Verification d'empreinte forensique
Qu'est-ce que Verification d'empreinte forensique ?
Verification d'empreinte forensiquePratique consistant a calculer et comparer des empreintes cryptographiques (generalement MD5 et SHA-256) des images forensiques et des supports sources pour prouver l'integrite des preuves.
La verification d'empreinte forensique est la pratique fondamentale qui consiste a calculer des empreintes cryptographiques telles que MD5, SHA-1 et SHA-256 sur la preuve numerique et a les comparer a chaque etape pour demontrer que la preuve n'a pas ete modifiee. Pendant l'acquisition, des bloqueurs d'ecriture materiels ou logiciels et des outils comme FTK Imager, Guymager ou 'dd' calculent l'empreinte du support source et celle de l'image obtenue ; les empreintes doivent correspondre. Le re-hash sur la station de travail et a chaque transfert ou restauration est documente dans la chaine de custody. Des normes comme NIST SP 800-86, les bonnes pratiques SWGDE et ISO/IEC 27037 imposent un double hash (MD5 + SHA-256) car MD5 n'est plus resistant aux collisions. Des jeux d'empreintes comme la NIST NSRL aident aussi a filtrer les fichiers connus comme legitimes.
● Exemples
- 01
Inscrire 'Acquisition MD5 = ...; SHA-256 = ...' sur la fiche de chaine de custody et verifier la correspondance apres chaque restauration.
- 02
Recalculer l'empreinte d'une image E01 avec 'ewfverify' avant l'analyse pour prouver son integrite.
● Questions fréquentes
Qu'est-ce que Verification d'empreinte forensique ?
Pratique consistant a calculer et comparer des empreintes cryptographiques (generalement MD5 et SHA-256) des images forensiques et des supports sources pour prouver l'integrite des preuves. Cette notion relève de la catégorie Forensique et réponse en cybersécurité.
Que signifie Verification d'empreinte forensique ?
Pratique consistant a calculer et comparer des empreintes cryptographiques (generalement MD5 et SHA-256) des images forensiques et des supports sources pour prouver l'integrite des preuves.
Comment fonctionne Verification d'empreinte forensique ?
La verification d'empreinte forensique est la pratique fondamentale qui consiste a calculer des empreintes cryptographiques telles que MD5, SHA-1 et SHA-256 sur la preuve numerique et a les comparer a chaque etape pour demontrer que la preuve n'a pas ete modifiee. Pendant l'acquisition, des bloqueurs d'ecriture materiels ou logiciels et des outils comme FTK Imager, Guymager ou 'dd' calculent l'empreinte du support source et celle de l'image obtenue ; les empreintes doivent correspondre. Le re-hash sur la station de travail et a chaque transfert ou restauration est documente dans la chaine de custody. Des normes comme NIST SP 800-86, les bonnes pratiques SWGDE et ISO/IEC 27037 imposent un double hash (MD5 + SHA-256) car MD5 n'est plus resistant aux collisions. Des jeux d'empreintes comme la NIST NSRL aident aussi a filtrer les fichiers connus comme legitimes.
Comment se défendre contre Verification d'empreinte forensique ?
Les défenses contre Verification d'empreinte forensique combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.
Quels sont les autres noms de Verification d'empreinte forensique ?
Noms alternatifs courants : Hash de preuve, Verification d'empreinte d'image, Hashing forensique.
● Termes liés
- forensics-ir№ 162
Chaîne de possession
Traçabilité chronologique et documentée de chaque personne, lieu et action ayant affecté une preuve, de la saisie jusqu'à son sort final.
- forensics-ir№ 426
Imagerie forensique
Copie bit à bit d'un support de stockage, vérifiée par empreintes cryptographiques, exploitable pour l'analyse et recevable en justice.
- forensics-ir№ 1142
The Sleuth Kit
Bibliotheque open source et ensemble d'outils en ligne de commande pour l'analyse bas niveau d'images disque et de systemes de fichiers, maintenus par Brian Carrier.
- forensics-ir№ 378
EnCase
EnCase est une gamme de produits commerciaux d'investigation numerique d'OpenText (a l'origine Guidance Software), largement utilisee par les forces de l'ordre et les enqueteurs en entreprise depuis la fin des annees 1990.
- forensics-ir№ 436
FTK
Forensic Toolkit (FTK) est une suite commerciale d'investigation numerique developpee par AccessData et appartenant aujourd'hui a Exterro, utilisee pour acquerir, indexer et analyser des preuves informatiques.
- forensics-ir№ 427
Préparation à l'investigation
Capacité préparée d'une organisation à collecter, préserver et analyser des preuves numériques avec un impact minimal lors d'un incident ou d'une affaire juridique.