Ce qui fait des données des éléments de preuve

Toute enquête portant sur un ordinateur, un téléphone ou un compte en ligne aboutit à la même question : peut-on se fier à ces données pour établir ce qui s’est passé ? Un fichier sur un ordinateur portable n’est que de la donnée. Il devient un élément de preuve numérique lorsqu’il est pertinent pour une question que quelqu’un doit trancher et qu’il a été traité de manière à permettre à d’autres de s’y fier. Distinguer les deux et savoir comment les normes internationales évaluent les éléments de preuve numériques constitue le point de départ de tout examinateur.

Données, informations et éléments de preuve

Il est utile de distinguer trois notions souvent employées comme si elles étaient équivalentes.

• Les données sont ce qui est stocké : les octets d’un fichier, un enregistrement de base de données, une ligne de journal, le contenu de la mémoire.
• Les informations sont des données interprétées dans leur contexte. Une ligne dans une base de données d’historique de navigation est une donnée ; « ce compte a consulté cette page web à 14:02 UTC » est une information.
• Les éléments de preuve sont des informations qui contribuent à prouver ou à réfuter un fait en question et qui ont été identifiées, collectées et préservées de manière à pouvoir en démontrer l’origine et l’intégrité.

ISO/IEC 27037, la ligne directrice internationale pour l’identification, la collecte, l’acquisition et la préservation des éléments de preuve numériques, définit ces derniers comme des informations ou des données, stockées ou transmises sous forme binaire, sur lesquelles on peut s’appuyer à titre de preuve. Tant qu’elles n’ont pas été examinées, la norme les qualifie d’éléments de preuve numériques potentiels : personne ne sait encore si elles sont pertinentes, elles doivent donc être traitées comme si elles pouvaient l’être.

Ce qui distingue les éléments de preuve numériques

Les éléments de preuve numériques suivent la même logique que tout autre élément de preuve, mais ils présentent des particularités qui déterminent chaque étape du travail.

• Ils sont latents. Personne ne peut lire un disque simplement en le regardant. Des outils et un examinateur sont nécessaires pour rendre les données visibles ; la méthode elle-même doit donc être expliquée et digne de confiance.
• Ils sont fragiles. Les données peuvent être modifiées, écrasées ou détruites par l’utilisation ordinaire de l’appareil, par une mise à jour automatique ou par un examinateur négligent. La leçon 1.2 traite ce sujet en détail.
• Une copie exacte est possible. Contrairement à une empreinte digitale prélevée sur un verre, une copie bit à bit d’un disque est identique à l’original. Une valeur de hachage cryptographique, telle que SHA-256, permet à quiconque de vérifier que la copie n’a pas changé (module 4).
• Ils comportent des métadonnées. Les fichiers, les messages et les enregistrements sont accompagnés de données qui les décrivent : horodatages, auteurs, identifiants d’appareils, localisations. Les métadonnées répondent souvent mieux à la question que le contenu lui-même.
• Ils sont abondants et mêlés. Un seul téléphone contient des années de la vie d’une personne, ainsi que des données appartenant à d’autres personnes. Les examinateurs doivent trouver ce qui est pertinent sans dépasser le périmètre de ce qu’ils sont autorisés à examiner (module 2).
• Ils se trouvent souvent ailleurs. Les courriels, les conversations et les documents peuvent se trouver sur des serveurs situés dans d’autres pays et être synchronisés sur plusieurs appareils.

Trois critères : pertinence, fiabilité et suffisance

ISO/IEC 27037 énonce trois principes qui régissent les éléments de preuve numériques. Ils constituent une liste de contrôle utile pour tout élément que vous envisagez de collecter.

La suffisance ne signifie pas tout collecter. Elle signifie collecter suffisamment d’éléments pour répondre à la question et tester d’autres explications, tout en respectant le périmètre de l’autorisation.

Quatre aspects d’un traitement rigoureux

La même norme énumère quatre aspects qui permettent de défendre la manière dont les éléments de preuve numériques ont été traités. Ils reviennent dans chaque module de ce cours.

1. Auditabilité : une personne indépendante peut examiner ce qui a été fait, car chaque action a été consignée.
2. Répétabilité : le même examinateur, utilisant la même méthode et les mêmes outils dans les mêmes conditions, obtient le même résultat.
3. Reproductibilité : un autre examinateur, avec des outils différents ou dans un laboratoire différent, utilisant la même méthode, obtient le même résultat.
4. Justifiabilité : chaque action et chaque décision peuvent être expliquées comme le meilleur choix possible dans les circonstances.

La répétabilité et la reproductibilité expliquent pourquoi les examinateurs travaillent sur des copies vérifiées et évitent les outils dont les résultats ne peuvent pas être contrôlés. La justifiabilité est importante lorsque la démarche idéale était impossible : si un téléphone a dû être examiné alors qu’il était allumé, les notes doivent en indiquer la raison.

Des éléments de preuve à charge et à décharge

Un élément de preuve qui étaye une allégation est dit à charge ; un élément qui l’affaiblit est dit à décharge. Un examinateur recherche les deux. Un journal montrant qu’un compte copie des fichiers constitue un élément à charge ; ce même journal montrant que le compte était utilisé alors que son propriétaire se trouvait à bord d’un avion constitue un élément à décharge, qui doit être rapporté tout aussi clairement. L’examen forensique sert à établir les faits, et non à défendre une partie.

Idées reçues courantes

Quatre idées reçues sont à l’origine de la plupart des premières erreurs commises avec les éléments de preuve numériques.

• « Supprimé signifie disparu. » La suppression d’un fichier ne retire généralement que la référence à celui-ci ; le contenu reste souvent présent jusqu’à son écrasement. L’inverse est également vrai : certains systèmes, tels que les disques SSD, effacent rapidement les données supprimées (leçon 1.2).
• « Une capture d’écran suffit. » Une capture d’écran montre ce qu’un écran affichait, pas l’origine des données. C’est un indice utile, pas un substitut à la source.
• « L’outil a toujours raison. » Les outils forensiques analysent les données selon ce que leurs développeurs en ont compris. Les résultats doivent être vérifiés, en particulier pour les nouvelles versions des systèmes d’exploitation et des applications.
• « Plus il y a de données, mieux c’est. » Tout collecter peut dépasser le cadre de l’autorisation, porter atteinte à la vie privée d’autres personnes et noyer les éléments pertinents. Collectez ce qu’exigent les questions et ce qui est nécessaire pour tester d’autres hypothèses.

Un exemple détaillé

Une entreprise soupçonne qu’un salarié a envoyé une liste de prix confidentielle à un concurrent avant de démissionner. Le premier fichier découvert est une capture d’écran d’un courriel transféré par un collègue.

• La capture d’écran est pertinente, mais sa fiabilité est faible : elle peut être modifiée et ne présente aucune donnée d’en-tête prouvant qui a envoyé le message, quand et à qui.
• La boîte aux lettres sur le serveur de messagerie de l’entreprise, exportée avec ses en-têtes et vérifiée à l’aide de valeurs de hachage, est bien plus fiable.
• Pour assurer la suffisance, l’examinateur préserve également le dossier des éléments envoyés, les journaux de transport du serveur de messagerie et l’ordinateur portable du salarié, afin de pouvoir tester d’autres explications, telles qu’un compte avec délégation d’accès ou un mot de passe partagé.

Le même fait, « ce courriel a été envoyé », constitue un élément de preuve faible ou solide selon sa provenance et la manière dont il a été traité.

Points clés pour l’examen : Maîtrisez la différence entre données, informations et éléments de preuve numériques ; les trois principes d’ISO/IEC 27037 (pertinence, fiabilité, suffisance) et ses quatre aspects du traitement (auditabilité, répétabilité, reproductibilité, justifiabilité), et distinguez la répétabilité de la reproductibilité. Les questions portent également sur les particularités des éléments de preuve numériques : latents, fragiles, copiables à l’identique et vérifiables par des valeurs de hachage, riches en métadonnées. N’oubliez pas que les examinateurs recherchent les éléments à décharge aussi bien que les éléments à charge.