Chaud chaud chaud !

Le B.A.BA de l’expert judiciaire en informatique est d’être capable de procéder à la recherche d’informations sur un disque dur.

Voilà deux jours que je tente de faire une image du disque dur d’un scellé: je lance la prise d’image (huit heures annoncées à chaque fois) et PAF, quand je reviens quelques heures plus tard (ou le lendemain matin) la prise d’image s’est arrêtée en cours de route…

J’ai essayé avec plusieurs logiciels, plusieurs distributions GNU/Linux, rien n’y fait.

Quand soudain une idée surgit du fond de ma mémoire: la température!

Pour effectuer une analyse de disque dur en toute sécurité, il faut travailler sur une image. Pour réaliser cette image, vous pouvez procéder de plusieurs manière, mais pour ma part, j’utilise un PC dédié sur lequel je place le disque dur préalablement retiré de son PC d’origine. Comme cela, je connais bien le BIOS (de mon PC dédié), je maîtrise sa carte réseau (reconnue par mes distributions GNU/Linux), etc.

Mais, tout cela se fait carcasse ouverte, fils et nappes « en l’air ». Du coup, les disques durs sont un peu « pendants ». Ce qui fait qu’ils ne sont pas fixés à l’armature métallique du PC… Grave erreur: la dissipation de la chaleur se fait mal et la température des disques monte, monte, monte.

Comme je n’y ai pensé qu’après avoir relancé une prise d’image qui a démarré il y a trois heures et que je ne veux pas perdre (encore) plus de temps, me voici avec un ENORME ventilateur de bureau TRES bruyant visant le disque dur pour le refroidir.

Du coup, je travaille avec un casque antibruit sur les oreilles.

On ne plaisante pas avec les experts judiciaires qui ont endommagé une preuve.

Lecteur de fichiers DBX

Lors de chaque expertise, je suis confronté à la lecture des fichiers utilisés par Outlook Express.

A chaque fois, je recherche sur internet un lecteur de fichiers DBX, ne souhaitant pas installer Outlook Express sur mon PC.

Dernièrement, j’ai réalisé que j’avais sous la main quotidiennement un outil très simple et gratuit qui permet de lire ce type de fichiers (ainsi que ceux d’Outlook, mais je n’ai pas encore testé): Thunderbird.

Ce logiciel permet en effet de façon très simple d’importer des messages en provenance d’autres logiciels de messagerie, et sans présupposer de l’endroit où ils se trouvent (ce qui a en général le don de m’énerver!). Il suffit d’indiquer le répertoire où se trouvent les fichiers DBX et ceux-ci viennent s’importer proprement dans Thunderbird dans un répertoire intitulé « Courrier Outlook Express ».

C’est tout, c’est simple, c’est net.

PS: Thunderbird vient de sortir en version 2.0 avec tout plein d’améliorations.

Assistance lors d’une perquisition

Etre réquisitionné pour assister la police lors d’une perquisition n’est pas une chose agréable. Outre le fait de débarquer chez quelqu’un sans y avoir été invité, devoir fouiller dans les placards, même en présence du propriétaire des lieux, est quelque chose qui m’insupporte.

Bon, heureusement, parfois le propriétaire prend la chose très correctement, voire même avec humour. C’est ce qui m’est arrivé cette semaine lorsque j’ai du assister le commissaire de la ville voisine dans une affaire de vol de codes sources.

Une entreprise en difficulté financière ne paye plus son informaticien. Celui-ci, au bout de deux mois sans salaire attaque son employeur aux prudhommes. L’employeur, mécontent, attaque son salarié au pénal pour vol de codes sources. Là où l’affaire est intéressante, c’est que l’employeur ne disposant pas de locaux, avait demandé à son salarié de travailler chez lui, sur son matériel informatique personnel.

L’informaticien, honnête et prudent, ayant rendu à son employeur tous les développements réalisés, nous a laissé perquisitionner chez lui. Après avoir vérifié qu’il n’y avait aucune trace de codes sources ni d’exécutable indument conservé, nous avons dressé procès verbal de la perquisition.

Ce procès verbal lave le salarié de tout soupçon et lui permettra d’ajouter un élément dans son dossier prudhommal.

Qui a dit que les perquisitions étaient toujours à charge?

Les Avocats et l’informatique

Les avocats, comme les experts judiciaires, doivent suivre des formations leur permettant de rester « dans le coup ». Ces formations sont d’ailleurs souvent assez chères et de qualités inégales.

C’est pourquoi lorsque l’on m’a proposé d’assister à une conférence sur la cryptographie, organisée par le CRFPA (Centre Régional de Formation Professionnelle des Avocats) près de chez moi, j’ai été intrigué:

1) La conférence était gratuite, mais réservée aux avocats (et à leurs invités 😉

2) Le conférencier était (et est toujours) un avocat, Maître Alain Bensoussan

3) Comment ce sujet extrêmement technique allait-il être abordé?

Il y a parmi les avocats, comme parmi toutes les professions, des personnes passionnées par l’informatique, des utilisateurs normaux, des utilisateurs réfractaires et des technophobes acharnés. Le tout dans des proportions certainement identiques à toutes les professions.

Un bémol quand même: la sélection et la formation des avocats m’incitent à penser qu’on y trouve relativement peu d’adeptes de Charles Babbage, de fans de Prolog ou d’admirateurs de SHRDLU

Bref, me voici dans le public, au premier rang, face à un avocat certainement compétent dans son domaine, mais prétendant réaliser un exposé technique dans une branche de MON domaine.

Prétentieux que j’étais !

L’exposé a été d’une clarté extraordinaire.

Les explications sur les échanges de clefs, sur leurs différents types (clefs publiques et privées) et sur les mécanismes mis en jeux m’ont simplement bluffé.

J’ai dévoré chaque mot et me suis retenu de me lever à la fin pour applaudir !

La seule chose qui m’a un peu rassuré, c’est de voir le regard un peu endormi des différents élèves-avocats pour qui la conférence était obligatoire. Je sais de source proche que la plupart n’avait pas compris écouté grand chose…

J’ai néanmoins pu constater depuis, lors des réunions d’expertise, que nombres d’avocats maîtrisent parfaitement l’outil informatique et les concepts qui se cachent derrière, en plus évidemment de leur expertise « naturelle » du Droit. A leur maîtrise du mot juste s’ajoute celle du jargon informatique.

A l’inverse, c’est malheureusement loin d’être mon cas: outre que je ne prétends même pas maîtriser en profondeur toutes les branches de mon art domaine, j’éprouve des difficultés certaines avec un certain nombre de termes juridiques… (je révise: pénal = là où on donne une peine, civil = pas militaire, heu non, c’est entre deux personnes, heu…)

En fait, mon incompétence en droit se voit assez peu, car je suis passé maître dans l’art du hochement de tête en réunion, voire de la petite boutade qui fait plaisir: « Maître, c’est vous l’expert… en Droit ».

En plus, c’est vrai !

A voté !

Pour la première fois de ma vie, je vais tenir un bureau de vote !

Bon d’accord, je ne serai qu’un simple assesseur, mais j’ai déjà assisté à une réunion d’information à la mairie pour comprendre le déroulement d’une élection « vue de l’intérieur ».

Déjà, c’est assez compliqué. Il suffit de lire ceci pour avoir une idée du déroulement des opérations.

Mais là où ma crainte grandit, c’est lorsque je commence à entendre parler de machines à voter électronique.

Mon sang d’informaticien ne fait qu’un tour !!!

Pourquoi changer un système qui fonctionne bien, avec toutes les sécurités possibles et la meilleure fiabilité ? Pourquoi y introduire l’opacité d’un système électronique que le citoyen lambda ne pourra plus contrôler ? Ce billet de Bertrand Lemaire a déjà détaillé quelques uns des problèmes soulevés…

Moi, j’aime bien la table de décharge, l’isoloir, l’urne transparente et les registres papiers. N’y touchez pas !

3 en une semaine

Pendant des mois, rien ou presque.

Et paf, trois expertises judiciaires qui me tombent dessus la semaine dernière… Dont une qui me semble pantagruelique.

Le cagibi qui me sert de bureau commence à être encombré. Fini de jouer avec Blackberry et avec son corolaire (merci à jehv)…

Déjà que Pâques m’avait permis de prendre du poids recul par rapport à ce blog. Mais plus je travaille, plus j’ai matière à articles…

Mon bollard et mon couteau

Un lecteur me demande quels seraient selon moi les premiers achats à faire lorsque l’on prête le serment d’expert judiciaire en informatique.

Les réponses varient d’un expert judiciaire à un autre, mais pour ma part, je dirai: rien.

A chaque désignation, je demande des détails sur les missions et je refuse toute expertise qui est en dehors de mes compétences OU de mes possibilités financières.

Pour ne pas toujours venir avec seulement mon bollard et mon couteau, j’ai acheté au fur et à mesure des expertises les logiciels et matériels qui me permettent d’accepter plus de missions, ou de les exécuter de façon plus confortable.

Certains confrères m’ont indiqué refuser toutes les analyses de disques durs, car ils n’ont jamais été adeptes de ce type de recherche.

Heureusement pour moi, les outils opensource permettent d’effectuer quasiment toutes les opérations d’expertise, au prix d’une bonne connaissance du monde Linux (mais pas nécessairement des connaissances de type gourou).

J’en ai cité plusieurs sur ce blog et j’essayerai de faire un billet technique détaillé sur mon préféré HELIX

Un jour j’oserai

Un jour, je mettrai ce texte de Rabelais dans un rapport d’expertise…

« De quoy diable donc (dist il) servent tant de fatrasseries de papiers et copies que me bailliez ? N’est ce le mieux ouyr par leur vive voix leur debat que lire ces babouyneries icy, qui ne sont que tromperies, cautelles diabolicques de Cepola et subversions de droict ? Car je suis sceur que vous et tous ceulx par les mains desquelz a passé le procès y avez machiné ce que avez peu Pro et Contra, et, au cas que leur controverse estoit patente et facile à juger, vous l’avez obscurcie par sottes et desraisonnables raisons et ineptes opinions de Accurse, Balde, Bartole, de Castro, de Imola, Hippolytus, Panorme, Bertachin, Alexandre, Curtius et ces aultres vieulx mastins qui jamais n’entendirent la moindre loy des Pandectes, et n’estoyent que gros veaulx de disme, ignorans de tout ce qu’est necessaire à l’intelligence des loix.

[…]

Par ce, si voulez que je congnoisse de ce procès, premierement faictez moy brusler tous ces papiers, et secondement faictez moy venir les deux gentilzhommes personnellement devant moy, et, quand je les auray ouy, je vous en diray mon opinion, sans fiction ny dissimulation quelconques. »

Source: Pantagruel Chapitre 10 (Comment Pantagruel équitablement jugea d’une contreverse merveilleusement obscure et difficile si justement que son jugement fut dict fort admirable).

Il est vrai qu’un expert judiciaire n’est pas un juge…

Expert en faux

Je reçois ce jour une réquisition aux fins d’expertise avec pour missions (je mets mes commentaires entre crochets):

1) Examiner les scellés n°X et Y constitués dans la procédure n°Z [un disque dur externe et un ordinateur avec Dieu sait combien de disques durs à l’intérieur]

2) Y rechercher tout enregistrement et fichier relatif à la réalisation de faux documents,

3) Y rechercher de manière générale toutes informations relatives à des tiers afin d’en permettre l’exploitation notamment à l’effet de vérifier si le nom de ces tiers n’a pas été utilisé par Mr YYY [je mets YYY plutôt que XXX pour éviter d’attirer trop de monde sur ce blog]

4) Apporter tout élément utile à la manifestation de la vérité.

Autant vous dire que je n’ai aucune idée de ce qu’il faut chercher sur les disques durs.

Et bien, c’est cela qui me plait bien !

Un réseau bien hospitalier…

Dans une affaire de pédophilie (encore une!), j’avais parmi les missions à « fournir [au magistrat instructeur] la liste de toutes les adresses emails présentes sur le disque dur objet du scellé n°N. »

« La mission, rien que la mission, toute la mission. » Me répétait mon vieux professeur d’expertise…

Muni de mes outils opensource d’investigations, j’obtiens au bout de quelques heures de recherches, un ensemble d’emails que je commence à analyser: untel écrit à truc, truc répond avec copie à trucmuche, etc. Sur ma feuille de papier se dessine un réseau de correspondances… Euh, en fait, DEUX réseaux apparaissent! D’un côté, un ensemble de personnes qui s’écrivent, avec certains courriers à thème pédophile, de l’autre un ensemble d’emails qui relatent plutôt des faits médicaux.

Des médecins impliqués dans un réseau pédophile !!!

Oui, mais alors pourquoi DEUX ensembles disjoints de correspondances ?

J’ai donc poussée un peu plus loin en regardant les dates des fichiers présents et effacés du disque dur. Après analyse (aidé par la gendarmerie), il s’est avéré que l’ordinateur avait commencé sa carrière au sein d’un hôpital, avant d’être vendu d’occasion pour finir dans les mains d’un pédophile. Les données effacées AVANT la vente étaient bien entendu toujours présentes sur le disque dur.

J’avais failli inscrire dans mon rapport des personnes complètement étrangères à cette affaire !

Oui mais: « La mission, rien que la mission, toute la mission. »

Or, celle-ci indiquait clairement qu’il fallait que je fournisse la liste de TOUTES les adresses emails apparaissant sur le disque dur!

J’ai alors contacté le magistrat instructeur pour avis.

Celui-ci m’a laissé le choix entre « La mission, rien que la mission, toute la mission » ou « mouillez vous un peu et faites un pré-tri ».

J’ai donc un peu mouillé ma chemise et n’ai fait mention que des emails du premier ensemble. Outreau n’est jamais très loin…

Mais quand j’y repense, j’ai toujours un peu froid dans le dos. Des restes de transpiration sans doute.