Catalogue
Guide d'achat
Cette gamme rassemble des ThinkPad reconditionnés, préparés pour un système durci — chiffrement intégral du disque (LUKS), au choix Qubes OS, Tails ou une base Debian durcie. Contrairement aux téléphones, le niveau de confiance dépend ici fortement du modèle, parce qu'il se joue au niveau du firmware. C'est le point de décision principal : jusqu'où voulez-vous remonter la chaîne de confiance sous le système d'exploitation.
Le X1 Carbon G8 permet Coreboot et Heads, avec démarrage mesuré et TOTP — c'est le choix si votre menace principale est l'attaque « evil-maid » ou la compromission du firmware. Le T14 G3 AMD n'a pas d'Intel ME et offre un bon équilibre performance / ouverture, sans démarrage mesuré. Le X1 Carbon G11 est le matériel le plus récent, mais conserve son firmware constructeur : Coreboot et Heads n'y sont pas disponibles, et l'Intel ME de cette génération n'est pas neutralisable — nous ne prétendrons pas le contraire. Sur le G11, la défense principale devient la compartimentation Qubes. Résultat contre-intuitif mais honnête : le modèle le plus cher a moins de protections de démarrage que le plus ancien.
Notre atelier installe le système et le chiffrement, pose un sceau anti-tamper lorsque le modèle le permet, et flashe le firmware là où c'est supporté. La pile d'assistance managée (RustDesk, FMD, push) est réservée aux téléphones Android : sur ordinateur portable, le support passe par les canaux chiffrés génériques (SimpleX, Signal, PGP, ticket anonyme). Chaque fiche liste aussi les limites — par exemple, en veille moderne les clés restent en mémoire : éteignez complètement l'appareil.
Côté paiement, chaque prix se décline sur quatre rails : Monero (−30 %, le plus mis en avant), Bitcoin/Lightning (−5 %), espèces à la remise en main propre (−10 %, sous plafond légal) et carte. Les ordinateurs sont reconditionnés puis durcis à la commande, avec un délai d'assemblage indiqué sur chaque fiche ; nous ne conservons aucune donnée personnelle superflue, et le suivi de commande se fait sans compte, à partir d'un simple jeton.
| ThinkPad X1 Carbon Gen 8 — durci« Confiance firmware maximale »665 € Monero950 € carte | ThinkPad T14 Gen 3 AMD — durci« Sans Intel ME »1 015 € Monero1 450 € carte | ThinkPad X1 Carbon Gen 11 — durci« Matériel récent »1 463 € Monero2 090 € carte | |
|---|---|---|---|
| Différences | |||
| Démarrage mesuré + TOTP | Heads + TOTP | ||
| Firmware libre (Coreboot) | Coreboot | si supporté*perConfig | |
| Sans Intel ME | AMD | ||
| Élément sécurisé | TPM | dTPM 2.0 | |
| Compartimentation (Qubes) | Qubes | Qubes | Qubes |
| Scellé anti-tamper posé |
Plus cher ne veut pas dire plus sûr : le modèle récent conserve son firmware constructeur là où le plus ancien offre un démarrage mesuré.
Menace n° 1 = evil-maid / firmware → X1C G8. Refus d'Intel ME et besoin de perf → T14. Matériel récent et compartimentation Qubes en défense → X1C G11.
« Matériel récent »
Un ThinkPad X1 Carbon Gen 11 Intel 13e génération (NVMe 1 To) préparé pour la compartimentation sous Qubes OS. Le firmware propriétaire est conservé — cette génération n'est prise en charge ni par Coreboot ni par Heads — le durcissement se fait donc au niveau de l'OS, pas du firmware.
« Sans Intel ME »
ThinkPad T14 Gen 3 AMD durci : Ryzen Pro (pas d’Intel ME), chiffrement intégral du disque, Qubes OS / Tails / Debian durci. Le bon compromis performances/sécurité.
« Confiance firmware maximale »
ThinkPad X1 Carbon Gen 8 durci : Coreboot + Heads (measured boot relié au TPM), code TOTP au démarrage, sceau anti-tamper. Qubes OS ou Tails. Reconditionné, voie « léger & abordable ».
