Notes contemporaines

« Si cela n’a pas été consigné par écrit, cela n’a pas eu lieu » est une exagération, mais cette formule reflète assez bien la manière dont les réviseurs et les tribunaux considèrent le travail d’investigation numérique. Les notes contemporaines sont des notes prises au moment d’une action, ou dès que possible après celle-ci, par la personne qui l’a effectuée. Elles constituent le relevé personnel de l’examinateur de ce qui a été fait, avec quels moyens et pour quelles raisons. La manière dont les notes alimentent le rapport final est traitée dans le module 7.

Ce que signifie « contemporain »

Contemporain signifie effectué au même moment. Une note rédigée pendant la création de l’image d’un disque, ou immédiatement après, consigne ce que l’examinateur a vu ; une note rédigée de mémoire une semaine plus tard consigne ce dont il se souvient, ce qui est moins fiable et plus facile à contester. Lorsqu’une entrée ne peut pas être rédigée sur le moment, par exemple pendant une perquisition menée à un rythme soutenu, elle est rédigée dès que possible et indique quand elle l’a été. Les notes ne sont pas le rapport. Elles constituent le relevé brut à partir duquel le rapport est rédigé et auquel il peut être confronté pour vérification.

Que consigner

• La date et l’heure avec le fuseau horaire pour chaque entrée, par exemple 14:32 UTC+02:00. Lorsque cela est pertinent, consignez également l’heure affichée par l’appareil examiné par rapport à une horloge de référence fiable (module 6).
• Les actions : ce qui a été fait et sur quelle pièce, identifiée par son numéro de scellé.
• Les outils et leurs versions : le matériel et les logiciels utilisés, avec leurs numéros de version, y compris le bloqueur d’écriture et la station de travail.
• Les paramètres : les options choisies, comme le format d’image, la taille des segments, les algorithmes de hachage et les termes de recherche.
• Les observations : ce qui a été vu, comme un programme en cours d’exécution, un message à l’écran, des dommages, des étiquettes et des numéros de série.
• Les résultats : les valeurs de hachage écrites intégralement, les messages d’erreur et le nombre d’éléments trouvés.
• Les problèmes et les décisions, avec leurs motifs : tout ce qui ne s’est pas déroulé comme prévu, ce qui a été décidé et pourquoi, y compris les options envisagées et écartées.

Consignez également ce que vous n’avez pas fait, lorsque cela est pertinent. « Mémoire non capturée : l’ordinateur portable était éteint à l’arrivée » répond à une question avant même qu’elle soit posée.

Papier ou électronique

Carnets reliés

Le choix traditionnel est un carnet relié aux pages numérotées, dans lequel les notes sont écrites à l’encre indélébile. Les pages ne sont jamais arrachées et les entrées ne sont jamais effacées ni écrasées par une nouvelle écriture. Une erreur est corrigée en barrant le texte erroné d’un trait unique, afin qu’il reste lisible, puis en ajoutant la correction, la date et les initiales du rédacteur. L’espace laissé vide à la fin d’une entrée ou d’une page est barré afin que rien ne puisse être ajouté ultérieurement, et chaque page est datée et paraphée.

Notes électroniques

Les notes saisies au clavier sont plus faciles à lire et à parcourir par recherche, et elles peuvent contenir des valeurs de hachage et des chemins de fichiers copiés exactement à partir des sorties des outils. Elles nécessitent des protections équivalentes : un horodatage automatique ; un historique qui conserve chaque modification au lieu de remplacer le texte, comme un dépôt avec gestion de versions ou un système de gestion des dossiers qui conserve les versions précédentes ; et un moyen de démontrer que les notes n’ont pas été modifiées ultérieurement, par exemple en consignant une valeur de hachage du fichier de chaque journée ou en l’enregistrant sur un support à écriture unique. Un fichier de traitement de texte que n’importe qui peut modifier sans laisser de trace constitue un relevé peu probant. Les journaux produits par les outils sont conservés avec les notes, qui y font référence plutôt que de les remplacer.

Comment les rédiger

Les notes doivent être compréhensibles par une personne qui n’était pas présente, qu’il s’agisse d’un réviseur, d’un avocat ou de l’examinateur lui-même des années plus tard. Consignez les faits et les observations, et indiquez clairement toute opinion ou déduction comme telle. N’utilisez des abréviations que si elles sont courantes dans votre organisation ou expliquées dans les notes. Chaque personne qui effectue une action rédige ses propres notes ; si un collègue consigne des actions pour une autre personne, par exemple pendant que celle-ci manipule un appareil, la note indique qui a fait quoi et qui l’a rédigée. Les notes font partie du dossier et peuvent être communiquées ; n’y écrivez donc rien que vous ne seriez pas disposé à expliquer devant un tribunal.

Photographies et enregistrements d’écran

Les images rendent souvent mieux compte d’une scène ou d’un écran que les mots. Les photographies d’un appareil tel qu’il a été trouvé, de ses étiquettes, de ses ports, de son emballage et de ses scellés, ainsi que de ce qu’affichait son écran, font partie des notes. Lors d’une intervention sur un système en cours de fonctionnement, un enregistrement d’écran, ou une caméra filmant l’écran, montre exactement ce qui a été saisi et ce qui est apparu. Conservez les fichiers image et vidéo originaux, consignez leurs valeurs de hachage et faites référence à chacun par son numéro dans les notes écrites afin que les deux puissent être consultés ensemble. Une photographie ne s’explique pas d’elle-même : la note indique ce qu’elle montre et pourquoi elle a été prise.

Pourquoi les notes sont importantes

Les notes permettent de mettre en pratique les aspects de la manipulation des éléments de preuve abordés dans le module 1.

• La répétabilité et la reproductibilité dépendent de la connaissance exacte de l’outil, de sa version, des paramètres et des données d’entrée qui ont produit un résultat. Sans ces informations, personne, pas même l’examinateur initial, ne peut exécuter à nouveau les mêmes étapes.
• La justifiabilité dépend des motifs consignés. Une décision qui paraît étrange un an plus tard, comme le fait de ne créer une image que d’une partie d’un serveur, peut être défendue si les notes montrent la contrainte qui l’a imposée.
• La revue par les pairs, au cours de laquelle un second examinateur vérifie le travail avant la remise du rapport, s’appuie sur les notes et les journaux des outils, et non sur des échanges oraux.
• Le témoignage peut intervenir des mois ou des années après l’examen. Les examinateurs s’appuient sur leurs notes pour répondre avec exactitude, et celles-ci peuvent être communiquées à la partie adverse, qui les lira attentivement.

Prenons le cas de Rafael Costa, l’examinateur indépendant de la leçon 2.3, à qui l’on demande au tribunal pourquoi il n’a pas examiné une partition d’un disque. Ses notes indiquent : « Partition 3 chiffrée, aucune clé fournie. Clé demandée au responsable du dossier à 10:15 UTC ; le responsable a répondu à 11:40 qu’aucune n’était disponible. » Sa réponse est immédiate et crédible. Sans cette note, il pourrait seulement dire qu’il ne se souvient pas.

Bonnes et mauvaises notes

Points clés pour l’examen : Partez de la définition de « contemporain » (consigné sur le moment, par la personne qui a agi), puis retenez le contenu d’une entrée : date et heure avec fuseau horaire, identifiant de la pièce, action, outil et version, paramètres, observations, résultats tels que les valeurs de hachage complètes, ainsi que les problèmes et les décisions avec leurs motifs. Pour l’intégrité, retenez : carnets reliés, encre indélébile, texte barré d’un trait unique avec date et initiales, aucun effacement, et notes électroniques horodatées, avec gestion de versions ou sur support à écriture unique. Attendez-vous à des questions reliant les notes à la répétabilité, à la reproductibilité, à la justifiabilité, à la revue par les pairs et au témoignage.