Perquisition

Il est huit heures du matin. Les policiers frappent à la porte d’un pavillon. Je les accompagne.

J’ai prêté serment d’apporter mon concours à la Justice. Mais je suis dans mes petits souliers: je participe à une perquisition chez un particulier, et je dois dire que je n’aime pas ça.

Une femme nous ouvre la porte en peignoir. Un policier lui explique la procédure pendant que ses collègues entrent en silence. L’action est calme et nous sommes loin des clichés des séries TV. Une fois la maison explorée, les policiers m’invitent à entrer pour effectuer ma mission: le juge m’a demandé d’analyser les différents appareils informatiques présents dans la maison.

Il s’agit d’une affaire de trafic portant sur plusieurs centaines de milliers d’euros.

Depuis une semaine, je me prépare tous les soirs en essayant d’imaginer tous les cas techniques devant lesquels je peux tomber. J’ai un sac contenant un boot cd DEFT, des tournevis de toutes tailles et de toutes formes, stylos et bloc notes, un dictaphone numérique, un ordinateur portable avec carte réseau gigabit et disque de grosse capacité pour la prise d’image en direct, une lampe électrique, un bouchon 50 ohms et un connecteur en T, le live CD d’Ophcrack, un câble réseau, un prolongateur et un câble croisé, une boite de DVD à graver (et quelques disquettes formatées, cela sert encore…), une bouteille d’eau et un paquet de biscuits. Grâce aux lecteurs de ce blog, j’ai ajouté un appareil photo, un GPS, du ruban adhésif toilé et résistant, des élastiques de toutes tailles, des trombones, un clavier souple ne craignant pas l’humidité avec la connectique qui va bien, un tabouret en toile, des vis, patafix et colliers, une tour sur roulette avec carte SATA et quelques disques vierges de rechange, un ventilateur pour les disques, une petite imprimante, toute la connectique pour les organiseurs (Palms, Blackberry, iphone, etc.), des étiquettes/pastilles de couleur, des stylos et des feutres, un petit switch 10/100/1000, un câble série, un câble USB, une nappe IDE, une nappe SATA et des adaptateurs USB, SATA, IDE…

Pour l’instant, je tiens à la main une petite mallette avec mes principaux outils: bloc note, stylo et boot cd. Le reste est dans ma voiture. La maitresse de maison nous explique que son mari est en voyage d’affaire et ses enfants chez leur grand-mère. Elle est seule chez elle. J’ai un sentiment de malaise face au viol de sa vie privée. Décidément, je ne suis pas fait pour ce type d’intervention. L’OPJ sent mon désarroi et le met sur le compte de l’inexpérience. Il m’emmène au bureau de la maison où trône un ordinateur au milieu d’un paquet de disques durs extractibles. Mon travail commence.

J’explique à l’OPJ ma procédure de prise d’images. Il tique un peu quand je lui annonce mon estimation des durées. Bien sur, si j’avais été invité au briefing de la veille, j’aurais pu expliquer tout cela…

J’installe tout mon petit matériel dans un coin de la pièce, à même le sol. Je démonte les différents disques durs et les place dans ma « tour infernale » (mon PC d’investigation). J’ai l’impression que les policiers me regardent en pensant au professeur Tournesol.

Pendant les deux heures qui vont suivre, je vais étudier tous les papiers découverts par les policiers pour voir s’ils peuvent contenir des éléments de nature à me faciliter l’analyse inforensique des disques durs. Mais je ne trouve rien. La corbeille à papier est également vide IRL. Le monde moderne.

Les policiers s’ennuient un peu, quand finalement j’arrive à booter la première image dans une machine virtuelle VMware. L’un d’entre eux me dit en souriant: « finalement, deux heures pour démarrer un PC, c’est un peu comme chez moi ». Je ne me laisse pas déconcentrer et pars à la recherche de tous les indices possibles.

Les mots de passe Windows sont vite découverts avec Ophcrack. L’historique internet me fournit une liste de sites visités, ainsi que plusieurs pseudos (en clair dans les url). Les historiques MSN me donnent plusieurs emails et identités numériques. J’explore les différents outils de messagerie installés: Outlook Express, Thunderbird, surtout les emails de création de comptes avec envoi de mots de passe. Je conserve tout cela précieusement car tout ceci me donne l’impression que le propriétaire du PC change régulièrement de pseudo.

La liste des mots de passe utilisés me donne une petite idée de la stratégie de choix de l’utilisateur: un mélange avec les prénoms de ses enfants et des dates qui s’avèreront être les dates du jour de création des comptes.

J’effectue une petite recherche des fichiers de grosses tailles qui met en évidence trois fichiers de 4 Go sans extension. Je tente le coup avec l’application TrueCrypt contenue dans ma clef USB « LiberKey« . J’essaye les différents mots de passe trouvés précédemment et l’un d’entre eux marche sur un fichier, deux autres sur l’un des fichiers restants. Cela signifie donc qu’un utilisateur du PC connait TrueCrypt et l’utilise pour chiffrer des données dans un fichier protégé par le système à double détente de TrueCrypt. Mais il me manque encore quelques mots de passe.

Parmi les outils de mémorisation des mots de passe, le navigateur est le plus utilisé. Je lance le navigateur installé et vérifie dans les options appropriées la liste des mots de passe mémorisés en association avec différents comptes internet.

Je note tous les login/mot de passe des comptes. Je vérifie avec l’OPJ que mon ordre de mission m’autorise à me connecter sur les comptes internets. Un coup de fil au magistrat lève les doutes. Je fais consigner la démarche sur le PV. Je choisis en premier lieu le webmail le plus fréquemment utilisé. J’y découvre une quantité d’emails que je récupère avec le Thunderbird de ma clef USB. Et bien entendu, parmi ces emails, un certain nombre d’emails contenant des mots de passe.

Ce travail s’effectue en parallèle de la prise d’image des autres disques qui sont montés au fur et à mesure sous forme de machines virtuelles. Mais le travail initial permet d’accéder plus rapidement aux espaces DATA intéressant les OPJ. Une fois franchis l’obstacle du chiffrage et des mots de passe, l’outil essentiel est une recherche Windows avec les mots clefs fournis par les OPJ. J’ai une certaine préférence pour SearchMyFiles de chez NirSoft.

La perquisition se termine en fin d’après-midi. J’imprime tous les documents découverts. Je range mon matériel. Je rappelle à l’OPJ que ma mission se poursuivra le week-end suivant avec des analyses plus longues, en particulier des zones non allouées des disques durs. Suivra ensuite la rédaction du rapport et l’impression des annexes. Comme pour une fois, ce dossier ne contient pas d’images pédopornographiques, je vais pouvoir externaliser l’impression pour faire baisser les coûts.

En sortant de la maison, je présente mes excuses à la propriétaire.

Elle est en colère et me répond durement.

Je revois encore aujourd’hui la rage de son regard.

Je la comprend.

Le combat à mort

La plupart des expertises judiciaires sont très éprouvantes. Parce qu’elles m’obligent à regarder des films qui me secouent, parce que je suis papa de trois enfants pré-adolescents, parce que beaucoup de mes expertises concernent des images pédopornographiques et parce que souvent je touche de près le malheur des gens.

Sans compter qu’avec le temps qui passe, l’avancée de la technique peut me faire découvrir d’éventuelles erreurs judiciaires.

Mais l’anecdote que je vais raconter ici se situe dans un autre registre. L’expert judiciaire se retrouve souvent dans une désagréable posture, coincé entre l’enclume et le marteau.

Une entreprise se retrouve au bord du gouffre à cause d’une défaillance de son système informatique et réclame à son fournisseur une somme d’argent colossale à titre de réparation. Le fournisseur se défend d’être la cause de la quasi-faillite de l’entreprise et indique que les montants réclamés le ferait fermer boutique.

Le magistrat demande l’avis d’un expert judiciaire, à la fois sur le problème informatique et s’il est avéré sur le chiffrage des dégâts.

Me voici sur les lieux.

Comme d’habitude, je suis le premier sur place. Je me fais conduire à la salle de réunion, je vérifie qu’il y a de la place pour que tout le monde puisse travailler à son aise. Je m’assoie à une place stratégique pour voir tout le monde. Je sors les pièces que les parties m’ont adressées, mes stylos, la liste des participants prévus à la réunion avec leurs titre et fonction.

Je me concentre en relisant les missions que le magistrat m’a confiées.

Les parties arrivent: d’un côté le patron de l’entreprise, son informaticien, son avocat et son expert privé, de l’autre le gérant de la SSII, son chef de projet et son avocat.

Les deux groupes s’échangent quelques banalités par politesse, mais restent bien séparés. Je salue tout le monde, et j’apprécie à sa juste valeur la formule « bonjour monsieur l’expert » utilisée par les avocats. J’essaye d’être à la hauteur des convenances avec mes « bonjour Maitre », « bonjour cher confrère » et « bonjour monsieur ».

Les débats commencent après la lecture de mes missions.

Le ton monte assez vite entre les deux dirigeants.

Je demande aux avocats d’expliquer à leur client qu’ils doivent s’adresser à moi pour me faire part de leurs arguments. Les avocats font leur travail, mais les deux dirigeants n’arrivent pas à s’empêcher de couper l’autre dans ses explications.

Je sors mon arme ultime: un enregistreur de poche que je pose en évidence sur la table devant moi. « Messieurs, si vous êtes d’accord, afin de me permettre d’éviter de prendre des notes manuscrites et pour faciliter la réunion, je vais utiliser ce dictaphone. »

Je vois bien que les deux avocats ne sont pas trop d’accord, mais personne ne prend l’initiative de me refuser cette faveur. La réunion redémarre sur un ton plus audible, mais après une demi-heure, le dictaphone est oublié par tout le monde, et les noms d’oiseau volent.

Je n’ai pas d’autre choix que de regarder ces deux dirigeants lutter, en constatant au fond de moi que chacun lutte pour sa survie.

Après deux heures de réunion, j’ai maintenant compris l’enchainement des faits et j’ai une petite idée de ce qui a amené les deux parties en justice. Il me faut maintenant passer à la partie plus technique du dossier et interroger les hommes de l’art. La discussion passe donc entre les mains des informaticiens. La tension est palpable, et chacun sait qu’il joue son poste et sa carrière.

J’emmène tout mon petit monde jusqu’à 13h, où, après 4h de débats houleux, je propose de faire une pause. Le patron me propose de déjeuner avec eux, mais je décline poliment, au grand soulagement de son avocat, qui lui, sait bien que c’est parfaitement interdit par la jurisprudence à peine de nullité de mon rapport.

A 14h, l’épreuve de force reprend. Je m’accroche à la table et subis les assauts des parties. En effet, c’est à ce moment que je fais part de la position que je suis en train de prendre sur le dossier. Et dans le cas présent, mon avis ne satisfait personne. Je focalise sur moi la fureur des deux dirigeants.

Il s’agit dans ce cas de conserver son calme, de ne pas réagir aux mots blessants ou aux sous-entendus et de se concentrer sur la partie technique. Je rappelle que je ne suis pas là pour juger, que mon avis n’est pas forcément suivi par le juge (les deux avocats froncent un peu les sourcils) et que l’après-midi est fait pour éclaircir encore certains points techniques un peu obscurs.

Les deux hommes restent combatifs et bataillent sur chaque aspect du dossier, parfois sur un point de détail. Je dois faire le tri entre toutes les données qui m’arrivent, j’insiste sur les pièces devant étayer tel point de vue, je demande qu’on me fournisse des traces complémentaires. Le combat à mort entre les deux entreprises me touche, me vise, me secoue.

Il est 18h, tout le monde est lessivé. Je clos la réunion. Je rentre chez moi et en chemin je revois les moments forts de la réunion. J’ai assisté à une lutte pour la survie. J’en suis un élément clef, mais je dois en faire abstraction: même si l’un des dirigeants m’a paru antipathique et caricatural, même si des apriori tentent de perturber mon opinion, je dois établir un avis « en mon honneur et en ma conscience » le plus scientifiquement possible et malgré les enjeux.

J’ai travaillé dur sur le rapport. J’ai réécouté quelques passages de la réunion (8h d’enregistrements!). J’ai étudié en détail les dires adressés par les parties après le pré-rapport. J’y ai répondu scrupuleusement dans le rapport final que j’ai déposé.

Et comme je suis déchargé du dossier une fois le rapport déposé, personne ne m’a contacté pour me faire part des suites données à cette affaire. Je vous laisse donc avec la même frustration que moi: je ne sais pas qui est mort et qui a survécu.

Mais quel combat!

Manon13

Manon a treize ans. Elle travaille bien à l’école où elle a beaucoup d’amis. Elle joue, elle rit comme beaucoup d’enfants de son âge.

Ses parents l’aiment, font attention à son éducation, lui achètent ce qu’il faut, mais pas tout ce qu’elle demande. Bon, elle a quand même un téléphone portable comme tout le monde et un ordinateur dans sa chambre. Mais ils ont fait attention à ne pas céder pour la télévision dans la chambre.

Manon aime bien discuter avec ses amis le soir sur son ordinateur. Elle connait bien comme eux tous les lol, mdr et autres smileys/émoticones. Elle utilise Windows Live Messenger et arrive à suivre une dizaine de conversations sans problème. Elle a une webcam qu’elle utilise de temps en temps quand ses amis en ont une. Son pseudo, c’est manon13du31, parce qu’elle à 13 ans et qu’elle habite en Haute-Garonne, et que c’est rigolo parce que 31 c’est 13 à l’envers.

Manon utilise aussi la messagerie électronique Windows Mail pour faire passer à ses amis tous les textes amusants qu’elle reçoit. Son père n’aime pas trop ça et il appelle ça des chaines, mais c’est tellement rigolo. Et puis c’est vrai: si tu ne passes pas cet email à 15 personnes, tu risques de ne pas savoir qui est amoureux de toi le lendemain. Et ça, c’est trop important pour risquer de le rater. Et puis les parents ne peuvent pas comprendre, ils sont trop vieux. Son amoureux à elle, c’est Killian. Mais il ne veut pas encore l’embrasser.

Manon s’est inscrite sur plusieurs sites web: celui où l’on peut jouer à faire vivre des animaux, celui où ses copines discutent du beau Michael, mais si, celui DU film. Et bien entendu, Manon a un blog où elle met en ligne des photos d’elle et de ses copines. Mais elle change souvent de blog, parce son père n’aime pas trop qu’elle étale sa vie comme ça sur internet. Il ne veut pas qu’elle ouvre un compte Facebook, et ça c’est nul parce que Cindy, elle, elle en a déjà un. Alors, pour brouiller les pistes, elle crée régulièrement un nouveau blog avec un nouveau pseudo: manon13_du31, manondu31_13, manonLOL1331, manonXX13_31… Elle a même créé un blog cindy13du31 où elle a mis une photo de Bob à la piscine. Bob, c’est le mec le plus bête du collège, haha.

Un soir, Manon discute avec ses amis sur Messenger. Depuis plusieurs semaines, elle grignote quelques minutes supplémentaires auprès de ses parents qui veulent qu’elle se couche tellement tôt. Petit à petit, elle a réussi à rester plus tard, et maintenant, c’est elle la dernière à se déconnecter. Elle discute en ce moment avec sa nouvelle copine Célia super sympa qu’elle connait depuis un mois.

Ce que ne savait pas Manon, c’est que cette copine, c’est un garçon. Un grand. Un homme de 20 ans.

Ce que ne savait pas Manon, c’est qu’à chaque fois qu’elle allumait sa webcam, sa « copine » enregistrait les séquences. C’est vrai que c’était dommage qu’à chaque fois elles ne puissent pas discuter en live, mais c’était parce que la caméra de sa copine avait toujours un problème.

Ce que ne savait pas Manon, c’est que la séquence où elle fait la fofolle dans sa chambre en pyjama ridicule, et bien « Célia » l’avait enregistrée.

Et maintenant, ce garçon la menace de la diffuser sur Youtube! Il a fini par allumer sa webcam, et elle l’entend très bien lui parler. Il lui dit que si elle ne fait pas ce qu’il veut, il balance la vidéo…

Alors, elle fait ce qu’il lui dit.

Et lui, il enregistre.

Et il se filme.

Et elle doit regarder.

Ce que ne savait pas non plus Manon, c’est qu’un policier regarderait également les vidéos. Et un magistrat.

Ce qu’elle ne savait pas non plus, c’est qu’un expert judiciaire regarderait toutes les vidéos, même celles qu’elle avait effacées. Et toutes les conversations Messenger. Et tous ses emails. Et toutes ses photos. Et tous ses blogs.

Ce qu’elle ne savait pas, c’est que ses parents verraient tout cela aussi.

En fait, Manon, 13 ans, du 31, ne savait pas grand chose.

Mais maintenant elle se sent mal.

———————

Crédit photo: Série Cold Case.

PS: Prénoms, âge, département et histoire modifiés.

Un petit week-end

Elle est vêtue de vêtements chatoyants et court sur une route de terre. Plusieurs personnes courent avec elle. La vidéo n’est pas de très bonne qualité. On ne distingue pas bien ce que ces personnes tiennent à la main.

Le vidéaste zoome maladroitement.

Optiquement la femme s’approche de moi, simple téléspectateur sur mon écran d’ordinateur, et je constate que les personnes qui courent avec elle sont des hommes, munis de machettes, qui courent après elle.

L’un d’eux la rattrape et lui plante la machette dans le crane.

Les yeux de la femme sont exorbités alors qu’elle hurle en tombant. La vidéo n’a pas de son mais son cri me saute au yeux. L’homme itère son geste et lui fait éclater le crane.

Des morceaux de cervelle s’éparpillent sur la piste, alors que les derniers poursuivants arrivent à sa hauteur.

Ils rient.

Et moi, malgré mes dix années d’expérience comme expert judiciaire, je pleure.

Cette séquence, je viens de la subir en visionnant le contenu d’un disque dur mis sous scellé. Comme d’habitude, le magistrat m’a missionné pour analyser le disque dur à la recherche d’images et de films pédopornographiques. Et comme d’habitude, je visionne un nombre important d’images et de films, parmi lesquels se trouve un nombre important d’images et de films pornographiques, parmi lesquels peuvent se trouver cachés un certain nombre d’images et de films pédopornographiques… et ce film tourné probablement pendant les massacres du Rwanda.

Et je dois visionner chaque film pour remplir ma mission correctement.

Ceux qui pensent que la violence présente à la télévision ou au cinéma banalise la violence réelle se trompent. Je regarde avec frissons « Le silence des agneaux », « Hannibal », « Alien » ou tout autre slasher movie. Mais tout est faux. « C’est du cinéma ». Même quand c’est tiré d’un fait réel, le spectateur sait qu’il assiste à une mise en scène.

Mais quand on « sent » que c’est vrai, que les images sont réelles, c’est très différent. On assiste à la mort violente d’une personne et on n’y est pas préparé. Peut-on s’y préparer d’ailleurs? Même les 20 premières minutes de « Il faut sauver le soldat Ryan » ne m’ont pas préparé à ça. Et pourtant elles m’ont secoué.

J’ai survolé très rapidement le reste de la vidéo pour m’assurer qu’aucune scène pédopornographique n’avait été insérée au milieu de ces scènes de massacres. Il n’y en avait aucune. Je n’en ai pas trouvé d’ailleurs sur ce disque dur. Juste de la pornographie. Et cette vidéo de massacres dans un fichier portant un nom de film pornographique.

Mais cette scène restera gravée dans mon esprit.

La France ne peut accueillir toute la misère du monde, mais elle doit savoir en prendre fidèlement sa part. J’ai eu ma part pour ce week-end.

C’était juste un petit week-end pour un petit expert judiciaire de province.

Le dernier maillon

Elle venait d’entrer dans la salle, impressionnée par tant de personnes.

La réunion durait depuis plusieurs heures, j’avais écouté toutes les explications fournies par les parties, et je ne comprenais toujours pas pourquoi les deux entreprises en étaient arrivées là.

J’avais surtout compris que le support informatique effectué par la société de service ne s’était pas déroulé correctement et que les deux entreprises étaient maintenant au bord du gouffre, l’une parce qu’elle avait perdu toute ses données et l’autre son plus gros client.

Mais après avoir écouté, dans l’ordre de bienséance hiérarchique, les grands patrons, puis les avocats, les chefs de service et les chefs de projet, je ne comprenais pas ce qui avait fait tout capoter.

On me parlait de milliers d’euros de pertes par jour, de licenciements, de dépôt de bilan. Et moi, je ramenais toujours les débats sur le terrain de l’expertise judiciaire en informatique, rappelant que mes missions n’incluaient pas l’analyse comptable et financière de la situation, mais la recherche des causes techniques (exclusivement).

Bon, j’avais compris dès le début de la réunion que les rapports humains s’étaient vite envenimés dans cette affaire qui aurait peut-être pu se régler plus simplement et plus rapidement si les deux parties avaient usées d’un peu plus de diplomatie…

Enfin quoi, un serveur ne tombe pas en panne en même temps que son système de sauvegarde: disques durs en miroir (RAID1), sauvegardes quotidiennes complètes avec rotation sur trois bandes, archivage d’une bande chaque semaine hors site.

La société de service me décrit un système de sécurité des données infaillibles, et un suivi des procédures avec traçabilité, etc. « Nous sommes certifiés ISO machin, vous comprenez, notre société est au dessus de tout soupçon, nous n’employons que des personnes compétentes, suivant des formations régulièrement, nous avons mis en place un système de télésurveillance avec prise de contrôle à distance qui nous permet de faire des interventions en un temps record… » m’a expliqué de long en large le patron de la SSII.

« Nous payons très cher un service support qui n’a pas été capable d’empêcher ce désastre… » Me dit le patron de l’entreprise, entre deux invectives, au milieu de reproches divers sans rapport avec l’affaire qui nous concerne.

Nous avions passé en revu l’accès distant du support via internet, les fiches ISO machin d’intervention des techniciens, les rapports, les dossiers techniques, les courriers recommandés.

Moi, je voulais voir la personne qui avait appelé le support…

Elle venait d’entrer dans la salle, impressionnée par tant de personnes.

Je lui pose les questions d’usage: prénom, nom et intitulé de la fonction au sein de l’entreprise. Dans un silence à la tension palpable, elle me raconte sa version de cette journée noire.

Elle: « Comme d’habitude, avant de partir déjeuner, j’ai mis la bande dans le serveur et lancé la sauvegarde. Je sais que c’est une opération importante alors je la fais toujours avec précautions. Mon chef m’a dit que les bandes étaient très chères. »

Moi: « Comment saviez-vous que c’était la bonne bande à placer dans le boitier? »

Elle: « Les bandes sont numérotées et je dois mettre la bande correspondant au numéro du jour. »

Moi: « Pouvez-vous préciser? J’avais cru comprendre qu’il n’y avait que trois bandes. »

Elle: « Oui, mais la bande numéro 3 a été mise de côté par le comptable après la clôture des comptes. Il m’a dit de mettre la bande numéro 1 les jours impairs et la bande numéro 2 les jours pairs. J’ai trouvé cela astucieux, car avant, je devais à chaque fois noter dans un cahier le numéro de la bande utilisée. »

Moi: « Montrez-moi ce cahier, s’il vous plait. Donc depuis huit mois les sauvegardes ne se faisaient que sur deux bandes. Pouvez-vous me dire ce qui c’est passé à votre retour de pause déjeuner? »

Elle: « Les assistants m’ont appelé pour me dire que leurs terminaux ne fonctionnaient plus et pour me demander de redémarrer le serveur. J’y suis allé et j’ai vu que l’écran était tout bleu avec des inscriptions que je n’ai pas comprises. Avant de redémarrer le serveur, j’ai appelé le support. Le technicien m’a dit que cela arrivait de temps en temps et qu’il fallait que je redémarre le serveur. Je lui ai dit que la sauvegarde ne s’était pas terminée correctement. Il m’a dit de la relancer. »

Moi: « Vous avez utilisé la même bande? »

Elle: « Oui. C’est d’ailleurs ce que m’a demandé le technicien lorsque je l’ai rappelé une heure plus tard pour lui dire que de nouveau plus rien ne fonctionnait et que la sauvegarde s’était encore mal terminée. Il m’a alors indiqué que la bande devait être défectueuse et que c’est ça qui devait « planter » le serveur. Il m’a alors recommandé d’utiliser une autre bande. C’est pour cela que j’ai mis la bande n°2 alors que ce n’était pas le bon jour. »

Moi: « Vous n’avez pas de bandes neuves? »

Elle: « On ne m’en a pas donné et j’ai cru que c’était parce qu’elles coutaient cher. »

Moi: « Mais, quand votre chef vous a dit qu’elles avaient de la valeur, ne voulait-il pas dire cela à cause des données qui étaient stockées dessus? »

Elle: « Ce n’est pas ce que j’ai compris. On m’a dit qu’elles étaient chères… »

Moi: « Mais en mettant la deuxième bande, ne vous êtes-vous pas dit que si elle venait également à être effacée, il n’y aurait plus de sauvegarde? »

Elle: « Non, je n’ai fait que suivre les indications du support… »

Je l’ai regardé sortir de la salle et j’ai eu une pensée émue pour les gens qui sont les derniers maillons de la chaine de commandement, les petites mains. Ce sont souvent elles qui ont les plus grandes responsabilités in fine.

Mais je n’ai pas oublié l’ensemble des décideurs:

– un disque dur en miroir sans remontée d’alertes et sans surveillance. Résultat: depuis plusieurs mois, l’un des deux disques était en panne. Il ne restait plus qu’à attendre la panne du deuxième, ce qui venait d’arriver pendant le stress généré par la sauvegarde.

– une mauvaise formation des employés concernant le système de sauvegarde (et le coût des bandes en regard du coût de la perte des données). Ils n’avaient pas conscience que lorsqu’une sauvegarde démarre, elle écrase les données précédentes. Si elle est interrompue brutalement, la bande est inexploitable. Deux bandes inexploitables à cause d’un disque en train de tomber en panne et toutes les données sont perdues…

– une prise de contrôle à distance inopérante en cas d’écran bleu qui aurait du déclencher la venue en urgence d’un technicien.

– la décision du support de sacrifier une deuxième bande de sauvegarde sans s’être renseigné sur l’existence d’une autre bande de sauvegarde récente et en état.

– la décision de retirer une bande du jeu de trois sans prévenir le support, surtout quand cela annule la sauvegarde hebdomadaire avec déport hors site.

– l’absence totale d’exercice de restauration de données et de tests des bandes utilisées.

– la situation de quasi abandon du serveur du point de vue physique avec traces de serpillère sur la carcasse posée à même le sol et sur la multiprise parafoudre…

Il y avait beaucoup de choses à dire sur le respect de l’état de l’art par les deux entreprises. Il y a de nombreuses fois où je n’envie pas le juge qui doit trancher. Je me contente de rester un simple technicien de l’informatique.

Mais j’ai encore aujourd’hui une pensée pour le dernier maillon de la chaine, celui à qui on dit d’appuyer sur le bouton et qui fait tout exploser…

Fier d’etre expert judiciaire

Je ne peux pas le cacher, je suis fier d’être expert judiciaire. Je ne m’en vante pas partout, sauf peut-être sur ce blog, mais je suis fier que la justice ait décidé de m’accorder sa confiance pour accepter d’utiliser mes compétences. Pourtant je sais garder la tête froide, et rester modeste « comme il faut ».

Bien m’en a pris.

Je vérifie tout plusieurs fois lors d’une expertise. J’imagine toujours le pire, aussi ai-je plusieurs stratégies de vérification: je procède à une prise d’image avec tel outil, et pendant son analyse, je prends une autre image avec un autre outil et j’effectue dessus les vérifications et confirmations de mes découvertes (ou absences de découvertes).

Je prends des photos, des notes, des mémos. Je relie mes notes, je travaille sur plusieurs jours en essayant de suivre le conseil de David J. Way dans son manuel de construction de clavecin.

Mais surtout, quand je tombe sur quelque chose de curieux, je le signale par écrit dans mon rapport, et n’hésite pas à contacter l’Officier de Police Judiciaire (OPJ) en charge de l’enquête.

Quitte parfois a être ridicule.

Dans ce dossier, j’avais ouvert l’unité centrale de l’ordinateur à la recherche d’un système de stockage: rien, nada, keutchi, walou. Et pas de système rack qui pourrait expliquer l’absence de disque dur comme dans ce dossier

Je contacte l’OPJ pour lui faire part de mon désarroi. Celui-ci s’étonne que je ne trouve rien car il a lui même éteins le PC lors de la saisie. Nous discutons un peu au téléphone et je lui déclare que je vais procéder de nouveau à un examen approfondi de l’unité centrale.

Le soir même, de retour dans mon bureau d’investigation, je réouvre l’unité centrale et regarde de nouveau à l’intérieur: une carte PCI « différente » attire alors mon regard… Mon premier disque dur SSD sur carte PCI.

Je n’ose pas imaginer ce qui se serait passé si j’avais rendu mon rapport en l’état. Comment ai-je pu passer à côté de cette nouvelle technologie. Fatigue? Incompétence?

Alors, un conseil aux jeunes experts judiciaires: soyez fiers d’être au service de la justice, mais restez modestes et n’ayez pas peur du ridicule. Croire que l’on est infaillible peut mener à la catastrophe.

Soyez fiers, mais ne faites pas le fier.

Savoir faire

Un salarié quitte son entreprise. Lorsqu’il part, il emmène ses connaissances, son savoir-faire. Parfois, il emmène plus qu’il ne devrait, ou l’entreprise pense qu’il le fait. Et cela amène les deux parties devant un tribunal.

Et parfois, le dossier contient des pièces informatiques que le magistrat souhaite voir analysées par un expert judiciaire.

Me voici donc devant un ordinateur appartenant au salarié parti (son ordinateur personnel ou son nouvel ordinateur professionnel) et faisant l’objet d’une plainte de la part de son ancienne entreprise: le salarié aurait volé un fichier informatique contenant des formules appartenant à l’entreprise et contenant tout son savoir-faire.

Ma liste de missions est claire, j’organise la réunion, j’entends les parties, j’étudie attentivement les pièces, mène les investigations informatiques en présence des parties, rédige un pré-rapport, puis un rapport final avec réponse aux dires des parties.

J’ai eu à gérer plusieurs affaires de ce type, et souvent le cœur du problème concernait le départ de l’employé avec des fichiers Excel contenant des formules et des macros, fruits de nombreuses années d’expérience de l’entreprise.

Mon travail consiste alors à trouver des similitudes entre les formules utilisées par des différentes parties pour dire si oui ou non les fichiers (avec les formules) ont été « volés ». Techniquement, c’est assez intéressant en ce que cela demande d’être capable de scientifiquement définir la notion de similitude dans les formules Excel.

Parfois, il suffit de regarder le menu « Propriétés » du document pour y trouver le nom de l’ancienne entreprise…

Mais le plus fascinant est pour moi le travail des Avocats qui argumentent sur le terrain du Droit (qui n’est pas le mien). Cela m’a fait m’interroger sur les questions suivantes:

– à qui appartient l’expérience d’un salarié?

– quand un salarié quitte son entreprise, et qu’il recrée des outils de toute pièce, où est la limite entre copie « de mémoire » et savoir faire personnel?

Toutes ces questions ont des réponses juridiques sur lesquelles les avocats bataillent. Parfois j’en suis le témoin en réunion, et ces sujets sont passionnants. Mais c’est le travail du Juge que d’en trancher les nœuds, sauf inscription explicite dans les missions de l’expert.

Enfin, il m’arrive parfois de regarder autour de moi, dans mon bureau professionnel, toutes les choses qui s’y accumulent depuis 15 ans en me demandant ce qui m’appartient réellement, et que j’emporterais si je devais partir. Mon bollard et mon couteau peut-être?

Bien peu de chose en vérité.

Mais une bonne formation humaine et une solide expérience… Qu’il me faudra valoriser.

Ex nihilo

« Gigni De nihilo nihil, in nihilum nil posse reverti » (Rien ne sort du néant, et rien ne s’y replonge) a écrit Perse (Satires III vers n°84).

Tout commence comme d’habitude par un appel d’un juge d’instruction sur mon téléphone portable réservé-aux-expertises.

« Bonjour Monsieur l’Expert. J’ai besoin que vous fassiez une analyse sur un disque dur assez rapidement. »

Passées les présentations d’usage, je lui rappelle que mon métier principal, celui qui m’occupe 12h par jour du lundi au vendredi, c’est « responsable informatique et technique dans une école d’ingénieurs », et vérifie avec lui que « assez rapidement » est compatible avec les soirées et week-ends à venir.

« Si vous pouviez me rendre votre rapport avant un mois, car c’est un dossier délicat où le temps à son importance. »

Quand on me prend par les sentiments, j’ai toutes les peines du monde à refuser.

Un mois, ici, c’est quatre week-ends et trente et une soirées. Dès réception par fax de la mission (le soir même), j’adresse au tribunal mon devis estimatif. Comme je ne peux pas procéder a postériori, que je ne connais pas la taille du disque dur, ni le système d’exploitation, mon devis est très très « pifométrique« .

Le devis est accepté et la Gendarmerie m’amène quelques jours plus tard le scellé contenant le disque dur. Il reste trois semaines.

Dès réception le disque dur est extrait du scellé, puis copié bit à bit. Je travaille ensuite sur cette image numérique.

Premier constat: le disque dur a été reformaté. Aucune donnée n’apparait maintenant si l’on regarde le disque dur (ou son image) avec un système d’exploitation.

Quelques analyses montrent que le disque dur a été reformaté en NTFS, c’est-à-dire le type de formatage standard de Windows XP. Comme beaucoup de personnes le savent, reformater un disque dur n’efface pas l’ensemble du disque dur, mais simplement la table des matières permettant de retrouver les fichiers. Et qu’on ne vienne pas me parler ici de formatage rapide ou classique: la différence entre les deux ne concerne que la recherche de secteurs défectueux (la preuve ici).

Les données sont donc toujours présentes et mes fins limiers grep, egrep, agrep, fgrep me le confirment rapidement.

Ainsi, tel un dieu ancien, j’ai pu procéder à une création « from scratch » et retrouver tous les fichiers, y compris ceux effacés antérieurement au reformatage et ceux ayant laissé quelques traces ici ou .

Il ne me restait plus qu’à faire le tri parmi le milliers de fichiers, cracker les pdf protégés, faire une analyse stéganographique, rédiger mon rapport et ses annexes, l’imprimer en deux exemplaires et le relier. Et pour cela, il me restait deux semaines.

Le devis précisait 20 heures de travail, j’en ai passé 70, mais j’ai rendu le rapport dans les temps.

Rien ne sort du néant.

Grandescunt Aucta Labore.

Le noir

C’est lui qui m’avait ouvert la porte. Il ne pouvait pas me reconnaître puisque je venais pour la première fois. Il a ri en me faisant entrer tout en me demandant si mon voyage s’était bien passé.

Une heure plus tôt, j’étais complètement perdu en rase campagne.

Cette expertise judiciaire commençait mal.

C’était avant que je n’achète un GPS.

C’était avant que je ne m’équipe d’un téléphone portable.

Pourtant j’avais l’adresse, mais j’avais oublié mon atlas routier et je n’avais qu’une carte de France pour me guider. La maison était isolée en pleine campagne, mais sa mère m’avait expliqué le chemin, quand je m’étais résolu à appeler d’une cabine téléphonique d’un village voisin.

J’avais fini par trouver le chemin boueux qui semblait plus fait pour les tracteurs que pour ma 205 usée.

Et c’est lui qui m’ouvrait la porte.

Lui, le malvoyant.

Sur le papier, le dossier semblait plutôt simple: un ordinateur équipé de logiciels spécifiques aux malvoyants avait été livré, mais le système ne fonctionnait pas correctement. Le fournisseur ne voulait rien savoir et toute l’affaire avait été portée devant la justice. Le magistrat m’avait choisi sur la liste des experts judiciaires pour expertiser l’ensemble informatique. C’était une de mes premières affaires, en tout cas la première chez l’habitant.

J’avais convoqué les deux parties pour une réunion d’expertise sur le lieu où se trouvait le matériel objet du litige. Après une demi-heure d’attente, j’ai du me résigner à commencer en l’absence du fournisseur qui n’a pas daigné se présenter ni s’excuser.

J’étais donc seul avec ce jeune-presque-aveugle et sa maman.

Je découvrais pour la première fois tous les problèmes que peut rencontrer une personne qui ne voit presque rien, en tout cas rien comme moi. Ce jeune avait perdu sa vision centrale et ne voyait qu’avec la vision périphérique. Pour mieux comprendre son problème, essayez de lire ce billet en regardant à côté de l’écran…

C’est fou dans ces cas là le nombre de bévues que l’on peut faire:

« Vous voyez ce réglage? Heu… »

« Mais le problème est lumineux… »

« C’est clair, heu… »

Le système informatique était composé d’un PC normal équipé d’un écran gigantesque pour l’époque (les écrans plats n’existaient pas encore): un 24″ cathodique. Le système d’exploitation Windows 98 était complété par plusieurs logiciels grossissants et un logiciel de lecture de textes.

« Montrez moi les dysfonctionnements que je puisse les voir de mes propres yeux… Heu… »

Le jeune était plein d’énergie et manipulait le système avec dextérité. La loupe incorporée dans Windows rendait énormes les caractères et il collait presque son nez sur l’écran. Ces dix doigts connaissaient le clavier par cœur (moi qui tape encore avec quatre doigts). Il utilisait peu la souris, mais maitrisait tous les raccourcis clavier.

Pendant la démonstration, sa mère m’a dit:

« Vous savez, c’est lui qui a branché tout le système et fait toutes les installations logicielles tout seul! Le fournisseur a tout fait livrer et n’a jamais voulu envoyer quelqu’un pour nous aider. »

Ma mission n’incluait pas le dépannage, mais très vite, je me suis rendu compte que l’installation d’un des logiciels avait remplacé une DLL par une version incompatible avec un autre logiciel.

J’ai passé l’après-midi avec ce jeune à échanger des trucs sur la meilleure façon de configurer son ordinateur. A la maman inquiète, j’ai vite expliqué que mes honoraires n’incluraient que la partie pleinement consacrée à l’expertise, le reste ayant été du plaisir entre deux passionnés d’informatique.

Je n’ai pas compté non plus le temps perdu pour trouver le chemin, ni celui qu’il m’a fallu pour retrouver la route dans le noir de la nuit quand je les ai quitté.

Je n’ai pas su si le fournisseur avait été condamné à payer au moins l’expertise, mais j’ai appris récemment que cette personne a complètement perdu la vue et qu’elle utilise toujours l’informatique pour parcourir le web.

Peut-être écoutera-t-il ce billet.

Je sais au moins que le fond noir de ce blog ne perturbe pas son logiciel de lecture

Vacuité informatique

J’ai reçu sous scellé une unité centrale plutôt volumineuse et lourde. Les Officiers de Police Judiciaire la portaient à deux et elle a vite encombré mon (tout) petit bureau.

Avant d’en commencer l’expertise, j’étudie attentivement les missions, je fais quelques recherches sur internet, j’ouvre un dossier en commençant la rédaction de mon rapport, j’y recopie les missions, donne un numéro d’affaire, etc.

Après une petit heure de préparatifs, muni de mon cahier de notes dans lequel j’écris toutes mes opérations, je commence l’ouverture du scellé.

Extraits de mon cahier de notes:

– scellé n°2 – unité centrale de marque XXX, modèle AB4321, portant le numéro de série AZE2367LHK67 (vous avez remarqué qu’on appelle toujours cela un « numéro »?)

– le scellé comporte beaucoup de poussières dans ses aérations

– il y a un tiroir range-cédérom sur le dessus. J’ouvre celui-ci et constate sa vacuité.

– je constate également la vacuité du lecteur de DVD, ainsi que celle des lecteurs de cartes mémoires. Ces derniers sont néanmoins remplis de poussières, sauf le lecteur de cartes au format SD.

– il y a en façade deux trappes coulissantes. La première permet d’accéder à la connectique multimédia. La deuxième permet d’accéder à un tiroir ayant pour fonction l’accueil d’un disque dur à glissière (rack). Ce tiroir est vide.

– je procède à l’ouverture de l’unité centrale en retirant son côté gauche.

– je constate la présence d’un volume de poussière important.

– je constate l’absence de disque dur…

Les OPJ ont mis sous scellé une unité centrale sans disque dur!

Ils ont été trompés par le rack caché permettant d’enlever et de remettre facilement le disque dur.

Mon rapport a été plein de vacuités.

Natura abhorret a vacuo…

pas l’informatique.