Forensic Data Recovery

Définition

La recuperation de donnees forensique (Forensic Data Recovery) est l'ensemble des techniques permettant de retrouver des fichiers supprimes, des partitions effacees, ou des donnees corrompues depuis des supports de stockage, dans le cadre d'investigations forensiques. Elle se distingue de la recuperation de donnees commerciale classique par ses contraintes additionnelles de preservation des preuves et de documentation de la chaine de traçabilite. Les fichiers supprimes dans les systemes de fichiers modernes (NTFS, ext4, APFS) ne sont pas immediatement detruits : la suppression marque uniquement l'entree du fichier comme disponible pour une reutilisation (bit d'allocation dans le MFT pour NTFS, bit dans le bitmap d'inodes pour ext4). Les donnees sur les clusters restent intactes jusqu'a ce qu'ils soient alloues a un nouveau fichier. Cette fenetre de recuperation peut aller de quelques secondes (systeme tres actif avec beaucoup d'ecritures) a des annees (systeme peu utilise) selon l'activite du systeme de fichiers. Les techniques de recuperation de donnees forensique incluent : la recuperation par entrees MFT/inode orphelines (les entrees de metadonnees de fichiers supprimes peuvent encore pointer vers les clusters qui contenaient les donnees), le file carving (recherche de signatures de types de fichiers dans l'espace non alloue), et la recuperation depuis les blocs de fichier de journalisation ($LogFile NTFS, ext4 journal) qui peuvent contenir des fragments de transactions recentes. Le file carving est la technique la plus puissante pour la recuperation depuis l'espace non alloue. Des outils comme Photorec (open source), Scalpel, ou Foremost scannent le disque a la recherche de signatures magiques (magic bytes) de types de fichiers connus (JPEG commence par FF D8 FF, PDF par 25 50 44 46, ZIP par 50 4B 03 04) pour identifier et extraire les fichiers meme quand leurs metadonnees sont perdues. Les SSDs posent un defi majeur pour la recuperation forensique : la fonctionnalite TRIM (qui efface proactivement les blocs liberes pour maintenir les performances) detruit les donnees bien avant leur reutilisation effective. Sur les SSDs modernes avec TRIM actif, la recuperation de donnees supprimees est generalement impossible ou tres partielle.