Acquisition et analyse des appareils

Une fois les appareils arrivés au laboratoire, les questions passent de « qu’est-ce qui pourrait se trouver ici ? » à « qu’est-ce qui se trouve ici, et pouvons-nous le prouver ? ». Une adresse de portefeuille trouvée sur un ordinateur portable n’est utile devant un tribunal que si l’examinateur peut démontrer que l’image est une copie fidèle, que l’outil a trouvé l’artefact à l’emplacement indiqué et que l’adresse a été vérifiée sur la blockchain plutôt que présumée valide. Cette leçon porte sur l’acquisition et l’intégrité, les sources mobiles et infonuagiques, les éléments de preuve provenant des navigateurs, ce que font les outils forensiques lorsqu’ils extraient des clés et des adresses, ainsi que la documentation des constatations.

Imagerie forensique et intégrité

Le fondement de l’examen d’un appareil est l’image forensique : une copie bit à bit d’un support de stockage, réalisée de façon à ne pas modifier l’original et vérifiée afin de démontrer que la copie lui correspond.

• Blocage en écriture. Les supports de stockage sont connectés au moyen d’un bloqueur en écriture matériel ou logiciel, afin que l’ordinateur d’examen ne puisse pas les modifier. Le bloqueur lui-même doit être testé, et son modèle ainsi que son micrologiciel consignés.
• Hachage. L’examinateur calcule une empreinte cryptographique de la source pendant l’acquisition et une empreinte de l’image obtenue, puis confirme qu’elles correspondent. SHA-256 est le choix habituel aujourd’hui ; MD5 et SHA-1 apparaissent encore dans les anciens outils et peuvent être consignés en complément, mais ne devraient pas être les seules empreintes utilisées.
• Formats. Les images peuvent être brutes (un simple fichier octet par octet) ou stockées dans des formats de conteneur forensique comme EWF (E01) ou le format ouvert AFF4, qui stockent avec les données des métadonnées et des sommes de contrôle internes.
• Copies de travail. L’analyse est effectuée sur des copies vérifiées ; l’image originale est conservée et son empreinte recalculée lorsqu’elle est vérifiée.

Les outils sont validés avant leur utilisation. Le programme NIST Computer Forensics Tool Testing (CFTT) publie des méthodes et des résultats de test pour les outils d’imagerie et les bloqueurs en écriture ; les propres dossiers de validation d’un laboratoire montrent que sa configuration fonctionne comme prévu (voir la leçon Gestion de la qualité dans l’unité de criminalistique numérique).

Un dossier d’acquisition consigne les éléments essentiels :

Élément :        CASE-0417-I-003 (SSD interne d’ordinateur portable, 1 TB)
Bloqueur écriture : matériel, modèle et micrologiciel consignés dans le journal du kit
Format image :   E01, taille de segment 4 GB
SHA-256 source : e41b…07af
SHA-256 image :  e41b…07af   (correspondance)
Début / fin :    2026-03-15 09:02Z / 2026-03-15 11:47Z
Examinateur :    Examinateur 2
Notes :          chiffrement intégral du volume détecté ; une image logique
                 du volume déverrouillé a été réalisée en direct sur
                 les lieux (voir le journal des actions en direct)

Le dossier identifie l’élément et le support, la protection utilisée, le format, les empreintes concordantes, les heures et l’examinateur. La note précise que le volume était chiffré et relie cette image à l’acquisition en direct consignée sur les lieux ; c’est pourquoi le journal des actions en direct décrit dans la leçon Perquisition et saisie de cryptomonnaies sur les lieux est important. Les disques SSD comportent une réserve : leur maintenance interne peut effacer d’elle-même des données supprimées ; les fichiers de portefeuille supprimés peuvent donc être irrécupérables, quelle que soit la méthode utilisée.

Acquisition mobile en général

Les téléphones contiennent de nombreux portefeuilles et sont les appareils les plus difficiles à imager. La norme NIST SP 800-101 Revision 1, Guidelines on Mobile Device Forensics (2014), classe les outils en cinq niveaux : extraction manuelle (photographier l’écran), extraction logique, vidage hexadécimal ou JTAG, dessoudage de la puce et microlecture, chacun étant plus invasif et plus technique que le précédent. Le document de bonnes pratiques 2025 du SWGDE regroupe les acquisitions en acquisitions logiques (données demandées par l’intermédiaire du système d’exploitation), de système de fichiers (complètes ou partielles, en état AFU ou BFU) et physiques (accès direct au stockage).

Les téléphones modernes chiffrent les données utilisateur ; les données pouvant être acquises dépendent donc de l’appareil, de son état de verrouillage et de l’outil utilisé. Une extraction complète du système de fichiers d’un appareil déverrouillé ou en état AFU donne généralement accès à des données d’application qu’une sauvegarde logique ne permet pas d’obtenir. Les outils mobiles extraient généralement les données, puis les analysent à l’aide de décodeurs propres aux applications. La prise en charge des applications de portefeuille varie et accuse un retard par rapport aux mises à jour des applications ; les examinateurs examinent donc souvent directement les bases de données et les fichiers de préférences d’une application de portefeuille, et doivent le préciser dans leur rapport. Le fait qu’un analyseur n’ait « rien trouvé » ne prouve pas que l’application ne contenait rien.

Données infonuagiques et synchronisées

Un appareil saisi est souvent une porte d’accès à des données hébergées ailleurs : bibliothèques de photos infonuagiques contenant des images de phrases de récupération, notes synchronisées, coffres-forts de gestionnaires de mots de passe, sauvegardes mobiles comprenant les données d’applications de portefeuille et comptes de messagerie remplis de notifications de plateformes d’échange. L’accès à des données à distance par l’intermédiaire d’un appareil saisi soulève ses propres questions quant à l’autorisation. L’article 19(2) de la Convention de Budapest prévoit l’extension d’une perquisition à un autre système informatique situé sur le même territoire ; les données stockées à l’étranger nécessitent normalement les voies de coopération décrites dans la leçon Autorité légale et coopération internationale. Dans la mesure du possible, préservez le compte auprès du fournisseur et obtenez les données par réquisition, ce qui assure une meilleure provenance qu’une connexion en direct (voir la leçon Comptes de plateformes d’échange et comptes infonuagiques comme éléments de preuve).

Historique du navigateur et sessions de plateforme d’échange

Les navigateurs sont de riches sources d’information dans les affaires liées aux cryptomonnaies. Les bases de données d’historique montrent les visites de plateformes d’échange, de pages de téléchargement de portefeuilles et d’explorateurs de blocs ; les URL d’explorateurs contiennent souvent l’adresse ou le txid recherché par l’utilisateur, ce qui relie l’appareil à des objets précis sur la chaîne à un moment précis. Les téléchargements révèlent les programmes d’installation de portefeuilles ; les témoins et les sessions enregistrées indiquent quels comptes de plateformes d’échange étaient ouverts ; le remplissage automatique et les identifiants enregistrés peuvent révéler les adresses électroniques des comptes.

Les navigateurs basés sur Chromium conservent l’historique dans une base de données SQLite appelée History. Une courte requête exécutée sur une copie exportée répertorie les visites d’explorateurs :

-- Base de données Chromium History (SQLite) ; exécuter sur une copie de travail vérifiée
SELECT u.url,
       u.title,
       datetime(v.visit_time / 1000000 - 11644473600, 'unixepoch') AS visit_utc
FROM visits v
JOIN urls u ON u.id = v.url
WHERE u.url LIKE '%/address/%'
   OR u.url LIKE '%/tx/%'
ORDER BY v.visit_time;

Chromium stocke les heures de visite en microsecondes depuis le 1er janvier 1601 UTC. La requête divise cette valeur par un million pour obtenir des secondes et soustrait 11 644 473 600 secondes, soit l’écart entre 1601 et l’époque Unix de 1970, puis effectue la conversion avec la fonction datetime de SQLite ; d’autres moteurs utilisent des fonctions de date différentes. Les jointures associent chaque visite à son URL, et les filtres ne conservent que les pages d’adresse et de transaction des explorateurs. Firefox stocke des données comparables dans places.sqlite, selon un schéma différent et en microsecondes depuis 1970.

Extraction de clés et d’adresses par les outils forensiques

Les suites forensiques et les outils libres recherchent des artefacts liés aux cryptomonnaies dans les images et les captures de mémoire, en suivant des méthodes globalement similaires :

Les sommes de contrôle éliminent la plupart des faux positifs aléatoires, mais pas tous : une chaîne hexadécimale de 40 caractères en minuscules peut être un hachage plutôt qu’une adresse. L’étape suivante consiste toujours à effectuer une vérification sur la chaîne, de préférence à l’aide du nœud de l’unité, en consignant la hauteur de bloc et la source : l’adresse existe-t-elle, quand a-t-elle été active pour la première et la dernière fois, et est-elle liée aux adresses de l’affaire ? Les données publiques peuvent être vérifiées librement ; toute correspondance avec du matériel de clé est immédiatement isolée et traitée comme décrit dans la leçon Récupération de portefeuille sous autorité légale. La leçon IDFE-BA Types de scripts et formats d’adresse fournit des informations générales sur les formats d’adresse.

Deux sources méritent un examen distinct. Une capture de mémoire réalisée sur les lieux peut contenir du matériel de clé ou une phrase de récupération conservée par un portefeuille en cours d’exécution, des adresses du presse-papiers et des fragments de pages de plateformes d’échange ; les outils la recherchent selon les mêmes motifs, mais les résultats n’ont ni chemin de fichier ni horodatage. Le rapport doit donc préciser qu’ils proviennent de la mémoire et indiquer l’heure de capture. L’application compagnon d’un portefeuille matériel, sur un ordinateur ou un téléphone, stocke souvent les clés publiques étendues de l’appareil, les noms de comptes et un historique mis en cache, ce qui peut permettre de reconstituer l’activité sur la chaîne de l’appareil sans le manipuler.

Documentation des constatations

Chaque constatation doit pouvoir être retrouvée par un autre examinateur à partir du seul dossier : élément et empreinte de l’image, chemin du fichier, empreinte propre au fichier, type d’artefact, outil et version, valeur extraite (tronquée dans les rapports lorsqu’il s’agit de matériel de clé), validation effectuée et vérification sur la chaîne, avec sa source et sa hauteur de bloc. Distinguez bien les différents niveaux d’affirmation. « Le fichier wallets/default_wallet se trouve sur l’image I-003 et contient l’adresse bc1q…7k3f » est un fait. « L’utilisateur de l’ordinateur portable contrôlait bc1q…7k3f » est une inférence qui nécessite davantage d’éléments : matériel de clé, traces d’utilisation, chronologie et identité de la personne ayant utilisé l’appareil. La leçon Rédaction du rapport forensique explique comment exprimer cette distinction.

Points clés pour l’examen : blocage en écriture, concordance des empreintes de la source et de l’image, formats d’image et copies de travail ; validation des outils (NIST CFTT et dossiers du laboratoire) ; niveaux d’extraction de la norme NIST SP 800-101 Rev. 1 et catégories logique, système de fichiers et physique du SWGDE ; raisons pour lesquelles il faut vérifier la couverture des applications de portefeuille par les analyseurs ; autorité requise pour les données infonuagiques et synchronisées accessibles par l’intermédiaire d’un appareil ; historique du navigateur comme élément de preuve reliant un appareil à des adresses et à des txid, y compris la conversion des heures Chromium ; validation par somme de contrôle et vérifications sur la chaîne des adresses et clés extraites ; distinction entre faits et inférences dans les constatations.