PandoraBox : une borne libre pour décontaminer les clés USB sur un mini-PC reconditionné, encore signée avec des clés de développement

Le 15 octobre 2026, LinuxFr a publié la présentation de PandoraBox, une borne libre de décontamination de clés USB. Le principe est celui d’une « station blanche » : un poste isolé et dédié, sur lequel on branche une clé avant de la confier à un ordinateur de travail, afin d’en retirer les fichiers malveillants. Le code est publié sous licence GPL-3.0 et le boîtier, imprimable en 3D, sous licence CERN-OHL-S v2. La version présentée est une réécriture complète : elle ne dépend plus du projet Pandora du CIRCL, sur lequel s’appuyait la première version de PandoraBox.

Pourquoi un tel outil ? Le dépôt du projet le rappelle d’emblée : les clés USB restent une porte d’entrée courante vers des systèmes d’information par ailleurs bien protégés, parce qu’elles passent d’une organisation à l’autre, se branchent sur des ordinateurs non gérés et franchissent les réseaux isolés. Le conseil classique, que relayait déjà Que Choisir en juin 2019 à propos d’une alerte sur des clés piégées déposées dans des boîtes aux lettres (une arnaque très relayée dans les médias, mais que le magazine jugeait non attestée), tient en une phrase : « Le premier bon réflexe consiste à ne pas brancher une clé USB inconnue. » Mais un cabinet, une entreprise ou une mairie reçoit aussi des clés attendues, venues d’un fournisseur ou d’un partenaire. C’est pour ces cas que PandoraBox se présente comme une alternative libre, auditable et durcie aux bornes commerciales.

Comment la borne analyse une clé

Le fonctionnement se veut simple. L’utilisateur insère sa clé, la borne analyse chaque fichier avec plusieurs moteurs de détection, puis affiche sur son écran tactile ceux qu’elle juge dangereux. Elle ne les efface que lorsque l’utilisateur touche l’écran pour confirmer : la dépêche le résume d’une formule, « Rien n’est supprimé sans l’utilisateur ». Chaque passage laisse une trace, puisque chaque analyse donne un rapport au format JSON, un format texte structuré que d’autres logiciels savent relire. Une organisation peut ainsi conserver l’historique des clés contrôlées, ce qui compte dès qu’il faut rendre compte de ses pratiques de sécurité.

Pour repérer les menaces, PandoraBox combine des approches complémentaires. La première compare l’empreinte de chaque fichier, une sorte de signature calculée à partir de son contenu, à des listes de référence : MalwareBazaar fournit des empreintes SHA-256 de logiciels malveillants déjà connus. Le service Hashlookup du CIRCL joue le rôle inverse et aide à repérer les fichiers connus, grâce à un filtre de Bloom, une structure de données compacte qui permet de tester très vite si un élément figure dans une très grande liste. La combinaison des deux permet de trier rapidement ce qui est déjà répertorié, dans un sens comme dans l’autre.

Viennent ensuite l’antivirus libre ClamAV, qui examine aussi le contenu des archives, et YARA-X, un moteur de recherche de motifs, utilisé avec les règles du recueil YARA Forge. S’y ajoutent des heuristiques, c’est-à-dire des règles de bon sens automatisées : elles signalent les programmes déguisés en documents (double extension, type réel différent de l’extension affichée) et les PDF qui contiennent du JavaScript ou des actions de lancement. Surtout, la borne applique un principe de prudence que le projet appelle « fail closed » : un fichier qui n’a pas pu être analysé entièrement n’est jamais déclaré sain, qu’il s’agisse d’une archive chiffrée, d’une limite dépassée ou d’une erreur d’un moteur. De même, une partition illisible, chiffrée ou dont le système de fichiers est inconnu, rend la clé entière non vérifiée.

Un système verrouillé de bout en bout

La borne elle-même est conçue pour résister à une clé malveillante. Son système est une image construite avec l’outil mkosi à partir des paquets de Debian 13, réduite à ce qui sert à l’analyse. Le système de fichiers principal est en lecture seule et protégé par dm-verity, un mécanisme qui vérifie que rien n’a été modifié sur le disque. Le démarrage sécurisé (Secure Boot) utilise la clé de l’image, enrôlée à la place de celles de Microsoft. USBGuard n’autorise que le stockage de masse : selon le projet, une clé qui se fait passer pour un clavier afin de taper des commandes à l’insu de l’utilisateur, attaque connue sous le nom de BadUSB, est ainsi bloquée. Chaque moteur tourne dans son propre processus, isolé avec bubblewrap sous un utilisateur dédié sans privilèges. Selon la dépêche, l’outil d’audit Lynis attribue à l’ensemble un indice de durcissement de 73, sans avertissement.

Côté entretien, la borne fonctionne hors ligne par défaut. Ses jeux de signatures, c’est-à-dire les listes de menaces dont se servent les moteurs, sont signés : le logiciel vérifie à chaque démarrage un jeu de signatures signé Ed25519. Les mises à jour, des signatures comme du système, s’installent depuis une clé USB sur une borne isolée, ou passent par un canal dédié. Le système suit un schéma A/B, avec deux versions installées côte à côte : après 3 démarrages ratés, systemd-boot revient à la version précédente. Une borne reliée au réseau peut aussi envoyer ses journaux à un SIEM, l’outil qui centralise les alertes de sécurité d’une organisation, comme Wazuh, Elastic, Graylog ou Splunk.

Pas besoin d’un boîtier commercial : l’image de PandoraBox tourne sur tout PC x86_64 UEFI doté d’au moins 2 Go de mémoire.

Le matériel ne demande pas d’investissement lourd. La borne de référence est un Lenovo ThinkCentre M720q Tiny reconditionné, équipé d’un Core i5-9400T, associé à un écran tactile Waveshare de 7 pouces (1024x600) et à un boîtier imprimé en 3D. D’après la dépêche, l’image fonctionne sur tout ordinateur x86_64 UEFI, c’est-à-dire un PC à processeur Intel ou AMD 64 bits qui démarre en mode UEFI. Pour une petite structure, c’est l’occasion de donner une seconde vie à un mini-PC sorti du parc plutôt que d’acheter un boîtier fermé.

Ce qui manque encore

Le projet ne cache pas qu’il est encore en développement actif. Point le plus important : selon la dépêche, l’image et les jeux de signatures ne sont signés pour l’instant qu’avec des clés de développement. La feuille de route précise que la clé de signature officielle du projet, son stockage sur un support matériel et le calendrier de publication restent à définir. Or toute la chaîne de confiance des mises à jour repose sur ces clés. Tant qu’elles ne sont pas fixées, PandoraBox relève à nos yeux davantage du banc d’essai que de l’équipement à installer à l’accueil d’un hôpital ou d’une mairie.

La feuille de route liste aussi ce qui manque encore à l’analyse. Les documents Office doivent à terme être examinés avec oletools, et les exécutables avec capa, une option désactivable pour préserver les performances. Le projet prévoit également un « désarmement et reconstruction de contenu » avec Dangerzone, c’est-à-dire reconstruire le document plutôt que de se contenter d’y chercher une menace. Un serveur central facultatif, pour suivre un parc de bornes, est aussi annoncé. Enfin, un audit de sécurité externe et une correspondance avec les exigences de la directive NIS2 et de la norme ISO 27001 figurent parmi les étapes à venir.

D’autres pistes libres

PandoraBox n’est pas la seule piste libre. Dans les commentaires de la dépêche, un lecteur cite usbsas, développé par l’équipe de sécurité du CEA : le projet se présente comme un outil et un cadre logiciel libre, sous licence GPLv3, pour lire de façon sécurisée des supports de stockage USB non fiables. À une question sur l’ajout d’antivirus commerciaux, l’auteur de la dépêche, qui répond au nom du projet, explique que les moteurs fonctionnent comme des greffons : il faut écrire un connecteur, ce qui est faisable dès que l’éditeur fournit sous Linux un scanner à la demande et que sa licence le permet. Une organisation qui dispose déjà d’un antivirus sous contrat pourrait donc, à terme, l’y brancher.

Pour une TPE, une association, un cabinet médical ou une petite collectivité, une station blanche répond à un besoin concret : contrôler les clés qui arrivent de l’extérieur sans les brancher directement sur un poste de travail. PandoraBox montre qu’on peut le faire avec du logiciel libre et un mini-PC reconditionné, et sa conception prudente mérite d’être saluée. Tant que ses clés de signature définitives ne sont pas en place, nous le voyons plutôt comme un projet à suivre et à tester que comme une solution clés en main. En attendant, les bons réflexes restent les mêmes : ne pas brancher une clé inconnue, garder ses systèmes à jour et sauvegarder ses données. Si vous voulez évaluer l’intérêt d’une telle borne pour votre structure, nous pouvons vous aider à y voir clair dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.