22 janvier 2007

Une expertise au jour le jour (1)

Hier dimanche, j'ai passé la journée enfermé à la maison dans mon bureau pour démarrer une expertise délicate. Je vais essayer d'en rendre compte ici au fur et à mesure.

Tout d'abord, pourquoi suis-je enfermé dans mon bureau?
Et bien il s'agit d'une recherche d'images pornographiques mettant en scène des enfants mineurs.
J'ai trois enfants, donc bureau fermé.

Première action: le rapport.
J'ouvre un rapport type, j'y place toutes les références de cette affaire, etc.
J'y retranscris les missions indiquées sur le PV, ce qui me permet de bien les étudier (je tape à deux doigts depuis toujours).

Tiens, il y a deux missions portant le numéro 5 sur le PV, une erreur de l'OPJ sans doute. Bon, je vais noter 5b la sixième mission pour ne pas décaler les autres numéros, afin de conserver une certaine lisibilité pour tous ceux qui vont avoir à lire la procédure.

Deuxième action: l'ouverture des scellés.
Il s'agit d'un lot de cédéroms et DVD, ainsi qu'une unité centrale.
Je vérifie que le contenu correspond bien aux étiquettes...
Patatra, l'étiquette du scellé mentionne 8 CD et 5 DVD, alors que je n'ai que 12 galettes. Après vérification, il manque bien un cédérom.
Bon, cela commence bien.
Je note ce problème dans mon rapport.

Troisième action: l'analyse des supports optiques.
Je procède en trois temps: étiquetage, analyse du support (nombre de sessions, type de données...) , transfert du contenu vers mon disque dur et analyse du contenu (décompression, recherche d'images et de films).
Je vérifie qu'il n'y a pas de session cachant des données.
Je procède à la récupération des données lorsque la gravure a été mal faite (erreur de redondance cyclique).
A chaque fois, je prends des notes directement dans mon rapport (partie intitulée "investigations techniques").
Pour cette fois, l'impression des images n'est pas demandée dans les missions, mais leur gravure pour exploitation ultérieure.

Cela me prendra 6 heures pour l'étude des 12 supports optiques, totalisant trois milles images et 70 films, tous pornographiques.
Présence de nombreuses photos mettant en scène des mineurs, dont un grand nombre de mineurs de 15 ans.
Sale boulot.

Quatrième action: l'analyse de l'unité centrale.
J'ouvre l'unité centrale pour étudier visuellement son contenu.
Il n'y a qu'un seul disque dur, mais il fait 160 Go.
L'analyse promet d'être longue...
Je vérifie que les différents lecteurs (optiques, disquette, cartes mémoires) sont vides.
Je débranche le disque dur.
Je boote et entre dans le BIOS pour noter les date et heure, et forcer le boot sur "cédérom exclusif".
Je rebranche le disque dur et boote sur un cédérom "maison" Linux.

Le disque dur est constitué de deux partitions (la première est cachée et sert aux réinstallations systèmes, la deuxième est NTFS).

Mauvaise nouvelle: mon cédérom "maison" Linux ne reconnait pas la carte réseau intégrée de cette carte mère.
Je démonte donc le disque dur et le place sur une station d'accueil "maison".
Reboot (sur la station d'accueil donc) et copie bit à bit du disque dur à travers le réseau vers mon PC de travail.
Estimation du temps de copie (et compression): 3 jours!

Il est 22h.
Je vérifie que tout est en ordre pour fonctionner (onduleur, cables, etc).
Je suis fatigué.
L'expression "des images plein la tête" n'est pas toujours positive.

La suite dans trois jours (au mieux)...

7 commentaires:

  1. Bonjour,
    3 jours me semblent très longs pour une copie bit/bit, même avec des secteurs défectueux. Utilisez-vous Helix avec netcat ?
    David.

    RépondreSupprimer
  2. J'utilise une knoppix recompilée (côté station d'accueil) et cygwin côté PC.

    côté PC (sous cygwin):
    nc -l -p 1234 > /cygdrive/h/image.dd

    côté station accueil:
    dd if=/dev/sda1 bs=2k | nc "IP-du-PC"
    1234

    Effectivement, le temps approximatif que j'ai calculé est erroné: plutôt 10 heures que 3 jours... si tout va bien !

    RépondreSupprimer
  3. Et quels outils utilisez-vous pour faire l'analyse des données que vous décrivez ?

    RépondreSupprimer
  4. Les outils utilisés feront l'objet d'un prochain billet, c'est une bonne idée.

    RépondreSupprimer
  5. pour les outils la police utilise Encase forensic de guidance software.

    On peut cacher des données entre deux sessions de gravure de cd ou dvd ?

    RépondreSupprimer
  6. Je n'ai malheureusement pas 2000 euros à consacrer à l'achat d'un tel logiciel. Je ne suis pas par contre opposé à un don de votre part.

    Vous pouvez graver un CD avec une première session, puis une seconde session contenant des nouvelles données mais de reprenant pas les premières. Les premières données seront alors "invisibles".

    RépondreSupprimer
  7. ah oui ces sessions là. Elles sont visibles avec Isobuster par exemple

    RépondreSupprimer

Lectrice, admiratrice, avocate, magistrate, programmeuse, dessinatrice, chère consœur, femmes de tous les pays, lecteur, j'ai toute confiance en vous pour prendre bien soin de vérifier que votre prose est compatible avec les normes orthographiques et grammaticales en vigueur. Et si vous pouviez éviter les propos insultants ou haineux, je vous en serais reconnaissant.
N'hésitez pas à respecter ces quelques règles qui peuvent même s'appliquer en dehors de ce blog.

Les commentaires sur ce blog sont modérés. Votre message apparaîtra sur le blog dès que le modérateur l'aura approuvé. Merci de votre patience.