Evidence Integrity

Définition

L'intégrité des preuves (Evidence Integrity) est le principe fondamental garantissant qu'une preuve numérique n'a pas été altérée depuis sa collecte jusqu'à sa présentation en justice ou dans un rapport d'expertise. Sans preuve d'intégrité, aucune analyse forensique ne peut prétendre à une valeur probante. Le mécanisme principal de garantie d'intégrité repose sur les fonctions de hachage cryptographique. Lors de l'acquisition d'une image disque ou de tout autre artefact numérique, on calcule une empreinte (hash) du fichier source et de la copie obtenue. L'égalité des deux hashes prouve mathématiquement l'absence de modification. Les algorithmes utilisés en forensique sont MD5 (128 bits, encore courant malgré ses faiblesses théoriques), SHA-1 (160 bits, en déclin), SHA-256 et SHA-512 (recommandés pour les investigations critiques). La vérification d'intégrité doit être effectuée à plusieurs étapes : au moment de l'acquisition (hash de l'original et de la copie), avant chaque session d'analyse (vérification que l'image n'a pas été modifiée), et au moment de la présentation des preuves (démonstration que les fichiers analysés correspondent aux hashes documentés initialement). Les bloqueurs d'écriture (write blockers) constituent le complément hardware indispensable. Interposés entre le support source et la station forensique, ils empêchent physiquement toute écriture accidentelle sur la source, preservant ainsi son état originel. Il existe des write blockers hardware (Tableau, Wiebetech) et software (Linux avec option ro de montage, Windows avec la politique de registre adéquate). La documentation de l'intégrité s'intègre dans la chaîne de traçabilité (chain of custody) : chaque manipulation, transfert ou analyse est consignée avec l'identité de l'intervenant, la date/heure, et les hashes calculés. Cette documentation est essentielle pour démontrer l'intégrité devant un tribunal. Les défis modernes de l'Evidence Integrity incluent la gestion des preuves dans le cloud (snapshots, logs), où l'accès direct au support physique est impossible, et les environnements virtualisés où les frontières entre preuve et système d'analyse sont plus floues. Des standards comme ISO/IEC 27037 définissent les bonnes pratiques de préservation d'intégrité.