dd (disk dump)

Définition

La commande `dd` (data duplicator, parfois appelée disk dump) est un outil Unix/Linux fondamental de la forensique numérique, utilisé pour créer des copies bit-à-bit de supports de stockage ou de partitions. Disponible nativement sur Linux, macOS et les distributions live forensiques comme SIFT Workstation, dd est l'outil d'acquisition le plus basique et le plus universel. La syntaxe fondamentale `dd if=/dev/sdb of=/mnt/evidence/disk.img bs=4M status=progress` crée une image RAW du disque /dev/sdb. Les paramètres clés sont `if` (input file, la source), `of` (output file, la destination), `bs` (block size, taille des blocs de lecture/écriture pour optimiser les performances), `conv=noerror,sync` (continuer malgré les erreurs de lecture, remplir les blocs défectueux avec des zéros) et `status=progress` (afficher la progression). Les limitations de dd sont significatives : absence de vérification d'intégrité native (pas de calcul de hash intégré), pas de métadonnées forensiques (informations d'acquisition, informations sur le cas), pas de gestion de la compression, et absence de reprise en cas d'interruption. Ces limitations ont conduit au développement de variantes spécialisées pour la forensique. dcfldd (DC3 dd for Forensics) est une version améliorée développée par le Department of Defense Cyber Crime Center. Elle ajoute le calcul de hash à la volée (MD5, SHA-1, SHA-256, SHA-512), la journalisation structurée, la possibilité d'écrire simultanément vers plusieurs destinations, et un suivi de la progression en temps réel. Syntaxe : `dcfldd if=/dev/sdb hash=md5,sha256 hashlog=/tmp/hashlog.txt of=/mnt/evidence/disk.img`. DC3DD est une autre variante forensique avec des fonctionnalités similaires à dcfldd mais avec des améliorations supplémentaires : vérification du hash de destination, gestion des erreurs améliorée, et compatibilité avec les standards forensiques modernes. Pour les acquisitions réseau (accès à une machine distante via SSH), dd peut être utilisé en combinaison avec SSH ou netcat : `ssh root@target "dd if=/dev/sdb bs=4M" | dd of=/local/disk.img`. Cette technique, bien que pratique, comporte des risques liés au réseau et ne permet pas l'utilisation d'un write blocker hardware.