Préservation et acquisition d’un smartphone
Les premières manipulations peuvent modifier l’état d’un terminal. Cette ressource présente les principes à connaître avant une acquisition ou une expertise numérique, sans proposer de procédure universelle applicable à tous les appareils.
Pourquoi l’état du smartphone est déterminant
Un smartphone est un système dynamique : il reçoit des messages, synchronise des données, met à jour des journaux, gère des caches et peut être soumis à des mécanismes de chiffrement ou de verrouillage. L’état dans lequel il est découvert peut donc conditionner les possibilités d’accès et la quantité de données récupérables.
Le NIST et le SWGDE insistent tous deux sur la préservation, la documentation de l’état initial et la limitation des interactions inutiles. Il n’existe aucune mesure unique valable pour tous les modèles : éteindre, redémarrer, déverrouiller, modifier une connexion réseau ou lancer une mise à jour peuvent avoir des conséquences différentes selon l’appareil.
Première règle : éviter les manipulations improvisées
Lorsqu’un terminal est susceptible de contenir des éléments utiles à une procédure, une enquête interne ou un litige, il est préférable de ne pas multiplier les essais. Il convient notamment d’éviter les réinitialisations, mises à jour, suppressions d’applications, synchronisations volontaires ou tentatives répétées de code. Un redémarrage peut également modifier les conditions d’accès à certaines données chiffrées.
Documenter l’état initial
Une documentation utile peut comprendre le modèle apparent, l’état d’alimentation, le verrouillage, l’écran visible, la date et l’heure affichées, les connexions observables, les accessoires présents et les éventuels dommages. Les photographies de l’appareil et de son environnement peuvent compléter les notes.
Lorsque des interactions sont nécessaires, elles doivent pouvoir être retracées. Cette documentation permet ensuite de distinguer les données préexistantes des modifications susceptibles d’avoir été générées par les opérations d’acquisition.
Acquisition : plusieurs niveaux possibles
Selon le terminal et les moyens disponibles, l’acquisition peut porter sur des données accessibles par les interfaces normales du système, sur une sauvegarde, sur le système de fichiers ou sur des zones plus étendues de la mémoire. Ces approches n’offrent pas toutes le même niveau d’accès et ne restituent pas nécessairement les mêmes catégories de données.
Une extraction dite « logique » peut par exemple fournir des informations utiles sans donner accès à l’ensemble des artefacts présents dans le système. À l’inverse, certaines méthodes plus approfondies nécessitent des outils ou compétences spécifiques et peuvent ne pas être disponibles pour un modèle ou une version donnée. C’est pourquoi une expertise sérieuse doit décrire la méthode effectivement utilisée et ses limites, plutôt que promettre une récupération exhaustive.
Préserver l’intégrité des données acquises
L’acquisition n’est qu’une étape. Les données extraites doivent ensuite être conservées de manière structurée, avec les journaux d’opération, les informations relatives à l’outil et à sa version, les dates et heures utiles, ainsi que les éventuelles empreintes numériques des fichiers ou conteneurs produits. Les analyses sont idéalement menées sur des copies de travail afin de préserver les données de référence.
Smartphone verrouillé ou chiffré
Le verrouillage et le chiffrement peuvent limiter fortement les possibilités d’acquisition. Les capacités varient selon le fabricant, la version du système, le niveau de sécurité configuré et l’état du terminal. Il est donc préférable de présenter les possibilités comme une évaluation technique au cas par cas. L’absence d’accès à une catégorie de données doit être signalée comme une limite, et non interprétée comme la preuve de l’absence de ces données.
Ce qu’il est utile de préparer avant de confier un terminal
- le contexte de la demande et les catégories de données recherchées ;
- la période concernée ;
- l’état actuel du terminal et les manipulations déjà effectuées ;
- les accessoires ou supports amovibles associés lorsqu’ils sont pertinents ;
- le cadre juridique ou contractuel autorisant l’examen des données.
Références techniques
NIST SP 800-101 Rev. 1 — Guidelines on Mobile Device Forensics
SWGDE 18-F-003-2.0 — Mobile Device Evidence Collection, Preservation, Handling and Acquisition
Questions fréquentes
Faut-il éteindre immédiatement un smartphone ?
Pas systématiquement. Selon l’état du terminal, l’arrêt ou le redémarrage peut modifier les conditions d’accès aux données. Une consigne adaptée au modèle et au contexte est préférable.
Une sauvegarde classique équivaut-elle à une acquisition forensique ?
Non. Une sauvegarde peut être utile, mais son périmètre dépend du système et des réglages. Une acquisition forensique vise en plus à documenter la méthode, la provenance des données et les limites de l’extraction.
Peut-on garantir la récupération des données supprimées ?
Non. Les mécanismes de stockage, le chiffrement, l’écrasement et les fonctions de maintenance du système peuvent rendre certaines données irrécupérables.
Pourquoi documenter la version des outils utilisés ?
Parce que les résultats peuvent dépendre de la compatibilité entre l’outil, le modèle et la version du système. Cette information participe à la traçabilité de l’examen.
Pour aller plus loin
Ressources et expertises directement liées à ce sujet.