Chaîne de conservation des données numériques

Qu’est-ce qu’une chaîne de conservation ?

Dans le domaine numérique, la chaîne de conservation — souvent rapprochée du terme anglais chain of custody — correspond à la documentation continue de la possession et du traitement d’un élément depuis son identification jusqu’à sa restitution, son archivage ou sa destruction selon le cadre applicable.

Le SWGDE recommande que les transferts mentionnent au minimum l’identification de l’élément, les personnes qui le remettent et le reçoivent, la date et l’heure ainsi que le motif du transfert. Cette traçabilité complète les mesures techniques de préservation.

1. Identifier l’élément sans ambiguïté

Un support ou un fichier ne doit pas être décrit seulement comme « disque dur » ou « téléphone ». L’identification peut comprendre la marque, le modèle, le numéro de série, un numéro d’inventaire, une référence de scellé, la localisation de découverte et l’identifiant de dossier.

Pour une acquisition, il faut également distinguer le support original, l’image ou l’export de référence et les éventuelles copies de travail.

2. Documenter l’état initial

La documentation de départ peut inclure des photographies, l’état d’alimentation, les connexions, les éventuels dommages, l’état des scellés, la date et l’heure, ainsi que les personnes présentes. Pour un système actif, les informations observées avant manipulation sont particulièrement importantes.

3. Tracer les transferts

Chaque changement de possession ou de lieu de stockage doit pouvoir être reconstitué. Un enregistrement utile indique qui remet l’élément, qui le reçoit, quand, dans quel état et pour quel motif. Lorsque plusieurs supports sont remis ensemble, chacun doit rester identifiable individuellement.

4. Documenter l’acquisition

Les bonnes pratiques du SWGDE prévoient notamment de documenter le type d’acquisition, l’outil et sa version, la date et l’heure avec le fuseau lorsqu’il est pertinent, les erreurs rencontrées, les valeurs de hachage et les informations nécessaires à l’identification du support.

Une acquisition réalisée sur un système actif est susceptible de modifier certaines données. L’objectif n’est pas de prétendre qu’aucune modification n’a eu lieu, mais de réduire les changements et de documenter les opérations réalisées.

5. Utiliser les empreintes numériques à bon escient

Les empreintes cryptographiques permettent de contrôler qu’un ensemble de données conservé est identique à un état de référence. Le NIST recommande de vérifier l’intégrité après acquisition et d’effectuer les analyses sur une copie de l’élément de référence lorsque cela est possible.

L’empreinte numérique (hash) ne remplace cependant pas la chaîne de conservation. Deux fichiers peuvent posséder la même empreinte et avoir été conservés dans un processus mal documenté ; inversement, certaines opérations légitimes produisent de nouveaux fichiers qui nécessitent leurs propres identifiants et empreintes.

6. Séparer référence et copie de travail

Après une acquisition vérifiée, une copie de travail peut être utilisée pour l’examen. Cette organisation limite les interactions avec les données de référence et permet, si nécessaire, de recréer une nouvelle copie de travail à partir d’un ensemble dont l’intégrité a été contrôlée.

7. Stocker de manière adaptée

La conservation doit prendre en compte l’accès physique et logique, les droits utilisateurs, la protection contre les modifications non autorisées, les sauvegardes nécessaires, le chiffrement lorsque cela est approprié et les règles de durée de conservation applicables à la mission.

La sécurité du stockage fait partie de la chaîne : un fichier parfaitement acquis mais laissé sur un espace accessible sans contrôle perd une partie de la confiance que la documentation cherche à établir.

8. Conserver les journaux et la documentation

Les journaux techniques d’acquisition, rapports d’outils, captures d’écran utiles, notes prises au moment des opérations, inventaires et documents de transfert doivent être conservés avec la mission. Ils permettent de comprendre ce qui a été fait même si l’examen est relu longtemps après les opérations.

Erreurs fréquentes

• utiliser un même identifiant pour plusieurs supports différents ;
• oublier de noter un transfert intermédiaire ;
• calculer une empreinte numérique (hash) sans préciser sur quel fichier ou conteneur elle porte ;
• analyser directement l’original alors qu’une copie de travail était possible ;
• ne pas conserver les journaux techniques produits par les outils ;
• confondre intégrité technique et interprétation de la preuve.

Références techniques

SWGDE — Best Practices for Digital Evidence Collection 

SWGDE — Best Practices for Computer Forensic Acquisitions 

NIST SP 800-86 — Guide to Integrating Forensic Techniques into Incident Response