Un commentateur de ce blog (sam280), sous le billet « Un peu de technique« , m’a posé une question sur la « chain of custody »:

sam280 a dit…
Outre la copie sous windows, je m’étonne de ne trouver aucune mention de la fameuse « chain of custody ».
Par exemple, à Enclave Forensics ils utilisent md5 (pas terrible, mais bon) afin de prouver que la copie est identique à l’original (quand c’est possible): https://www.youtube.com/user/DHAtEnclaveForensics#p/u/2/6SEnVNUAe0s
Pourriez-vous nous éclairer sur l’équivalent dans le droit français de la « chain of custody » et la façon dont vous la maintenez ?

Avant de faire part de mon sentiment sur ce problème, je voudrais planter le décor en définissant la « chain of custody »:

Extrait de Wikipedia au 27/02/2010 (Informatique légale):

Rapport de garde
Terme adapté de l’anglais « chain of custody », l’expression « rapport de garde » représente un rapport ou procès-verbal établi lors de la saisie ou de la réception d’une information numérique et de son support, comportant toute information sur le détenteur antérieur (propriétaire, usager, gardien), les lieux et conditions d’acquisition (saisie, transmission), la nature du support d’information (description physique avec photographie, numéro de série), la description éventuelle de l’information numérique (méta-données, structure des données, empreinte numérique), la situation d’accès aux données (accessibles ou non), la présence de sceau (avec identification), le libellé de l’étiquette d’accompagnement, les dates d’ouverture et de fermeture du support, la mention des modifications éventuelles (suppression de mot de passe) et l’état de restitution du support (scellé, accessibilité aux données, étiquette) avec photographie.

Personnellement, je préfère l’expression « chaîne de responsabilité » (traduction plus littérale de chain of custody) plutôt que « rapport de garde ». C’est donc cette expression que je vais utiliser par la suite.

Intérêt de la chaîne de responsabilité? S’assurer que la pièce à conviction présentée au procès est bien celle qui a été saisie sur le lieu du crime. Que c’est bien celle-ci qui a été analysée lors de l’enquête, et qu’elle n’a pas été altérée, ou si oui, dans quelles conditions et pour quelles raisons.

Comment cette chaîne de responsabilité est-elle organisée en France? Et bien, c’est très simple, de mon point de vue, elle n’est pas organisée… Ah si, le scellé m’est livré avec une étiquette marron sur laquelle est indiquée diverses mentions, mais rien n’est prévue pour l’expert judiciaire (les étiquettes indiquent une année à compléter commençant par « 19.. » et ont du être fabriquées en grande quantité dans les années 1950). Le scellé est plus ou moins bien constitué (son ouverture est souvent possible sans briser le sceau de cire). Je ne connais pas les nom et qualité de la personne qui me l’apporte. Il n’y a pas de vérification sérieuse de l’identité de la personne qui le réceptionne (et en général il s’agit de mon épouse dont le cabinet est sur place). Enfin, à ma connaissance, aucune obligation n’est expliquée à l’expert judiciaire, à part « la reconstitution du scellé ». En tout cas, les différentes formations proposées aux (futurs) experts ne semblent pas mentionner pas cet aspect.

Chaque expert met donc en place sa propre procédure, suite à son expérience, son domaine d’expertise, ses lectures et ses échanges de bonnes pratiques. « A la française » donc.

Je voudrais citer un commentaire trouvé sous l’article Ces as de l’informatique au secours des juges et que je reproduis ici car il me semble intéressant:

Je ne suis pas expert judiciaire mais expert scientifique qui en connait un rayon en termes de bonnes pratiques. Sachez que dans notre domaine, le pharmaceutique, tout ce qui n’a pas été réalisé selon une procédure documentée et validée n’existe pas. Une validation d’un logiciel chez nous prend de 6 mois à un an. Un « expert » dont la formation n’est pas documentée et qui à ouvert un DD sans procédure validée et qui a copier tout ça sur son ordi sans validation de sa procédure… n’a en fait rien fait de valable juridiquement parlant. Tout avocat peut facilement contester le travail de cet « expert » si la documentation aussi bien du travail que des procédures est défaillante, même si lui a la réputation d’être un crac. Et chaque fois qu’il change de matos, il peut recommencer sa validation. Mettre en place ces procédures est, en fait, bien plus complexe que d’ouvrir le DD. C’est ça la réalité judiciaire. Les expertises de coin de table et rien c’est du pareil au même.

Nous n’en sommes qu’au début des contestations. Le juge de l’article n’est même pas encore au courant. Bientôt, ces expertises ce sera en fait beaucoup de temps perdu pour rien. Du balai, toutes ces « expertises » de soi-disant experts. Et avec « les bonnes pratiques d’expertise informatique » qu’il va falloir mettre en place, les prix vont monter, monter et du coup les expertise vont se faire rares, très rares.

Je pense que, malheureusement, ce commentateur a parfaitement raison et qu’il manque en France la mise en place d’une chaîne de responsabilité stricte en matière d’investigation.

Pour autant, il en faut pas attendre que quelqu’un pense à mettre en place un système global et la plupart des experts judiciaires ont mis en œuvre de bonnes pratiques en la matière. A défaut d’avoir une chaîne complète, il faut donc essayer d’être un bon maillon, et voici en résumé ma chaîne à un maillon:

Le scellé arrive à la maison: mettez en place un cahier de réception avec date, nom et qualité du livreur et signature.

Ouverture du scellé: utilisez un cahier de prises de notes (papier ou numérique). Notez l’état général du scellé, les rayures, les éléments endommagés, la quantité de poussière visible, les traces de moisi (si, si!), etc. Prenez quelques photos (avec les appareils numériques, ne pas hésiter à mitrailler). Si l’ouverture du scellé nécessite une procédure particulière, notez sur ce cahier les sites internets utilisés ou la documentation technique ad hoc. Ce cahier est la clef de voute de votre mémoire. Pensez aux chercheurs du siècle précédent qui notaient tout pendant leurs expériences. Si votre expertise se déroule sur plusieurs jours, notez bien la date à chaque fois.

Extraction du disque dur: C’est toujours un moment émouvant lorsqu’il s’agit de sortir le (ou les) disque dur. En effet, c’est seulement à ce moment là que vous allez comprendre que le devis adressé au magistrat, et dans lequel vous indiquez 10h de travail, risque d’être un peu sous évalué avec les trois disques de 1000 Go que vous êtes en train d’extraire. N’oubliez pas de prendre des photos, de noter les positions des disques (surtout en cas de RAID logiciel) et des cavaliers pour pouvoir tout remonter correctement. Et ne croyez pas que ce soit la phase la plus facile de l’expertise…

Mise sous tension de l’unité centrale sans disque dur: Cette étape est nécessaire pour vous permettre d’entrer dans le BIOS afin de noter tous les éléments concernant l’horloge de la machine. Souvent, le système d’exploitation s’appuie sur le temps fourni par le BIOS. En tout cas, si la pile du BIOS est épuisée, ce sont des informations perdues, et il faut l’écrire dans son rapport d’expertise.

Prise d’image: Tout ce processus est décrit dans ce (récent) billet. Je le complète ici en parlant du calcul du hash du disque dur. Non, il ne s’agit pas d’un dérivé du chènevis utilisé par nos pécheurs, mais du résultat d’une fonction de hachage. Personnellement, j’utilise MD5 avant ET après la prise d’image. Normalement, le résultat doit être le même, ce qui prouve que vous n’avez en rien modifié les données écrites sur le disque dur (attention, les données S.M.A.R.T. ont été modifiées). Si les hashs calculés avant et après la prise d’image sont différents, alors cela signifie, soit que vous êtes nul, soit que des secteurs défectueux sont apparus sur le disque pendant la prise d’image, soit que vous travaillez avec un disque dur SSD. En effet, dans ce dernier cas, les fabricants ont chacun mis en place une technique dite « d’étalement de l’usure » (en anglais « wear levelling ») qui a pour objectif d’éviter de toujours utiliser pour le stockage les mêmes cellules mémoires, car ces dernières perdent (après quelques millions de cycles de lecture et écriture) leurs capacités nominales de mémorisation. Pour plus d’informations, lire l’excellent article dans la revue Experts de mes confrères Jean-Louis Courteaud et Jean-François Tyrode.

Remontage du scellé: Paradoxalement, ce n’est pas forcément l’étape la plus simple. Si l’expertise a duré plusieurs jours, voire plusieurs semaines (cas du salarié qui n’effectue ses expertises que le week-end ;), le cahier de notes et les photos prennent toute leur importance. Il faut être précis, surtout que vous ne pourrez pas brancher l’ordinateur pour voir s’il démarre correctement.

Reconstitution du scellé: J’ai déjà écrit plusieurs billets sur ce thème. En résumé: cachet de cire (billet de 2007 toujours valable) si vous voulez impressionner, ou sac poubelle transparent fermé avec un solide adhésif d’emballage.

Restitution du scellé: Notez bien les heure et date de reprise, ainsi que les nom et fonction (avec signature) sur votre cahier de suivi.

A défaut d’être une bonne chaîne de responsabilité, cela m’a permis d’être un maillon suffisamment fort, surtout lorsque j’ai reçu un coup de fil d’un magistrat qui avait perdu la trace d’un scellé.

Et là, avec ma chain of custody, je crie « Kudos« !