SecuBox
CyberMind.FR • Édition Avril 2026
suite de sécurité intelligente · Debian bookworm

SecuBox v1.4.0-deb
En cours de build

OpenWrt → Debian bookworm. FastAPI + Uvicorn, paquets .deb signés, ISO Hybrid UEFI, apt.secubox.in. CrowdSec, WireGuard, nftables, DPI, détection CVE Layer 7, et cap MirrorNet 2026.

⚡ Installer 🔄 Migration 🔬 CVE Layer 7 🌐 MirrorNet
🚀 v1.4.0-deb — 3 avril 2026

153 commits · 13 releases stables (v1.0→v1.3.9) · 51 packages · ISO Hybrid UEFI + Legacy BIOS · apt.secubox.in · Tailscale mesh · arm64 + amd64

🔄 Migration SecuBox-Deb OpenWrt → Debian

Architecture complètement réécrite : RPCD shell → FastAPI, UCI → TOML, paquets .ipk → .deb, buildroot → GitHub Actions CI/CD.

OpenWrt (archivé) Debian bookworm (actif)
RPCD shell backend→FastAPI + Uvicorn (Unix socket)
UCI /etc/config/→TOML /etc/secubox/secubox.conf
luci-app-* (JS/CSS/HTML)→Conservé + XHR réécrits
Paquets .ipk / opkg→Paquets .deb / apt + apt.secubox.in
38 modules LuCI→30 modules .deb (consolidés)
OpenWrt buildroot→dpkg-buildpackage + GitHub Actions
gkerma/secubox-openwrt→CyberMind-FR/secubox-deb
📦 Releases

v1.4.0 EN BUILD 3 avril 2026 · tag pushé · CI/CD en cours

v1.3.9 30 mars · SecuBox Installer latest stable
v1.3.0→v1.3.8 · 30 mars · 9 patch releases
v1.2.0 · 28 mars · Images ARM64 + VM · MOCHAbin/ESPRESSObin
v1.1.0 · 27 mars · Firstboot wizard · SSH key-only
v1.0.0 · 24 mars · Première Live USB amd64 · fondation

🖥️ Langages (secubox-deb)

Python 29.8% · JS 24.8% · HTML 23.8%
Shell 11% · CSS 6.6% · C 1.8%

Base : Debian bookworm · arm64 + amd64
Stack : FastAPI · Uvicorn · nginx · Tailscale

🛡️ Fonctionnalités clés

Suite intégrée: intelligence collective + durcissement + observabilité + inspection applicative.

  • CrowdSec Engine

    Blocklists et détection comportementale en temps réel (Layer 3/4).

  • mitmproxy InspectorLayer 7

    Détection CVE, routing HAProxy, addons Python extensibles.

  • Firewall nftables

    Zones, NAT, réputation IP, règles avancées.

  • VPN WireGuard + Tailscale

    Mesh P2P, accès distant sécurisé, zéro port WAN ouvert.

  • FastAPI + apt.secubox.inDeb

    Backend Python natif, repo APT signé GPG, déploiement en 3 lignes.

⏳ Timeline — De LA BOX au MirrorNet

2021 → 2026 → ∞

31 août 2021
📄 LA BOX — Document fondateur. AdGuardHome, Tor, CrowdSec, DMZ. ESPRESSObin V7, OpenWrt 21.02.
2024–2025
SecuBox v0.1 → v0.17 · 38 modules LuCI · Stack OpenWrt · CI/CD multi-arch.
Avril 2026 ◉
SecuBox-Deb v1.4.0 · En build · 153 commits · ISO Hybrid UEFI · apt.secubox.in
2026 Q2–Q3
SecuBox v1.0 — MirrorNet · WireGuard mesh P2P + VoIP E2E + Matrix fédéré + did:plc

🔬 Innovation : Détection CVE Layer 7 Extensibilité CrowdSec

SecuBox étend CrowdSec avec une inspection applicative temps réel via mitmproxy. Architecture unique combinant défense périmétrique et analyse en profondeur — désormais sur Debian.

🐝 CrowdSec (Layer 3/4)

• Blocklists IP collaboratives
• Réputation temps réel
• Filtrage périmétrique
• 70K+ utilisateurs, 10M+ signaux/jour

🔬 mitmproxy (Layer 7)

• Détection patterns CVE
• Inspection HTTPS/TLS
• Addons Python extensibles
• Logging menaces en temps réel

Architecture HAProxy → mitmproxy → Backends

🌐 INTERNET
↓
HAProxy (80/443) Frontend: reçoit HTTPS • ACL: route par Host header ↓
mitmproxy Inspector (8889) haproxy_router.py + secubox_analytics.py → /data/threats.log ↓
Gitea :3000 Streamlit :8501 FastAPI :8000 Web UI :8443

Commandes mitmproxyctl

# Synchroniser les routes HAProxy vers mitmproxy
mitmproxyctl sync-routes

# Activer l'inspection (redirige tous les vhosts via mitmproxy)
mitmproxyctl haproxy-enable

# Désactiver l'inspection (restaure backends directs)
mitmproxyctl haproxy-disable

Format routes JSON

{
  "devel.cybermind.fr": ["192.168.255.1", 3000],
  "play.cybermind.fr": ["192.168.255.1", 8501],
  "*.maegia.tv": ["192.168.255.1", 7331]
}

Support wildcards *.domain.tld

Ports de référence

  • 8888 mitmproxy (mode proxy direct)
  • 8889 mitmproxy (inspection HAProxy)
  • 8081 mitmweb UI
💡 Défense en profondeur

CrowdSec bloque les IP malveillantes connues (Layer 3/4) tandis que mitmproxy inspecte le contenu applicatif pour détecter les exploits CVE et comportements suspects (Layer 7). Ensemble, ils offrent une protection unique sur plateforme Debian bookworm.

🌐 MirrorNet — L'inversion du paradigme 2026 Q2-Q3

Chaque SecuBox devient un univers autonome. Zéro serveur central, zéro SPOF. WireGuard mesh + VoIP SRTP E2E + Matrix fédéré + did:plc.

✗ EnigmaBox (2013–2019)

Exit servers centraux (SPOF)
VoIP via serveur central (écoutable)
cjdns décentralisé, infra centralisée
Dépendance cloud obligatoire
Identité liée au service central

✅ SecuBox MirrorNet (2026)

Zéro serveur central, zéro SPOF
WireGuard mesh + VoIP SRTP E2E
Chaque box = univers autonome
did:plc · Matrix fédéré · ALERTE·DÉPÔT
Chain of Hamiltonians · HamCoin

🔐 GK·HAM-HASH ZKP — Architecture 3 couches

L1 · Auth twins Prover/Verifier (NIZKProof hamiltonien, rotation 24h PFS)
L2 · Routing twins double-buffer active/shadow (atomic swap ZKP, rollback 4R, CSPN)
L3 · Endpoint twins service/witness MirrorNet P2P (did:plc, WireGuard, Chain of Hamiltonians → HamCoin, ALERTE·DÉPÔT notarisation aveugle)

🔒 Hardening Debian

Surface minimale, VLANs, VPN. SecuBox-Deb durcit Debian bookworm dès l'install.

Mot de passe root robusteImmédiat, non négociable.
SSH limité au LANClé uniquement, firstboot wizard.
WAN en DROP via nftablesInput et Forward (pas REJECT).
Web UI générée au firstbootadmin / admin · https:8443 · reset obligatoire.
VLANs: IoT / invités / principalSegmentation et règles minimales.
Tailscale mesh plutôt que ports ouvertsWAN muet, admin propre.

🐝 CrowdSec + Extensibilité

Chaque SecuBox devient un capteur: défense collective renforcée, extensible via addons Python.

Réseau mondial

70 000+ utilisateurs • 190+ pays • 10M+ signaux/jour • 36% données exclusives

Bénéfices mesurés

Réduction 95% exploits de masse • Réduction 80% volume alertes • CTI collaborative

🔬 Extensibilité mitmproxy

Les addons Python (haproxy_router.py, secubox_analytics.py) étendent la détection CrowdSec au Layer 7: patterns CVE, signatures applicatives, comportements suspects.

🎭 Deepfakes & phishing IA

La fraude prend une voix, une vidéo, un QR code. La défense devient un rituel de vérification.

  • Voice cloning

    Usurpation vocale pour autoriser des actions sensibles.

  • Deepfake vidéo BEC

    Visio temps réel: pression "urgence". Ex: Arup $25M.

  • QRishing

    QR piégés sur supports internes/événements.

  • DaaS (Deepfake-as-a-Service)

    Plateformes clé en main pour non-techniciens.

Protection (réflexes)

• Vérification multi-canal systématique
• Mots de code pour actions sensibles
• Zero Trust sur les demandes à distance
• Formation continue des équipes
• Procédures d'escalade documentées

🔧 Hardware — GlobalScale Technologies

Marvell Armada · Linux mainline · Debian arm64 officiel · <15W · FCC/CE · MOCHAbin + ESPRESSObin

ESPRESSObin V7 SoC A53 1.2GHz Dual · RAM 1–2 GB DDR4 · WAN + 2×LAN DSA
Profil : SecuBox Lite
ESPRESSObin Ultra SoC A53 1.2GHz Dual · RAM 2 GB DDR4 + eMMC · PoE + 4×LAN + WiFi
Profil : SecuBox Lite+
Sheeva64 WiFi RAM 1 GB + 4 GB eMMC · 2×GbE
Profil : SecuBox Lite
MOCHAbin ★ Pro Armada 7040 Quad · SoC A72 1.8GHz 4-core · RAM 4–8 GB DDR4 · 2×SFP+ 10GbE + 4×GbE
Profil : SecuBox Pro · Cible CSPN
VM x86_64 VirtualBox / QEMU · 2+ GB RAM · Virtio/NAT · ISO amd64
Profil : SecuBox Full

🏛 Certifications — Roadmap ANSSI CSPN

Cible : SecuBox-Deb sur MOCHAbin · Périmètre WAF + IDS/IPS + VPN WireGuard · Horizon : 2027

Documentation technique80%
Tests fonctionnels30%
Tests de sécurité20%
Audit code source10%
Évaluation CESTI0%
Visa ANSSI0%
📊 Indicateurs du paysage 2026

0 dépenses mondiales cybersécurité · 0 coût cybercriminalité · 0 hausse ransomware · 0 phishing IA

📦 Démarrer — SecuBox-Deb

Installation via repo APT signé ou ISO Hybrid UEFI.

Installation APT (Debian bookworm)
curl -fsSL https://apt.secubox.in/gpg.key | gpg --dearmor \
  -o /etc/apt/keyrings/secubox.gpg

echo "deb [signed-by=/etc/apt/keyrings/secubox.gpg] \
  https://apt.secubox.in bookworm main" \
  > /etc/apt/sources.list.d/secubox.list

apt update && apt install secubox-full
# ou secubox-lite pour boards contraints
ISO Hybrid v1.4.0 (UEFI + BIOS)

secubox-installer-amd64-bookworm.iso.gz
secubox-installer-amd64-bookworm.img.gz

4 modes: Boot Live · Install headless · Load To RAM · Rescue shell
Web UI : admin / admin (https:8443) · SSH : root / secubox