Reconnaître les sources de preuves

Avant toute collecte, il faut déterminer où peuvent se trouver les preuves. L’identification, première phase du processus d’investigation numérique (module 1), est plus difficile qu’il n’y paraît : les traces d’un même événement peuvent se trouver sur une douzaine d’appareils, dans plusieurs services en ligne et dans la mémoire des personnes concernées. L’ordinateur portable sur le bureau est rarement la seule source. Le routeur dans un coin, l’ancien téléphone dans un tiroir et la tablette synchronisée à domicile peuvent détenir une partie des informations, et il faut décider quelle source traiter en premier. La sécurisation des lieux est abordée dans la leçon 3.2, et l’acquisition des données dans le module 4.

Partir des questions

Les questions soulevées par l’affaire déterminent ce qui constitue une source. Dans une affaire de harcèlement, les messages ainsi que les comptes et les appareils qui les ont envoyés sont primordiaux ; dans une affaire de vol de données, ce sont les supports de stockage, la synchronisation dans le cloud et les journaux d’accès du serveur de fichiers. Pour chaque question, demandez-vous où les traces des actions pertinentes auraient été créées, copiées ou synchronisées. Les réponses se répartissent généralement en quelques groupes : les appareils, le réseau, les services en ligne et les personnes elles-mêmes.

Ordinateurs et supports de stockage

Les ordinateurs de bureau et portables restent des sources centrales : documents, historique de navigation, clients de messagerie électronique, applications de messagerie instantanée, journaux du système d’exploitation et traces des appareils connectés. Leur stockage se présente sous plusieurs formes.

• Les disques durs (HDD) stockent les données sur des plateaux magnétiques en rotation. Les données supprimées subsistent souvent jusqu’à leur écrasement.
• Les disques SSD utilisent de la mémoire flash. Beaucoup se connectent via l’interface SATA ; les disques NVMe se connectent via PCI Express et prennent souvent la forme de petites cartes M.2. Certains ordinateurs portables disposent d’un stockage soudé à la carte mère : il n’y a donc aucun disque à retirer.
• Les clés USB et les cartes mémoire, comme les cartes SD et microSD, sont petites et faciles à dissimuler. Une carte microSD est à peu près de la taille d’un ongle.
• Les supports optiques (CD, DVD et disques Blu-ray) sont moins courants aujourd’hui, mais se rencontrent encore dans les archives et les systèmes anciens.

Les supports amovibles se trouvent parfois dans des endroits inhabituels : à l’intérieur de livres, dans des poches de manteau, des coques de téléphone ou des consoles de jeux, fixés sous des tiroirs avec du ruban adhésif, ou dissimulés sous la forme d’un porte-clés ou d’un stylo. Recherchez-les de manière méthodique.

Téléphones, objets portables et objets connectés

Les téléphones et les tablettes contiennent souvent davantage d’informations sur la vie d’une personne que n’importe quel ordinateur : messages, appels, contacts, photos avec données de localisation et données d’applications. Ce sont aussi les appareils les plus exposés aux modifications à distance, ce qui explique les précautions particulières présentées dans les leçons 3.2 et 3.3.

• Les objets connectés portables, comme les montres connectées et les bracelets d’activité, enregistrent l’activité, la fréquence cardiaque et parfois la localisation, et se synchronisent généralement avec une application sur téléphone et le service cloud du fabricant.
• Les appareils domotiques et IoT (Internet des objets), comme les enceintes connectées, les sonnettes avec caméra, les thermostats et les serrures connectées, conservent des historiques d’événements : quand une porte a été déverrouillée, quand un mouvement a été détecté. Une grande partie de cet historique se trouve souvent dans le service cloud du fabricant, accessible via le compte de l’utilisateur, plutôt que sur l’appareil.
• Les véhicules peuvent conserver les téléphones appairés, les contacts, les journaux d’appels et l’historique de navigation dans le système d’infodivertissement, tandis que les unités télématiques peuvent transmettre la localisation et les événements de conduite à un prestataire de services.
• Les consoles de jeux disposent de comptes utilisateurs, d’une messagerie, de navigateurs et d’un espace de stockage, et sont facilement négligées.

Équipements réseau, caméras et services en ligne

• Les routeurs et les pare-feu indiquent quels appareils se sont connectés et où le trafic a été acheminé : listes des clients connectés, baux DHCP (enregistrements indiquant quelle adresse réseau a été attribuée à quel appareil) et journaux de connexion. De nombreux routeurs domestiques ne conservent leurs journaux qu’en mémoire ; un redémarrage les efface donc.
• Les NAS (serveurs de stockage en réseau) sont de petits serveurs de fichiers, qui contiennent souvent des fichiers partagés et des sauvegardes de plusieurs ordinateurs sur des disques regroupés dans une grappe RAID.
• Les caméras et les enregistreurs de vidéosurveillance (DVR et NVR, enregistreurs vidéo numériques et en réseau) enregistrent en continu et écrasent les séquences les plus anciennes lorsque le disque est plein, souvent au bout de quelques jours ou semaines. Leurs horloges sont fréquemment incorrectes ; l’écart entre l’heure de l’enregistreur et une référence fiable doit donc être consigné.
• Les comptes cloud et les services en ligne, comme la messagerie électronique, le stockage de fichiers, les réseaux sociaux, la messagerie instantanée et les sauvegardes d’appareils, peuvent contenir des données qui n’existent plus sur aucun appareil. Un fournisseur détient ces données, souvent dans un autre pays, et elles sont obtenues auprès du titulaire du compte ou du fournisseur dans le cadre d’une autorisation appropriée (module 2).

Sources moins évidentes

• Les imprimantes et les appareils multifonctions peuvent conserver un historique des travaux d’impression, de copie et de numérisation, et certains modèles disposent d’un stockage interne.
• Les cartes SIM identifient l’abonnement mobile. Le numéro de série de la carte (ICCID) est imprimé dessus, et une carte SIM peut stocker un petit nombre de contacts et de SMS, même si les téléphones modernes conservent la plupart des données sur le téléphone lui-même.
• Les sauvegardes sur des disques externes, des partages NAS, d’anciens téléphones et des ordinateurs (qui contiennent souvent des sauvegardes de téléphones) peuvent contenir des données supprimées de l’appareil actuel.
• Les appareils synchronisés : les messages, les photos et l’historique de navigation d’un appareil apparaissent souvent sur une tablette, un second ordinateur ou une application de messagerie sur ordinateur liée au même compte.
• Les mots de passe et les notes manuscrites : notes adhésives, carnets et documents près d’un ordinateur. Ils peuvent permettre de déverrouiller ultérieurement un appareil chiffré ; ils sont donc photographiés sur place et traités comme des scellés.

La personne comme source

Les personnes présentes sur les lieux savent souvent ce qu’aucun outil ne peut découvrir rapidement : quels appareils elles utilisent, quels comptes elles possèdent, si le stockage est chiffré et quels sont les mots de passe. Poser des questions générales à ce sujet peut économiser plusieurs jours de travail. La possibilité de poser ces questions, ainsi que l’obligation éventuelle d’y répondre, dépendent du cadre juridique et du rôle de l’enquêteur (module 2). Dans les organisations, le personnel informatique sait où les journaux sont conservés, pendant combien de temps et qui dispose d’un accès administrateur. Consignez chaque question, la réponse et l’heure. Un mot de passe obtenu sur les lieux n’est pas utilisé pour parcourir le contenu de l’appareil ; il est utilisé ultérieurement, dans le cadre d’une acquisition contrôlée et documentée (module 4).

Déterminer les priorités

Toutes les sources ne peuvent pas être traitées en même temps. En vous appuyant sur l’ordre de volatilité (module 1), évaluez quatre facteurs.

1. Pertinence : dans quelle mesure la source répond directement aux questions de l’affaire.
2. Volatilité et risque de perte : dans quel délai les données pourraient disparaître en raison d’une coupure d’alimentation, d’un écrasement, de la rotation des journaux ou d’une suppression à distance.
3. Caractère unique : si les données existent uniquement à cet endroit ou également ailleurs, par exemple sur un serveur déjà préservé.
4. Effort et impact : le temps nécessaire à la collecte et les perturbations qu’elle entraîne pour le propriétaire ou une entreprise.

Un enregistreur de vidéosurveillance sur le point d’écraser les séquences de la semaine précédente peut être prioritaire par rapport à un ordinateur portable éteint dont les données resteront intactes. Consigner les priorités et leurs motifs permet de les justifier.

Vue d’ensemble des sources

Points clés pour l’examen : Gardez à l’esprit les principaux groupes de sources de preuves (ordinateurs et supports de stockage, téléphones et tablettes, objets connectés portables, appareils IoT et domotiques, véhicules, équipements réseau, enregistreurs de vidéosurveillance, consoles de jeux, comptes cloud) ainsi que les sources moins évidentes : imprimantes, cartes SIM, sauvegardes, appareils synchronisés et mots de passe manuscrits. Attendez-vous à des questions de mise en situation sur la hiérarchisation des sources selon leur pertinence, leur volatilité et leur risque de perte, leur caractère unique et l’effort nécessaire, sur les journaux des routeurs et l’écrasement des enregistrements de vidéosurveillance, ainsi que sur la personne comme source d’informations concernant les appareils, les comptes et les mots de passe.