Il se tient généralement dans l’entrée. Ou à la cave. Un appareil plat, tiède, aux LED clignotantes, apporté par le fournisseur lors de la signature du contrat. On le branche, on relie le Wi-Fi, on l’oublie. Des années plus tard, il tourne encore — même firmware, même mot de passe, mêmes failles qu’au premier jour.

Personne au foyer ne sait ce qui s’y passe. Personne ne peut le découvrir. L’appareil qui garde le passage entre l’Internet public et tout ce qui compte pour vous — trafic bancaire, appareils familiaux, caméras, le tunnel VPN vers le télétravail — est une boîte noire. Et le bilan de ces boîtes noires est, franchement, catastrophique.

Une chronique des défaillances

Il n’est pas nécessaire de fouiller longtemps pour trouver de quoi dresser les cheveux sur la tête. L’histoire des équipements chez le client — les fameux CPE, Customer Premises Equipment — est une suite de scandales qui suscitèrent brièvement l’alarme avant d’être oubliés à la génération d’appareils suivante.

En 2016, le ver Mirai a capté des centaines de milliers d’appareils, simplement en essayant des identifiants d’usine et des mots de passe par défaut que personne n’avait modifiés. Les routeurs en faisaient partie. Ces mêmes appareils furent alors mobilisés en armée contre des infrastructures critiques — l’attaque contre le prestataire DNS Dyn a couché simultanément Twitter, Reddit, Netflix et GitHub.

En 2018, VPNFilter est apparu. Pas un coup de chance de script kiddie, mais un attaquant professionnel, attribué à un État. Touchés : des routeurs SOHO de Linksys, MikroTik, Netgear, TP-Link et QNAP. Les estimations parlaient de plus d’un demi-million d’appareils infectés dans 54 pays. Le malware survécu aux redémarrages, pouvait détruire le firmware, intercepter le trafic, collecter des identifiants et transformer les appareils en relais anonymes pour d’autres attaques. Le FBI saisit un domaine de commande. Le message était sans ambiguïté : quiconque exploite un routeur grand public exploite potentiellement un soldat sous les ordres d’autrui.

Avant et après : Misfortune Cookie (2014), une faille dans le logiciel RomPager enfoui dans d’innombrables passerelles FAI, rendant plus de douze millions d’appareils rootables à distance. Le ver TheMoon contre Linksys. Les interfaces TR-069/CWMP qui permettent aux fournisseurs d’administrer les appareils à distance — et dont l’ouverture restait grande ouverte à quiconque trouvait l’interface. UPnP, qui ouvrait automatiquement des ports vers l’extérieur et rendait des millions de réseaux attaquables. Procédures de la FTC contre ASUS (2016, mandat d’audit de vingt ans) et D-Link (plainte 2017), parce que le marketing promettait « Advanced Security » tandis que les appareils manquaient de fonctions élémentaires de protection.

Et ce n’est que la face accidentelle.

Failles accidentelles — et portes dérobées intentionnelles

Maintenant, cela devient inconfortable. Toute vulnérabilité n’est pas un accident.

En 2013, un chercheur a découvert un service caché sur le port TCP 32764 dans des dizaines de modèles de routeurs du fabricant Sercomm — des appareils vendus sous les marques Linksys, Netgear, Cisco, Diamond et d’autres, environ deux millions d’unités. Le service acceptait des commandes en clair avec privilèges root. Sans authentification. Télécommande intégrée, simplement oubliée à la désactivation. Suivirent des rapports sur des comptes codés en dur dans maints appareils grand public et PME, sur des interfaces de débogage laissées dans les images de production, sur des canaux de mise à jour signés mais opaques.

S’y ajoutent des avertissements politiques qu’on ne peut écarter d’un revers de main. Les États-Unis, l’Australie et plusieurs États européens ont banni de leurs infrastructures critiques les équipements de certains fabricants — invoquant une possible influence étatique. Prouvé au sens forensic strict, ce ne l’est pas toujours. Mais la question de savoir si un appareil possède une porte arrière dont la clé n’appartient qu’au fabricant — et peut-être à un État — ne peut être répondue avec un firmware fermé. Point. Et c’est précisément le problème.

Avec du code divulgué, on peut chercher. Avec un firmware fermé, on ne peut qu’espérer. Espérer qu’il n’existe pas un deuxième port 32764. Espérer que l’image de mise à jour ne contient vraiment que ce que le journal des modifications annonce. Espérer que personne n’a laissé un accès d’urgence que personne n’a documenté. Fonder la sécurité sur l’espoir n’est pas une stratégie. C’est un jeu de hasard.

Pourquoi « ce n’est qu’un routeur » est mortel

Encore et encore, j’entends : « Mais derrière ce routeur, il n’y a que des appareils privés. »

C’est précisément l’erreur de raisonnement. Le routeur n’est pas un périphérique marginal. C’est la porte par laquelle tout passe. Chaque e-mail, chaque session bancaire, chaque visioconférence avec le comptable, chaque connexion au réseau d’entreprise depuis le télétravail — tout circule devant cet appareil. Qui contrôle le routeur contrôle tout le flux de données. Il peut infléchir la résolution DNS et rediriger des sites bancaires vers des serveurs falsifiés. Il peut injecter des certificats et briser silencieusement le chiffrement. Il peut lancer un mouvement latéral vers le réseau interne — vers le NAS, les caméras, les objets domotiques non protégés, les postes disposant d’accès entreprise. Et il peut utiliser l’ensemble comme tête de pont pour des attaques qui ne concernent pas le propriétaire, mais le rôle de l’appareil comme relais de botnets.

Dans un contexte d’entreprise, le CPE est la lisière de toute l’organisation. Une petite succursale avec un routeur opérateur mal entretenu n’est pas un risque isolé — c’est le chemin d’entrée.

Nouveaux ennemis, vieux appareils

La situation se tend. Deux évolutions rendent le statu quo plus pressant.

Premièrement : les appareils de périphérie sont devenus la cible préférée des attaquants alignés sur des États. Les routeurs SOHO sont peu surveillés, rarement mis à jour et offrent une longue durée de présence. Exactement ce que recherchent ceux qui travaillent en logique de persistance. Les grandes campagnes des dernières années visaient non pas des centres de données, mais les boîtiers sans surveillance en lisière de réseau.

Deuxièmement : les outils permettant de trouver et d’exploiter des vulnérabilités deviennent de consommation courante. Scanners automatisés, génération d’exploits assistée par IA, systèmes offensifs autonomes — la barrière baisse. Qui nécessitait jadis des mois pour analyser un firmware obtient désormais en quelques heures des pistes sur des anomalies. La défense, elle, attend toujours le correctif du fabricant, qui souvent ne vient jamais. Nombre de modèles ne reçoivent plus aucune mise à jour après deux ou trois ans — formellement fin de support, en pratique un acte de décès.

Ce déséquilibre est structurel. L’attaquant doit gagner une fois. Le défenseur doit gagner à chaque fois — avec une boîte noire qu’il ne peut ni lire ni corriger.

Les alternatives raisonnables

Elles existent. Et elles ne sont pas exotiques. Quatre familles de systèmes constituent la seule réponse rationnelle quand on prend au sérieux le contrôle du passage réseau.

OpenWrt. Né précisément du moment où, en 2003, le Linksys WRT54G, firmware Linux inclus, dut être publié sous GPL — une histoire qui montre ce que copyleft appliqué peut libérer. OpenWrt remplace le firmware de routeurs grand public compatibles par un système Linux ouvert. Configuration lisible, gestionnaire de paquets inclus, mises à jour régulières, interface web LuCI. Si vous disposez déjà du matériel adéquat, vous sauvez l’investissement et gagnez un appareil que vous comprenez.

OPNsense. Fondé sur FreeBSD, né en 2014 comme scission de pfSense, avec une interface plus moderne, une configuration par défaut dure et une politique de releases active. Embarque IDS/IPS via Suricata, WireGuard et IPsec, gestion des certificats et journalisation. Tourne sur mini-appliances x86 ou machines virtuelles. Pour beaucoup, l’entrée la plus raisonnable dans un « vrai » système de pare-feu.

pfSense. Également FreeBSD, le parent plus âgé et très répandu. Mature, productif dans d’innombrables environnements PME, avec haute disponibilité, multi-WAN et documentation exhaustive. Ceux qui cherchent un système stable et éprouvé le trouvent ici.

Pare-feu manuel sur Linux ou BSD. Pour tous ceux qui veulent le contrôle total : nftables sur le noyau Linux (successeur d’iptables, partie de netfilter) ou pf sur OpenBSD — configurés sur un hôte durci qui sert également de routeur. Jeu de règles versionné en code, auditable, reproductible. Transparence maximale, responsabilité maximale. Qui emprunte cette voie comprend chaque paquet qui passe.

Ces systèmes sont l’alternative raisonnable parce qu’ils sont ouverts. Parce qu’on peut lire le jeu de règles. Parce que les mises à jour arrivent, parce qu’une communauté se tient derrière eux. Parce qu’on n’a pas à espérer — on peut savoir.

C’est plus facile qu’on ne pense

L’objection va ainsi : « C’est pour les professionnels. Bien trop compliqué pour un utilisateur normal.»

Faux. Le seuil d’entrée est plus bas que sa réputation.

Un mini-PC hors service, un thin client récupéré d’un bureau, une petite appliance x86 pour cent euros — tous deviennent des pare-feux sérieux dès qu’OPNsense ou pfSense y tourne. Un Raspberry Pi suffit aux petits réseaux domestiques. Quiconque possède déjà un routeur grand public compatible flashe OpenWrt en dix minutes et conserve le matériel. Un commutateur administré bon marché avec fonctionnalité VLAN segmente le réseau en zones invité, IoT et travail — pas de sorcellerie.

Et l’on n’a pas à taper des lignes de commande. LuCI, les interfaces web d’OPNsense et pfSense guident à travers l’installation, les règles, les tunnels VPN. La ligne de commande est facultative — qui la veut gagne en précision ; qui ne la veut pas atteint quand même son but. Un week-end d’apprentissage, une documentation solide, une communauté serviable. Après quoi on exploite un système que l’on comprend — pendant des années, souvent des décennies.

Pourquoi le grand public devrait y réfléchir sérieusement

La sécurité ne doit pas demeurer un luxe de spécialistes. Les paramètres d’usine livrés par les opérateurs ne sont pas optimisés pour la défense, mais pour un minimum d’appels au support. Ce n’est pas méchanceté — c’est un incitant économique qui structurellement joue contre l’utilisateur.

Le coût d’une intrusion — vol d’identité, comptes vidés, caméras compromises, données d’enfants en des mains étrangères, une entreprise attaquée via le télétravail — n’a aucun rapport avec l’effort d’un week-end. Et collectivement : tant que des millions de routeurs resteront utilisables comme soldats de botnet, nous sommes tous affectés, y compris ceux bien sécurisés par ailleurs. L’hygiène numérique n’est pas une affaire privée. Quiconque durcit son routeur ne se protège pas seulement lui-même — il retire un soldat potentiel d’une armée dirigée contre d’autres.

Quand cela s’agrandit : administrabilité centrale

À petite échelle, un seul appareil suffit. Quiconque exploite plusieurs sites — une PME, une organisation avec des annexes, un établissement résidentiel à plusieurs segments — a besoin de davantage : une flotte de pare-feux pilotée conjointement.

C’est précisément ici qu’OpenWrt, OPNsense et pfSense déploient leur seconde force. Configuration en code, déployée via Ansible ou Puppet. Journalisation centrale dans Graylog ou Wazuh. Supervision via Prometheus, Grafana ou LibreNMS. VPN maillés via WireGuard ou IPsec reliant les sites. Provisionnement sans intervention qui intègre un nouvel appareil sur un site distant à la structure existante dès le premier démarrage. Coordination de la réponse aux incidents sur tous les nœuds. Ce n’est pas de la magie noire — c’est une pratique établie. Essayez donc avec un assortiment de boîtiers opérateur disparates.

Ce que cela signifie pour libcom.de

Ici, cela devient concret. Les systèmes de pare-feu et la sécurité réseau sont un domaine de spécialité de libcom.de. Depuis plus de deux décennies, je — Jochen Demmer — planifie, construis et exploite des solutions ouvertes de pare-feu et de routage, de l’appareil unique durci jusqu’à la flotte administrée centralement sur plusieurs sites.

Important : ce ne sont pas des solutions sur étagère. Chaque environnement a ses propres exigences — sa topologie, son paysage de menaces, ses contraintes de conformité, sa trajectoire de croissance. Une solution uniformisée protège tout aussi peu que le routeur opérateur qu’elle entend remplacer. C’est pourquoi le travail ne commence pas avec un catalogue de produits mais par un inventaire : qu’est-ce qui tourne, que protège-t-on, que manque-t-il, et où doit-on aller ?

Pour les petits environnements, cela signifie souvent : un appareil OpenWrt ou OPNsense durci, proprement segmenté, documenté, remis. Pour les plus grands : un système de pare-feu distribué avec administration centrale, configuration en code, supervision, alertage et un chemin de migration clair. Nous planifions, implémentons, documentons et formons — et nous ne restons pas le goulot d’étranglement. Ceux qui nous quittent peuvent maintenir le système en exploitation, parce qu’il est compréhensible, standardisé et traçable.

Si vous vous demandez si votre passage réseau actuel est encore contemporain, ou si vous cherchez une solution au-delà du prochain boîtier opérateur : écrivez à contact@libcom.de. Nous dressons un inventaire honnête. Sans pression commerciale. Avec le souci de ce qui dure à long terme.

Le routeur en lisière de votre réseau n’est pas un appareil neutre. C’est l’endroit par lequel tout passe — et où l’on regarde le moins. Il est temps de changer cela.

Les systèmes de pare-feu ouverts ne sont pas une mesure pour spécialistes. Ils sont la réponse raisonnable à une boîte noire restée trop longtemps sans examen.

Note : Cet article offre une orientation générale et ne remplace pas un examen de sécurité individuel. Les affirmations concernant des produits ou fabricants précis reposent sur des incidents publiquement connus ; toutes les indications sont fournies sans garantie.