Digital Evidence and Handling

Les preuves numériques ou les preuves électroniques sont toutes les informations probantes stockées ou transmises sous forme numérique. Par exemple, si vous entrez dans une maison recouverte de moquette, la saleté de vos chaussures reste sur la moquette et la moquette laisse des fibres sur la semelle de vos chaussures. Ces traces échangées constituent la base de ce que l'on appelle des « preuves de trace » dans le monde physique. Dans le monde numérique, des traces très similaires apparaissent souvent lorsque deux systèmes entrent en contact l'un avec l'autre. Par

exemple, si une personne navigue sur un site Web, le serveur Web ou le pare-feu de l'application Web peut enregistrer l'adresse IP de la personne dans un journal de collecte. Le site Web peut également déposer un cookie sur l'ordinateur portable de l'individu.

Il convient toutefois de noter que les acteurs de la menace manipulent très facilement les preuves numériques. Par conséquent, le fait de se fier à un seul élément de preuve numérique sans autre preuve corroborante doit toujours être tempéré avec prudence ; il convient de le vérifier avant de pouvoir s'y fier.

Formulaires de preuves numériques

Les preuves numériques peuvent prendre un large éventail de formes. Vous trouverez ci-dessous une courte liste de certains formulaires de preuve courants, qui peuvent s'appliquer à la fois aux enquêtes des forces de l'ordre et aux équipes de sécurité menant des activités du DFIR.

• Courriels : ils peuvent contenir des communications écrites entre deux personnes ou plus et peuvent également contenir des fichiers sous forme de pièces jointes.
• Photographies numériques - Les photos elles-mêmes peuvent constituer des preuves. Des informations supplémentaires peuvent également être présentes sous forme de métadonnées photographiques, qui peuvent inclure le lieu et l'appareil utilisé pour prendre la photo.
• Journaux : les journaux système peuvent contenir un large éventail d'informations, en fonction de l'appareil qui a créé le journal et du niveau de journalisation activé. Les exemples peuvent inclure les journaux d'événements Windows qui peuvent afficher les heures de connexion pour indiquer quand un compte utilisateur a été consulté.
• Fichiers : les fichiers utilisateur tels que les notes, le code, les images, les logiciels installés, etc. peuvent tous fournir un contexte concernant l'activité d'un utilisateur.
• Messages : à l'instar des e-mails, les messages (texte, iMessage, Facebook Messenger, WhatsApp, etc.) peuvent fournir des informations sur une conversation entre deux personnes ou plus.
• Historique du navigateur : cela peut nous aider à comprendre quels sites Web et ressources ont été consultés à partir d'un appareil, et à quel moment.
• Sauvegardes : si des fichiers ont été supprimés, ils peuvent être présents dans les sauvegardes, ce qui nous permet de les examiner même s'ils ont été remplacés sur le support de stockage d'origine.
• Fichiers vidéo/audio - Ces fichiers, comme les photographies numériques, peuvent constituer des preuves en eux-mêmes, mais ils peuvent également contenir des métadonnées permettant de fournir des informations supplémentaires.

Pouvons-nous lui faire confiance ?

Les preuves numériques ont tendance à être plus volumineuses, plus difficiles à détruire, facilement modifiées, facilement reproduites, potentiellement plus expressives et plus facilement accessibles. À ce titre, certains tribunaux ont parfois traité les preuves numériques différemment à des fins d'authentification, de ouï-dire, de règle de la meilleure preuve et de privilège. Les preuves numériques sont souvent contestées pour leur authenticité en raison de la facilité avec laquelle elles peuvent être modifiées, bien que les tribunaux commencent à rejeter cet argument sans preuve de falsification. C'est pourquoi les valeurs de hachage sont extrêmement utiles lors de la création d'images de disques durs, mais nous y reviendrons sous peu.

Gestion des preuves

Le traitement et la sécurisation appropriés des preuves sont essentiels. Des erreurs dans la manière dont les preuves sont obtenues peuvent les entacher et, par la suite, les rendre non fiables du point de vue médico-légal. En outre, si un incident implique des problèmes juridiques potentiels, des preuves critiques peuvent être exclues de l'admission dans le cadre d'une procédure pénale ou civile. Il existe plusieurs principes clés pour le traitement des preuves qui doivent être suivis, comme indiqué ici :

— Modification des preuves originales : les mesures prises par les examinateurs de criminalistique numérique ne doivent pas modifier les preuves originales. Par exemple, les analystes judiciaires ne doivent pas accéder à un système en cours d'exécution s'ils n'y sont pas obligés. Il convient de noter que certaines des tâches qui seront explorées sont susceptibles de modifier certaines preuves. En incorporant la documentation appropriée et en ayant une raison valable, les examinateurs de criminalistique numérique peuvent réduire le risque que des preuves soient considérées comme entachées de corruption.

— Utilisation de bloqueurs d'écriture : bien que la plupart des outils logiciels de criminalistique soient dotés de bloqueurs d'écriture logiciels intégrés, vous avez également besoin d'un assortiment de bloqueurs d'écriture physiques pour couvrir autant de situations ou d'appareils que possible. Un bloqueur d'écriture est utilisé pour empêcher un système d'exploitation d'apporter des modifications au support d'origine ou suspect afin d'effacer ou d'endommager des preuves potentielles. Les bloqueurs d'écriture logicielle fonctionnent au niveau du système d'exploitation et sont spécifiques au système d'exploitation. En d'autres termes, un bloqueur d'écriture logicielle ne fonctionne que sur

le système d'exploitation sur lequel il est installé. Un bloqueur d'écriture physique fonctionne au niveau matériel et peut fonctionner avec n'importe quel système d'exploitation car, au niveau physique, le bloqueur d'écriture intercepte (ou, dans de nombreux cas, bloque) les signaux électriques envoyés au périphérique de stockage sans se soucier du système d'exploitation en place.

— Document : L'un des thèmes centraux que vous entendrez souvent dans les forces de l'ordre est la phrase suivante : « Si vous ne l'avez pas écrit, cela ne s'est pas produit ». Cela est particulièrement vrai lorsqu'il s'agit de criminalistique numérique. Chaque action entreprise doit être documentée d'une manière ou d'une autre. Cela inclut des notes détaillées et des diagrammes. Une autre façon de documenter consiste à utiliser des photographies. Une documentation appropriée permet aux examinateurs de reconstituer la chaîne des événements si jamais l'intégrité des preuves est mise en doute.