Un blog de moine ?

Je reçois aujourd’hui à l’adresse zythom (chez) gmail.com un email d’une société d’Avocats qui me propose un dossier d’expertise.

La fréquentation croissante de ce blog me flatte, car cela fait toujours plaisir d’être lu par autrui, mais ce n’est pas l’objet de ce blog que de chercher la publicité à fin de développement d’une activité que je souhaite limitée. C’est pourquoi j’ai choisi un pseudonyme.

C’est pourquoi je refuse (poliment) tout dossier qui m’est proposé par ce biais.

Ce blog est un amusement sans prétention.

Ce qui m’étonne, c’est que l’email en question était accompagné de documents pdf relatant tout le dossier, avec les noms des personnes impliquées. C’est un peu comme si j’ouvrais un blog médical avec pseudo etc., et que je recevais un email avec dossier médical attaché… J’espère que des médecins me lisent aussi (au moins le mien!).

Et qu’on ne me parle pas de prestation de serment, de déontologie, de secret professionnel, car vous trouverez en vain le nom ZYTHOM inscrit sur une liste d’experts près une Cour d’Appel.

Le blog ne fait pas le moine.

Le mythe de l’expert judiciaire

Qu’est-ce qu’un expert judiciaire?

Pour le magistrat, c’est un technicien (un homme ou une femme compétant en technique) capable de l’éclairer sur une partie technique d’un dossier.

Pour l’Avocat, c’est une personne reconnu dans le domaine où il exerce s’il dépose un dossier favorable à son client, c’est un inconnu ignare des choses de la justice s’il dépose un dossier défavorable à son client.

Pour le particulier, c’est celui qui va lui faire gagner son procès.

Pour le grand public, c’est une personne qui sait tout sur tous les aspects de son domaine, c’est un généraliste qui en sait autant que tous les spécialistes réunis (un geek quoi…)

Pour l’Officier de Police Judiciaire, c’est quelqu’un qui va pouvoir faire avancer son enquête rapidement, mais qui coûte très cher.

Pour l’Huissier, c’est quelqu’un qui coûte cher et dont il peut se passer (au moins pour le domaine informatique) car l’informatique c’est facile (lire cette anecdote)

Pour la télévision, c’est une bande de copains/collègues/amis-mais-pas-plus capable de « faire parler » un écran informatique – parce que vous savez, si les écrans pouvaient parler, ils en auraient des choses à dire. Le tout bien sur avec des ordinateurs dotés d’interfaces graphiques 3D dignes de « Minority Reports » et capables de vous agrandir le visage pris par la caméra de surveillance, ou de reconstituer la scène du crime en 3D et en quelques clics.

Pour moi, un expert judiciaire, c’est ça, ça et ça. Cela pourrait être aussi ça.

Pour les autres experts, c’est un confrère ou une consoeur, car nous sommes une grande famille.

Expert judiciaire ou expert de justice ?

La Fédération Nationale des Compagnies d’Experts Judiciaires (FNCEJ) s’appelle maintenant Fédération Nationale des Compagnies d’Experts de Justice

Par extension, la fédération recommande de ne plus dire « expert judiciaire » mais « expert de justice ».

Si un lecteur expert connait la raison de ce changement de nom, qu’il m’adresse les documents ou liens à mon adresse email (indiquée en haut à droite sur ce blog), ou en commentaire de ce billet.

En attendant, les textes des différents codes utilisant toujours l’appellation « expert judiciaire », je m’en tiendrai là.

Amis experts heureux détenteurs de sites web, attention aux mots clefs de vos référencements…

A suivre peut-être?

PS: pour mon ami le robot de google: Expert de Justice, expert de justice, EXPERT DE JUSTICE, « expert de justice », « ExPeRt De JuStIcE » 🙂

Photos d’écran

Je narrais naguère ici-même une anecdote où le « soupçonné coupable » avait omis de vider la corbeille informatique de son bureau Windows, par méconnaissance de son mécanisme.

J’alimente aujourd’hui la rubrique « Anecdotes expertises » avec une affaire où mon travail a été grandement simplifié par un coup du sort.

Il s’agit d’une affaire de pédophilie supposée. Le suspect est en possession d’un ordinateur et ma mission (et je l’ai acceptée) est de faire « parler » cet ordinateur.

Me voici en train d’étudier une copie du disque dur.

Or, l’une des premières choses que je fais lors d’une analyse de disque dur, est de me promener au gré de mes envies (j’allais dire mon instinct comme à la télé) dans les différents répertoires, avant de lancer les chiens scripts d’analyse.

« Tiens, un répertoire nommé << vrac piratés >> »

« Tiens, un autre qui s’appelle << superteensk13 >>… »

Bref, je flâne.

C’est alors que je tombe sur un répertoire intitulé « print screens » contenant environ 5000 photos. Je regarde quelques unes de ces photos, ainsi que les dates de création des images: il s’agit de photos d’écran.

Le suspect avait installé un logiciel de copie d’écran automatique: une photo de l’écran était prise toutes les 10 minutes et copiée dans ce répertoire! Le sort avait voulu que le suspect ne le désinstalle pas, ne sachant probablement pas ce qu’il avait installé!

J’ai ainsi pu avoir sans me fatiguer et de façon assez détaillée l’utilisation de cet ordinateur (parties de solitaire incluses, sans jeu de mots), les contenus des cédéroms qui ont été gravés, les impressions, les webmails, etc.

Et effectivement, cela valait le détour!

.

Les scellés

Je me souviens avec quelle émotion (encore!) j’ai reçu mes premiers scellés: belles étiquettes vieillottes, empaquetage avec ficelles d’un autre âge et surtout beaux cachets de cire rouge comme à la télé!!

Pour chaque dossier avec scellés, vous lirez sur la liste des missions la phrase « vous prendrez réception des scellés n°X et Y que vous ouvrirez » (je n’ai jamais lu l’expression « briser les scellés »), puis en fin de liste, « … vous procèderez à la reconstitution des scellés ».

Mais problème: comment reconstituer un scellé ? Faut-il acheter de la cire rouge ? Où ? Faut-il acquérir un sceau ? Où ? Comment faire fondre la cire ?

Après une recherche sur Internet (essayez de la faire, c’est assez difficile), je suis finalement parti dans une boutique spécialisée « rue du Palais » pour y trouver tout le nécessaire.

J’ai donc :

un joli bâton de cire rouge,

un sceau fait sur mesure avec un joli dessin d’ordinateur (!),

un petit creuset en verre pour y faire fondre la cire,

et une bougie pour chauffer le creuset.

C’est donc parti pour la reconstitution des scellés.

Il me faut trouver un sac plastique transparent (c’est mieux).

Il me faut trouver des agrafes (mon agrafeuse est TOUJOURS vide à ce moment là).

Je plie une feuille de papier pour faire une bande que je place au bord du sac plastique et CRAC je mets mes agrafes dessus pour fermer le tout (ATTENTION pas trop d’agrafes, voir plus loin).

J’entoure le tout d’une belle ficelle que j’ai hérité de mon grand-père.

J’attache au bout l’étiquette d’origine du scellé sur laquelle j’écris la date, « scellé reconstitué par l’expert » et je signe où je peux car l’administration n’a pas prévu de case pour les experts.

Attention : nous passons à la réalisation du cachet de cire !

Ce qu’il vous faut maintenant imaginer, c’est que je suis assis par terre (je n’ose pas faire ces manipulations sur mon bureau, c’est trop dangereux…), en train de découper à la scie un morceau de cire rouge (elle est TRES dure), pour le placer ensuite dans mon petit creuset en verre que je place sur une bougie. Il faut ensuite attendre cinq bonnes minutes pour que la cire fonde.

Et là, d’un geste expert, POUR CHAQUE AGRAFE, côté sortie des agrafes, il faut verser la cire pour faire un petit rond, pas trop petit, pas trop grand, poser le creuset rapidement car la cire sèche vite, saisir le sceau et faire un joli cachet bien dégoulinant et tellement « geek ».

Remarque pour les nouveaux experts :

Si vous ne mettez pas une bande de papier pour y mettre les agrafes qui vont sceller votre sac plastique, la cire fera fondre (très artistiquement d’ailleurs) ledit sac plastique.

Remarque pour les experts expérimentés :

Par pitié, 38 ans après le premier pas sur la lune, dites moi qu’il existe un appareil simple à faire fondre la cire… et dites moi où je peux l’acheter !

En attendant, le jeu consiste à chercher à ouvrir les scellés sans les briser, afin de pouvoir les reconstituer facilement.

Mais les OPJ savent y faire et c’est quasiment impossible !

Qui a dit qu’informaticien expert judiciaire n’était pas une activité manuelle.

Huissiers de Justice et Experts Judiciaires

Il m’arrive de moins en moins souvent d’avoir à assister un Huissier de Justice mandaté pour réaliser un constat de contrefaçon informatique, notamment en matière de site internet.

Internet étant maintenant entré dans un grand nombre de foyers et d’habitudes, beaucoup d’huissiers considèrent que la présence d’un expert judiciaire à leur côté pour un constat n’est plus utile (le montant des honoraires d’un expert judiciaire n’est certainement pas étranger non plus à cette décision).

Le site legalis.net nous rappelle dans ce billet que malheureusement les subtilités informatiques échappent encore trop souvent aux non informaticiens.

Mais pas aux juges du Tribunal de Grande Instance de Mulhouse qui indiquent dans cette décision :

Attendu enfin, concernant l’ensemble des constatations réalisées le 27 août 2004 au sein de la société YYY, que l’huissier ne précise pas s’il a vidé la mémoire cache de l’ordinateur ayant servi à établir le constat ; qu’il n’affirme pas davantage avoir vérifier si la connexion au réseau internet se faisait ou non par un serveur proxy ;

Attendu que l’ensemble de ces incohérences ou omissions ôtent toute valeur probante aux constatations réalisées ;

Qui a dit que les Juges ne connaissaient rien aux subtilités d’Internet?

Mais peut-être est-ce parce qu’ils utilisent (eux) les compétences des experts judiciaires en informatique.

Huissières, Huissiers, appuyez-vous sur les experts judiciaires en informatique pour vos constats informatiques. Ils n’en seront que plus probants.

Dans quelles conditions un fonctionnaire peut-il tenir un blog sur Internet ?

C’est le retour de la rubrique « Questions à deux euros ».

Vous trouverez ici la question complète et la réponse du ministre de la fonction publique.

En quelques mots:

« Tout va dépendre alors du contenu du blog. Son auteur, fonctionnaire, doit en effet observer, y compris dans ses écrits, un comportement empreint de dignité, ce qui, a priori, n’est pas incompatible avec le respect de sa liberté d’expression. En tout état de cause, il appartient à l’autorité hiérarchique dont dépend l’agent d’apprécier si un manquement à l’obligation de réserve a été commis et, le cas échéant, d’engager une procédure disciplinaire. »

Fonctionnaires, gare au bâton!
Bon, une chance que je ne sois pas fonctionnaire!
Mais vous noterez le comportement empreint de dignité de mon blog…

Les outils d’un expert judiciaire

J’inaugure avec ce billet une nouvelle rubrique qui sera consacrée aux outils que j’utilise (ou que j’aimerais utiliser) lors de mes expertises.

Outil n°1, loin devant tous les autres: Linux, ,ou plutôt, certaines distributions Linux, comme l’une de mes favorites: HELIX.
Il s’agit d’un live CD permettant entre autre chose la prise d’image d’un disque dur et son analyse en profondeur.

Voici son contenu actuel:

# sleuthkit : Brian Carrier’s replacement to TCT.
# autopsy : Web front-end to sleuthkit.
# mac-robber : TCT’s graverobber written in C.
# fenris : debugging, tracing, decompiling.
# wipe : Secure file deletion.
# MAC_Grab : e-fense MAC time utility.
# AIR : Steve Gibson Forensic Acquisition Utility.
# foremost : Carve files based on header and footer.
# fatback : Analyze and recover deleted FAT files.
# md5deep : Recursive md5sum with db lookups.
# sha15deep : Recursive sha1sum with db lookups.
# dcfldd : dd replacement from the DCFL.
# sdd : Specialized dd w/better preformance.
# PyFLAG : Forensic and Log Analysis GUI.
# Faust : Analyze elf binaries and bash scripts.
# e2recover : Recover deleted files in ext2 file systems.
# Pasco : Forensic tool for Internet Explorer Analysis.
# Galleta : Cookie analyzer for Internet Explorer.
# Rifiuti : « Recycle BIN » analyzer.
# Bmap : Detect & Recover data in used slackspace.
# Ftimes : A toolset for forensic data acquisition.
# chkrootkit : Look for rootkits.
# rkhunter : Rootkit hunter.
# ChaosReader : Trace tcpdump files and extract data.
# lshw : Hardware Lister.
# logsh : Log your terminal session (Borrowed from FIRE).
# ClamAV : ClamAV Anti Virus Scanner.
# F-Prot : F-Prot Anti Virus Scanner.
# 2 Hash : MD5 & SHA1 parallel hashing.
# glimpse : Indexing and query system.
# Outguess : Stego detection suite.
# Stegdetect : Stego detection suite.
# Regviewer : Windows Registry viewer.
# Chntpw : Change Windows passwords.
# Grepmail : Grep through mailboxes.
# logfinder : EFF logfinder utility.
# linen : EnCase Image Acquisition Tool.
# Retriever : Find pics/movies/docs/web-mail.
# Scalpel : Carve files based on header and footer.

Evidemment, j’invite tous les passionnés à tester ces outils et à les maitriser, ainsi que les professeurs (souvent passionnés également) à les utiliser pour leurs enseignements.

Je découvre à chaque fois de nouveaux outils dans cette distribution dont je n’utilise pour l’instant qu’un petit pourcentage.

Je parlerai de certains de ces outils plus en détails plus tard et dans cette rubrique.

Arrêtez d’acheter votre informatique au restaurant !

Dans plusieurs de mes expertises, je rencontre le dialogue suivant:

– « Pouvez-vous me fournir le cahier des charges que vous avez fourni à votre fournisseur pour votre ré-informatisation? »:

– « un cahier des charges? Mais tout s’est passé par oral lors de nos discussions avec le commercial. Tenez, voici le bon de commande annoté sur lequel nous avons griffonné expliqué nos besoins. »

J’ai même eu droit à une photocopie de notes prises sur une nappe en papier !!!

Chef de PME, chef de TPE, n’achetez plus votre informatisation dans un bar ou dans un restaurant… Je sais que vous n’avez pas les moyens de salarier un informaticien, je sais que vous ne pouvez pas vous offrir le luxe d’un consultant ou d’un chef de projet, MAIS la plus petite méthode de gestion de projet commence par l’établissement de la liste de vos besoins: le cahier des charges.

Vous pouvez même ensuite envisager des concepts tels que « pouvez-vous laisser l’ancien système en place le temps que l’on teste le nouveau? ».

Et puis, si tout va mal et que vous allez en justice, travaillez le concept « laisser le système litigieux en place et ne plus y toucher » pour que l’expert ne débarque pas avec la mission « décrire le système litigieux » à laquelle il ne pourra que répondre « le système litigieux n’existe plus ».

Merci de réserver le restaurant pour fêter avec votre fournisseur la joie d’une installation réussie.

C’est sur, les notes de frais vont baisser.

Propositions aux candidats pour de meilleures expertises

Les candidats aux élections présidentielles construisent leurs programmes avec des équipes de conseillers et de collaborateurs.

Ces personnes, bien que très occupées, surfent parfois d’un site à un autre, ce qui peut les amener ici complètement par hasard. [C’est d’ailleurs un problème que je rencontre souvent, parti que je suis pour faire une recherche sur google sur le thème « remplacement d’une carte mère » et arrivé finalement sur cette page passionnante consacrée au libre arbitre.]

Ce billet s’adresse donc aux équipes des candidats au poste de président(e) de la république française (rien que cela). Je vais donc faire bref puisque leur temps est précieux:

Problèmes:

Les expertises judiciaires informatiques sont chères et longues.

Les organismes publics capables de les effectuer sont débordés.

Solutions actuelles:

– les OPJ font de plus en plus d’expertises gratuites. Problème: leurs salaires sont à la charge de l’état, les expertises ont donc un cout qui bien que cachés est important.

– les laboratoires publics doivent être développés et équipés. Problème: le coût.

– les magistrats peuvent désigner des experts hors listes. Problème: l’inexpérience juridique.

Propositions:

1) encourager les OPJ à passer par des experts, des laboratoires privés créés par des experts judiciaires ou à devenir eux-mêmes experts judiciaires.

2) mettre à la disposition des experts les logiciels d’investigation développés par les différents organismes d’état. A défaut, négocier avec les éditeurs commerciaux un prix de groupe pour la France.

3) encourager les magistrats à désigner des experts inscrits sur listes.

4) permettre l’inscription d’avocats spécialisés sur les listes d’experts. Ces avocats seraient désignés comme experts, seraient garants du bon respect de la procédure et pourraient choisir de s’adjoindre les services d’experts techniques hors listes (professeurs, chercheurs, techniciens reconnus…).

Un magistrat pourrait ainsi choisir soit:

– un expert judiciaire expérimenté et formé à la procédure judiciaire

– un avocat spécialiste accompagné d’un expert ponctuel

– un laboratoire regroupant plusieurs compétences (techniques et/ou juridiques)

Toutes les autres règles actuelles continueraient à fonctionner (renouvèlement pour cinq ans, obligation de formations, délais raccourcis pour les rapports, radiation des listes, etc).

Le coût de ces mesures est nul.

Les trois systèmes seraient en concurrence, tant techniquement que financièrement.

Les coûts des expertises informatiques ne pourraient que baisser.

Les compétences seraient meilleures, donc la qualité des expertises ne pourrait que croitre.

PS: Si un candidat veut me confier une étude sur le sujet, je suis prêt à lui faire un prix…