La tension est palpable dans la pièce trop petite pour tout ce monde. Je suis assis devant l’ordinateur en train de regarder son contenu. A côté de moi, l’huissier prend des notes sur toutes les manipulations que j’effectue. En face de moi, le salarié, assisté d’un délégué du personnel. Dans un coin de la pièce, le directeur de l’usine, très remonté. A ses côtés, un informaticien bien embêté.

Je suis en pleine mission d’assistance à huissier.

Tout le monde attend beaucoup de moi.

Je préviens tout de suite les personnes présentes que je ne suis pas Dieu, que je vais avoir besoin d’un certain nombre d’informations pour pouvoir faire mes recherches sur le poste de travail… Le responsable informatique hoche la tête.

Je demande si le PC ne peut pas être mis sous scellé pour une analyse inforensique différée. Non, l’ordinateur contient des données importantes pour la production de l’entreprise, des clefs matérielles permettant de faire fonctionner des logiciels vitaux. Il faut faire une analyse in situ, là maintenant.

J’allume le PC. Le système d’exploitation est un classique Windows XP en mode domaine. Je demande les mots de passe des comptes utilisateur et administrateur concernés. L’huissier prend des notes, me demande d’aller doucement. Je me connecte en tant qu’administrateur local de la machine.

L’huissier note tout ce que je fais. Il me demande d’expliquer en termes simples la manipulation que j’effectue et pourquoi je la fais. On n’est pas sorti de l’auberge. Surtout que je ne sais pas vraiment ce que je dois chercher.

« Cela fait deux fois que le fichier des clients est modifié alors que je suis absent et que je suis le seul à pouvoir y accéder ! » Tonne le directeur de l’usine. L’informaticien m’explique que les fichiers de log du serveur montrent des accès en provenance de cet ordinateur, sur lequel le directeur affirme n’avoir jamais travaillé.

Tout le monde parle en même temps, le salarié accusé, le délégué du personnel, le directeur de l’usine… Je ne suis pas là pour animer la réunion, ni l’huissier d’ailleurs. Je regarde tout le monde s’énerver. Je suis l’observateur privilégié d’un drame interne de l’entreprise.

Je n’ai aucune idée de la méthode que je dois suivre pour prouver l’utilisation frauduleuse d’un compte sur l’ordinateur. Pourtant on attend de moi une tâche impossible: dire qui a piraté le compte du directeur et comment. Je demande les logs d’accès au serveur Windows 2003. L’informaticien est un peu embêté. Il m’explique que du fait d’une panne de disque dur et d’un remplacement à la va vite par un disque plus petit, il a fallu faire de la place, que la réinstallation du serveur a été faite très vite, que les logs d’accès sont minimalistes. Bref, une sécurité bâclée. Mais je sais que le compte informatique a été utilisé sur le poste devant lequel je me trouve. En tout cas, semble l’avoir été. En fait, je sais très peu de chose, mais qu’un salarié est accusé.

J’ai été appelé la veille, par l’huissier de justice, qui voulait
savoir si j’étais disponible pour une intervention en entreprise prévue
le lendemain matin.

Z : « Mais une intervention sur quel type de matériel et pour y rechercher quoi ? »

H : « Un salarié est accusé d’avoir modifié des données sur le serveur. »

Z : « Ah bon ? Mais quel type de serveur, quel système informatique ? »

H : « Ah ça, je ne sais pas. Mais il faut qu’on y soit à 8h demain matin. »

Z : « Gmblmblmbl. Je vérifie mon agenda et j’appelle mon patron pour voir si je peux me libérer et je vous rappelle. »

Me voilà donc à 8h dans un bureau où tout le monde me regarde. Je regarde les logiciels installés sur l’ordinateur. Je demande des explications pour certains d’entre eux. L’informaticien me renseigne. L’huissier prend des notes. Rien ne semble anormal.

Je demande au directeur de l’usine de me donner son mot de passe: « Vlehd233 » me répond-il. Je note scrupuleusement, en faisant répéter. Il me précise qu’il a changé le mot de passe depuis, mais que c’est celui-là qu’il utilisait depuis longtemps.

Je lance une recherche de cette chaîne de caractères sur tous les fichiers du disque dur. J’explique à l’huissier qui prend bonne note. Rien. Je procède à la récupération de tous les fichiers effacés de l’ordinateur et regarde la liste des fichiers.

Un exécutable attire mon attention: unshadow.exe

A partir de mon ordinateur portable, j’effectue une petite recherche sur internet… John The Ripper. Ce bon vieux JTR, que j’utilisais il y a des années pour tester la fiabilité des mots de passe de mes étudiants. Je note la date du fichier. Je trie par ordre des dates la liste des fichiers récupérables. Je repère tout un groupe de fichiers ayant la même date. Je restaure le répertoire parent. Dans le dossier, je retrouve des fichiers textes, dont un contenant la chaîne de caractères « Vlehd233 ».

Je lève les yeux sur le salarié et lui demande pourquoi je trouve trace du logiciel « John The Riper » sur son poste de travail, ainsi que la présence du mot de passe du directeur de l’usine dans le même répertoire.

L’huissier prend note de ses explications.

J’ai fini mon intervention. Je range mon matériel en mesurant le bol que j’ai eu. Depuis, je refuse de travailler ainsi au petit bonheur la chance. Chacun son métier.

Je ne suis pas spécialiste en sécurité informatique.

J’aime bien discuter avec d’autres experts judiciaires, et faire un retour d’expérience sur tel ou tel point technique de nos activités. Récemment, j’ai rencontré un expert judiciaire qui a vécu une expérience qu’il n’oubliera pas : témoigner dans un procès d’assises. Il a accepté que je rédige un billet sur son expérience pour vous la faire partager ici. Comme il est d’usage sur ce blog, les dates, lieux, sexes et noms des personnes ont été modifiés. L’expert judiciaire s’appellera Luwin.

———————————————-

Le tribunal est silencieux pendant que je m’avance jusqu’à la barre. Nous sommes aux Assises et je dois témoigner en tant qu’expert judiciaire en informatique.

Il y a quelques semaines, un huissier est venu me délivrer une « citation à expert devant la cour d’assises ». Je suis appelé à témoigner en personne, c’est ce qui est inscrit. Ouf, c’est la cour d’assises de mon département. La dernière fois c’était à l’autre bout de la France. Je regarde les dates : mince, ça coince, entre les cours aux étudiants et des réunions prévues depuis plusieurs mois.

L’affaire ? Ah, oui, je me souviens. Quelques années auparavant, j’ai été désigné dans ce dossier pour analyser le contenu d’un ordinateur et y retrouver des vidéos tournées par l’accusé. Sale affaire. Les victimes sont des adolescents, encore enfants au moment des faits reprochés. Des faits graves.

Après les copies d’usage, et au premier abord, l’ordinateur était vierge de vidéos. Puis j’ai utilisé mes outils fétiches, comme Defrazer du NFI. Une par une, des vidéos sont reconstituées par les outils. Cela a pris des heures, des jours. Elles étaient toutes effacées, présentes uniquement sous forme de traces. Les vidéos n’ont plus de nom, le système de fichier les a oubliés. C’est donc moi qui les nomme, car il faut bien qualifier le contenu, décrire l’insoutenable.

Je sais que je n’ai pas retrouvé toutes les vidéos, que certaines sont incomplètes, que la plupart n’ont pas le son associé. Mais il n’y a pas à se méprendre : l’accusé est sur les vidéos, les petits garçons aussi. Ce qui était la parole d’un jeune garçon sur un procès-verbal d’audition devenait la réalité devant mes yeux. Je me suis alors rendu compte que seul l’accusé et moi avions vu ces vidéos.

Je dissipe mes souvenirs et contacte le greffe de la cour d’assises. Revenons sur Terre. Par chance la date et l’heure prévues pour l’audition tombent dans un créneau horaire libre. Dans le passé, il m’est déjà arrivé de faire changer la date ou l’heure d’audition. Tant que l’on s’y prend suffisamment tôt, et que l’ordonnancement des auditions est flexible, le greffe est conciliant.

Puis je m’enquiers du nom du président de la cour. Une question me dérange : dois-je présenter les vidéos aux jurés ? En effet ces vidéos sont présentes dans le rapport, sous forme d’annexes numériques, mais les jurés n’en ont pas connaissance. Ni du rapport d’ailleurs. Le greffier m’explique que la salle d’audience est toute neuve et que l’on peut projeter sur trois écrans (deux en face des jurés, un derrière eux), et m’indique le nom et le téléphone du magistrat.

Avant de l’appeler je ressors le rapport de mes archives. Le dossier comporte beaucoup de dates, d’éléments techniques. Je me replonge dans l’affaire, me remémore ces détails troublants comme ces courriers de l’accusé vers ses victimes, ou ses navigations Internet.

Je contacte le magistrat, qui prend le temps de m’expliquer le déroulement des assises. Il ne voit pas d’objection à ce que les vidéos soient projetées : il s’agit d’un élément central du dossier.

Cela m’a tétanisé.

Il y a un fossé entre un travail technique et scientifique solitaire dans son laboratoire et la présentation des résultats devant une assemblée, surtout lorsqu’il s’agit d’une cour d’assises, avec l’avenir d’un homme en jeu. Je n’ose même pas imaginer ce que devait être une cour d’assises quand la peine de mort existait. Puis je visionne à nouveau les vidéos, revois les victimes. Pour que l’œuvre de justice soit complète, je dois témoigner. C’est le jury qui décidera.

Le mieux à faire dans ces cas-là est de bien se préparer et de gérer tant que faire se peut la montée du stress. D’abord on contacte les collègues plus aguerris, ceux qui sont déjà passé par là. Tous répondent en prodiguant moult conseils, me soutiennent et m’encouragent, j’écoute beaucoup. Je sens bien qu’il est assez rare qu’un expert judiciaire en informatique vienne en personne dans un procès d’assises. Pour un expert psychiatre ou légiste, il doit s’agir d’une routine.

Puis viennent les inquiétudes techniques : comment faut-il faire pour projeter des séquences vidéos dans un tribunal ? Comment sont-ils équipés ? Que faut-il amener ?

J’ai bien entendu le greffier, mais je suis de nature méfiante. D’autant plus que je n’aurai pas le temps de « visiter » la salle avant d’y aller. La salle est neuve m’a assuré l’huissier, il ne devrait pas y avoir de problème particulier. Mais je décide de doubler le matériel en amenant mon propre vidéoprojecteur, deux ordinateurs portables, des clés USB et un DVDRom avec tout mon dossier gravé. Et une rallonge électrique. Et une multiprise. On ne sait jamais.

Le jour J approche. La tension monte.

Je mets à disposition chaque moment « libre » pour préparer le plan de mon « témoignage ». Aux assises, la procédure est orale, c’est-à-dire que les témoins doivent puiser dans leur mémoire les réponses aux questions. Quand il s’agit d’informatique, il est matériellement impossible de se souvenir de tous les fichiers, dates, éléments du dossier, sans avoir recours à la consultation du rapport. Les présidents de cour m’ont toujours autorisé à avoir recours à mes notes, à condition bien sûr de ne pas me plonger dans le rapport pour en faire la lecture à voix haute. Disons que le rapport est plutôt vu comme un aide-mémoire. Cela me rassure, car même si je suis sûr de venir à la barre avec tout le rapport en tête, tellement je l’aurai lu et relu, je ne suis pas à l’abri d’un trou de mémoire sur une question inattendue.

Je rédige alors un mémo, de trois pages au maximum, écrit gros car ma vue baisse, qui reprend les étapes principales de mon rapport.

Jour J.

J’arrive une heure et demi avant le début de l’audience. Je n’arrivais pas à dormir et je déteste arriver en retard. J’en profite pour prendre un expresso au « café du palais » (il y a toujours un « café du palais » à côté d’un tribunal). Je découvre alors dans le journal le contexte complet de l’affaire dans laquelle j’interviens. Auparavant je n’avais que l’ordonnance de commission d’expert et uniquement les informations nécessaires à la mission d’expertise. C’est encore plus glauque que prévu.

Le tribunal ouvre ses portes. Il n’y a presque personne. Je présente ma carte d’expert au portique d’entrée, ce qui me permet de ne pas sortir tout mon attirail de mes sacs.

Je me rends dans la salle, il n’y a personne. J’attends patiemment et au bout d’un moment l’huissier audiencier arrive. Il m’informe que la journée d’hier a été très longue et que ce matin nous aurons aussi le témoignage d’un militaire, initialement prévu la vieille, avant que je puisse passer. Bon.

Je demande si je peux commencer à brancher mon matériel. L’huissier me CRIE qu’il ne comprend rien au matériel. Je lui CRIE en retour de m’indiquer qui peut m’aider. Nous CRIIONS de concert non pas par énervement, mais parce que la pluie vient de tomber, et résonne de manière phénoménale dans la salle d’audience, située au dernier étage. Je comprends néanmoins que c’est le greffier « qui sait ». Le greffier arrive peu de temps après, avec l’arrêt de la pluie. « Ah, vous avez pris votre ordinateur ? Mais je ne sais pas comment on le branche, c’est tout neuf ici, vous n’avez pas une clé USB ? ». J’explique que j’ai les logiciels nécessaire au visionnage des vidéos sur mon PC, que je le maîtrise, et que je préférerais le garder, s’il vous plaît, merci. Le greffier n’y voit aucun inconvénient mais me laisse me débrouiller, il faut simplement que son ordinateur à lui continue de fonctionner.

L’endroit où je vais témoigner est en face du Président de la cour. C’est un pupitre, avec un micro. C’est tout. Pas de prise électrique ou vidéo. Je récupère une prise vidéo attachée à la caméra de document et une prise électrique vers le greffier. Je connecte mon portable : fils trop courts, je ne parviens pas jusqu’au pupitre. Je laisse donc mon ordinateur vers le greffier, je me déplacerai.

L’heure de début d’audience arrive et la salle s’est remplie. Finalement, de me concentrer sur les petits aléas techniques m’a permis d’ « oublier » là où j’étais. Mais je sens le stress qui revient.

J’avise une personne en uniforme sur un siège et vais me placer à côté d’elle. Il s’agit certainement du témoin qui va me précéder.

Une sonnerie stridente retentit. La cour fait son entrée, tout le monde se lève. Le Président et les deux magistrats professionnels qui le secondent sont au centre, les jurés de chaque côté. Le Procureur Général est à ma droite, avec les avocats de l’accusation. L’avocat de la défense est à ma gauche. Je le reconnais, c’est un bon.

Le Président ouvre les débats et appelle le militaire à témoigner. La personne à côté de moi se lève et s’avance à la barre. Le Président lui demande de décliner ses nom, âge, qualités et de prêter serment. Le militaire rend son témoignage entièrement de mémoire, avec tous les noms, lieux, dates et heures parfaitement appris. Je me sens misérable avec mon aide-mémoire. Le Président demande à l’Avocat Général puis aux avocats de l’accusation s’ils ont des questions, et donne la parole à l’avocat de la défense. Les questions pleuvent sur le pauvre militaire, accompagnées de rhétorique cinglante. L’avocat arriverait presque à faire passer le militaire pour un bourreau. Le militaire ne se départ pas de son calme et répond brièvement. « Avez-vous d’autres questions, Maître ? », demande le Président. « Non ?, dans ce cas nous vous remercions M. LeMilitaire et appelons à la barre l’expert informatique, M. Luwin ».

C’est à moi. Étrangement je suis très calme lorsque je me lève. Toutes les personnes présentes me regardent. La salle est silencieuse pendant que je m’avance jusqu’à la barre. Tout le monde sait que mon témoignage, et les vidéos que j’ai récupérées, sont essentiels.

Président : Veuillez décliner vos nom, date et lieu de naissance, adresse et qualité.

L : Luwin, 01-01-1970 à St Unix la Chapelle, expert judiciaire.

P : M. Luwin, Jurez-vous « de parler sans haine et sans crainte, de dire toute la vérité, rien que la vérité » ? Levez la main droite et dites « je le jure ».

L : Je le jure.

P : M. Luwin, veuillez décrire à la cour le déroulement de vos opérations d’expertise.

L : M. le Président, puis-je m’aider de mon aide-mémoire manuscrit ?

P : Mais bien sûr Monsieur l’Expert.

L : Merci Monsieur le Président. L’ordonnance qui m’a commis avait quatre chefs de mission, je vais les reprendre et expliquer en regard de chacun d’eux quels ont été mes opérations et leurs résultats. J’ai procédé à l’examen technique, bla-bla-bla…

L : …dans les vidéos on voit l’accusé en compagnie de petits garçons…

L : …Et j’ai remis mon rapport le 11 novembre 2011 au magistrat.

P : Monsieur le Procureur Général ?

PG : Merci Monsieur le Président. Monsieur l’Expert, …/…/… et donc à quelle date le système d’exploitation a été installé ?

L : !

Je feuillette mon rapport. Heureusement que tous mes rapports sont calqués sur le même modèle. Mais il y a 2 ans, est-ce que je relevais cette date ? Ah oui, j’ai trouvé, c’est à la page…

PG : C’est à la page 17 de votre rapport Monsieur l’Expert

L : Grmmll, oui, voilà : 18 juin 2003 à 12 heure 23 minutes et 6 secondes

PG : …/…/

P : Maître Jaccuse (avocat de l’accusation) ?

J : Pas pour l’instant Monsieur le Président.

P : Maître Défend (avocat de la défense) ?

D : Oui, merci Monsieur le Président.

L’avocat s’approche du pupitre, son regard pétille. Zut, il tient quelque chose.

D : Monsieur l’expert, quelle formation avez-vous ?

L : je suis docteur/ingénieur en informatique

D : Très bien. Avez-vous une formation qui permette de déterminer que les vidéos que vous avez retrouvées sont à caractère pédopornographiques ?

L : Non, Maître

D : Ou pornographique ?

L : Non, Maître

D : Très bien. Les vidéos que vous mentionnez n’ont pas de son, comment pouvez-vous affirmer que mon client a « ordonné » à un jeune homme de réaliser tel ou tel geste sexuel ?

L : En interprétant le langage corporel, Maître

D : Vous interprétez ! Mais vous n’avez pas de formation dans ce domaine non plus ! Je pourrais interpréter, moi, d’une autre façon, n’est-ce pas ?

L : Oui, Maître

D : Je n’ai plus de question, Monsieur le Président

P : Maître Jaccuse, vous aviez une demande ?

J : Oui, je voudrais que les jurés visionnent les vidéos 3, 7 et 11 contenues dans le rapport.

P : Très bien, je déclare le huis-clos pour permettre le visionnage. Le public est prié de quitter la salle.

Le public quitte la salle. Les victimes aussi, bien qu’elles puissent rester. L’atmosphère s’alourdit.

Je me dirige vers le PC portable et commence à diffuser les vidéos. Chaque vidéo dure plusieurs minutes. Aucune n’a de son. L’effet n’en est que plus ravageur.

Une demi-heure après, je coupe le vidéoprojecteur. Les lumières reviennent dans la salle. Les visages des jurés sont fermés. La défense accuse le coup. L’atmosphère est très lourde.

Le Président déclare une suspension de séance.

Je range mon matériel méticuleusement. Mon témoignage technique est terminé. Je sors de la salle. Je m’assoie sur un banc et je souffle. Tout s’est bien passé : l’ordinateur n’a pas cafouillé, les vidéos ont fonctionné, le vidéoprojecteur n’a pas lâché, l’écran de projection était à la bonne hauteur, je n’ai pas tremblé pendant mes réponses aux questions des avocats.

Je sens la baisse d’adrénaline. Je suis vidé.

Le lendemain, j’apprendrai dans les journaux que l’homme de mes vidéos a été condamné à 10 ans de prison ferme.

——————————————————-

Source photo www.tres-drole.com