Principes relatifs aux preuves numériques

La solidité d'un résultat de traçage dépend de la rigueur du traitement qui le sous-tend. Les experts de la défense et les tribunaux contestent rarement les calculs d'un traçage ; ils contestent la manière dont les données ont été obtenues, la possibilité pour une autre personne de parvenir au même résultat et la capacité de l'examinateur à montrer ce qui a été fait à chaque étape. Cette leçon expose les principes sur lesquels reposent toutes les leçons suivantes de ce module et explique pourquoi les preuves issues de la blockchain s'y prêtent bien à certains égards et mal à d'autres.

La famille de normes ISO/IEC relatives à l'investigation numérique

Quatre normes ISO/IEC du comité chargé de la sécurité de l'information portent sur les preuves numériques, et une norme d'évaluation de la conformité porte sur le laboratoire qui les traite. Vous rencontrerez ces cinq normes dans ce cours.

ISO/IEC 27037 est l'objet de cette leçon. Son résumé indique qu'elle vise également à faciliter « l'échange de preuves numériques potentielles entre juridictions », ce qui importe lorsqu'une affaire dépend de l'entraide judiciaire. ISO/IEC 27041, 27042 et 17025 seront abordées de nouveau dans la leçon Hachage, journalisation, chaîne de conservation et management de la qualité. ISO/IEC 27043 correspond aux étapes enseignées dans la leçon Le cycle de vie de l'investigation : de la question à l'hypothèse.

Les quatre processus de traitement

ISO/IEC 27037 divise le traitement des preuves en quatre processus. Elle a été rédigée en tenant compte des ordinateurs, des téléphones, des supports de stockage et des réseaux, et présente ces dispositifs à titre indicatif, et non exhaustif. Ces processus s'appliquent sans difficulté aux affaires liées aux cryptoactifs.

1. Identification : reconnaître ce qui peut contenir des preuves pertinentes. Sur les lieux d'une perquisition, cela comprend les portefeuilles matériels, les sauvegardes de phrases de récupération sur papier ou métal, les téléphones exécutant des applications de portefeuille et les notes contenant des adresses (voir la leçon Les portefeuilles sur les appareils saisis). Dans une affaire en ligne, cela comprend les identifiants de transaction, les adresses, les comptes de plateforme d'échange et les pages web ayant un rapport avec les questions examinées.
2. Collecte : prendre en charge des objets physiques, comme un ordinateur portable, un portefeuille matériel ou un carnet contenant les mots d'une phrase de récupération.
3. Acquisition : réaliser une copie des données, comme une image forensique d'un disque, un export d'un compte de plateforme d'échange ou des transactions brutes extraites d'un nœud.
4. Préservation : protéger l'intégrité de ce qui a été collecté ou acquis, depuis le moment de la capture jusqu'à la clôture de l'affaire. Le hachage, la mise sous scellés, le stockage contrôlé et les registres de conservation relèvent tous de ce processus.

La norme définit également deux rôles. Un premier intervenant en preuves numériques (DEFR) est habilité et formé pour intervenir en premier sur les lieux. Un spécialiste des preuves numériques (DES) possède des compétences techniques plus approfondies et réalise les travaux plus complexes. Un agent de patrouille qui place dans un sachet un portefeuille matériel et une carte portant une phrase de récupération agit en tant que DEFR. L'examinateur qui réalise ensuite une image de l'ordinateur portable du propriétaire et reconstitue les chemins des transactions à partir d'un nœud agit en tant que DES. Chaque intervenant doit agir dans les limites de ses compétences et consigner ce qu'il a fait.

Pertinence, fiabilité et suffisance

ISO/IEC 27037 considère trois qualités comme fondamentales pour les preuves numériques.

• Pertinence : les éléments ont un rapport avec une question de l'affaire. Extraire toutes les transactions jamais effectuées par le portefeuille d'une grande plateforme d'échange ne constitue pas une collecte pertinente. Extraire les 14 dépôts correspondant aux paiements de la victime en constitue une.
• Fiabilité : les éléments sont bien ce qu'ils prétendent être, et le processus qui les a produits peut être vérifié. Une transaction brute provenant d'un nœud, dont le hachage du bloc a été consigné, est fiable en ce sens. Une capture d'écran d'une page d'explorateur sans URL ni indication temporelle présente une faible fiabilité.
• Suffisance : assez d'éléments ont été rassemblés pour étayer ou mettre à l'épreuve la conclusion. La suffisance ne signifie pas « autant que possible ». Elle signifie que vous avez recherché ce qui pourrait contredire votre hypothèse aussi bien que ce qui l'étaye.

La norme fixe ensuite quatre exigences concernant le processus de traitement lui-même :

Notez la différence entre les deux lignes du milieu : la répétabilité maintient tous les paramètres à l'identique, tandis que la reproductibilité conserve la méthode, mais change délibérément les outils, les conditions et, généralement, la personne. Les données de la blockchain rendent la reproductibilité particulièrement accessible, comme l'explique la dernière section.

Les notes de l'examinateur

Toutes les exigences ci-dessus reposent sur une habitude : des notes contemporaines des travaux, rédigées au moment de leur réalisation, et non reconstituées ultérieurement. De bonnes notes permettent à un second examinateur de reprendre l'affaire et d'obtenir les mêmes résultats. Elles vous permettent également de répondre, des mois plus tard, à une question que vous n'aviez pas anticipée.

Une entrée dans les notes doit consigner :

• la date et l'heure en UTC, ainsi que l'auteur de l'entrée ;
• ce qui a été fait, sur quelle pièce à conviction ou source de données, et avec quel outil et quelle version ;
• les données d'entrée (adresses de départ, txids, plage de blocs) et l'emplacement où les résultats ont été enregistrés, avec leurs hachages ;
• les décisions et leurs motifs, y compris les chemins que vous avez choisi de ne pas suivre ;
• les résultats négatifs (« aucune autre sortie depuis cette adresse après le bloc 966 410 ») et les anomalies ;
• tout écart par rapport à la procédure du service, et sa raison.

2026-10-14T09:42Z  A. Examiner  Affaire CF-2026-041
Source : propre nœud Bitcoin, client v30.x, entièrement synchronisé à la hauteur 971,031
Action : récupération de tx 4f3a…c21e (bloc 966,204, hachage 0000…3b9e), 6 sorties
Résultat enregistré : raw/4f3a_c21e.json  SHA-256 consigné dans le registre des preuves
Décision : sortie 2 considérée comme monnaie rendue (même type de script que les entrées, montant non rond) ;
           la sortie 4 (0.30 BTC) est le paiement d'intérêt. Sorties 1, 3, 5, 6 laissées
           pour examen ultérieur : montants et chronologie ne correspondent pas au paiement de la victime (note 17)

L'entrée consigne la source, le bloc exact, le fichier de sortie et la raison pour laquelle certaines sorties ont été mises de côté. La décision est présentée comme une appréciation, et non comme un fait, afin qu'un réviseur sache qu'elle doit être mise à l'épreuve. Les notes font partie du dossier de l'affaire et sont généralement communicables ; rédigez-les donc comme si la défense allait les lire (voir la leçon Communication des pièces et examen critique par la défense).

Ce qui distingue les preuves issues de la blockchain

La plupart des preuves numériques se trouvent sur un appareil qui doit être saisi et faire l'objet d'une image avant que quiconque puisse les examiner. Les données d'une blockchain publique se comportent différemment à trois égards.

Elles sont publiques. Aucun mandat n'est nécessaire pour consulter le registre, et aucune copie unique ne constitue « l'original ». Chaque nœud complet détient le même historique. Cela ne rend pas tous les faits publics : la personne derrière une adresse, le registre interne d'une plateforme d'échange et l'appareil ayant signé une transaction se trouvent tous hors chaîne, et leur obtention relève toujours d'une saisie ou d'une procédure judiciaire.

Elles sont réplicables. Un identifiant de transaction est lui-même un hachage des données de la transaction, et chaque en-tête de bloc contient un engagement cryptographique sur ses transactions et sur le bloc précédent. Toute personne disposant d'un nœud peut récupérer la même transaction et vérifier qu'elle correspond à son identifiant et à son bloc. Deux examinateurs sur des continents différents, utilisant des logiciels différents, peuvent confirmer les mêmes faits bruts. Cela rend la reproductibilité, la plus difficile des quatre exigences pour la plupart des preuves issues d'appareils, presque automatique pour les données brutes de la chaîne, à condition que l'examinateur consigne les hachages des blocs et attende la finalité (voir la leçon Préservation des preuves sur la chaîne).

Elles sont interprétées. Les données brutes indiquent qu'une valeur a été transférée entre des adresses. Elles n'indiquent pas qui les contrôle, quelle sortie constitue la monnaie rendue, ni si un dépôt appartient à un suspect. Ces affirmations proviennent d'heuristiques, d'étiquettes et d'inférences, et c'est là que se situent les erreurs. ISO/IEC 27042 traite précisément de cette couche.

Un rapport solide maintient ces couches visiblement distinctes. La leçon Qualité, normalisation et provenance des données traite de la consignation de la couche brute. La leçon Traçage répondant aux exigences probatoires traite de l'évaluation des liens construits à partir de celle-ci.

Points clés pour l'examen : le champ d'application d'ISO/IEC 27037, 27041, 27042, 27043 et 17025 tel qu'énoncé dans leurs résumés ; les quatre processus de 27037 (identification, collecte, acquisition, préservation) et la différence entre collecte et acquisition ; les rôles de DEFR et de DES ; la pertinence, la fiabilité et la suffisance, y compris la suffisance en tant que mise à l'épreuve d'une hypothèse, et non comme volume ; l'auditabilité, la répétabilité, la reproductibilité et la justifiabilité, ainsi que la distinction entre répétabilité et reproductibilité ; ce que les notes contemporaines des travaux doivent consigner, y compris les décisions et les résultats négatifs ; pourquoi les données de la blockchain sont publiques et réplicables, mais leur signification est interprétée ; le maintien d'une séparation entre les couches de données brutes, de données décodées, de liens heuristiques, d'étiquettes et de conclusions.