Write Blocker

Définition

Un write blocker (bloqueur d'écriture) est un dispositif matériel ou logiciel conçu pour empêcher toute écriture sur un support de stockage lors d'une acquisition forensique. Son rôle est de garantir que le support source reste strictement en lecture seule, préservant ainsi l'état originel des données et assurant la recevabilité légale des preuves. Le principe technique est simple mais crucial : lorsqu'un disque dur, SSD ou clé USB est connecté à un ordinateur standard, le système d'exploitation peut écrire automatiquement sur le support (mise à jour des dates d'accès, écriture de fichiers temporaires, modification de métadonnées). Ces écritures involontaires altèrent les preuves et compromettent l'investigation. Le write blocker intercepte toutes les commandes d'écriture et ne laisse passer que les commandes de lecture. Les write blockers hardware sont des boîtiers physiques interposés entre le support source et la station d'acquisition. Les fabricants leaders incluent Tableau (modèles T8, T35689) et Wiebetech (Forensic UltraDock). Ils supportent les interfaces SATA, PATA, SAS, USB, FireWire et M.2/NVMe. Certains modèles intègrent des ports d'acquisition supplémentaires permettant de connecter simultanément plusieurs supports. L'avantage du hardware est qu'il fonctionne indépendamment du système d'exploitation, offrant une protection absolue. Les write blockers software sont des solutions logicielles configurant le système d'exploitation pour n'autoriser que les lectures. Sur Linux, l'option de montage `ro` (read-only) combinée à `noatime` empêche les écritures et les mises à jour de dates d'accès. Sur Windows, la clé de registre `HKLM\SYSTEM\CurrentControlSet\Control\StorageDevicePolicies` avec la valeur `WriteProtect` à 1 active un write blocker système. Ces solutions sont moins robustes que le hardware car dépendantes du logiciel. Pour valider le bon fonctionnement d'un write blocker avant utilisation, des outils de test standardisés existent (NIST CFTT - Computer Forensics Tool Testing Program). Le NIST publie des rapports de validation pour les write blockers les plus courants. Toute investigation sérieuse doit utiliser un write blocker validé par le NIST ou équivalent. La documentation de l'utilisation du write blocker (modèle, numéro de série, résultat des tests préalables) fait partie intégrante du rapport forensique pour attester des conditions d'acquisition.