Pourquoi une preuve numérique est fragile
L’investigation numérique (en anglais digital forensics) consiste à retrouver, conserver et lire les traces laissées par un ordinateur, pour établir ce qui s’est passé. Sa première règle est de ne jamais abîmer la preuve que l’on cherche.
Un lundi, le portable d’une responsable commerciale à Nantes ouvre des fenêtres étranges. Si on l’éteint par réflexe, une partie des traces disparaît pour toujours.
À la fin de cette leçon
Remarque
Je peux collecter des preuves numériques sans les abîmer.
Mots-clés
| Mot | Ce que ça veut dire | Exemple |
|---|---|---|
| Preuve numérique | une trace laissée par un ordinateur qui aide à établir un fait | un fichier de journal |
| Volatilité | la vitesse à laquelle une donnée disparaît | |
| Chaîne de conservation | la liste de ceux qui ont détenu une preuve, avec les dates | |
| Copie bit à bit | une copie exacte, y compris l’espace vide d’un disque | |
| Empreinte | un nombre calculé sur un fichier, qui change si le fichier change |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Les données ne disparaissent pas au même rythme
Certaines données vivent quelques instants, d’autres des années. On appelle cela la volatilité.
L’ordre de volatilité dit quoi collecter en premier : d’abord ce qui disparaît le plus vite. La mémoire vive (RAM) est vidée à l’extinction, alors qu’un fichier sur le disque reste là.
Exemple travaillé : l’ordre de volatilité
| Rang | Source | Combien de temps elle dure | Exemple |
|---|---|---|---|
| 1 | Registres et cache du processeur | Quelques instants | Une valeur en cours de calcul |
| 2 | Mémoire vive | Jusqu’à l’extinction | Les programmes ouverts |
| 3 | Réseau et processus | Jusqu’à la fin de la connexion | Qui est connecté en ce moment |
| 4 | Disque de l’ordinateur | Des mois, des années | Fichiers et journaux |
| 5 | Sauvegardes et supports externes | Des années | Une clé USB rangée dans un tiroir |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
La chaîne de conservation suit la preuve
Une preuve ne vaut que si l’on peut dire où elle a été à chaque instant. La chaîne de conservation note chaque passage : qui la donne, qui la reçoit, quand et pourquoi.
Un trou dans la chaîne laisse croire que quelqu’un a pu la modifier. Il suffit alors d’un doute pour qu’elle ne compte plus.
Exemple travaillé : un registre de passage
| Date et heure | De | À | Pourquoi |
|---|---|---|---|
| 12/03 09:10 | Sophie Marchand (responsable) | Karim Benali (technicien) | Remise du portable |
| 12/03 09:40 | Karim Benali | Coffre de l’entreprise | Portable scellé après la copie |
| 13/03 14:00 | Coffre de l’entreprise | Inès Garnier (enquêtrice) | Analyse de la copie |
Les cellules que les étudiants remplissent restent vides dans cet aperçu.
Erreur fréquente
Attention
Beaucoup de gens pensent qu’il faut d’abord éteindre la machine suspecte pour la protéger. Éteindre vide la mémoire vive, où se trouvent les connexions en cours. Collectez d’abord ce qui est fragile, puis décidez de l’arrêt.
On analyse une copie, jamais l’original
Chaque lecture de l’original risque de changer des dates et de laisser des traces. On fait donc une copie bit à bit, puis on travaille sur elle.
Juste après la copie, on calcule une empreinte de l’original et de la copie. Si elles sont égales, la copie est fidèle. Un outil de blocage en écriture empêche en plus la machine d’écrire sur l’original.
Le dossier du labo est déjà une copie
Dans le labo, le dossier case est une copie en lecture seule. Vous allez le regarder, le copier, puis comparer la copie avec l’original.
Vous ne cherchez pas encore l’intrus. Vous vérifiez seulement le geste : on copie avant de toucher à quoi que ce soit.
Lister les pièces du dossier
ls -1 caseAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Faire une copie de travail
cp -r case copieAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Comparer un fichier avec sa copie
cmp case/mtimes.txt copie/mtimes.txt && echo identiquesAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.
Lire le propriétaire et les droits
stat -c '%U %a' case/mtimes.txtAffichée ici, non exécutée. Créez un compte gratuit pour appuyer sur Exécuter et la saisir dans le terminal de votre propre labo.