Fiche de révision : Introduction à l'Enquête Numérique Forensique

📋 Plan du Cours

1. Preuve numérique et supports
2. Acteurs de l’enquête numérique
3. Perquisition et saisie numérique
4. Personne qualifiée en technique
5. Expertise numérique et rapport
6. Scène de crime numérique
7. Traces numériques et mémoire vive
8. Analyse à chaud et à froid
9. Extraction et analyse des données
10. Logiciels d’enquête et schéma relationnel
11. IA, chiffrement et contre-mesures

📖 1. Preuve numérique et supports

🔑 Notions clés & Définitions

• Preuve numérique : La preuve numérique désigne des indices immatériels sous forme de données, dont la valeur dépend de leur collecte et conservation pour éviter leur disparition.
• Support numérique : Un support numérique est un objet ou service contenant des données exploitables par l’enquête, comme des appareils locaux ou des serveurs distants accessibles via identifiants.
• Données volatiles : Les données volatiles sont des informations présentes uniquement lorsque le système est en fonctionnement, qui peuvent disparaître si l’appareil est éteint avant extraction.

📝 Points essentiels

• Les preuves numériques sont particulièrement sensibles car, si elles ne sont pas collectées et conservées correctement, elles risquent de disparaître définitivement.
• Les supports numériques incluent téléphones, ordinateurs, tablettes, montres connectées, caméras, enceintes intelligentes, objets connectés et serveurs distants accessibles via identifiants personnels.
• Une perquisition numérique doit être réalisée par un officier de police judiciaire ou un magistrat et respecter les horaires de 6 h à 21 h pour les domiciles.
• En enquête préliminaire, l’accord de la personne concernée est requis sauf exceptions, notamment pour les infractions graves comme le terrorisme.
• La perquisition doit se dérouler en présence de la personne visée, ou à défaut de deux témoins extérieurs, conformément aux modalités prévues par l’article 56 du CPP.
• La Cour de cassation du 12 janvier 2021 assimile l’exploitation d’un téléphone portable à une perquisition numérique et impose les mêmes exigences procédurales qu’une perquisition physique, notamment l’autorisation préalable quand elle est nécessaire.

📖 2. Acteurs de l’enquête numérique

🔑 Notions clés & Définitions

• Officier de police judiciaire : Un officier de police judiciaire est l’acteur chargé d’agir dans le cadre de l’enquête et d’exécuter les opérations de perquisition et de saisie prévues par la procédure pénale.
• Personne qualifiée : Une personne qualifiée est un intervenant technique requis pour assister les enquêteurs lorsque la complexité numérique dépasse leurs compétences, sans se prononcer sur la culpabilité.
• Expert judiciaire : Un expert judiciaire est un spécialiste chargé de rechercher, identifier et interpréter des indices numériques dans le cadre de l’information judiciaire ou d’une juridiction de jugement.

📝 Points essentiels

• La récupération des indices numériques mobilise trois catégories d’acteurs : enquêteurs (souvent OPJ), personnes qualifiées pour l’assistance technique, et experts pour l’analyse interprétative en procédure judiciaire.
• La personne qualifiée intervient sur réquisition de l’enquêteur dans les enquêtes de flagrance ou préliminaire tant que le juge d’instruction n’est pas saisi, et son rôle reste limité aux constatations techniques.
• La personne qualifiée peut ouvrir des scellés, copier des systèmes ou déchiffrer des mots de passe uniquement en veillant à ne pas altérer les données.
• Si une personne qualifiée n’est pas inscrite, elle doit prêter serment avant d’exercer sa mission, y compris lorsqu’elle intervient hors liste.
• L’expertise numérique relève de l’information judiciaire ou des phases devant juridictions, car l’expert interprète les faits à partir des indices numériques.
• Seul un magistrat du siège peut ordonner une expertise, et les résultats peuvent être débattus contradictoirement à l’audience par le tribunal/la cour, le procureur et les avocats.

💡 Astuce mémo

OPJ = action d’enquête, Qualifié = technique sans conclusion, Expert = interprétation judiciaire.

📖 3. Perquisition et saisie numérique

🔑 Notions clés & Définitions

• Perquisition numérique : La perquisition numérique désigne toute opération sur des supports numériques assimilée à une perquisition physique, avec des exigences procédurales à respecter.
• Ouverture de scellés : L’ouverture de scellés en contexte numérique est une opération technique permettant d’accéder aux supports pour procéder à des constatations, sous contraintes de non-altération.

📝 Points essentiels

• Par un arrêt du 12 janvier 2021, la Cour de cassation a jugé que l’exploitation d’un téléphone portable constitue une perquisition numérique.
• Une perquisition numérique doit respecter les mêmes exigences procédurales qu’une perquisition physique, notamment l’autorisation préalable d’un magistrat lorsque la situation l’exige.
• L’article 60-3 du code de procédure pénale encadre la réquisition de la personne qualifiée et prévoit, si elle n’est pas inscrite, la prestation de serment avant d’exercer sa mission.
• La personne qualifiée peut ouvrir des scellés, copier des systèmes ou déchiffrer des mots de passe à condition de ne pas altérer les données.
• En enquête de flagrance ou préliminaire, la personne qualifiée peut intervenir tant que le juge d’instruction n’est pas saisi, mais son rôle se limite aux constatations techniques sans interpréter les faits ni conclure sur la culpabilité.
• À ces stades (flagrance ou préliminaire), on ne parle pas d’expertise judiciaire : on recourt à la personne qualifiée plutôt qu’à une mesure d’expertise.

📖 4. Personne qualifiée en technique

🔑 Notions clés & Définitions

• Expertise judiciaire : Mesure ordonnée par une juridiction, réalisée dans le cadre d’une procédure judiciaire pour produire un rapport contestable devant la juridiction compétente.
• Magistrat du siège : Magistrat compétent pour ordonner une expertise judiciaire, notamment dans le cadre de l’information judiciaire ou des cas prévus par la juridiction.

📝 Points essentiels

• Une expertise ne peut être ordonnée que par un magistrat du siège, pas par le Procureur de la République ni par un autre acteur.
• En enquête préliminaire ou en flagrance, on ne parle pas d’expertise judiciaire : on fait appel à une personne qualifiée.
• La personne qualifiée est désignée par le Procureur de la République ou par un officier de police judiciaire.
• Le rapport de la mission technique peut être soumis aux débats contradictoires, notamment avec des questions du tribunal, du Procureur et des avocats des parties.

💡 Astuce mémo

Enquête = personne qualifiée ; Information/tribunal = expertise judiciaire. Magistrat du siège = seul qui ordonne.

📖 5. Expertise numérique et rapport

🔑 Notions clés & Définitions

• Rapport d’expertise numérique : Le rapport d’expertise numérique est le document qui consigne les traces trouvées, les éléments de preuve et l’interprétation de l’expert pour le dossier judiciaire.
• Article 63 du code de procédure pénale : L’article 63 du code de procédure pénale impose de démontrer que les données extraites n’ont pas été modifiées pendant l’expertise.
• Recevabilité des preuves numériques : La recevabilité des preuves numériques dépend de la conformité de la collecte et du traitement des données, afin de garantir leur fiabilité devant le tribunal.
• Scène de crime numérique : La scène de crime numérique désigne l’environnement virtuel où l’on recherche des traces et indices liés, directement ou indirectement, aux usages d’objets et réseaux numériques.

📝 Points essentiels

• Les investigations numériques suivent un cycle en trois opérations : collecte/préservation, exploitation des données, puis présentation du rapport et de son contenu devant l’autorité judiciaire.
• Les données numériques étant volatiles et fragiles, l’expert doit protéger les supports dès la collecte pour éviter toute perte ou altération.
• L’article 63 du code de procédure pénale exige d’établir l’intégrité des données extraites afin qu’elles soient exploitables comme preuves.
• Une mauvaise manipulation ou une altération peut permettre à la défense de contester la fiabilité des éléments numériques présentés.
• Le rapport est remis au juge d’instruction ou à la juridiction ayant ordonné l’expertise, puis il peut être expliqué à l’audience par l’expert.

📖 6. Scène de crime numérique

🔑 Notions clés & Définitions

• Principe de Locard : Le principe de Locard énonce qu’une action sur une scène de crime laisse des traces, ce qui se transpose aussi aux actions réalisées avec des appareils numériques.
• Mémoire vive RAM : La RAM est la mémoire volatile contenant des informations temporaires pendant l’exécution d’une machine, utiles pour récupérer des éléments en temps réel.
• Cage de Faraday : Une cage de Faraday est un dispositif qui bloque les signaux électromagnétiques afin d’empêcher les connexions réseau lors d’une analyse.

📝 Points essentiels

• Les connexions Wi‑Fi et Bluetooth ne sont pas visibles à l’œil nu, contrairement à un câble Ethernet/RJ45 identifiable physiquement.
• Chaque action via un appareil numérique génère des traces récupérables, par exemple dans des journaux d’événements (logs) lors de branchements USB ou d’interactions périphériques.
• Les données en RAM sont très volatiles : elles disparaissent au redémarrage ou à l’extinction, ce qui rend l’extraction en live indispensable.
• Quand le téléphone ou l’ordinateur est verrouillé, l’accès aux données sensibles protégées (messagerie, visioconférence) devient quasiment impossible.
• En cas de ransomware, l’isolement immédiat de l’appareil limite la propagation : débrancher le câble réseau ou placer l’équipement dans une cage de Faraday pour une connexion sans fil.

💡 Astuce mémo

Locard version numérique : toute action = une empreinte, donc on cherche des traces partout (logs, périphériques, connexions).

📖 7. Traces numériques et mémoire vive

🔑 Notions clés & Définitions

• Analyse en direct live forensics : Analyse en direct live forensics : expertise réalisée pendant l’exécution de l’appareil pour récupérer des traces encore présentes en mémoire.
• Clés cryptographiques en mémoire : Clés cryptographiques en mémoire : éléments nécessaires au chiffrement/déchiffrement qui peuvent être conservés en RAM pendant une session active.

📝 Points essentiels

• Les données stockées en RAM deviennent indisponibles dès que l’ordinateur ou le téléphone est éteint ou redémarré.
• L’enquête live forensics vise à extraire avant disparition les informations temporaires contenues en mémoire vive.
• Les données sensibles (messageries, visioconférence) ne sont exploitables que si l’appareil est déverrouillé.
• Si un ransomware est suspecté pendant l’analyse, l’appareil doit être isolé immédiatement du réseau pour empêcher la propagation, en débranchant le câble ou en utilisant une cage de Faraday en cas de sans fil.
• Quand une session (ex. visioconférence ou messagerie chiffrée) est en cours, des informations comme des clés cryptographiques peuvent transiter/être présentes en RAM, donc récupérables en live.

💡 Astuce mémo

RAM = « Révélée Maintenant » : dès qu’on coupe/redémarre, la trace disparaît.

📖 8. Analyse à chaud et à froid

🔑 Notions clés & Définitions

• Analyse à chaud : L’analyse à chaud consiste à examiner un appareil pendant qu’il est encore en cours d’utilisation afin d’accéder à des données très volatiles.
• Analyse à froid : L’analyse à froid (post-mortem) consiste à examiner un système éteint, après l’avoir conditionné correctement sous scellé pour limiter l’altération des données.
• Copie logique : La copie logique récupère uniquement les données visibles et indexées par le système d’exploitation, comme si on faisait une sauvegarde.
• Copie physique : La copie physique réalise une copie bit-à-bit et peut inclure des données désindexées ou supprimées tant qu’elles ne sont pas écrasées.

📝 Points essentiels

• Quand l’ordinateur ou le téléphone est verrouillé, récupérer des données devient presque impossible, et certaines données sensibles nécessitent un appareil déverrouillé.
• Lors d’un risque de ransomware, il faut isoler immédiatement l’appareil du réseau (débrancher un câble, ou utiliser une cage de Faraday / mode avion) pour empêcher la propagation.
• L’analyse à chaud sert à extraire des données extrêmement volatiles avant qu’elles ne soient perdues, mais impose des précautions contre les malwares.
• En analyse à froid, on ne doit pas allumer ni éteindre l’appareil examiné afin d’éviter de modifier ou de recréer des données.
• Un scellé correct pour téléphone utilise un sac opaque (pas transparent) pour éviter manipulation et altération de données, en particulier autour de l’écran.
• Pour assurer l’intégrité pendant l’extraction, on utilise un bloqueur en écriture qui empêche toute modification des données pendant la copie.

💡 Astuce mémo

Chaud=« en service » (volatilité), Froid=« éteint » (scellé), Faraday coupe le réseau des deux côtés.

📖 9. Extraction et analyse des données

🔑 Notions clés & Définitions

• Bloqueur en écriture : Outil matériel qui empêche toute écriture pendant la copie, afin de conserver l’intégrité des données extraites d’un disque ou d’un terminal.
• Logiciel de rapprochement judiciaire : Logiciel spécialisé qui classe et organise les données extraites pour faciliter la recherche d’informations précises à partir d’énormes volumes.
• Schéma relationnel : Représentation graphique des liens entre éléments (personnes, lieux, actions) déduits des données comme appels, messages et partages.

📝 Points essentiels

• L’extraction logique copie les données accessibles au système et sert à récupérer ce que l’utilisateur peut voir (contacts, SMS, appels, photos, vidéos, fichiers d’applications).
• L’extraction physique vise une récupération plus large, et peut durer plusieurs heures jusqu’à une journée selon la taille de l’appareil.
• Un bloqueur en écriture empêche toute modification pendant la copie en sécurisant la connexion entre l’ordinateur d’analyse et le support examiné.
• L’analyse manuelle d’un téléphone ou d’un ordinateur est impraticable à cause du volume de données, d’où l’usage de logiciels spécialisés de rapprochement judiciaire.
• Les logiciels peuvent exploiter l’historique des appels, la géolocalisation, les photos/vidéos avec métadonnées, et les messages/SMS y compris supprimés.
• Le logiciel peut construire un schéma relationnel pour visualiser les connexions entre données et faciliter l’identification d’interactions entre personnes.

💡 Astuce mémo

Logique = ce que tu vois ; Physique = clone bit-à-bit et données “effacées”.

📖 10. Logiciels d’enquête et schéma relationnel

🔑 Notions clés & Définitions

• Rapprochement des données : Une démarche qui croise plusieurs types d’informations (appels, messages, positions, contenus) afin d’établir des liens entre événements et acteurs.

📝 Points essentiels

• L’analyse manuelle est difficile car le volume de données collectées dépasse ce que l’on peut traiter à la main sur un téléphone ou un ordinateur.
• Les logiciels de rapprochement judiciaire classent les données par typologie pour faciliter la recherche d’informations spécifiques.
• Ces outils peuvent aider à reconstituer des liens via l’historique des appels, l’emplacement géographique, les photos/vidéos et les messages/SMS.
• Les métadonnées des photos et vidéos (date, heure, localisation) servent à restituer chronologies et présences utiles à l’enquête.
• Le logiciel trace automatiquement les connexions entre individus et éléments, ce qui aide à identifier des complices et à comprendre un réseau.
• Le schéma relationnel est particulièrement utile quand plusieurs personnes sont impliquées, notamment dans des enquêtes de criminalité organisée.

💡 Astuce mémo

Schéma relationnel = Contacts + Lieux + Actions en graphe : le réseau devient visible.

📖 11. IA, chiffrement et contre-mesures

🔑 Notions clés & Définitions

• Intelligence artificielle générative : L’intelligence artificielle générative produit rapidement des images ou vidéos falsifiées qui peuvent paraître authentiques sans avoir été réellement filmées.
• Chiffrement : Le chiffrement rend des données illisibles sans la clé correspondante, ce qui empêche l’accès au contenu protégé.
• Clé de déchiffrement : La clé de déchiffrement est l’information indispensable pour rendre lisibles des données chiffrées.
• Contournement du chiffrement : Le contournement du chiffrement regroupe des techniques permettant d’obtenir l’accès aux données protégées malgré le verrou numérique.

📝 Points essentiels

• L’IA permet de créer des images et vidéos entièrement générées qui peuvent être indiscernables du réel et exigent une vérification d’authenticité.
• Le chiffrement empêche l’extraction des preuves si la clé manque ou si la puissance de calcul nécessaire pour casser le chiffrement n’est pas disponible.
• Le chiffrement protège la vie privée et les données, mais peut ralentir voire empêcher certaines investigations numériques.
• Les techniques pour casser le code de déverrouillage sont réservées à des circonstances très spécifiques et souvent non divulguées.
• Une contre-mesure humaine consiste à infiltrer sous pseudonyme des communications chiffrées sur des plateformes comme Telegram ou WhatsApp.
• Une contre-mesure technique consiste à utiliser des logiciels étatiques pour pirater à distance des appareils afin de récupérer des preuves même quand elles sont chiffrées.

💡 Astuce mémo

IA = FAUX qui semble VRAI ; Chiffrement = DONNÉES VERROUILLÉES sans CLÉ ; Contre-mesures = CLÉ (spécifique) ou INFILTRATION ou PIRATAGE à distance.

📅 Repères chronologiques

📊 Tableaux de synthèse

Acteurs : rôle et moment d’intervention

⚠️ Pièges & confusions fréquents

1. Confondre personne qualifiée et expert : la qualifiée fait des constatations techniques sans interpréter les faits, l’expert interprète et produit un rapport.
2. Croire qu’il y a “expertise” en flagrance ou en enquête préliminaire : à ces stades, on recourt à la personne qualifiée.
3. Oublier l’assimilation de l’exploitation d’un téléphone à une perquisition numérique : cela entraîne le respect des exigences procédurales comme pour une perquisition physique.
4. Permuter analyse à chaud et à froid : chaud = appareil en cours d’utilisation pour données volatiles, froid/post-mortem = appareil éteint et conditionné sous scellé.
5. Penser que l’analyse hors scellé n’altère rien : toute manipulation (allumer/éteindre, mauvaise mise sous scellé) peut créer ou modifier des données et être contestée.
6. Confondre copie logique et copie physique : la logique ne copie que ce qui est indexé/visible, la physique peut récupérer des données désindexées/supprimées tant qu’elles ne sont pas écrasées.
7. Croire que “verrouillé” signifie “irrecupérable” : l’accès est quasi impossible tant que l’appareil est verrouillé, mais l’analyse live vise justement à extraire avant disparition des éléments en RAM.

✅ Checklist Examen

1. Définir la preuve numérique comme indices immatériels éphémères et expliquer pourquoi collecte/conservation sont décisives pour éviter la disparition.
2. Lister les supports pouvant contenir des preuves numériques (téléphones, ordinateurs, tablettes, montres connectées, caméras, enceintes, objets connectés, serveurs distants via identifiants).
3. Expliquer le cadre de la perquisition : acteurs habilités (OPJ/magistrat), horaires 6 h-21 h pour les domiciles, présence de la personne ou de deux témoins, accord en préliminaire sauf exceptions.
4. Citer la décision de la Cour de cassation du 12 janvier 2021 et en déduire l’exigence procédurale d’une autorisation préalable si nécessaire (assimilation à une perquisition numérique).
5. Décrire la personne qualifiée : base (art. 60-3), serment si non inscrite, champ d’intervention en flagrance/préliminaire avant saisine du juge, rôle limité aux constatations techniques (pas d’interprétation/culpabilité).
6. Décrire l’expert : quand il intervient (information judiciaire / instruction ou jugement), ce qu’il fait (recherche, identification, interprétation), et la possibilité d’un débat contradictoire à l’audience.
7. Expliquer les 3 opérations du cycle d’investigation numérique : collecte/préservation, preuve d’intégrité (art. 63), puis exploitation et présentation du rapport.
8. Définir la scène de crime numérique et savoir donner au moins deux exemples de connexions à analyser (Wi‑Fi/Bluetooth non visibles vs Ethernet/RJ45 visibles).
9. Expliquer l’analyse live (live forensics) vs post-mortem : rôle de la RAM (données volatiles) et précautions en cas de ransomware (isoler l’appareil : débrancher ou cage de Faraday / mode avion).
10. Comparer copie logique vs copie physique et préciser l’intérêt de la copie physique pour données désindexées/supprimées non écrasées.
11. Expliquer l’analyse assistée par logiciels de rapprochement : quelles catégories de données (appels, géolocalisation, photos/vidéos avec métadonnées, SMS, navigation/cookies) et le but du schéma relationnel.
12. Citer les défis “authenticité” et “accès” : IA générative (falsifications) et chiffrement (données illisibles sans clé), puis rappeler les contre-mesures évoquées (stratégies humaines et techniques).