« Fantômes dans le silicium » : comment la criminalistique numérique (Digital Forensics) récupère ce que vous avez « supprimé définitivement » 🔬💾

La dernière fois, nous avons abordé la négligence liée aux tables non protégées et aux bases de données scolaires. Aujourd'hui, conformément au planning, nous revenons à une analyse technique approfondie : penchons-nous sous le capot des systèmes de fichiers, des dumps forensiques et des protocoles de bas niveau.

Un mythe a la vie dure chez les utilisateurs : il suffit de cliquer sur « Supprimer », de vider la corbeille et d'effacer l'historique du navigateur pour que les traces disparaissent. Pour l'interface classique, le dossier est vide. Mais si l'appareil atterrit sur le bureau d'un expert en criminalistique numérique (computer forensics), l'illusion se dissipe instantanément.

Analysons concrètement, sans abstractions, comment les traces numériques sont extraites au niveau des contrôleurs, de la mémoire et de la pile réseau.

L'architecture de la trace : pourquoi le bouton « Supprimer » n'efface rien

Les systèmes de fichiers des supports modernes (NTFS, ext4, APFS) sont optimisés pour deux impératifs : une vitesse maximale et la prolongation de la durée de vie des cellules mémoire. Mettre à zéro physiquement chaque bloc de données supprimé transformerait n'importe quel système en machine poussive.

La suppression fonctionne donc sur le principe de la table des matières d'un livre :

• Manipulation des métadonnées (MFT et Inode). Lors d'une suppression normale, le système d'exploitation ne touche pas aux secteurs contenant les données proprement dites. Dans la table de fichiers principale (Master File Table sous NTFS) ou dans la table des inodes (Linux/Android), un seul indicateur de service est modifié : l'enregistrement passe au statut « non utilisé ». Les secteurs sont marqués comme espace libre (Unallocated Space), mais les octets de votre archive, de votre photo ou de votre correspondance restent physiquement en place.
• Copies fantômes et journalisation (Journaling). Les systèmes de fichiers journalisés enregistrent l'historique des transactions. Même si un fichier est supprimé, le journal (par exemple, $LogFile ou $UsnJrnl sous Windows) conserve les horodatages, le nom d'origine, la taille et la chaîne des clusters où il résidait.
• Wear Leveling et spécificités de la mémoire flash (SSD / UFS / eMMC). Sur les smartphones et les SSD, le contrôleur du support répartit l'écriture de manière homogène sur l'ensemble des cellules afin d'éviter la dégradation de la puce. Lors de la suppression, la commande TRIM indique simplement au contrôleur que le bloc est libre, mais dans les blocs de réserve cachés (Over-Provisioning), les données peuvent subsister pendant des semaines jusqu'au prochain cycle de nettoyage en arrière-plan (Garbage Collection).

Quatre vecteurs d'analyse forensique

Un audit forensique professionnel décompose un incident en quatre dimensions indépendantes :

1. Niveau disque et fichiers (Carving de données). Les suites criminalistiques (telles qu'Autopsy, EnCase, FTK) ignorent le système d'achivage et analysent le tableau d'octets brut. La méthode de recherche par signature (File Carving) repère les en-têtes (Magic Bytes) et les fins de fichiers (par exemple, FF D8 FF pour le format JPEG). Le fichier est reconstitué à partir de secteurs éparpillés, même si la table des partitions est détruite.
2. Pile mobile (JTAG, ISP et dump physique). Sur les smartphones, les données sont chiffrées à la volée (FBE — File-Based Encryption), mais les experts en criminalistique interviennent via des ponts matériels spécialisés (Cellebrite, GrayKey). Une image physique complète de la mémoire NAND est extraite, permettant d'analyser les bases de données SQLite non réécrites (qui hébergent l'ensemble des applications de messagerie, SMS et notes supprimées) ainsi que les caches de miniatures (Thumbnails) que le système génère automatiquement et n'efface presque jamais.
3. Mémoire vive (RAM Forensics). Si l'appareil était allumé, un dump de la mémoire vive réalisé via des utilitaires comme Volatility révèle des éléments absents du disque : les clés principales de chiffrement BitLocker/LUKS, les sessions ouvertes de tunnels chiffrés, les correspondances non sauvegardées et les bibliothèques malveillantes injectées en mémoire.
4. Artefacts réseau et journalisation. Le croisement des captures de trafic (PCAP) avec les journaux système DHCP, les enregistrements de tables ARP et les minutages NetFlow permet de reconstituer le graphe des connexions réseau à la milliseconde près.

Des fantômes dans le système : où se cachent les indices invisibles

Même si l'utilisateur a effectué un « nettoyage en profondeur », le système d'exploitation laisse derrière lui des dizaines de repères parallèles :

• Prefetch et Shimcache. Windows conserve les traces de chaque fichier binaire exécuté afin d'optimiser le démarrage. Vous avez supprimé un utilitaire portable il y a trois mois ? Le dossier Prefetch conservera la date de sa première et de sa dernière exécution, le nombre de lancements ainsi que la liste des bibliothèques système sollicitées.
• Bases de données SQLite avec le drapeau WAL (Write-Ahead Logging). Les navigateurs et les messageries écrivent les modifications dans des fichiers WAL temporaires. Lorsque vous cliquez sur « Effacer la conversation », l'entrée est supprimée de l'index principal, mais les lignes persistent dans les pages WAL jusqu'à la prochaine réinitialisation de contrôle de la base.
• Cache DNS du système d'exploitation. Après avoir nettoyé l'historique de son navigateur, l'utilisateur omet souvent le réolveur DNS du système. Une commande d'affichage du cache sur le poste client ou l'analyse d'un dump mémoire révélera l'ensemble des domaines contactés par les services de l'OS au cours des dernières sessions.

Périmètre de protection : comment les données sont-elles réellement détruites ?

Se contenter de glisser un fichier dans la corbeille ou de cliquer sur « Formater » dans l'explorateur ne fait que créer une illusion de propreté. Pour garantir l'anéantissement d'une trace numérique en ingénierie, des approches totalement différentes sont mises en œuvre :

• Réécriture multipasse par séquences pseudo-aléatoires. Normes de type DoD 5220.22-M ou algorithme de Gutman : les secteurs sont écrasés par des zéros, des uns et du bruit cryptographique aléatoire au cours de plusieurs cycles. Sur les disques magnétiques traditionnels (HDD), un seul passage complet via shred ou dd if=/dev/urandom suffit pour rendre toute récupération mathématiquement impossible.
• Effacement cryptographique (Crypto-Shredding). Si le support fonctionnait dès l'origine avec un chiffrement de disque complet (LUKS, FileVault), il n'est pas nécessaire de détruire physiquement des téraoctets de données. Il suffit de supprimer la clé principale de l'en-tête de partition. Sans cette clé, le volume se réduit à une entropie indéchiffrable.
• Protection des sessions de travail : isolation en RAM (Live OS). Utilisation d'environnements s'exécutant exclusivement en mémoire vive sans montage de supports locaux (Tails, conteneurs spécialisés). À la coupure de l'alimentation, les condensateurs des puces mémoire perdent leur charge en quelques secondes, ne laissant aucune trace physique sur les supports magnétiques ou flash.

La criminalistique numérique a cessé d'être l'apanage exclusif des services secrets. C'est aujourd'hui un standard des enquêtes d'entreprise, des audits de sécurité et de l'analyse d'incidents au sein des centres SOC. La mémoire d'une machine ignore le concept d'« oubli » : elle ne connaît que les lois physiques de la réécriture des bits.