MD5/SHA Hash Verification

Définition

La vérification par empreinte cryptographique MD5/SHA est le mécanisme technique central de la forensique numérique pour attester de l'intégrité des preuves. Une fonction de hachage cryptographique transforme un fichier de taille quelconque en une empreinte de longueur fixe (digest) : la moindre modification du fichier source produit une empreinte radicalement différente, rendant toute falsification détectable. MD5 (Message Digest 5), développé par Ron Rivest en 1991, produit un hash de 128 bits (32 caractères hexadécimaux). Bien que des collisions MD5 aient été démontrées (deux fichiers différents produisant le même hash), il reste très utilisé en forensique pour la vérification d'intégrité non adversariale, où le risque de collision intentionnelle est négligeable. En revanche, il ne doit pas être utilisé seul pour des investigations hautement contestées. SHA-1 (Secure Hash Algorithm 1) produit un hash de 160 bits. Des attaques pratiques ont été démontrées depuis 2017 (SHAttered), conduisant à son abandon progressif au profit de SHA-2. SHA-256 et SHA-512 (famille SHA-2) sont aujourd'hui les standards recommandés pour les investigations forensiques critiques. SHA-3 (Keccak) offre une architecture différente et constitue une alternative robuste. En pratique forensique, on utilise généralement le double hachage MD5+SHA-1 ou MD5+SHA-256 pour combiner compatibilité avec les outils anciens et robustesse cryptographique. FTK Imager calcule automatiquement MD5 et SHA-1 lors de l'acquisition. EnCase génère des hashes MD5/SHA-1/SHA-256 selon la configuration. La procédure standard est la suivante : avant acquisition, calculer le hash du support source (si possible, via une lecture seule) ; après acquisition, calculer le hash de l'image créée ; comparer les deux valeurs. En cas d'égalité, l'intégrité est attestée. Cette opération doit être répétée avant chaque session d'analyse et documentée dans le rapport forensique. Les fichiers connus malveillants ou sains peuvent être identifiés par leur hash via des bases de données : NSRL (National Software Reference Library) du NIST recense les hashes de millions de fichiers logiciels légitimes, permettant d'exclure rapidement les fichiers systèmes et de se concentrer sur les éléments suspects.