ext4 Forensics

Définition

ext4 (Fourth Extended Filesystem) est le système de fichiers par défaut sur la plupart des distributions Linux modernes (Ubuntu, Debian, RHEL, CentOS). Comprendre sa structure interne est essentiel pour toute investigation forensique de systèmes Linux, qu'il s'agisse de serveurs compromis, de postes de travail ou de conteneurs. La structure d'ext4 repose sur des concepts fondamentaux. Les blocs (blocks) sont les unités de stockage de base, de taille configurable (généralement 4096 octets). Les inodes sont des structures de données contenant les métadonnées de chaque fichier : permissions, propriétaire, timestamps (atime, mtime, ctime, et dans ext4, crtime pour la date de création), taille, et pointeurs vers les blocs de données. Chaque fichier ou répertoire possède exactement un inode identifié par un numéro unique dans le système de fichiers. Les journaux (journaling) d'ext4 sont un artefact forensique précieux. ext4 maintient un journal (généralement dans un fichier inode spécial) qui enregistre les opérations de métadonnées avant leur écriture définitive pour garantir la cohérence en cas de crash. Ce journal peut contenir des informations sur des opérations récentes et peut être analysé forensiquement pour reconstituer une timeline d'activité. L'outil debugfs permet d'examiner le journal ext4 directement. La récupération de fichiers supprimés sur ext4 est plus complexe que sur NTFS. Lorsqu'un fichier est supprimé sur ext4, son entrée dans le répertoire est marquée comme libre et les blocs de données peuvent être réalloués. ext4 efface les pointeurs de blocs dans l'inode supprimé (contrairement à ext3 qui les conservait), rendant la récupération directe impossible. Cependant, des outils comme PhotoRec utilisent la carving (recherche de signatures de fichiers) dans l'espace non alloué pour récupérer des données. Les timestamps ext4 sont particulièrement riches : atime (dernier accès), mtime (dernière modification du contenu), ctime (dernière modification des métadonnées de l'inode), et crtime (date de création, spécifique à ext4). Ces quatre timestamps fournissent une timeline précise de l'activité sur chaque fichier. Attention : atime est souvent monté avec noatime pour des raisons de performance, réduisant sa valeur forensique.