Saisie, conditionnement et transport

Une fois les lieux sécurisés et documentés, soit les objets sont saisis, soit leurs données sont copiées sur place. Dans les deux cas, les éléments de preuve doivent parvenir au laboratoire dans l'état où ils ont été trouvés, et toute personne doit pouvoir constater qu'ils n'ont été ni ouverts ni remplacés en cours de route. La réalisation des copies est traitée dans le module 4, et l'enregistrement des transferts dans le module 5.

Saisir l'objet ou copier les données

La saisie d'un appareil permet à l'examinateur de disposer de l'original, de temps et d'un environnement contrôlé. La copie sur place, qui constitue une acquisition (module 4), est parfois la seule option et parfois la meilleure.

• Saisissez l'objet lorsque l'appareil est transportable, que l'autorisation le permet, que l'examen prendra du temps ou que l'appareil lui-même présente un intérêt, par exemple pour examiner le matériel d'un téléphone ou établir qui le détenait.
• Copiez les données sur place lorsque le système ne peut pas être déplacé ou arrêté, comme un serveur d'entreprise ou une baie de stockage ; lorsque les données sont chiffrées et lisibles uniquement pendant que le système fonctionne ; lorsque la saisie du matériel serait disproportionnée (module 2) ; ou lorsque les données se trouvent dans un service cloud.

Certaines affaires nécessitent les deux : une copie à chaud de la mémoire et d'un volume déverrouillé, suivie de la saisie de l'appareil.

Étiquetage et identification

Chaque scellé reçoit un numéro unique qui le suit dans tous les registres et rapports. De nombreux organismes combinent la référence de l'affaire, les initiales de la personne chargée de la collecte et un numéro séquentiel. Les éléments qui peuvent être séparés, comme un ordinateur portable, son chargeur et une carte mémoire trouvée à l'intérieur, reçoivent chacun leur propre numéro et sont enregistrés comme étant liés.

• Photographiez chaque objet avec son étiquette visible avant de le conditionner.
• Fixez les étiquettes sur l'emballage ou utilisez des étiquettes à attacher, sans recouvrir les numéros de série, les ports ou les vis de l'appareil lui-même.
• Inscrivez dans la liste des scellés le numéro du scellé, sa description, le lieu où il a été trouvé, la date et l'heure, ainsi que l'identité de la personne qui l'a saisi.

Conditionnement

Le conditionnement protège les objets des dommages physiques, de l'électricité statique, des signaux radio et des manipulations non autorisées.

• Les sachets antistatiques protègent les disques sans boîtier, les modules de mémoire et les cartes électroniques contre les décharges électrostatiques, qui peuvent endommager les composants. Les sacs en plastique ordinaires peuvent accumuler de l'électricité statique et sont à éviter pour les composants électroniques sans protection.
• Les boîtes rigides rembourrées protègent contre l'écrasement et les chocs. Les disques durs, qui comportent des pièces mobiles, sont particulièrement sensibles aux chocs.
• Les sacs ou enveloppes en papier conviennent aux objets susceptibles d'être humides, car le plastique fermé hermétiquement peut retenir l'humidité.
• Les sacs de Faraday (sacs de blindage RF) bloquent les signaux de téléphonie mobile, Wi-Fi et Bluetooth à destination et en provenance des téléphones, tablettes et objets connectés portables.

Sacs de Faraday et décharge de la batterie

Un téléphone placé dans un sac blindé continue de rechercher un réseau, ce qui décharge généralement sa batterie plus vite que la normale. Si la batterie est épuisée, le téléphone s'éteint et, au redémarrage, une grande partie de ses données peut rester chiffrée jusqu'à la saisie du code d'accès. Maintenez les téléphones isolés en charge, à l'aide d'une batterie externe placée dans le sac ou d'un sac doté d'un port de charge blindé ; un câble de charge passé par l'ouverture du sac peut laisser entrer des signaux et compromettre le blindage. N'ouvrez le sac qu'à l'intérieur d'une enceinte ou d'une pièce blindée, sinon le téléphone se reconnectera. Testez les sacs de temps à autre, par exemple en appelant un téléphone de test placé à l'intérieur.

Mise sous scellés

Chaque emballage est fermé avec un ruban de sécurité à témoin d'effraction, et la personne qui le scelle appose sa signature et la date à cheval sur le ruban et l'emballage. Toute tentative ultérieure d'ouverture déchire le ruban ou rompt la continuité de la signature. Lorsqu'un examinateur ouvre ensuite l'emballage, il le découpe à distance du scellé d'origine, consigne l'ouverture, puis le referme avec un nouveau ruban et une nouvelle signature, afin que tout l'historique reste visible.

Câbles, chargeurs et adaptateurs secteur

Saisissez les chargeurs et les adaptateurs secteur qui appartiennent aux appareils saisis. Les téléphones et les ordinateurs portables peuvent utiliser des connecteurs propriétaires, et un téléphone conservé dans un sac blindé devra être alimenté dans les heures qui suivent. Les disques externes et les appareils NAS peuvent nécessiter leur propre alimentation pour être lus, et des stations d'accueil, des câbles spéciaux et des clés de sécurité matérielles peuvent être nécessaires par la suite pour accéder aux données. Chaque accessoire reçoit son propre numéro de scellé, lié à l'appareil auquel il appartient.

Transport

• Tenez les objets à l'écart de la chaleur, par exemple dans une voiture garée au soleil, et du froid susceptible de provoquer de la condensation lorsqu'ils sont rentrés à l'intérieur.
• Tenez-les à l'écart des aimants puissants, comme ceux des grandes enceintes acoustiques, qui peuvent endommager les supports magnétiques.
• Protégez-les de l'humidité, des vibrations et des chocs, et immobilisez les boîtes pour qu'elles ne puissent ni glisser ni tomber.
• Ne laissez pas les éléments de preuve sans surveillance dans un véhicule ; conduisez-les directement vers un lieu de stockage sécurisé.
• Consignez chaque transfert entre personnes ou lieux, avec la date, l'heure et les signatures, dans le registre de la chaîne de traçabilité (module 5).

Un serveur de centre de données face à un ordinateur portable personnel

Deux saisies dans une même affaire illustrent ce contraste. Au domicile du suspect, l'ordinateur portable personnel est éteint. L'équipe le photographie, l'étiquette ainsi que son chargeur, le place dans une boîte rembourrée, le met sous scellés et l'emporte.

Chez l'employeur du suspect, les données pertinentes se trouvent sur une machine virtuelle dans un centre de données, sur une baie de stockage partagée par des dizaines de systèmes qui doivent continuer à fonctionner. Saisir le matériel n'est ni possible ni proportionné. À la place, avec l'aide des administrateurs système et dans le périmètre convenu, un spécialiste réalise sur place l'acquisition des fichiers de disque de la machine virtuelle et des journaux pertinents (module 4), consigne les valeurs de hachage de chaque copie, note qui a fait quoi à chaque étape et documente la configuration : plateforme de virtualisation, organisation du stockage et paramètres horaires. Si des disques physiques d'un ensemble RAID doivent un jour être retirés, leurs positions dans les emplacements sont étiquetées, car l'ensemble risque de ne pas pouvoir être reconstruit correctement sans cet ordre. Ce sont ensuite les copies, et non le serveur, qui sont conditionnées et transportées.

Conditionnement par type d'appareil

Points clés pour l'examen : La plupart des questions partent d'une décision : saisir l'objet ou copier les données sur place. Au-delà de ce choix, sachez comment les numéros et les étiquettes des scellés sont attribués, et quel conditionnement convient à chaque appareil : sachets antistatiques pour les disques, boîtes rigides rembourrées, papier pour les objets humides, sacs de Faraday pour les téléphones. Attendez-vous à des questions sur la décharge accélérée de la batterie causée par les sacs de Faraday et sur la manière de maintenir les téléphones en charge sans compromettre le blindage, sur la signature à cheval sur les scellés à témoin d'effraction, sur les risques liés au transport (chaleur, aimants, humidité, chocs, véhicules sans surveillance) et sur les serveurs, dont on acquiert les données sur place plutôt que de saisir le matériel.