits dans les lignes adjacentes). Plus concrètement, quand on accède sans arrêt à une même zone de la mémoire, ça crée des perturbations électriques qui peuvent modifier les données stockées juste à côté… un peu comme si l’électricité “débordait” sur les zones voisines.

En mars 2015, Thomas et Mark publient alors leur exploit sur le blog de Project Zero. Les contributions techniques de Thomas incluent une méthode pour attaquer la mémoire des deux côtés en même temps (le “double-sided hammering”… imaginez-vous en train de marteler un mur par les deux faces pour le faire céder plus vite) et une technique astucieuse (le “PTE spraying”) pour transformer cette faille en véritable exploit, même s’il admet modestement que Mark a fait 90% du travail.

Ils surnomment même affectueusement le premier ordinateur où l’exploit fonctionne “Flippy the laptop” ! Leur exploit fonctionne donc en utilisant le row hammering pour induire un bit flip (une inversion de bit) dans une entrée de table de pages (PTE) qui la fait pointer vers une page physique contenant une table de pages appartenant cette fois au processus attaquant. Ça donne alors au processus attaquant un accès en lecture-écriture à une de ses propres tables de pages, et donc à toute la mémoire physique. Les chercheurs rapportent des bit flips avec seulement 98 000 activations de lignes !

La présentation de leurs résultats à Black Hat 2015 fait alors l’effet d’une bombe. Hé oui, une faille qui existe dans pratiquement toute la RAM moderne, qui ne peut pas être patchée par du logiciel, et qui peut être exploitée même depuis JavaScript dans un navigateur ! C’est le cauchemar ultime des responsables sécurité. Cette découverte devient alors le point d’origine de toute une famille d’attaques hardware (RowPress, Half-Double, etc.).

En août 2015, Halvar reçoit le Pwnie Award pour l’ensemble de sa carrière. C’est l’Oscar de la sécurité informatique, avec un jury de chercheurs en sécurité renommés qui sélectionne les gagnants. Et ces derniers reçoivent des trophées “My Little Pony” dorés ! À seulement 34 ans, il est alors décrit comme un “gourou du reverse engineering ayant déjà révolutionné le domaine plusieurs fois”.

– Le fameux trophée Pwnie Award - un “My Little Pony” doré remis aux légendes de la sécurité informatique

Quoi qu’il en soit, cette découverte du Rowhammer change profondément la vision de Thomas sur l’informatique. Il se passionne pour la physique informatique, c’est-à-dire ce qui se passe réellement dans le processus de fabrication des puces. “C’est le plus grand spectacle sur Terre”, dit-il, et tire plusieurs leçons importantes. La première c’est qu’on a besoin d’une vraie théorie de l’exploitation. Aussi, que le hardware n’est pas correctement analysé pour anticiper tout ce qui pourrait arriver de pire, et enfin que la recherche sur les défauts des puces dus aux variations de fabrication est extrêmement intéressante.

Après un congé sabbatique d’un an, il retourne alors chez Google en 2016 et rejoint Project Zero, l’équipe d’élite qui cherche les failles zero-day. Son travail se concentre sur la découverte automatique de fonctions de bibliothèques liées statiquement dans les binaires et sur des recherches de similarité ultra-efficaces sur d’énormes quantités de code.

Mais en janvier 2019, nouveau virage à 180 degrés. Thomas quitte Google et co-fonde Optimyze. Cette fois, il change complètement de domaine : fini la sécurité, place à la performance et à l’économie du cloud ! Après 20 ans passés à casser des trucs, il décide de les rendre plus efficaces.

L’idée d’Optimyze est géniale puisqu’avec la fin de la loi de Moore et le passage au SaaS/Cloud, l’efficacité logicielle redevient super importante. Leur produit est un profileur continu multi-runtime qui peut s’installer sur des milliers de machines Linux et vous dire exactement où votre flotte dépense ses cycles CPU, jusqu’à la ligne de code, peu importe le langage (C/C++, Java, Ruby, PHP, Perl, Python, etc.). Le tout avec une technologie eBPF qui permet un déploiement sans friction.

Thomas remarque en effet qu’il y a, je cite, “une quantité énorme de calculs inutiles partout”. Avec les coûts du cloud qui explosent et l’attention croissante sur le CO2 et l’efficacité énergétique, aider les entreprises à optimiser leur code devient crucial.

Avec la fin de la loi de Moore et de Dennard scaling, combinée avec le passage au cloud et la transformation digitale continue de la société, l’efficacité computationnelle va recommencer à compter

En octobre 2021, Elastic rachète Optimyze. Leur idée c’est de combiner le profiling continu d’Optimyze avec les capacités d’analyse et de machine learning d’Elastic pour offrir une observabilité unifiée. Thomas devient alors Distinguished Engineer chez Elastic, où il continue à travailler sur l’efficacité à grande échelle.

Début 2024, après avoir intégré Optimyze dans l’écosystème Elastic, Thomas annonce à nouveau qu’il quitte l’entreprise pour prendre une pause prolongée. Il veut se reposer, et se consacrer à sa famille, sa santé et l’écriture. Mais il ne reste pas inactif longtemps puisque depuis 2019, il est aussi Venture Partner chez eCAPITAL, où il se concentre sur les investissements en cybersécurité et technologies climatiques. Enfin, depuis 2025, il dirige avec Gregor Jehle le groupe de projet Engineering au CNSS e.V.

Ces dernières années, on le voit donner des conférences passionnantes. Par exemple à QCon London en mars 2023, où il présente “Adventures in Performance”. Il y explique comment les choix de design des langages impactent les performances. Notamment comment la culture monorepo de Google et la culture “two-pizza team” d’Amazon affectent l’efficacité du code, et pourquoi la variance statistique est l’ennemi.

À ISSTA 2024 en septembre à Vienne, il donne une keynote intitulée “Reasons for the Unreasonable Success of Fuzzing”, où il analyse pourquoi le fuzzing marche si bien alors que théoriquement, ça ne devrait pas. Il raconte notamment comment dans la culture hacker des années 90, le terme “fuzz-tester” était utilisé comme une insulte pour ceux qui ne savaient pas trouver des bugs en lisant le code.

Ce qui est fascinant avec Thomas Dullien, c’est surtout sa capacité à voir les problèmes sous un angle complètement différent. Là où d’autres voient des bugs, il voit des opportunités. Là où d’autres voient de la complexité, il voit de jolis graphes. Là où d’autres voient des problèmes de fiabilité hardware, il voit des failles de sécurité. C’est cette vision unique qui lui a permis de faire progresser ses domaines de prédilection.

Son approche de l’enseignement est aussi unique. Ses formations Black Hat étaient limitées à 18 étudiants maximum, avec des prérequis techniques élevés et aujourd’hui, Thomas continue d’influencer l’industrie. Que ce soit par ses recherches, ses talks, ou les outils qu’il a créés, son impact est partout. BinDiff est maintenant open source et supporte IDA Pro, Binary Ninja et Ghidra. Le Rowhammer a donné naissance à toute une famille d’attaques hardware et les idées d’Optimyze sur l’efficacité logicielle deviennent de plus en plus pertinentes avec la crise climatique.

Voilà l’histoire de Thomas Dullien. C’est l’histoire d’un gars qui a su transformer sa curiosité en innovations. Une chose est sûre, quand Halvar Flake s’intéresse à quelque chose, l’industrie entière devrait y prêter attention. Que ce soit pour casser des trucs, les analyser, ou les rendre plus efficaces, il trouve toujours un angle nouveau que personne n’avait anticipé.

– Sources : Site personnel de Thomas Dullien , Google Project Zero - Exploiting the DRAM rowhammer bug , Black Hat Archives - 2007 US Entry Denial Incident , Silver Bullet Podcast - Interview with Halvar Flake , Elastic acquiert Optimyze , ISSTA 2024 - Keynote on Fuzzing , QCon London 2024 - Adventures in Performance , Heise - Horst Görtz Prize 2006 , Dark Reading - Pwnie Awards 2015 , OffensiveCon - Halvar Flake Biography , eCAPITAL - Thomas Dullien Venture Partner , GitHub - BinDiff Open Source , zynamics - BinDiff , Intel Technology Podcast - Interview with Thomas Dullien , Wikipedia - Row hammer

https://korben.info/thomas-dullien-halvar-flake-reverse-engineering.html

En bref :

– Comment une CSO diplômée en… composition musicale a laissé 147 millions d’Américains à poil avec des mots de passe “admin/admin”.

– Les espions chinois qui ont aspiré la moitié des États-Unis pendant que le certificat SSL dormait depuis 10 mois.

– Le PDG qui empoche 90 millions après le pire hack de l’histoire pendant que les victimes touchent 7 dollars chacune.

Je me souviens encore de ce 7 septembre 2017 quand j’ai vu l’annonce du hack d’Equifax débouler dans mes flux RSS. 143 millions d’Américains touchés avec leurs numéros de sécurité sociale, leurs dates de naissance, leurs adresses…etc… tout était dans la nature. Mais le pire dans cette histoire, c’est que ce n’était pas juste une faille technique. C’était un concentré de négligence, d’incompétence et de cupidité qui allait devenir le cas d’école de tout ce qu’il ne faut pas faire en cybersécurité. Trêve de blabla, je vous raconte tout ça tout de suite !

Pour comprendre l’ampleur du désastre, il faut d’abord comprendre ce qu’est Equifax. Fondée en 1899 sous le nom de Retail Credit Company (oui, cette entreprise est plus vieille que le FBI), c’est l’une des trois grandes agences de crédit américaines avec Experian et TransUnion. Ces entreprises collectent des informations sur pratiquement tous les Américains adultes telles que l’historique de crédit, dettes, paiements, emplois… Bref, tout ce qui permet de calculer votre score de crédit, ce fameux nombre qui détermine si vous pouvez avoir un prêt, louer un appartement, ou même décrocher certains jobs.

Le truc avec Equifax, c’est que vous n’avez jamais demandé à être leur client. Ils collectent vos données que vous le vouliez ou non. En 2017, ils avaient des dossiers sur environ 820 millions de consommateurs dans le monde, dont 147 millions rien qu’aux États-Unis. C’est comme si une entreprise privée détenait le dossier médical de chaque citoyen, sauf que là, c’est votre vie financière. John Oliver l’a parfaitement résumé pendant son émission : “Nous ne sommes pas les clients d’Equifax. On n’est pas le gars qui achète le bucket de poulet… On est les putains de poulets !”

Richard Smith en était le CEO depuis 2005. Un vétéran de General Electric où il avait passé 22 ans, grimpant les échelons jusqu’à devenir Corporate Officer en 1999. Diplômé de Purdue University en 1981, Smith était le parfait exemple du CEO corporate américain : costard impeccable, sourire Colgate et salaire de base de 1,45 million de dollars par an, plus des bonus qui pouvaient tripler ce montant. Sous sa direction, Equifax était devenue une machine à cash, avec des revenus dépassant les 3 milliards de dollars par an et une capitalisation boursière qui était passée de 3 à 20 milliards.

Mais derrière cette façade de réussite, l’infrastructure IT de l’entreprise était un véritable château de cartes…

– Richard Smith lors de son témoignage devant le Congrès américain en octobre 2017

Tout commence donc le 7 mars 2017. Ce jour-là, Apache Software Foundation publie un bulletin de sécurité critique estampillé CVE-2017-5638. C’est une vulnérabilité dans Apache Struts, un framework Java utilisé par des milliers d’entreprises pour leurs applications web. La faille est sérieuse car elle permet l’exécution de code à distance via une manipulation du header Content-Type dans les requêtes HTTP. En gros, un hacker peut injecter des commandes OGNL (Object-Graph Navigation Language) et prendre le contrôle total du serveur.

Bref, si vous avez une application vulnérable exposée sur Internet, n’importe qui peut devenir root sur votre machine…

Apache publie alors un patch le jour même. C’est là que les choses deviennent intéressantes car le 8 mars, le Department of Homeland Security envoie une alerte à toutes les grandes entreprises américaines, dont Equifax. “Patchez immédiatement”, dit le message. Le 9 mars, l’équipe sécurité d’Equifax fait suivre l’alerte en interne avec pour instruction de patcher tous les systèmes vulnérables sous 48 heures. Graeme Payne, le Chief Information Officer responsable des plateformes globales, supervise l’opération.

Sauf que voilà, Equifax, c’est une entreprise avec des milliers de serveurs, des centaines d’applications, et une dette technique monumentale. Le portail ACIS (Automated Consumer Interview System) datant des années 1970, et utilisé pour gérer les litiges des consommateurs sur leur crédit, tourne aujourd’hui sur une vieille version d’Apache Struts, et devinez quoi ? Personne ne le patche. Les scans de sécurité lancés le 15 mars ne trouvent rien.

Pourquoi ?

Et bien parce que l’outil de scan n’était pas configuré pour vérifier le portail ACIS. En gros, c’est comme chercher ses clés partout sauf dans la poche où elles sont.

– Apache Struts, le framework vulnérable au cœur du hack d’Equifax

Le 10 mars 2017, trois jours après la publication du patch, les premiers hackers frappent. Ce ne sont pas encore les gros poissons, juste des opportunistes qui scannent Internet avec des outils automatisés. Des kits d’exploitation de CVE-2017-5638 circulent déjà sur le dark web, et Metasploit a même sorti un module le 7 mars à 6h21 UTC. Les premiers intrus trouvent alors le portail ACIS d’Equifax grand ouvert.

Les logs montreront plus tard que ces premiers hackers étaient probablement des amateurs. Ils se baladent un peu dans le système, réalisent qu’ils sont chez Equifax, mais ne vont pas plus loin. Pourquoi ? Probablement parce qu’ils ne réalisent pas la mine d’or sur laquelle ils sont tombés. Ou peut-être qu’ils ont eu peur. Toujours est-il qu’ils font ce que font tous les petits hackers quand ils trouvent un gros poisson : ils vendent l’accès.

C’est là qu’entrent en scène nos véritables protagonistes : l’unité 54th Research Institute de l’Armée Populaire de Libération chinoise. Wu Zhiyong, Wang Qian, Xu Ke et Liu Lei. Quatre officiers de l’armée chinoise spécialisés dans le cyber-espionnage économique. Ces types, c’est pas des script kiddies qui utilisent des outils trouvés sur GitHub. Non, ils font partie de l’élite cyber de la Chine, formés et financés par l’État pour voler les secrets économiques de l’Occident. Le 54th Research Institute, c’est le cousin moins connu mais tout aussi dangereux de la fameuse Unit 61398 (APT1) basée à Shanghai dont je vous parlais il y a quelques jours.

Les hackers chinois commencent leur travail mi-mai. Ils sont méthodiques, patients. D’abord, ils installent 30 web shells, des portes dérobées qui leur permettent de revenir quand ils veulent. Puis ils commencent à explorer le réseau. Et c’est là qu’ils tombent sur le jackpot, un truc tellement énorme qu’ils ont dû se pincer pour y croire.

Dans un répertoire non protégé, ils trouvent un fichier texte. Un simple fichier texte contenant… les identifiants et mots de passe de dizaines de serveurs. En clair. Pas chiffrés. Juste là, comme ça…

Parmi ces identifiants, plusieurs utilisent la combinaison sophistiquée “admin/admin”. Oui, vous avez bien lu. Une entreprise qui gère les données financières de 147 millions d’Américains utilisait “admin” comme nom d’utilisateur et “admin” comme mot de passe. C’est le genre de truc qu’on voit dans les films où on se dit “c’est trop gros, personne n’est aussi con”. Eh bien si.

Mais attendez, ça devient encore mieux.

Susan Mauldin, la Chief Security Officer d’Equifax à l’époque n’a aucun background en sécurité informatique. Elle a juste un Bachelor et un Master en… composition musicale de l’Université de Géorgie. Oui, la personne responsable de la sécurité des données de 147 millions d’Américains avait fait des études de musique. Certes, elle avait travaillé chez HP, SunTrust Banks et First Data avant d’arriver chez Equifax en 2013, mais son profil LinkedIn (qu’elle a rapidement rendu privé après le hack en changeant son nom en “Susan M.”) ne mentionnait aucune formation en sécurité. Dans une interview supprimée depuis, elle avait déclaré :

On peut apprendre la sécurité.

Visiblement, pas assez bien…

Avec ces identifiants “admin/admin”, les hackers peuvent maintenant se balader dans le réseau d’Equifax comme chez eux. Ils accèdent à trois bases de données ACIS, puis à 48 autres bases de données. Au total, ils vont exécuter plus de 9 000 requêtes SQL sur une période de 76 jours. Plus de deux mois durant lesquels nos quatre militaires chinois pillent les données les plus sensibles de la moitié de la population américaine, et personne ne s’en aperçoit.

Mais comment c’est possible ? Comment une entreprise de cette taille peut-elle ne pas voir que des téraoctets de données sortent de ses serveurs ? Et bien la réponse tient en deux mots : certificat expiré.

Equifax avait bien des outils de monitoring réseau. Des trucs sophistiqués qui analysent le trafic, détectent les anomalies, sonnent l’alarme quand quelque chose cloche. Sauf que ces outils ont besoin de déchiffrer le trafic SSL pour voir ce qui se passe. Et pour ça, il leur faut un certificat SSL valide. Sauf que le certificat d’Equifax avait expiré… 10 mois plus tôt. Personne ne l’avait renouvelé, du coup, tout le trafic chiffré passait sans être inspecté. Les hackers pouvaient donc exfiltrer des gigaoctets de données chaque jour, et c’était invisible pour les systèmes de sécurité.

Dommage…

Et les hackers sont malins. Ils ne veulent pas se faire repérer, alors ils procèdent méthodiquement. Ils compressent les données en petits paquets de 10 MB. Ils utilisent 34 serveurs relais dans 20 pays différents pour masquer leur origine. Ils effacent les logs au fur et à mesure. C’est du travail de pro, le genre d’opération que seul un État peut financer et organiser.

Entre mai et juillet 2017, ils aspirent tout : 145,5 millions de numéros de sécurité sociale, 147 millions de noms et dates de naissance, 99 millions d’adresses, 209 000 numéros de cartes de crédit avec leurs dates d’expiration, 182 000 documents personnels contenant des informations sur les litiges de crédit. Sans oublier les permis de conduire de 10,9 millions d’Américains et les données de 15,2 millions de Britanniques et 19 000 Canadiens. C’est le casse du siècle, version numérique.

Pendant ce temps, la vie continue chez Equifax. Richard Smith touche son bonus de 3 millions de dollars pour l’année 2016. Susan Mauldin, la Chief Musician Security Officer, gère la sécurité de l’entreprise tranquillou. Les affaires tournent, l’action monte. Tout va bien dans le meilleur des mondes. C’est déjà le troisième incident de sécurité majeur depuis 2015, mais bon, qui compte ?

– L’action Equifax continuait de grimper pendant que les hackers pillaient les données

Puis le 29 juillet 2017, un samedi, un administrateur système décide enfin de renouveler ce fameux certificat SSL expiré. Probablement un stagiaire qui s’ennuyait ou un admin consciencieux qui faisait du ménage. Dès que le nouveau certificat est installé, les outils de monitoring se remettent à fonctionner, et là, c’est la panique ! Le système détecte immédiatement du trafic suspect vers la Chine avec des gigaoctets de données qui sortent du réseau.

L’équipe sécurité est alors appelée en urgence. Ils coupent l’accès au portail ACIS, analysent les logs (ceux qui n’ont pas été effacés), et commencent à réaliser l’ampleur du désastre. Le 30 juillet, ils appellent Mandiant, la Rolls-Royce des entreprises de sécurité informatique rachetée par FireEye, spécialisée dans les incidents de ce type et qui avait déjà enquêté sur les attaques de l’Unit 61398.

Et le 31 juillet, Graeme Payne informe Richard Smith de la situation. Le CEO comprend immédiatement que c’est une catastrophe. Smith dira plus tard au Congrès :

J’étais ultimement responsable de ce qui s’est passé sous ma surveillance.

Mais au lieu d’informer immédiatement le public, la direction décide d’abord de… “gérer la situation en interne”.

Et c’est là que l’histoire devient vraiment sale. Le 1er et 2 août, alors que seule une poignée de dirigeants connaît l’ampleur de la fuite, trois executives d’Equifax vendent pour 1,8 million de dollars d’actions. Le CFO John Gamble vend pour 946 000$, le président de l’unité US Information Solutions Joseph Loughran pour 584 000$, et le président de Workforce Solutions Rodolfo Ploder pour 250 000$. [censored] coïncidence, bien sûr.

Plus tard, une enquête interne conclura qu’ils n’étaient pas au courant de la fuite au moment de la vente. Smith témoignera devant le Congrès :

Nous avons notifié le FBI et engagé un cabinet d’avocats le 2 août. À ce moment-là, nous ne voyions qu’une activité suspecte. Les trois individus ont vendu leurs actions les 1er et 2 août. Nous n’avions aucune indication de brèche de sécurité à ce moment.

Permettez-moi d’être sceptique car c’est une sacrée coïncidence de vendre ses actions juste avant l’annonce d’une catastrophe qui va faire chuter le cours de 35%.

Pendant ce temps, Mandiant mène son enquête. Leurs experts reconstituent le puzzle, identifient la vulnérabilité Apache Struts, découvrent les fichiers de mots de passe en clair, tracent les connexions vers la Chine via les 34 serveurs relais. Le rapport est accablant : négligence à tous les niveaux, absence de segmentation réseau, données sensibles non chiffrées, monitoring défaillant, 120 millions de numéros de sécurité sociale stockés en clair, données de cartes de crédit dans des fichiers Excel sans protection. C’est un manuel de ce qu’il ne faut pas faire en sécurité informatique.

Le 7 septembre 2017, six semaines après la découverte, Equifax annonce enfin publiquement la faille. Le communiqué est un chef-d’œuvre de langue de bois corporate :

Equifax a subi un incident de cybersécurité potentiellement impactant environ 143 millions de consommateurs américains.

Potentiellement ? 143 millions, c’est 44% de la population des États-Unis !

La réaction est immédiate et brutale. L’action chute en bourse de 13% en quelques heures, passant de 142$ à 92$ en quelques jours. Les médias s’emparent de l’affaire et John Oliver dédie un segment entier de “Last Week Tonight” au désastre, expliquant que si ça n’était pas arrivé pendant une période où chaque jour les gros titres étaient “Tout Part en Couilles Encore Aujourd’hui”, le hack d’Equifax aurait été LA nouvelle du mois. Les politiciens demandent des comptes et plus de 52 000 plaintes sont déposées. Les class actions pleuvent.

Et les 147 millions de victimes ? Elles découvrent qu’elles sont peut-être victimes d’un vol d’identité sans avoir jamais entendu parler d’Equifax.

Mais attendez, ça devient encore pire car Equifax met en place un site web pour que les gens puissent vérifier s’ils sont affectés : equifaxsecurity2017.com. Sauf que le site est tellement mal fait que les experts en sécurité pensent que c’est un site de phishing ! Brian Krebs, expert renommé en sécurité, qualifie la réponse d’Equifax de “dumpster fire” (feu de poubelle)et un développeur, Nick Sweening, achète même le domaine securityequifax2017.com pour démontrer à quel point c’est facile de créer un site de phishing crédible.

Et vous voulez savoir le plus drôle ?

Le compte Twitter officiel d’Equifax tweetera huit fois le lien vers le FAUX site !

En plus, les termes et conditions du site incluent une clause d’arbitrage qui stipule que si vous utilisez le site pour vérifier si vous êtes affecté, vous renoncez à votre droit de poursuivre Equifax en justice ! La grogne est telle qu’ils doivent retirer cette clause après quelques jours. Sans compter que le site retourne des résultats apparemment aléatoires. Par exemple, des journalistes testent avec des fausses données et obtiennent quand même des réponses.

Le 15 septembre, à peine une semaine après l’annonce publique, Susan Mauldin, la CSO, “prend sa retraite”. David Webb, le CIO, fait de même. Et leurs profils LinkedIn disparaissent comme par magie. Même leurs interviews sont retirées d’Internet. Equifax utilise d’ailleurs le mot “retraite” plutôt que “licenciement”, ce qui signifie qu’ils partent probablement avec de confortables indemnités.

Et le 26 septembre, c’est au tour de Richard Smith. Le CEO “prend sa retraite” lui aussi, mais contrairement à ses subordonnés, on connaît exactement ce qu’il emporte : 90 millions de dollars. Oui, vous avez bien lu. 90 millions. 72 millions pour 2017 (salaire + stocks + options), plus 18,4 millions de retraite. Pendant que 147 millions d’Américains vont devoir surveiller le montant de leurs crédits pour le reste de leur vie, lui part avec l’équivalent de 61 cents par victime.

Techniquement, il ne touche pas de prime de départ puisqu’il “démissionne”. Mais il garde toutes ses stock-options et ses droits à la retraite. C’est beau, le capitalisme américain, quand même non ?

– Richard Smith est parti avec un parachute doré de 90 millions de dollars

Pendant ce temps, Graeme Payne, le CIO qui avait supervisé les scans de sécurité ratés, se fait virer le 2 octobre. Pas de retraite dorée pour lui. Il est désigné comme bouc émissaire pour ne pas avoir fait suivre un email sur la vulnérabilité Apache Struts. Dans son témoignage au Congrès, il dira : “Dire qu’un vice-président senior devrait faire suivre chaque alerte de sécurité à des équipes trois ou quatre niveaux en dessous… ça n’a aucun sens. Si c’est le processus sur lequel l’entreprise doit compter, alors c’est ça le problème.”

L’enquête du Congrès est un spectacle en soi. Le 4 octobre 2017, pendant que Smith témoigne devant le Senate Banking Committee, une activiste nommée Amanda Werner, déguisée en Rich Uncle Pennybags (le Monopoly Man), s’assoit juste derrière lui.

Pendant toute l’audition, elle essuie son front avec des faux billets de 100$, ajuste son monocle et twirle sa moustache. Les images deviennent virales instantanément. Werner expliquera plus tard : “Je suis habillée en Monopoly Man pour attirer l’attention sur l’utilisation par Equifax et Wells Fargo de l’arbitrage forcé comme carte ‘sortie de prison gratuite’ pour leurs méfaits massifs.”

– Amanda Werner déguisée en Monopoly Man trollant l’audition au Sénat

Le témoignage de Smith devant le Congrès révèle l’ampleur de l’incompétence. Les sénateurs, notamment Elizabeth Warren, le grillent sur le timing suspect des ventes d’actions et les failles de sécurité. Warren est particulièrement féroce, demandant pourquoi Equifax a obtenu un contrat de sécurité avec l’IRS après le hack.

Le rapport du Government Accountability Office qui s’en suivra est cinglant : “Equifax n’a pas segmenté ses bases de données pour limiter l’accès, n’a pas chiffré les données sensibles, et n’a pas maintenu à jour ses certificats de sécurité.” En gros, ils ont fait absolument tout ce qu’il ne fallait pas faire. Le rapport révèle aussi que le système ACIS datait littéralement des années 1970 et n’avait jamais été vraiment modernisé.

Mais le plus fou dans tout ça, c’est que malgré l’ampleur du désastre, les conséquences pour Equifax ont été… limitées. En juillet 2019, ils acceptent un accord avec la FTC de 575 millions de dollars, extensibles à 700 millions. Ça paraît énorme, mais divisé par 147 millions de victimes, ça fait moins de 4 dollars par personne.

Les victimes peuvent réclamer jusqu’à 125$ en cash, ou 10 ans de monitoring de crédit gratuit. Mais y’a un hic que personne n’a vu venir… le fond prévu pour les paiements n’est que de 31 millions. Avec 147 millions de victimes potentielles, si seulement 248 000 personnes demandent les 125$, le fond est vide. Au final, 4,5 millions de personnes réclament le cash. Alors la plupart des gens qui demandent cet argent cash reçoivent… 7 dollars. Pas 21 cents comme initialement calculé par les pessimistes, mais pas 125$ non plus. Sept malheureux dollars pour avoir eu toute leur vie financière exposée.

Pendant ce temps, Equifax se porte bien. Leur action, qui était tombée à 92$ après le hack, est remontée à plus de 240$ en 2025. Ils ont même eu le culot d’essayer de vendre des services de protection d’identité TrustedID Premier aux victimes. “Vos données ont été volées à cause de notre négligence, mais pour 19,99$ par mois, on peut surveiller si quelqu’un les utilise !” Le cynisme à l’état pur. Sans compter que les termes d’utilisation de TrustedID incluaient initialement une clause d’arbitrage forcé où en vous inscrivant, vous renonciez à votre droit de les poursuivre.

Et les hackers chinois ?

En février 2020, le département de Justice inculpe officiellement Wu Zhiyong, Wang Qian, Xu Ke et Liu Lei. Les charges sont fraude informatique, espionnage économique, fraude électronique. Le grand jury d’Atlanta retient neuf chefs d’accusation contre eux mais c’est symbolique car comme vous le savez, ils sont en Chine, intouchables. Ils ne seront jamais extradés ni jugés et cela même si le FBI a bien mis leurs photos sur son site “Wanted”, avec une récompense pour toute information… Mais tout le monde sait que c’est du théâtre.

L’ironie, c’est que malgré le vol de 147 millions d’identités, y’a eu étonnamment peu de cas de fraude directement liés au hack Equifax. Une étude de Carnegie Mellon University l’a même confirmé.

Pourquoi ? Et bien parce que les hackers étaient des espions du 54th Research Institute, et pas des criminels de droit commun. Leur but n’était donc pas de vendre les données sur le dark web ou de vider des comptes bancaires. C’était de l’espionnage d’État, probablement pour identifier des cibles potentielles pour le recrutement, des agents à retourner, ou simplement pour constituer une base de données géante sur la population américaine pour de futures opérations.

Mais ça ne rend pas la situation moins grave, au contraire car quelque part en Chine, y’a une base de données avec les informations personnelles et financières de la moitié de la population américaine. Et ces données ne périment pas… Dans 10, 20, 30 ans, elles seront toujours utilisables puisque les numéros de sécurité sociale ne changent pas. C’est donc une épée de Damoclès permanente au-dessus de la tête de 147 millions de personnes.

Ce hack a eu pour effet d’accélérer l’adoption de lois sur la protection des données. Le CCPA (California Consumer Privacy Act) et d’autres réglementations similaires sont en partie une réponse au hack d’Equifax. L’idée que des entreprises puissent collecter et stocker des données sensibles sans le consentement explicite des consommateurs et sans protection adéquate est devenue inacceptable. Smith lui-même a suggéré dans son témoignage de remplacer les numéros de sécurité sociale par un système plus sécurisé, proposant un “partenariat public-privé pour évaluer comment mieux protéger les données des Américains”.

Mais fondamentalement, le modèle n’a pas changé. Equifax, Experian et TransUnion continuent de collecter les données des américains sans leur permission. Elles continuent de les vendre à qui veut payer. Et elles continuent d’être des cibles de choix pour les hackers du monde entier. D’ailleurs, hasard de la publication, TransUnion vient en 2025 d’être victime d’un hack, exposant les numéros de sécu de 4,4 millions d’américains. L’histoire se répète…

Bref, ce hack d’Equifax, c’est l’histoire de la faillite d’un système. Un système où des entreprises privées ont un pouvoir démesuré sur des vies, sans avoir de comptes à rendre. Un système où la négligence criminelle est punie par une tape sur les doigts et un golden parachute de plusieurs millions de dollars. Un système où les victimes sont laissées à leur compte pendant que les responsables s’en tirent….

Mais c’est aussi une leçon sur le danger de la dette technique accumulée depuis les années 1970. Sur la nécessité de régulations strictes pour protéger les données personnelles. Et surtout, sur le fait qu’aucune entreprise n’est “too big to fail” quand il s’agit de cybersécurité. Si vous pouvez être hacké avec “admin/admin”, vous méritez presque de couler, d’ailleurs…

Aujourd’hui, en 2025, Equifax a un nouveau CEO, Mark Begor, un nouveau CISO (un vrai cette fois), Jamil Farshchi, ancien de Visa et Time Warner, et des procédures de sécurité renforcées.

Quoiqu’il en soit, dans le monde de la collecte de données, nous ne sommes pas des clients. Nous sommes le produit. Et quand le produit est volé, c’est encore nous qui en payons encore le prix.

Et c’est ça, le vrai scandale.

– Sources : Rapport officiel du Congrès américain sur le breach Equifax (2018) , Inculpation du Department of Justice contre les hackers chinois (2020) , Rapport du Government Accountability Office , Témoignage de Richard Smith devant le Congrès (2017) , Analyse technique de la vulnérabilité Apache Struts CVE-2017-5638 , Settlement FTC-Equifax (2019) , Rapport Mandiant sur l’investigation forensique , Timeline détaillée du breach - CSO Online , John Oliver sur Last Week Tonight , Interview d’Amanda Werner, le “Monopoly Man”

https://korben.info/equifax-breach-2017-histoire-complete.html

Avec le Raspberry Pi 500+, la fondation Raspberry Pi franchit une nouvelle étape : un véritable ordinateur tout-en-un qui associe la puissance d’un Raspberry Pi 5 à un clavier mécanique rétroéclairé. Doté de 16 Go de RAM, d’un SSD NVMe de 256 Go et d’une connectique complète, il se positionne comme une alternative compacte et abordable aux mini-PC traditionnels. Dans cet article, nous vous proposons de découvrir ensemble son déballage, sa mise en route, ses entrailles et les possibilités offertes par son clavier RGB.

Raspberry Pi 500+ : premières impressions et déballage

Le Raspberry Pi 500+ est enfin arrivé ! Vous découvrez ci-dessus la toute premières image de son emballage ! La boîte met en avant le design de l’appareil : un clavier mécanique compact et élégant, qui intègre toute la puissance d’un Raspberry Pi 5.

La face arrière de ce Raspberry Pi 500 Plus figure sur un des côtés de l’emballage, pas trop de surprise ici.

Sur la face arrière, les caractéristiques principales sont bien mises en évidence : processeur ARM Cortex-A76, 16 Go de RAM LPDDR4x, un SSD NVMe de 256 Go pré-installé, la connectivité complète (Wi-Fi, Bluetooth, Gigabit Ethernet) et bien sûr un clavier rétroéclairé programmable LED par LED.

Le plaisir du déballage

À l’ouverture, on découvre directement le Raspberry Pi 500+ soigneusement calé dans son coffret. Le clavier blanc, aux touches profilées, inspire tout de suite confiance par sa finition. Un petit compartiment (en haut à droite) contient les accessoires livrés ave le Pi 500+.

Les accessoires fournis

Dans la boîte, deux petits outils attirent l’attention. La pièce noire est un extracteur de touches : elle permet de retirer facilement les cabochons (keycaps) du clavier mécanique afin de les remplacer ou de les nettoyer. La pièce blanche, quant à elle, est destinée à l’ouverture du boîtier. Elle fait office de levier pour déclipser la coque supérieure sans risque d’endommager les fixations. La fondation a prévu que les utilisateurs puissent accéder facilement à l’intérieur de la machine (notamment au SSD NVMe de 256 Go installé en interne). Cet outil agit comme un levier pour déclipser proprement la coque supérieure sans abîmer les fixations plastiques. Ces deux accessoires montrent bien la volonté de la fondation de rendre le Raspberry Pi 500+ personnalisable et facilement réparable.

Une première prise en main prometteuse

Dès le premier contact, le Pi500+ se distingue par sa construction solide et son ergonomie : tout est intégré dans un seul châssis, ce qui en fait une véritable machine prête à l’emploi. Le design rappelle un ordinateur personnel complet, mais dans le format compact cher à la fondation Raspberry Pi. Les anciennes versions pesaient moins de 400 grammes, ici on dépasse les 600 grammes et franchement on sent bien la différence !

Raspberry Pi 500+ : démontage des touches et clavier rétroéclairé RGB

Utilisez l’outil fourni pour enlever les cabochons des touches.

Grâce à l’outil extracteur fourni, il est très simple de retirer une touche du clavier du Raspberry Pi 500+.

Une fois le cabochon ôté, on distingue parfaitement l’interrupteur mécanique.

Les LEDs RVB sont sous les touches, ici en bleu

Et ici du blanc et du rouge.

Ce choix technique permet d’offrir à la fois la sensation d’un vrai clavier mécanique, avec un retour tactile franc, et une personnalisation visuelle avancée. Chaque touche peut en effet être rétroéclairée indépendamment, avec une large palette de couleurs. Sur les photos ci-dessus, vous apercevez plusieurs exemples de touches retirées et l’éclairage individuel bleu, blanc ou rouge, qui confirme la programmation « touche par touche ».

Un tel niveau de finition place le Pi500+ au-dessus de la simple carte SBC : c’est désormais un ordinateur complet, ergonomique et personnalisable.

Mise en route et configuration du Raspberry Pi 500+

La première mise sous tension du Raspberry Pi 500+ est très simple. Une fois l’alimentation branchée en USB-C, l’appareil démarre automatiquement sur le SSD NVMe de 256 Go pré-installé avec Raspberry Pi OS. Vous n’avez donc pas besoin d’insérer de carte microSD : tout est prêt à fonctionner dès la sortie de la boîte.

L’assistant de configuration vous guide pas à pas : choix de la langue, du clavier et du fuseau horaire, puis connexion au réseau Wi-Fi. En quelques minutes, vous obtenez un bureau fonctionnel, entièrement basé sur Raspberry Pi OS, et prêt pour vos projets de développement, vos activités multimédia ou votre usage quotidien.

Le gain en rapidité par rapport à une installation sur carte microSD est immédiat : le système démarre en une quinzaine de secondes, et l’ouverture des applications est fluide grâce à la mémoire LPDDR4x de 16 Go.

Avec cette approche, le Raspberry Pi 500+ se rapproche d’un véritable PC personnel, sans configuration complexe ni étapes supplémentaires.

Démarrer directement le Pi 500+ sur le SSD NVMe

Par défaut, le Raspberry Pi 500+ vérifie d’abord la présence d’une carte microSD avant de lancer le système. Si vous utilisez uniquement le SSD NVMe intégré, cette étape intermédiaire n’est pas nécessaire et rallonge le temps de démarrage. En configurant l’amorçage direct sur le SSD, vous gagnez en rapidité : le Pi500+ démarre alors en environ 15 à 18 secondes, sans attente inutile.

Accès au menu principal de raspi-config
Depuis un terminal, lancez la commande sudo raspi-config pour ouvrir l’outil de configuration.

Accéder aux options avancées de démarrage
Dans le menu, choisissez Advanced Options, puis l’entrée A4 Boot Order qui permet de définir l’ordre de priorité des périphériques de démarrage.

Choisir l’ordre de démarrage
Plusieurs options sont proposées. Sélectionnez B2 NVMe/USB Boot afin que le Raspberry Pi 500+ démarre en priorité sur son SSD NVMe interne avant de tester l’USB ou la carte SD.

Confirmation du choix
Un écran confirme que le NVMe/USB est défini comme périphérique de démarrage par défaut. Validez avec OK.

Redémarrage du système
Pour que la modification soit prise en compte, redémarrez immédiatement le Raspberry Pi 500+ en choisissant Oui.

En configurant le Raspberry Pi 500+ pour démarrer directement sur son SSD NVMe, vous optimisez à la fois la vitesse et la simplicité d’utilisation. Plus besoin de laisser une carte microSD insérée en permanence : l’ordinateur se comporte comme un véritable PC, prêt à fonctionner dès l’allumage. Cette petite modification de l’ordre de démarrage vous fera gagner de précieuses secondes à chaque mise sous tension.

Et si l’on regardait sous le capot ?

Une fois la configuration logicielle terminée, il est tentant d’aller voir ce que le Raspberry Pi 500+ cache à l’intérieur. La fondation a prévu un outil spécial pour ouvrir facilement le boîtier, sans risque d’endommager les fixations. Voyons ensemble les entrailles de cette nouvelle machine, avec son SSD NVMe intégré et son architecture compacte.

Le Pi 500 + que j’ai reçu de la Fondation est en QWERTY, c’est la version que j’ai reçue pour ce test. Il s’accompagne de la souris officielle Raspberry Pi.

La touche « Cmd » est ici marquée du logo Raspberry Pi : un clin d’œil au design des claviers Apple, adapté à l’univers Pi ?

De profil, on distingue clairement les interrupteurs mécaniques sous chaque touche, avec un design compact mais robuste. La touche « Espace » a un switch central et deux guides situés à chaque extrémité de la touche.

La connectique arrière comprend trois ports USB (dont deux en USB 3.0), un lecteur microSD, un port USB-C pour l’alimentation et deux sorties micro-HDMI capables de gérer la 4K.

À gauche du port Ethernet Gigabit, on retrouve l’accès au fameux connecteur GPIO 40 broches. Protégé par un cache, il reste disponible pour tous les projets de bidouille chers à la communauté Raspberry Pi et aux makers.

Le dessous du Pi 500+ révèle cinq vis à retirer (repérées ici en bleu). Une fois ces vis enlevées, il faut utiliser l’outil blanc fourni, pour déclipser délicatement la coque.

En soulevant le capot, on découvre le circuit imprimé du clavier mécanique. Chaque touche est équipée de son interrupteur et de sa LED RGB. Le clavier est relié par une nappe plate à la carte principale.

Sous le clavier, un large et épais blindage métallique protège et refroidit la carte mère. On distingue le SSD NVMe fixé sur la droite.

Autre élément clé découvert lors du démontage : le SSD NVMe de 256 Go (au format 2230), fourni et installé d’origine avec Raspberry Pi OS par la fondation Raspberry Pi. Ce choix marque un tournant important par rapport aux générations précédentes, qui reposaient presque exclusivement sur des cartes microSD pour le stockage principal.

Avec ce support :

Vous bénéficiez de performances bien supérieures : le démarrage de Raspberry Pi OS s’effectue en 15 à 18 secondes seulement, et l’ouverture des applications est nettement plus fluide. La fiabilité est renforcée : contrairement aux microSD sujettes à l’usure rapide, un SSD NVMe offre une meilleure endurance pour une utilisation quotidienne. La fondation propose un SSD badgé Raspberry Pi, optimisé et pré-installé avec le système officiel, ce qui simplifie grandement la mise en route. La présence de ce SSD démontre la volonté de Raspberry Pi de rapprocher le Pi 500+ d’un véritable ordinateur personnel, prêt à l’emploi et pensé pour durer.

Le connecteur interne accepte les formats NVMe jusqu’au 2280, ce qui ouvre la porte à une extension de capacité jusqu’à 1 ou 2 To selon vos besoins. Vous pouvez ainsi transformer le Pi 500+ en véritable mini-PC de bureau, capable de stocker confortablement projets, médias et environnements de développement.

Le démontage du Raspberry Pi 500+ révèle une puce bien connue : le RP2-B2, une évolution du microcontrôleur RP2040 lancé en 2021 avec le Raspberry Pi Pico.Le RP2040 a marqué un tournant pour la fondation : c’est le premier microcontrôleur maison, conçu et produit sous contrôle direct de Raspberry Pi. Avec lui, la Fondation ne dépend plus uniquement de fournisseurs tiers et maîtrise ainsi toute la chaîne, du design à la production, pour garantir une disponibilité et une flexibilité optimales.

Côté technique, on retrouve :

Dual-Core Arm Cortex-M0+ jusqu’à 133 MHz 264 Ko de SRAM organisés en six banques indépendantes Interfaces multiples : 2× UART, 2× SPI, 2× I²C, 16 canaux PWM 8 machines d’états PIO pour émuler presque n’importe quel protocole USB 1.1 avec mode hôte et périphérique Drag & Drop via USB pour une programmation facile Large plage d’alimentation (1,8 à 5,5 V) et modes basse consommation

Ce composant équipe le Raspberry Pi Pico et sa famille, mais aussi désormais des produits plus ambitieux comme le Pi 500+, où il prend en charge des fonctions spécifiques telles que la gestion du clavier mécanique et des LEDs RGB.

En intégrant ce microcontrôleur « maison » dans ses propres produits, la fondation maîtrise l’ensemble de l’écosystème matériel et logiciel, tout en assurant une continuité et une indépendance technologique stratégique.

Sous la plaque de dissipation, un pad thermique assure le transfert de chaleur entre le microprocesseur et le blindage métallique.

Un autre détail de conception : une mousse conductrice placée entre la plaque et la carte électronique (sur la prise Ethernet), destinée à améliorer la mise à la masse et à limiter les vibrations.

La carte mère du Pi 500+ enfin dégagée : processeur quad-core Cortex-A76, RAM LPDDR4x soudée, SSD NVMe, connectique arrière et GPIO sont visibles dans un agencement compact et propre.

Au cœur du Pi500+, le SoC Broadcom BCM2712 (sous blindage métallique) accompagné du southbridge RP1 développé par la Fondation Raspberry Pi. En haut, la RAM 16 Go Micron LPDDR4X soudée directement sur la carte. Le composant à droite marqué BOURNS SM51625L est un réseau de protections ESD (ElectroStatic Discharge). Son rôle : protéger les lignes sensibles (comme l’Ethernet, l’USB ou le HDMI) contre les surtensions et les décharges électrostatiques. C’est typiquement une barrière qui absorbe les pics de tension avant qu’ils n’endommagent les circuits du SoC ou du RP1.

Zoom sur le trio principal : processeur Broadcom, puce RP1 (qui gère USB, GPIO, PCIe, etc.) et la mémoire LPDDR4X. C’est le cœur du Pi 500+.

La zone près du port Ethernet montre l’empreinte prévue pour un PoE (Power over Ethernet), non peuplée ici. Raspberry Pi a donc anticipé une éventuelle évolution ou un modèle dédié.

Le composant Renesas dédié à la gestion de l’alimentation (PMIC). Il assure la distribution des tensions nécessaires à l’ensemble du système.

Sur cette photo, on distingue le module radio Wi-Fi / Bluetooth soudé sur la carte du Raspberry Pi 500+. C’est le Raspberry Pi RP1 radio module, blindé sous un capot métallique sérigraphié.
Il assure la connectivité Wi-Fi 5 (802.11ac) et Bluetooth 5.0/5.2, avec les certifications nécessaires (FCC, CE, etc.).

Un connecteur marqué BATTERY : il est certainement destiné à une pile de sauvegarde RTC (horloge temps réel). Cela permet de conserver l’heure même sans alimentation. Je n’ai pas encore pu le tester, je le ferai dès que j’aurai plus d’infos.

La sérigraphie révèle qu’il s’agit d’une carte Raspberry Pi 500 R4 (PVT), millésime 2024. PVT signifie Production Validation Test : une version de pré-série réservée aux partenaires et testeurs. J’ai donc eu la chance de recevoir un exemplaire avant la mise en production finale, afin de valider et documenter ses fonctionnalités pour la préparation de cet article.

Mise en service du clavier du Raspberry Pi 500 + 🚀 Installation rapide – Raspberry Pi 500+ Copiez les paquets .deb sur votre Pi 500+. Ouvrez un terminal dans ce dossier (touche F4 depuis le Bureau). Installez et mettez à jour le firmware : sudo apt install ./rpi-keyboard-fw-update\_1.0\_all.deb sudo rpi-keyboard-fw-update Installez l’outil de configuration : sudo apt install ./rpi-keyboard-config\_1.0\_all.deb ✨ Premiers pas avec les LED

<textarea wrap=“soft” class=“crayon-plain print-no” data-settings=“dblclick” readonly=“”></textarea>

# Activer un effet rouge uni rpi-keyboard-config effect "Solid Color" --hue 0 --sat 255 # Passer à un pinwheel rapide rpi-keyboard-config effect "Cycle Pinwheel" --speed 200 # Changer de préréglage avec Fn+F4 🎨 Votre premier préréglage personnalisé (30 s) # Définir le préréglage 0 en vert rpi-keyboard-config preset set 0 "Solid Color" --hue 85 --sat 255 # Activer le préréglage rpi-keyboard-config preset index 0

👉 Vous pourrez ensuite le rappeler à tout moment avec Fn+F4

Raspberry Pi 500+: Un clavier lumineux La doc complète : RPi Keyboard Config

RPi Keyboard Config est une bibliothèque Python et un outil en ligne de commande pour configurer les claviers Raspberry Pi, incluant la personnalisation du keymap et le contrôle des LED RGB.

Claviers pris en charge Raspberry Pi 500 (USB VID: 2e8a, PID: 0010) Raspberry Pi 500+ (USB VID: 2e8a, PID: 0011) Fonctionnalités Configuration du keymap : réaffectez des keycodes à n’importe quelle position. Contrôle des LED RGB : pilotage LED par LED (500+). Effets : effets intégrés (couleur unie, dégradé, pinwheel, heatmap, réactif, etc.). Presets : modifiez les préréglages parcourus avec <kbd>Fn</kbd>+<kbd>F4</kbd>. Surveillance des touches : visualisez les pressions de touches. Démos : jeu Flappy Bird et motif aléatoire sur les LED (500+). Installation

Installez le paquet depuis les dépôts :

sudo apt install rpi-keyboard-config

Les règles udev sont installées automatiquement.

Firmware du clavier

Le clavier doit disposer du firmware à jour. Mettez à jour avec :

sudo rpi-keyboard-fw-update

Code source : github.com/raspberrypi/keyboard-firmware

Utilisation en ligne de commande Informations de base # Afficher les infos clavier rpi-keyboard-config info # Afficher les infos avec plan ASCII rpi-keyboard-config info --ascii # Version de firmware uniquement rpi-keyboard-config get-version Configuration du keymap

Les mappages peuvent être modifiés dynamiquement via rpi-keyboard-config key ou via vial.rocks. (Utilisez Chrome)

# Obtenir le keycode d'une position (ligne, colonne) rpi-keyboard-config key get &lt;row&gt; &lt;col&gt; [--layer &lt;layer&gt;] # Définir le keycode d'une position rpi-keyboard-config key set &lt;row&gt; &lt;col&gt; &lt;keycode&gt; [--layer &lt;layer&gt;] # Lister tous les keycodes d'une couche rpi-keyboard-config key get-all [--layer &lt;layer&gt;] # Exemples rpi-keyboard-config key get 2 3 rpi-keyboard-config key set 2 3 KC_A rpi-keyboard-config key get-all # Rétablir le keymap par défaut rpi-keyboard-config reset-keymap Verrouillage / Déverrouillage du clavier

Requis pour certaines opérations (ex. monitoring des touches). Voir docs Vial.

# Déverrouiller rpi-keyboard-config unlock # Verrouiller<br><br>rpi-keyboard-config lock

Touches de déblocage

Lorsque le système vous demande d’appuyer sur les touches de déblocage,
il s’agit des touches suivantes :

ESC ENTER

Appuyez simultanément sur ESC puis ENTER pour poursuivre la procédure.

Surveillance des touches

Note : nécessite le déverrouillage préalable.

# Surveiller les pressions de touches rpi-keyboard-config key watch [--layer &lt;layer&gt;] [--no-leds] [--exit-key &lt;key&gt;] # Exemples rpi-keyboard-config key watch rpi-keyboard-config key watch --no-leds Contrôle des LED (Raspberry Pi 500+) Teinte et luminosité globales

Raccourcis par défaut :

Fn+F3/Fn+Shift+F3 pour la teinte,
Fn+F6/Fn+F5 pour la luminosité.

# Teinte globale (0-255) rpi-keyboard-config hue rpi-keyboard-config hue 85 # Luminosité globale (0-255) rpi-keyboard-config brightness rpi-keyboard-config brightness 255 Effets RGB

Les effets temporaires restent actifs jusqu’à extinction/reboot ou appui sur <kbd>Fn</kbd>+<kbd>F4</kbd>. Les presets sont restaurés au redémarrage. L’effet direct temporaire est stocké à l’index 7 (non cyclable).

# Effet courant rpi-keyboard-config effect # Définir un effet (+ paramètres optionnels) rpi-keyboard-config effect &lt;effet&gt; [--hue &lt;0-255&gt;] [--sat &lt;0-255&gt;] [--speed &lt;0-255&gt;] # Lister les effets disponibles rpi-keyboard-config list-effects # Exemples rpi-keyboard-config effect "Solid Color" --hue 0 --sat 255 rpi-keyboard-config effect "Cycle Pinwheel" --speed 200 rpi-keyboard-config effect "Typing Heatmap"

Remarque : la composante valeur (V de HSV) dépend de la luminosité globale. Certains effets peuvent ignorer teinte/saturation.

Presets RGB

Les presets se parcourent avec Fn+F4.
Le preset précédemment affiché est restauré au démarrage.

# Index du preset courant rpi-keyboard-config preset index # Définir l'index du preset courant rpi-keyboard-config preset index &lt;0-7&gt; # Lire la configuration d'un preset rpi-keyboard-config preset get [index] rpi-keyboard-config preset get 2 # Définir la configuration d'un preset rpi-keyboard-config preset set &lt;index&gt; [effect] [--hue &lt;0-255&gt;] [--sat &lt;0-255&gt;] [--speed &lt;0-255&gt;] [--startup-animation &lt;animation&gt;] # Revenir au preset enregistré (utile après un effet temporaire) rpi-keyboard-config preset revert # Exemples rpi-keyboard-config preset set 0 "Solid Color" --hue 0 --sat 255 rpi-keyboard-config preset set 3 "Cycle Pinwheel" --speed 150 rpi-keyboard-config preset set 2 --hue 85 --sat 255 rpi-keyboard-config preset index 2 # Ne boucler que sur les 3 premiers presets rpi-keyboard-config preset set 3 skip # Définir l'animation de démarrage rpi-keyboard-config preset set 0 "Solid Color" --startup-animation "START\_ANIM\_W\_FADE\_SAT" Animations de démarrage disponibles Nom Description START_ANIM_NONE Aucune animation START_ANIM_B_NO_FADE Animation de démarrage, extinction des LED, puis preset START_ANIM_B_FADE_VAL Comme ci-dessus, puis fondu en luminosité croissante vers le preset START_ANIM_W_NO_FADE Animation de démarrage, LEDs blanches, puis preset START_ANIM_W_FADE_SAT Comme ci-dessus, puis fondu avec saturation croissante Opérations LED (mode direct)

Si le preset courant n’est pas le mode LED direct, un effet LED direct temporaire est appliqué.

# Effacer toutes les LED rpi-keyboard-config leds clear # Définir une couleur globale (plusieurs formats) rpi-keyboard-config leds set --colour red rpi-keyboard-config leds set --colour "128,255,255" # HSV rpi-keyboard-config leds set --colour "#FF0000" # Hex RGB rpi-keyboard-config leds set --colour "rgb(255,0,0)" # RGB # États LED courants rpi-keyboard-config leds get # États LED sauvegardés (EEPROM) rpi-keyboard-config leds get-saved # Sauvegarder / recharger la conf LED rpi-keyboard-config leds save<br><br>rpi-keyboard-config leds load Contrôle LED individuel # Par index rpi-keyboard-config led set &lt;index&gt; --colour &lt;couleur&gt; # Par position matrice (ligne,colonne) rpi-keyboard-config led set &lt;row&gt;,&lt;col&gt; --colour &lt;couleur&gt; # Exemples rpi-keyboard-config led set 5 --colour blue rpi-keyboard-config led set 2,3 --colour green rpi-keyboard-config led set 10 --colour "170,255,255" Réinitialisations # Réinitialiser presets et LEDs directes rpi-keyboard-config reset-presets # Réinitialiser le keymap par défaut rpi-keyboard-config reset-keymap Formats de couleur acceptés Noms : red, green, blue, yellow, cyan, magenta, white, orange, purple, pink HSV (par défaut) : 128,255,255 (teinte, saturation, valeur) Hex RGB : #FF0000 RGB explicite : rgb(255,0,0) (avec le préfixe rgb()) Liste des keycodes QMK # Lister tous les keycodes rpi-keyboard-config list-keycodes # Filtrer par catégorie rpi-keyboard-config list-keycodes --category basic rpi-keyboard-config list-keycodes --category modifiers # Rechercher par nom (insensible à la casse) rpi-keyboard-config list-keycodes --filter "slash" Démos et jeux # Flappy Bird sur les LED (500+) rpi-keyboard-config game # Motif LED aléatoire (500+) rpi-keyboard-config random-leds Utilisation de la bibliothèque Python Initialisation from RPiKeyboardConfig import RPiKeyboardConfig # Initialiser le clavier keyboard = RPiKeyboardConfig() Informations clavier # Modèle et variante print(f"Model: {keyboard.model}") # "PI500" ou "PI500PLUS" print(f"Variant: {keyboard.variant}") # "ISO", "ANSI" ou "JIS" # Version de firmware version = keyboard.get\_firmware\_version() print(f"Firmware: {version[0]}.{version[1]}.{version[2]}") # Plan ASCII du keymap (couche 0) ascii\_map = keyboard.get\_ascii\_keycode\_map(layer=0)<br><br>print(ascii\_map) Keymap en Python # Lire un keycode keycode = keyboard.get\_keycode(matrix=[2, 3], layer=0) print(f"Key at [2,3]: {keycode}") # Écrire un keycode (ex. 'A') keyboard.set\_keycode(matrix=[2, 3], layer=0, keycode=4) # Lister toutes les touches all\_keynames = keyboard.get\_all\_keynames(layer=0) for data in all\_keynames: pos = data['position'] print(f"Key r{pos[0]} c{pos[1]}: {data['keycode']} -&gt; {data['name']}") # Réinitialiser le keymap keyboard.reset\_keymap() Déverrouillage & monitoring # Statut de sécurité<br><br>unlocked, unlock\_in\_progress, unlock\_keys = keyboard.get\_unlock\_status() if not unlocked: print("Unlocking keyboard...") keyboard.unlock() # État de la matrice (touches pressées) if unlocked: active\_keys = keyboard.get\_switch\_matrix\_state() print(f"Pressed: {active\_keys}") # Verrouiller keyboard.lock() LED en Python (500+) Opérations de base # Basculer en mode LED direct keyboard.set\_led\_direct\_effect() # Par index (HSV: H,S,V) keyboard.set\_led\_by\_idx(idx=5, colour=(0, 255, 255)) # Rouge keyboard.set\_led\_by\_idx(idx=6, colour=(85, 255, 255)) # Vert keyboard.set\_led\_by\_idx(idx=7, colour=(170, 255, 255)) # Cyan # Par position matrice keyboard.set\_led\_by\_matrix(matrix=[2, 3], colour=(42, 255, 255)) # Orange # Envoyer les mises à jour au clavier keyboard.send\_leds() # Effacer toutes les LED keyboard.rgb\_clear() Opérations avancées # États LED courants current\_leds = keyboard.get\_current\_direct\_leds() for i, (h, s, v) in enumerate(current\_leds): print(f"LED {i}: HSV({h}, {s}, {v})") # Informations individuelles led\_info = keyboard.get\_led\_info(idx=5) print(f"LED 5: {led\_info}") # Toutes les LED (config) all\_leds = keyboard.get\_leds() for led in all\_leds: print(f"LED {led.idx}: matrix={led.matrix}, colour={led.colour}") # Sauvegarder / charger en EEPROM keyboard.save\_direct\_leds() keyboard.load\_direct\_leds() # Lire les LED sauvegardées saved\_leds = keyboard.get\_saved\_direct\_leds() Teinte et luminosité globales (Python) # Teinte globale current\_hue = keyboard.get\_hue() keyboard.set\_hue(85) # Luminosité globale current\_brightness = keyboard.get\_brightness() keyboard.set\_brightness(128) Effets & presets (Python) # Effets pris en charge &amp; effet courant effects = keyboard.get_supported_effects() current_effect = keyboard.get_current_effect() # Créer / appliquer un preset from RPiKeyboardConfig.keyboard import Preset from RPiKeyboardConfig.effects import get_vial_effect_id solid_effect_id = get_vial_effect_id("solid color") red_preset = Preset( effect=solid_effect_id, speed=128, hue=0, # Rouge sat=255, # Saturation max val=255, # Luminosité max fixed_hue=True, startup_animation="START_ANIM_B_FADE_VAL" ) keyboard.set_preset(0, red_preset) keyboard.set_current_preset_index(0, save_index=True) # Lire / revenir au preset preset = keyboard.get_preset(0) keyboard.revert_to_saved_preset() # Reset presets &amp; LEDs directes keyboard.reset_presets_and_direct_leds() Référence QMK

La bibliothèque supporte les keycodes QMK standard. Listez-les via la commande ci-dessus, ou consultez la documentation QMK : docs.qmk.fm/#/keycodes.

Un exemple : le drapeau Français #!/usr/bin/env python3 # ============================================================ # Nom : clavier_drapeau_francais.py # Version : 1.0.3 # Auteur : framboise314 # Licence : MIT # Objet : Afficher le drapeau français (bleu-blanc-rouge) # en trois bandes verticales 1/3 - 1/3 - 1/3 # Matériel : Raspberry Pi 500+ (LED RGB intégrées) # Dépend : rpi-keyboard-config (lib Python incluse) # ============================================================ from RPiKeyboardConfig import RPiKeyboardConfig # ---- Couleurs HSV (H,S,V) ---- BLEU = (170, 255, 255) BLANC = (0, 0, 255) ROUGE = (0, 255, 255) def initialiser_clavier(): """Retourne un objet clavier prêt pour le mode LED direct.""" clavier = RPiKeyboardConfig() clavier.set_led_direct_effect() return clavier def lire_matrice_leds(clavier): """Récupère la liste des LED avec leurs positions matrice.""" return clavier.get_leds() def bornes_colonnes(leds): """Renvoie la colonne min et max du clavier.""" cols = [led.matrix[1] for led in leds] return min(cols), max(cols) def couleur_pour_colonne(col, col_min, col_max): """Retourne la couleur selon la bande verticale (BLEU | BLANC | ROUGE).""" etendue = col_max - col_min + 1 tiers = etendue / 3.0 idx = (col - col_min) + 0.0001 # évite les bords ambigus if idx &lt; tiers: return BLEU elif idx &lt; 2 * tiers: return BLANC else: return ROUGE def appliquer_drapeau(clavier, luminosite=None, sauvegarder=False): """Applique le drapeau français sur les LEDs.""" leds = lire_matrice_leds(clavier) col_min, col_max = bornes_colonnes(leds) if luminosite is not None: clavier.set_brightness(int(luminosite)) for led in leds: col = led.matrix[1] couleur = couleur_pour_colonne(col, col_min, col_max) clavier.set_led_by_idx(idx=led.idx, colour=couleur) clavier.send_leds() if sauvegarder: clavier.save_direct_leds() def main(): # Réglez ici si besoin luminosite_globale = 255 # 0..255 (None pour ne pas toucher) clavier = initialiser_clavier() appliquer_drapeau( clavier, luminosite=luminosite_globale, sauvegarder=sauvegarde_eeprom ) print("Drapeau français appliqué (BLEU | BLANC | ROUGE).") if __name__ == "__main__": main() Afficher la matrice (ASCII) directement en ligne de commande rpi-keyboard-config info --ascii

Ça imprime le layout du clavier sous forme de « matrice » ASCII.

Lister tous les keycodes (par position matrice), au besoin avec la couche :

rpi-keyboard-config key get-all # couche 0 par défaut rpi-keyboard-config key get-all --layer 1 # exemple autre couche

Vidéo

Conclusion

Le Raspberry Pi 500+ n’est pas un simple gadget pour passionnés : c’est un véritable mini-PC complet, pensé pour offrir confort d’utilisation et fiabilité au quotidien. Certains pourront juger son prix relativement élevé par rapport aux Raspberry Pi traditionnels. Pourtant, il faut rappeler que cette machine intègre d’origine 16 Go de RAM LPDDR4x et un SSD NVMe de 256 Go, deux composants qui transforment radicalement l’expérience utilisateur.

Face à de nombreux mini-PC du marché, parfois séduisants mais souvent limités (voir l’analyse des inconvénients sur Neozone), le Pi 500+ a l’avantage d’une conception maîtrisée de bout en bout par la Fondation Raspberry Pi. Vous profitez ainsi d’un produit pensé pour durer, parfaitement documenté, et soutenu par une vaste communauté.

En définitive, le Raspberry Pi 500+ s’adresse à celles et ceux qui recherchent un mini-ordinateur robuste, évolutif et immédiatement opérationnel, sans compromis sur la mémoire ou le stockage.

En deux mots

Oui, le prix du Raspberry Pi 500+ peut sembler élevé face à certains mini-PC x86.
Mais il se justifie si vous visez des usages makers :

le GPIO accessible, l’intégration fluide avec Linux, le format tout-en-un avec clavier mécanique, une **excellente efficacité énergétique **pour un fonctionnement continu.

En revanche, pour des besoins de jeux vidéo récents, de virtualisation lourde ou de rendu 3D intensif, un mini-PC/PC x86 plus puissant restera plus adapté.

Acheter le Pi500+ chez Kubii :

Pi500+ seul 204€ : https://www.kubii.com/fr/4822-raspberry-pi-500-plus.html
Pi500+ version kit 225€ : https://www.kubii.com/fr/4823-kit-raspberry-pi-500-plus.html

– Sources : Changer le SSD, intervenir sur le clavier - Notice officielle du Pi500+ - https://docs.qmk.fm/keycodes

https://www.framboise314.fr/raspberry-pi-500-plus-16go-nvme/