Affichage des articles dont le libellé est Expert debutant. Afficher tous les articles
Affichage des articles dont le libellé est Expert debutant. Afficher tous les articles

15 mai 2017

Analyse inforensique simple avec des outils gratuits

Lors d'une discussion avec un Officier de Police Judiciaire, celui-ci me demandait comment faire une analyse de disque dur sans budget logiciel, tout en garantissant un bon niveau d'investigation.

Après avoir pris les précautions d'usage consistant à dire qu'on ne peut pas mener à bien des investigations techniques sans comprendre ce que l'on fait, je me suis dit que je pouvais faire sur ce blog une proposition (SGDZ), même si celle-ci peut éventuellement faire hurler les techniciens les plus pointus sur ces sujets (je trolle un peu aussi à ma manière).

Mon hypothèse de travail va consister à prendre le cas le plus répandu : un ordinateur sous Windows, non chiffré, avec un usage bureautique basique. L'objectif est de trouver un fichier présent sur le disque, éventuellement effacé.

1) Préserver les éléments de preuve au maximum.

Le disque de stockage de l'ordinateur ne doit pas être modifié. Or, un démarrage du système d'exploitation modifie plusieurs informations du disque, modifie des caches, procède éventuellement à des mises à jour, des connexions internet, etc. Il faut donc travailler sur une copie du disque d'origine.

2) Copier les données.

Parmi toutes les manières de procéder à la copie des données du disque de stockage, je vais présenter celle qui me semble la plus simple, même si elle n'est pas sans risque.

Les données sont aujourd'hui de plus en plus stockées sur un disque SSD, ou sur des mémoires flash plus ou moins propriétaires. Il n'est pas toujours facile de démonter le disque de stockage pour le placer sur une plate-forme adaptée, avec bloqueur d'écriture et connecteurs ad hoc.

Il est possible de démarrer l'ordinateur sur une clef USB appropriée, à condition de connaître parfaitement la procédure de démarrage sur clef USB spécifique de l'ordinateur.

Il faut donc se documenter le plus possible (sur internet) sur le modèle d'ordinateur, et sa procédure d'accès au choix du périphérique de démarrage (touche Echap, ou F1, ou F2, ou F11, ou F256, ou Suppr...).

Ma recommandation est de retirer si possible le disque de l'ordinateur et de faire des essais "à vide" pour être sur de démarrer correctement sur la clef USB.

J'utilise une clef USB de démarrage DEFT qui fonctionne pour tous les ordinateurs que j'ai rencontrés pour l'instant. Cette clef a la particularité de protéger tous les disques contre l'écriture (de manière logicielle), en plus de disposer de nombreux outils d'investigation qu'il serait trop long de présenter ici (mais qui sont très intéressant).

Une fois le démarrage sur clef USB DEFT effectué, il ne reste plus qu'à brancher un disque externe de capacité suffisante sur l'ordinateur et d'utiliser la commande dd, ou dd_rescue, ou ddrescue pour effectuer une image bit à bit du disque de stockage. Attention de bien vérifier les noms logiques des devices : il est préférable de savoir bien différencier le disque cible du disque source, surtout qu'il faudra bien passer le disque destiné à contenir l'image en lecture/écriture. Il faut comprendre ce que l'on fait.

Une fois la copie terminée, éteindre l'ordinateur et souffler un peu car le contenu du scellé est préservé (si l'ordinateur n'est pas tombé en panne JUSTE pendant ce moment là, auquel cas, il faudra faire jouer son assurance en responsabilité civile NECESSAIREMENT prise pour ce type d'activité).

3) Analyse des données de la copie.

Chacun est libre du choix de ses outils préférés (GNU/Linux, Windows, FreeBSD, etc.), mais comme la plupart des enquêteurs sont sous Windows, je recommande l'outil gratuit OSFMount qui permet de monter en lecture seule une image dd sous Windows (qui sera attribuée à un lecteur disponible, G: par exemple).

Cela permet de se promener sur le contenu (de l'image) du disque, sans modifier son contenu. Cela permet d'utiliser tous les outils de récupération de données,  tels que Recuva ou PhotoRec, ainsi que la version Windows de The Sleuth Kit (TSK).

Vous pouvez également utiliser tous les outils de la LiberKey, en particulier SearchMyFiles ou Everything.

Conclusion :

Il est possible d'utiliser des outils gratuits pour faire une analyse des données d'un support de stockage. MAIS cela ne dispense pas de SAVOIR ce que l'on fait et oblige à COMPRENDRE les concepts en jeu.

On ne s'improvise donc pas expert informatique.

Par contre, ces outils étant gratuits, ils sont faciles d'accès et permettent à une personne curieuse de s’entraîner, par exemple sur un vieux disque, et parfois de sauver une situation où la sauvegarde est un peu ancienne...

08 septembre 2016

Les débuts de l'expert judiciaire débutant

Vous avez reçu un courrier à entête du ministère de la justice en provenance de votre cour d'appel vous annonçant d'une manière assez sèche simple que vous êtes accepté à l'inscription sur la liste des experts judiciaires, pour une période probatoire de deux ans.

BRAVO \o/

Mais soudain, une inquiétude vous prend : que faut-il faire maintenant ? Voici quelques éléments de réponses.

Tout d'abord, prenez contact avec l'association regroupant les experts judiciaires de votre cour d'appel. Il y en a toujours une, et on appelle ces associations des "compagnies pluridisciplinaires d'experts de justice". Mieux, adhérez-y immédiatement pour au moins bénéficier d'une assurance en responsabilité civile à bas coût (sinon, il vous en coûtera au moins 1200 euros, lire ce billet). La cotisation à cette association vous couvrira en plus de permettre à ses membres de s'offrir de bons repas une à deux fois par an (cela s'appelle une AG) et vous permettra d'assister à des formations (obligatoires ou en tout cas très fortement recommandées). Par contre, le niveau de conseils dans votre domaine d'activité est très fluctuant selon les compagnies.

Préparez vous ensuite pour votre prestation de serment (en général début janvier). Entraînez vous à dire "je le jure" à l'appel de votre nom, et ressortez le costume réservé aux grandes occasions (essayez le bien avant la prestation de serment, vous pouvez avoir des surprises. On ne se voit pas toujours tel que l'on est, et on oublie assez vite comment on a été).

Il faudra ensuite intégrer des listes de diffusion spécialisées dignes de ce nom. Dans mon domaine, il y a celle du LERTI, gratuite et de très bonne qualité. Vous pourrez y appeler à l'aide lorsqu'un magistrat trouvera très naturel que vous sachiez contacter le service légal d'Orange ou de Free pour leur transmettre une commission rogatoire afin de remplir la mission qui vous est demandée. Si vous êtes coincés par un problème technique compliqué (ou pas), il y aura toujours une bonne volonté pour vous renseigner.

Ensuite, il faudra suivre une formation sur la procédure expertale. Si vous n'avez aucune formation juridique, il me semble de bon conseil de vous dire d'acheter tous les ouvrages consacrés à l'expertise judiciaire que vous pourrez trouver, et à les étudier consciencieusement. Tout le monde n'est pas marié à une avocate...

Pour la veille concernant l'activité expertale, certains magistrats animent des groupes de discussion (je participe à l'un d'entre eux sur Google Groups) où toutes les informations publiées sur ce sujet sont remontées. Discutez-en dans votre compagnie pour savoir si c'est le cas dans votre cour d'appel.

Il faudra réfléchir à votre prix de marché concernant vos notes de frais et honoraires (lire ce billet par exemple), à votre structure juridique permettant d'établir des factures (j'ai choisi le statut d'auto-entrepreneur) et à votre déclaration fiscale (lire ce billet). Ne me contactez pas sur ces sujets que je ne maîtrise pas du tout : parlez-en avec votre compagn(i)e.

Enfin, il faudra attendre votre première désignation par un magistrat. Certains experts ne sont pas désignés du tout pendant leurs deux années de probation, ce qui ne manque pas de les laisser perplexes. Surtout que le dossier de renouvellement demande le nombre de missions effectuées... Mystère de la procédure.

Quoi qu'il arrive, je vous félicite d'avoir choisi de servir cette admirable administration qu'est la justice, et d'avoir été choisi. Faites honneur à votre serment, et restez indépendant.

Bon courage.

Et si vous avez des anecdotes à raconter, c'est par ici ;-)


20 mars 2016

Boot sur une image disque

Je termine une expertise sur laquelle le démarrage de l'ordinateur m'a fait gagner un temps précieux : j'ai pu remarquer pas mal de choses à partir de l'environnement de travail (image de fond d'écran, écran de veille basé sur un diaporama d'images, disposition des icones sur le bureau, etc.). C'est fou ce qu'on peut apprendre de ce genre de petits détails...

Et rien de plus simple à constater qu'en démarrant l'ordinateur. Oui, mais il n'est pas possible de modifier le contenu du disque dur que je dois analyser (afin de permettre à d'éventuelles autres expertises de pouvoir être pratiquées dans les mêmes conditions). Et tout le monde se doute qu'il se passe plein de choses quand on démarre un ordinateur, et que la majorité de ces choses modifient le contenu du disque dur. C'est pour cela qu'il faut toujours travailler sur une copie fidèle du disque dur. Et démarrer l'ordinateur sous la forme d'une machine virtuelle.

J'ai déjà expliqué sur ce blog comment je pratique pour prendre une image bit à bit d'un disque dur (lire par exemple ce billet).

J'ai également expliqué comment je convertissais cette image en machine virtuelle à l'aide d'un logiciel qui s'appelle Live View (lire ce billet). Mais ce logiciel ne semble plus maintenu et je rencontre de plus en plus de difficultés à l'utiliser. Du coup, j'ai souvent utilisé directement les outils en ligne de commande de VirtualBox: il suffit en effet d'une seule ligne de commande pour convertir une image bit à bit en disque exploitable sous VirtualBox:

VBoxManage  convertfromraw  image.dd  image.vdi  --format VDI --variant Fixed

(la dernière option permettant d'avoir un disque de taille fixe, la valeur par défaut de VBoxManage étant un disque de taille dynamique).

Le problème de cette commande est qu'elle est gourmande en temps et en ressources disques, puisqu'elle crée un double de l'image initiale.

Depuis que j'ai migré mon poste de travail personnel de Windows vers la distribution GNU/Linux Mint, j'explore de manière plus systématique les outils de l'univers GNU/Linux.

J'ai ainsi découvert une "vieille" commande disponible sur presque toutes les plateformes: xmount. Cette commande permet de créer un disque VirtualBox directement à partir de l'image bit à bit, sans la modifier, en créant un cache contenant toutes les modifications qui seront apportées sur le disque.

Ma procédure est maintenant la suivante:
mkdir toto
xmount  --out  vdi  --cache  image.cache  image.dd  ./toto

Je trouve ensuite dans le répertoire "toto" le fichier disque que j'utilise dans la machine virtuelle que je crée ensuite dans VirtualBox.

Si je ne connais pas les mots de passe Windows, je démarre la machine virtuelle avec le live cd ophcrack ou avec offline NT password. Si j'ai un écran bleu de la mort (parce que Windows n'aime pas démarrer sur du matériel différent de celui sur lequel il a été installé), j'utilise OpenGates qui fait office de baguette magique (sous Windows).

Je pose ça ici, si cela peut aider quelqu'un à booter sur une image disque. Il y a beaucoup d'autres méthodes et outils, mais ce sont ceux que j'utilise en ce moment.

PS: Je dois être l'un des derniers à utiliser "toto" dans mes exemples informatiques, mais les étudiants en rigolent encore, alors bon :-)

25 février 2016

L'expert judiciaire et les accords toltèques

Source image Wikipédia
J'ai découvert les accords toltèques lors d'une formation dans mon groupe GERME. J'ai trouvé que cette discipline de vie pouvait remarquablement s'appliquer à l'activité d'expert judiciaire.

Un peu d'histoire :

Miguel Ruiz est un neurochirurgien mexicain qui a failli mourir lors d'un accident de voiture. après ce drame, il change radicalement sa vie : il abandonne la médecine et se consacre aux savoirs anciens de ses ancêtres toltèques. Il a écrit en 1997 un livre qui est devenu rapidement un best-seller mondial : "les quatre accords toltèques". Il est aujourd'hui conférencier à travers le monde et auteurs de plusieurs livres, dont "Le cinquième accord toltèque" en 2010.

Les accords toltèques sont très simples à énoncer, mais derrière cette simplicité se cache une puissance qui peut servir de philosophie de vie, de principe de management ou encore de base personnelle de progrès.

A titre personnel, je suis plutôt bien en phase avec les accords toltèques, mais j'ai beaucoup de marges de progrès sur plusieurs d'entre eux. Ils m'ont été présentés dans le cadre du management (un management avec des valeurs humanistes), mais ce qui m'intéresse ici, c'est de voir comment ils peuvent s'appliquer à l'activité d'expert judiciaire.

Entrons dans le vif du sujet.


Accord n°1 : Que votre parole soit impeccable.
Parlez avec intégrité. Ne dites que ce que vous pensez vraiment. Évitez d'utiliser la parole pour vous exprimer contre vous-même ou pour médire d'autrui. Utilisez la puissance de la parole dans le sens de la vérité et de l'amour.
(source "Pratique de la voie toltèque" par Don Miguel Ruiz)

Lors d'une réunion d'expertise, les mots ont une importance capitale. L'atmosphère est souvent très électrique, voire explosive. Les parties sont en litige, des courriers recommandés ont été échangés, les avocats sont intervenus et ont mis en lumière des accusations souvent douloureuses, le magistrat sollicite votre avis (technique). Si le mot "amour" n'a pas nécessairement sa place dans ce contexte, le mot "vérité" prend une importance toute particulière. Vous n'êtes pas là pour faire de la diplomatie, ni pour juger les parties, mais pour remplir une fonction de la manière la plus objective, la plus scientifique possible, "en votre honneur et en votre conscience".

La parole n'est pas seulement un son mais est aussi un symbole écrit. Le rapport remis par l'expert judiciaire doit être "impeccable", mot qui vient du latin pecatus (péché) avec le radical im- (sans). Un rapport sans péché, sans défaut, qui va dans le sens de la vérité. Le mauvais usage de la puissance de la parole crée l'enfer. On l'utilise pour médire, pour critiquer, pour culpabiliser, pour détruire. Ce n'est pas le rôle attendu de l'expert judiciaire.

Depuis quelques années, je pratique des exégèses expertales, c'est-à-dire des contre-expertises privées, où il m'arrive souvent d'avoir à critiquer le travail réalisé par un confrère. C'est pour moi un exercice difficile, parfois, de bien peser les mots que j'utilise, sans pour autant tomber dans la langue de bois. "Que votre parole soit impeccable" semble être une évidence, mais plus j'y réfléchit, et plus je me rends compte que ce point est important et difficile.


Accord n°2 : Quoiqu'il arrive, n'en faites pas une affaire personnelle.
Vous n'êtes pas la cause des actes d'autrui. Ce que les autres disent et font n'est qu'une projection de leur propre réalité, de leur propre rêve. Lorsque vous êtes immunisé contre les opinions et les actes d'autrui, vous n'êtes plus la victime de souffrances inutiles.(source "Pratique de la voie toltèque" par Don Miguel Ruiz)

Dans un débat contradictoire (au sens "en présence de toutes les parties"), chacun défend sa position, son opinion, ses intérêts. Le devoir de l'expert est dans la recherche de la vérité. Lorsqu'il s'en approche, et qu'il le fait nécessairement savoir, il devient la cible des coups d'une des parties. Pour autant, il ne faut pas en faire une question personnelle. Sauf en cas d'agression, bien entendu (relire le billet "les risques du métier" à ce sujet).

Lorsque vous faites une affaire personnelle de ce qui vous arrive, vous vous sentez offensé et votre réaction consiste à défendre vos croyances, ce qui provoque des conflits. Vous faites tout un plat d'un petit rien, parce que vous avez besoin d'avoir raison et de donner tort à autrui. Vous vous efforcez aussi de montrer que vous avez raison, en imposant votre opinion aux autres.

Le magistrat vous demande votre avis. Cela ne veut pas dire que vous devez arriver à modifier les opinions des autres. Surtout les opinions qu'ils ont sur vous, ou du moins susceptibles de vous atteindre personnellement.

C'est un point sur lequel j'ai encore beaucoup de progrès à faire : je suis par exemple très sensible aux attaques personnelles que le philosophe allemand Arthur Schopenhauer appelle "Argumentum ad personam" dans son ouvrage "l'Art d'avoir toujours raison" :
Extrait de Wikipédia
« Si l’on s’aperçoit que l’adversaire est supérieur et que l’on ne va pas gagner, il faut tenir des propos désobligeants, blessants et grossiers. Être désobligeant, cela consiste à quitter l’objet de la querelle (puisqu’on a perdu la partie) pour passer à l’adversaire, et à l’attaquer d’une manière ou d’une autre dans ce qu’il est : on pourrait appeler cela argumentum ad personam pour faire la différence avec l’argumentum ad hominem. Ce dernier s’écarte de l’objet purement objectif pour s’attacher à ce que l’adversaire en a dit ou concédé. Mais quand on passe aux attaques personnelles, on délaisse complètement l’objet et on dirige ses attaques sur la personne de l’adversaire. On devient donc vexant, méchant, blessant, grossier. C’est un appel des facultés de l’esprit à celles du corps ou à l’animalité. Cette règle est très appréciée car chacun est capable de l’appliquer, et elle est donc souvent utilisée. La question se pose maintenant de savoir quelle parade peut être utilisée par l’adversaire. Car s’il procède de la même façon, on débouche sur une bagarre, un duel ou un procès en diffamation. »

Il est évident que l'expert judiciaire ne doit pas se placer sur ce terrain, ni se laisser y emmener. Quoiqu'il arrive, n'en faites pas une affaire personnelle.


Accord n°3 : Ne faites pas de suppositions.
Ayez le courage de poser des questions et d'exprimer ce que vous voulez vraiment. Communiquez le plus clairement possible avec les autres, afin d'éviter les malentendus, la tristesse et les drames. Avec ce seul accord, vous pouvez complètement transformer votre vie.
(source "Pratique de la voie toltèque" par Don Miguel Ruiz)
Nous avons tendance à faire des suppositions à propos de tout. Le problème est que nous croyons ensuite que ses suppositions sont devenue la vérité. Nous serions parfois prêt à jurer qu'elles sont vraies. Il est très intéressant de voir comment l'esprit humain fonctionne. L'Homme a besoin de tout justifier, de tout expliquer, de tout comprendre, afin de se rassurer. Il y a des millions de questions auxquelles nous cherchons les réponses, car il y a tant de choses que notre esprit rationnel ne peut expliquer. C'est pour cela que nous faisons des suppositions. Le problème est de croire que ses suppositions sont la vérité.

Nous supposons que tout le monde voit le monde comme nous le voyons.
Nous supposons que les autres pensent comme nous pensons, qu'ils ressentent les choses comme nous les ressentons, qu'ils jugent comme nous jugeons.

Il s’agit de prendre conscience que nos suppositions sont des créations de notre pensée.

Il y a des méthodes pour éviter les suppositions. Par exemple, quand quelqu'un vous pose une question, il faut éviter de répondre directement. Il faut d'abord reformuler la question pour s'assurer auprès du questionneur qu'on l'a bien comprise. Cela évite souvent les malentendus et les réponses "à côté".

Pendant longtemps, je coupais souvent la parole, parce que j'avais compris ce que mon interlocuteur voulait me dire et que je voulais réagir, argumenter, expliquer. Il m'a fallu du temps, et du coaching, pour apprendre à écouter. Et de cette écoute, pour apprendre à comprendre ce que voulait vraiment dire mon interlocuteur. Et d'avoir le courage de poser des questions, quitte à passer pour quelqu'un de long à la comprenette. Dans le cadre d'une réunion d'expertise, où plusieurs profils de compétence sont présents - tous experts dans leur domaine - cet accord toltèque n°3 prend tout son sens. Il faut prendre le temps d'éviter les suppositions, les non-dits, les sous-entendus, les contresens culturels.

Il faut exposer ses missions, les expliquer, s'assurer que tout le monde comprend la même chose. Il faut écouter, poser des questions, exposer et expliquer son point de vue. Il faut faciliter la communication entre les personnes, et a minima entre toutes les personnes et soi-même.

J'ai aussi remarqué que ce point permet réellement d'améliorer sa vie, de se rapprocher de ses collègues, de mieux comprendre ses enfants, sa compagne, ses amis... C'est le point que je cherche à travailler le plus : "ne faites pas de suppositions" sans faire de vérifications.


Accord n°4 : Faites toujours de votre mieux.
Votre "mieux" change à chaque instant ; il n'est pas le même selon que vous êtes en bonne santé ou malade. Quelles que soient les circonstances, faites simplement de votre mieux et vous éviterez ainsi de vous juger ultérieurement, de vous maltraiter et d'avoir des regrets.(source "Pratique de la voie toltèque" par Don Miguel Ruiz)
Le pire piège est la course à la perfection. En psychologie positive, les chercheurs étudient la notion de perfection, comme une notion qui entraîne de nombreuses émotions négatives. Nous voulons être parfaits, nous voulons que les autres soient parfaits, etc. Nous construisons des illusions mentales de perfection. La vie quotidienne et la réalité extérieure nous enseignent que la perfection est un but idéal et non une réalité concrète.

Comment être satisfaits, heureux et épanouis tout en sachant que la perfection est par définition, inatteignable car inhumaine ?
Reprendre pieds dans le présent et se donner totalement dans chaque instant. Donner toute son énergie, ses compétences, ses qualités et son temps pour la tâche que nous avons décidé d’accomplir. Un fois accomplie, cette tâche peut nous apporter un sentiment d’accomplissement, même si tout n’est pas parfait.

J'ai compris très jeune comment faire pour ne pas avoir de regrets : il me suffit de bien réfléchir à toutes les options qui s'offrent à moi, lors d'une décision importante, puis de prendre la meilleure option, compte tenu des cartes que j'ai en main. Bien entendu, j'ai parfois fait de mauvais choix, mais très souvent, je ne pouvais me rendre compte du caractère "mauvais" que plus tard, lorsque de nouvelles cartes apparaissaient dans mon jeu. Et à chaque fois, tout en corrigeant les effets de mon mauvais choix, je n'en voulais pas à mon "moi" antérieur puisqu'il avait fait de son mieux, avec les éléments dont il disposait.

Bien entendu, ce point est difficile en expertise judiciaire, où la perfection est attendue. C'est pourquoi l'activité d'expert judiciaire demande autant de travail et de précautions. Il faut garder en tête les regrets du professeur Tardieu qui, en tant qu'expert, a fait condamner tant d'innocents. Pourtant Tardieu ne s'est jamais trompé. Il a simplement subi les ignorances de la science.



Accord n°5 : Soyez sceptique, mais apprenez à écouter.
Ne vous croyez pas vous-même, ni personne d'autre. Utilisez la force du doute pour remettre en question tout ce que vous entendez : est-ce vraiment la vérité ? Écoutez l'intention qui sous-tend les mots et vous comprendrez le véritable message.
Être capable d’écouter signifie, comme dans les groupes de paroles, d’être capable de se taire et de laisser autant de place à la vérité de l’autre qu’à la sienne. Vaste programme.

Au civil et au commerce, l'expert judiciaire doit rendre un avis, sur des questions posées par le juge, et pour cela, il doit organiser des réunions contradictoires où toutes les parties vont pouvoir d'exprimer devant lui. Tous les arguments vont être fournis. Il faut réellement se présenter à cette réunion avec la plus grande ouverture d'esprit possible, pour favoriser l'écoute, tout en doutant de chaque argument. C'est difficile, souvent fastidieux, mais nécessaire pour pouvoir se forger un avis solide.

Là aussi, les mots utilisés ont leurs importances, avec des sens qui ne sont pas forcément les mêmes pour tout le monde. Il faut découvrir l'intention cachée derrière chaque mot, derrière chaque phrase.

Il faut aussi douter de soi-même, de ces certitudes, et arriver à se laisser convaincre par les bons arguments, pour approcher la vérité.

Et ce n'est pas simple.





11 janvier 2016

Devenir Expert Judiciaire

Vous êtes nombreux à me contacter pour avoir des détails sur la question de savoir comment devenir expert judiciaire. Je vais répondre de manière groupée en rédigeant une mise à jour de mes billets précédemment publiés sur ce sujet.

Expert Judiciaire : définition.
"Les experts judiciaires sont des professionnels spécialement habilités, chargés de donner aux juges un avis technique sur des faits afin d’apporter des éclaircissements sur une affaire. Ce sont des spécialistes de disciplines très variées (médecine, architecture, gemmologie, économie et finance, etc.).
Leurs avis ne s'imposent pas aux juges qui restent libres de leur appréciation."
Source : Ministère de la Justice

Les experts judiciaires sont des professionnels reconnus pour leur compétence et leur expérience dans leur domaine d'activité qui sont chargés par le juge d'apporter des éclaircissements et de donner un avis technique sur des éléments d'une affaire. Ils prêtent serment et exercent leur mission en toute indépendance sous le contrôle du juge.
Les experts sont inscrits sur une liste établie auprès de chaque cour d'appel. Ils perçoivent des honoraires dont le montant, selon les domaines, est réglementé ou fixé par le juge.
Source : Cour d'Appel d'Angers
Un expert judiciaire, c'est quelqu'un qui est inscrit sur une liste tenue par une Cour d'Appel. Le simple fait d'être inscrit sur cette liste donne le droit d'utiliser le titre "d'expert près la Cour d'Appel de X". Cette liste permet aux magistrats ayant besoin d'un avis technique de désigner quelqu'un pouvant les éclairer dans une affaire sur laquelle ils travaillent.

Pour être inscrit sur cette liste, vous devez avoir un "vrai" métier (celui qui vous fait vivre). Les magistrats qui gèrent cette liste considèrent que l'activité d'expert judiciaire doit être une activité annexe, ce qui me semble tout à fait raisonnable, tant il serait dangereux de vivre uniquement aux crochets des régies judiciaires, qui payent souvent avec beaucoup de retards (lire ce billet par exemple).

Le titre d'expert judiciaire est un titre prestigieux... Ou du moins qui jouit d'un certain prestige. Beaucoup de personnes aimeraient bien l'ajouter sur leur CV ou sur leur carte de visite. Certains considèrent même qu'il s'agit de la consécration ultime d'une carrière professionnelle, une forme de reconnaissance auprès de leurs pairs. Mais ne vous y trompez pas, en demandant à être inscrit sur une liste de Cour d’appel, vous acceptez seulement de consacrer une partie de votre temps au service de la justice et de lui apporter votre concours, vos connaissances techniques, votre expérience professionnelle en exécutant telle mission qui peut vous être confiée par une juridiction.


Devenir expert judiciaire : mode d'emploi.

La procédure pour devenir expert judiciaire est relativement simple: il vous suffit de déposer un dossier avant le 1er mars de chaque année auprès du procureur de la République. Votre dossier va suivre tout un parcours, et s'il est accepté, vous verrez votre nom inscrit sur une liste gérée par votre Cour d'Appel. L'inscription sur cette liste fait de vous un expert judiciaire. Bravo cher confrère ou chère consœur.

Le dossier de demande d'inscription sur la liste des experts judiciaires doit comprendre toutes les précisions utiles permettant de juger de la qualité de votre candidature, notamment les renseignements suivants :
1° Indication de la ou des rubriques ainsi que de la ou des spécialités dans lesquelles l'inscription est demandée. Vous trouverez la nomenclature des branches, rubriques et spécialités sur ce site.
2° Indication des titres ou diplômes du demandeur, de ses travaux scientifiques, techniques et professionnels, des différentes fonctions qu'il a remplies et de la nature de toutes les activités professionnelles qu'il exerce avec, le cas échéant, l'indication du nom et de l'adresse de ses employeurs. En terme plus simple, ressortez votre CV et mettez le à jour.
3° Justification de la qualification du demandeur dans sa spécialité. Vous avez des lettres de recommandation, des courriers de vos pairs qui admirent vos compétences, c'est le moment de les sortir de leurs cadres et d'en faire une photocopie.
4° Le cas échéant, indication des moyens et des installations dont le candidat peut disposer. Vous travaillez dans une université ou dans une grande entreprise dont vous avez le droit d'utiliser les installations pour une prestation extérieure officielle, si possible gratuitement, alors c'est le moment de le signaler par écrit. L'institution judiciaire est si mal pourvue en budget par les politiques en charge des affaires...

Un coup d’œil sur le site web de votre Cour d'Appel est indispensable pour savoir s'il faut des documents complémentaires (photos, etc.) et pour télécharger le document intitulé "dossier de candidature".


Comment s'effectue le choix parmi les candidatures ?

La décision d'inscription est prise par l'assemblée générale des magistrats du siège après enquête du Parquet. 
C’est en fonction des besoins exprimés par les juridictions du ressort que l’assemblée générale de la cour d'appel apprécie les mérites des candidatures en veillant à ne retenir que celles déposées par d’excellents professionnels présentant, par ailleurs, des garanties de moralité, d’impartialité, d’indépendance et de disponibilité.
Source : dossier de candidature à la Cour d'Appel de Paris
Je n'en sais pas plus. La procédure de sélection est relativement opaque : vous pouvez avoir un dossier fantastique, mais postuler une année où la Cour d'Appel n'a pas de besoin, ou inversement... Vous ne devez pas être déçu de ne pas être inscrit dès la première demande. Le nombre d'experts retenus tient à des facteurs indépendant des candidats, comme l'évolution du nombre d'expertises, le nombre d'experts dans une discipline, les orientations générales de la Chancellerie ou encore à d'autres facteurs relatifs à l'institution judiciaire. Seuls les magistrats pourraient indiquer quels sont les critères qui tiennent aux candidats eux-mêmes. Au vu des pièces demandées, on peut toutefois estimer que les magistrats examinent la compétence, l'expérience, la notoriété, la disponibilité, l'indépendance et les moyens de remplir les missions que présentent les candidats.

Le rejet de la demande d'inscription sur la liste des experts, doit être spécialement motivé : l'assemblée générale des magistrats du siège, doit mettre l'intéressé en mesure de connaître les raisons pour lesquelles sa demande a été rejetée (source Dictionnaire du Droit Privé de Serge Braudo). 

Un conseil: après un refus, ne pas hésiter à représenter sa candidature l'année suivante, surtout si l'on peut faire valoir des éléments nouveaux.


Faut-il suivre une formation particulière pour devenir expert judiciaire ?

A ma connaissance, il n'y a pas de formation obligatoire pour devenir expert judiciaire. Il me semble important néanmoins de vous rapprocher du regroupement d'experts judiciaire de votre Cour d'Appel pour en savoir plus. Ces regroupements sont de statut associatif et s'appellent en général "Compagnie pluridisciplinaire d'experts de justice" et il y en a souvent une par Cour d'Appel. Je ne comprendrais pas un candidat expert judiciaire qui ne se rapprocherait pas de la compagnie pluridisciplinaire de sa Cour d'Appel. Y adhérer, au moins au début, est un conseil que je donne toujours.

Par contre, une fois inscrit sur la liste des experts judiciaires, il y a des sessions de formation obligatoire à suivre, en particulier sur la procédure. Ne les manquez pas !


Conclusion.

Il vous reste jusque fin février pour déposer votre dossier (qui doit être arrivé avant le 1er mars). N'oubliez pas de relire quelques billets de ce blog dans la rubrique Expert, et en particulier celui-ci avant de vous lancer dans l'aventure.

Pour casser un peu le mythe, la lecture de ce billet peut être utile...

Si votre demande est acceptée, vous serez convoqué pour prêter serment. C'est aussi le bon moment pour contacter une compagnie d'experts pour parler formations, procédures, assurance, et pour comprendre également dans quel guêpier vous êtes tombé avant de contacter les impôts, l'URSAFF et autres joyeusetés à qui vous allez expliquer votre activité (et comment ils doivent la gérer).

A bientôt, chère consœur et cher confrère :-)

12 octobre 2015

Tome 6

Oyez, oyez, oyez braves gens, le tome 6 de la série "Dans la peau d'un informaticien expert judiciaire" vient de sortir ! Il s'intitule "Yéléna" en référence à la petite fille qui revient souvent dans certaines de mes expertises.
Vous pouvez le commander au format papier chez mon éditeur, et parce que j'aime l'esprit de partage qui règne sur internet, il est également disponible gratuitement sans DRM au format PDF (cliquez sur les liens) :

- Papier (238 pages chez mon éditeur lulu.com)
- Pdf (2967 Ko)

Bien sûr, les tomes précédents sont encore disponibles, en format papier ou électronique sur la page publications.


Avertissements :

Les habitués du blog le savent, mais cela va mieux en l'écrivant: la publication des billets de mon blog, sous la forme de livres, est surtout destinée à ma famille et à mes proches. C'est la raison pour laquelle j'ai choisi la démarche d'une autopublication. J'ai endossé tous les métiers amenant à la publication d'un livre, et croyez moi, ces personnes méritent amplement leurs salaires! Mise en page, corrections, choix des titres, choix des couvertures, choix du format, choix des polices de caractère, marketing, numérisation, etc., sont un aperçu des activités qui amènent à la réalisation d'un livre. Je ne suis pas un professionnel de ces questions, je vous prie donc de m'excuser si le résultat n'est pas à la hauteur de la qualité que vous pouviez attendre. Le fait d'avoir travaillé seul (avec Mme Zythom-mère pour la relecture, merci à elle), explique aussi le faible prix de la version papier pour un livre de 238 pages.

Je me dois également, par honnêteté envers les acheteurs du livre, de dire que les billets en question sont encore en ligne et le resteront. Les billets publiés dans le livre sont identiques, à part l'insertion des liens en clair, la correction des fautes de frappe et la mise en page.

J’espère que ce tome 6 vous plaira. N'hésitez pas à le faire découvrir autour de vous et à le partager.

En tout cas, je vous en souhaite une bonne lecture.

19 juin 2015

L'apprentissage douloureux du freelance débutant

Je me suis lancé depuis quelques temps dans une activité freelance, dont je parle un peu sur mon blog dans cette rubrique, et aujourd'hui j'ai envie de vous faire partager mes erreurs de débutant...

Je suis avant tout un passionné de la technique. J'aime la bidouille et je suis toujours curieux du fonctionnement d'un ordinateur, d'un système d'exploitation, d'un système de virtualisation, ou d'une paire de lunettes de visualisation 3D.

Je suis depuis 1999, prestataire de service auprès de ma cour d'appel, inscrit à la rubrique qui va bien sur la liste des experts judiciaires. J'attends qu'un magistrat ait besoin de moi et je réponds en mon honneur et conscience aux missions qu'il souhaite me confier.

Quand on se lance dans une activité freelance, il y a une dimension supplémentaire à prendre en compte : le marketing. Je vous laisse lire cette merveilleuse page Wikipédia qui relève pour moi plus du chinois que d'une passion première. J'ai beaucoup simplifié la méthodologie pour l'adapter à mon niveau : j'ai une gamme de services, je dois les faire connaître auprès de mes clients potentiels, puis amorcer le cercle vertueux de la satisfaction client.

La gamme de service est simple, j'en ai déjà parlé dans ce billet (je ne vais pas y revenir, il y a des lecteurs que ça agace ;-). La satisfaction client est simple également : il suffit d'accepter des missions pour lesquelles je suis compétent, puis de bien travailler. C'est la partie identique aux missions judiciaires. Mais entre les deux, il y a une petite difficulté : il faut se faire connaître auprès de ses clients potentiels...

Tout d'abord, il faut définir ses prospects : qui sont mes clients potentiels ? Dans mon cas, j'ai décidé de me limiter aux seuls avocats. Mon marché est donc une niche très petite : les avocats souhaitant se faire assister (eux ou leurs clients) par un expert informatique (cf gamme de service).

Les objectifs de ma campagne de prospection sont donc simples : je dois contacter les 56 000 avocats de France pour leur proposer mes services. Bien. Mais comment ? J'organise une réunion de brain storming avec moi-même et en dix secondes j'ai trouvé la solution parfaite :

"Bah, je vais leur écrire un email."

C'est ainsi qu'avec la foi du jeune débutant, je me suis lancé dans une magnifique campagne de promotion basée sur l'envoi massif d'emails. Si, si. Même pas peur. Sans penser une seconde aux conséquences. Sans tenir compte d'une longue expérience dans la lutte permanente contre ce fléau de l'email non sollicité. J'ai même écrit sur ce blog deux billets consacrés à ce passionnant sujet (sur une bourde en 2006 et sur postgrey en 2007).

C'est donc avec cette foi inébranlable en ma bonne étoile que j'ai commencé à collecter à la main tous les emails des avocats de France, de Navarre et d'Outre-Mer (on dit maintenant DROM-COM). Pendant six mois, à raison d'une heure par jour tous les soirs après le repas, j'ai écumé A LA MAIN tous les sites des barreaux, j'ai copié A LA MAIN toutes les adresses emails de tous les sites d'avocats que j'ai pu trouver. Bref, je me suis constitué un fichier prospect (déclaré à la CNIL) grâce à ce travail de romain...

Au bout de six mois, j'étais à la tête d'un fichier de 45000 adresses emails !

Et là, j'ai commis ma première grosse erreur technique : fidèle au principe du DIY (Do It Yourself, ou FLVM dans la langue de Jean-Baptiste Poquelin) , muni du logiciel qui va bien (dont je tairai le nom, à cause du réchauffement climatique), j'ai envoyé le plus gros emailing de toute ma vie : 45000 emails personnalisés.

Là, je pense que mes lecteurs vont se séparer en deux groupes : ceux qui vont éclater de rire, et ceux qui vont pleurer toutes les larmes de leur corps (les deux groupes ayant une intersection non vide).

Cher lecteur clairvoyant, pourquoi cette tentative était-elle vouée à l'échec ?
Il y a plusieurs raisons que j'expose ci-après, uniquement dans un esprit de partage destiné aux jeunes freelances "ayant trop la foi", et pas du tout pour (plus) me ridiculiser :
- qui, de nos jours, accepte de lire avec sérieux un email publicitaire, et prend note des coordonnées pour une prise de contact ultérieure ?
- les fins techniciens que vous êtes ont parfaitement perçu qu'au bout de quelques heures, le nom de domaine que j'ai acheté pour réaliser mon emailing était durablement blacklisté par tous les gros opérateurs de messagerie, malgré la déclaration en règle de mon serveur smtp.

Résultats de cet énorme emailing :
- 45000 emails envoyés
- 1500 retours "user unknown" sur des adresses emails pourtant affichées sur les sites des barreaux
- 2000 systèmes antiSPAM me demandant de cliquer pour prouver que je suis un humain et pour que mon email puisse être distribué
- 50 réponses m'informant avoir pris bonne note de mes coordonnées
- 5 engueulades par email
- 1 plainte auprès du président du Conseil National des Compagnies d'Expert de Justice (qui a contacté aussitôt le président de ma compagnie d'expert de justice pour me demander d'arrêter immédiatement, ce qui a entraîné rapidement la décision décrite dans ce billet).

Conclusion à destination des freelances débutants : ne faites pas comme moi, et évitez à tout prix la prise de contact par email. Il faut privilégier une méthode plus douce, plus agréable pour le prospect. Pour ma part, j'ai choisi les réseaux sociaux professionnels. J'utilise donc maintenant LinkedIn et Viadéo pour proposer aux avocats d'être en contact avec moi (avec une forte préférence pour LinkedIn). J'ai un taux d'acceptation assez élevé, preuve que mon profil intéresse quand même les avocats. Ensuite, je les contacte par le biais de la messagerie interne du réseau social pour préciser ma démarche de service.

C'est plus long, mais c'est plus respectueux des usages.

Ne me lancez pas la pierre et souvenez vous de vos premiers pas.
On peut débuter, même après 50 ans.
Soyez indulgents, il y a des erreurs plus graves...


03 juin 2015

Les choses ne sont pas toujours ce qu'elles paraissent

Cette expertise est délicate : je dois accompagner un huissier de justice pour faire un constat sur un ordinateur d'entreprise.

Encore une fois, je connais peu le contexte technique avant l'intervention. Vais-je trouver un terminal relié à un AS/400, un magnifique Macintosh, un classique ordinateur sous Windows, un surprenant poste sous GNU/Linux ou un client léger très tendance ?

Je me rapproche de l'huissier à qui j'explique mes interrogations et qui me renvoie vers le chef d'entreprise. Je contacte icelui, qui m'informe que le poste du salarié ciblé est un classique poste sous Windows XP (nous sommes dans les années 2000), même pas virtualisé.

Je m'équipe pour l'intervention et nous voilà dans l'entreprise devant le poste de travail. Le constat est rapide, précis. L'huissier est efficace et notre couple fonctionne bien. En fin d'intervention, il m'est demandé de faire une copie du disque dur à fin d'analyse et de remettre le disque dur original à l'huissier qui le met sous scellé.

Me voilà chez moi, sur mon ordinateur personnel, à analyser le contenu du disque dur du salarié à la recherche des éléments constitutifs de la faute lourde. Je lance l'analyse du disque dur et mes scripts d'extraction de données. Je jette un coup d’œil aux résultats avant d'aller me coucher, l'affaire semble entendue...

Le lendemain, je commence la rédaction de mon rapport en annexant tous les documents gênants retrouvés sur l'ordinateur. Je les classe dans les catégories suivantes :
- les fichiers non effacés présents sur le compte informatique du salarié
- les fichiers non effacés présents hors du compte informatique du salarié
- les fichiers effacés toujours présents dans la corbeille du compte informatique
- les fichiers effacés toujours présents sur le disque dur (hors compte).

Les données "intéressantes" sont, dans cette affaire là, dans la dernière catégorie, en particulier dans la zone "non allouée" du disque dur.

Suivant les précautions d'usage, je rédige le rapport en précisant que les données retrouvées ne disposant plus des métadonnées du système d'exploitation, il n'est pas possible de les dater ni d'en connaître l'origine. Concentré sur ma rédaction, j'explique que les bribes de données retrouvées sont regroupées par mon logiciel de récupération dans des fichiers, mais que l'histoire du (nom du) fichier d'origine a disparu.

Ces données sont pourtant bien présentes sur le disque dur de l'ordinateur que l'entreprise a attribué à son salarié mis en cause.

Soudain, un doute m'assaille...
Je contacte le service informatique de l'entreprise, et avec l'autorisation du chef d'entreprise, je leur pose quelques questions concernant la gestion du parc informatique. Je découvre alors que l'entreprise fait tourner son parc, en affectant les ordinateurs puissants et neufs au service R&D, puis les "recycle" un an après aux salariés des bureaux, et enfin dans les ateliers.

Le disque dur que j'analyse a donc eu plusieurs vies, le service informatique procédant à chaque fois à un formatage rapide du disque avant d'installer la nouvelle configuration adaptée au salarié.

Les données traînant dans la zone non allouée du disque dur n'appartiennent à personne et il m'est impossible de retracer leur historique de transfert. Ces données peuvent tout aussi bien avoir été introduites sur le disque dur par le dernier salarié auquel l'entreprise a affecté l'ordinateur, que par le premier.

J'ai travaillé ma rédaction en insistant pédagogiquement sur ces points et j'ai rendu mon rapport.

Quelques mois plus tard, j'apprenais qu'un collègue de ce salarié avait reconnu la faute grave, pris sur le fait en train de manipuler les données confidentielles interdites. J'ai appelé le service informatique de l'entreprise qui m'a confirmé que l'ordinateur avait été affecté un temps à ce salarié, et que mon rapport les avait forcé à tracer l'historique de l'affectation du poste de travail.

Rétrospectivement, j'ai félicité mon moi antérieur pour les précautions qu'il avait prises, évitant ainsi d'incriminer un innocent. Jeunes experts en informatique, pesez avec prudence les affirmations que vous écrivez dans vos rapports. N'oubliez pas que derrière un compte informatique nominatif peut se cacher une autre personne (connaissant le mot de passe du compte qui n'est pas le sien). N'oubliez pas qu'un logiciel malveillant peut simuler une action délictuelle à l'insu de l'utilisateur de l'ordinateur. Et n'oubliez pas qu'une donnée égarée sur un disque dur peut avoir été introduite par un utilisateur antérieur. N'oubliez pas non plus les logiciels de prise de contrôle à distance et autres produits de déploiement applicatifs...

Bref, beaucoup des informations qui peuvent être extraites d'un ordinateur sont à prendre avec des pincettes.

31 mars 2015

Face à TrueCrypt

Il y a un grand nombre de cas où l'on souhaite protéger efficacement des données : c'est vrai pour un journaliste, pour un avocat, pour un activiste des droits de l'Homme, pour un médecin, pour un homme politique... C'est vrai aussi tout simplement pour toutes les personnes qui souhaitent protéger des regards envahissants certaines de leurs données privées.

Car je pense réellement que la vie privée mérite d'être protégée, et qu'il faut que chacun apprenne à sécuriser les données personnelles qu'il souhaite garder confidentielles. Personne ne souhaite voir l’État placer un micro et une caméra dans sa chambre à coucher. Nous avons tous beaucoup de choses à cacher, à commencer par notre vie intime. Je pense d'ailleurs que les choses seraient plus claires si l'on parlait de "vie intime" plutôt que de "vie privée" (c'est à cela que l'on voit que je ne suis pas juriste).

Sur ce sujet, j'ai écris en 2010 un billet consacré à ceux qui ont peur de se faire voler leur ordinateur, et dans lequel je conseillais l'utilisation du logiciel TrueCrypt. Je continue d'ailleurs à utiliser la version 7.1a de ce logiciel pour mes besoins personnels, avec containers cachés (ou pas ;-), malgré l'arrêt brutal du développement de ce logiciel et la sortie d'une version 7.2 bridée. Ceux qui souhaitent apprendre à utiliser ce logiciel, peuvent suivre cette série de billet de la blogueuse Kozlika après avoir téléchargé la version 7.1a sur ce site.

J'utilise TrueCrypt v7.1a pour protéger des disques complets, mais aussi créer de petits espaces de stockage de quelques gigaoctets sous forme de fichiers.

Je suis régulièrement contacté par des lecteurs qui me demandent si je suis déjà tombé sur des fichiers ou des disques chiffrés par TrueCrypt et si j'ai déjà réussi à ouvrir ces fichiers, sans que le propriétaire n'ait fourni le(s) mot(s) de passe.

Avant de répondre à cette question, je tiens à rappeler que je suis un informaticien tout ce qu'il y a de plus normal : je suis salarié dans une entreprise privée de formation où j'occupe un poste d'ingénieur en informatique.

Je n'ai pas suivi de formation particulière en cryptanalyse.
Je n'ai pas accès à des outils secrets.
Aucun gouvernement ne m'a confié l'accès à d'éventuelles portes dérobées.
Je ne suis pas un spécialiste en sécurité informatique.

Bref, je suis parfois déçu quand je me regarde dans une glace, mais je suis un informaticien normal : j'aime bien bidouiller un ordinateur, peaufiner une configuration, installer un nouveau système d'exploitation. J'aime bien les jeux vidéos, la science fiction, l'espace, la spéléo, l'aviron... J'aime les ordinateurs, Windows 98, j'ai fait des concours de calculatrices, je suis vraiment trop con, j'ai fait le concours du robot, qui balancera des balles en haut... (source).

Je n'ai pas plus de moyens qu'un informaticien lambda.

Que se passe-t-il alors lorsque je tombe sur un scellé qui contient des données chiffrées avec TrueCrypt ?

Réponse : rien. Je ne peux rien faire sans avoir le mot de passe. Et encore, je peux avoir un mot de passe qui ouvre le container TrueCrypt, mais pas le container caché. Je n'ai pas de code secret universel, ni de logiciel spécial me permettant d'accéder aux données. Je ne dis pas qu'ils n'existent pas, je dis que je n'y ai pas accès.

Pour autant, je ne baisse pas les bras immédiatement :
- je peux regarder si des données non chiffrées sont présentes et accessibles sur le disque dur (lire le billet intitulé "disque dur chiffré").
- je peux chercher tous les mots de passe de l'utilisateur, mots de passe stockés sur internet ou sur d'autres ordinateurs non chiffrés. Sachant que beaucoup de personnes n'utilisent que quelques mots de passe, la probabilité de trouver des mots de passe ouvrant les containers TrueCrypt est forte. Lire par exemple ce billet intitulé "Perquisition".
- je peux passer par l'enquêteur pour qu'il demande les différents mots de passe à l'utilisateur.
- je peux suspecter un fichier d'être un container TrueCrypt (avec TCHunt par exemple).

Mais si je découvre un mot de passe ouvrant un container TrueCrypt, je n'aurais pas la certitude qu'il n'existe pas un container caché (ie utilisant un autre mot de passe). J'ai une petite astuce qui me permet de flairer la présence d'un container caché : si les dates des quelques fichiers présents sur le container que j'ai réussi à ouvrir sont toutes anciennes, c'est bizarre...

Vous l'aurez compris, la protection de la vie privée et de la confidentialité assurée par TrueCrypt est exemplaire, sauf révélation surprise de l'audit de sécurité de son code [Edit du 03/04/2015: rapport d'audit (source)]. C'est à double tranchant : cela permet à un innocent de protéger ses données confidentielles, mais cela permet également à un coupable de soustraire des preuves à la justice.

Et comme la protection absolue n'existe pas, le coupable sera toujours démasqué un jour ou l'autre. C'est ce que savent également ceux qui luttent contre des régimes totalitaires et tentent de cacher des documents à des yeux trop curieux... Deux tranchants.

Quelques remarques pour finir :

Est-on obligé de fournir les mots de passe ?
Les députés français ont décidé que oui : article 434-15-2 du Code Pénal
Est puni de trois ans d'emprisonnement et de 45 000 euros d'amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d'un moyen de cryptologie susceptible d'avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en œuvre, sur les réquisitions de ces autorités délivrées en application des titres II et III du livre Ier du code de procédure pénale.

Si le refus est opposé alors que la remise ou la mise en œuvre de la convention aurait permis d'éviter la commission d'un crime ou d'un délit ou d'en limiter les effets, la peine est portée à cinq ans d'emprisonnement et à 75 000 euros d'amende.
La jurisprudence de la Cour Européenne des Droit de l'Homme sur la Convention de sauvegarde des droits de l'Homme et des libertés fondamentales rappelle, elle, le droit de ne pas participer à sa propre incrimination, et en particulier le droit de garder le silence et de ne pas communiquer des documents s'incriminant.

L'article 132-79 du Code Pénal français, augmente les peines encourues (texte en gras modifié par mes soins pour plus de clarté) :
Lorsqu'un moyen de cryptologie au sens de l'article 29 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique a été utilisé pour préparer ou commettre un crime ou un délit, ou pour en faciliter la préparation ou la commission, le maximum de la peine privative de liberté encourue est relevé ainsi qu'il suit :
1° trente ans de réclusion criminelle perpétuité ;
2° vingt ans trente ans ;
3° quinze ans → vingt ans ;
4° dix ans → quinze ans ;
5° sept ans → dix ans ;
6° cinq ans → sept ans ;
7° Il est porté au double lorsque l'infraction est punie de trois ans d'emprisonnement au plus.
Les dispositions du présent article ne sont toutefois pas applicables à l'auteur ou au complice de l'infraction qui, à la demande des autorités judiciaires ou administratives, leur a remis la version en clair des messages chiffrés ainsi que les conventions secrètes nécessaires au déchiffrement.
Enfin, l'article 230-1 du Code Pénal français précise dans son dernier alinéa :
Si la peine encourue est égale ou supérieure à deux ans d'emprisonnement et que les nécessités de l'enquête ou de l'instruction l'exigent, le procureur de la République, la juridiction d'instruction, l'officier de police judiciaire, sur autorisation du procureur de la République ou du juge d'instruction, ou la juridiction de jugement saisie de l'affaire peut prescrire le recours aux moyens de l’État soumis au secret de la défense nationale selon les formes prévues au présent chapitre.
Je précise n'avoir jamais eu accès aux "moyens de l’État soumis au secret de la défense nationale" (en dehors de mon service militaire, mais bon, c'était au millénaire précédent). Je ne vous cache pas que je n'ai aucune idée des moyens en question et que probablement je ne le saurai jamais.

Quand je n'arrive pas à accéder à des données à cause d'un chiffrement trop puissant, je l'indique dans mon rapport.
A l'impossible nul n'est tenu.
Et parfois, ce n'est sans doute pas plus mal, au moins pour moi.

01 février 2015

Septième Journée de l'Informatique Légale

J'ai eu la chance de participer aux premières journées de l'informatique légale, il y a déjà quelques années. Cela avait été pour moi l'occasion de rencontrer les roxors du LERTI, dont j'avais parlé dans le billet "Un laboratoire informatique prête serment".

Aussi, c'est avec plaisir que je peux annoncer sur ce blog l'organisation de la 7e journée de l'informatique légale qui aura lieu à Grenoble (INRIA Montbonnot) le jeudi 24 septembre 2015.

Attention, cette journée n'est pas accessible au grand public, mais réservée, sur invitation, aux spécialistes en informatique des institutions publiques et en particulier ceux de la gendarmerie, de la police et de la douane judiciaire et à ceux des autorités administratives indépendantes. Elle est ouverte aux universitaires, chercheurs, ingénieurs et techniciens des instituts et laboratoires publics ainsi qu'aux experts judiciaires du LERTI et ses correspondants. Les magistrats férus d'informatique sont chaleureusement accueillis (prendre contact avec le LERTI).

La journée comprend six ou sept exposés en français suivis d'un débat avec les participants.

APPEL À CONTRIBUTION

Si vous n'êtes pas invité, le meilleur moyen de participer est encore de contribuer... Voici les informations pratiques :
Soumission : 1er juin 2015
Notification aux auteurs : 20 juin 2015
Version finale : 1er septembre 2015
Présentation : 25 septembre 2015

Les contributeurs pourront choisir une durée courte (30 minutes dont 5 de débat), moyenne (45 minutes dont 10 de débat) ou, exceptionnellement et si le sujet l'impose, longue (60 minutes dont 10 de débat).

Les auteurs soumettront leur projet de communication au plus tard le 1er juin sous forme d'une synthèse accompagnée de la durée d'intervention souhaitée. Format de fichier de soumission : PDF. Le comité de programme notifiera le 20 juin les communications retenues. Les versions définitives devront parvenir le 1er septembre sous format Powerpoint ou PDF.

L'adresse de soumission est : contact [4r0b4s3] lerti.fr

Tous les thèmes relatifs à l'informatique légale seront pris en considération : aspects nouveaux, résultat de recherches, présentation d'outils d'investigation, retour d'expérience, voire bonne actualisation des connaissances. A titre d'information, les desiderata des participants de la sixième journée sont rappelés ci-dessous. Le contenu des communications doit rester technique : publicité, discours institutionnel, promotion d'une personne ou d'un produit seront refusés. Les auteurs peuvent toutefois utiliser les couleurs et les bannières de leur institution de rattachement.

Les communications sont faites bénévolement : les possibilités des organisateurs se limitent à l'invitation des auteurs au déjeuner. Toutefois la prise en charge des frais de transport et d'hébergement pourra être étudiée dans quelques cas particuliers.

Rappel des desiderata des participants de la Sixième journée
* Sujets plus techniques, retours d'expériences
* Magistrats, techniciens et experts de l'informatique légale : point de la situation
* DarkWeb, Tor : la reconnaissance légale des investigations pour identifier les auteurs d'infraction
* Comparaison des matériels et logiciels d'analyse des téléphones : forces et faiblesses de chacun
* Saisie des données d'une machine virtuelle
* Cloud, investigation, aspects judiciaires
* Modes d'attaque des codes verrous des téléphones mobiles, obtention ou contournement des codes de verrouillage
* Interception des réseaux sociaux (Facebook, ...)
* NFC : escroqueries, accès, outils d'analyse, ...
* Exploitation des smartphones, en particulier Windows, et des tablettes
* Données géographiques
* Analyse légale en live, applications ?
* Investigation sur Tor
* Analyse du piratage d'une liaison WiFi (fausse borne)
* Windows 8
* RFID
Cette année encore, je vais essayer d'y aller, mais je ne garantis rien. Si vous voyez quelqu'un avec des cheveux "poivre et sel" et une casquette, ce sera peut-être moi ;-)

-----------------------
Dessin de Pfelelep pour Zythom (cœur)

13 décembre 2014

Perquisitionner un informaticien

Coup de fil d'un officier de police judiciaire: "Bonjour Monsieur l'expert, j'aurais besoin de vous pour m'assister lors d'une perquisition chez un informaticien..."

Moi : "Euh, mais vous pourriez me donner plus de détails ?"

OPJ : [détails de l'affaire]

Moi : "Euuuh (je dis souvent "euh" quand je réfléchis), mais vous savez ce qu'il y a comme matériel, le nombre d'ordinateurs, leurs marques, le nombre de disques durs, leurs tailles ?"

OPJ : "Ah, ça. [bruit de feuilles de papier qu'on tourne] Et bien en fait non."

Nous raccrochons après avoir mis au point les autres détails de l'intervention. Je reçois rapidement par fax ma désignation en tant qu'expert judiciaire.

Je n'aime pas ça...
Je n'aime pas les perquisitions.
Je n'aime pas ne pas savoir où je mets les pieds.
Mais bon, si l'on faisait toujours ce que l'on aime...
Et puis, je n'ai pas proposé mes services à la justice pour faire des choses faciles.

Donc, dans une semaine, je dois aider la justice dans un dossier où le principal suspect est un informaticien. Bien, bien, bien.

Comment se préparer au pire ?

Je résume ma mission : je dois copier les données "utiles au dossier", sans faire la saisie du matériel. La copie intégrale des disques est souhaitée par les enquêteurs. Je n'ai aucune idée de ce que je vais trouver sur place.

Ce n'est pas la première fois que je me trouve dans cette situation.

J'ai encore plus peur.

Je range mon bureau et fait l'inventaire du matériel dont je dispose. Plusieurs disques durs internes, des câbles réseaux, un switch (pardon: un commutateur), des adaptateurs divers, quelques "vieux" PC qui pourraient être reconvertis en NAS de stockage ou en station d'analyse... Bref, je reconstitue la trousse d'intervention dont j'ai déjà parlé ici.

J'explique ensuite à mon épouse que j'ai toutes les bonnes raisons pour aller dévaliser la boutique informatique du coin. J'en ressors avec quatre disques durs de forte capacité à 200 euros pièces, un nouveau switch gigabit, de la connectique USB3, le PC de gamer dont je rêve, et une boite de DVD de qualité. Je sais bien que rien ne me sera remboursé par la justice, mais je ne veux pas me retrouver bloqué par un problème de stockage. Et puis, au fond, ça me fait bien plaisir de pouvoir justifier le remplacement des disques du NAS familial et un petit upgrade de ma station d'analyse qui me sert aussi à tester "des trucs". J'ai déjà envie de déballer mes jouets...

Jour J, heure H, minute M, nous sommes sur place.
La maison est un peu isolée. Je note néanmoins les réseaux wifi que j'arrive à capter, avant que l'OPJ ne frappe à la porte. L'intervention commence.

Comme celle-ci, ou celle-là.
Heureusement, pas de Léo.

Puis, accompagné par un gendarme, je fais l'inventaire du matériel informatique présent dans toutes les pièces de la maison, combles et sous-sol inclus. Une box, deux consoles de jeux, présence d'un NAS dans le garage et de disques durs dans une armoire isolée.

Le cœur de réseau est un switch giga, je compte le nombre de câbles. Toutes les pièces du rez-de-chaussée sont câblées, et les pièces de l'étage sont couvertes par un réseau wifi. Enfin, deux réseaux car je capte celui de la box et celui d'une borne qui s'avère être dans les combles. Mais pour l'instant, mon objectif n'est pas de sniffer le wifi avec mon pc portable Backtrack. Je cherche les stockages de données potentiels. Telle est ma mission.

Le bureau est un bordel sans nom. Je prends des photos avant de mettre mes pieds dans les quelques espaces vides restant au sol. Je ne voudrais pas être accusé d'avoir tout mis sans dessus-dessous. Il y a une quantité incroyables de clefs USB, de disques durs, de carcasses d'ordinateurs, d'écrans, de fils, de boîtiers divers... La journée s'annonce très longue, surtout que le propriétaire des lieux ne semble pas très coopératif.

Un rapide inventaire me permet de repérer les disques durs les plus gros. Le matériel principal étant sous Windows, mon livecd Ophcrack me permet de récupérer tous les mots de passe de la famille. Puis le Firefox d'un des postes me donne les autres mots de passe, dont celui du compte admin du NAS, ainsi que ceux des différentes bornes Wifi (dont une qui n'émet pas son SSID). Je tape "192.168." dans la barre d'adresse du navigateur qui me propose, par suggestion, une liste des adresses IP intéressantes du réseau, celles qui ont une interface d'administration web.

Je lance la copie des disques durs les plus volumineux, car je sais que cela prendra du temps. J'utilise un petit réseau giga, monté autour du switch que j'ai acheté quelques jours auparavant. Mon NAS perso s'avère inutile et restera dans le coffre de ma voiture, la grosse capacité des disques fraîchement achetés tiendra le poids des copies. Je vérifie rapidement leur température en espérant qu'ils tiennent car je n'ai pas pensé à mon ventilateur. Je trouve une grosse boîte métallique qui fera dissipateur de chaleur. Je note ce point sur le petit carnet qui ne me quitte jamais. C'est un élément important de ma roue de Deming...

Une fois la copie lancée, je souffle un peu. Je trace sur un papier le réseau tel que je l'ai identifié. Je sniffe le Wifi pour repérer quelque chose d'anormal. Rien de suspect. Je branche mon petit portable sur le réseau filaire de la maison et lance une petite analyse du matériel allumé et branché. La box et le NAS répondent à mes nmaps. J'allume les deux consoles de jeux. Pas de données suspectes sur le disque dur de la box (du moins rien en rapport avec la mission), ni sur ceux des consoles de jeux. Une analyse plus poussée demanderait l'extraction des disques durs, on verra plus tard si besoin.

Les copies des disques avancent, et pendant ce temps, je procède aux copies des clefs USB et des petits disques amovibles. Pour gagner du temps, comme le disque dur de l'ordinateur portable est facile à enlever, je l'extrais et en fait une copie bit à bit sur mon portable via un cordon USB3, histoire de ne pas surcharger mon petit réseau. Je regarde la pile de dvd gravés trouvés sur place en soupirant. Le temps passe. Le temps, le temps, le temps.

Je fais une petite pause devant mes écrans où les commandes Linux comptent les téraoctets qui s'accumulent. Je me demande comment sera le futur. Je me demande comment les experts judiciaires feront dans quelques années. Les données seront-elles toutes, ou presque, externalisées ? Ou seront-elles stockées en local sur des supports qu'on mesurera en pétaoctets, en exaoctet, en zettaoctet ou en yottaoctet. Quels seront les débits et les temps d'accès aux données ? Sera-t-il encore possible d'en faire la copie intégrale en un temps raisonnable ?

Suis-je en train de faire quelque chose dont on rira dans quelques années ? Probablement. Mais dans combien de temps ?

Le temps, le temps, le temps.

Je reprends mes esprits. Je ne suis pas chez moi. Je ne suis pas le bienvenu. Je dois ranger mes affaires, les copies des différents supports de stockage sont terminées. Il me reste à en faire l'analyse, mais les vérifications faites in situ à chaud montrent que les informations recherchées sont bien là. Inutile donc de toucher à la box et aux consoles de jeux.

L'analyse des téraoctets trouvés chez un informaticien révèlent toujours des surprises. Cette fois encore, je ne serai pas déçu. Mais ça, c'est une autre histoire...

05 décembre 2014

Il n'existe rien de constant

Un billet rapide entre deux projets, deux trains, deux dossiers, trois enfants et une femme (merveilleuse).

Je n'oublie pas la suite de ma petite série sur le chiffrement des emails. J'avais prévenu qu'elle se ferait "à mon rythme". Il reste à voir un cas pratique plus simple que celui basé sur le copier/coller et le chiffrement du presse-papier. Il reste à voir la signature des emails, la sécurité relative des échanges, la mise en perspective de la pratique collective... A suivre donc.

Il n'existe rien de constant...

J'ai une charge professionnelle élevée avec beaucoup de projets dans l'école d'ingénieurs où je travaille. J'y consacre toutes mes forces, avec l'aide de toute une équipe de personnes. Il y a de vrais challenges à relever, tant du point de vue technique que du point de vue humain. Un vrai travail d'équipe. Mais cela me laisse, le soir, sans énergie, à peine bon pour un World of Tanks ;-)

Il n'existe rien de constant...

Du côté "vie publique", mon activité de conseiller municipal s'est considérablement alourdie par la délégation du maire, qui m'a confié la réflexion sur le développement numérique de la commune. J'ai beaucoup d'idées, mais leurs réalisations relèvent à chaque fois du soulèvement de montagnes. C'est à la fois usant, désespérant et tellement humain : tout le monde veut que cela change, mais tout le monde critique chaque pas dans la direction du changement... des habitudes. C'est tellement plus simple de ne rien proposer et de critiquer.

Il n'existe rien de constant...

Concernant les expertises judiciaires, c'est le grand calme plat. Aucune désignation depuis de nombreux mois. Du coup, comme toujours dans cette situation, je me demande si c'est moi qui ne donne pas satisfaction, ou si c'est le budget de la justice qui empêche les magistrats d'ordonner des expertises judiciaires informatiques. Je vais vite savoir si la première hypothèse est la bonne puisque ma demande de ré-inscription sur la liste des experts judiciaires va être ré-étudiée, comme c'est la règle maintenant tous les cinq ans.

Il n'existe rien de constant...

J'ai la particularité d'être particulièrement chatouilleux sur mon indépendance et sur ma liberté d'expression. Cela ne plaide pas toujours en ma faveur : je mets mes compétences au service des magistrats, pas à celui du "clan" des experts judiciaires. Un jour je paierai pour cela.

Il n'existe rien de constant...

Je n'ai pas encore de retour sur ma demande d'inscription sur la nouvelle liste des experts près ma Cour Administrative d'Appel. Là aussi, je ne connais pas les critères qui feront que mon dossier sera accepté ou pas, ni qui le défendra ou l'enfoncera.

Il n'existe rien de constant...

Je vous ai parlé plusieurs fois de mon activité débutante de consultant. De ce côté là, les perspectives sont excellentes. J'ai suffisamment de clients pour remplir mes soirées libres et mes week-ends. Je profite de ce billet pour remercier les avocats qui me font confiance. Je peux leur assurer que je mets toutes mes compétences à leur service.

Il n'existe rien de constant...

Quant à l'avenir de ce blog privé, je suis un peu dubitatif. J'ai bien conscience que beaucoup viennent y chercher des anecdotes sur l'expertise judiciaire, sur la face cachée des investigations. C'est d'ailleurs ce qui m'avait été reproché lors de l'Affaire Zythom qui m'a durablement marqué, ainsi que mes proches qui m'ont accompagné au tribunal. J'ai parfois la tentation de faire comme l'auteur de Grange Blanche dont le dernier billet se termine pas ces mots :
Mais il faut savoir arrêter quand on a le sentiment qu’on a donné tout ce que l’on pouvait, il faut savoir s’arrêter avant de ne poursuivre que par habitude.
Bonne continuation à tous.
Mais j'ai déjà arrêté ce blog une fois... Et, en suivant les conseils de Maître Eolas, je l'ai rouvert en me rendant compte que je pouvais publier des billets à mon rythme, sans pression, pour mon seul plaisir, même si je n'ai rien à dire d'intelligent.

Il n'existe rien de constant...

Ceci dit, au sujet des anecdotes d'expertises judiciaires, comme je ne peux pas romancer tous les dossiers qui me sont confiés, et que je suis de moins en moins désigné, j'ai choisi de faire comme Baptiste Beaulieu, blogueur talentueux en plus d'être l'auteur d'une "pépite d'humanité" (je cite Le Monde) et l'une des idoles de ma fille aînée qui marche dans ses pas : je propose à tous ceux qui le souhaitent de m'adresser leurs histoires d'expertises judiciaires informatiques. Que vous soyez avocat, magistrat, expert judiciaire ou simple citoyen, vos histoires m'intéressent. Je choisirai celles qui m'inspirent le plus et les ré-écrirai à ma façon, avec mes mots et mon style. Les billets en question commenceront par "L'histoire c'est X, l'écriture c'est moi". Je trouve l'idée de Baptiste Beaulieu intéressante, et je vais essayer d'en être à la hauteur. On verra bien.

Pour raconter, écrivez ici. N'hésitez pas.

"Il n'existe rien de constant si ce n'est le changement" (Bouddha).








09 juillet 2014

Récupération de données

J'ai déjà fait part ici même plusieurs fois des techniques que j'utilise pour récupérer des données dans le cadre de mes expertises judiciaires.

Je vous propose aujourd'hui une méthode assez simple qui m'a permis de récupérer tout un ensemble d'images, de films et de musiques d'un ami bien en peine de voir son disque dur tomber en panne. Lisez bien l'ensemble du billet avant de commencer, entraînez vous sur un vieux disque, essayez de comprendre les différents paramètres de chaque commande pour les adapter à votre cas. Je ne suis pas responsable des problèmes que vous allez générer... (mais je compatis ;-)

Conditions :
Vous êtes rendu destinataire d'un disque dur illisible, mais qui semble fonctionner correctement : vous pouvez le brancher sur un ordinateur, vous l'entendez démarrer sans bruit suspect, sans odeur particulière, mais le système d'exploitation ne le voit pas, ne le détecte pas ou ne retrouve aucune donnée.

Matériels :
J'utilise deux ordinateurs. Le premier sera celui dans lequel sera placé le disque dur illisible. Vous devez être capable de le faire démarrer sur CD, DVD ou clef USB. Le deuxième ordinateur est sous Windows et dispose de suffisamment d'espace disque pour pouvoir stocker une image du disque que vous allez récupérer. Les deux ordinateurs sont branchés sur le même réseau.

Logiciels :
- la distribution DEFT que vous placerez sur CD, DVD ou clef USB
- le logiciel PhotoRec que vous téléchargerez en choisissant la bonne version de Windows (32 ou 64 bits).
- un répertoire appelé "partage" sur l'ordinateur Windows et configuré de manière à être accessible en écriture avec le compte windows "zythom"

Procédure :

- Placez le disque dur illisible dans le premier ordinateur

- Bootez le sur la distribution DEFT

- Puis tapez les commandes :
#mkdir   /root/tempo
(création d'un répertoire provisoire en mémoire vive dans /root)
#mount  -t cifs  -o username=zythom   /root/tempo    192.168.0.1/partage
où 192.168.0.1 est l'adresse IP de l'ordinateur Windows.

- Tapez ensuite la commande :
#dd_rescue   /dev/sda  /root/tempo/image.dd
où "/dev/sda" doit être le device correspondant à votre disque dur illisible (à adapter selon votre configuration).

- Patientez quelques minutes ou quelques heures (ou quelques jours), en fonction de la taille de votre disque dur.

- Quand la commande est terminée, vous pouvez éteindre l'ordinateur n°1. Vous devez disposer d'une image bit à bit du disque dur illisible sur votre ordinateur n°2, celui sous Windows, dans le répertoire "partage", sous le nom "image.dd". Cette image peut être exploitée par différents logiciels pour y récupérer les données, en particulier photorec.

- Sur l'ordinateur n°2, dans une fenêtre de lignes de commandes, tapez la commande : photorec  image.dd

- Suivez les indications du logiciel PhotoRec et laissez le extraire toutes les données qu'il reconnaît.

- Envoyez ensuite vos dons au créateur du logiciel,par exemple en regardant les dates et origines de vos pièces de la zone euro ;-)

Si ma technique ne fonctionne pas, parlez en avec un informaticien et ne vous découragez pas : il y a plein d'autres méthodes permettant de récupérer les données. Seul conseil valable dans tous les cas : n'utilisez plus le disque dur, vous risquez d'effacer définitivement les données que vous essayez de récupérer.

Bon courage.

30 juin 2014

PSES 2014

Chaque année depuis maintenant 5 ans, Pas Sage en Seine (PSES) propose un cycle de conférences, de talks, de rencontres, avec des bidouilleurs, des "gens du réseau", des artistes, des hacktivistes, des entrepreneurs, des journalistes, des curieux...

Depuis ma lointaine province, j'entendais parler de cette manifestation, sans pour autant avoir pu m'y rendre. Cette année, l'un des organisateurs, Skhaen, m'a contacté pour m'inviter à faire une présentation de mon activité d'expert judiciaire, avec comme sujet "Vous n'avez vraiment rien à cacher ?".

J'ai eu plaisir à venir et à rencontrer un tas de gens sympathiques et curieux qui ont suivi ma présentation avec bienveillance. Pour ceux qui n'ont pas pu venir à Numa y assister, les organisateurs l'ont mis en ligne :




Mon seul regret: ne pas avoir pu assister aux 4 jours de conférences...Surtout qu'il y avait du beau monde : Manhack, Stéphane Bortzmeyer, Kitetoa, Maître Eolas, et bien d'autres !

Encore bravo aux organisateurs pour le travail fourni et les résultats obtenus.
Merci à Skhaen pour l'invitation et l'accueil.
A quand une casquette PSES ?
;-)

Les vidéos des présentations PSES 2014.