dcfldd DC3DD forensics

Définition

dcfldd et DC3DD sont deux outils forensiques de copie de disque développés respectivement par le DCFL (DoD Computer Forensics Lab) et le DC3 (Defense Cyber Crime Center) des États-Unis. Ce sont des versions améliorées de la commande Unix 'dd' (disk dump) avec des fonctionnalités supplémentaires spécifiques à la forensique numérique : calcul de hashes pendant la copie, wiping certifié, progression en temps réel, et gestion des erreurs. dcfldd (Defence Computer Forensic Lab dd) ajoute à dd les fonctionnalités suivantes : hachage en parallèle de la copie avec support MD5, SHA-1, SHA-256 (optionnels simultanément), vérification du hash de destination après copie, affichage de progression par blocs, et support du split en plusieurs fichiers de taille fixe. La syntaxe est proche de dd avec des options supplémentaires : dcfldd if=/dev/sda hash=sha256,md5 hashwindow=10G of=/evidence/disk.img hashlog=/evidence/disk.img.hash. DC3DD (DC3 DD) offre des fonctionnalités similaires à dcfldd avec quelques améliorations : log de toutes les opérations dans un fichier de log structuré, rapport final incluant les hashes calculés, support des erreurs de lecture (bad sectors) avec documentation précise des secteurs illisibles, et compatibilité avec les options dd standard. DC3DD est souvent préféré à dcfldd dans les contextes forensiques stricts car son reporting est plus détaillé. Bien que dd, dcfldd, et DC3DD restent des standards dans la forensique Linux, des outils graphiques comme Guymager offrent une interface graphique avec calcul de hashes, support des formats E01/AFF, et meilleure gestion des erreurs de lecture. Pour les acquisitions de disques modernes (NVMe, grandes capacités), des outils comme ddrescue sont préférés quand des bad sectors sont attendus, car ddrescue optimise la récupération en passant les zones illisibles pour revenir les lire ensuite. Les images créées avec dcfldd/DC3DD sont au format RAW (identiques au format dd), et peuvent être converties au format E01 ou AFF avec ewfacquire ou affconvert pour un stockage forensique plus efficace.