Le Raspberry Pi 4 ou 5 avec une image Kali Linux arm64 constitue aujourd’hui la base la plus compacte pour un lab de pentest portable. Les images officielles publiées en 2025-2026 intègrent NetworkManager par défaut, ce qui règle la majorité des problèmes historiques de connectivité Wi-Fi en headless. Nous détaillons ici les choix techniques qui séparent un mini-lab fonctionnel d’un gadget inutilisable au premier audit réseau.
Kernel arm64 et pilotes Wi-Fi sur Raspberry Pi 5 : ce qui change pour le pentest
Les anciennes images Kali pour Pi 3 embarquaient le kernel Re4son, nécessaire à l’époque pour le support de l’injection de paquets Wi-Fi. Sur Pi 4 et Pi 5, le noyau arm64 fourni par les images officielles Kali supporte nativement la plupart des chipsets utilisés en audit wireless.
Le point critique reste le choix de l’adaptateur Wi-Fi externe. Le chipset interne du Pi (Broadcom) ne gère ni le mode monitor ni l’injection de paquets. Un adaptateur USB avec chipset Atheros ou Realtek compatible avec aircrack-ng est non négociable. Sans lui, aucune capture de handshake, aucun deauth, rien.
Nous recommandons de vérifier la compatibilité du chipset avant l’achat en consultant la liste maintenue par aircrack-ng. Un adaptateur non supporté transforme le lab en machine de bureau Debian surpondérée.
NetworkManager en headless : configurer le Wi-Fi sans écran
Avec les images récentes, nmcli remplace wpa_supplicant comme outil de configuration réseau par défaut. Pour un déploiement headless, la commande nmcli device wifi connect SSID password MOT_DE_PASSE suffit via une connexion SSH sur Ethernet.
Si le Pi doit fonctionner sans câble Ethernet dès le premier boot, il faut pré-configurer un fichier de connexion NetworkManager directement sur la partition rootfs de la carte SD avant insertion. Cette manipulation n’est documentée nulle part chez les concurrents, mais c’est elle qui rend le lab réellement autonome dès la mise sous tension.
Flash de l’image Kali sur carte microSD : les erreurs qui corrompent le système
Le processus de flash semble trivial, mais la majorité des échecs de boot proviennent de trois causes précises :
- Une carte microSD bas de gamme avec des vitesses d’écriture aléatoires – une carte de classe A2 minimum évite les corruptions de filesystem sous charge I/O intensive (scans Nmap, écritures de logs)
- L’utilisation de l’outil dd sans le flag
bs=4Met sanssyncfinal, ce qui laisse des données en cache non écrites sur la carte - Le téléchargement d’une image sans vérification du checksum SHA256 – une image corrompue en transit produit un système qui boot partiellement puis freeze
Nous utilisons systématiquement Balena Etcher ou dd avec vérification post-écriture. La vérification du hash prend quelques secondes et épargne des heures de diagnostic.
Dimensionner la carte SD pour un usage pentest réel
Kali installe par défaut un environnement de bureau Xfce et une sélection d’outils. L’image de base occupe environ un tiers d’une carte de 32 Go. Après installation des paquets supplémentaires (Burp Suite Community, Metasploit, wordlists type rockyou), l’espace se remplit vite.
Une carte de 64 Go offre une marge confortable. Au-delà, le gain est marginal sauf si le lab stocke des captures réseau volumineuses ou des dumps mémoire.
Sécurisation du mini-lab Kali : un pentest-box non durcie est un risque
Un Raspberry Pi sous Kali connecté à un réseau avec les identifiants par défaut (kali/kali) représente une surface d’attaque ouverte. C’est le premier geste après le boot : changer le mot de passe, désactiver le login root via SSH, et générer une paire de clés.
Configurer le pare-feu local avec iptables ou nftables n’est pas optionnel sur un outil de pentest. Nous limitons le trafic entrant au seul port SSH, et uniquement depuis le sous-réseau de management. Tout le reste est drop par défaut.
Chiffrement de la carte SD
Sur un lab portable destiné à des audits en déplacement, la carte SD contient potentiellement des données sensibles (captures réseau, credentials récoltées pendant les tests). LUKS sur la partition rootfs ajoute une couche de protection en cas de perte ou de vol du matériel.
L’activation de LUKS sur un Pi nécessite un initramfs modifié et un déverrouillage au boot via clavier ou SSH (dropbear-initramfs). La procédure est plus complexe que sur un laptop, mais elle est la seule réponse sérieuse au risque de fuite de données d’audit.
Cadre légal du pentest en France : article 323-1 et obligations NIS2
Tout pentest sans autorisation écrite préalable est un délit, même réalisé avec des intentions éthiques. L’article 323-1 du Code pénal sanctionne l’accès ou le maintien frauduleux dans un système d’information. Les analyses juridiques récentes soulignent que l’utilisation d’outils automatisés ou d’intelligence artificielle dans un cadre de pentest non mandaté aggrave l’exposition pénale.
La transposition de la directive NIS2 en droit français (loi dite de Résilience) renforce les exigences pour les organisations qui réalisent ou commanditent des tests d’intrusion. Le mandat doit préciser le périmètre, la durée, les techniques autorisées et les conditions de restitution des données collectées.
Monter un mini-lab Kali sur Raspberry Pi pour de l’entraînement personnel sur son propre réseau domestique reste parfaitement légal. Scanner le Wi-Fi du voisin, même « pour voir », ne l’est pas.
Kali, Parrot ou NetHunter : quelle distribution pour un Raspberry Pi de pentest
Parrot Security propose aussi des images ARM, avec une approche plus orientée vie privée et anonymat. L’environnement de bureau est plus léger, ce qui peut convenir à un Pi 4 avec peu de RAM. En revanche, la couverture d’outils offensifs de Kali reste plus large et mieux maintenue sur ARM.
NetHunter, la déclinaison mobile de Kali, cible principalement les appareils Android. Son portage sur Pi existe mais reste expérimental et moins stable que l’image Kali ARM standard.
Pour un lab de pentest réseau et Wi-Fi sur Raspberry Pi, Kali arm64 reste le choix par défaut. Parrot devient pertinent si le Pi sert aussi de poste de travail quotidien avec des besoins de cloisonnement (conteneurs, sandbox intégrée).
Le Raspberry Pi transformé en station Kali tient dans une poche, consomme quelques watts et passe inaperçu sur un bureau. La discrétion physique du dispositif ne dispense pas de la rigueur sur le durcissement système et le cadre juridique. Un lab de pentest, même miniature, reste un outil offensif qui exige les mêmes précautions qu’une infrastructure professionnelle.
