Nous avons le plaisir d’annoncer le retour de Pandora-Box, notre station blanche de décontamination de supports USB. Le projet repart sur une base entièrement nouvelle, et nous voulons recueillir vos avis avant d’écrire les premières lignes du nouveau code.

Pourquoi une réécriture ?

Pandora-Box s’appuyait jusqu’ici sur Pandora du CIRCL pour l’analyse des fichiers, ainsi que sur des moteurs comme Comodo, qui ne sont plus maintenus sous Linux. La cible Raspberry Pi s’est par ailleurs révélée trop lente face à des supports réels. Plutôt que de contourner ces limites, nous avons choisi de repartir sur des bases saines.

Le nom reste, mais la prochaine version de Pandora-Box ne dépendra plus de Pandora. L’objectif, lui, ne change pas : proposer une station blanche libre, auditable et durcie, alternative crédible aux solutions commerciales pour les environnements sensibles comme la santé, l’industrie ou l’administration publique.

Ce qui reste, ce qui change

Conservés et refondus : la machine à états, la détection USB avec pyudev, le montage (désormais strictement en lecture seule), la quarantaine, le mode administrateur en curses, la journalisation (qui passe au JSON structuré) et le service systemd.

Les nouveautés :

  • 🔌 Pipeline d’analyse à base de plugins : ClamAV, YARA-X (YARA Forge + signature-base), empreintes MalwareBazaar, et CIRCL Hashlookup sous forme de filtre de Bloom hors ligne pour ignorer les fichiers connus comme sains
  • 🛡️ Image minimale durcie (Debian 13, construite avec mkosi) : racine en lecture seule, dm-verity, Secure Boot avec UKI, mises à jour A/B, USBGuard contre les attaques BadUSB, chaque analyseur isolé avec bubblewrap
  • 📴 Hors ligne par défaut, avec des mises à jour de signatures signées (en ligne via un canal en liste blanche, ou depuis une clé USB signée pour les stations isolées)
  • 🖥️ Matériel de référence : Lenovo ThinkCentre reconditionné (x86_64), écran tactile 7" et boîtier imprimé en 3D, publié en matériel libre
  • 📄 Analyse avancée (phases ultérieures) : oletools, pdfid, extraction contrôlée des archives, capa, et désarmement et reconstruction de contenu avec Dangerzone
  • 📊 Gestion de parc : export SIEM, reçus d’analyse, serveur central optionnel, intégration avec Mercator
  • ✅ Assurance : modèle de menace, fuzzing, audit externe, correspondance avec NIS2 et ISO 27001 (mesure 7.10)

Pandora-Box sera distribuée uniquement sous forme d’image complète durcie, et non comme un paquet à installer sur un système existant. La feuille de route complète est disponible dans le fichier ROADMAP.md.

Nous avons besoin de vous

Pour orienter les choix de conception, nous aimerions avoir votre avis sur plusieurs questions :

  1. Verdict « suspect » : la politique par défaut doit-elle bloquer le support ou seulement avertir l’utilisateur ?
  2. Matériel : quels modèles de ThinkCentre (ou d’autres PC compacts) utilisez-vous déjà ou avez-vous en stock ? Quels écrans tactiles 7" fonctionnent bien sous Linux ?
  3. Moteurs : quels moteurs de détection ou jeux de règles aimeriez-vous voir sous forme de plugins ?
  4. Votre contexte : où déployez-vous (ou prévoyez-vous de déployer) une station blanche, et que manque-t-il aux solutions que vous utilisez aujourd’hui ?
  5. Langues : l’interface sera disponible en français, anglais, allemand et néerlandais. Qui souhaite aider pour d’autres traductions ?

Comment participer

  • 💬 Répondez à la discussion sur GitHub avec vos retours, cas d’usage et idées
  • 🐛 Ouvrez des issues sur le dépôt du projet
  • 🧑‍💻 Les contributions sont les bienvenues sur le moteur d’analyse, le durcissement de l’image, l’interface de la borne, la conception du boîtier et la documentation

Vous envisagez de déployer une station blanche dans votre organisation ? Contactez-nous — nous serons ravis d’échanger sur vos besoins.