Criminalistique informatique · Services d'enquête

Comment vérifie-t-on si un analyseur syntaxique forensic a correctement interprété une structure de données ?

Les analyseurs syntaxiques abstraient les structures de données et peuvent entraîner des erreurs d'interprétation en cas de nouvelles versions d'applications, de données corrompues ou de champs inconnus.

Demande sans engagement

Pourquoi cette question est-elle importante pour les autorités chargées des enquêtes ?

Dans le cadre d'enquêtes approfondies, il s'agit rarement de savoir simplement si un artefact donné existe ou non. Ce qui est déterminant, c'est de savoir si l'interprétation technique est solide, quelles sont les hypothèses contraires possibles et quelles conclusions il ne faut surtout pas tirer à partir des données disponibles.

Approche technique d'analyse

Nous vérifions les champs clés par rapport à la structure des données, aux valeurs brutes, à la version et, le cas échéant, à d'autres méthodes d'analyse.

Où se situe la limite de l'expression

Un champ d'analyse syntaxique n'est pas une source d'informations indépendante.

Pourquoi LanCologne ?

La méthode LanCologne n'est pas utilisée dans le cadre d'enquêtes complexes pour confirmer de la manière la plus efficace possible une hypothèse de suspicion existante. Sa mission consiste à examiner de manière indépendante une question technique précise et à évaluer les éléments à charge comme ceux à décharge selon les mêmes critères techniques.

La base de données est clairement documentée. Dans la mesure où cela est techniquement possible, l'analyse est effectuée sur des sauvegardes vérifiées ou des copies de travail appropriées. Lorsque les résultats sont déterminants pour la prise de décision, nous ne nous fions pas uniquement aux rapports générés automatiquement. L'origine, la logique de génération et le contexte système sont vérifiés ; si nécessaire, une validation est effectuée à partir des données primaires ou à l'aide d'une deuxième méthode appropriée sur le plan technique.

C'est précisément dans les situations complexes qu'il est essentiel de distinguer entre l'appareil, le compte, la session, l'action de l'utilisateur et la personne physique. De même, une distinction est opérée entre la constatation positive, la simple compatibilité, l'absence de preuve et l'exclusion technique.

Les résultats sont consignés de manière à ce que les enquêteurs et les procureurs puissent en saisir l'essentiel sans disposer de connaissances spécifiques en criminalistique. Parallèlement, les fondements techniques sont consignés de manière reproductible afin de permettre une vérification ultérieure par d'autres experts en criminalistique, la défense et le tribunal.

De la mission d'enquête au témoignage fiable

1Définir avec précision l'objet de l'enquête et le mandat d'expertise technique.

2Formuler une hypothèse à charge, des contre-hypothèses à décharge et d'éventuelles explications techniques alternatives.

3Documenter les éléments de preuve, les données de départ, l'intégrité et les lacunes connues.

4Identifier les sources primaires pertinentes, ainsi que les références relatives aux appareils, aux comptes, à Server et au cloud.

5Analyser les artefacts pertinents pour la prise de décision dans leur contexte d'origine et dans le contexte du système.

6Valider de manière indépendante les résultats des analyseurs syntaxiques et des outils en cas de résultats critiques.

7Résoudre de manière transparente les problèmes liés au temps, à la synchronisation et aux versions, ou les consigner en tant qu'incertitude résiduelle.

8Évaluer les résultats à charge et à décharge selon les mêmes critères techniques.

9Mentionner explicitement les limites de la conclusion, les lacunes dans les données et les autres explications possibles.

10Répondre de manière claire à la question posée dans le cadre de l'enquête et garantir la vérifiabilité technique.

Résultats défavorables, favorables et indécis

L'étude ne préjuge pas des résultats. Si plusieurs sources fiables corroborent une hypothèse d'enquête, leur lien technique est expliqué. En cas de résultats contradictoires ou d'explication alternative techniquement valable, ceux-ci sont documentés de manière équivalente. Si la base de données est insuffisante, l'absence de preuve est expressément mentionnée.

Reproductibilité et contrôle juridictionnel ultérieur

Le message essentiel est formulé de manière compréhensible pour les enquêteurs et les procureurs. Parallèlement, les principes techniques pertinents pour l'expertise sont documentés de manière à ce qu'un autre expert en informatique légale qualifié puisse retracer les conclusions essentielles à partir de la même base de données. Cela facilite les demandes de précisions ultérieures, les contre-vérifications et une éventuelle administration de la preuve devant les tribunaux.

LanCologne en tant qu'expert indépendant externe en informatique légale

Lorsqu'un service chargé de l'application de la loi doit faire examiner de manière approfondie, indépendante ou reproductible une question numérique complexe, LanCologne lui apporte son soutien en menant une enquête objective et sans a priori. L'objectif principal est d'apporter une réponse solide à la question concrète soulevée dans le cadre de l'enquête, en tenant compte des conclusions contraires, des limites des déclarations et de la vérifiabilité technique.

Cadre juridique

La direction de l'enquête et l'appréciation juridique relèvent de la compétence des autorités chargées des poursuites pénales. Conformément à l'article 160 du Code de procédure pénale (StPO), le parquet enquête sur les faits et doit établir tant les circonstances à charge que celles à décharge. L'article 161 du Code de procédure pénale (StPO) régit le pouvoir général d'enquête du parquet ; l'article 163 du Code de procédure pénale (StPO) définit les missions de la police dans le cadre de la procédure d'enquête.

Les articles 72 et suivants du Code de procédure pénale (StPO) s'appliquent en principe aux experts. Conformément à l'article 161a, paragraphe 1, du StPO, les experts sont tenus de comparaître devant le parquet lorsqu'ils y sont cités à comparaître et de rendre leur rapport d'expertise. L'article 82 du Code de procédure pénale régit les modalités de présentation du rapport d'expertise au cours de l'instruction. L'article 78 du Code de procédure pénale concerne la supervision judiciaire de l'activité de l'expert, dans la mesure où une telle supervision s'avère nécessaire.

La saisie et la mise sous scellés sont régies notamment par les articles 94 et 98 du Code de procédure pénale. L'article 110, paragraphe 3, du Code de procédure pénale concerne l'examen des supports de stockage électroniques et la sauvegarde des données susceptibles d'avoir une importance pour l'enquête. La décision relative à la recevabilité, à la portée et à l'ordonnance des mesures relevant de l'autorité publique revient exclusivement aux autorités de poursuite pénale et aux tribunaux compétents.

Conformément à l'article 1, paragraphe 3, de la loi allemande sur la rémunération des avocats (JVEG), le recours à un avocat par la police ou d'autres autorités chargées des poursuites pénales, à la demande ou avec l'accord préalable du parquet, est assimilé, au regard du droit de la rémunération, à un recours par le parquet.

Foire aux questions

Comment vérifie-t-on si un analyseur syntaxique forensic a correctement interprété une structure de données ?+

Dans le cadre d'enquêtes approfondies, il s'agit rarement de savoir simplement si un artefact donné existe ou non. Ce qui est déterminant, c'est de savoir si l'interprétation technique est solide, quelles sont les hypothèses contraires possibles et quelles conclusions il ne faut surtout pas tirer à partir des données disponibles.

Comment se déroule concrètement un tel examen technique ?+

Nous vérifions les champs clés par rapport à la structure des données, aux valeurs brutes, à la version et, le cas échéant, à d'autres méthodes d'analyse.

L'examen aboutit-il toujours à un résultat sans équivoque, qu'il soit à charge ou à décharge ?+

Un champ d'analyse syntaxique n'est pas une source d'informations indépendante.

Existe-t-il une base juridique à cet effet ?+

La direction de l'enquête et l'appréciation juridique relèvent de la compétence des autorités chargées des poursuites pénales. Conformément à l'article 160 du Code de procédure pénale (StPO), le parquet enquête sur les faits et doit établir tant les circonstances à charge que celles à décharge. L'article 161 du StPO régit le pouvoir général d'enquête du parquet ; l'article 163 du StPO définit les missions de la police dans le cadre de la procédure d'enquête. Les articles 72 et suivants du Code de procédure pénale s'appliquent en principe aux experts. Conformément à l'article 161a, paragraphe 1, du Code de procédure pénale, les experts sont tenus de comparaître devant le parquet lorsqu'ils y sont convoqués et de rendre leur rapport d'expertise. L'article 82 du Code de procédure pénale régit la forme de la remise du rapport d'expertise au cours de la procédure préliminaire. L'article 78 du Code de procédure pénale concerne la supervision judiciaire de l'activité de l'expert, dans la mesure où une telle supervision s'avère pertinente. La saisie et la mise sous scellés sont notamment régies par les articles 94 et 98 du Code de procédure pénale. L’article 110, alinéa 3, du Code de procédure pénale (StPO) concerne l’examen des supports de stockage électroniques et la sauvegarde des données susceptibles d’avoir une importance pour l’enquête. Seuls les organes de poursuite pénale et les tribunaux compétents statuent sur l’admissibilité, la portée et l’ordonnance des mesures relevant de l’autorité publique. Conformément à l’article 1, paragraphe 3, de la loi allemande sur la rémunération des experts judiciaires (JVEG), le recours à un expert par la police ou d’autres autorités chargées des poursuites pénales, sur mandat ou avec l’accord préalable du parquet, est assimilé, au regard du droit de la rémunération, à un recours par le parquet.