Fondamentaux de la criminalistique et chaîne de conservation

La criminalistique numérique consiste à récupérer, préserver et analyser méthodiquement des preuves numériques afin que les conclusions résistent à un examen rigoureux, notamment devant un tribunal.

Il ne s'agit pas simplement de récupérer des données. L'exigence fondamentale est la justifiabilité : chaque action doit être documentée, reproductible et impartiale.

• Identification des sources de preuves pertinentes
• Préservation sans modification
• Analyse à l'aide de méthodes validées
• Présentation dans des rapports clairs et reproductibles

Lorsqu'un incident en cours fait l'objet d'une intervention, recueillez les preuves de la source la plus volatile à la moins volatile. Les données qui disparaissent le plus rapidement doivent être capturées en premier.

• Registres du CPU et cache
• Table de routage, cache ARP, liste des processus, connexions réseau
• RAM (mémoire)
• Systèmes de fichiers temporaires
• Disque
• Journalisation à distance et supports d'archivage

La RFC 3227 formalise ce principe. Récupérez l'image disque trop tôt et vous perdez définitivement les artefacts présents dans la RAM.

La chaîne de conservation est le relevé chronologique documenté indiquant qui a manipulé les preuves, quand, pourquoi et ce qui leur a été fait.

Une seule lacune peut rendre les preuves irrecevables. Chaque transfert est consigné.

• Qui a recueilli et reçu l'élément
• Quoi : la nature de l'élément (numéro de série, hachage, description)
• Quand chaque transfert a eu lieu
• Où il a été stocké
• Pourquoi la garde a changé

Les hachages cryptographiques prouvent que les preuves n'ont pas changé. Calculez le hachage lors de l'acquisition, puis de nouveau plus tard ; des valeurs identiques prouvent l'intégrité.

Utilisez SHA-256 comme norme moderne. MD5 et SHA-1 apparaissent encore dans les outils anciens, mais résistent mal aux collisions ; de nombreux laboratoires consignent les deux pour une vérification croisée.

Un bloqueur d'écriture se place entre l'enquêteur et le support contenant les preuves. Il autorise les lectures tout en refusant physiquement ou logiquement les écritures. Il garantit ainsi que l'original n'est jamais modifié pendant l'acquisition.

• Les bloqueurs d'écriture matériels sont des dispositifs intercalés, à privilégier pour les procédures judiciaires
• Les bloqueurs d'écriture logiciels configurent l'OS pour monter les supports en lecture seule

Même monter normalement un support peut mettre à jour les horodatages de dernier accès ; un bloqueur est donc obligatoire pour les supports originaux.

La règle d'or : analysez une copie vérifiée et préservez l'original. L'original est placé dans le stockage des preuves et manipulé aussi peu que possible.

La bonne pratique consiste à créer au moins deux copies : une image de travail pour l'analyse et un exemplaire maître d'archivage conservé intact. Le hachage des deux copies doit correspondre à celui de la source.

Les notes prises au moment des faits sont elles aussi des preuves. Consignez les actions au moment où vous les effectuez, et non de mémoire après coup.

• Ajoutez un horodatage à chaque action (utilisez UTC pour éviter toute ambiguïté)
• Photographiez la scène et l'état du dispositif
• Notez les noms et les versions des outils
• Consignez toute anomalie ou erreur

Si ce n'est pas consigné, cela est effectivement considéré comme n'ayant pas eu lieu devant un tribunal.

Avant de toucher à quoi que ce soit, confirmez votre autorité légale : mandat, consentement, autorisation interne ou réglementation applicable. Dépasser le périmètre autorisé peut compromettre l'ensemble du dossier et engager la responsabilité de l'enquêteur.

La criminalistique est soumise à la juridiction applicable. Les données transfrontalières, les attentes des employés en matière de vie privée et le droit relatif à la protection des données (GDPR, KVKK) limitent tous ce que vous pouvez recueillir et la manière de le faire.

Les conclusions doivent être reproductibles : un autre examinateur utilisant des outils validés sur les mêmes preuves doit parvenir à la même conclusion.

C'est pourquoi les laboratoires utilisent des outils fiables et gérés par version (validés par NIST CFTT lorsque c'est possible) et documentent leurs versions. Les scripts personnalisés ou non évalués nuisent à la justifiabilité.

Un poste de travail dédié et isolé empêche la contamination croisée et les fuites accidentelles d’éléments de preuve vers le réseau.

• Isolé du réseau ou protégé par un pare-feu strict
• Supports cibles stérilisés (effacés et vérifiés) pour les images
• Ensemble d’outils validé (Autopsy, Sleuth Kit, Volatility, Wireshark)
• Journalisation des accès

L’intégrité doit pouvoir être démontrée non seulement lors de l’acquisition, mais pendant toute la durée du stockage. Recalculez périodiquement le hachage et après chaque transfert, puis comparez-le à la référence établie lors de l’acquisition.

• Scellés révélant toute altération sur les supports physiques
• Stockage des éléments de preuve à accès contrôlé et journalisé
• Hachage enregistré à chaque remise dans la chaîne de conservation

Si un hachage ultérieur diffère de l’original, les éléments de preuve sont considérés comme compromis et leurs conclusions sont contestées.

Évaluez votre compréhension de l’ordre d’acquisition.

Vous avez étudié les fondements d’une expertise numérique défendable :

• Ordre de volatilité : il détermine la séquence de collecte
• Chaîne de conservation : elle documente chaque remise
• Hachage (SHA-256) : il prouve l’intégrité
• Bloqueurs d’écriture : ils protègent les originaux
• Travaillez toujours sur des copies vérifiées
• Documentation, périmètre légal et reproductibilité rendent les éléments de preuve recevables

Ensuite : transformer ces principes en images disque réelles et en récupération d’artefacts.