Les preuves numériques doivent être de qualité vérifiable : comment l’informatique légale professionnelle doit fonctionner aujourd’hui

Les preuves numériques sont omniprésentes, mais les interpréter correctement représente un véritable défi.

Un smartphone peut contenir des messages, des photos, des vidéos, des contacts, des données d'applications, des informations d'utilisation et de nombreux autres éléments numériques. Un ordinateur peut fournir des indices sur l'activité de l'utilisateur, les supports de stockage connectés, les fichiers, les programmes, l'utilisation d'Internet et les processus système. Les serveurs, les réseaux et les environnements cloud génèrent des données supplémentaires susceptibles d'être pertinentes pour la reconstitution d'un incident.

Le travail d'enquête moderne est entré depuis longtemps dans une réalité où presque chaque affaire complexe peut comporter une composante numérique.

Une entreprise soupçonne une fuite de données de conception confidentielles. Le compte d'un employé présente une activité inhabituelle. Des fichiers sont manquants après le départ d'un employé. Un smartphone pourrait contenir des communications sensibles. Un cabinet d'avocats a besoin d'une reconstitution technique de certains processus. Après une cyberattaque, il est impératif de déterminer quels systèmes ont été affectés et quelles traces subsistent.

Dans de telles situations, il ne suffit pas d'extraire le maximum d'informations possible d'un appareil.

Les questions cruciales sont plutôt :

• Quelles données sont pertinentes dans cette situation particulière ?
• D'où proviennent ces données, techniquement parlant ?
• Comment ont-ils été sécurisés ?
• Les données examinées ont-elles été modifiées au cours du processus de sauvegarde ou d'analyse ?
• Quelles relations techniques peuvent réellement être établies ?
• Quelles sont les autres explications possibles ?
• Quelles conclusions peut-on tirer d'un artefact numérique ?
• Laquelle de ces affirmations ne serait pas étayée par les données disponibles ?

Cette séparation entre les données existantes et l'évaluation techniquement rigoureuse est une caractéristique essentielle de l'expertise informatique légale professionnelle.

L'extraction de données ne constitue pas encore de la criminalistique numérique.

Les systèmes d'analyse forensique modernes peuvent traiter d'énormes quantités de données provenant d'ordinateurs, de smartphones et d'autres systèmes numériques. Ils permettent de catégoriser les messages, de rechercher des fichiers, de créer des chronologies et d'afficher automatiquement les éléments techniques.

C'est précieux. Cependant, il ne faut pas le confondre avec une enquête médico-légale complète.

Une extraction technique permet tout d'abord de répondre à la question de savoir quelles données pourraient être obtenues ou représentées à l'aide d'une méthode spécifique.

L'enquête médico-légale doit se poursuivre.

Elle doit préciser la signification de chaque information en lien avec la question de recherche spécifique.

Cela est pertinent, par exemple, pour déterminer si :

• Des fichiers confidentiels ont été copiés ou transférés.
• un périphérique de stockage externe était connecté à un ordinateur particulier,
• Certaines activités des utilisateurs sont techniquement traçables.
• Les données de communication révèlent une séquence chronologique concrète,
• Des fichiers ont été modifiés ou supprimés
• certaines applications ont été utilisées
• Des processus de cloud ou de synchronisation ont eu lieu.
• un système a peut-être été compromis ou
• Plusieurs traces numériques appartiennent à un même événement.

Sans question de recherche clairement définie, on risque de simplement générer une grande quantité de données.

L'expertise numérique professionnelle ne consiste donc pas à extraire tout ce qui est techniquement accessible. Elle consiste à sécuriser, évaluer, classer et documenter de manière méthodique et transparente les informations numériques pertinentes à une affaire donnée.

La collecte des preuves médico-légales commence avant l'analyse proprement dite.

La qualité d'une analyse numérique est souvent déterminée par la manière dont l'objet original de l'analyse est traité.

Les systèmes numériques sont dynamiques. Un système d'exploitation en cours d'exécution modifie les données. Les applications écrivent des informations. Les smartphones communiquent avec les infrastructures mobiles, Wi-Fi et cloud. Les processus en arrière-plan peuvent altérer les ensembles de données. Même un accès apparemment anodin peut générer de nouvelles informations système.

Par conséquent, la phase de collecte des preuves est l'une des parties les plus délicates d'une enquête médico-légale.

Selon l'objet de l'enquête, il convient notamment de prendre en compte les questions suivantes :

• Quel appareil ou support de données a été acquis ?
• Dans quel état se trouvait l'objet de l'enquête ?
• Quand a-t-il été acquis ?
• Qui l'a remis ?
• Quelle méthode de sécurité est techniquement appropriée ?
• Un système en fonctionnement doit-il être traité différemment d'un système éteint ?
• Comment protéger au mieux les données originales ?
• Comment les copies de travail sont-elles créées ?
• Comment l'intégrité des données sauvegardées est-elle vérifiée ?
• Comment les différentes étapes sont-elles documentées ?

Il n'existe pas de méthode universelle qui fonctionne pour tous les smartphones, ordinateurs, serveurs et supports de stockage.

Un smartphone chiffré a des exigences différentes de celles d'un disque dur externe. Un serveur allumé requiert des considérations différentes de celles d'un poste de travail éteint. Un incident de cybersécurité potentiel pourrait impliquer des données volatiles qui deviendraient inaccessibles après un redémarrage.

La criminalistique méthodique commence donc par une évaluation technique de l'objet spécifique de l'enquête.

Valeurs de hachage : importantes pour les contrôles d’intégrité, mais ne constituent pas une preuve automatique.

En criminalistique numérique, les méthodes de hachage cryptographique sont fréquemment utilisées pour caractériser mathématiquement les ensembles de données et pour pouvoir contrôler les modifications.

En termes simplifiés, une valeur de hachage peut être considérée comme une valeur caractéristique générée par calcul d'un ensemble de données spécifique.

Si le même ensemble de données est traité à nouveau en utilisant la même méthode de hachage, une comparaison des valeurs de hachage peut aider à déterminer si les données sous-jacentes ont changé.

Les valeurs de hachage peuvent donc constituer un élément important de la garantie d'intégrité.

Cependant, il ne s'agit pas d'un sceau de preuve magique.

Par exemple, une valeur de hachage correspondante ne signifie pas automatiquement :

• que l'objet d'étude approprié a été sélectionné,
• que la collecte de données initiale était légalement autorisée,
• que toutes les informations pertinentes ont été enregistrées,
• qu'une évaluation logicielle a été correctement interprétée ou
• qu'une conclusion professionnelle qui en est tirée soit correcte.

Les algorithmes de hachage sont un outil au sein d'un processus d'enquête plus vaste.

Cette classification est particulièrement importante car l'expertise informatique professionnelle ne consiste pas en des mesures techniques isolées, mais plutôt en une chaîne traçable de sécurisation, d'analyse, d'évaluation et de documentation.

Chaîne de possession : Pourquoi une chaîne de preuves documentée peut être importante

Dans les enquêtes impliquant des données potentiellement probantes, la question n'est pas seulement de savoir ce qui a été techniquement constaté.

Il convient également d'examiner ce qui est arrivé à l'objet de l'enquête depuis son acquisition.

Dans ce contexte, on utilise souvent le terme « chaîne de possession » ou « chaîne de preuves documentée ».

Selon la tâche spécifique, les éléments suivants peuvent être documentés :

• qui a remis un objet d'enquête,
• lorsque la passation de pouvoir a eu lieu,
• comment l'objet a été marqué
• qui y avait accès,
• lorsqu'une sauvegarde a été créée,
• quelles méthodes de sécurité et d'analyse ont été utilisées,
• quelles copies de travail ont été créées et
• comment l'objet de l'enquête a été traité après la fin de celle-ci.

Ce type de documentation peut aider ultérieurement un tiers qualifié à comprendre comment les résultats d'une enquête numérique ont été obtenus.

Il s'agit précisément d'un principe de qualité clé pour LB Forensics :

Un résultat ne doit pas seulement être compréhensible ; son processus d'élaboration doit également rester traçable.

Criminalistique mobile : pourquoi les smartphones figurent parmi les objets d’investigation les plus difficiles à analyser

Les smartphones figurent parmi les appareils numériques les plus riches en informations aujourd'hui.

Selon l'appareil, le système d'exploitation, l'application, la configuration et la base de données disponible, il peut contenir, entre autres, des informations de communication, des données d'application, des contacts, des photos, des vidéos, des documents, des informations d'utilisation et d'autres éléments numériques.

Dans le même temps, les smartphones modernes figurent parmi les objets les plus complexes à examiner sur le plan technique en matière de criminalistique numérique.

Les raisons en sont les suivantes :

• cryptographie des dispositifs modernes,
• zones de stockage protégées,
• Enclave sécurisée et architectures de sécurité similaires,
• différentes versions de systèmes d'exploitation,
• mises à jour de sécurité régulières,
• Bases de données et structures de stockage spécifiques à l'application,
• Synchronisations cloud,
• différents états de l'appareil et
• évolutions technologiques rapides.

Par conséquent, la possibilité d'obtenir certaines données à partir d'un smartphone ne peut souvent être évaluée de manière fiable qu'après examen de l'appareil spécifique, de la version du système d'exploitation, de l'état de l'appareil et d'autres facteurs techniques.

Les promesses générales comme « Nous pouvons lire intégralement n'importe quel smartphone » ou « Nous restaurons tous les messages supprimés » ne correspondent pas à la conception de la qualité selon LB Forensik.

Les experts en criminalistique mobile professionnels doivent également prendre en compte leurs limitations techniques.

Les logiciels d'analyse forensique sont un outil, pas la vérité.

En fonction de la mission d'enquête spécifique, LB Forensik utilise diverses solutions d'analyse et de criminalistique professionnelles.

Selon le cas et la tâche technique, cela inclut ou peut inclure des systèmes et des outils provenant des domaines suivants :

• Cellebrite Premium
• UFED,
• Analyseur physique Cellebrite
• MOBILedit Forensic,
• MEFF 3PRO,
• X-Ways,
• Belkasoft X,
• Aimant AXIOM
• XRY
• Imageur FTK
• et d'autres outils d'analyse médico-légale spécialisés.

La technologie existante est pertinente. Cependant, la question de son utilisation est encore plus importante.

Différents programmes peuvent interpréter, structurer ou afficher un même jeu de données de manières différentes. Certains artefacts sont détectés automatiquement, d'autres nécessitent une vérification manuelle. En cas de résultats complexes ou contradictoires, une comparaison avec d'autres outils ou avec les données brutes sous-jacentes peut s'avérer nécessaire.

Par conséquent, LB Forensics fonctionne selon un principe simple :

Le résultat d'un logiciel est initialement un résultat technique. Il ne devient un élément de preuve fiable en matière d'enquêtes médico-légales qu'après examen et classification par des experts.

La question ne devrait donc pas être de savoir quel logiciel d'analyse forensique est supposément « le meilleur ».

Le facteur crucial est de savoir quel outil est adapté à la question spécifique et si les résultats obtenus sont interprétés de manière professionnelle.

Les rapports d'expertise générés automatiquement ne remplacent pas une évaluation professionnelle.

Les plateformes d'analyse forensique modernes peuvent générer des rapports complets en peu de temps.

Les données de communication sont triées. Les contacts sont liés. Les images sont catégorisées. Les chronologies sont créées automatiquement. Les données des applications sont traitées. Les éléments du système de fichiers sont affichés dans des interfaces graphiques.

C'est une aide précieuse pour l'évaluation pratique.

Les problèmes surviennent uniquement lorsqu'un rapport généré automatiquement est pris pour une évaluation d'expert professionnel.

Par exemple, un programme peut indiquer qu'un fichier spécifique était présent.

Cela ne répond pas automatiquement à la question :

• qui a créé ce fichier,
• comment elle a intégré le système,
• qu'elle ait été ouverte délibérément
• si son contenu était connu d'une personne en particulier,
• qu'un service de synchronisation ait été impliqué ou
• si le fichier a été généré par un processus automatisé.

Le logiciel fournit des données.

L'évaluation médico-légale doit prendre en compte les contextes techniques et les explications alternatives.

Les horodatages sont importants – mais peuvent tout de même être mal interprétés.

Dans les enquêtes numériques, l'information temporelle joue souvent un rôle central.

Quand le fichier a-t-il été créé ?

Quand cela a-t-il été modifié ?

Quand ce système a-t-il été utilisé ?

Quand la communication a-t-elle eu lieu ?

Quand un périphérique de stockage externe a-t-il été connecté ?

Ces questions paraissent simples. Techniquement, elles peuvent être beaucoup plus complexes.

Les systèmes numériques stockent différents types d'horodatages. Leur signification dépend notamment du système d'exploitation, du système de fichiers, du programme et du type de données.

De plus, les éléments suivants peuvent être pertinents, par exemple :

• Paramètres du fuseau horaire,
• été et hiver,
• des temps système différents,
• Opérations de copie de fichiers,
• Synchronisations,
• Sauvegardes,
• Heures du serveur,
• Services cloud et
• Formats de stockage spécifiques à l'application.

Par conséquent, un horodatage unique ne doit pas être automatiquement assimilé à une action humaine spécifique.

L'analyse forensique professionnelle tente de comparer les informations temporelles avec d'autres artefacts numériques et d'établir ainsi un contexte technique global.

La force de l'analyse forensique numérique réside dans la reconstruction des connexions.

Une seule découverte numérique n'est pas toujours décisive.

Une image fiable n'apparaît souvent que lorsque plusieurs indices techniques sont considérés ensemble.

Une éventuelle fuite de données pourrait, par exemple, laisser des indices dans divers domaines :

• Un fichier a été traité à un moment précis.
• Un support de stockage externe a été connecté au système.
• Les artefacts système documentent certaines activités.
• Les données de l'application fournissent des informations complémentaires.
• Les informations temporelles complémentaires correspondent à la séquence d'événements établie.

Ce n'est qu'en corrélant différentes sources de données qu'une reconstruction technique compréhensible peut être créée à partir d'informations isolées.

Une autre limite est cruciale ici :

Un ordinateur peut être en mesure de documenter l'activité de l'utilisateur.

Toutefois, l'attribution sans ambiguïté de cette activité à une personne physique spécifique peut constituer une question distincte.

C’est une autre raison pour laquelle une évaluation médico-légale doit clairement faire la distinction entre :

• techniquement déterminé,
• techniquement plausible,
• possible,
• non clairement déterminable
• et indétectable.

Données supprimées : ce que l’informatique légale peut réellement accomplir

La récupération de données est l'un des sujets les plus connus en informatique et en criminalistique mobile.

Parallèlement, de nombreuses attentes irréalistes existent dans ce domaine.

Un fichier supprimé n'est pas nécessairement dans un état permanent à partir duquel il peut être entièrement reconstruit.

La possibilité d'un redressement dépend de nombreux facteurs techniques.

Cela peut inclure, entre autres :

• Type de support de stockage,
• système de fichiers,
• Système opérateur,
• Modèle de l'appareil,
• Gestion de la mémoire,
• Cryptage,
• Processus TRIM ou de collecte des déchets,
• utilisation provisoire du dispositif,
• Écrasement des zones de données précédentes,
• Stockage de données spécifique à l'application,
• Sauvegardes et
• Synchronisation dans le cloud.

Il existe donc trois situations fondamentalement différentes :

Premièrement : les données supprimées peuvent encore être récupérées totalement ou partiellement.

Deuxièmement, le contenu lui-même n'est plus disponible, mais d'autres artefacts numériques fournissent encore des indices sur des événements antérieurs.

Troisièmement : il n’existe plus aucun moyen techniquement fiable de reconstituer les informations recherchées.

La troisième option peut également représenter un résultat d'examen techniquement correct.

Les services d'analyse forensique numérique réputés font donc la distinction entre possibilité technique et promesses publicitaires.

Les experts médico-légaux professionnels doivent également pouvoir affirmer : « Cela ne peut être prouvé. »

Les clients commandent une enquête médico-légale parce qu'ils ont besoin de clarté.

Toutefois, cette clarté ne doit pas être obtenue en ignorant les incertitudes.

Les données numériques ne fournissent pas toujours une réponse claire.

Il arrive que des informations manquent.

Il existe parfois plusieurs explications techniquement plausibles.

Parfois, un artefact est présent, mais il ne peut être attribué à aucune personne en particulier.

Parfois, une hypothèse ne peut être ni confirmée ni infirmée.

Dans de tels cas, il est de la responsabilité professionnelle de documenter précisément cela.

Un expert médico-légal professionnel doit non seulement être capable d'expliquer ce qui peut être prouvé, mais aussi d'identifier clairement ce qui ne peut être prouvé à partir des données disponibles.

Cette réticence n'est pas une faiblesse.

C'est une condition préalable pour garantir que les résultats techniques restent distincts des hypothèses.

L'intelligence artificielle transforme simultanément la criminalistique numérique de deux manières.

L'intelligence artificielle va transformer en profondeur l'informatique légale.

D’une part, les méthodes s’appuyant sur l’IA peuvent aider les professionnels à structurer de grands ensembles de données, à classer des documents, à reconnaître des liens ou à identifier plus rapidement les informations potentiellement pertinentes.

Dans le cadre d'enquêtes portant sur des millions de fichiers ou d'importantes archives de communication, de telles méthodes pourraient présenter des avantages pratiques considérables à l'avenir.

Dans le même temps, l'IA modifie également le contenu numérique qui doit être examiné.

Les images peuvent être générées artificiellement.

Les voix peuvent être synthétisées.

Les vidéos peuvent être manipulées.

Les documents peuvent être créés ou modifiés automatiquement.

La communication peut être générée par des systèmes d'IA.

Cela renforce d'autant plus l'importance des questions relatives à l'origine, à l'intégrité, au contexte et à la création technique de l'information numérique.

Les résultats de l'IA ne doivent pas être acceptés comme des faits avérés sans vérification.

Un système d'IA peut signaler les anomalies.

Il peut hiérarchiser le contenu.

Il peut reconnaître des schémas.

Il peut être utile pour certaines tâches d'analyse.

Toutefois, une évaluation algorithmique ne constitue pas automatiquement une constatation de fait médico-légale.

En particulier dans les cas où les preuves sont potentiellement pertinentes, les résultats cruciaux doivent être vérifiés et évalués par des professionnels à l'aide de données initiales appropriées.

Pour LB Forensics, une limite est donc essentielle :

L'intelligence artificielle peut appuyer le travail d'un expert médico-légal. Elle ne doit en aucun cas se substituer à la responsabilité d'une évaluation professionnelle.

Pourquoi la gestion de la qualité est particulièrement pertinente en informatique légale

L'analyse forensique numérique ne se résume pas à une seule étape.

Du premier contact à la documentation finale, de nombreux processus s'entremêlent.

Ceux-ci incluent, entre autres :

• Clarifier la mission,
• Définition de la question de recherche,
• Examen de la portée de l'enquête,
• Acquisition et étiquetage des objets faisant l'objet de l'étude,
• Sélection des méthodes de sécurité appropriées,
• sauvegarde de données forensiques,
• Analyse,
• Évaluation,
• Documentation,
• Contrôle de qualité,
• Protection des informations confidentielles
• et l'achèvement du processus.

LB Detektive GmbH applique un système de gestion de la qualité structuré. Selon l'entreprise, la certification de ce système couvre les domaines suivants : enquêtes, informatique légale, contre-surveillance et expertise judiciaire.

Il est important d'établir une distinction techniquement correcte :

La certification d'un système de gestion de la qualité selon la norme DIN EN ISO 9001 ne signifie pas que chaque résultat de test est automatiquement correct.

Cela ne garantit pas un résultat spécifique d'une enquête médico-légale.

Un tel système porte plutôt sur les structures et processus organisationnels, les responsabilités définies, les procédures documentées, la gestion des écarts et le développement continu du management de la qualité.

C’est précisément ce niveau organisationnel qui est pertinent pour la criminalistique numérique.

Les enquêtes sensibles ne devraient pas dépendre du fait qu'une seule personne se souvienne d'une étape particulière du processus.

Les responsabilités et les processus doivent être organisés de manière reproductible.

L'organisation à elle seule ne remplace pas l'expertise.

Une gestion de qualité ne peut remplacer l'expertise professionnelle.

Il convient donc de distinguer deux niveaux :

la qualité de l'organisation et les qualifications des personnes professionnellement responsables.

Le directeur général, Sven Lungershausen, possède des qualifications en informatique légale et en systèmes mobiles, entre autres, et est certifié expert selon la norme DIN EN ISO/IEC 17024 par LB Detektive GmbH.

La norme ISO/IEC 17024 concerne les exigences applicables aux organismes qui certifient les personnes sur la base de programmes de certification définis.

Une telle certification personnelle doit donc être distinguée d'une certification de système de management selon la norme ISO 9001.

Simplifié:

• La norme ISO 9001 concerne la gestion de la qualité d'une organisation.
• Une certification personnelle selon la norme ISO/IEC 17024 constitue une preuve réglementée de compétence au sein du programme de certification respectif.

L'un ne remplace pas l'autre.

Un expert qualifié a besoin de structures organisationnelles fiables.

Une entreprise bien organisée a besoin de personnes capables d'évaluer professionnellement les résultats techniques.

Un rapport d'expertise doit être compréhensible même pour les personnes non spécialistes.

Les enquêtes numériques ne sont généralement pas menées exclusivement par des spécialistes en informatique.

Les destinataires visés pourraient être, par exemple :

• Gestion,
• Avocats d'entreprise,
• avocats externes,
• Responsables de la conformité,
• Délégué à la protection des données,
• départements des ressources humaines,
• assurance,
• autorités ou
• Particuliers.

Un bon rapport d'enquête doit donc remplir simultanément deux conditions.

Il doit être techniquement précis.

Et il doit expliquer clairement la signification des résultats techniques.

Un client devrait pouvoir voir dans un rapport :

• quelle question a fait l'objet d'une enquête
• quels objets d'investigation étaient disponibles,
• quelles méthodes ont été utilisées,
• quelles conclusions ont été tirées,
• quelles étaient les limitations techniques existantes ?
• Quelles conclusions peut-on en tirer ?
• et où se situent les limites de sa validité.

La complexité peut s'expliquer.

Il ne faut pas le dissimuler derrière un maximum de termes techniques.

L'analyse forensique numérique exige une manipulation contrôlée des données sensibles.

Un appareil examiné par un expert médico-légal contient souvent beaucoup plus d'informations que celles pertinentes pour l'enquête.

Par exemple, les éléments suivants peuvent se trouver sur un ordinateur ou un smartphone :

• communication d'entreprise,
• messages privés,
• Données client,
• Informations personnelles,
• secrets commerciaux,
• Documents,
• Informations d'accès
• et d'autres données confidentielles.

La possibilité technique d'accéder à l'information ne signifie donc pas automatiquement que toute information techniquement accessible doive être intégrée à une enquête.

Le champ d'application de l'enquête doit être déterminé en fonction de la tâche spécifique et du cadre juridique applicable.

Notamment dans le cadre d'enquêtes internes à l'entreprise, les questions relatives au droit de la protection des données, au droit du travail et, le cas échéant, au droit constitutionnel de l'entreprise peuvent être pertinentes.

LB Forensics ne remplace pas les conseils juridiques personnalisés. Dans les affaires juridiquement complexes, il peut être nécessaire de consulter les conseillers juridiques du client avant ou pendant une enquête technique.

Quand l'informatique légale ne suffit pas : Lien avec la contre-surveillance et les enquêtes

Les incidents de sécurité complexes ne peuvent pas toujours être clairement attribués à un seul domaine d'expertise.

Une fuite d'informations suspectée pourrait initialement fournir des indices sur un ordinateur, par exemple.

Après cela, un smartphone peut devenir pertinent.

La prochaine étape pourrait consister à vérifier si des informations confidentielles ont été consultées en dehors des systèmes informatiques.

Cela peut signifier que différentes disciplines d'enquête sont nécessaires pour une seule affaire.

Au sein du groupe LB, différents départements peuvent donc collaborer – en fonction de la situation spécifique :

• LB Médico-légal pour l'analyse forensique informatique, informatique légale et la criminalistique mobile,
• Défense contre l'écoute clandestine du LB pour la contre-surveillance technique et les enquêtes sur une éventuelle surveillance technique,
• Agence de détectives LB pour les enquêtes commerciales et privées classiques ainsi que pour les mesures d'enquête factuelles.

Le groupe LB est une marque de LB Detektive GmbH . Les différents départements ne deviennent pas des entreprises distinctes, mais constituent plutôt des domaines de services spécialisés au sein de l'organisation LB Detektive GmbH.

Pour les clients, cette approche peut s'avérer particulièrement utile lorsqu'une affaire combine des problématiques numériques, techniques et d'enquête traditionnelles.

Comment les clients peuvent reconnaître les experts en informatique légale professionnels

Lorsqu'on choisit un prestataire de services d'investigation numérique, il ne faut pas se laisser impressionner uniquement par les logos des logiciels, les superlatifs techniques ou les promesses de données soi-disant entièrement récupérables.

Les questions précises sont plus informatives.

1. Qui porte la responsabilité professionnelle ?

Il convient de préciser qui est responsable de l'enquête et de l'évaluation, et quelles sont les qualifications professionnelles de cette personne.

2. Comment acquiert-on les objets d'étude ?

Un prestataire professionnel devrait être en mesure d'expliquer comment les appareils numériques et les supports de données sont documentés, sécurisés et manipulés.

3. Comment l'intégrité des données est-elle contrôlée ?

Selon la méthode de sauvegarde, des mesures appropriées doivent être mises en place pour détecter les modifications et assurer la traçabilité du traitement des données originales et des données de travail.

4. Toutes les versions logicielles sont-elles adoptées sans être vérifiées ?

L'analyse forensique professionnelle exige une évaluation professionnelle des résultats générés automatiquement.

5. Les limitations techniques sont-elles explicitement mentionnées ?

Personne ne peut sérieusement garantir que toutes les données supprimées peuvent être récupérées ni que chaque smartphone peut être analysé intégralement.

6. L'enquête est-elle axée sur une question précise ?

Une enquête ciblée est différente d'une recherche sans restriction de toutes les données disponibles.

7. Le processus d'enquête est-il documenté ?

Le client devrait être en mesure, par la suite, de comprendre comment une conclusion technique a été tirée de l'objet de l'enquête.

8. Le fournisseur peut-il exprimer une incertitude ?

Transformer chaque information technique en une déclaration définitive ne signifie pas automatiquement travailler avec une précision particulière.

Souvent, c'est le contraire qui est vrai.

L'avenir de l'informatique légale ne se mesure pas au nombre de programmes.

Les systèmes médico-légaux deviennent de plus en plus performants.

Parallèlement, la sécurité des smartphones est renforcée.

Le chiffrement continue d'évoluer.

Les infrastructures cloud deviennent de plus en plus complexes.

L'intelligence artificielle sera capable d'analyser plus rapidement de plus grandes quantités de données, tout en créant de nouvelles possibilités de manipulation.

Les entreprises génèrent de plus en plus d'informations numériques.

Cela modifie également le rôle du scientifique légiste.

Sa valeur résidera de moins en moins dans la simple lecture de données provenant d'un appareil.

La tâche cruciale consistera à identifier, au sein d'ensembles de données complexes, les informations techniquement pertinentes pour une question spécifique, à les vérifier de manière compréhensible et à en limiter correctement la portée.

La technologie crée des opportunités d'accès.

La méthodologie assure la traçabilité.

L'expertise engendre l'évaluation.

La documentation permet la vérifiabilité.

La compréhension de la qualité par LB Forensics

LB Forensik ne définit donc pas l'expertise numérique professionnelle par un seul outil ni par des déclarations aussi spectaculaires que possible.

De notre point de vue, plusieurs niveaux interconnectés sont cruciaux :

• une question de recherche clairement définie,
• une stratégie de sécurité médico-légale appropriée,
• la manipulation contrôlée des objets de recherche,
• outils médico-légaux professionnels,
• une analyse professionnelle plutôt qu'un résultat logiciel non testé,
• une documentation compréhensible,
• la protection des données sensibles,
• une séparation claire entre la découverte et l'interprétation,
• limitations techniques communiquées ouvertement,
• responsabilité professionnelle qualifiée
• et des processus organisationnels structurés.

LB Forensics fait partie du groupe LB. Le groupe LB est une marque de LB Detectives GmbH, dont le siège social est situé à Esslingen am Neckar.

Sous cette égide organisationnelle, sont rassemblées des expertises spécialisées en matière de criminalistique numérique, de criminalistique mobile, d'évaluations d'experts, de travail d'enquête et de contre-surveillance technique.

Cela permet aux enquêtes complexes de se concentrer sur la question de recherche plutôt que de se limiter à un seul outil ou domaine d'expertise.

Une preuve numérique doit pouvoir expliquer comment elle a été créée.

À l'issue d'une enquête numérique, une question apparemment simple se pose souvent :

Qu'a-t-on trouvé ?

Cependant, cette question n'est pas suffisante pour l'expertise informatique légale professionnelle.

Il est tout aussi important de savoir :

Comment cette découverte a-t-elle été faite ?

Quel objet d'enquête était présent ?

Comment les données ont-elles été sauvegardées ?

Quels outils ont été utilisés ?

Quels éléments techniques ont été évalués ?

Quelles autres explications ont été envisagées ?

Quelles sont les limites de cette affirmation ?

Un tiers qualifié peut-il comprendre le processus d'enquête ?

Ce n'est que lorsque de telles questions peuvent être répondues de manière compréhensible qu'une extraction de données aboutit à une enquête médico-légale fiable.

L'avenir de la criminalistique numérique n'appartient donc pas automatiquement à l'entreprise qui extrait le plus de données ou qui possède la plus longue liste de logiciels d'analyse.

Elle appartient à ceux qui peuvent expliquer d'où vient une découverte, comment elle a été vérifiée et quel constat elle dresse.

Parce que les données numériques peuvent être copiées en quelques secondes.

La qualité médico-légale ne peut être atteinte que par des processus contrôlés, des compétences techniques, une méthodologie compréhensible et une évaluation professionnelle responsable.

Questions fréquentes sur l'informatique légale, les preuves numériques et l'analyse des prêts

Qu'est-ce que la criminalistique numérique ?

L'informatique légale consiste à sécuriser, examiner, analyser et évaluer méthodiquement les informations numériques. Les objets d'investigation peuvent inclure les ordinateurs, les smartphones, les tablettes, les supports de stockage, les serveurs et autres systèmes numériques. L'objectif n'est pas seulement d'obtenir le maximum de données, mais de mener une enquête reproductible sur une question précise.

Quelle est la différence entre l'informatique légale et l'informatique légale mobile ?

L'informatique forensique est un terme générique désignant l'investigation des systèmes et des données numériques. L'informatique forensique mobile se concentre spécifiquement sur les smartphones, les tablettes et les systèmes d'exploitation mobiles. En raison du chiffrement des appareils, de la structure des applications et de la diversité des mécanismes de sécurité, l'informatique forensique mobile requiert des méthodes et des outils spécialisés.

Les données supprimées peuvent-elles toujours être récupérées ?

Non. La possibilité de récupérer des données supprimées, partiellement ou totalement, dépend de facteurs tels que l'appareil, le support de stockage, le système d'exploitation, le système de fichiers, le chiffrement et toute utilisation antérieure. Par conséquent, une réponse fiable n'est souvent possible qu'après un examen technique.

Est-il possible de récupérer les messages WhatsApp ou Messenger supprimés ?

Cela peut être possible dans certains cas, mais ne peut être garanti systématiquement. Le smartphone, le système d'exploitation, la version de l'application, les données locales existantes, les sauvegardes, la synchronisation, le chiffrement et d'autres facteurs techniques sont essentiels.

Que signifie la sauvegarde de données à des fins d'analyse forensique ?

La préservation des données à des fins d'enquête consiste à utiliser des méthodes appropriées pour sécuriser les informations numériques pertinentes, de manière à ce que les données originales restent aussi bien protégées que possible et que les étapes d'enquête ultérieures puissent être documentées de façon traçable. La méthode spécifique dépend de l'objet de l'enquête.

Quelle est l'importance des valeurs de hachage en criminalistique informatique ?

Les valeurs de hachage peuvent servir à vérifier l'intégrité des données numériques. Elles permettent de contrôler si un ensemble de données a subi des modifications entre deux moments précis. Toutefois, elles ne sauraient remplacer la conservation adéquate des preuves ni l'évaluation professionnelle d'une enquête.

Que signifie « chaîne de traçabilité » ?

En contexte médico-légal, la chaîne de possession désigne la documentation traçable relative à la manipulation d'un objet d'enquête ou d'une pièce à conviction. Cela peut inclure la remise, l'accès, la mise en sécurité, le traitement et toutes autres étapes pertinentes.

Quels logiciels utilise LB Forensics ?

Selon l'appareil, le type de données et la question posée, différents systèmes spécialisés peuvent être utilisés. Les pages de services de LB Forensics mentionnent notamment Cellebrite Premium, UFED, Physical Analyzer, MOBILedit Forensic, MEFF 3PRO, X-Ways, Belkasoft X, Magnet AXIOM, XRY et d'autres outils d'analyse forensique. Le choix de la solution appropriée dépend des exigences techniques de chaque cas.

Les résultats des logiciels d'analyse forensique sont-ils déjà considérés comme des preuves ?

Pas automatiquement. Les logiciels peuvent extraire et afficher des artefacts numériques. Cependant, leur signification doit faire l'objet d'une évaluation technique. Parmi les facteurs essentiels figurent l'origine de l'artefact, sa fiabilité, les explications alternatives et la validité des conclusions qui en découlent.

L'intelligence artificielle peut-elle remplacer un expert en informatique légale ?

L'IA peut faciliter la structuration et l'analyse de grands ensembles de données. Cependant, dans les cas où des éléments de preuve sont susceptibles d'être retenus, les résultats doivent être examinés et évalués par des professionnels dans leur contexte technique. La responsabilité des conclusions médico-légales ne doit pas être confiée à un système automatisé sans vérification préalable.

Quel est le lien entre la contre-surveillance et l'informatique légale ?

Dans les cas complexes de fuites d'informations, les systèmes numériques, tout comme les locaux physiques, les smartphones, les appareils de communication et autres composants techniques, peuvent être concernés. Dans de tels cas, l'informatique légale et la contre-surveillance technique permettent d'examiner différents aspects d'un même problème de sécurité.

Qu'est-ce que le groupe LB ?

Le groupe LB est une marque de LB Detektive GmbH. Il regroupe des services spécialisés tels que LB Forensics, LB Private Investigation et LB Counter-Eavesdropping. La structure contractuelle et organisationnelle est assurée par LB Detektive GmbH.

Qu'est-ce que LB Forensics ?

LB Forensics est la division spécialisée du groupe LB en matière de criminalistique numérique, informatique et mobile. Le groupe LB est une marque de LB Detektive GmbH, dont le siège social est situé à Esslingen am Neckar.

Qui porte la responsabilité professionnelle ?

Sven Lungershausen est l'un des directeurs généraux de LB Detektive GmbH. L'entreprise le présente comme expert certifié en criminalistique informatique et systèmes mobiles, ainsi que comme expert certifié selon la norme DIN EN ISO/IEC 17024.

La certification ISO 9001 prouve-t-elle que chaque avis d'expert est correct ?

Non. La certification selon la norme DIN EN ISO 9001 concerne un système de management de la qualité et ne doit pas être confondue avec une garantie de l'exactitude d'une constatation technique ou d'un avis d'expert isolé. Pour la qualité professionnelle d'un processus donné, la qualification, la méthodologie, l'investigation, l'évaluation et la documentation sont également essentielles.

Pour qui travaille LB Forensics ?

Les enquêtes numériques peuvent concerner les entreprises, les cabinets d'avocats, les organisations, les agences gouvernementales (dans le cadre de leurs mandats) et les particuliers. Le type d'enquête approprié et réalisable doit être déterminé en fonction des circonstances spécifiques de chaque cas.

Les anomalies numériques doivent être évaluées par des professionnels le plus tôt possible.

En cas de fuite de données potentielle, d'activité suspecte sur un ordinateur ou un smartphone, d'informations supprimées, d'incident cybernétique ou d'autres anomalies numériques, même la poursuite de l'utilisation du système affecté peut avoir un impact sur les traces numériques existantes.

Par conséquent, avant d'effectuer toute modification indépendante, toute nouvelle installation, toute réinitialisation ou tout accès étendu, il peut être utile de clarifier au préalable quelles mesures de sécurité sont adaptées au système spécifique.

LB Forensics – services de criminalistique numérique au sein du groupe LB, une marque de LB Detectives GmbH.

L'accent est mis sur la sauvegarde vérifiable des données, l'analyse technique, l'évaluation par des experts et la documentation compréhensible des questions numériques.