SQLite Forensics

Définition

SQLite est le système de gestion de base de données le plus déployé au monde : intégré dans les systèmes d'exploitation, navigateurs web, applications mobiles, et logiciels de bureau. Sa structure auto-contenue (une base = un fichier) en fait une source forensique universelle : iOS, Android, Chrome, Firefox, WhatsApp, Telegram, et des milliers d'autres applications stockent leurs données dans des fichiers SQLite. Forensiquement, SQLite présente plusieurs caractéristiques remarquables. Sa structure de fichier inclut des pages de type B-tree (pour les tables et index), des overflow pages (pour les grandes valeurs), des freelist pages (pages libérées par la suppression de données), et le fichier WAL (Write-Ahead Log). Ces composants permettent la récupération de données supprimées : lorsqu'une ligne est supprimée, SQLite la marque comme libre dans les freelist pages, mais les données restent physiquement présentes jusqu'à être écrasées lors d'une nouvelle insertion. Les outils de carving SQLite analysent le fichier à la recherche de structures de données SQLite valides dans les pages libres, permettant de récupérer des messages supprimés, des contacts effacés, ou des entrées d'historique supprimées. Des outils comme Forensics-SQLite-Parser ou sqlparse.py permettent ce carving forensique. DB Browser for SQLite (SQLiteStudio) est l'outil graphique de référence pour l'exploration manuelle. Les bases SQLite les plus importantes forensiquement sur iOS incluent : sms.db (messages SMS/iMessage), AddressBook.sqlitedb (contacts), Calendar.sqlitedb (calendrier), History.db (historique Safari), voicemail.db (messagerie vocale), callhistory.storedata (historique d'appels). Sur Android : mmssms.db (SMS), contacts2.db (contacts), webviewCookiesChromium.db (cookies), databases/ (bases WebView des apps). Pour Chrome : History (historique navigation), Login Data (mots de passe), Cookies (sessions).