Une boîte (verte) anti boîte noire

Si vous êtes tombé ici, alors vous n’avez pas pu passer à côté de la loi sur le renseignement (et dans le cas contraire, je me permet de vous suggérer cet article) et il est possible que vous vous demandiez comment éviter de passer par ces boîtes noires. Rassurez-vous, c’est impossible (euh, je suis pas rassuré là…). En effet, votre trafic passera forcément par un FAI, et ceux-ci sont contraints par les lois (heureusement) donc même un FAI indépendant ne peut pas refuser l’installation de petits espions sur son réseau. Bref, voici une solution que je peux vous proposer, qui n’est pas révolutionnaire mais dont je n’ai jamais vu de réalisation similaire. Cela vaut ce que ça vaut, jugez-en par vous même:

Je suis parti, comme souvent, à base de Raspberry Pi. Un routeur tel que les TP-Link MR3020 et autres peuvent faire l’affaire sans problème (c’est peut être même mieux, seulement je n’en ai pas).

Ensuite, je mixte plusieurs principes entre eux:
– Point d’accès (hotspot)
– Répéteur Wifi
– Piratebox
– VPN et serveur DNS

Principe de fonctionnement

Vous l’aurez peut être compris, dans l’utilisation cela va se passer comme ceci:
– Je branche l’alimentation de ma petite boîte
– Via mon ordinateur, je me connecte au réseau Wifi qui vient d’apparaître (fonction hotspot)
– Pour internet: je la connecte via Ethernet à une box, ou je configure via une appli web le nom et mot de passe de mon Wifi (d’où la fonction répéteur)
– Toutes mes connexions sont chiffrées, et anonymisées via une serveur de rebond en Islande par exemple (fonction VPN + DNS)
– De surcroît, un cloud local est installé pour échanger des fichiers / message de manière chiffrée et anonyme (fonction piratebox)

Pour faire simple, le Raspberry sert de relais entre votre ordinateur connecté via Wifi à ce dernier, et une box internet connecté via ethernet ou via le Wifi émanent de cette même box.

Détails techniques

Bref, je veux du plug & play, de manière à sécuriser n’importe quelle connexion et de n’importe où. Quelques détails techniques: le Raspberry Pi est transformé en point d’accès, sur lequel on retrouve différent services:

– Parefeu (Iptables) permettant de bloquer la majorité des flux indésirables.
– Serveur DNS (Unbound) directement connecté aux serveurs racines, de manière chiffrée via DNSSEC (impossible de retracer les sites que vous visitez).
– Redirection des noms de domaines en local comme Google, Amazon, Apple etc… pour limiter les fuites d’information depuis un Android / iOS ou autre.
– Une connexion VPN (OpenVpn) est établie avec un VPS (chez Edis) en Islande, de façon à anonymiser et chiffrer vos flux. Les lois Islandaises protègent les données numériques des utilisateurs.
– Un système de Cloud est installé en local (Seafile), pour pouvoir partager un environnement de travail et échanger des fichiers, discuter etc… là aussi via des communications chiffrées.

Un petit schéma très simplifié, si vous préférez une explication graphique:

Ce petit bijou marche à merveille, c’est petit, fiable (une perte de bande passante quasi négligeable: ~10Kb/s) par contre, c’est un peu lent à démarrer, il faut parfois attendre 5 – 6 minutes avant d’avoir la connexion. Ce n’est pas grand chose, mais quand on veut checker rapidement quelque chose sur internet, c’est raté. De plus, j’imagine qu’on ne peut pas connecter des dizaines de stations au même moment… Sinon, la stabilité du Rapsberry Pi m’étonne, je peux le laisser plusieurs semaines branché sans problème. Pour information, je n’ai pas donné de détails sur les configs tout simplement car c’est un “melting pot” de projets déjà réalisés et expliqués sur ce site. Dans la catégorie “Raspberry Pi”, vous trouverez tout ce dont vous avez besoin pour réaliser cette petite chose!

Si vous n’avez pas saisi grand chose à ce que je viens de dire, mais que vous aimez le projet, vous pouvez me contacter pour plus d’informations, ou pour avoir une image .iso de l’OS à installer directement sur votre matériel.

Coût total du projet: ~50€ de matériel + 10€ / mois de location VPS.