Flipper Zero: Her şeyi hackleyebilen cep boyutunda çok amaçlı alet (ve hükümetlerin neden ondan nefret ettiği)

TikTok'ta 19 yaşında birinin, barmen kumandayı ararken turuncu plastik bir alet kullanarak bar televizyonunun kanalını değiştirdiğini izledim. Bu video 12 milyon kez izlendi. Sonra Kanada hükümetinin, sözde araba hırsızlığında kullanıldığı gerekçesiyle bu aleti yasaklamak istediğini açıkladığını izledim. Ardından Amazon'un ürünü mağazasından kaldırdığını izledim. Sonra da bu aleti üreten şirketin 2023 yılında 80 milyon dolar gelir elde ettiğini bildirdi.

Flipper Zero destanına hoş geldiniz. Sızma test uzmanları ve teknoloji meraklıları için cep boyutunda bir çok amaçlı hackleme aracı olan bu ürün, 169 dolara satılıyor. Birinin iPhone'u jailbreak yapabileceğini keşfetmesinden bu yana en tartışmalı tüketici elektroniği ürünü. Politikacılar, arabaları çaldığını düşündükleri için (aslında çalmıyor) ondan nefret ediyor. TikTok ise kızılötesi sinyallerle aptalca şakalar yapabildiği için onu seviyor. Ve tüm bu gürültünün altında, güvenlik uzmanlarının işlerini yapma biçimini değiştiren gerçekten kullanışlı bir açık kaynak kodlu araç yatıyor.

İşte bu cihazın gerçekte ne yaptığı, sosyal medyanın size ne söylerse söylesin kesinlikle ne yapamadığı ve tüm hükümetlerin ekranında çizgi film yunus bulunan bir cihaz yüzünden neden çıldırmış olduğu.

Flipper Zero nedir: şeyleri kırmayı seven teknoloji meraklıları için donanım.

Tartışmaları bir kenara bırakırsak, Flipper Zero kablosuz protokoller ve erişim kontrol sistemleri için taşınabilir çok amaçlı bir cihazdır. Temelde radyo sinyalleri için bir İsviçre çakısı. RFID rozetlerini okur. NFC kartlarını kopyalar. Sub-GHz uzaktan sinyallerini yakalar ve yeniden oynatır. Menzilindeki her TV'ye kızılötesi kodlar gönderir. Tüm bunları, LCD ekranında piksel sanatıyla yapılmış bir yunus bulunan, şişman bir şeker çubuğu büyüklüğündeki bir cihazdan yapar.

Alex Kulagin ve Pavel Zhovner, 2020 yılında Kickstarter kampanyasını başlattılar. Hedeflerinin yaklaşık 10 katı olan 4,8 milyon dolar topladılar. Flipper Devices Inc. ilk cihazları 2022'de gönderdi. 2025 yılına kadar bir milyondan fazla cihaz sattılar.

169 dolar karşılığında şunları elde edersiniz:

Yön tuşları ve küçük ekranı, onu 90'ların Tamagotchi'sine benzetiyor. Bu kasıtlı bir durum. Yunus maskotu, cihazı kullandıkça evrim geçiriyor. Ne kadar çok kod yazarsanız, yunusunuz o kadar mutlu oluyor. Saçma mı? Evet. Hacker topluluğu için harika bir pazarlama stratejisi mi? Kesinlikle.

Flipper Zero'nun gerçekte neler yapabileceği

Her bir modülü tek tek inceleyelim çünkü 169 dolarlık bir cihaz için gerçekten etkileyici özelliklere sahip.

GHz altı radyo. CC1101 anteni, 300 ile 928 MHz arasındaki frekanslarda sinyal alır ve iletir. Bu, garaj kapısı açıcılarını, hava istasyonlarını, uzaktan kumandalı kapıları, kablosuz kapı zillerini, sabit kod kullanan araba anahtarlıklarını ve düzinelerce diğer radyo protokolünü kapsar. Flipper'ı uzaktan kumandaya doğrultursunuz, sinyali yakalarsınız, kaydedersiniz ve daha sonra tekrar oynatırsınız. İnsanların orijinal uzaktan kumandalarını kaybettikten sonra apartman komplekslerindeki kapıları kontrol etmek için bunu kullandıklarını gördüm.

13,56 MHz frekansında NFC. Flipper Zero, temassız kartları (toplu taşıma kartları, otel anahtarları, ofis rozetleri, ödeme kartları (kısmen)) okuyabilen dahili bir NFC modülüne sahiptir. Bu kartların bazılarını taklit ederek klon görevi görebilir. NFC modülü, MIFARE Classic, NTAG ve diğer birçok etiket türüyle çalışır.

125 kHz RFID. Eski erişim kartları, anahtarlıklar ve bina giriş kartları genellikle 125 kHz kullanır. Flipper bunları okur, saklar ve taklit eder. Ofisinizdeki giriş kartı okuyucusuna yaklaşın, kartınız yerine Flipper'ınızı dokundurun ve kapı açılır. Giriş kartınızı unuttuğunuzda kullanışlıdır. Ayrıca güvenlik testleri için de faydalıdır.

Kızılötesi. Flipper'da dahili bir kızılötesi verici ve alıcı bulunur. TV'ler, klimalar, projektörler, ses çubukları, set üstü kutular için devasa bir kızılötesi kod veritabanı önceden yüklenmiştir. Herhangi bir TV'ye doğrultun ve çalışan bir kod bulana kadar deneyin. Bu özellik TikTok'ta viral oldu, insanlar halka açık yerlerde TV'leri kapatıyor. Zararsız ama sinir bozucu.

iButton ve 1-wire. Bazı binalarda metal düğmelere benzeyen kontak anahtarları kullanılır. Flipper, iButton konektörü aracılığıyla bunları okur ve taklit eder. Eski bir teknoloji ama hala yaygın olarak kullanılıyor.

BadUSB. Flipper'ı USB üzerinden bir bilgisayara takın ve klavye gibi davranmasını sağlayın. Önceden yazılmış komut dosyalarını otomatik olarak yazabilir ve hedef makinede komutları çalıştırabilir. Sızma test uzmanları bunu, fiziksel bir USB saldırısının bir iş istasyonunu ne kadar hızlı bir şekilde tehlikeye atabileceğini göstermek için kullanır. Komut dosyaları, USB Rubber Ducky'nin kullandığı dil olan Ducky Script'i kullanır.

GPIO pinleri. Flipper, harici modülleri, sensörleri ve hata ayıklama araçlarını bağlamanıza olanak tanıyan GPIO pinlerine sahiptir. Video oyun modülü (bir Raspberry Pi Pico eklentisi), onu taşınabilir bir oyun konsoluna dönüştürür. WiFi geliştirme kartı, bir ESP32 çipi aracılığıyla ağ tarama yetenekleri ekler. GPIO arayüzü, Flipper'ı temel donanımın asla tasarlanmadığı şekillerde genişletilebilir hale getirir.

Bluetooth. BLE desteği, Flipper'ın telefonlar ve diğer Bluetooth cihazlarıyla iletişim kurmasını sağlar. Bu modül, Eylül 2023'te Midwest FurFest'te birilerinin Bluetooth Düşük Enerji (BLE) spam saldırıları göstererek ödeme terminallerini ve daha da önemlisi bölgedeki bazı tıbbi cihazları aksatmasının ardından dikkat çekti.

Flipper Zero'nun yapamadığı şeyler (TikTok'un söylediklerinin aksine)

Sosyal medyada yaratılan abartılı tanıtımlar, Flipper'ı evrensel bir hackleme aracı gibi gösterdi. Ancak öyle değil. İşte yapamadığı şeyler:

Modern arabaları çalamaz. Daha yeni araçlar, her tuş vuruşunun benzersiz bir şifreli sinyal ürettiği kayan kodlar kullanır. Kayan bir kodu yakalamak ve tekrar oynatmak işe yaramaz çünkü araç zaten sıradaki koda geçmiştir. 1990'lar ve 2000'lerin başlarındaki sabit kod sistemleri savunmasızdır. 2005'ten sonra üretilen ve kayan kod kullanan herhangi bir araç mı? Flipper ona dokunamaz.

Şifrelenmiş NFC kartlarını kopyalayamaz. Modern kredi kartları, yeni toplu taşıma kartları ve çoğu güvenli erişim kartı şifrelenmiş iletişim kullanır. Flipper, UID'yi (genel tanımlayıcı) okuyabilir ancak çalışan bir kopya oluşturmak için gereken özel anahtarları çıkaramaz. MIFARE DESFire, yeni MIFARE Plus ve dinamik CVV'li banka kartları güvenlidir.

Kutudan çıktığı haliyle WiFi ağlarını hackleyemez. Temel Flipper'da WiFi donanımı bulunmamaktadır. ESP32 geliştirme kartı eklentisi ağları tarayabilir ve temel saldırılar gerçekleştirebilir, ancak buna WiFi hackleme demek biraz abartılı olur.

Modern şifrelemeyi kıramaz. WPA3 şifrelerini kaba kuvvetle kıramaz. AES korumalı sinyalleri çözemez. Flipper, şifrelenmemiş veya zayıf şifrelenmiş protokollerle çalışır. Düzgün bir şekilde güvenliği sağlanmış her şey onun erişiminin dışındadır.

TikTok'un gösterdikleri ile cihazın gerçekte yaptıkları arasındaki fark, en çok tartışmaya yol açan şeydir. Bir gencin restoran televizyonunu kapatması harika bir içerik oluşturur. Bir sızma testi uzmanının, bir şirket ofisinin bina erişimi için hala şifrelenmemiş 125 kHz'lik rozetler kullandığını bulması ise asıl önemli olan kullanım örneğidir.

Tartışma konusu: yasaklar, el koymalar ve hükümetin paniği

Flipper Zero, kilit açma topluluğunun yaygınlaşmasından bu yana en tartışmalı tüketici donanımı ürünü oldu. Hükümetler bunu iyi karşılamadı.

2022 yılının sonlarında, ABD Gümrükleri sınırda 15.000 adet Flipper Zero cihazına el koydu. Cihazlar sonunda serbest bırakıldı, ancak bu el koyma işlemi, kolluk kuvvetlerinin cihazı potansiyel bir tehdit olarak gördüğünün sinyalini verdi. FCC'nin cihazla ilgili herhangi bir sorunu yoktu. Gümrükler sadece daha yakından incelemek istedi.

Amazon, Nisan 2023'te Flipper Zero'yu "kart kopyalama cihazı" olarak sınıflandırarak pazar yerinden yasakladı. Bu neredeyse kesinlikle yanlıştı. Flipper, özel anahtarları veya dinamik CVV'leri çıkaramadığı için kart verilerini anlamlı bir şekilde kopyalayamaz. Ancak Amazon'un algoritmaları inceliklere aldırış etmiyor ve cihaz platformdan kayboldu.

Brezilya'nın telekomünikasyon düzenleyici kurumu Anatel, 2023 yılında Flipper Zero sevkiyatlarına el koyarak ithalatı tamamen engelledi. Brezilyalı alıcılar cihazı edinmek için alternatif yollar bulmak zorunda kaldılar.

İngiltere'deki Gatwick Havalimanı, Eylül 2023'te bir yolcudan Flipper Zero adlı bir oyun konsoluna el koydu. Havalimanı güvenliği, bunun bir tür silah olduğunu düşünmüş gibi görünüyor. Konsol 10 santimetre uzunluğunda ve ekranında çizgi film tarzı bir yunus bulunuyor.

En büyük hesaplaşma Şubat 2024'te Kanada'nın Flipper Zero'yu araba hırsızlığıyla ilişkilendirerek yasaklama planlarını açıklamasıyla yaşandı. Kanada hükümetinin gerekçesi şuydu: Araba hırsızlığı artıyordu, Flipper Zero radyo sinyalleriyle etkileşime girebiliyordu, bu nedenle Flipper Zero bir araba hırsızlığı aracıydı. Güvenlik araştırmacıları, Flipper'ın son 20 yılda üretilen herhangi bir arabada kullanılan şifreleri alt edemeyeceğine dikkat çekti. Yasaklama önerisi daha sonra cihazın kendisini değil, "yasa dışı kullanımını" hedef alacak şekilde geri çekildi.

Ağustos 2023'te Güney Dakota Füzyon Merkezi tarafından yayınlanan bir polis bülteninde, aşırılıkçıların Flipper Zero'yu elektrik altyapısına saldırmak için kullanabileceği uyarısı yapılmıştı. Flipper Devices ise modern elektrik kontrol sistemlerinin Flipper'ın ilettiği sinyallere karşı savunmasız olmadığını belirterek yanıt vermişti.

Tüm bu paniğin ortak bir noktası var: zaten düzenleyen teknolojiyi anlamayan düzenleyiciler. Flipper Zero, zaten var olan güvenlik açıklarını ortaya çıkarıyor. Yeni güvenlik açıkları yaratmıyor. Ofisiniz 2005 yılından kalma şifrelenmemiş RFID kartları kullanıyorsa, bu ofisinizin güvenlik sorunudur. Bunu ortaya çıkaran aracı yasaklamak kilidi tamir etmez.

Özel yazılım: Unleashed, Momentum ve topluluk

Resmi Flipper Zero yazılımı bilinçli olarak muhafazakardır. Bölgesel frekans kısıtlamalarına saygı duyar ve rahatsız edici olarak sınıflandırılabilecek özelliklerden kaçınır. Bazı kullanıcılar daha fazlasını istedi.

Unleashed yazılımı, bölgesel frekans kilitlerini kaldırır ve standart yazılımda bulunmayan alt GHz protokolleri ekler. Momentum (eski adıyla Xtreme) ise ek özellikler, animasyonlar ve topluluk tarafından katkıda bulunulan protokol desteğiyle daha da ileri gider. Bu özel yazılımlar açık kaynaklıdır, topluluk tarafından sürdürülür ve Flipper'ın USB bağlantısı üzerinden kolayca kurulabilir.

Flipper uygulama mağazası (Temmuz 2023'te piyasaya sürüldü) başka bir katman daha ekliyor. Üçüncü taraf geliştiriciler, cihazın işlevselliğini genişleten uygulamalar geliştiriyor. Bluetooth tarama araçlarından oyun emülatörlerine ve özel RFID yardımcı programlarına kadar her şey mevcut. MicroSD kart yuvası, ek verileri, özel komut dosyalarını ve aygıt yazılımı yedeklerini saklıyor.

Bu açık kaynak ekosistemi, Flipper'ı 500-3000 dolar arasında değişen fiyatlara sahip tescilli sızma testi donanımlarından ayıran şeydir. Profesyonel bir Proxmark RFID aracı 300 dolardan fazla tutar. Yazılım tanımlı radyo için bir HackRF One 300 dolardır. Bir USB Rubber Ducky 80 dolardır. Flipper, bu araçların yaptıklarının %80'ini 169 dolarlık tek bir pakette yapar ve sürekli olarak daha fazlasını ekleyen bir topluluğa sahiptir.

Discord ve Reddit'teki Flipper topluluğu, en aktif donanım korsanlığı topluluklarından biridir. İnsanlar her gün özel komut dosyaları, protokol keşifleri ve kullanım senaryosu kılavuzları paylaşıyor. Resmi ve özel yazılım arasındaki tartışma, jailbreak ve stok iOS tartışmasına benziyor. Resmi yazılım sizi her yerde yasal tutar ve şirketten düzenli güncellemeler alır. Özel yazılım ise şirketin bilerek dahil etmemeyi tercih ettiği araçları size sunar. Çoğu ciddi kullanıcı ilk hafta içinde Unleashed veya Momentum'u yükler. Risk: Özel yazılım, resmi sürümün farklı ülkelerde uyumlu kalmasını sağlayan frekans kısıtlamalarını kaldırdığı için yerel radyo düzenlemelerini ihlal edebilir.

Flipper Zero'yu kimler kullanıyor (ve kimler kullanmalı)?

TikTok şakacılarını unutun. İşte bir tane sahibi olmanın faydaları:

Sızma test uzmanları bunu her çalışmada kullanıyor. Fiziksel güvenlik değerlendirmeleri, kimlik kartı kopyalarının, kablosuz erişim noktalarının ve USB saldırı yüzeylerinin test edilmesini gerektirir. Flipper, özel ekipman dolu bir çanta taşımaya gerek kalmadan bu üçünü de kapsar.

BT yöneticileri kendi sistemlerini test ederler. Ofis NFC kart sistemi şifreleme kullanıyor mu? Konferans salonu AV sistemi herhangi bir kızılötesi komutu kabul ediyor mu? Birisi lobi terminaline gidip BadUSB komut dosyasını çalıştırabilir mi? Flipper bu soruları dakikalar içinde yanıtlıyor.

Öğrenciler ve hobi meraklıları radyo protokolleri, donanım korsanlığı ve gömülü sistemler hakkında bilgi edinirler. Flipper, gerçek güvenlik kavramlarını öğretmek için yeterli derinliğe sahip bir eğitim aracıdır. Sadece GPIO pinleri bile onu elektronik projeler için temel bir mantık analizörü ve protokol hata ayıklayıcısına dönüştürür.

Ev otomasyonu meraklıları, tek bir cihazla birden fazla markanın cihazlarını kontrol edebiliyor. Garajınız 315 MHz, tavan vantilatörünüz kızılötesi ve ön kapınız 433 MHz kullanıyorsa, Flipper bunların hepsini yönetebiliyor.

Uzaktan kumandalarını kaybeden insanlar. Ciddi anlamda. Flipper'ı televizyonunuzun kızılötesi kodları ve kapınızın Sub-GHz sinyaliyle programlayın, bir daha asla başka bir uzaktan kumandaya ihtiyacınız olmayacak.

Nesnelerin interneti (IoT) güvenlik açıklarını inceleyen güvenlik araştırmacıları bunu hızlı bir saha tarayıcısı olarak kullanıyor. Bir binada dolaşın ve 30 dakika içinde menzil içindeki her kablosuz protokolü haritalandırın: hangi kartlar şifreleme kullanıyor, hangi kapılar eski RFID teknolojisini kullanıyor, hangi konferans salonlarında güvenli olmayan AV sistemleri var. Bu denetim eskiden bir sırt çantası dolusu ekipman gerektiriyordu. Şimdi bir cebe sığıyor.

Satış rakamları her şeyi anlatıyor. 2025 yılına kadar bir milyondan fazla ürün sevk edildi. Gelir 2022'de 25 milyon dolardan 2023'te 80 milyon dolara yükseldi. Bu büyüme, sadece TikTok'taki dürtüsel satın alımlardan değil, sızma testi, eğitim ve hobi pazarlarındaki gerçek talepten kaynaklandı. Bu ürünlerin çoğu, Burp Suite lisansları ve Kali Linux kurulumlarının yanında kurumsal güvenlik bütçelerinde yerini aldı.

Jordan Morris

Jordan Morris is an AI expert with over a decade of experience and the author of a widely-read blog focused on artificial intelligence. His content spans a range of topics—from the ethics of machine learning to real-world applications of neural networks in business. Known for his clear writing and deep insights, Jordan has become a trusted voice in the AI community, appealing to both newcomers and seasoned professionals alike.