onsecret.
empreinte.onion

Capacités

Système & données

Chiffré au reposabsent

Les données sont chiffrées quand l'appareil est verrouillé (FBE sur téléphone, LUKS posé à l'atelier sur ordinateur).

− Ni élément sécurisé ni chiffrement du stockage.

Source

Radio & réseau

Rotation IMEI (changement de SIM)atelier onsecret

Le fork ekaii de blue-merle change l'IMEI à chaque changement de SIM. Modifier un IMEI est restreint ou illégal selon les juridictions.

− Expérimental — comportement non garanti.

Source

MAC randomisée · mimétisme OUIatelier onsecret

Les adresses MAC/BSSID sont randomisées en imitant des préfixes constructeurs courants (PR#74 du fork).

− Expérimental — comportement non garanti.

Source

Journaux volatils (tmpfs)atelier onsecret

Les journaux clients vivent en tmpfs et sont effacés à l'extinction — rien ne persiste en flash.

− Expérimental — comportement non garanti.

Source

VPN & Tor intégrésde série (amont)

WireGuard/OpenVPN · Tor

Le firmware GL.iNet intègre WireGuard/OpenVPN et un mode Tor pour tout le trafic du routeur.

Source

Détection IMSI-catcherabsent

Détection heuristique d'IMSI-catchers. Non revendiquée tant qu'elle n'est pas vérifiée dans notre fork.

Atelier & accompagnement

Installé, vérifié à l'atelieratelier onsecret

Nous flashons, vérifions l'intégrité et re-verrouillons chaque exemplaire. Pour les clés USB, nous fournissons la procédure de vérification de signature — ne nous croyez pas sur parole.

− Portage maison expérimental.

de série (amont) atelier onsecret option absent

Ce que cela ne protège pas

  • Ne vous rend pas anonyme vis-à-vis de votre opérateur : l'IMSI de votre SIM, les antennes auxquelles vous vous connectez et les journaux d'appels/données restent visibles par l'opérateur et par l'interception légale.
  • Ne protège pas le baseband : la randomisation d'IMEI ne change que l'identifiant déclaré par l'appareil. Le firmware du modem Qualcomm est fermé et pourrait être exploité ou ignorer/écraser le changement ; le baseband du E5800 diffère des modems Quectel pour lesquels blue-merle a été écrit, le comportement n'est donc pas garanti.
  • Ne protège pas contre la saisie physique, le vol ou la contrainte : un adversaire ayant l'appareil en main peut lire le stockage, forcer le déverrouillage ou vous contraindre à l'utiliser.
  • N'est pas un remplacement de Tor ou d'un VPN : il n'agit pas sur le trafic IP. Vos serveurs de destination, le DNS et tout VPN/Tor que vous choisissez voient ce qu'ils voient habituellement.
  • La détection d'IMSI-catcher est heuristique, pas une garantie : elle peut signaler un comportement cellulaire suspect mais ne distingue pas de façon fiable chaque fausse station de base, et ne peut pas en bloquer une.
  • Changer un IMEI est illégal dans certaines juridictions : activer ces fonctions peut enfreindre la loi locale ou votre contrat opérateur — c'est votre responsabilité, pas celle de l'appareil.

Ce que l'atelier fait à cet appareil

Notre pipeline

  1. Flash de notre fork ekaii de blue-merle maintenu (build V2nodep — dépendance luci-base retirée).
  2. Effacement des spools SMS : le smstools de GL inscrit IMEI/IMSI dans l'en-tête de chaque SMS reçu — nous les purgeons.
  3. Vérification non-destructive du flux de changement de SIM avant expédition.

Ce que vous pouvez nous demander

  • Mises à jour du fork sur demande.
  • Aide au flash si vous repassez en firmware d'origine.
  • Support : SimpleX / Signal / PGP.

Ce que nous ne faisons pas

  • Pas d'accès distant au routeur : aucun agent installé, rien à révoquer.
  • Aucune garantie côté IMSI ni côté opérateur.
  • Pas de conseil juridique sur le changement d'IMEI — la conformité vous incombe.

Choisir dans la gamme

GL.iNet Mudi — sans patch« Intact — à flasher vous-même »350 € Monero500 € carteGL.iNet Mudi V2 — blue-merle (ekaii)« Patché atelier — build supporté »483 € Monero690 € carteGL.iNet Mudi 7 — blue-merle (porté)ICI« 5G & Wi-Fi 7 — expérimental »553 € Monero790 € carte
Différences
Rotation IMEI (changement de SIM)*exp.
MAC randomisée · mimétisme OUI*exp.
Journaux volatils (tmpfs)*exp.
Détection IMSI-catcher
Installé, vérifié à l'atelier*exp.

Le modèle intact coûte moins cher parce que rien n'y est ajouté — à vous de le flasher.

Tout faire vous-même → stock. Comportement blue-merle éprouvé → V2. 5G / Wi-Fi 7 et l'expérimental vous va → Mudi 7.

Ce que c'est

Ce que c'est

Le Mudi 7 (GL-E5800) est le routeur de voyage de poche 5G / Wi-Fi 7 de GL.iNet : un appareil à base de Qualcomm Dragonwing avec 2 Go de RAM, 8 Go d'eMMC, double nano-SIM plus eSIM intégrée, écran tactile 2,8" et batterie amovible de 5380 mAh, tournant sous un fork GL.iNet d'OpenWrt 22.03. Nous le livrons avec notre portage communautaire de blue-merle, le paquet anti-traçage de SRLabs initialement écrit pour l'ancien Mudi GL-E750.

Positionnement honnête

blue-merle réduit la *traçabilité forensique*. Lors d'un changement de SIM volontaire, il randomise l'IMEI déclaré par l'appareil et les adresses MAC Wi-Fi/WAN, et il efface les journaux MAC clients en cache local, de sorte qu'une nouvelle SIM n'est pas trivialement liée à l'empreinte de l'appareil précédent. Il inclut aussi un ping heuristique d'IMSI-catcher (fausse station de base). C'est tout ce qu'il fait. Ce n'est pas de l'anonymat, ce n'est pas un VPN, et il ne vous cache pas de votre opérateur ni de l'interception légale.

Important : c'est un portage expérimental

L'amont blue-merle ne prend officiellement en charge que les GL-E750 et GL-E750 V2, qui utilisent des modems Quectel acceptant les commandes IMEI `AT+EGMR`. Le Mudi 7 utilise un baseband Qualcomm Dragonwing différent ; le chemin de réécriture de l'IMEI est donc réimplémenté et non vérifié en amont. SRLabs décrivent blue-merle comme « un projet de recherche » ; sur ce matériel, cette réserve est encore plus forte. Si vous voulez un build conforme à l'amont documenté et audité, choisissez plutôt un GL-E750 V2.

Usage légal uniquement

Il s'agit de matériel de confidentialité pour des acheteurs conscients de leur modèle de menace et pratiquant une confidentialité légale. Comme l'indique SRLabs, « selon votre juridiction, changer votre IMEI peut enfreindre une réglementation ou une loi locale ». Renseignez-vous sur vos règles locales avant d'activer la randomisation de l'IMEI.

Caractéristiques

ModèleGL.iNet Mudi 7 (GL-E5800)
SoC / CPUQualcomm Dragonwing MBB Gen 3 (plateforme Snapdragon X72), quad-core @ 2,2 GHz
RAM / stockage2 Go LPDDR4X / 8 Go eMMC (stockage interne fixe)
Cellulaire5G NR Sub-6 GHz, 3GPP Rel-17 NSA/SA, Cat 20 DL / Cat 18 UL (baseband Qualcomm, pas Quectel)
Wi-FiWi-Fi 7 tri-bande BE5800 (688 / 2882 / 5764 Mbps), 320 MHz, 4K-QAM
SIM / eSIM2x nano-SIM + 1 puce eSIM intégrée (double SIM double veille)
Ports / batterie1x 2,5 GbE, 2x USB-C (un en 10 Gbps data/OTG) ; batterie amovible 5380 mAh / 20,72 Wh ; écran tactile 2,8"
Firmware d'origineFork GL.iNet d'OpenWrt 22.03, Linux 5.15
Build blue-merlePortage communautaire (notre build), expérimental — l'amont srlabs/blue-merle ne prend officiellement en charge que les GL-E750 et GL-E750 V2

Après l'achat

Votre appareil arrive déjà préparé — ce guide sert si vous refaites tout vous-même ou si vous vérifiez notre travail.

Ouvrir le guide complet

Avant de commencer

Ce guide couvre notre portage expérimental de blue-merle sur le Mudi 7 (GL-E5800). Lisez d'abord le README amont de blue-merle et le tutoriel d'installation Systemli — les concepts se transposent même si ce matériel est le GL-E750.

> La légalité d'abord. SRLabs prévient : « Selon votre juridiction, changer votre IMEI peut enfreindre une réglementation ou une loi locale. » Dans plusieurs pays, modifier un IMEI est une infraction pénale, et cela peut enfreindre votre contrat opérateur. Vérifiez ce qui est légal chez vous avant d'activer la randomisation de l'IMEI. Cette boutique ne cautionne pas le contournement de l'interception légale.

Vérifiez d'abord l'appareil

  1. Achetez ou recevez le routeur, puis allumez-le sans SIM insérée.
  2. Accédez à l'interface LuCI / admin GL à `192.168.8.1` via le Wi-Fi propre de l'appareil (pas via internet).
  3. Confirmez que la chaîne de modèle indique `GL-E5800` et notez le firmware d'origine (fork GL.iNet OpenWrt 22.03, Linux 5.15).
  4. Si vous flashez un firmware, téléchargez-le uniquement depuis la page de téléchargement officielle GL.iNet et vérifiez la somme de contrôle publiée avant de flasher.

Installation du portage blue-merle

blue-merle est conçu pour s'installer hors ligne, afin que le paquet de confidentialité soit actif avant que l'appareil ne touche un réseau.

  1. Transférez le bundle `.ipk` fourni vers le routeur via USB ou SCP (faites-le sur un LAN de confiance).
  2. Connectez-vous en SSH : `ssh root@192.168.8.1`.
  3. Installez hors ligne avec `opkg install --offline-root` sur les paquets fournis (le build inclut ses dépendances, vous n'avez donc pas besoin de télécharger depuis internet).
  4. Redémarrez. Confirmez la présence du paquet avec `opkg list-installed | grep blue-merle`.

Comme il s'agit d'un portage, confirmez aussi que le chemin de réécriture de l'IMEI fonctionne réellement sur votre exemplaire (voir vérification ci-dessous) avant de vous y fier.

Usage quotidien

Changer de SIM et faire tourner les identifiants

Le flux prévu lie la rotation des identifiants à un changement de SIM :

  1. Lancez le changement depuis la page web LuCI, la CLI ou l'interrupteur matériel. blue-merle désactive d'abord la radio, puis génère un nouvel IMEI.
  2. Choisissez votre mode d'IMEI :
  • Déterministe — dérivé de l'IMSI de la SIM, donc la même SIM donne toujours le même IMEI.
  • Aléatoire — un nouvel IMEI aléatoire à chaque fois.
  1. Éteignez, changez physiquement la SIM et — selon l'avis amont — changez d'emplacement physique avant de redémarrer, puisque l'ancienne cellule a déjà vu l'ancien appairage.

Hygiène des MAC et des journaux

blue-merle randomise le BSSID Wi-Fi et la MAC WAN à chaque démarrage et conserve la base de MAC clients uniquement en RAM (tmpfs), donc elle ne persiste pas après redémarrage. Notez qu'une MAC WAN randomisée peut casser les réseaux amont qui utilisent un filtrage MAC en mode répéteur.

Ping IMSI-catcher

Utilisez la détection d'IMSI-catcher comme une *alerte*, pas un verdict. Traitez un avertissement comme une incitation à cesser d'émettre et à vous déplacer, pas comme une preuve — et rappelez-vous qu'il ne peut pas bloquer un catcher.

Conseils de durcissement

  • Faites tourner un VPN ou Tor par-dessus — blue-merle n'agit pas sur la couche IP. Associez-le à WireGuard/OpenVPN (intégré au firmware GL) ou à Tor.
  • Coupez la radio quand vous ne l'utilisez pas activement ; la plus petite empreinte RF, c'est l'absence d'émission.
  • Désactivez la gestion cloud/à distance et toute télémétrie dans l'UI GL.
  • Définissez immédiatement un mot de passe admin fort et des identifiants Wi-Fi uniques.

Pièges

  • C'est un portage. Le baseband Qualcomm n'est pas le Quectel ciblé en amont ; un changement d'IMEI peut échouer silencieusement ou être écrasé. Vérifiez, ne supposez pas.
  • Un IMEI déterministe est un identifiant stable par SIM — pratique, mais il lie les sessions de cette SIM. Utilisez le mode aléatoire si cela importe.
  • Les opérateurs et antennes enregistrent toujours votre IMSI et votre localisation, quel que soit l'IMEI.

Comment vérifier l'intégrité

  • Après un changement, interrogez l'IMEI déclaré par le modem (via l'interface AT du modem / diagnostics GL) et confirmez qu'il a changé et qu'il s'agit d'un IMEI structurellement valide.
  • Vérifiez la MAC WAN avec `ifconfig`/`ip link` avant et après un redémarrage pour confirmer la rotation.
  • Relancez `opkg list-installed | grep blue-merle` après les mises à jour du firmware — une mise à jour OTA GL.iNet peut supprimer ou casser le paquet, donc réinstallez et revérifiez à chaque fois.

Sources vérifiables

Support