REPORTAGE  
New Security Magazine 162 – juin 2022

Restaurer des données perdues: quelles sont les options?

Il existe de nombreuses raisons pour lesquelles les cartes mémoire d’un laptop, d’un gsm ou d’un appareil photo ne doivent pas faillir. Pour les uns, les photos de famille sont irremplaçables, pour d’autres, l’information d’entreprise a une valeur inestimable. Pour les services de police, les données provenant d’appareils de criminels sont une mine d’or pour orienter les recherches dans la bonne direction. Mais comment restaurer des supports d’information défectueux ou désactivés ?

Perdues à jamais? Pas vraiment

Si les individus traitent généralement des données personnelles dont la valeur est émotionnelle, il en va autrement dans le monde de l’entreprise. Dans notre secteur spécifiquement, il suffit de passer en revue les tâches quotidiennes pour se rendre compte des conséquences d’un support de données défaillant. Les données comptables ne sont plus consultables, les données produits et les paramètres sont irrécupérables, les données clients sont indisponibles, les offres ne peuvent plus être envoyées, le personnel n’est plus briefé et j’en passe. Les entreprises sont heureusement conscientes de ce type de problème et prévoient le back-up utile. Mais même dans ce cas, un support défaillant peut causer de sérieux dommages.

Lutter contre la criminalité

On trouve une autre application de restauration des données dans la sphère criminelle. Les criminels ne sont (généralement) pas nés de la dernière pluie et mettent tout en œuvre pour que les éléments incriminants ne tombent pas entre les mains des services de police. Ils travaillent plusieurs pistes. L’une d’entre elles consiste à utiliser des appareils cryptés pour compliquer l’obtention de données. Nos services disposent heureusement d’outils équivalents pour craquer cette méthode. On peut citer l’exemple récent des téléphones cryptés SKY ECC : la police a réussi à intercepter des millions de messages cryptés de criminels. Pas moins de 888 suspects ont été arrêtés et de la drogue, des armes et des véhicules ont été saisis pour un montant de 4,5 milliards d’euros.

Un autre type de criminels utilise son propre pc ou laptop à des fins criminelles. Pensez aux pédophiles qui échangent et/ou téléchargent des images interdites sur le disque dur. Si des soupçons commencent à surgir, ils ont vite fait d’effacer le matériel compromettant et de le rendre introuvable pour la police… pensent-ils. Via un logiciel spécial, il est généralement possible de le récupérer. Mieux : le logiciel spécialisé peut déterminer la durée exacte de la présence d’un fichier sur l’ordinateur du suspect. L’excuse typique – j’ai téléchargé ce contenu par erreur et je l’ai immédiatement supprimé – est donc facilement réfutable.

Les suspects peuvent aller plus loin et essayer de désactiver leur appareil. Mais ici aussi, les supports de données peuvent encore fonctionner dans bien des cas.

Supports de données

Dans les films hollywoodiens, les criminels brûlent les documents compromettant dans la cheminée juste avant que la police n’arrive ou les passent dans une déchiqueteuse juste avant leur arrestation. L’équivalent à l’ère numérique consiste à neutraliser les cartes SIM, les cartes de mémoire ou les disques durs.

Nous reviendrons dans un instant sur les possibilités de récupération de données prétendument perdues. Il convient d’abord de donner un bref aperçu des supports de données pouvant être importants dans cette optique car nos données sont aujourd’hui stockées sur :

*des disques durs

*des SSD (Solid State Disk)

*des cartes flash

*des clés USB

*des CD et des DVD

*des systèmes RAID (combinaison de disques durs)

*des systèmes NAS (disque dur supplémentaire connecté sans fil)

*des GSM

*des tablettes

Que prendre en considération?

En principe, chaque type de disque dur est éligible à la restauration de données : des entreprises mentionnent MFM, RLL, ESDI, SCSI, SAS, IDE, Serial ATA et Fibre Channel. D’autres technologies comme les disquettes, les lecteurs ZIP, les cd, les dvd et les bandes peuvent être récupérées. Il en va de même pour les cartes photo – même cassées – qui peuvent être récupérées tant que la puce mémoire est intacte. Les clés USB inaccessibles peuvent aussi être lues dans de nombreux cas. Même celles qui ne sont plus reconnues par un PC peuvent être ouvertes via un logiciel spécial.

Restaurer l’accès et/ou recherche scientifique

Le spécialiste Pieter Marchand travaille chez Datarecuperatie, une entreprise spécialisée en la matière. Il nous en dit plus sur les possibilités: « Dans le cadre de nos missions dans la sphère criminelle, la police fait appel à nous pour deux types d’activités. Dans le premier groupe, il s’agit de pouvoir à nouveau accéder aux données. Une fois l’accès rétabli, notre job se termine là. Pour la seconde activité, nous menons une recherche scientifique sur base de l’information. Lors d’une telle analyse du disque dur, plusieurs questions sont explorées. Quelques exemples :

*Qui avait accès à l’information?

*Quelles sont les données qui ont été copiées et par qui?

*Y a-t-il eu un échange d’e-mails?

*Quels e-mails a-t-on supprimé?

*Quelles sont les données qui ont été supprimées par qui (et quand) ?

*Quelles sont les informations qui ont été imprimées par qui (et quand)?

*Des utilisateurs extérieurs à l’organisation ont-ils obtenu un accès?

*Les utilisateurs ont-ils utilisé un logiciel de craquage de mot de passe ou des ‘déchiqueteurs de données’ pour effacer les traces ?

*Quels sont les sites internet qui ont été visités?

Taux de restauration élevé

Dans de nombreux cas, on peut récupérer des données de disques durs inaccessibles mais il est difficile d’y associer un pourcentage. Le taux de réussite dépend surtout de la technologie utilisée. La plupart des disques durs fonctionnent par magnétisme, d’autres avec des technologies comme l’hélium. Avec les disques durs fonctionnant au magnétisme, on peut récupérer les données en cas de défaillance physique dans 95% des cas. Avec les solid state drives, les chances de récupération sont plus faibles car un contrôleur est parfois défectueux et la clé se trouve sur le contrôleur. Dans ce cas, nous ne pouvons fournir que des données cryptées illisibles présentes sur la puce. Voilà pourquoi nous affichons un taux de réussite d’environ 60%. »

« Il faut examiner chaque cas individuellement. Un incendie ne veut pas dire que toutes les données sont perdues. Nous avons eu un cas où l’armoire de serveur a complètement brûlé, mais nous avons pu récupérer toutes les données de l’UPS. Cela dépend principalement du disque s’il a atteint la température maximale. Si c’est le cas, le magnétisme est perdu et c’est définitif. »

« Ce que l’on constate parfois, c’est que les organisations essaient, lors d’une calamité, de récupérer les données en utilisant le disque cible comme disque source. La conséquence est qu’elles écrasent involontairement leurs précieuses données par la récupération de données et dans ce cas-là, on ne peut plus faire grand-chose. »

Merci à datarecuperatie.be