La chaîne de possession pour la preuve numérique (photos, téléphones, exportations)

Pourquoi la preuve numérique a besoin de ses propres règles

Les principes fondamentaux de la chaîne de possession — consigner ce que c'est, d'où ça vient, qui l'a manipulé et quand — s'appliquent à la preuve numérique exactement comme à la preuve matérielle. Mais la preuve numérique ajoute trois problèmes que la preuve matérielle n'a pas :

1. Elle est altérable de façon invisible. Ouvrir un fichier peut le modifier. Une modification ne laisse aucune trace physique. Une capture d'écran se falsifie trivialement.
2. Elle se copie facilement, ce qui est une bonne chose (vous pouvez préserver un original et travailler sur une copie), mais qui exige aussi une clarté absolue sur lequel est l'original authentique.
3. Elle porte des données cachées — les métadonnées — qui peuvent constituer une preuve en soi, et qu'une manipulation négligente peut détruire.

La chaîne numérique a donc besoin d'un outil supplémentaire dont la preuve matérielle n'a pas besoin : un moyen de prouver qu'un fichier n'a pas changé. Cet outil, c'est le hachage.

Le hachage : le sceau numérique

Un hachage est une empreinte mathématique d'un fichier. Vous passez le fichier dans un algorithme de hachage (SHA-256 est parmi les plus courants) et vous obtenez une chaîne de caractères de longueur fixe, unique à ce fichier exact. Changez un seul octet — un seul pixel, un seul caractère, la plus infime modification — et le hachage ressort complètement différent.

C'est cette propriété qui fait du hachage l'équivalent numérique du scellage et de la signature d'un sac de preuve. La procédure :

1. Dès que vous acquérez un élément numérique, calculez son hachage et consignez-le dans votre registre de possession, avec les détails du fichier.
2. À partir de là, ce hachage consigné est votre référence. Chaque fois que l'intégrité est mise en doute — y compris des mois plus tard, en audience — vous recalculez le hachage du fichier et vous comparez.
3. Si le hachage concorde, le fichier est prouvablement identique à celui que vous avez acquis. S'il diffère, le fichier a changé, et vous le saurez.

Consignez l'algorithme utilisé et la valeur exacte du hachage. Un hachage sans trace du moment où il a été calculé ne prouve rien; un hachage consigné à l'acquisition prouve tout.

Préservez l'original, travaillez sur une copie — toujours

Ne travaillez jamais sur la seule copie d'une preuve numérique, et ne travaillez jamais sur l'original authentique si vous pouvez l'éviter. Le schéma sûr :

• Acquérez l'élément et faites-en immédiatement une copie de préservation.
• Hachez les deux, confirmez qu'ils concordent, et mettez l'original sous clé dans un stockage à accès contrôlé.
• Faites tout votre examen, vos annotations et votre analyse sur une copie de travail.

Ainsi, quoi qu'il arrive pendant votre analyse, il existe toujours un original intact, vérifié par hachage, sur lequel vous rabattre. Si quelqu'un allègue que vous avez altéré la preuve, vous produisez l'original, vous recalculez son hachage, vous montrez qu'il concorde avec la valeur consignée à l'acquisition, et l'allégation s'effondre.

Traitez les métadonnées comme la preuve qu'elles sont

Les fichiers numériques portent des métadonnées — des données sur les données — et c'en est souvent la partie la plus précieuse. Les données EXIF d'une photo peuvent contenir la date, l'heure, l'appareil et parfois la position GPS de la prise de vue. Un document contient ses dates de création et de modification et parfois son auteur. Un courriel contient des en-têtes qui montrent son véritable trajet.

Deux règles en découlent. Premièrement, préservez les métadonnées : copiez les fichiers de façon à les garder intactes (une copie négligente, une capture d'écran ou un réenregistrement par certaines applications peut les effacer ou les écraser). Deuxièmement, ne leur faites pas aveuglément confiance : les métadonnées peuvent être erronées (un appareil photo dont l'horloge n'a pas été réglée) ou délibérément falsifiées. Traitez les métadonnées comme une preuve à corroborer, pas comme automatiquement vraies — la même discipline des pistes, pas des verdicts, que vous appliquez partout.

Les pièges propres aux types de preuve courants

Les photos. Une photo envoyée par une application de messagerie est habituellement recompressée et dépouillée de ses métadonnées d'origine — c'est une copie de copie. Quand l'authenticité compte, obtenez le fichier original depuis l'appareil source, pas la version passée par le clavardage. Consignez où vous l'avez obtenue.

Les données de téléphone. Les téléphones sont une preuve dense et juridiquement sensible. Notez que la façon dont vous obtenez les données d'un téléphone compte énormément pour l'admissibilité et pour le droit à la vie privée — le consentement, l'autorité et une acquisition en bonne et due forme déterminent si elles peuvent être utilisées tout court. Si l'affaire est sérieuse, l'extraction d'un téléphone peut être un travail pour un spécialiste doté des bons outils et de la couverture juridique voulue, pas un défilement manuel.

Les exportations et les captures d'écran. Une exportation d'un système (une liste de transactions, un journal de clavardage) n'est fiable qu'à hauteur du processus qui l'a produite. Consignez qui a lancé l'exportation, depuis quel système, quand, et hachez le résultat. La capture d'écran est la forme la plus faible — facile à falsifier et dépourvue de métadonnées — alors traitez-la comme un pointeur vers une meilleure preuve, pas comme la preuve elle-même.

Documentez la chaîne numérique

Votre registre de possession pour un élément numérique devrait consigner, au minimum : une référence unique et une description, l'appareil ou le système source, qui l'a acquis et quand, comment il a été acquis, la valeur du hachage et l'algorithme, où l'original est conservé, et un journal des mouvements pour chaque accès. Ne supprimez jamais d'entrées — c'est l'historique qui prouve l'intégrité.

Connaissez vos limites juridiques

La preuve numérique repose sur le droit à la vie privée et la protection des données, et les règles varient selon la juridiction. Accéder à l'appareil ou aux comptes de quelqu'un sans autorité appropriée peut rendre la preuve inadmissible et vous exposer à une responsabilité juridique. Avant d'acquérir une preuve numérique, soyez au clair sur l'autorité sur laquelle vous vous appuyez — un consentement, une politique d'emploi, un instrument juridique — et consignez-la. Obtenir le fichier accablant de la mauvaise façon peut vous faire perdre à la fois le fichier et le dossier.

Faire tout cela sans perdre la trace

La difficulté pratique de la chaîne de possession numérique n'est pas de comprendre le hachage — c'est de tenir les registres avec constance, et de pouvoir montrer, au moment du rapport, que tout ce sur quoi vous vous êtes appuyé est intact. Conectir conserve la preuve dans un stockage privé à accès contrôlé et produit pour le rapport une piste d'audit chaînée par hachage, de sorte que l'intégrité est démontrable de l'acquisition jusqu'au document final plutôt que reconstruite après coup. Il bâtit la trace vérifiable à mesure que vous travaillez. Si démontrer l'intégrité de la preuve numérique compte pour vos dossiers, voyez comment les outils de preuve et de rapports s'en chargent.