Le problème de l’examen préalable
Une page web, un relevé de transaction ou une capture d’écran peut changer après sa collecte, par accident, du fait d’un outil ou volontairement. Si personne ne peut démontrer que la copie figurant dans un rapport est bien celle qui a été capturée, l’expert de la partie adverse posera la question, et il aura raison de le faire.
D’abord le hachage, ensuite le reste
Lorsque nous acquérons un artefact, nous calculons son hash SHA-256 avant que tout autre processus n’y touche. Le hash, l’heure, la source et la méthode sont consignés dans notre journal de conservation au cours de la même étape. Ce n’est qu’ensuite que l’artefact est stocké et mis à disposition pour l’analyse.
Un journal qui ne peut pas être modifié discrètement
Chaque entrée du journal de conservation inclut le hash de l’entrée qui la précède. Modifier une entrée passée romprait tous les liens qui la suivent. À intervalles réguliers, nous envoyons la tête courante du journal à deux autorités d’horodatage RFC 3161 indépendantes, qui renvoient des jetons signés indiquant le moment où elles l’ont reçue.
Ce que la partie adverse peut vérifier
Chaque paquet d’export contient un manifeste de hashs, les jetons d’horodatage et des instructions écrites. Un tiers peut recalculer les hashs avec des outils standard et confirmer les horodatages sans rien nous demander.
Ce que le hachage ne prouve pas
Un hachage prouve qu’un fichier n’a pas changé depuis qu’il a été haché. Il ne prouve pas que ce que le fichier montre est vrai. C’est pourquoi nos rapports distinguent ce qui a été observé de ce qui est déduit, et indiquent pour chaque constat un niveau de confiance et ses limites.