Forensic Evidence Preservation

Définition

La préservation des preuves forensiques est l'ensemble des processus et techniques garantissant que les preuves numériques sont collectées et maintenues dans un état permettant leur utilisation dans une investigation ou une procédure judiciaire, sans altération ni corruption. C'est le fondement de toute investigation forensique valide : une preuve non préservée correctement peut être contestée en justice et invalider une investigation entière. Les principes fondamentaux de la préservation des preuves numériques s'appuient sur trois piliers. L'intégrité garantit que la preuve n'a pas été modifiée depuis sa collecte — vérifiée par le calcul de hashes cryptographiques (SHA-256 minimum, SHA-512 pour les investigations judiciaires sensibles) avant et après chaque manipulation. L'authenticité assure que la preuve est bien ce qu'elle prétend être — documentée par la chaîne de traçabilité. La fiabilité garantit que les méthodes de collecte sont reproductibles et vérifiables par un tiers. Le processus de préservation commence à la collecte : le write-blocker hardware garantit physiquement l'absence d'écriture sur le média source. L'acquisition crée une copie forensique identique bit-à-bit (image forensique E01, AFF4, RAW) avec calcul des hashes de l'original et de la copie pour prouver leur identité. La copie de travail est créée depuis l'image forensique pour toutes les analyses, l'original étant conservé intact. Le stockage des preuves doit respecter des conditions spécifiques : environnement sécurisé physiquement (accès limité et journalisé), protection contre les dommages environnementaux (température, humidité, champs magnétiques), et redondance (au minimum deux copies sur des supports différents). Pour les médias amovibles physiques (disques durs, clés USB), les sacs d'evidence antistatiques sont utilisés pour prévenir les dommages électrostatiques. La réévaluation périodique de l'intégrité des preuves stockées (re-vérification des hashes) permet de détecter toute corruption accidentelle ou malveillante des preuves à long terme.