Preuves numériques et chaîne de custody

Définition

Une preuve numérique est une donnée qui établit un fait dans une enquête : fichiers, journaux, captures mémoire ou réseau. La chaîne de custody documente chaque manipulation de la preuve, de la saisie jusqu'à la présentation en justice. L'intégrité de la preuve se vérifie par hachage, avec par exemple SHA-256.

Types de preuves

Les journaux d'authentification montrent qui s'est connecté et quand. Les images disque conservent une copie exacte d'un poste. Les captures réseau gardent le trafic échangé pendant l'incident. Une preuve n'a de valeur que si elle est authentique, complète et traçable.

Image disque et intégrité

L'investigateur copie le disque sans le modifier, en lecture seule, avec un outil comme dd. Il calcule l'empreinte SHA-256 du disque source, puis celle de la copie. Les deux empreintes doivent être identiques. Toute modification ultérieure de la copie changerait l'empreinte et romprait la chaîne de confiance.

La chaîne de custody

Chaque mouvement de la preuve est consigné : qui l'a saisie, à quelle date, où elle a été stockée, qui l'a analysée et pourquoi. Les interventions sont signées et horodatées. Un maillon manquant rend la preuve contestable devant un tribunal. La règle simple : si l'on ne peut pas prouver qui a touché la preuve, la preuve tombe.

Exemple concret

Un employé licencié conteste son renvoi devant les prud'hommes. Le service RH demande les journaux d'accès aux serveurs de paies. Le technicien copie les journaux, calcule les empreintes et consigne chaque transfert entre le service informatique et l'avocat. Les journaux restent exploitables parce que la chaîne de custody est complète.