CyberSDF

Reprenez la main sur votre numérique

Rédigé par Rédaction CyberSDF /

Kali Linux : le cadre d’un audit autorisé

Kali Linux est une distribution Debian dérivée qui rassemble, dans une seule image signée et vérifiable, les outils couramment utilisés pour un test d’intrusion autorisé. Le texte qui suit décrit ce que Kali est et n’est pas, à qui elle s’adresse, comment l’installer sans casser son poste de travail, et ce que la loi française permet ou interdit quand on s’en sert. Il ne contient pas de procédure d’attaque ; il ne remplace pas non plus la documentation officielle de Kali ni un engagement contractuel écrit avec le propriétaire du système audité.

Sommaire
  1. Qu’est-ce que Kali Linux, et qu’est-ce qu’elle n’est pas ?
  2. Ce que Kali permet en audit autorisé, et ce qu’elle ne remplace pas
  3. Comment installer Kali sans casser son poste de travail ?
  4. Quelle frontière légale en France ?
  5. Repères pour aller plus loin

Kali n’est pas un système d’exploitation « plus sûr » pour la navigation, la bureautique ou la messagerie. C’est une trousse à outils destinée à un usage encadré : test d’intrusion sur un système dont on a la charge, laboratoire de formation, recherche en sécurité sous mandat, ou préparation à une certification comme l’OSCP d’OffSec. La distribution est maintenue par Offensive Security (OffSec) ; elle est dérivée de Debian Testing, distribuée en images ISO signées et publiée gratuitement. La version stable la plus récente, Kali 2026.2, est sortie le 29 juin 2026 et embarque le noyau Linux 6.19 et l’environnement Xfce 4.20.7 ; la page Releases History de kali.org (nouvel onglet) publie la liste exhaustive des versions passées et de leur date.

Qu’est-ce que Kali Linux, et qu’est-ce qu’elle n’est pas ?

La documentation officielle donne le périmètre en une phrase (nouvel onglet) : Kali est une distribution Debian-based qui permet à des professionnels et à des amateurs éclairés de réaliser des tests d’intrusion et des audits de sécurité. La même page insiste sur deux points qu’on n’invente pas : Kali a plusieurs centaines d’outils préinstallés, et la documentation suppose une connaissance préalable de Linux. La page décrit aussi la politique open source, l’arbre Git public sur GitLab, et le lien structurel avec Debian Testing.

Kali n’est pas adaptée à un système quotidien, et OffSec le dit explicitement : la distribution n’est pas testée pour cet usage, et l’équipe de développement ne traite pas les rapports de bugs liés à un emploi en poste de travail. La FAQ le formule ainsi : « We would encourage daily activity, and generic usage, to be done as much through a non-root access as possible ». Concrètement, Kali n’est pas conçue pour lire ses courriels, naviguer sur des sites non vérifiés, ou servir de machine principale à un usage familial. La FAQ Kali le complète sur la page Should I use Kali Linux? (nouvel onglet).

Trois conséquences directes pour un atelier « Reprenez la main sur votre numérique » :

Ce que Kali permet en audit autorisé, et ce qu’elle ne remplace pas

Un test d’intrusion autorisé suppose, par définition, un mandat écrit du propriétaire du système ciblé. La qualification PASSI de l’ANSSI définit, pour les prestataires français qui auditent des opérateurs d’importance vitale ou des opérateurs de services essentiels, les exigences de méthode, de compétence et d’impartialité applicables ; la page Référentiels de qualification de cyber.gouv.fr (nouvel onglet) liste les cinq activités d’audit reconnues (architecture, configuration, code source, tests d’intrusion, organisationnel et physique) et le référentiel d’exigences PASSI v2.2. Kali fournit la boîte à outils ; PASSI décrit le cadre professionnel dans lequel elle s’inscrit pour un audit réglementaire.

Kali fournit concrètement :

Kali ne remplace pas :

Comment installer Kali sans casser son poste de travail ?

Quatre modes de déploiement sont documentés par kali.org. Tous partagent une règle : ne pas installer Kali à la place d’un système de travail, et vérifier l’image avant de la démarrer.

Machine virtuelle. Le mode le plus courant pour un atelier ou un laboratoire personnel : Kali fournit des images prêtes pour VirtualBox, VMware et QEMU. La machine hôte reste intacte ; un snapshot avant le premier démarrage permet de revenir à un état connu. La FAQ Kali précise que ce mode est celui qu’utilisent la plupart des professionnels en formation.

Clé USB bootable. L’image ISO est copiée sur une clé USB avec dd, Rufus ou balenaEtcher. Le démarrage se fait sur la clé, sans écrire sur le disque interne. La page Live USB Install de kali.org détaille la procédure. Pour un portable qu’on ne destine pas qu’à Kali, c’est la solution qui laisse la machine réutilisable ailleurs.

Disque dur externe ou machine dédiée. Une installation complète, avec chiffrement LUKS du disque si la machine est transportée, sépare définitivement Kali du poste de travail. Le wiki Kali recommande ce mode pour une machine d’engagement qu’on ne mélange pas avec d’autres usages.

Image WSL ou image cloud. Kali publie un paquet WSL pour Windows et des images officielles AWS et Azure. Ces modes sont pratiques pour un usage ponctuel depuis une machine principale déjà configurée.

Quelle que soit la méthode, deux vérifications à faire avant le premier démarrage :

  1. Vérifier la signature de l’image. Télécharger le fichier SHA256SUMS et sa signature GPG depuis le miroir officiel ; importer la clé automatique Kali depuis un serveur de clés (la page Downloading Kali Linux donne l’empreinte ED65462EC8D5E4C5 et la commande gpg --recv-key 827C8569F2518CC677FECA1AED65462EC8D5E4C5) ; vérifier que la signature est valide. Une image non vérifiée est une image dont on ne peut rien dire.
  2. Changer les identifiants par défaut. Sur une image « live » ou une VM préconstruite, l’utilisateur par défaut est kali avec le mot de passe kali. La page Default Credentials le mentionne explicitement : ce couple est scanné en permanence par des bots. La première action après le premier démarrage est de définir un mot de passe personnel.

Quelle frontière légale en France ?

La frontière légale n’est pas une nuance de rédaction : elle conditionne ce qu’on a le droit de faire avec les outils que Kali installe. Trois textes suffisent à cadrer la situation.

Article 323-1 du code pénal (accès et maintien frauduleux dans un système de traitement automatisé de données). Le texte en vigueur depuis le 26 janvier 2023, modifié par la loi n° 2023-22 du 24 janvier 2023, punit l’accès ou le maintien frauduleux dans tout ou partie d’un système de traitement automatisé de données de trois ans d’emprisonnement et de 100 000 € d’amende. La peine passe à cinq ans et 150 000 € en cas de suppression ou de modification de données ; elle est portée à sept ans et 300 000 € contre un système à caractère personnel mis en œuvre par l’État. La jurisprudence récente (Cour de cassation, chambre criminelle, 2 septembre 2025, n° 24-83.605) confirme qu’un administrateur qui utilise son droit d’accès à des fins étrangères à sa mission se rend coupable du délit. La version officielle du Code est consultable sur Legifrance dans la section « Des atteintes aux systèmes de traitement automatisé de données (Articles 323-1 à 323-8) (nouvel onglet) ».

Articles 323-2 à 323-8 du même chapitre. Ils couvrent les autres atteintes : introduction frauduleuse de données, atteinte au fonctionnement du système, possession d’équipements conçus pour commettre ces infractions. Un test d’intrusion qui altère des données sur un système non autorisé tombe sous le coup de l’article 323-1 alinéa 2 même si le test « n’a rien cassé » ; le texte ne distingue pas selon le résultat mais selon l’absence de droit.

Qualification PASSI de l’ANSSI. Elle ne crée pas une exemption au code pénal ; elle établit un cadre professionnel reconnu pour les prestataires qui réalisent des audits de sécurité pour les opérateurs régulés (OIV, OSE, entités soumises à la directive NIS). Le référentiel PASSI v2.2 et la trame d’évaluation v1.2 sont publiés sur la page Référentiels de qualification de cyber.gouv.fr. Pour un particulier ou une petite structure, ce cadre n’est pas applicable en tant que tel, mais il décrit la méthode qu’un audit sérieux met en œuvre : périmètre écrit, règles d’engagement, rapport remis au propriétaire.

En pratique, pour un particulier :

Repères pour aller plus loin

Pour préparer un audit autorisé, trois lectures avant de lancer un outil :

Kali est un outil, pas une méthode. La méthode commence par un mandat écrit qui nomme le système ciblé, les plages horaires, les techniques autorisées et le rapport à remettre ; sans ce mandat, Kali reste dans son ISO. Pour un audit encadré, c’est la qualification PASSI qui cadre le prestataire ; pour un apprentissage, un laboratoire isolé et des machines qu’on possède suffisent.