Archives par mot-clé : Expert

Avenir

Publié le par

lafindumondeComme vous, je regarde les blogs à travers la fenêtre de mon navigateur. J’utilise un aggrégateur de flux pour être averti de la publication des nouveaux billets, mais aussi, tel un Tarzan numérique, je rebondis de liens en liens et j’explore une petite partie de l’univers Internet.

Et parfois je m’interroge.

Pourquoi est ce que je blogue? Pourquoi lui blogue-t-il? Pourquoi tel site a-t-il fermé? Quelle sera l’évolution d’internet? Quel est le devenir de cette identité numérique « Zythom »?

Je publie sur ce blog des textes sur moi-même. C’est un blog narcissique, même si nulle nymphe Echo ne s’est éprise de moi. Ce blog est de type « journal intime en ligne » où je m’épands sur tous les sujets qui m’intéressent, et où vous me faites l’honneur de venir me lire.

Je n’y ai aucune stratégie marketing, et si beaucoup parmi vous semblent s’intéresser aux billets consacrés à l’expertise judiciaire informatique, j’aime assez bien m’embarquer dans l’écriture d’un billet sur mes souvenirs du service militaire ou sur des questions à deux euros.

Depuis quelques mois je gazouille sur mon compte Twitter où je partage avec qui veut bien les informations que je trouve intéressantes, sans m’être pour autant spécialisé dans un domaine particulier, ce qui doit être horripilant, je le reconnais, pour mes followers.

Ce compte Twitter est un peu redondant avec ma liste de partage Google où je place tous les billets que je trouve intéressants, liste à laquelle sont abonnées 11 personnes aujourd’hui (que je félicite tant il est curieux de s’abonner à une liste de lecture par définition relativement personnelle).

Je constate par moment des arrivées en grand nombre d’internautes envoyés ici par un blogueur influent (merci à Maitre Eolas dont le seul fait d’être présent dans sa blogroll amène 14% du trafic du blog ou qui d’un simple tweet amène ici 1500 personnes).

Je ne sais pas si je mérite votre temps de lecture.

Je me sens comme un simplet parlant debout sur une échelle au milieu d’une place où parfois il y a foule. Je reconnais quelques passants qui reviennent me faire un petit commentaire. De temps en temps, un membre de ma famille ou un étudiant m’interpelle IRL pour discuter d’un billet, pour rire, pour se moquer, pour vivre un petit moment côte à côte. C’est gênant, cela brise un peu la distance du pseudonyme.

Je me demande parfois ce que je dois faire de ce « Zythom » qui a envahi mon temps de cerveau disponible, de cette identité numérique qui me trouble. Faut-il suicider ce pseudo (avec panache) pour éviter de tourner en rond? Que nenni m’ont conseillé mes amis numériques: écrit moins souvent si tu veux, mais écrit de temps en temps quand même. Un blogueur qui s’écarte trop longtemps de ses billets-brouillons finit par ne plus y revenir. J’ai donc réduit mes apparitions à un billet par semaine (à peu près).

J’ai beaucoup de défaut, et l’un des pires, je m’en rends compte petit à petit, est de ne pas être un homme de réseaux. « De toute façon, tu es un ours solitaire », m’a dis ma fille aînée. Elle n’a pas complètement tord. J’ai été élevé dans l’idée que le mérite s’obtient grâce à l’intelligence et au travail. Je n’aime pas le copinage, l’avancement par grenouillage ni la petite tape sur l’épaule. J’ai un sale caractère qui m’a longtemps interdit le travail d’équipe.

J’aime être seul sans ressentir les conséquences de la solitude. Je ne manifeste aucun intérêt pour les relations sociales. Mes loisirs sont solitaires et mon activité professionnelle est très indépendante. C’est presque la définition d’une personne schizoïde…

Alors je me soigne.

Je suis entouré de personnes qui m’aiment tel que je suis, mais je dois sans cesse m’améliorer, voir plus loin que le plaisir présent pour construire un avenir plus intéressant.

Je vais m’intéresser aux relations humaines. Je vais aller serrer des mains que je ne connais pas. Je vais assister aux réunions de ma compagnie d’experts judiciaires, poser des questions aux anciens, rencontrer des avocats, des magistrats, leur fournir ma carte de visite, leur montrer de moi ce qui peut leur servir.

Il faut que j’arrête d’attendre que l’on vienne vers moi.

Il faut que je me remue.

Demain c’est promis.

Aujourd’hui j’ai piscine blog.

Chain of custody

Publié le par

responsabilitesUn commentateur de ce blog (sam280), sous le billet « Un peu de technique« , m’a posé une question sur la « chain of custody »:

sam280 a dit…
Outre la copie sous windows, je m’étonne de ne trouver aucune mention de la fameuse « chain of custody ».
Par exemple, à Enclave Forensics ils utilisent md5 (pas terrible, mais bon) afin de prouver que la copie est identique à l’original (quand c’est possible): https://www.youtube.com/user/DHAtEnclaveForensics#p/u/2/6SEnVNUAe0s
Pourriez-vous nous éclairer sur l’équivalent dans le droit français de la « chain of custody » et la façon dont vous la maintenez ?

Avant de faire part de mon sentiment sur ce problème, je voudrais planter le décor en définissant la « chain of custody »:

Extrait de Wikipedia au 27/02/2010 (Informatique légale):

Rapport de garde
Terme adapté de l’anglais « chain of custody », l’expression « rapport de garde » représente un rapport ou procès-verbal établi lors de la saisie ou de la réception d’une information numérique et de son support, comportant toute information sur le détenteur antérieur (propriétaire, usager, gardien), les lieux et conditions d’acquisition (saisie, transmission), la nature du support d’information (description physique avec photographie, numéro de série), la description éventuelle de l’information numérique (méta-données, structure des données, empreinte numérique), la situation d’accès aux données (accessibles ou non), la présence de sceau (avec identification), le libellé de l’étiquette d’accompagnement, les dates d’ouverture et de fermeture du support, la mention des modifications éventuelles (suppression de mot de passe) et l’état de restitution du support (scellé, accessibilité aux données, étiquette) avec photographie.

Personnellement, je préfère l’expression « chaîne de responsabilité » (traduction plus littérale de chain of custody) plutôt que « rapport de garde ». C’est donc cette expression que je vais utiliser par la suite.

Intérêt de la chaîne de responsabilité? S’assurer que la pièce à conviction présentée au procès est bien celle qui a été saisie sur le lieu du crime. Que c’est bien celle-ci qui a été analysée lors de l’enquête, et qu’elle n’a pas été altérée, ou si oui, dans quelles conditions et pour quelles raisons.

Comment cette chaîne de responsabilité est-elle organisée en France? Et bien, c’est très simple, de mon point de vue, elle n’est pas organisée… Ah si, le scellé m’est livré avec une étiquette marron sur laquelle est indiquée diverses mentions, mais rien n’est prévue pour l’expert judiciaire (les étiquettes indiquent une année à compléter commençant par « 19.. » et ont du être fabriquées en grande quantité dans les années 1950). Le scellé est plus ou moins bien constitué (son ouverture est souvent possible sans briser le sceau de cire). Je ne connais pas les nom et qualité de la personne qui me l’apporte. Il n’y a pas de vérification sérieuse de l’identité de la personne qui le réceptionne (et en général il s’agit de mon épouse dont le cabinet est sur place). Enfin, à ma connaissance, aucune obligation n’est expliquée à l’expert judiciaire, à part « la reconstitution du scellé ». En tout cas, les différentes formations proposées aux (futurs) experts ne semblent pas mentionner pas cet aspect.

Chaque expert met donc en place sa propre procédure, suite à son expérience, son domaine d’expertise, ses lectures et ses échanges de bonnes pratiques. « A la française » donc.

Je voudrais citer un commentaire trouvé sous l’article Ces as de l’informatique au secours des juges et que je reproduis ici car il me semble intéressant:

Je ne suis pas expert judiciaire mais expert scientifique qui en connait un rayon en termes de bonnes pratiques. Sachez que dans notre domaine, le pharmaceutique, tout ce qui n’a pas été réalisé selon une procédure documentée et validée n’existe pas. Une validation d’un logiciel chez nous prend de 6 mois à un an. Un « expert » dont la formation n’est pas documentée et qui à ouvert un DD sans procédure validée et qui a copier tout ça sur son ordi sans validation de sa procédure… n’a en fait rien fait de valable juridiquement parlant. Tout avocat peut facilement contester le travail de cet « expert » si la documentation aussi bien du travail que des procédures est défaillante, même si lui a la réputation d’être un crac. Et chaque fois qu’il change de matos, il peut recommencer sa validation. Mettre en place ces procédures est, en fait, bien plus complexe que d’ouvrir le DD. C’est ça la réalité judiciaire. Les expertises de coin de table et rien c’est du pareil au même.

Nous n’en sommes qu’au début des contestations. Le juge de l’article n’est même pas encore au courant. Bientôt, ces expertises ce sera en fait beaucoup de temps perdu pour rien. Du balai, toutes ces « expertises » de soi-disant experts. Et avec « les bonnes pratiques d’expertise informatique » qu’il va falloir mettre en place, les prix vont monter, monter et du coup les expertise vont se faire rares, très rares.

Je pense que, malheureusement, ce commentateur a parfaitement raison et qu’il manque en France la mise en place d’une chaîne de responsabilité stricte en matière d’investigation.

Pour autant, il en faut pas attendre que quelqu’un pense à mettre en place un système global et la plupart des experts judiciaires ont mis en œuvre de bonnes pratiques en la matière. A défaut d’avoir une chaîne complète, il faut donc essayer d’être un bon maillon, et voici en résumé ma chaîne à un maillon:

Le scellé arrive à la maison: mettez en place un cahier de réception avec date, nom et qualité du livreur et signature.

Ouverture du scellé: utilisez un cahier de prises de notes (papier ou numérique). Notez l’état général du scellé, les rayures, les éléments endommagés, la quantité de poussière visible, les traces de moisi (si, si!), etc. Prenez quelques photos (avec les appareils numériques, ne pas hésiter à mitrailler). Si l’ouverture du scellé nécessite une procédure particulière, notez sur ce cahier les sites internets utilisés ou la documentation technique ad hoc. Ce cahier est la clef de voute de votre mémoire. Pensez aux chercheurs du siècle précédent qui notaient tout pendant leurs expériences. Si votre expertise se déroule sur plusieurs jours, notez bien la date à chaque fois.

Extraction du disque dur: C’est toujours un moment émouvant lorsqu’il s’agit de sortir le (ou les) disque dur. En effet, c’est seulement à ce moment là que vous allez comprendre que le devis adressé au magistrat, et dans lequel vous indiquez 10h de travail, risque d’être un peu sous évalué avec les trois disques de 1000 Go que vous êtes en train d’extraire. N’oubliez pas de prendre des photos, de noter les positions des disques (surtout en cas de RAID logiciel) et des cavaliers pour pouvoir tout remonter correctement. Et ne croyez pas que ce soit la phase la plus facile de l’expertise…

Mise sous tension de l’unité centrale sans disque dur: Cette étape est nécessaire pour vous permettre d’entrer dans le BIOS afin de noter tous les éléments concernant l’horloge de la machine. Souvent, le système d’exploitation s’appuie sur le temps fourni par le BIOS. En tout cas, si la pile du BIOS est épuisée, ce sont des informations perdues, et il faut l’écrire dans son rapport d’expertise.

Prise d’image: Tout ce processus est décrit dans ce (récent) billet. Je le complète ici en parlant du calcul du hash du disque dur. Non, il ne s’agit pas d’un dérivé du chènevis utilisé par nos pécheurs, mais du résultat d’une fonction de hachage. Personnellement, j’utilise MD5 avant ET après la prise d’image. Normalement, le résultat doit être le même, ce qui prouve que vous n’avez en rien modifié les données écrites sur le disque dur (attention, les données S.M.A.R.T. ont été modifiées). Si les hashs calculés avant et après la prise d’image sont différents, alors cela signifie, soit que vous êtes nul, soit que des secteurs défectueux sont apparus sur le disque pendant la prise d’image, soit que vous travaillez avec un disque dur SSD. En effet, dans ce dernier cas, les fabricants ont chacun mis en place une technique dite « d’étalement de l’usure » (en anglais « wear levelling ») qui a pour objectif d’éviter de toujours utiliser pour le stockage les mêmes cellules mémoires, car ces dernières perdent (après quelques millions de cycles de lecture et écriture) leurs capacités nominales de mémorisation. Pour plus d’informations, lire l’excellent article dans la revue Experts de mes confrères Jean-Louis Courteaud et Jean-François Tyrode.

Remontage du scellé: Paradoxalement, ce n’est pas forcément l’étape la plus simple. Si l’expertise a duré plusieurs jours, voire plusieurs semaines (cas du salarié qui n’effectue ses expertises que le week-end ;), le cahier de notes et les photos prennent toute leur importance. Il faut être précis, surtout que vous ne pourrez pas brancher l’ordinateur pour voir s’il démarre correctement.

Reconstitution du scellé: J’ai déjà écrit plusieurs billets sur ce thème. En résumé: cachet de cire (billet de 2007 toujours valable) si vous voulez impressionner, ou sac poubelle transparent fermé avec un solide adhésif d’emballage.

Restitution du scellé: Notez bien les heure et date de reprise, ainsi que les nom et fonction (avec signature) sur votre cahier de suivi.

A défaut d’être une bonne chaîne de responsabilité, cela m’a permis d’être un maillon suffisamment fort, surtout lorsque j’ai reçu un coup de fil d’un magistrat qui avait perdu la trace d’un scellé.

Et là, avec ma chain of custody, je crie « Kudos« !

Le combat à mort

Publié le par

combatamortLa plupart des expertises judiciaires sont très éprouvantes. Parce qu’elles m’obligent à regarder des films qui me secouent, parce que je suis papa de trois enfants pré-adolescents, parce que beaucoup de mes expertises concernent des images pédopornographiques et parce que souvent je touche de près le malheur des gens.

Sans compter qu’avec le temps qui passe, l’avancée de la technique peut me faire découvrir d’éventuelles erreurs judiciaires.

Mais l’anecdote que je vais raconter ici se situe dans un autre registre. L’expert judiciaire se retrouve souvent dans une désagréable posture, coincé entre l’enclume et le marteau.

Une entreprise se retrouve au bord du gouffre à cause d’une défaillance de son système informatique et réclame à son fournisseur une somme d’argent colossale à titre de réparation. Le fournisseur se défend d’être la cause de la quasi-faillite de l’entreprise et indique que les montants réclamés le ferait fermer boutique.

Le magistrat demande l’avis d’un expert judiciaire, à la fois sur le problème informatique et s’il est avéré sur le chiffrage des dégâts.

Me voici sur les lieux.

Comme d’habitude, je suis le premier sur place. Je me fais conduire à la salle de réunion, je vérifie qu’il y a de la place pour que tout le monde puisse travailler à son aise. Je m’assoie à une place stratégique pour voir tout le monde. Je sors les pièces que les parties m’ont adressées, mes stylos, la liste des participants prévus à la réunion avec leurs titre et fonction.

Je me concentre en relisant les missions que le magistrat m’a confiées.

Les parties arrivent: d’un côté le patron de l’entreprise, son informaticien, son avocat et son expert privé, de l’autre le gérant de la SSII, son chef de projet et son avocat.

Les deux groupes s’échangent quelques banalités par politesse, mais restent bien séparés. Je salue tout le monde, et j’apprécie à sa juste valeur la formule « bonjour monsieur l’expert » utilisée par les avocats. J’essaye d’être à la hauteur des convenances avec mes « bonjour Maitre », « bonjour cher confrère » et « bonjour monsieur ».

Les débats commencent après la lecture de mes missions.

Le ton monte assez vite entre les deux dirigeants.

Je demande aux avocats d’expliquer à leur client qu’ils doivent s’adresser à moi pour me faire part de leurs arguments. Les avocats font leur travail, mais les deux dirigeants n’arrivent pas à s’empêcher de couper l’autre dans ses explications.

Je sors mon arme ultime: un enregistreur de poche que je pose en évidence sur la table devant moi. « Messieurs, si vous êtes d’accord, afin de me permettre d’éviter de prendre des notes manuscrites et pour faciliter la réunion, je vais utiliser ce dictaphone. »

Je vois bien que les deux avocats ne sont pas trop d’accord, mais personne ne prend l’initiative de me refuser cette faveur. La réunion redémarre sur un ton plus audible, mais après une demi-heure, le dictaphone est oublié par tout le monde, et les noms d’oiseau volent.

Je n’ai pas d’autre choix que de regarder ces deux dirigeants lutter, en constatant au fond de moi que chacun lutte pour sa survie.

Après deux heures de réunion, j’ai maintenant compris l’enchainement des faits et j’ai une petite idée de ce qui a amené les deux parties en justice. Il me faut maintenant passer à la partie plus technique du dossier et interroger les hommes de l’art. La discussion passe donc entre les mains des informaticiens. La tension est palpable, et chacun sait qu’il joue son poste et sa carrière.

J’emmène tout mon petit monde jusqu’à 13h, où, après 4h de débats houleux, je propose de faire une pause. Le patron me propose de déjeuner avec eux, mais je décline poliment, au grand soulagement de son avocat, qui lui, sait bien que c’est parfaitement interdit par la jurisprudence à peine de nullité de mon rapport.

A 14h, l’épreuve de force reprend. Je m’accroche à la table et subis les assauts des parties. En effet, c’est à ce moment que je fais part de la position que je suis en train de prendre sur le dossier. Et dans le cas présent, mon avis ne satisfait personne. Je focalise sur moi la fureur des deux dirigeants.

Il s’agit dans ce cas de conserver son calme, de ne pas réagir aux mots blessants ou aux sous-entendus et de se concentrer sur la partie technique. Je rappelle que je ne suis pas là pour juger, que mon avis n’est pas forcément suivi par le juge (les deux avocats froncent un peu les sourcils) et que l’après-midi est fait pour éclaircir encore certains points techniques un peu obscurs.

Les deux hommes restent combatifs et bataillent sur chaque aspect du dossier, parfois sur un point de détail. Je dois faire le tri entre toutes les données qui m’arrivent, j’insiste sur les pièces devant étayer tel point de vue, je demande qu’on me fournisse des traces complémentaires. Le combat à mort entre les deux entreprises me touche, me vise, me secoue.

Il est 18h, tout le monde est lessivé. Je clos la réunion. Je rentre chez moi et en chemin je revois les moments forts de la réunion. J’ai assisté à une lutte pour la survie. J’en suis un élément clef, mais je dois en faire abstraction: même si l’un des dirigeants m’a paru antipathique et caricatural, même si des apriori tentent de perturber mon opinion, je dois établir un avis « en mon honneur et en ma conscience » le plus scientifiquement possible et malgré les enjeux.

J’ai travaillé dur sur le rapport. J’ai réécouté quelques passages de la réunion (8h d’enregistrements!). J’ai étudié en détail les dires adressés par les parties après le pré-rapport. J’y ai répondu scrupuleusement dans le rapport final que j’ai déposé.

Et comme je suis déchargé du dossier une fois le rapport déposé, personne ne m’a contacté pour me faire part des suites données à cette affaire. Je vous laisse donc avec la même frustration que moi: je ne sais pas qui est mort et qui a survécu.

Mais quel combat!

FIC 2010 bis

Publié le par

police Bon, vous l’avez compris, mon billet précédent était écrit un 1er avril… Nulle menace n’a été proférée à l’issu d’un Forum International sur la Super Hypercriminalité (FISH).

Ceci dit, j’étais bien aux deux jours du 4ème Forum International sur la Cybercriminalité (FIC) qui se tenait en mes terres natales du Nord de la France.

Une occasion pour moi de rencontrer un certain nombre d’acteurs intéressants.

J’ai ainsi pu serrer la main de Damien Bancal, LE journaliste de Zataz et discuter IRL avec quelques N-TECH de la Gendarmerie.

Les discours introductifs ont été fidèles à ce que j’en attendais: politique. Le discours du ministre français de l’intérieur Brice Hortefeux, lu par le Préfet du Nord, a vanté le projet de loi d’orientation et de programmation pour la performance de la sécurité intérieure, dite Loppsi 2 en soulignant la légitimité du blocage de sites Web sur la base de listes établies par les forces de l’ordre. Pour Brice Hortefeux, la question de la capacité des forces de l’ordre à identifier des contenus illégaux sur Internet «sans porter atteinte aux libertés fondamentales» ou encore celle portant sur l’efficacité des mesures proposées n’ont pas lieu d’être: «il est urgent d’agir […] l’efficacité est dans le pragmatisme, il ne faut pas renoncer parce que la solution n’est pas absolument parfaite.» (source LeMagIT)

Mais bon, je connaissais déjà le style, sauf que là, il n’est pas possible de zapper, il faut patienter poliment.

J’ai suivi ensuite les ateliers suivants:

– « La révélation des failles de sécurité, risques et enjeux »
Intéressant, mais j’ai trouvé les différents intervenants un peu hors sujet, sauf Damien Bancal dont c’est le cœur de métier.

– « Haine et intolérance sur le Net, quelle réponse? »
Passionnant, tant par la qualité des intervenants que par les exemples montrés. Et cela fait plaisir d’entendre un juriste dire haut et fort qu’internet n’est pas une zone de non droit et que les lois actuelles peuvent y être très bien appliquées si l’on s’en donne les moyens. J’ai en particulier très apprécié l’intervention de Mme Véronique FIMA-FROMAGER, Directrice d’Action Innocence France.

– « Lutte contre les téléchargements illégaux. »
Atelier assez triste, où l’on sentait les intervenants dans les starting-blocks en attente des décrets Hadopi. J’ai pu y entendre tous les poncifs du genre: « copier une œuvre numérisée est identique à voler un DVD dans un magasin », « les artistes inconnus vont disparaître à cause d’internet », etc. Tous les systèmes présentés vont coûter très chers au contribuable et sont contournables très facilement.
Bon, en même temps, je ne m’attendais pas à ce qu’un intervenant libertaire soit invité, mais j’aurais apprécié plus de respect des personnes qui pensent différemment, par exemple qu’une loi n’est pas faite pour défendre les intérêts d’une profession. J’ai appris quand même qu’en Espagne, la loi permet le téléchargement d’une copie numérique pour un usage privée. Ce qui est illégal ici et pourchassé à grand frais, peut être légal chez nos voisins.

Les stands étaient intéressants, avec du matériel performant pour l’analyse des disques durs, des systèmes de prévention d’intrusion réseau (par exemple SNORT, merci pour le cochon en mousse:) et des logiciels de marquage d’ordinateurs portables. Mais tous ces beaux outils ne sont pas donnés financièrement, alors j’ai simplement fais du lèche vitrine.

J’ai également pris des contacts avec l’association francophone des spécialistes de l’investigation numérique (AFSIN) et je me demande si je ne vais pas lutter contre mon isolement en adhérant à cette structure.

Enfin, il m’est arrivé une petite anecdote qui montre que je peux parfois être pris au piège…

Je me suis installé dans une salle avec mon ordinateur portable pour me détendre sur internet et écrire le billet précédent (et plusieurs autres billets toujours en mode brouillon). Bien entendu, en allumant ma carte wifi, j’ai regardé si une borne n’était pas disponible pour le salon, en mode gratuit si possible. Bingo, j’aperçois dans ma liste de points d’accès, un SID « FreeWifi ». Cela tombe bien, je dispose d’un abonnement Free, ce qui me permet d’utiliser toutes les freebox autorisant ce mode (activé par défaut) d’accès à internet.

Oui, mais cette borne était un piège mis en place pour une démonstration de l’atelier « La révélation des failles de sécurité, risques et enjeux », auquel j’assistais un peu plus tard…

Toutes les personnes ayant utilisé cette borne voyaient leur trafic intercepté, avant d’être chiffré le cas échéant par ssl.

Coup de chance, je sors toujours couvert quand je navigue en Wifi! Et j’utilise le VPN gratuit Hotspot Shield, dont j’ai ainsi pu tester une certaine robustesse. De plus, l’après-midi j’utilisais une autre borne wifi qui était incapable de me fournir un accès internet, sauf lorsque ce VPN était activé! Curieux.

En tout cas, l’organisation du FIC 2010 était très bonne et je voudrais féliciter ici tous les gendarmes qui y ont participé. Reste maintenant à leur donner les moyens de la lutte contre les (vrais) cybercriminels.

La sélection

Publié le par

500fois

Ma première réflexion critique sur le monde des experts judiciaires concernera le mode de sélection des experts judiciaires.

Je ne remets pas en cause l’existence d’une liste mise à la disposition des magistrats et avocats, mais la manière de voir son nom inscrit sur cette liste, la sélection.

Effectuons un petit retour en arrière de 11 ans: j’ai 35 ans, j’exerce comme professeur dans une grande école depuis cinq ans, j’ai été auparavant Maitre de Conférences un an et doctorant pendant quatre ans. Certes, aux yeux de ma fille de 15 ans, quand je lui dis « 35 ans », elle me répond que c’est déjà très vieux… Mais quelle expérience avais-je de la vie en entreprise? Quelle vision pouvais-je avoir des problèmes rencontrés par un directeur informatique ou un chef d’entreprise? Bien sur, les études et recherches n’étaient pas très loin, les concepts novateurs et émergents bien ancrés dans mon esprit, et dans ce domaine très évolutif qu’est l’informatique, la jeunesse peut être une force.

Mais comment tout cela a-t-il été estimé? Quel groupe de personnes s’est penché sur mon dossier de candidature pour dire: « celui là est bon, on le prend »?

Je ne sais pas.

Et le sentiment que j’ai de tout cela est qu’effectivement, je ne suis pas « le meilleur ». J’ai fait acte de candidature, j’ai été sélectionné, et retenu, et je ne sais pas pourquoi.

Lorsqu’un magistrat me confie une mission d’expertise, je donne le meilleur de moi-même. Je travaille dur, je me documente, j’écoute les intervenants, j’effectue mes vérifications in situ de façon contradictoire, je rends un rapport le plus clair possible, le plus pédagogique.

Comme beaucoup de personnes, je pense avoir des compétences. Mais j’ai aussi une certitude: je ne suis pas le meilleur informaticien de ma région. Je suis un nain.

Je le sais, parce que je les rencontre presque tous les jours: à travers les blogs, ou lors de réunions de retour d’expériences, dans mon réseau professionnel, lors de conférences ou à l’occasion de démonstrations. Il y a dans les entreprises, dans les Universités et dans les Grandes Ecoles beaucoup de personnes de talent dont les compétences dépassent les miennes.

Alors pourquoi moi? Par quel processus de sélection ai-je été choisi?

Je connais la composition de la commission de sélection. Ces personnes, pour brillantes qu’elles soient, n’ont pas la compétence technique pour juger de mes qualifications: ils ne connaissent pas le monde informatique et sa complexité.

Est-ce le nombre d’expertises réalisées depuis tout ce temps (11 ans quand même) qui vont permettre ma réinscription? Si oui, qu’en est-il des primo-postulants ou des experts en période probatoire?

Est-ce la tenue de ce blog? Si oui, que dire de tous les experts qui n’en tiennent pas?

Est-ce l’appartenance au club des experts judiciaires? Si oui, n’est-ce pas une sorte de circuit fermé: je suis expert donc je peux appartenir au club des experts judiciaires et, puisque j’appartiens au club des experts judiciaires, j’ai la compétence pour être expert judiciaire… Voir à ce sujet l’excellent dessin de xkcd sur les « Honor Societies ».

Alors qu’est-ce qui bloque? Comment s’assurer que les experts judiciaires soient les meilleurs informaticiens de France (et inversement)?

En 2007, j’avais écris un billet « propositions aux candidats [des élections présidentielles] pour de meilleures expertises » dans lequel j’écrivais:

Proposition n°4: Permettre l’inscription d’avocats spécialisés sur les listes d’experts. Ces avocats seraient désignés comme experts, seraient garants du bon respect de la procédure et pourraient choisir de s’adjoindre les services d’experts techniques hors listes (professeurs, chercheurs, techniciens reconnus…)

En effet, je reste persuadé que le fossé est trop large entre le monde judiciaire et le monde informatique. Un informaticien d’excellence n’est pas nécessairement armé pour gérer les éléments procéduraux, alors qu’un avocat oui. Et il existe des avocats parfaitement pointus sur les sujets les plus techniques de l’informatique (Me Eolas, Me Olivier Iteanu, Me Alain Bensoussan, etc) qui seraient parfaitement à même de faire le pont entre un magistrat et un technicien le plus geek, dans le respect des lois et procédures.

Comment ensuite repérer les « bons » informaticiens?

Et bien, comme tout le monde: sur le marché du travail. Comment font les entreprises quand elles recherchent un profil bien particulier? Elles passent par des entreprises spécialisées dans le recrutement, les chasseurs de tête. Tous les bons geeks ont leurs CV à jour sur internet et sont prêts à être approchés par un spécialiste du recrutement, même pour un contrat de prestation de service. Qui douterait des compétences d’un Sid sur la sécurité des systèmes d’information, d’un Korben sur la protection d’internet, ou d’un Nitot sur les fonctionnalités d’un navigateur.

Franchement, une liste de prestataires dont l’inscription est revue tous les 5 ans sur des critères inconnus, me semble être une solution archaïque.

Mais bien entendu, pour changer cela, il faudrait que le gouvernement dote la Justice d’un budget digne. On en revient toujours au même point.

Bien sur, en l’état, pour prêter main forte à la Justice, il n’y a que la méthode actuelle. J’ai donc repostulé.

Miyar, chéto le FIC ichi

Publié le par

crimesceneLa maréchaussée a aussi ses hackers, et ceux-ci se réunissent à la DEF CON au FIC (Forum International sur la Cybercriminalité) à Lille mercredi 31 mars et jeudi 1er avril.

Comme il se trouve que j’ai encore quelques tchô biloutes à voir dans ma région natale, et malgré ma légendaire ochlophobie, je compte bien aller y faire un petit tour.

Ce sera pour moi l’occasion j’espère de rencontrer des geeks en uniforme, et surtout, d’apprendre quelques techniques de derrière les fagots pour voir si je ne suis pas trop rouillé.

Je me suis inscrit sous mon identité réelle, et je compte bien passer complètement inaperçu. S’il y a des moments vraiment intéressants, et pas trop de brouilleurs d’ondes, je ferai peut-être un livetweet à travers un VPN pour flooder mes followers 🙂

Je vous laisse, je dois aller m’entrainer à chanter à mes enfants l’canchon-dormoire:

Dors min p’tit Quinquin Min p’tit pouchin min gros rojin Te m’fras du chagrin si te ne dors point ch’qu’à d’main.

– Ainsi l’aut’ jour, eun pauv’ dintelière, In amiclotant sin p’tit garchon Qui d’puis trois quarts d’heure, n’faijot qu’braire, Tâchot d’lindormir par eun’ canchon. Ell’ li dijot: Min Narcisse, D’main t’aras du pain d’épice Du chuc à gogo Si t’es sache et qu’te fais dodo.
– Et si te m’laich eun’bonn’ semaine, J’irai dégager tin biau sarau, Tin patalon d’drap, tin gilet d’laine Comme un p’tit milord te s’ras farau J’t’acaterai, l’jour de l’ducasse Un porichinel cocasse, Un turlutu, Pour jouer l’air du capiau-pointu.
– Nous irons dins l’cour Jeannette-à-Vaques, Vir les marionnett’s. Comme te riras, Quand t’intindras dire: un coups pou Jacques Pà d’porichinel qui parl’ magas. Te li mettra din s’menotte, au lieu d’doupe, un rond d’carotte it’dira merci Pins’ comme nous arons du plaisi
– Et si par hasard sin maite s’fâche, Ch’est alors Narcisse; que nous rirons! sans n’avoir invi’, j’prindrai m’nair mache J’li dirai sin nom et ses sournoms, J’li dirai des faribolles I m’in répondra des drôles; Infin un chacun Vera deux pesta’c au lieu d’un
– Allons serr’ tes yeux, dors min bonhomme J’vas dire eun’ prière à P’tit-Jésus Pou’qui vienne ichi, pindant tin somme, T’fair’ rêver qu’j’ai les mains plein d’écus, Pour qu’i t’apporte eun’coquille, Avec du chirop qui guile Tout l’long d’tin minton Te pourlèqu’ras tros heur’s de long
– L’mos qui vient, d’Saint’Nicolas ch’est l’fête. Pour sûr, au soir, i viendra t’trouver. It f’ra un sermon, et t’laich’ra mette In d’zous du ballot, un grand pannier. I l’rimplira, si tes sache d’séquois qui t’rindront bénache, San cha, sin baudet T’invoira un grand martinet.
– Ni les marionnettes, ni l’pain n’épice N’ont produit d’effet. Mais l’martinet A vit rappagé l’petit Narcisse, Qui craignot d’vir arriver l’baudet Il a dit s’canchon dormoire S’mèr, l’a mis dins d’nochennoire A r’pris son coussin, Et répété vingt fos che r’frain.

Source des paroles (et traduction pour certains:) wikipedia.

En prévision de la fin d’une époque

Publié le par

irremplacableJ’ai déposé fin février mon dossier de demande de réinscription quinquennale sur la liste des experts judiciaires près ma Cour d’Appel. J’ai déjà décris dans ce billet le processus de réinscription.

Et fatalement, je suis amené à envisager que la justice décide de se passer de mes services. Non que l’hypothèse m’enchante, mais il est normal de l’envisager et autant le faire sereinement.

Je vous passe les détails qui m’interpellent, comme par exemple: comment terminer les expertises en cours si je ne suis pas réinscrit, comment gérer les déclarations aux différents organismes d’impôts et taxes, pourquoi n’ai-je pas été réinscrit (je doute que l’on me l’explique), etc.

Finalement, il me reste une seule interrogation vraiment importante pour moi: comment continuer à parler du monde de l’expertise sur ce blog si je ne suis plus expert judiciaire? Comprenez: comment continuer à en parler, sans que cela passe pour des réflexions aigries?

Pour être honnête, j’ai beau tourner cette question dans tous les sens, je pense qu’il ne me sera pas possible de garder une certaine objectivité sur le monde de l’expertise, tout simplement parce que je serai effectivement aigri.

J’ai donc décidé de respecter mon principe d’indépendance (lire ce billet) et d’aborder, avant une éventuelle radiation, et sans aigreur, quelques aspects qui me semblent discutables après 11 années passées dans le monde des experts judiciaires.

Je vais donc m’essayer, d’une manière calme et pondérée, à la création d’une nouvelle rubrique: Critiques. Vous n’y trouverez nul scoop ni idée révolutionnaire, mais un avis personnel (qui n’engage évidemment que moi) sur une activité que je pense importante pour la Justice.

J’ai quelques billets en préparation.
A bientôt.

———————————-
Note concernant l’image: CGI = computer-generated imagery, soit en français « images de synthèse ». N’y voyez pas de message compliqué autre que « Nul n’est irremplaçable ».

Merci à vous

Publié le par

surfeur
Je tiens ce blog depuis le 5 septembre 2006, et je voulais remercier à ma façon les lecteurs qui ont déposés un commentaire sous mes billets, et de ce fait, m’ont encouragé à continuer à publier.

Si vous lisez ce billet et qu’il n’est pas encore trop tard, j’ai à votre disposition vingt bons pour un nom de domaine gratuit offert par Gandi pour ses dix ans et à utiliser sur https://www.gandi.net

Ceux qui me suivent sur twitter ont déjà pu bénéficier de quelques bons, mais il m’en reste encore.

Seule condition: avoir déposé un commentaire sur ce blog avant la publication de ce billet.

Comment récupérer un bon: adressez moi un email à l’adresse indiquée sur ce blog en haut à droite, en joignant le lien vers votre commentaire.

J’attends jusqu’à lundi 8 mars 21h pour envoyer les bons afin que tous les lecteurs habituels aient le temps de lire ce billet. Si vous êtes quatre à faire une demande, vous vous partagerez les vingt bons:)

Bon week-end à tous.

EDIT du lundi 8 mars 2010:
Parmi les 27 demandes répondant aux critères, j’ai effectué un tirage au sort pour désigner les 20 gagnants. Les emails sont partis ce soir. Merci à tous et à bientôt.

Filtrage d’internet

Publié le par

147 surveillance du reseau.1214284671Après les débats sur Hadopi, puis sur LOPPSI et maintenant sur LOPPSI 2, se pose le problème du filtrage d’internet.

Sans avoir l’ambition de faire une synthèse des arguments que je lis ici et là, je vais essayer d’organiser ici un peu ma propre opinion.

Je travaille depuis 1999 comme expert judiciaire en informatique, avec une grande majorité des missions dans la recherche d’images ou de films pédopornographiques. J’en ai souvent parlé sur ce blog, par exemple dans ce billet.

Je dis souvent en plaisantant que les personnes en France qui ont vu le plus grand nombre d’images pédopornographiques sont sans doute les experts judiciaires et les OPJ qui mènent ce type d’enquêtes. En même temps, il n’est pas facile de plaisanter sur ce thème, tant tout le monde en France est d’accord pour condamner ce sujet.

Mais il est évident qu’en matière de filtrage d’internet, la lutte contre la pédopornographie est un prétexte facile. Néanmoins, le filtrage va se mettre en place, quand ce n’est pas déjà fait.

Dans les affaires que j’ai traitées, quels ont été les outils les plus utilisés pour effectuer un téléchargement de données?

– la messagerie (email et pièces jointes de toute nature)

– les messageries instantanées (chat et échanges de fichiers)

– les navigateurs (textes, images, sons et vidéos)

– les outils des réseaux pair à pair (emule, shareaza, azureus, etc)

– les outils de téléchargement FTP (FileZilla, etc)

– et les scripts IRC (Panzer, etc)

Dans chaque univers, il y a un nombre plus ou moins grand de protocoles internets gérés par chaque outils. Et bien entendu, dans chaque cas, il y a des données dont le téléchargement est interdit par la loi.

Faut-il empêcher ce téléchargement et si oui, comment faire?

La réponse à la première question est assez simple: si la loi indique qu’une chose est interdite, il faut essayer de l’empêcher. Mais que faire si la loi est mauvaise? Il faut apprendre à vivre en société, et faire modifier les mauvaises lois par des actions citoyennes (la plus simple étant de voter pour des personnes qui pensent comme vous, donc de lire les programmes et de veiller à leur application).

Un gouvernement normalement responsable va s’intéresser au fonctionnement d’internet, et va chercher à y faire appliquer les lois de la République. Rappelez-vous l’affaire Yahoo et la demande de prendre toutes les mesures de nature à dissuader et à rendre impossible toute consultation de service de ventes aux enchères d’objets nazis et de tout autre site ou service qui constitue une apologie du nazisme et une contestation de crimes nazis. Nous étions en 2000…

En France, la complaisance envers les crimes contre l’humanité est un délit, mais pas aux Etats-Unis, où le premier amendement de la Constitution garantit la liberté d’expression à tous.

Il faut donc, du point de vue du gouvernement, opérer un contrôle d’internet, mais comment?

J’ai l’impression que jusqu’à présent, tous les gouvernements opéraient un contrôle, soit en direct en participant sous pseudonyme aux échanges électroniques (articles 706-35-1 et 706-47-3 du code de procédure pénale), soit « a postériori », par exemple en saisissant du matériel et en demandant une expertise judiciaire (lire à ce sujet, l’arrêté du 30 mars 2009 relatif à la répression de certaines formes de criminalité informatique et à la lutte contre la pédopornographie).

Le filtrage d’internet correspondrait donc plutôt à un souhait de passer à un contrôle « a priori » d’internet.

Un groupe de travail européen a créé le projet CIRCAMP en 2006 avec trois objectifs majeurs:

– le blocage de l’accès à des images d’exploitation d’enfants en tant que mesure préventive et en fonction de la législation nationale, par l’introduction du Child Sexual Abuse Anti Distribution Filter (CSAADF)

– l’identification et la fermeture, après enquête, des systèmes de paiement utilisés/détournés par les criminels propageant du matériel pédopornographique sur Internet à des fins commerciales

– l’identification et l’arrestation, après enquête, des responsables de la distribution, à des fins commerciales, de matériel pédopornographique sur le web.

Certains pays (Royaume-Uni, la Norvège, le Danemark, la Suède ou les Pays-Bas) ont donc mis en place, par concertation avec les FAI, une liste de filtrage des « pires sites web ».

Extrait:

Les critères d’ajout à cette liste sont très stricts et la fiabilité de ladite liste est de la plus haute importance. Les critères seront encore affinés, mais les considérations suivantes seront prises en compte:
* L’enfant doit être un enfant réel. Les images générées par ordinateur, par morphing, dessinées et pseudo-images ne seront pas incluses.
* L’enfant doit être âgé de moins de 13 ans ou doit donner cette impression.
* Les fichiers doivent représenter des abus graves.
* Le site doit avoir été mis en ligne dans les trois derniers mois.

Le problème de ces listes de filtrage est qu’elles sont basées sur les adresses IP des sites webs. Elles bloquent donc parfois des groupes de sites entiers partageant la même adresse IP (pour un seul illicite).

Ce système me pose plusieurs questions:

– le contrôle de la liste exclusivement par les services de police: qui s’assure de la légalité du filtrage? La police des police?

– sur la mise en place de filtres par les FAI: n’y a-t-il pas possibilité pour un FAI de filtrer le service d’un FAI concurrent? Qui va vérifier?

– sur la mesure de l’efficacité de ce système: la pédophilie est-elle en recul dans ces pays?

La France a choisi quant à elle la voie législative, avec les lois Hadopi et LOPPSI. Mais sans trancher sur le fonctionnement du filtrage, ni les coûts associés, ni les mesures objectives d’efficacité. Sans garantie sur la liberté d’expression.

Pour ma part, je suis plutôt pour des logiciels de contrôle individuel sur le mode des antivirus ou antispyware, ou encore « adblock », mon extension fétiche de Firefox. Avec des listes chiffrées de sites bloqués, des listes blanches, etc.

Je suis pour la responsabilisation des moteurs de recherche (par exemple, le filtrage SafeSearch de Google dans la recherche d’image, débrayable au choix de l’internaute).

Et je suis pour l’utilisation des moyens actuels de lutte, sans ajouter de filtre ou de loi supplémentaires. Mais en leur donnant des moyens financiers décents.

Je finirai ce billet par une citation de Philippe Bilger extraite de ce billet (et de son contexte):

Dans quelle époque vit-on où apparemment il faut tout mâcher pour le confort du citoyen : la pensée, l’opinion, la mémoire et l’indignation? […] on prend tellement de précautions, pour notre bénéfice paraît-il, qu’on a vraiment l’impression que notre communauté n’est composée que d’imbéciles et de pervers. Par peur de nous voir tomber dans tous les pièges possibles, on serait prêt à nous dispenser de tout.

————————-

Dessin de Martin Vidberg

Un peu de technique

Publié le par

13image insolite05Bon, ce n’est pas parce que je croule sous les expertises que je ne peux pas écrire un petit billet en exploitant la puissance non utilisée du processeur de mon ordinateur d’investigation pendant une prise d’image de disque dur.

Justement, j’avais envie de partager une nouvelle manière d’effectuer une prise d’image « à travers » le réseau avec mes camarades experts judiciaires qui me font l’honneur de me lire sans pester devant leurs écrans.

Il ne s’agit pas de révolutionner la technologie, mais simplement d’écrire un petit billet aide-mémoire et pourquoi pas de rendre service aux OPJ informatiquophile.

Ingrédients.

Il vous faut:

– un ordinateur « A » dans lequel vous placerez le disque dur extrait du scellé

– un réseau représenté par un switch si possible d’1Gb/s

– un ordinateur que j’appellerai « Catherine » en l’honneur de Pierre Desproges qui nous a quitté trop tôt. Cet ordinateur vous servira pour l’analyse et doit être muni d’un espace disque disponible confortable.

– un cédérom avec la distribution DEFT Linux Computer Forensics live cd la bien nommée

– et enfin, un carnet papier pour vos notes et un stylo qui marche.

Hypothèse de travail: l’ordinateur « Catherine » est équipé du système d’exploitation Windows 7, que l’on appelle également Windows Vista Final Edition, ou Windows NT 6.1.

Mode opératoire.

Après avoir branché vos câbles réseaux, après avoir désactivé le boot sur disque dur de l’ordinateur « A », après avoir testé le boot sur cédérom DEFT de l’ordinateur « A », vous pouvez commencer vos opérations:

– notez la marque, le modèle et le numéro de série du disque dur extrait du scellé

– branchez le dans l’ordinateur « A » (ordinateur éteint)

– bootez l’ordinateur « A » sur le cédérom DEFT

– à l’invite sur « A », configurez le réseau,

par exemple avec la commande

A# ifconfig -a eth0 192.168.0.10

– vérifiez la communication avec l’ordinateur « Catherine »,

par exemple avec la commande

A# ping 192.168.0.20

– sur l’ordinateur « Catherine », créez un répertoire de partage « darkstream » destiné à recevoir le fichier « image.dd », par exemple, en faisant « clic droit » sur le dossier « darkstream », puis « partager avec » et choisissez un compte protégé par mot de passe, par exemple le compte « zythom ». Lui donner l’autorisation lecture/écriture.

– de retour sur l’ordinateur « A », vous allez créer un répertoire d’attachement:

A# mkdir /mnt/darkstream

– puis vous allez saisir la commande magique:

A# mount -t cifs //192.168.0.20/darkstream -a username=zythom /mnt/darkstream

et répondre à la demande du mot de passe du compte zythom.

– finalement, vous pouvez commencer la copie numérique à travers le réseau en utilisant la commande suivante:

A# dd_rescue /dev/sda /mnt/darkstream/image.dd

commande qui a le mérite d’accepter la présence de blocs défectueux sur le disque dur à numériser.

Vous pouvez alors aller vous coucher en croisant les doigts pour que le disque dur extrait du scellé ne choisisse pas ce moment pour rendre l’âme et vous obliger à lire en détail l’assurance en responsabilité civile que vous avez judicieusement pensé à prendre pour couvrir vos opérations d’expertise. Il n’est pas drôle d’expliquer au magistrat qui vous a désigné que vous avez manqué de chance dans son dossier Darkstream où il vous demandait de retrouver des « listings » Excel. Personnellement, je dispose un grand ventilateur de bureau dirigé vers le disque dur pour assurer son refroidissement (mais je croise les doigts quand même).

En fois la prise d’image numérique terminée, vous pouvez éteindre l’ordinateur « A » et en retirer le disque dur que vous replacerez dans le scellé d’origine.

Il vous reste alors à supprimer le partage du répertoire darkstream sur l’ordinateur « Catherine » (le partage hein, pas le répertoire) et à imposer l’attribut « lecture seule » sur le fichier « image.dd »

Et maintenant, commence l’analyse de ce fichier, avec des outils tels que « liveview » pour un démarrage du disque dans une machine virtuelle, ou « Sleuth kit et Autopsy« , ou le très onéreux EnCase® Forensic mais ça, c’est une autre histoire…