Informatique légale & préservation des preuves
Quand les données ne doivent pas seulement revenir, mais tenir.
Une récupération de données pose la question : récupère-t-on le fichier ? Une sécurisation forensique en pose une de plus : pourra-t-on démontrer ensuite que le fichier se présentait exactement ainsi et que rien n'a été modifié en chemin ? C'est une autre exigence — et une autre méthode.
Confidentialité en amont
Accord de confidentialité avant la prise en charge, pas après.
Uniquement sur la copie
Ce qui est analysé est une copie sécurisée avec somme de contrôle, pas l'original.
Un seul site
Tout dans notre laboratoire à Francfort. Aucune sous-traitance, aucune étape intermédiaire.
Un seul interlocuteur
Vous parlez à la personne qui traite le dossier.
La différence avec la récupération de données
Dans une récupération, c'est le résultat qui compte : le fichier est revenu, tant mieux. Dans une sécurisation forensique, le chemin compte aussi. Qui a eu le support et quand ? Avec quoi a-t-on lu ? Peut-on prouver que rien n'a changé entre la prise en charge et l'analyse ?
C'est pourquoi tout commence par une sécurisation, sur laquelle est calculée une somme de contrôle — une sorte d'empreinte du jeu de données. Toute analyse ultérieure se fait sur une copie de cette sécurisation. Si la somme de contrôle peut être recalculée à tout moment, il est établi que la copie analysée n'a pas changé depuis la sécurisation.
Pour les disques durs et les SSD, il s'agit d'une image complète, lue en écriture protégée. Pour les smartphones, une image bit à bit n'est souvent pas possible, et toute extraction suppose que l'appareil fonctionne et communique avec le système d'extraction. Les interventions nécessaires à cet effet sont donc documentées.
Pour vous, cela signifie surtout une chose : n'y touchez pas vous-même auparavant. Une raison fréquente pour laquelle un jeu de données perd de sa valeur probante n'est pas la manipulation mais l'initiative bien intentionnée — un collègue qui a « juste voulu vérifier ».
Jusqu'à la sécurisation : préserver l'état
Situations typiques
Fuite de données lors d'un départ
Un collaborateur quitte l'entreprise et l'on soupçonne que des documents sont partis avec lui. Il s'agit d'établir ce qui a été copié, quand et sur quel support.
Enquête interne
Cas de conformité, soupçon d'abus de confiance ou de manipulation. Les résultats doivent résister à un examen ultérieur.
Litige civil
Sécurisation et exploitation d'un jeu de données auquel les deux parties se réfèrent — avec une documentation compréhensible de sa constitution.
Sinistres et assurances
Après un incendie, un dégât des eaux ou un cambriolage : que contenait l'appareil et son état peut-il être documenté ?
Succession et tutelle
Accès aux appareils quand l'ayant droit ne peut plus y accéder lui-même — avec preuve du droit.
Accès perdus en entreprise
Supports chiffrés dont la clé reste introuvable, appareils verrouillés au code inconnu. Légitime, mais techniquement exigeant.
Comment nous travaillons
- 01
Clarifier la confidentialité
Accord de confidentialité avant la prise en charge — votre modèle ou le nôtre. L'appareil n'est ouvert qu'ensuite.
- 02
Consigner la remise
Enregistrer l'appareil avec son numéro de série, documenter son état, acter la remise par écrit. À partir de là, on sait qui a eu accès et quand.
- 03
Sécurisation avec somme de contrôle
Pour les supports, une image complète lue en écriture protégée ; pour les appareils mobiles, une extraction forensique. Une somme de contrôle est calculée sur la sécurisation et consignée.
- 04
Analyse sur la copie
Toutes les étapes suivantes se déroulent sur une copie de la sécurisation. Après la sécurisation, l'original n'est plus touché.
- 05
Documenter les constats
Ce qui a été trouvé, par quelle méthode, et ce qui peut en être démontré — et ce qui ne le peut pas.
- 06
Remise ou conservation
Résultats remis de manière chiffrée. L'original repart ou reste sous clé jusqu'à révocation.
Forensique des appareils mobiles : iPhone et Android
La forensique smartphone englobe la sécurisation forensique et l'extraction de données d'appareils iPhone et Android. Le smartphone est aujourd'hui la source la plus riche dans presque tous les dossiers — et la moins accessible. Les appareils actuels chiffrent par défaut, et le code de verrouillage entre dans la dérivation de la clé. Pour les appareils verrouillés dont le code est connu, la voie est courte. Sans code de verrouillage connu, un accès peut néanmoins être possible selon le modèle, la version du système d'exploitation, l'état de l'appareil et les procédés d'analyse forensique disponibles. Seul un examen permet de déterminer si c'est le cas pour un appareil donné.
Pour l'exploitation, nous utilisons des systèmes d'extraction forensique éprouvés. Si l'appareil est endommagé physiquement, la reconstruction du matériel précède l'extraction — le même travail Board-Level que pour une récupération de données sur smartphone. Une reconstruction matérielle réussie ne permet pas automatiquement le déchiffrement ; elle peut toutefois créer la condition préalable pour que des procédés d'extraction spécialisés puissent être mis en œuvre.
Appareil endommagé physiquement ?
Mots de passe et chiffrement
Conteneurs chiffrés, archives verrouillées, supports au mot de passe oublié : pour les cas assortis d'un droit d'accès légitime, nous travaillons avec Passware. Le chiffrement lui-même n'est pas cassé. Passware recherche le mot de passe de manière structurée et peut aussi — s'ils existent — obtenir des clés à partir d'images mémoire ou de fichiers d'hibernation.
Les chances d'une recherche de mot de passe dépendent de ce qui est connu : longueur approximative, schémas utilisés, anciennes variantes, usages internes. À partir de telles indications, on peut construire un espace de recherche suffisamment restreint. Sans indices ni matériel de clé, cela ne fonctionne pas, et nous préférons le dire d'emblée.
Ce que vous recevez par écrit
Accord de confidentialité
Réciproque, avant la prise en charge. Votre modèle ou le nôtre.
Procès-verbal de remise
Appareil, numéro de série, état, date, personnes impliquées.
Somme de contrôle de l'image
La preuve que l'état analysé correspond à celui qui a été reçu.
Rapport de constatations
Méthode, outils, résultats — et expressément aussi les limites de la conclusion.
Attestation d'effacement
Sur demande, par écrit, dès que nos copies de travail ont été supprimées.
Des limites claires font partie de l'informatique légale.
Ce qui n'est pas possible techniquement ou juridiquement, nous vous le disons avant la prise en charge — pas après.
Pas de cassage du chiffrement
Un chiffrement moderne et robuste ne se laisse pas simplement « casser » techniquement. Un accès peut toutefois être possible selon la plateforme, via des clés existantes, des identifiants, des procédés d'analyse forensique ou des possibilités d'accès propres à l'appareil.
Uniquement avec un droit d'accès vérifiable
Nous ne travaillons que sur des appareils pour lesquels un droit compréhensible existe. Nous le demandons, et avant la prise en charge.
Réponses brèves.
Signez-vous un accord de confidentialité ?
Oui, et avant la prise en charge de l'appareil. Votre modèle ou le nôtre — les deux sont courants. L'ouverture n'a lieu qu'ensuite.
Combien de temps cela prend-il ?
La sécurisation elle-même prend de quelques heures à quelques jours selon le volume. L'exploitation dépend du dossier. Dites-nous si un délai court — nous planifions en conséquence.
Un accès à un appareil mobile verrouillé est-il possible ?
Avec le code, la voie est courte — l'appareil se déchiffre lui-même. Sans code de verrouillage connu, un accès peut néanmoins être possible selon le modèle, la version du système d'exploitation, l'état de l'appareil et les procédés d'analyse forensique disponibles. Seul un examen permet de déterminer si c'est le cas pour un appareil donné. Nous n'intervenons qu'en présence d'un droit d'accès établi.
Recevons-nous un document écrit ?
Oui : procès-verbal de remise, somme de contrôle de l'image et rapport de constatations avec méthode, outils et résultats — limites de la conclusion incluses.
Que deviennent les données après le dossier ?
Elles se trouvent exclusivement sur notre serveur chiffré. À la clôture, nos copies de travail sont supprimées, sur demande avec attestation écrite. Nous pouvons aussi conserver l'image jusqu'à révocation.
Travaillez-vous aussi pour des particuliers ?
Oui, dès lors qu'un droit d'accès compréhensible existe — par exemple dans une succession ou pour vos propres appareils dont l'accès est perdu.
En lien.
Récupération de données pour les entreprises
Confidentialité, traçabilité, attestation d'effacement.
En savoir plusPassware
Recherche structurée de mot de passe avec droit d'accès légitime.
En savoir plusSupports chiffrés
Ce qui marche avec la clé — et ce qui ne marche pas sans.
En savoir plusExtraction forensique d’un smartphone endommagé
Quels dommages empêchent l’extraction et ce qui reste alors possible.
En savoir plusLe Chip-Off en forensique des smartphones
Possibilités et limites sur les appareils chiffrés.
En savoir plus
Data Recovery Professionals
Un regroupement mondial d'entreprises de récupération de données indépendantes et dirigées par leur propriétaire. Les membres échangent leurs méthodes de récupération professionnelle, d'analyse forensique et de développement logiciel — sur les cas rares, c'est le savoir de tout le groupe qui accompagne votre support.
Un dossier dont on ne parle pas au téléphone ?
Alors nous commençons par l'accord de confidentialité et nous parlons ensuite. Vous nous joignez directement — sans système de tickets ni intermédiaire.
Wasserweg 8–10 · 60594 Frankfurt am Main
Jan Petermann
Fondateur et gérant
Interlocuteur criminalistique et autorités