Informatique légale · Linux

Analyse médico-légale des fichiers /etc/passwd et /etc/shadow – Examen détaillé des bases de données centrales des comptes

Le fichier /etc/passwd contient les informations de base sur les comptes, telles que le nom d'utilisateur, l'UID, le GID, le répertoire personnel et le shell par défaut, tandis que le fichier /etc/shadow stocke séparément et de manière plus sécurisée les informations relatives aux mots de passe (hachés), ainsi que les dates d'expiration et de modification.

Demande sans engagement

Pour l'analyse médico-légale, il est particulièrement important de déterminer si et quand des entrées ont été modifiées a posteriori, par exemple par l'ajout d'un compte avec l'UID 0 ou par la modification d'un hachage de mot de passe sans motif régulier identifiable.

Pourquoi LanCologne ?

Depuis sa création, LanCologne se consacre principalement à l'informatique légale. Nos collaborateurs possèdent plusieurs décennies d'expérience dans le domaine des technologies de l'information et accompagnent les entreprises, les avocats, les particuliers ainsi que, régulièrement, les tribunaux dans l'analyse technique de situations numériques complexes.

L'analyse est en principe effectuée exclusivement sur une copie ou une image à des fins judiciaires, ou sur une source de données enregistrée de manière techniquement équivalente et garantissant la conservation des preuves. L'élément de preuve original reste inchangé et est conservé de manière à garantir la conservation des preuves.

Nos services

Nous analysons systématiquement les fichiers /etc/passwd et /etc/shadow à la recherche de comptes inhabituels, en particulier ceux dont l'UID est égal à 0 ou qui présentent des attributions de shell inattendues, et nous évaluons les informations de horodatage disponibles concernant l'historique des modifications.

Domaines d'application typiques

•Détection de comptes supplémentaires dotés de droits d'administrateur (UID 0)
•Analyse des modifications ultérieures des hachages de mots de passe
•Analyse des attributions inhabituelles de shell ou de répertoire personnel
•Reconstitution de l'historique des modifications apportées aux données du compte
•Réponse aux incidents sur les systèmes Linux
•Expertises judiciaires et extrajudiciaires

Voici comment se déroule l'analyse des fichiers /etc/passwd et /etc/shadow

Une fois la sauvegarde effectuée, les deux fichiers sont analysés de manière structurée et examinés à la recherche de comptes avec un UID égal à 0, d'attributions de shell inattendues ou de répertoires personnels atypiques. Les horodatages et les métadonnées du système de fichiers disponibles sont utilisés pour déterminer les dates et heures de modification de chaque entrée.

En quoi cette analyse présente-t-elle un intérêt sur le plan médico-légal ?

Un compte supplémentaire doté de l'UID 0 dispose des mêmes droits que l'utilisateur root standard et constitue ainsi l'un des mécanismes de persistance les plus critiques en cas de compromission du système.

Ces fichiers contenant des informations essentielles en matière de sécurité, leur analyse est systématiquement effectuée avec un soin particulier et en recoupement avec d'autres sources de journaux.

Foire aux questions

Que signifie un deuxième compte avec un numéro d'identification fiscale (UID) égal à 0 ?+
Il dispose des mêmes droits d'administrateur que le compte root standard, quel que soit le nom d'utilisateur choisi, et doit donc être considéré comme particulièrement critique.
Peut-on déchiffrer soi-même les hachages de mots de passe ?+
Avec les algorithmes de hachage modernes, il n'est pas possible, selon l'état actuel de la technique, de procéder à un décryptage fiable. L'analyse médico-légale se concentre sur les dates et les schémas de modification.
Comment détecter une manipulation ultérieure ?+
Notamment en comparant les horodatages du système de fichiers, l'état des sauvegardes et d'autres sources de journaux telles que Auditd.

🔗 Sujets connexes

LanCologne – Analyse informatique légale sous Linux à Cologne

Vous avez besoin d'une expertise judiciaire concernant „ l'analyse judiciaire des fichiers /etc/passwd et /etc/shadow " ? LanCologne vous accompagne dans la sauvegarde conforme aux exigences judiciaires des preuves numériques ainsi que dans l'analyse traçable des artefacts Linux pertinents.

Nous contacter dès maintenant