A propos Zythom

Informaticien Ex²pert Judiciaire, Irresponsable de la SSI, 3 enfants, marié à une avocate (ma vie n'est pas facile). Clé PGP: 0u 41-j3 m15 c3773 pu741n d3 cl3f

Le silence des hargneux

Cette communication (y compris les pieces jointes) est reservee a l’usage exclusif du destinataire (des destinataires) et peut contenir des informations privilegiees, confidentielles, exemptees de divulgation selon la loi ou protegees par les droits d’auteur. Si vous n’etes pas un destinataire, toute utilisation, divulgation, distribution, reproduction, examen ou copie (totale ou partielle) est non-autorisee et peut etre illegale. Tout message electronique est susceptible d’alteration et son integrite ne peut etre assuree. [Société Y] decline toute responsabilite au titre de ce message s’il a ete modifie ou falsifie. Si vous n’etes pas destinataire de ce message, merci de le detruire immediatement et d’avertir l’expediteur de l’erreur de distribution et de la destruction du message. Merci.

This transmission (including any attachments) is intended solely for the use of the addressee(s) and may contain confidential information including trade secrets which are privileged, confidential, exempt from disclosure under applicable law and/or subject to copyright. If you are not an intended recipient, any use, disclosure, distribution, reproduction, review or copying (either whole or partial) is unauthorized and may be unlawful. E-mails are susceptible to alteration and their integrity cannot be guaranteed. [Société Y] shall not be liable for this e-mail if modified or falsified. If you are not the intended recipient of this e-mail, please delete it immediately from your system and notify the sender of the wrong delivery and the mail deletion. Thank you.

Qui de nos jours prête attention à ce type de phrase ajoutée en fin d’email?

Et pourtant, ce qui est arrivé à ce chef d’entreprise pourrait tout aussi bien vous arriver à vous tous:

Mr Bowman commence tous les matins son travail par la lecture de ses emails. Il reçoit un coup de téléphone d’un de ses salariés, Mr Poole, qui demande un entretien d’urgence avec lui. Lorsque Mr Poole entre dans le bureau de son PDG, il est passablement énervé. Une discussion ombrageuse commence entre les deux hommes où il est question entre autres choses de manques de considération, de duperies, de démission et de prudhommes.

Mr Poole exhibe une feuille de papier sur laquelle est imprimé un email qui lui est adressé et envoyé par Mr Bowman (adresse email, entêtes, signature, etc). Dans cet email, le PDG informe son salarié qu’il est incompétent, que le dossier HAL9000 aurait du être traité d’une façon plus énergique et qu’il envisage de le changer de bureau en direction du sous-sol…

Mr Bowman affirme alors n’avoir jamais envoyé un tel email.

Les deux hommes étudient attentivement le message: il semble authentique. Mr Bowman regarde sur son ordinateur, dans sa liste d’emails envoyés: rien. Mr Bowman comprend aussi qu’il fait face à un problème de sécurité: qui a pu pirater son compte et écrire un tel email en se faisant passer pour lui? Il décide d’appeler une personne étrangère à l’entreprise: un expert judiciaire en informatique.

C’est là que j’entre en scène (tadam).

A peine contacté par téléphone, je me fais expliquer la situation, telle que perçue par les deux hommes. Rendez-vous est pris pour le soir même. Je demande simplement que Mr Bowman, Mr Poole et le responsable informatique de l’entreprise soient présents.

Une fois sur place (après le travail, je suis moi-même un salarié dévoué), je propose à Mr Bowman de changer de mot de passe avec l’aide de son informaticien, et demande à l’informaticien de me présenter le fonctionnement du système d’information de l’entreprise et en particulier la journalisation.

J’ai ensuite étudié avec attention les entêtes contenues dans le message incriminé, pour me rendre compte que l’email avait été écrit en dehors de l’entreprise. Les traces de la livraison de l’email sur le serveur de messagerie de l’entreprise nous ont permis de compléter et recouper l’ensemble des données pour confirmer un envoi effectué à partir d’une adresse internet externe. L’analyse des journaux de la passerelle d’accès à internet (propre à l’entreprise) a permis de montrer que cette adresse externe n’a pas été utilisée depuis un poste de l’entreprise.

Après les investigations vient le temps des explications et de la pédagogie (et de la diplomatie). Il m’a fallu expliquer à Mr Bowman qu’il est extrêmement simple pour un « script kiddie » d’envoyer un email sous une fausse identité, en général pour vendre des pilules bleus, mais parfois pour envoyer un fake.

Tout le monde prend alors conscience en silence des habitudes prises de lire et prendre pour argent comptant les différents emails reçus chaque jour.

En attendant un système plus fiable, universel et authentifié.

Et alors démarrera le vrai temps de Big Brother…

Tiip-tiiptiip-tiiptiip

Aujourd’hui est un grand jour pour moi: c’est un jour anniversaire pour ce blog!!!
Cela fait 711 jours que ce blog a débuté 🙂

Ma fille ainée: « Pfff. »
Ma fille cadette: « Ah bon? »
Mon fils benjamin: « Papa j’ai gagné une moto sur Mario Kart! »
Ma femme: « Qu’est-ce que tu viens faire encore ton intéressant sur internet »

Cela fait 1 an, 11 mois et 11 jours que ce blog existe.
Et il se trouve que cela m’amuse.

Merci à tous les lecteurs.

La fin d’un rève

Dear Mr [Zythom],

On behalf of the European Space Agency, I wish to thank you for your application and interest in joining the European Astronaut Corps.

I regret to inform you that after very careful consideration, it has been decided not to retain your application for the post of Astronaut. However, should you not object, we would like to keep your file on record for other career opportunities at ESA and contact you if a post which matches your profile should emerge.
[…]
On behalf of the European Space Agency, I wish you all the best for your further career.

Yours sincerely,

F.C. Danesy
Head, ESOC Human Resources Division

———————————————–
Suite aux commentaires, je mets ici la traduction (google, j’aime assez F.C.=Football Club):

Monsieur [Zythom],

Au nom de l’Agence spatiale européenne, je tiens à vous remercier pour votre application et de se joindre au Corps des astronautes européens.

J’ai le regret de vous informer que, après un examen très attentif, il a été décidé de ne pas retenir votre candidature au poste d’astronaute. Toutefois, si vous pas d’objection, nous tenons à garder votre dossier sur dossier pour d’autres possibilités de carrière à l’ESA et de vous contacter si un poste correspondant à votre profil doit apparaître.
[…]
Au nom de l’Agence spatiale européenne, je vous souhaite à tous le meilleur pour votre carrière.

Je vous prie d’agréer,

Football Club Danesy
Chef, ESOC Division des Ressources humaines

———————————————–
Ma réponse:

Cher Mr Danesy,

Je vous remercie de m’avoir fait rêver pendant ces dernières semaines en me permettant, ainsi qu’à tant d’autres, de postuler pour un poste d’astronaute à l’ESA.

Je suis déçu de ne pas pouvoir passer à l’étape suivante de la sélection, mais je peux vous assurer que je continuerai à regarder avec passion depuis la Terre les aventures des heureux élus qui poursuivront la conquête spatiale.

Et qui sait, verrai-je peut-être un être humain fouler le sol de Mars? Et en explorer ses gouffres

Cordialement,
Zythom

JFIN 2008

Les 3, 4 et 5 septembre auront lieu les JFIN 2008 (journées francophones de l’investigation numérique), rassemblant des policiers, gendarmes, magistrats, experts… à Vandœuvre-lès-Nancy.

Le programme est ICI et semble fort intéressant.

Je ne connais pas l’AFSIN, mais la qualité des intervenants est de bon augure. Les inscriptions se font ICI.

Dommage que cela soit en pleine semaine de rentrée de mon école d’ingénieurs…

Back in the U.S.A.

Et me voici de retour, San Francisco – Détroit – Paris – La Maison, 24h de voyage, 9h de décalage horaire, 19 sacs de voyage récupérés, femmes hommes et enfants on board

Les trois semaines de vacances aux USA ont été extraordinairement dépaysantes. Nous sommes partis à 4 adultes et 8 enfants pour faire exclusivement des randonnées et du camping sous tentes dans des parcs américains à l’exception de l’hôtel de San Francisco (arrivée et départ), et de celui de Death Valley. Jugez un peu:

– San Francisco
– Humboldt Redwood State Park
– Redwood National Park
– Crater Lake National Park (Oregon)
– Lava Beds National Monument
– Lassen Volcanic National Park
– Yosemite National Park
– Death Valley National Park
– Sequoia National Monument
– Kings Canyon National Park
– San Francisco

Soit 3000 miles (plus de 4800 kms) en voiture, des randonnées de 3 à 16 kms chaque jour (vous savez faire marcher huit enfants de 6 à 16 ans pendant 16 kms? Nous, oui), des températures comprises entre 3°C et 48°C, des paysages magnifiques, des animaux sauvages en pagaille et des randonneurs et/ou campeurs très amicaux.

Seuls problèmes: pas d’internet, pas de wifi, pas de GSM, pas d’électricité.

J’ai quand même visité l’Apple Center de San Francisco…

J’ai fait le plein d’aventures et d’anecdotes.
A suivre (dans la rubrique Youessai)…

A moi la maison bleue

Ce billet est la suite de ce billet, celui-ci, celui-là, et ce dernier

Ca y est, c’est l’heure du grand départ.
Le grand moment du reset total, avant celui du total recall.

Rien n’est prêt, mais nous partons.

Je risque de laisser ce blog en friche pour trois semaines.

I’ll be back…

Mots clefs: vacances, départ, break, famille, j’en ai bien besoin, stop, oubli des mots de passe, bisous Maman et Papa, salut, bye, Brian is in the kitchen, $$$, douane, randonnée, ampoules, photos, tente, plaisirs, galères, ours, paysages…

Voyage à la Maison Blanche

Et voilà, me voici de retour de Casablanca (la maison blanche…) où j’ai passé une semaine de travail intensif (samedi, dimanche et 14 juillet inclus) pour réinstaller les deux salles informatiques de notre école marocaine qui a déménagé en raison de son succès: locaux, salles de cours et matériels neufs à déballer et installer.

Cela a été l’occasion de mettre en place un nouvel antivirus, d’installer les différents services packs et logiciels nécessaires au bon fonctionnement des ordinateurs, de faire le ménage sur les différentes configurations, d’installer deux bornes Wifi, de (faire) réparer une alim défectueuse, de réinstaller les drivers vidéos n’ayant pas supporté le Windows Update, de superviser l’installation de deux clims, d’insérer les nouvelles machines sur le contrôleur de domaine (serveur Samba), etc.

Bref, tout ce que l’on ne peut pas nécessairement faire avec un logiciel de prise de contrôle à distance.

Encore une semaine où je n’ai pas pu découvrir le Maroc pour cause de surchauffe de travail (c’est la troisième fois quand même). Mais j’ai quand même réussi à visiter un souk…

Salaam aleikum.
« Lorsqu’un salut vous est adressé, rendez le de façon plus courtoise, mais rendez le de toute façon » (sourate 4 verset 86)

Ecrire sous pseudonyme

Parmi les questions que l’on me pose régulièrement, celle de l’utilisation d’un pseudonyme pour tenir ce blog.

J’y ai pourtant déjà répondu en détail dans ce billet.

Je voudrais compléter en citant ici un court extrait d’un billet de Maître Eolas:

[…] Mon anonymat est un anonymat de confort. Malgré mes avertissements, je reçois chaque jour une douzaine de mails me demandant des conseils juridiques, dont une bonne moitié sans bonjour ni merci ni au revoir (quand ils ne sont pas écrits en langage SMS). Vous imaginez si mon numéro était accessible dans les pages jaunes ?

Quand un journaliste cherche à me contacter (et ils ont été nombreux dans cette affaire), je leur réponds, et je leur donne mon identité pour qu’ils s’assurent que je suis bien avocat. Mon identité n’est pas un secret honteux, je n’ai pas de cadavre dans le placard, je suis bien ce que je prétends être, un avocat au barreau de Paris, tout aussi anonyme dans ce barreau pléthorique que ses 18.000 confrères.

Et en fait, cette situation me convient très bien. Je suis ravi d’entrer dans les prétoires sans attirer autre chose qu’un coup d’œil morne, d’être écouté et traité comme n’importe lequel de mes confrères, et d’être jugé, si j’ose dire, à la qualité de mon travail sur le dossier et non par le prisme d’une sympathie provoquée par mon blog.

Mon anonymat n’est pas celui du dénonciateur anonyme. […]

Cette formulation est bien meilleur que toutes celles que j’aurais pu trouver et s’applique parfaitement à mon cas, toute proportion gardée (je n’ai pas le talent de Maître Eolas).

Beaucoup de mes confrères experts judiciaires connaissent mon nom, soit parce qu’ils l’ont deviné, soit parce que la politesse a voulu que je leur en fasse part lors de retour d’expériences par emails dans un échange de correspondances privées.

Plusieurs collègues informaticiens connaissent mon identité et s’amusent de la lecture de certains billets.

Quelques uns de mes étudiants connaissent l’existence de ce blog et savent que c’est leur « prof d’info » qui le tient. Qu’ils reçoivent ici toute ma sympathie et persévèrent dans leurs efforts pour devenir ingénieur (et dans le choix de leurs lectures).

La Cour d’Appel dont je dépens connait mon blog et mon nom réel. Je n’ai pas d’élément me laissant croire que ce blog est approuvé ou désapprouvé par les magistrats.

Mon hébergeur connait mon nom, dans le respect des mentions légales.

L’activité d’expert judiciaire n’est pas une profession. Un expert judiciaire doit exercer une « vraie » profession pour rester dans le coup d’un point de vue « compétences ». Le nombre d’expertises réalisées en une année est faible et ne doit pas être considéré comme un revenu financier (c’est mon point de vue). Par conséquent, la recherche de clients n’est pas mon objectif. Ce blog n’est pas une vitrine de mon savoir faire (ou de ma maladresse) ni un moyen de me faire « mousser » auprès de mes confrères (que je salue au passage), des magistrats (que je salue respectueusement au passage) ou des avocats (que je salue très respectueusement au passage).

Ecrire sous pseudonyme est un confort pour moi et je suis ravi de travailler avec les OPJ et les magistrats sans attirer autre chose qu’un intérêt professionnel, d’être écouté et traité comme n’importe lequel de mes confrères, et d’être jugé, si j’ose dire, à la qualité de mon travail sur le dossier et non par le prisme d’une sympathie provoquée par mon blog.

Mon anonymat n’est pas celui du dénonciateur anonyme. Je n’ai pas honte de ce blog et toutes les idées exprimées dans les billets sont pleinement assumées.

C’est ici un blog de bonne foi, lecteur. Il t’avertit dés l’entrée, que je ne m’y suis proposé nulle fin que domestique et privée: je n’y ai eu nulle considération de ton service, ni de ma gloire: mes forces ne sont pas capables d’un tel dessein…

Je reste un nain posté sur les épaules de mes prédécesseurs.

Le rapport d’expertise

Avant de développer ce billet, je souhaite faire quelques remarques liminaires:
– je suis expert judiciaire en informatique, je ne peux prétendre couvrir dans ce billet d’autres types d’expertises judiciaires;
– je donne ici un avis (le mien), et je n’ai pas la vanité de croire que cet avis est partagé par l’ensemble des experts judiciaires, ni même par la majorité;
– je n’ai pas l’expérience d’un expert honoraire qui aurait des milliers d’expertises à son actif.

Cher(s) Maître(s), vous qui êtes experts en droit, explorons ensemble l’exploitation du rapport d’un expert judiciaire en informatique.

En tant qu’avocat, vous connaissez parfaitement le rôle et les limites de l’expert judiciaire lors de ses missions. L’expert judiciaire prête le serment suivant: « Je jure, d’apporter mon concours à la Justice, d’accomplir ma mission, de faire mon rapport, et de donner mon avis en mon honneur et en ma conscience. »

Sur le sujet de la désignation de l’expert, j’ai déjà cité Madame Marie-Claude MARTIN, vice-présidente du TGI de Paris, qui a publié dans la revue « Experts » (numéro 73 de décembre 2006), un excellent article intitulé « la personnalité de l’expert ». Dans le paragraphe consacré à la désignation de l’expert, elle écrit:

« […] plusieurs comportements sont susceptibles d’être observés:
– « L’expert sans problème »: Je lis la mission, elle rentre parfaitement dans mes attributions, je l’accepte.
– « L’expert aventureux, ou téméraire, ou intéressé »: La mission ne paraît pas relever de ma compétence, mais elle m’intéresse ; je prendrai un sapiteur ultérieurement […]
– « L’expert optimiste qui dit toujours oui »: Je suis surchargé, je prends quand même cette mission, je me ferai aider au besoin par l’équipe qui m’entoure […].
– « L’expert stressé qui ne sait pas dire non »: Je suis surchargé, mais si je dis non, je ne serai plus désigné et je vais rapidement me trouver sans mission.

Je ne développerai pas ici le déroulement des missions, l’abordant abondamment dans cette série de billets.

Le sujet qui m’intéresse ici concerne le rapport en lui-même.

De mon point de vue, le rapport doit comporter plusieurs parties:
1) La partie procédurale.
Vous trouverez dans cette partie tous les éléments concernant la nomination de l’expert (date, n° de PV, etc), les différentes références du dossier (références du tribunal, de la maréchaussée, de l’expert, voire des parties), les missions de l’expert telles que précisées par le magistrat, les dates et lieux de réunions, les noms et coordonnées des participants à l’affaire… Bref, tout ce qui relève de la procédure. C’est pratique d’avoir cela en un seul endroit et cela permet à un œil exercé d’avoir une vision globale de cet aspect du dossier.

2) La partie technique.
Cette partie doit être rédigée (à mon avis) pour être lue par un autre expert. Elle doit contenir les détails des investigations: les noms des logiciels utilisés, les procédures utilisées, la méthodologie d’investigation jusque dans ces détails les plus précis. Pour ma part, je la conçois comme le cahier que tiennent les expérimentateurs dans les laboratoires de recherche. Toute personne connaissant bien le domaine doit pouvoir lire cette partie et reproduire les mêmes investigations (d’où l’intérêt des analyses non modificatrices, par exemple avec bloqueur d’écriture).

3) Les réponses aux questions posées par le magistrat.
C’est le cœur du rapport. C’est la transcription en langage clair et intelligible pour le profane de la partie technique du rapport. C’est un exercice difficile car il demande une bonne pédagogie et une bonne connaissance du niveau technique du lecteur auquel le rapport est destiné (magistrat, enquêteur, avocat…). De nombreux magistrats sont maintenant parfaitement au fait des nouvelles technologies et de leurs limites ou possibilités. L’utilisation de notes de bas de page permettent de rappeler la définition d’un concept potentiellement abscons. Il ne s’agit pas pour autant d’écrire un cours.

4) Les réponses aux questions posées par les parties.
En matière civile et commerciale, la procédure est contradictoire. Les parties peuvent poser des questions à l’expert (par écrit: cela s’appelle des dires), et celui-ci est tenu d’y répondre dans son rapport. Lorsque les avocats ont la gentillesse de me faire parvenir leur dire sous forme électronique, c’est le règne du copier/coller dans le rapport, avec insertion de ma réponse entre chaque question. Si les dires sont transmis sous forme papier uniquement, c’est le règne du copier/coller, mais cette fois avec ciseaux et colle à papier – un régal d’archaïsme (mais bon, c’est plus rapide que l’OCR…).

5) Les annexes.
Il est indispensable de placer en annexe toutes les pièces utiles à la lecture du rapport. Ceci même si le nombre d’annexes est important. Il peut être judicieux de placer en annexe un cédérom contenant une version numérisée des documents. Cela allège le rapport final, à condition de citer les passages importants des annexes dans le corps du rapport pour en faciliter la lecture (et non pas un renvoi vers une annexe dématérialisée). La numérotation des annexes est un vrai casse tête. En effet, chaque partie a déjà son propre référencement, et l’expert ne fait qu’ajouter un nouveau classement. C’est souvent un peu pénible en réunion: « Etudions la pièce référencée B-52 par Me Bas , qui est la pièce n°13 de Me Clefsouslaporte, et que je vais référencer R2D2… »

Analyse du rapport:
Il m’arrive parfois d’être missionné par l’avocat d’une partie se plaignant d’un rapport d’expertise informatique défavorable.
J’ai alors la charge d’analyser en profondeur le travail d’un confrère. Je n’ai alors aucun scrupule à le faire, dès lors que je respecte les règles de déontologie des experts judiciaires (adhérents à une compagnie):
V-39) […] le consultant privé qui remet à la partie qui l’a consulté une note ou des observations écrites sur les travaux de son confrère, doit le faire dans une forme courtoise, à l’exclusion de toute critique blessante et inutile. […]

Cela ne m’empêche pas de critiquer (courtoisement) un rapport mal fichu, ou de contredire des conclusions (sans critique inutile) erronées. Je porte une attention particulière à la partie technique, qui est la valeur ajoutée de ma prestation (les parties juridiques du rapport ont été analysées à la loupe par les avocats): les outils et méthodes d’investigation sont-ils mentionnés? Si oui sont-ils cohérents avec ce que je connais de l’état de l’art? Si non, voilà une bonne question à poser dans les dires… Si le rapport final n’a pas déjà été déposé. En effet, dans ce dernier cas, l’expert est dessaisi de l’affaire dès le dépôt de son dossier et ne répondra plus aux questions des parties.

L’analyse critique d’un rapport d’expertise judiciaire est une chose délicate, et je crois sincèrement que les avocats devraient s’adjoindre plus souvent les services d’un expert judiciaire.