Flipper Zero: кишеньковий мультиінструмент, який зламує все (і чому уряди його ненавидять)

Я дивився, як 19-річний хлопець у TikTok перемикав канал на телевізорі в барі за допомогою помаранчевого пластикового гаджета, поки бармен шукав пульт дистанційного керування. Дванадцять мільйонів переглядів цього кліпу. Потім я дивився, як уряд Канади оголосив про заборону гаджета, оскільки його нібито використовували для крадіжки автомобілів. Потім я дивився, як Amazon прибрав його зі свого магазину. Потім я дивився, як компанія, що стоїть за ним, все одно повідомила про дохід у 80 мільйонів доларів у 2023 році.

Ласкаво просимо до саги Flipper Zero. 169 доларів за кишеньковий хакерський мультиінструмент для пентестерів та гіків. Найсуперечливіший продукт побутової електроніки з тих пір, як хтось здогадався, що можна зробити джейлбрейк iPhone. Політики ненавидять його, бо вважають, що він краде машини (це не так). TikTok любить його, бо можна робити дурні розіграші за допомогою інфрачервоних сигналів. А під усім цим шумом прихований справді корисний інструмент з відкритим кодом, який змінив те, як фахівці з безпеки виконують свою роботу.

Ось що він насправді робить, чого він абсолютно не може робити, незалежно від того, що вам кажуть соціальні мережі, і чому цілі уряди збожеволіли через пристрій із мультяшним дельфіном на екрані.

Що таке Flipper Zero: обладнання для гіків, які люблять ламати речі

Якщо відкинути суперечки, то Flipper Zero — це портативний багатофункціональний пристрій для бездротових протоколів та систем контролю доступу. Швейцарський армійський ніж для радіосигналів, по суті. Зчитує RFID-значки. Клонує NFC-картки. Захоплює та відтворює сигнали дистанційного керування на частоті менше GHz. Надсилає інфрачервоні коди на кожен телевізор у зоні дії. І все це з гаджета розміром з товстий моноблок з піксельним дельфіном, що живе на його РК-екрані.

Алекс Кулагін та Павло Жовнер запустили Kickstarter у 2020 році. Зібрали 4,8 мільйона доларів, що приблизно в 10 разів перевищило їхню мету. Flipper Devices Inc. відвантажила перші пристрої у 2022 році. До 2025 року вони продали понад мільйон з них.

Ось що ви отримаєте за 169 доларів:

Спрямована панель та маленький екран роблять його схожим на тамагочі 90-х. Це зроблено навмисно. Талісман дельфіна еволюціонує в міру використання пристрою. Чим більше ви хакаєте, тим щасливішим стає ваш дельфін. Дурниці? Так. Блискучий маркетинг для хакерської спільноти? Звичайно.

Що насправді може робити Flipper Zero

Дозвольте мені розглянути кожен модуль, оскільки можливості справді вражають для гаджета вартістю 169 доларів.

Радіочастотний діапазон нижче за GHz. Антена CC1101 приймає та передає сигнал на частотах від 300 до 928 MHz. Це охоплює пристрої для відкривання гаражних воріт, метеостанції, ворота з дистанційним керуванням, бездротові дверні дзвінки, брелоки для ключів від автомобілів з фіксованими кодами та десятки інших радіопротоколів. Ви направляєте Flipper на пульт, ловите сигнал, зберігаєте його та відтворюєте пізніше. Я бачив, як люди використовували це для керування воротами у своєму житловому комплексі після втрати оригінального пульта.

NFC на частоті 13,56 МГц. Flipper Zero має вбудований модуль NFC, який зчитує безконтактні картки: проїзні квитки, ключі від готелів, офісні бейджи, платіжні картки (частково). Він може емулювати деякі з цих карток, діючи як клон. Модуль NFC працює з MIFARE Classic, NTAG та кількома іншими типами міток.

RFID 125 кГц. Старіші пропуски, брелоки та картки для входу в будівлі часто використовують 125 кГц. Flipper зчитує, зберігає та емулює їх. Підійдіть до зчитувача пропусків у вашому офісі, торкніться Flipper замість картки, і двері відчиняться. Корисно, якщо ви забули свій пропуск. Також корисно для перевірки безпеки.

Інфрачервоний. Flipper має вбудований інфрачервоний передавач та приймач. Він постачається з величезною базою даних інфрачервоних кодів для телевізорів, кондиціонерів, проекторів, саундбарів та телеприставок. Направте його на будь-який телевізор і пробуйте коди, поки один не спрацює. Ця функція стала вірусною в TikTok, люди вимикають телевізори в громадських місцях. Нешкідлива, але дратує.

iButton та 1-wire. У деяких будівлях використовуються контактні ключі, схожі на металеві кнопки. Flipper зчитує та емулює їх через свій роз'єм iButton. Стара технологія, але все ще широко використовується.

BadUSB. Підключіть Flipper до комп'ютера через USB, і він працюватиме як клавіатура. Він може автоматично вводити попередньо написані скрипти, виконуючи команди на цільовій машині. Пентестери використовують це, щоб продемонструвати, як швидко фізична USB-атака може скомпрометувати робочу станцію. Скрипти використовують Ducky Script, ту саму мову, яку використовує USB Rubber Ducky.

Контакти GPIO. Flipper має контакти GPIO, які дозволяють підключати зовнішні модулі, датчики та інструменти налагодження. Модуль відеоігор (додаток до Raspberry Pi Pico) перетворює його на портативну ігрову консоль. Плата розробки WiFi додає можливості мережевого сканування завдяки мікросхемі ESP32. Інтерфейс GPIO робить Flipper розширюваним таким чином, для якого базове обладнання ніколи не було розроблено.

Bluetooth. Підтримка BLE дозволяє Flipper зв'язуватися з телефонами та іншими пристроями Bluetooth. Цей модуль привернув увагу після того, як хтось продемонстрував спам-атаки Bluetooth Low Energy на Midwest FurFest у вересні 2023 року, порушивши роботу платіжних терміналів і, що більш серйозно, деяких медичних пристроїв у цьому районі.

Чого не може зробити Flipper Zero (незважаючи на те, що каже TikTok)

Ажіотаж у соціальних мережах зробив Flipper схожим на універсальну хакерську машину. Це не так. Ось що він не може робити:

Він не може викрасти сучасні автомобілі. Новіші транспортні засоби використовують ковзні коди, де кожне натискання клавіші генерує унікальний зашифрований сигнал. Захоплення та відтворення ковзного коду не працює, оскільки автомобіль вже перейшов до наступного коду в послідовності. Системи з фіксованим кодом 1990-х та початку 2000-х років є вразливими. Щось, виготовлене після 2005 року з ковзними кодами? Фліппер не може до нього доторкнутися.

Він не може клонувати зашифровані NFC-картки. Сучасні кредитні картки, новіші транспортні проїзні квитки та більшість безпечних пропусків використовують зашифрований зв'язок. Flipper може зчитувати UID (публічний ідентифікатор), але не може витягти закриті ключі, необхідні для створення робочого клону. MIFARE DESFire, новіші MIFARE Plus та банківські картки з динамічними CVV є безпечними.

Він не може зламувати мережі WiFi одразу після встановлення. Базовий Flipper не має обладнання для WiFi. Додаткова плата розробника ESP32 може сканувати мережі та виконувати базові атаки, але називати це зламом WiFi — це щедро.

Він не може зламати сучасне шифрування. Не підбирає паролі WPA3 методом повного перебору. Не розшифровує сигнали, захищені AES. Flipper працює з незашифрованими або слабко зашифрованими протоколами. Все, що належним чином захищено, йому недоступне.

Розрив між тим, що показує TikTok, і тим, що пристрій насправді робить, є джерелом більшості суперечок. Підліток, який вимикає телевізор у ресторані, створює чудовий контент. Пентестер, який виявляє, що корпоративний офіс досі використовує незашифровані бейджи 125 кГц для доступу до будівлі? Це той реальний випадок використання, який має значення.

Суперечка: заборони, конфіскації та паніка уряду

Flipper Zero став найсуперечливішим предметом споживчого обладнання з тих пір, як спільнота злому замків стала мейнстрімом. Уряди сприйняли його погано.

Наприкінці 2022 року митниця США вилучила на кордоні 15 000 пристроїв Flipper Zero. Зрештою їх було повернуто, але вилучення свідчило про те, що правоохоронні органи розглядають пристрій як потенційну загрозу. У Федеральної комісії зв'язку (FCC) не було до нього жодних претензій. Митниця просто хотіла розглянути його уважніше.

Amazon заборонив Flipper Zero на своєму торговому майданчику у квітні 2023 року, класифікувавши його як «пристрій для скіммінгу карток». Це майже напевно було неправильно. Flipper не може скімувати дані карток жодним осмисленим чином, оскільки він не може витягувати закриті ключі або динамічні CVV. Але алгоритми Amazon не звертають уваги на нюанси, і пристрій зник з платформи.

Бразильський регулятор телекомунікацій Anatel вилучив поставки Flipper Zero у 2023 році, повністю заблокувавши імпорт. Бразильським покупцям довелося шукати альтернативні способи отримання пристрою.

У вересні 2023 року аеропорт Гатвік у Великій Британії конфіскував у пасажира літак Flipper Zero. Охорона аеропорту, очевидно, подумала, що це якась зброя. Він має розмір 10 сантиметрів, а на екрані зображено мультяшного дельфіна.

Найбільше протистояння відбулося в лютому 2024 року, коли Канада оголосила про плани заборонити Flipper Zero, пов'язавши його з крадіжкою автомобілів. Аргументація канадського уряду: кількість крадіжок автомобілів зростає, Flipper Zero може взаємодіяти з радіосигналами, отже, Flipper Zero є інструментом для крадіжки автомобілів. Дослідники безпеки зазначили, що Flipper не може подолати рухомі коди, що використовуються в жодному автомобілі, випущеному за останні 20 років. Пропозицію про заборону пізніше було повернуто до боротьби з «незаконним використанням», а не з самим пристроєм.

У бюлетені поліції Центру злиття речовин Південної Дакоти за серпень 2023 року було попереджено, що екстремісти можуть використовувати Flipper Zero для атаки на енергетичну інфраструктуру. Компанія Flipper Devices відповіла, що сучасні системи керування живленням не вразливі до тих типів сигналів, які передає Flipper.

Вся ця паніка має спільну рису: регулятори, які все одно не розуміють технології, що її регулюють. Flipper Zero викриває вже існуючу небезпеку. Він не створює нових вразливостей. Якщо у вашому офісі використовуються незашифровані RFID-значки 2005 року, це проблема безпеки вашого офісу. Заборона інструменту, який це розкриває, не виправляє проблему замка.

Кастомна прошивка: Unleashed, Momentum та спільнота

Офіційна прошивка Flipper Zero навмисно консервативна. Вона враховує регіональні обмеження частоти та уникає функцій, які можна класифікувати як образливі. Деякі користувачі хотіли більшого.

Прошивка Unleashed видаляє регіональні частотні блокування та додає протоколи subGHz, яких немає у стандартній прошивці. Momentum (раніше Xtreme) пропонує додаткові функції, анімацію та підтримку протоколів, розроблених спільнотою. Ці кастомні прошивки мають відкритий вихідний код, підтримуються спільнотою та легко встановлюються через USB-з'єднання Flipper.

Магазин додатків Flipper (запущений у липні 2023 року) додає ще один рівень. Сторонні розробники створюють додатки, що розширюють функціональність пристрою. Все: від інструментів сканування Bluetooth до ігрових емуляторів та спеціалізованих утиліт RFID. Слот для карти microSD зберігає додаткові дані, користувацькі скрипти та резервні копії прошивки.

Ця екосистема з відкритим кодом відрізняє Flipper від власницького обладнання для тестування на проникнення, яке коштує від 500 до 3000 доларів. Професійний RFID-інструмент Proxmark коштує понад 300 доларів. HackRF One для програмно-визначеного радіо коштує 300 доларів. USB Rubber Ducky коштує 80 доларів. Flipper виконує 80% того, що роблять ці інструменти, в одному пакеті за 169 доларів, а спільнота постійно додає ще більше.

Спільнота Flipper на Discord та Reddit є однією з найактивніших спільнот хакерів обладнання. Люди щодня діляться користувацькими скриптами, відкриттями протоколів та покроковими інструкціями з використання. Дебати між офіційною та кастомною прошивкою відображають суперечку між джейлбрейком та стандартною iOS. Офіційна прошивка забезпечує легальність будь-де та регулярні оновлення від компанії. Кастомна прошивка надає вам інструменти, які компанія навмисно вирішила не включати. Більшість серйозних користувачів встановлюють Unleashed або Momentum протягом першого тижня. Ризик: кастомна прошивка може порушувати місцеві правила радіозв'язку, оскільки вона знімає обмеження частот, які забезпечують відповідність офіційної збірки вимогам різних країн.

Хто насправді використовує Flipper Zero (і хто повинен)

Забудьте про жартівників з TikTok. Ось кому вигідно мати такий додаток:

Тестери на проникнення використовують його на кожному етапі. Оцінка фізичної безпеки вимагає тестування клонів бейджів, точок бездротового доступу та поверхонь для атаки з USB. Flipper охоплює всі три аспекти, не маючи при собі сумки зі спеціалізованим обладнанням.

ІТ-адміністратори тестують власні системи. Чи використовує система NFC-бейджів у офісі шифрування? Чи приймає аудіовізуальна система конференц-залу будь-які інфрачервоні команди? Чи може хтось підійти до термінала в вестибюлі та запустити скрипт BadUSB? Flipper відповідає на ці питання за лічені хвилини.

Студенти та аматори вивчають радіопротоколи, хакінг обладнання та вбудовані системи. Flipper – це навчальний інструмент з достатньою глибиною, щоб навчити реальним концепціям безпеки. Одних лише контактів gpio перетворюють його на базовий логічний аналізатор та налагоджувач протоколів для електронних проектів.

Ентузіасти домашньої автоматизації керують пристроями різних брендів за допомогою одного гаджета. Якщо ваш гараж використовує частоту 315 МГц, стельовий вентилятор — інфрачервоний, а ваші ворота — 433 МГц, Flipper впорається з усіма ними.

Люди, які гублять пульти дистанційного керування. Серйозно. Запрограмуйте Flipper за допомогою інфрачервоних кодів вашого телевізора та сигналу SubGHz вашої воріт, і вам більше ніколи не знадобиться інший пульт.

Дослідники безпеки, які вивчають вразливості Інтернету речей, використовують його як швидкий польовий сканер. Пройдіться будівлею, і за 30 хвилин ви нанесете на карту кожен бездротовий протокол у зоні дії: які бейджі використовують шифрування, які двері працюють зі застарілими RFID, які конференц-зали мають незахищені AV-системи. Раніше для цього аудиту потрібен був рюкзак, повний спорядження. Тепер він поміщається в кишені.

Цифри продажів говорять самі за себе. До 2025 року було відвантажено понад мільйон одиниць. Виручка зросла з 25 мільйонів доларів у 2022 році до 80 мільйонів доларів у 2023 році. Це зростання відбулося завдяки реальному попиту на ринках пентестування, освіти та хобі, а не лише імпульсивним покупкам у TikTok. Багато з цих одиниць опинилися в корпоративних бюджетах на безпеку поруч із ліцензіями Burp Suite та інсталяціями Kali Linux.

Jordan Morris

Jordan Morris is an AI expert with over a decade of experience and the author of a widely-read blog focused on artificial intelligence. His content spans a range of topics—from the ethics of machine learning to real-world applications of neural networks in business. Known for his clear writing and deep insights, Jordan has become a trusted voice in the AI community, appealing to both newcomers and seasoned professionals alike.