File Systems

Un système de fichiers (également appelé système de fichiers) est un élément essentiel de tout système informatique. Il s'agit d'un moyen de classer et d'organiser des fichiers et de stocker des données, ce qui permet de gérer efficacement l'espace disponible sur un appareil pour stocker des données, de sorte que les informations requises puissent être reçues chaque fois que cela est nécessaire. Les données et les métadonnées sont accessibles à partir des fichiers et des répertoires, à l'aide du mécanisme fourni par le système de fichiers. Les systèmes de fichiers sont utilisés dans les dispositifs de stockage tels que les disques optiques et les disques de stockage magnétiques. En résumé, un système de fichiers est un ensemble de types de données utilisés pour :

• Stockage de données
• Catégorisation hiérarchique
• Gestion des données
• Navigation dans les fichiers
• Accès aux données
• Récupération de données

Au cours des enquêtes, vous rencontrerez différents systèmes de fichiers et vous devez être en mesure de les identifier et de travailler avec eux pour collecter des preuves numériques. Mais d'abord, que sont réellement les systèmes de fichiers ? Un système de fichiers est utilisé pour contrôler la manière dont les données sont stockées et récupérées sur un support de stockage, tel qu'un disque dur. Il existe de nombreux types de systèmes de fichiers, chacun ayant une structure et une logique différentes, une vitesse, une flexibilité, une sécurité, une taille, etc. Dans cette leçon, nous allons aborder certains des systèmes de fichiers les plus populaires ;

• MATIÈRES GRASSES 16
• FAT32
• NTFS
• EXT3/EXT4

MATIÈRES GRASSES 16

La table d'allocation de fichiers est la méthode qui consiste à utiliser une table pour marquer la position des fichiers. FAT16 est le système de fichiers d'origine utilisé sous DOS et Windows 3. x. À l'origine, il a été conçu uniquement pour être utilisé sur des partitions relativement petites. En cas de problème et que la table d'allocation de fichiers est perdue ou endommagée, les données du disque dur ne peuvent pas être utilisées car le système d'exploitation ne parvient pas à localiser les fichiers.

FAT 32

FAT32 est une version révisée de FAT16 qui peut être utilisée pour créer des partitions beaucoup plus volumineuses. Elle prend en charge nativement les noms de fichiers longs. Elle a été introduite avec Win98. La partie 32 de son nom vient du fait que FAT32 utilise 32 bits de données pour identifier les clusters de données sur le périphérique de stockage. Les avantages importants de l'utilisation de FAT32 aujourd'hui sont les suivants :

• Il est compatible avec une grande variété d'appareils : smartphones, tablettes, ordinateurs, appareils photo numériques, consoles de jeu, caméras de surveillance, etc.
• Il est également compatible avec presque tous les systèmes d'exploitation lancés depuis 1995. FAT32 fonctionne avec Windows 95 OSR2, Windows 98, XP, Vista, Windows 7, 8 et 10. MacOS et le supportent Linux également.

D'autre part, l'utilisation de FAT32 présente de sérieux inconvénients :

• FAT32 ne peut fonctionner qu'avec des fichiers d'une taille inférieure à 4 Go.
• FAT32 ne fonctionne qu'avec des partitions d'une capacité maximale de 8 To.
• Si vous possédez un lecteur formaté en FAT32, vous ne bénéficiez d'aucune protection des données en cas de coupure de courant.
• Le système de fichiers FAT32 n'inclut aucune fonctionnalité de compression de fichiers intégrée.
• FAT32 n'a pas été conçu pour être sécurisé et n'inclut aucune fonctionnalité de cryptage intégrée.

NTFS

NTFS (NT File System) est un système de fichiers de journalisation propriétaire développé par Microsoft. À partir de Windows NT 3.1, il s'agit du système de fichiers par défaut de la famille Windows NT.

NTFS comporte plusieurs améliorations techniques par rapport aux deux systèmes de fichiers qu'il a remplacés, à savoir la table d'allocation de fichiers (FAT) et le système de fichiers à hautes performances (HPFS), telles qu'une meilleure prise en charge des métadonnées et des structures de données avancées pour améliorer les performances, la fiabilité et l'utilisation de l'espace disque. Les extensions supplémentaires incluent un système de sécurité plus élaboré basé sur des listes de contrôle d'accès (ACL) et la journalisation du système de fichiers.

Le NTFS est également pris en charge dans d'autres systèmes d'exploitation de bureau et de serveur. Linux et BSD disposent d'un pilote NTFS gratuit et open source, appelé NTFS-3G, doté à la fois de fonctionnalités de lecture et d'écriture. macOS est doté d'un support en lecture seule pour NTFS, mais en raison de l'instabilité du support d'écriture pour NTFS, l'écriture de fichiers est désactivée par défaut.

EXT3/ EXT4

Linux Architecture

Avant d'examiner EXT3 et EXT4, nous allons rapidement aborder l'architecture des systèmes de Linux fichiers. Ces systèmes de fichiers sont divisés en trois parties :

• Espace utilisateur : les applications se trouvent dans l'espace utilisateur, qui envoie les appels système à l'interface d'appel système. Un appel système n'est rien d'autre qu'une demande envoyée au noyau du système d'exploitation pour un service.
• Espace noyau — Le noyau est le cœur du système d'exploitation qui répond aux appels système depuis l'espace utilisateur en fournissant les ressources demandées, en gérant les périphériques d'E/S (entrée/sortie), les dispositifs de mémoire, la gestion des fichiers, etc.
• Espace disque : le pilote de périphérique situé dans l'espace du noyau envoie la demande d'E/S au disque dur du système qui contient des données de fichiers critiques.

Troisième système de fichiers étendu (Ext3)

Le troisième système de fichiers étendu (Ext3) est un système de fichiers journalisé couramment utilisé par le noyau. Linux Il s'agit du système de fichiers par défaut de nombreuses Linux distributions populaires. Les modifications apportées au journal, qui est un journal circulaire présent dans le système de fichiers, sont surveillées par ext3, appelé journalisation. La journalisation du système de fichiers est une fonctionnalité supplémentaire d'ext3, qui n'était pas disponible dans ext2. Dans un système de fichiers non journalisé, la restauration des données et la détection des erreurs prenaient plus de temps, car nous devions peut-être parcourir toute la structure de données du répertoire. Mais, dans un système de fichiers journalisé, nous avons un journal qui assure le suivi des modifications que nous apportons au système de fichiers. Ainsi, pour détecter les erreurs ou récupérer des données, après un crash, il suffit de lire le journal au lieu de traiter l'ensemble de la structure des données.

Quatrième système de fichiers étendu (Ext4)

La version stable d'ext4 a été introduite en 2008 par Linux . La taille de volume maximale des données prises en charge par ext4 est de 1 exbioctet et la taille du fichier peut atteindre 16 tebioctets. La longueur maximale du nom de fichier est de 56 octets. La fragmentation en termes de blocs physiques dans lesquels les données sont stockées est remplacée par des étendues. Cette modification, qui n'était pas disponible dans ext2 et ext3, a amélioré les performances du système de fichiers. L'étendue est une zone de stockage de données qui réduit la fragmentation et la dispersion des fichiers.

Identification des systèmes de fichiers

Dans la collection de preuves numériques DF3), nous expliquons comment FTK Imager les utiliser pour prendre des images de disque médico-légales fiables au cours d'une enquête, mais nous allons ici expliquer rapidement comment identifier le système de fichiers à partir d'une image disque existante, ce que vous ferez dans le cadre de l'activité Systèmes de fichiers.

Nous devons cliquer sur Fichier > Ajouter un élément de preuve.

Lorsqu'on nous demande le type de preuve source, nous voulons sélectionner Fichier image.

Nous allons ouvrir le fichier disk2.img, puis cliquer sur Terminer.

Le GIF ci-dessous montre comment identifier le système de fichiers à l'aide de FTK Imager . Le système à partir duquel ce fichier image a été extrait utilise NTFS.