Présentation de PandoraBox

PandoraBox est un outil gratuit conçu pour nettoyer les clés USB des fichiers potentiellement dangereux avant leur utilisation sur des systèmes sécurisés. Il fonctionne comme une borne : l'utilisateur insère une clé USB, examine les fichiers signalés et les supprime si nécessaire.

Détails de la nouvelle version

La dernière version de PandoraBox est une réécriture complète, qui ne repose plus sur le projet Pandora du CIRCL. Elle est désormais construite comme une image système durcie basée sur Debian 13, son code étant sous licence GPL-3.0 et son boîtier imprimable en 3D sous licence CERN-OHL-S v2.

Améliorations de la détection et de l'interface

La borne utilise plusieurs moteurs de détection pour identifier les fichiers dangereux et les affiche sur un écran tactile afin que l'utilisateur les confirme avant leur suppression. Elle remplace l'ancien système pypandora par une chaîne de détection plus intégrée, supprime les composants obsolètes et remplace son diaporama d'images par une véritable interface graphique.

Fonctionnalités de sécurité et d'analyse

PandoraBox utilise des outils de détection tels que MalwareBazaar, ClamAV et YARA-X, et comprend des heuristiques permettant d'identifier les fichiers malveillants déguisés en documents. Il fonctionne en mode « échec sécurisé », c'est-à-dire qu'il ne marque jamais un fichier comme sûr s'il ne peut pas l'analyser entièrement. Chaque partition de la clé USB est vérifiée, et une partition illisible entraîne le marquage de la clé comme non vérifiée.

Conception système durcie

L'image système est construite avec mkosi à partir de Debian 13 et ne comprend que les composants essentiels à l'analyse. Elle intègre une chaîne de démarrage sécurisée, des périphériques USB filtrés, aucune session utilisateur, des moteurs de détection isolés dans des bacs à sable, ainsi que des paramètres de pare-feu et de noyau conformes aux recommandations de l'ANSSI. L'interface graphique est affichée directement dans le framebuffer, sans nécessiter de serveur d'affichage ni de navigateur.

Fonctionnement et capacités de mise à jour

PandoraBox fonctionne hors ligne par défaut, et toutes les mises à jour sont livrées signées afin de garantir la sécurité. Il prend en charge les mises à jour A/B via USB ou en ligne, et les journaux peuvent être récupérés sans session utilisateur. Une version en ligne peut envoyer les journaux à un système de gestion des informations et des événements de sécurité (SIEM) à l'aide de protocoles standards.

Matériel et état du développement

La borne de référence utilise un Lenovo ThinkCentre M720q Tiny reconditionné et un écran tactile Waveshare de 7 pouces. L'image système fonctionne sur tout ordinateur x86_64 à démarrage UEFI disposant d'au moins 2 Go de mémoire. Le boîtier de bureau est imprimé en 3D d'une seule pièce. Le projet est activement en développement : les fonctionnalités principales fonctionnent comme prévu, et de futures mises à jour sont prévues.

Communauté et objectifs futurs

Le projet est ouvert aux contributions de la communauté, notamment pour tester différents matériels, améliorer les règles de détection, traduire l'interface et réaliser des revues de sécurité. Les vulnérabilités sont signalées selon une politique de sécurité définie. Le projet est hébergé sur GitHub, où sont disponibles la documentation, une feuille de route et un guide d'installation.