Expert Witness Format (E01)

Définition

L'Expert Witness Format (EWF), communément appelé E01 du nom de l'extension de fichier, est un format standard d'image forensique développé par Guidance Software (désormais OpenText) pour son outil EnCase. Devenu le format d'image forensique le plus répandu dans l'industrie, E01 est pris en charge par la quasi-totalité des outils forensiques commerciaux et open source. Le format E01 se distingue du format RAW (dd) par plusieurs caractéristiques essentielles. Il intègre une en-tête (header) contenant des métadonnées riches : informations sur le cas (numéro de dossier, enquêteur), informations sur le support source (type, fabricant, numéro de série, taille), date et heure d'acquisition, hashes MD5 et SHA-1 calculés lors de la création. Ces métadonnées font du fichier E01 un document auto-documenté, idéal pour la traçabilité forensique. La compression intégrée (algorithme zlib/deflate) réduit significativement la taille des images, particulièrement pour les disques peu remplis : un disque de 1 To avec 200 Go de données peut produire une image E01 de seulement 250-300 Go, économisant espace de stockage et temps de transfert. La compression peut être désactivée pour maximiser les performances d'analyse. Le découpage en segments est une autre fonctionnalité clé : l'image peut être automatiquement divisée en fichiers de taille fixe (E01, E02, E03...), facilitant le stockage sur des supports limités en taille maximale de fichier (FAT32 limite à 4 Go par fichier). Ces segments sont transparents pour les outils d'analyse qui les reconstruisent virtuellement. Le format EWF v2 (également appelé Ex01) est une version améliorée supportant les hashes SHA-256, des métadonnées plus riches, et une meilleure gestion des très grands volumes. Libewf est la bibliothèque open source de référence pour manipuler les fichiers E01/Ex01, intégrée dans Autopsy, Sleuth Kit, et de nombreux autres outils. La vérification d'intégrité d'un fichier E01 peut être effectuée à tout moment : les outils forensiques recalculent les hashes de l'image et les comparent avec ceux stockés dans l'en-tête, détectant immédiatement toute corruption ou modification.