Expertise technico-légale d'ordinateurs individuels

Un article de Wikipédia, l'encyclopédie libre.

Les PCs, PDA (assistants personnels), téléphones mobiles et appareils photos numériques, sont des média qui contiennent de nombreuses informations produites ou (et) échangées avec des tiers, qu'un expert peut constater.

L’expert peut faire une recherche technico-légale sur le média informatique (on parle aussi de recherche informatico-légale ou d'informatique légiste). Il va alors par recoupements avec des éléments externes, produire des indices, des faisceaux d'indices, voire des preuves. Les indices peuvent alors être utilisés tant à charge qu’à décharge des personnes incriminées.

[modifier] Indices possibles

De nombreuses informations présentes sur ces médias peuvent devenir des indices :

Des images
Des documents bureautiques (lettres, documents, feuilles de calcul …)
Les adresses email
Les courriers électroniques ou SMS envoyés et reçus (si cela a été explicitement autorisé par le Magistrat)
Les sites Internet visités
Des mots de passe mémorisés
Les cookies (informations personnelles d’accès à un site Internet donné)
Les logiciels installés
Les dates d’activité du PC (dates de création et de dernière modification d’un fichier …)
Les numéros appelés ou reçus.

Les informations présentes sur un ordinateur et utilisables dans une analyse technico-légale, peuvent être visibles, mais aussi être délibérement cachées ou détruites (certaines pouvant être restaurées).

[modifier] L'exploitation des traces

L’identité de l’auteur de ces indices, est parfois difficile à établir. Il est nécessaire d’effectuer des recoupements, si possible avec des indices externes au média analysé. En effet, les indices découverts sur un PC peuvent avoir été produits par un tiers qui aurait alors pris son contrôle à l’insu de son propriétaire (Par exemple par un accès à distance via Internet). On dit alors que le PC a été compromis. Il est assez difficile de prouver qu’un ordinateur n’a pas été compromis, car un intrus avisé peut avoir effacé les traces de son intrusion. La nécessité du recoupement des indices est un nouveau défi technologique car il faut établir les liens reliant l'indice aux différents médias utilisés.

Les informations mémorisées peuvent être incompréhensibles car cryptées (disque dur des ordinateurs portables, fichiers encryptés proposés par les nouvelles versions de Windows (XP Professionnel). Le décryptage peut nécessiter la collaboration du fournisseur du système de cryptage utilisé voire dans des cas extrêmes s’avérer impossible.