Les systèmes de fichiers en un coup d’œil

Presque toutes les questions auxquelles un examinateur répond à propos d’un ordinateur, d’un téléphone ou d’une carte mémoire passent par son système de fichiers. Le système de fichiers détermine où les données sont stockées, comment elles sont nommées, quand elles ont été modifiées et ce qui se produit lorsqu’elles sont supprimées. Comprendre son fonctionnement explique l’un des faits les plus utiles en investigation numérique : les données supprimées peuvent souvent encore être retrouvées. Les horodatages font l’objet d’une leçon distincte (leçon 6.2), et les traces laissées par les programmes et les utilisateurs sont abordées dans la leçon 6.3.

Le rôle d’un système de fichiers

Un support de stockage est une longue suite de secteurs numérotés, généralement de 512 ou 4 096 octets chacun. À lui seul, il ne comporte ni fichiers ni dossiers. Un système de fichiers organise cet espace et assure le suivi de quatre éléments :

• Noms et dossiers : la hiérarchie visible par l’utilisateur, par exemple Documents\Invoices\march.xlsx.
• Métadonnées : les informations concernant chaque fichier, comme sa taille, ses horodatages, son propriétaire et ses autorisations.
• Allocation : les parties du disque qui contiennent le contenu de chaque fichier.
• Espace libre : les parties du disque disponibles pour de nouvelles données.

L’espace est attribué en clusters (Windows) ou en blocs (Linux et macOS) : des groupes de secteurs qui constituent la plus petite unité qu’un fichier peut occuper, souvent de 4 Kio. Un fichier de 10 Kio occupe donc trois clusters de 4 Kio, et la partie inutilisée du dernier constitue un élément de preuve important, comme expliqué ci-dessous.

Partitions et volumes

Avant qu’un système de fichiers soit mis en place, un disque est divisé en partitions, décrites par une table de partitions située au début du disque.

• MBR (Master Boot Record), le schéma le plus ancien, permet quatre partitions principales et, avec des secteurs de 512 octets, des disques allant jusqu’à 2 Tio.
• GPT (GUID Partition Table), utilisé par les ordinateurs modernes qui démarrent avec UEFI, prend en charge des disques beaucoup plus volumineux et de nombreuses partitions, et conserve une copie de sauvegarde de la table à la fin du disque.

Un volume est une partition, ou un ensemble de partitions, qui contient un système de fichiers. Le disque d’un ordinateur portable en contient généralement plusieurs : une petite partition de démarrage, une partition de récupération et le volume principal. Une image physique (module 4) les capture toutes, y compris l’espace entre les partitions qui n’appartient à aucune d’entre elles.

Les systèmes de fichiers que vous rencontrerez

Les anciens Mac et certains disques externes utilisent HFS+, le prédécesseur d’APFS. Il est important d’identifier rapidement le système de fichiers, car il détermine quels outils peuvent lire le volume, comment les données supprimées se comportent et comment les horodatages doivent être interprétés.

À l’intérieur de NTFS et de FAT

NTFS : la table des fichiers maîtres

NTFS conserve une table des fichiers maîtres (MFT), un fichier spécial contenant un enregistrement, généralement de 1 Kio, pour chaque fichier et dossier du volume. Chaque enregistrement contient des attributs, dont $STANDARD_INFORMATION (horodatages et indicateurs), $FILE_NAME (le nom, le dossier parent et un autre ensemble d’horodatages) et $DATA (le contenu). Les très petits fichiers peuvent être stockés intégralement dans leur enregistrement MFT : on parle alors de données résidentes ; les fichiers plus volumineux ont leur contenu dans des clusters situés ailleurs, dont l’emplacement est indiqué dans l’enregistrement. NTFS conserve également des journaux des modifications récentes, tels que $LogFile et le journal des modifications $UsnJrnl, qu’exploitent les analyses de niveau examinateur pour reconstituer l’activité.

FAT : les entrées de répertoire et la table d’allocation

FAT stocke le nom, la taille, les horodatages et le cluster de départ de chaque fichier dans une entrée de répertoire, au sein de son dossier parent. La table d’allocation des fichiers elle-même est une liste comportant une entrée par cluster, qui relie chaque cluster d’un fichier au suivant. Cette structure simple rend FAT facile à lire sur presque tous les appareils et facile à examiner manuellement.

Espace alloué, espace non alloué et espace résiduel

• L’espace alloué appartient aux fichiers existants et correspond à ce qu’un utilisateur, ou une copie logique, voit.
• L’espace non alloué est marqué comme libre. Il n’est pas nécessairement vide : il contient souvent le contenu de fichiers supprimés et des fragments de données plus anciennes.
• L’espace résiduel de fichier est l’espace inutilisé entre la fin d’un fichier et la fin de son dernier cluster. Il peut contenir des vestiges de ce qui occupait précédemment ce cluster.

Seule une image physique ou une image de volume (module 4) préserve l’espace non alloué et l’espace résiduel, ce qui explique en partie pourquoi les examinateurs les privilégient lorsque les données supprimées peuvent avoir de l’importance.

Ce que fait réellement la suppression

Supprimer un fichier dans l’Explorateur Windows ou le Finder de macOS le déplace normalement vers la Corbeille, qui n’est qu’un autre dossier. La vider, ou supprimer directement un fichier, modifie les enregistrements du système de fichiers plutôt que le contenu :

• Dans NTFS, l’enregistrement MFT est marqué comme inutilisé et les clusters du fichier sont marqués comme libres. Le contenu reste à son emplacement jusqu’à ce que de nouvelles données l’écrasent, et l’enregistrement MFT lui-même peut subsister pendant un certain temps.
• Dans FAT, le premier caractère du nom dans l’entrée de répertoire est remplacé par l’octet E5 (hexadécimal), et la chaîne de clusters du fichier dans la table d’allocation est effacée. Le contenu demeure généralement, mais retrouver tous les morceaux d’un fichier fragmenté devient plus difficile.

Les données supprimées peuvent donc souvent être récupérées sur les disques durs et les cartes mémoire. Sur les disques SSD, TRIM (module 1) peut amener le disque à effacer les blocs libérés peu après la suppression ; l’absence de données supprimées sur un SSD est donc normale plutôt que suspecte.

La récupération par signature

Lorsque les enregistrements du système de fichiers ont disparu, le contenu peut encore être retrouvé par récupération par signature : il s’agit de parcourir les données brutes, généralement dans l’espace non alloué, à la recherche de signatures connues qui marquent le début et la fin des types de fichiers. Une image JPEG commence par les octets FF D8 FF et se termine par FF D9 ; un PDF commence par le texte %PDF ; les fichiers DOCX et XLSX sont des archives ZIP, qui commencent par les lettres PK. Les fichiers récupérés par signature n’ont ni leur nom d’origine, ni leur dossier d’origine, ni leurs horodatages du système de fichiers, et les fichiers fragmentés peuvent être récupérés de manière incomplète ou mélangés à d’autres données. Les résultats de la récupération par signature doivent donc être vérifiés et présentés pour ce qu’ils sont dans le rapport.

Un exemple pratique

Une carte mémoire provenant de l’appareil photo d’une photographe est formatée en exFAT. La propriétaire déclare avoir supprimé une série de photos plusieurs semaines auparavant et avoir pris de nombreuses photos depuis. L’examinateur crée une image de la carte à l’aide d’un bloqueur d’écriture et retrouve les entrées de répertoire restantes de certains fichiers supprimés, avec leurs noms et leurs tailles ; la récupération par signature dans l’espace non alloué permet de récupérer des dizaines d’autres fichiers JPEG sans nom. Certaines images récupérées par signature sont partiellement grises là où leurs clusters ont été écrasés par des photos plus récentes. Le rapport distingue les photos récupérées avec leurs métadonnées du système de fichiers des photos récupérées par signature, et précise que les dates des photos récupérées par signature ne peuvent provenir que des données contenues dans les images elles-mêmes.

Points clés pour l’examen : Les questions portent d’abord sur les éléments suivis par un système de fichiers (noms, métadonnées, allocation, espace libre), les clusters et les blocs, les différences entre MBR et GPT, ainsi que les contextes d’utilisation de NTFS, FAT32, exFAT, ext4 et APFS. Vous devez connaître la table des fichiers maîtres de NTFS et les données résidentes, les entrées de répertoire de FAT et la table d’allocation, ainsi que la différence entre espace alloué, espace non alloué et espace résiduel de fichier. Une question typique demande ce que la suppression modifie dans NTFS et FAT ; d’autres portent sur les raisons pour lesquelles les SSD ne conservent souvent aucune donnée supprimée et sur ce que la récupération par signature peut ou ne peut pas récupérer.