Étiquette : digital forensics

Quelques considérations d’archiviste numérique sur la disquette de la Chouette d’or

tl;dr

  • Que l’on soit huissier ou archiviste, si la valeur probante des documents est en jeu, il vaut mieux avoir quelques bases solides en informatique (en l’occurrence ici, sur le chiffrement et les formats de fichier), faute de quoi on peut se retrouver dans des situations potentiellement désagréables…
  • Si la valeur probante d’une disquette est importante, une lecture avec un contrôleur de disquettes (Greaseweazle, Kryoflux, etc.) et un lecteur interne d’époque est nécessaire pour récupérer le maximum de secteurs et mesurer le nombre de secteurs défectueux, donc les chances pour qu’elle contienne autre chose de plus que ce qu’on voit quand on l’ouvre avec un lecteur USB de qualité médiocre.
  • Les timestamps (les dates associées au fichier par le système de fichier) sont plus que fragiles – ils peuvent même être falsifiés. Ils seront cependant pris au sérieux par le public et donc doivent être préservés autant que possible si la valeur probante des documents est importante.
  • Si les caractéristiques formelles et l’apparence d’un document vous importent, ouvrez le fichier avec le logiciel d’origine, autant que possible. Cela demande parfois d’émuler le système d’exploitation sur lequel tournait ledit logiciel.

Introduction personnelle

Dans mon billet précédent, je parlais de ma fascination adolescente pour les enquêtes sur des événements lointains qui ont un effet sur le présent. Ma vocation de chartiste est probablement née avec les lectures des romans d’Arturo Pérez-Reverte, Le club Dumas et Le tableau du maître flamand. L’intérêt des chartistes pour les caractéristiques formelles des documents et, par conséquent, la légitimité qu’on leur a reconnue à statuer sur l’authenticité de ces documents, les a parfois amenés à se prononcer sur des affaires très contemporaines. L’affaire Dreyfus est sans doute le cas le plus connu.

« Les chartistes furent au premier rang de la fastidieuse querelle d’experts qui dura autant que l’affaire elle-même. On ne trouve en effet pas moins de sept archivistes paléographes parmi les experts cités au procès Zola (…). »

Thomas Ribémont, « Les historiens chartistes au cœur de l’affaire Dreyfus », https://shs.cairn.info/revue-raisons-politiques-2005-2-page-97

A la sortie de l’école, je pensais m’orienter, comme tout apprenti chartistin qui se respecte, vers les vieux papiers mangés par les vrillettes, et puis j’ai bifurqué vers le numérique, le geek en moi s’étant réveillé après quelques années de sommeil. Tout ça est relativement cohérent : l’antiquité numérique n’est finalement pas si loin en arrière, et les chances d’y trouver des informations importantes pour la vie de nos concitoyens sont plus raisonnables. Et de fait, le terrain est laissé assez largement vacant : les adeptes de l’OSINT privilégient l’information librement accessible, donc en ligne, les spécialistes ès digital forensics s’intéressent surtout aux appareils récents, et les aficionados de rétro-informatique préfèrent souvent le matériel aux données.

Au risque de vous décevoir, néanmoins, je n’ai pas résolu de nombreuses énigmes – bien que les restaurations numériques évoquées dans mes billets sur le site de l’OPF puissent vaguement s’en rapprocher. Je rêve donc de mettre la main sur quelque objet numérique ayant un tant soit peu de valeur patrimoniale, et dont le contenu soit un enjeu pour mes contemporains. Récemment, à la lecture d’une série d’articles du Monde, j’ai trouvé un objet iconique, d’autant plus fascinant qu’il est inaccessible, ses possesseurs n’ayant donné que des informations partielles sur son contenu. Il s’agit d’une disquette qui contiendrait les solutions d’une chasse au trésor ayant duré trente et un ans, de 1993 à 2024 ! Laissez-moi vous rappeler brièvement ce qu’est la chasse au trésor de la Chouette d’or

Lire des « micro-disquettes » avec une Greaseweazle

Depuis quelques mois (septembre dernier, pour être précis), je me suis plongé dans les questions de supports de données anciens – par un concours de circonstances. Et je me demande pourquoi nous n’avons pas commencé par cela. C’est tellement la quintessence de l’activité de préservation numérique, ça combine tellement de problématiques concrètes liées à la matérialité du numérique et à l’obsolescence logicielle et matérielle, tout fait sens, tout à coup, dans ce qu’on a appris. Et puis c’est visuel, c’est beaucoup plus simple à montrer et ça associe des outils particuliers et concrets à notre identité professionnelle.

J’ai donc commencé petit, en évoquant les disquettes ZIP, lorsque mes collègues de la TIB en avaient sous la main. Facile : un lecteur ZIP USB, quelques outils de création d’image disque, quelques utilitaires de restauration de fichiers supprimés. Puis j’ai tenté le disque dur interne – il fallait ouvrir le ventre d’une unité centrale, démonter le disque, retrouver un câble avec une interface IDE/PATA. Rien de très sorcier non plus, mais j’allais un peu plus loin dans l’expérimentation et dans des outils de digital forensics.

En parallèle, dans le petit monde de la préservation numérique, on s’est mis à parler pas mal de disquettes. Jusqu’à présent, c’était un domaine de niche, même au sein de la préservation numérique. Et puis, au début de cette année, la DPC a proposé plusieurs événements autour du traitement des disquettes, et a également publié un guide, joliment intitulé Copy that Floppy !1, écrit par Leontien Talboom, sur ce sujet2. L’objectif de Leontien est de démystifier ce savoir-faire, assez peu répandu dans les bibliothèques et archives : dans la plupart des cas, l’opération est simple. (Mais l’expérience apprend vite que, dans une minorité de cas, elle peut se révéler beaucoup plus délicate.)

Le guide prend acte du fait qu’une communauté a déjà ces compétences – et bien plus encore – et c’est celle de la rétro-informatique. Comme il s’agit surtout de hobbyistes, et non de professionnels, leur savoir-faire, bien que très conséquent, n’est pas très formalisé. Le travail de recueil et de compilation est donc fondamental. Je sais, c’est difficile d’accepter qu’on doive apprendre notre métier de gens qui l’ont développé comme loisir, mais c’est un fait.

Un disque dur externe connecté à un ordinateur portable avec un câble PATA/IDE-USB.

Explorer un disque dur interne

Cela fait plusieurs mois que je n’ai pas écrit dans ce blog, et ça me navre. Mon activité professionnelle ne me laisse pas assez d’énergie pour me lancer dans une telle entreprise après une journée de travail. Depuis avril dernier, je ne publie donc plus que pendant mes vacances. Or je suis en vacances, et rien ne semble venir. Je vais donc me forcer un peu et vous faire part de quelques dernières expérimentations, dans le prolongement de mon précédent billet.

Il se trouve en effet que j’avais un ordinateur familial acheté au début des années 2000 qui achevait son séjour au purgatoire dans la maison de mes parents, avant de s’envoler vers les tristes cieux des DEEE.

Dans ce billet, je vais donc faire un pas de plus et vous raconter comment j’ai fait une image de ce disque, puis je passerai en revue les méthodes et outils permettant

  • D’identifier bon nombre de fichiers système automatiquement ;
  • De récupérer beaucoup d’informations importantes sur les fichier supprimés – et pas que les fichiers supprimés eux-mêmes, comme on avait vu dans le précédent billet ;
  • De restaurer individuellement un de ces fichiers.

Prêt·e·s ? C’est parti !

Acquérir des données depuis des disquettes ZIP : une expérience

Un petit point d’attention avant de commencer : je débute dans le domaine des digital forensics. Le sujet m’amuse beaucoup, donc je profite de cet enthousiasme pour écrire mes aventures et les partager avec vous. Je préfère revenir ensuite sur mes billets pour les corriger plutôt que d’approfondir le sujet et risquer de perdre l’élan initial. Cet enthousiasme du débutant, c’est peut-être un petit effet Dunning-Kruger, mais il m’encourage.

Un peu de contexte

Il y a quelques semaines, Felix Burger, un de mes collègues de la TIB a évoqué cinq disquettes ZIP qu’il avait récupérées de Kamel Louafi, un architecte algéro-allemand. Ces disquettes étaient susceptibles de contenir des données liées au réaménagement du parc Welfengarten, où se trouve la Leibniz University Hanover.

Fièrement propulsé par WordPress & Thème par Anders Norén