L La preuve numérique

Un défi pour l’enquête criminelle du 21

siècle Eric Freyssinet

es enquêtes judiciaires sont aujourd’hui de plus en plus confrontées à des éléments de preuve qui se manifestent sous la forme de documents informatiques, ou retrouvés dans la mémoire d’un dispositif électronique. Une nouvelle discipline criminalistique est née : celle qui traite de la preuve numérique.

Il faut d’ores et déjà s’éloigner du cliché de la cybercriminalité. L’outil informatique, les gadgets électroniques ont envahi notre quotidien comme celui des délinquants. Cette discipline n’est plus l’apanage des enquêtes sur les crimes informatiques, mais bien un défi pour le quotidien des enquêteurs judiciaires aujourd’hui.

La preuve dans les enquêtes judiciaires

Une définition juridique

La notion de preuve varie d’un pays à un autre. Elle varie aussi dans l’esprit de ceux qui y sont confrontés. En France, tout élément d’information est recevable au procès.

L

On peut distinguer ces différentes catégories :

– les constatations d’un enquêteur, qui sont relevées sous forme de procès verbal ;

– les auditions d’un témoin ou d’un suspect ;

– les documents ou objets rencontrés lors de l’enquête ;

– les rapports des analyses effectuées sur ces objets (on parle d’expertise pour des examens complets effectués par un expert commis par un juge d’instruction).

Ainsi, au cours de l’enquête, puis au cours du procès, l’ensemble de ces éléments, s’ils ont été recueillis dans le respect de la loi, pourront être présentés et seront évalués par la juridiction de jugement.

Il faut noter enfin, qu’il n’est donné aucune définition de la notion de preuve dans le code de procédure pénale. L’ensemble des éléments recueillis au cours de l’enquête va concourir à la décision judiciaire, et non pas seulement ceux qui constituent des « preuves », au sens de preuve à charge.

La chaîne de la preuve

Si l’on s’intéresse aux éléments de preuve matérielle, tels que fichiers informatiques, cartes à puce, supports de données, ils devront être systématiquement associés à des informations complémentaires, quant à :

– leur environnement initial ; – les conditions de leur saisie ;

– et les conditions de leur conservation.

En effet, un disque dur saisi dans une affaire judiciaire n’a réellement de sens que si l’on sait quelle était la configuration de l’ordinateur dans lequel il a été saisi, la personne à qui il pouvait appartenir, et on ne pourra garantir l’intégrité de son contenu que s’il a été convenablement protégé de toute modification extérieure entre le moment de sa saisie et le moment de l’analyse par un spécialiste. Sans cela, l’avocat de la défense pourra très raisonnablement rejeter les conclusions tirées à partir de cet objet.

Garantir la chaîne de la preuve est une des premières conditions de la bonne gestion de la preuve numérique, comme ce l’est pour n’importe quel élément de preuve matériel.

Définition hors de France

Comme on peut s’y attendre, l’exercice de la preuve varie d’un pays à un autre. Dans certains pays, la preuve est définie de façon plus stricte.

Toutefois, peu à peu, un certain nombre de guides de bonne pratique se développent qui visent à garantir que partout en Europe et dans le monde, les éléments de preuve soient recueillis avec le même soin, et puissent donc être éventuellement reconnus également par les tribunaux des différents pays.

On peut citer les principes proposés par l’IOCE¹ ou le manuel de bonnes pratiques pour les laboratoires criminalistiques dans le domaine de la preuve numérique du groupe de travail FIT de l’ENFSI².

Introduction à l’enquête judiciaire

Pour faciliter la compréhension de cet article, nous allons rapidement envisager les différentes situations au cours desquelles il est procédé un traitement de la preuve, et de plus en plus souvent de preuves numériques.

En préambule, il faut noter que le code de procédure pénale français insiste beaucoup sur l’importance du recueil d’éléments de preuve matérielle, qui constituent par exemple les premiers actes prévus dans une enquête judiciaire. Les témoins sont ensuite appelés expressément à commenter ces éléments matériels ou les faits constatés.

Les acteurs judiciaires

Les enquêteurs, officiers de police judiciaire ou agents de police judiciaire, sont les premiers intervenants de l’enquête judiciaire. Un officier de police judiciaire, ayant suivi une formation complémentaire, est en mesure de prendre la direction d’une enquête et certains actes relèvent de ses prérogatives, tels que la mise en garde-à-vue.

Le Parquet est une structure hiérarchique, dirigée par le Procureur de la République, sous l’autorité du Garde des Sceaux. Dans un Tribunal de Grande Instance, le procureur de la république, et éventuellement ses substituts sont chargés conjointement de suivre l’ensemble des enquêtes judiciaires dont les enquêteurs leur rendent compte, leur donnent des

1. IOCE : International Organisation on Computer Evidence,

http://www.ioce.org/G8_proposed_principles_for_forensic_evidence.html 2. ENFSI : European Network of Forensic Science Institutes,

http://www.enfsi.org/cms.php?cp=fitwg-docs

directives particulières et sont ensuite responsables des poursuites. Si l’enquête se révèle trop complexe ou est relative à un crime, ils requièrent l’ouverture d’une information, et l’enquête est alors confiée à un juge d’instruction.

Le Siège est réputé indépendant ; il est constitué de magistrats dont la fonction est de juger les crimes et délits ; ils sont chargés des juridictions de jugement que sont le Tribunal Correctionnel ou la Cour d’Assises. Le juge d’instruction est un magistrat du Siège, il en hérite donc l’indépendance.

Au cours de l’enquête, confrontés à des difficultés techniques, les enquêteurs ou les magistrats peuvent faire appel au concours de spécialistes, ou, pour des examens plus complexes, au concours d’experts judiciaires.

L’ensemble des actes techniques accomplis par ces spécialistes et experts judiciaires sont les disciplines qui composent la criminalistique (ou sciences forensiques).

Les différents types d’infractions

Le Code Pénal définit trois types d’infraction : les contraventions, les délits et les crimes. Ces catégories correspondent à la nature des peines – des moins sévères aux plus sévères – envisageables pour l’auteur de l’infraction ainsi qu’aux juridictions de jugement amenées à traiter du dossier.

Les tribunaux de police, situés dans les tribunaux d’instance, sont chargés du jugement des contraventions. Les tribunaux correctionnels, placés au sein des tribunaux de grande instance, sont chargés du jugement des délits ; enfin, les cours d’assises, au sein des tribunaux de grande instance, ont pour particularité de combiner des magistrats professionnels et des jurés civils, et ont à traiter des affaires criminelles.

Les différents types d’enquêtes

L’enquête préliminaire est la forme la plus simple d’enquête judiciaire, déclenchée d’initiative par un enquêteur, par exemple après avoir reçu une plainte d’un particulier. Il rendra compte au Parquet, dans un délai inférieur à six mois, ou lorsqu’il sera amené à placer une personne en garde-à-vue.

L’enquête de flagrant délit intervient lorsqu’un délit vient de se produire et que les enquêteurs sont en mesure d’effectuer un certain nombre d’actes d’enquête dans un temps très court – généralement moins de quinze jours – et sans discontinuer. L’enquêteur dispose alors de droits supplémentaires, notamment la possibilité d’effectuer des perquisitions sans l’autorisation du maître de maison.

L’enquête sur commission rogatoire consiste pour un officier de police judiciaire à mettre en œuvre les directives reçues sous forme de commission rogatoire de la part d’un juge d’instruction lui-même chargé d’informer quant à une ou plusieurs infractions complexes ou un crime.

Les actes d’enquête particuliers

Certains actes d’enquête présentent des conditions d’exercice et des particularités qui méritent que l’on s’y attarde dans le cadre de cet article.

La confidentialité des correspondances privées est garantie par la loi.

Lorsque la peine encourue pour une infraction est supérieure à deux ans, un juge d’instruction peut ordonner qu’une interception téléphonique ou sur internet soit mise en place. Il procède par commission rogatoire expresse, diligentée ensuite par un officier de police judiciaire qui est chargé d’effectuer les réquisitions nécessaires aux acteurs techniques concernés (opérateur téléphonique par exemple) et de procéder à la retranscription des conversations ou des échanges interceptés.

La perquisition est la possibilité, au cours d’une enquête judiciaire, de procéder à la visite d’un domicile, lorsque l’un enquêteur ou un magistrat estime que des éléments matériels relatifs à son enquête s’y trouvent et doivent être préservés. Elle doit avoir lieu en la présence de la personne perquisitionnée ou de deux témoins.

La garde-à-vue, qui consiste à retenir une personne contre laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction, est très strictement codifiée. Cette retenue ne peut durer plus de 24 heures, ou 48 heures si le Parquet autorise la prolongation de la garde-à-vue. Souvent, les enquêteurs ne disposent que du temps de la garde-à-vue pour interroger un suspect ; si des ordinateurs sont saisis en même temps que la perquisition qui s’est poursuivie par une garde-à-vue et qu’ils sont susceptibles de contenir des éléments qui amèneront le suspect à reconnaître les faits, l’analyse du contenu de cet ordinateur doit être faite le plus rapidement possible, tout en respectant les critères d’un travail criminalistique propre.

Enfin, récemment, le législateur a introduit de nouvelles dispositions qui viennent préciser les pouvoirs de l’enquêteur.

Par exemple, l’article 57-1 du code de procédure pénale prévoit que :

Les officiers de police judiciaire ou, sous leur responsabilité, les agents de police judiciaire peuvent, au cours d’une perquisition effectuée dans les conditions prévues par le présent code, accéder par un système informatique implanté sur les lieux où se déroule la perquisition à des données intéressant

l’enquête en cours et stockées dans ledit système ou dans un autre système informatique, dès lors que ces données sont accessibles à partir du système initial ou disponibles pour le système initial.

S’il est préalablement avéré que ces données, accessibles à partir du système initial ou disponibles pour le système initial, sont stockées dans un autre système informatique situé en dehors du territoire national, elles sont recueillies par l’officier de police judiciaire, sous réserve des conditions d’accès prévues par les engagements internationaux en vigueur.

Les données auxquelles il aura été permis d’accéder dans les conditions prévues par le présent article peuvent être copiées sur tout support. Les supports de stockage informatique peuvent être saisis et placés sous scellés dans les conditions prévues par le présent code.

Cet article de loi confirme qu’il est possible de saisir des données informatiques, sous forme du support original, mais aussi sous forme de leur copie sur tout support. Mais il introduit aussi la possibilité d’accéder à des données qui se trouvent stockées à l’extérieur du lieu de la perquisition, comme le seraient par exemple les données d’une entreprise qui fait appel à un prestataire extérieur pour l’hébergement de ses serveurs.

L’analyse d’éléments de preuve numérique

Principes généraux

Quel que soit le domaine technique, l’analyse d’éléments de preuve numérique se déroule presque toujours de la même façon :

– séparation éventuelle de l’objet placé sous scellé en échantillons individuels (distinction d’un téléphone portable et de sa carte SIM) ;

– prise en compte de l’échantillon et de son environnement, description de l’échantillon ;

– vérification de fonctionnement ;

– copie « image » des données contenues dans l’échantillon ; – interprétation des données.

Parfois, les données ne sont pas directement copiables (données d’une carte à puce protégées par un code PIN, composant électronique programmable protégé en lecture). Dans ce cas la technique employée doit être adaptée, envisageant soit une attaque physique du composant, soit une démarche plus descriptive (au travers de l’interface qui permet l’accès à une partie des données).

Mais toujours, il faut avoir le souci de préserver le support original pour garantir l’absence de modification et des constatations conformes, mais aussi permettre une analyse ultérieure.

Enfin, il faut toujours avoir à l’esprit le contexte juridique des faits incriminés, pour s’assurer que les résultats trouvés et leur interprétation ont un sens concret, qu’il soit en faveur ou en défaveur de la personne suspectée, pour la suite de l’enquête.

Application à l’analyse d’un disque dur

Classiquement, l’analyse d’un disque dur comporte les étapes suivantes : – démontage, identification, détermination des caractéristiques (en conservant à l’esprit son environnement initial – la configuration de l’ordinateur où il était installé par exemple) ;

– fabrication d’une « image » de ce disque dur, fichier qui reprend l’intégralité des données contenues sur le disque dur, avec leur emplacement (par secteur) et éventuellement des données de contrôle (checksums) ;

– analyse de l’image de ce disque dur pour déterminer le partitionnement, les systèmes de fichiers, les traces de fichiers et répertoires effacés dans et en dehors des partitions ;

– interprétation des données.

En pratique l’ensemble de ces étapes doit être adapté au type de dossier envisagé. Les recherches de fichiers effacés par exemple seront effectuées avec des paramètres différents s’il s’agit d’une affaire de suspicion d’échanges d’images pédophiles ou une affaire d’escroquerie.

L’étape d’interprétation des données n’est pas à négliger : il s’agit de replacer les informations dans leur contexte, et surtout de présenter des faits et non pas des extrapolations. Ainsi, dans un contexte classique, trouver le nom d’une personne dans les métadonnées d’un fichier ne signifie pas que c’est elle qui l’a rédigé. Il appartiendra à l’enquêteur de mettre en lumière cette information dans son enquête. Par contre, si des mesures techniques (de signature électronique par exemple) sont associées à cette information, il conviendra de l’indiquer en soulignant la plus grande certitude qui existe sur l’identité de l’auteur.

Application à l’analyse d’une contrefaçon de carte à puce

Dans le cadre d’une affaire de contrefaçon de carte de décodage de télévision numérique, la démarche sera similaire. Dans le contexte, il faudra

envisager la possession éventuelle par le suspect d’un programmateur de carte à puce ou de logiciels adaptés sur son micro-ordinateur :

– description de l’objet (notamment le fait qu’il ne s’agit pas d’une carte normale) ;

– interrogation de la carte pour connaître sa fonctionnalité ;

– lecture du programme inscrit dans la carte à l’aide d’un programmateur ;

– interprétation du programme, vérification des clés de décodage.

Le texte qui réprime cette infraction se trouve dans la loi sur la liberté de la communication³ :

Article 79-1

Sont punies de deux ans d’emprisonnement et de 30 000 € d’amende la fabrication, l’importation en vue de la vente ou de la location, l’offre à la vente, la détention en vue de la vente, la vente ou l’installation d’un équipement, matériel, dispositif ou instrument conçu, en tout ou partie, pour capter frauduleusement des programmes télédiffusés, lorsque ces programmes sont réservés à un public déterminé qui y accède moyennant une rémunération versée à l’exploitant du service.

Il est essentiel dans ce type d’affaires d’être très précis. En effet, le fait de posséder une carte programmable (souvent il s’agit de cartes de couleur dorée facilement reconnaissables) ou un programmateur ne constituent bien évidemment pas une infraction : ces objets ont un usage légitime. Il faudra prouver l’existence de programmes (sur un micro-ordinateur connecté ou dans la mémoire de la carte à puce programmable) pouvant servir à contrefaire le procédé de décodage de la télévision numérique.

Les défis techniques rencontrés par les enquêteurs

Un certain nombre d’évolutions dans le domaine de la preuve numérique créent de nouvelles difficultés pour les enquêteurs.

Le premier écueil est le problème de la formation : étant donné qu’un nombre beaucoup plus important d’éléments matériels contenant des preuves numériques, d’enquêtes concernant l’internet sont rencontrés, il faut très rapidement former les personnels enquêteurs de l’ensemble de la chaîne, depuis la brigade de gendarmerie jusque dans les unités spécialisées dans les enquêtes judiciaires, et non plus simplement quelques spécialistes.

3. Articles 79-1 à 79-6 de la loi n° 86-1067 du 30 septembre 1986, introduits par la loi n° 92-1336 du 16 décembre 1992.

Le volume de données

Au-delà de la difficulté première qu’est l’interprétation des données informatiques dans un environnement particulier, le problème essentiel et croissant auquel est confronté l’enquêteur aujourd’hui est le volume des données à traiter.

L’augmentation de la taille maximale des disques durs entraîne parallèlement l’augmentation du nombre de fichiers à décortiquer ou interpréter, et donc le temps nécessaire à l’analyse du disque dur d’un unique suspect.

En pratique, il sera parfois coûteux (achat d’un disque dur de grande capacité sur frais de justice) et surtout très long de procéder à la copie du disque dur d’un ordinateur qui contient des données intéressantes. Donc la saisie risque de devenir de plus en plus systématique, ce qui n’est pas forcément très agréable pour un tiers chez qui la perquisition a lieu.

Pour l’analyse de ces disques durs, il est de plus en plus courant de faire appel à des dispositifs physiques de protection en écriture pour procéder à une analyse directe du support et ainsi gagner du temps.

De même, il était courant encore récemment d’imprimer le résultat des découvertes – entraînant des rapports de taille monumentale en plusieurs exemplaires ; ce n’est plus envisageable actuellement : des cédéroms gravés sont par exemple joints en annexe aux rapports d’analyse.

La cryptographie

Au-delà de la libéralisation récente de la cryptographie en France, l’usage croissant par les entreprises comme les particuliers d’outils permettant de garantir un niveau adapté de confidentialité est une conséquence fort logique et souvent louable de la croissance des échanges dans un domaine ouvert tel qu’internet.

L’émergence d’une intégration plus grande des outils cryptographiques dans les systèmes commercialisés au grand public – cartes mères permettant la cryptographie des systèmes de fichiers, système de protection de « gestion des droits » géré par le plus grand fournisseur de systèmes d’exploitation commerciaux – laisse augurer une utilisation encore plus généralisée.

Cette situation risque de constituer un frein important aux investigations judiciaires.

Différentes solutions sont bien entendu étudiées, en matière de formation, d’adaptation des techniques d’enquête, de développement de

ressources techniques spécifiques. Le code de procédure pénale met d’ailleurs à disposition de l’enquête judiciaire, depuis 2001, les « moyens soumis au secret de la défense nationale » :

Article 230-1 du code de procédure pénale⁴ :

Sans préjudice des dispositions des articles 60, 77-1 et 156, lorsqu’il apparaît que des données saisies ou obtenues au cours de l’enquête ou de l’instruction ont fait l’objet d’opérations de transformation empêchant d’accéder aux informations en clair qu’elles contiennent ou de les comprendre, le procureur de la République, la juridiction d’instruction ou la juridiction de jugement saisie de l’affaire peut désigner toute personne physique ou morale qualifiée, en vue d’effectuer les opérations techniques permettant d’obtenir la version en clair de ces informations ainsi que, dans le cas où un moyen de cryptologie a été utilisé, la convention secrète de déchiffrement, si cela apparaît nécessaire.

Si la peine encourue est égale ou supérieure à deux ans d’emprisonnement et que les nécessités de l’enquête ou de l’instruction l’exigent, le procureur de la République, la juridiction d’instruction ou la juridiction de jugement saisie de l’affaire peut prescrire le recours aux moyens de l’Etat soumis au secret de la défense nationale selon les formes prévues au présent chapitre.

On peut sans aucun doute possible affirmer que la cryptanalyse et le contournement des techniques cryptographiques vont devenir au cours des années à venir un domaine essentiel de la criminalistique dans ce domaine de la preuve numérique.

L’interprétation des traces internet – les enquêtes de piratage

De nos jours, une des étapes les plus denses de l’analyse d’un disque dur saisi dans une enquête judiciaire est très certainement l’interprétation des traces liées à l’utilisation de logiciels en relation avec l’usage d’internet.

Même si la plupart des suspects utilisent les logiciels les plus classiquement rencontrés (par exemple : Netscape, Internet Explorer, Outlook Express, AOL, ICQ, mIRC, Kazaa…), il existe une extrême variété de logiciels clients des différents protocoles d’internet :

– par la version du protocole utilisé (par exemple, les versions successives du protocole ICQ de messagerie instantanée) ;

– par la marque ou le développeur du logiciel ;

4. Articles 230-1 à 230-5 du code de procédure pénale « De la mise au clair des données chiffrées nécessaires à la manifestation de la vérité » insérés par la loi n° 2001-1062 du 15 novembre 2001.

– par la version du logiciel (par exemple, les versions successives du client de messagerie Outlook Express utilisent des fichiers de stockage de format différent).

Plusieurs facteurs conduisent à l’existence de traces de l’utilisation de ces logiciels :

– fonctionnalités du logiciel (conservation des courriers électroniques échangés, de son carnet d’adresses, de sa liste de correspondants de messagerie instantanée…) ;

– fichiers temporaires, fichier de swap mémoire ;

– fichiers ou informations de configuration du logiciel (dans la base de registre sous Windows par exemple).

Une bonne connaissance du fonctionnement de ces logiciels et des protocoles d’internet est indispensable à la bonne compréhension de ces traces, pour bien comprendre ce qui a pu résulter de l’action volontaire de l’utilisateur de l’ordinateur (clic sur un lien dans une page web par exemple) ou d’une fonctionnalité automatique (pop-up publicitaire).

Le type d’enquête où cette démarche est la plus complexe est celui des affaires de piratage. En effet, le délinquant aura bien évidemment le souci d’effacer un maximum de ces traces. Une fois un suspect potentiel identifié, l’objectif de l’enquêteur et de l’expert sera de faire coïncider les informations retrouvées sur l’ordinateur du suspect avec les constations effectuées sur celui de la victime. L’utilisation d’une plate-forme de simulation, pour reproduire l’attaque constatée est un outil très puissant dans l’analyse de ce type d’affaires.

La problématique des dates

Les questions de date et d’heure sont très souvent essentielles dans une enquête judiciaire : la correspondance entre l’heure des faits, les témoignages et les données techniques récupérées est le lot quotidien des enquêteurs. Discuter, interpréter une date, est aussi, cette fois-ci pour des raisons techniques, un des soucis premiers de l’expert dans le domaine de la preuve numérique. Si cette information est cruciale pour déterminer la culpabilité d’un suspect, une réflexion et des conclusions très précises devront être menées.

Micro-ordinateurs comme téléphones portables ou cartes à puce contiennent tous des informations de date ou d’heure. A travers quelques

exemples, nous allons voir qu’il faut systématiquement les prendre avec précaution :

– les dates et heures inscrites dans des en-têtes de courrier électronique dépendent des serveurs par lesquels le message transite ; avantage : on peut vérifier la corrélation de cette série de dates ; inconvénient : on dépend parfois de serveurs situés à l’autre bout de la planète, dont la fiabilité sera difficile à vérifier ;

– les centraux téléphoniques des opérateurs de téléphonie ne sont pas forcément tous synchronisés de la même façon ;

– les règles de changement des dates liées à des fichiers sur un disque dur ou un cédérom enregistré sont parfois paramétrables par l’utilisateur ;

– de façon générale, le réglage de date et d’heure de tout appareil est le plus souvent sous le contrôle de l’utilisateur.

Cela ne veut pas dire qu’on ne peut pas tirer de conclusion raisonnable sur des problématiques de date et d’heure. Cela signifie qu’il faut prendre en compte un nombre de paramètres aussi large que possible, bien comprendre le contexte dans lequel se trouve une information et confronter les hypothèses de l’enquête avec les constatations techniques, pour donner une indication de leur compatibilité. Il ne faut jamais perdre de vue qu’une analyse d’éléments de preuve numérique a toujours lieu dans le cadre d’une enquête judiciaire qui va apporter d’autres éléments, concordants ou discordants.

Le rôle des autres acteurs dans l’enquête judiciaire

Ce dernier exemple de difficulté rencontrée par les enquêteurs nous amène à conclure sur le rôle essentiel que jouent des acteurs qui peuvent paraître secondaires dans une affaire judiciaire : les intermédiaires techniques et les témoins.

Nous venons de voir que les conditions dans lesquelles sont recueillis les éléments matériels sont essentielles pour une bonne interprétation des résultats.

Ainsi, si une entreprise dispose de procédures de sauvegarde, d’une bonne documentation de ses différents paramètres de configuration et met en œuvre de bons réflexes au moment de la copie de données depuis son serveur piraté, afin de les confier aux enquêteurs au moment du dépôt de plainte, en quelques mots si l’entreprise est préparée sur les plans technique et organisationnel à l’éventualité d’une attaque contre ces systèmes,

l’enquête ultérieure n’en sera que plus facilitée et surtout les conclusions sur la culpabilité d’un suspect avéré n’en seront que plus franches.

De la même façon, si de bonnes pratiques sont appliquées par les différents intermédiaires techniques des télécommunications et de l’internet, les éléments qu’ils confieront sur réquisition aux enquêteurs contribueront beaucoup plus efficacement à la lutte contre les infractions commises sur les réseaux qu’ils opèrent.

En conclusion, l’étude des preuves numériques est un domaine très riche, à la croisée de problématiques techniques et juridiques, essentiel aux enquêtes judiciaires d’aujourd’hui et de demain, siège de nombreuses activités de réflexion et de recherche scientifique, avec le double souci de garder l’avance sur les délinquants, tout en protégeant victimes et innocents.