Cet aperçu rassemble toutes les questions et réponses relatives à l'informatique légale pour les tribunaux sur LanCologne – depuis l'identification des utilisateurs et des comptes jusqu'aux fichiers, métadonnées et traces de communication, en passant par les contradictions dans les preuves numériques et le rôle de l'expert informatique dans la procédure judiciaire. Cliquez sur une catégorie pour afficher les questions correspondantes.
Attribution des utilisateurs et des comptes
- Est-il possible d'identifier la personne qui a utilisé un ordinateur ou un smartphone ?
- Est-il possible de prouver techniquement une saisie concrète effectuée par un utilisateur ?
- Est-il possible de distinguer l'envoi effectif d'un message de sa simple présence dans le compte ?
- Peut-on faire la distinction entre un compte utilisateur local, un compte de domaine et un compte cloud ?
- Est-il possible de reconstituer un changement d'utilisateur ou une session utilisateur parallèle ?
- Quelle est la valeur d'une inscription automatique ?
- Un artefact numérique peut-il être associé à un profil d'utilisateur spécifique ?
- Comment évaluer les objets provenant de comptes partagés ou de comptes techniques ?
- Est-il possible de déterminer si des données numériques ont été générées automatiquement ou à la suite d'une action de l'utilisateur ?
- Est-il possible de déterminer si un compte utilisateur a été piraté ou utilisé par un tiers ?
- Comment les traces numériques sont-elles évaluées lorsque plusieurs appareils utilisent le même compte ?
- Sur des ordinateurs partagés, est-il possible d'attribuer une action numérique à un utilisateur précis ?
- Est-il possible de distinguer de manière fiable un compte utilisateur local d'un compte de domaine et d'un compte cloud ?
- Est-il possible de prouver qu'il y a eu un changement d'utilisateur ou une session utilisateur parallèle ?
- Quelle est la pertinence d'une connexion automatique pour l'attribution des utilisateurs ?
- Un artefact numérique peut-il être associé à un profil utilisateur spécifique au sein d'un système multi-utilisateurs ?
Communication : chat, e-mail et messages
- Est-il techniquement possible de vérifier l'authenticité et l'intégralité d'un historique de discussion ?
- Est-il techniquement possible de déterminer l'origine d'un e-mail et le chemin qu'il a emprunté pour être envoyé ?
- Quelle est la valeur probante des notifications push en tant que preuve numérique ?
- Que prouve réellement une confirmation de lecture numérique ?
- Comment évaluer les différences entre les états des messages du côté de l'expéditeur et de celui du destinataire ?
- Est-il possible de faire la distinction entre la réception, l'enregistrement, l'ouverture et le traitement d'une pièce jointe à un e-mail ?
- Est-il possible de déterminer si un e-mail a été transféré ou si son contenu a été copié manuellement ?
- Quelle valeur informative les en-têtes d'e-mails apportent-ils quant à l'origine et au chemin de transmission ?
- Est-il possible de déterminer si un e-mail a été supprimé localement, sur le serveur ou lors d'une synchronisation ?
Photos, vidéos et contenu multimédia
- Peut-on déduire l'utilisation réelle d'un appareil à partir d'un écran verrouillé ?
- Est-il possible de déterminer si une photo ou une vidéo a été prise avec un appareil spécifique ?
- Est-il possible de faire la distinction entre l'enregistrement original, le fichier modifié et la copie convertie ?
- Quelle est la valeur informative des aperçus et des caches de vignettes ?
- Quelle est la valeur probante d'un enregistrement d'écran en tant que preuve numérique ?
- Quelle est la valeur probante des métadonnées des photos et des vidéos devant les tribunaux ?
- Une vignette permet-elle de savoir si le fichier correspondant a été ouvert ?
Périphériques, réseau et éléments du système
- Est-il possible de déterminer si un appareil a été connecté à un WLAN donné ?
- Quelle est la pertinence de fichiers identiques présents sur plusieurs appareils ?
- Est-il possible de déterminer quel appareil a initialement généré une modification synchronisée ?
- Est-il possible de prouver techniquement un accès à distance présumé à un ordinateur ?
- Est-il possible de retracer dans le temps le changement de réseau d'un appareil ?
- Est-il possible de déterminer si une mise à jour du système a modifié ou supprimé des traces numériques ?
- Quel est l'impact de la migration vers un nouvel appareil sur l'appréciation des preuves ?
- Est-il possible de déterminer si un périphérique externe donné a été connecté à un ordinateur ?
- Est-il possible de déterminer si un logiciel donné a été installé ou s'il a effectivement été exécuté ?
- Est-il possible de déterminer a posteriori qu'un logiciel a été installé par le passé, alors qu'il a depuis été désinstallé ?
- Est-il possible de vérifier si des données ont été transmises ou consultées via un partage réseau ?
- Quelle valeur probante ont les données volatiles issues de la mémoire vive devant un tribunal ?
- Est-il possible de retracer a posteriori une session de bureau à distance ou d'accès à distance ?
- Est-il possible de déterminer si un appareil était verrouillé ou en cours d'utilisation au moment en question ?
- Est-il possible de savoir à quel réseau un appareil était connecté à un moment donné ?
- Comment les données temporelles provenant d'un Server externe sont-elles comparées à l'heure locale de l'appareil ?
- Quel impact les mises à jour du système peuvent-elles avoir sur les traces numériques ?
- Une migration d'un ancien appareil vers un nouvel appareil peut-elle être détectée par des moyens d'analyse judiciaire ?
Suppression, restauration et sauvegarde
- Est-il possible de prouver que des données ont été effacées intentionnellement ?
- Quelles traces une restauration à partir d'une sauvegarde peut-elle laisser ?
- Quelles conclusions fiables peut-on encore tirer après une réinitialisation aux paramètres d'usine ?
- Quelle est la valeur probante des sauvegardes, des instantanés et des sauvegardes historiques ?
- Est-il possible de déterminer si un support de données a été formaté ou si un système d'exploitation a été réinstallé ?
- Quelle valeur probante ont les éléments provenant de la corbeille ou du « Trash » devant un tribunal ?
- Est-il possible de déterminer si des données supprimées ont été écrasées par la suite ?
- En quoi la restauration à partir d'une sauvegarde influe-t-elle sur l'appréciation des preuves ?
- Quelles opérations sont encore possibles après une réinitialisation aux paramètres d'usine ?
Authentification, chiffrement et protection des accès
- Peut-on faire la distinction entre l'authentification par mot de passe, l'authentification biométrique et l'authentification basée sur la session ?
- Quelle valeur probante ont les mots de passe, jetons et identifiants enregistrés devant un tribunal ?
- Quelle est la valeur informative des conteneurs chiffrés et des supports de données virtuels ?
- Quelle conclusion peut-on tirer lorsque les éléments de preuve sont cryptés ou ne sont accessibles que partiellement ?
- Comment une signature numérique est-elle vérifiée sur le plan technique ?
Anonymisation, VPN et traces réseau
- Dans quelle mesure l'utilisation d'un VPN permet-elle d'identifier les activités numériques ?
- Comment les connexions par proxy, relais ou anonymisation sont-elles classées d'un point de vue médico-légal ?
- Quelle est la valeur probante des traces DNS pour démontrer une activité sur Internet ?
- Dans quelle mesure l'utilisation d'un VPN permet-elle d'identifier les activités sur Internet ?
Cloud, systèmes virtuels et conteneurs
- Est-il possible de déterminer si une archive a été décompressée ou si son contenu a été utilisé ?
- Comment les machines virtuelles sont-elles examinées en tant que preuves numériques ?
- Est-il possible de déterminer si une machine virtuelle était en cours d'exécution à un moment donné ?
- Quelle valeur probante ont les traces de synchronisation dans le cloud devant un tribunal ?
- Quelle est la valeur probante des conteneurs chiffrés et des supports de données virtuels devant les tribunaux ?
- Comment les machines virtuelles sont-elles examinées en tant que preuves numériques ?
Fichiers, métadonnées et horodatages
- Est-il possible de déterminer quand un fichier a été créé ou modifié ?
- Est-il possible de déterminer si un fichier a effectivement été ouvert ou utilisé ?
- Est-il possible de déterminer si un fichier a simplement été consulté ou s'il a réellement été modifié ?
- Quelle est la valeur informative des brouillons, des fichiers enregistrés automatiquement et des documents temporaires ?
- Est-il possible d'associer un fichier à un programme de création spécifique ?
- Est-il possible de savoir si un document a été exporté à partir d'un autre fichier ?
- Les traces laissées dans le presse-papiers peuvent-elles prouver qu'une opération de copier-coller a eu lieu ?
- Quelle valeur probante ont les fichiers ZIP, RAR et autres fichiers d'archivage devant un tribunal ?
- Quelle est la valeur probante d'une chronologie numérique devant un tribunal ?
- Quelle est la valeur informative des index de recherche et du contenu des fichiers indexés ?
- Peut-on distinguer une recherche effectivement effectuée d'une simple indexation ?
- Est-il possible de déterminer si une action numérique a été déclenchée par une tâche planifiée ou par une automatisation ?
- Est-il possible de déterminer si une autorisation existait à un moment donné ?
- Est-il possible de reconstituer une modification des droits d'accès d'un utilisateur ou d'un groupe ?
- À partir de quand peut-on tirer une conclusion de l'absence d'un artefact numérique ?
- Est-il possible de prouver qu'un document numérique a été modifié a posteriori ?
- Est-il possible de déterminer quelle version d'un document était disponible à un moment donné ?
- Est-il possible de déterminer si un fichier a été téléchargé depuis Internet ?
- Est-il possible de déterminer si un ordinateur était allumé ou éteint à un moment donné ?
- Est-il possible de savoir si des fichiers ont été renommés ou déplacés au sein d'un système ?
- Quelle valeur probante ont, devant un tribunal, les fichiers restaurés ou ceux dont il ne reste que des fragments ?
- Est-il possible de savoir si un fichier ou une information a été imprimé(e) ?
- Est-il possible de déterminer si un fichier a effectivement été ouvert ?
- Peut-on prouver qu'une personne a effectivement pris connaissance du contenu d'un fichier numérique ?
- Est-il possible de distinguer si un fichier a été copié, déplacé ou synchronisé ?
- Est-il possible de délimiter techniquement le moment d'une suppression ?
- Peut-on prouver qu'un fichier a été consulté alors qu'il n'a pas été modifié ?
- Est-il possible de détecter une manipulation des horodatages des fichiers ou du système ?
- Est-il possible de faire la distinction entre un fichier multimédia d'origine et une version convertie ou réenregistrée ?
- Quelle valeur probante les index de recherche ont-ils quant à l'existence ou à l'utilisation d'un fichier ?
Contradictions, plausibilité et appréciation des preuves
- Comment un expert en informatique vérifie-t-il une chaîne d'événements alléguée lorsque les preuves numériques se contredisent ?
- Dans quelle mesure les métadonnées modifiables manuellement constituent-elles des preuves fiables ?
- Un logiciel malveillant peut-il constituer une autre explication à une action numérique ?
- Comment gérer les traces numériques contradictoires ?
- Comment vérifie-t-on la plausibilité technique d'une chaîne d'événements numériques présumée ?
- Comment un expert en informatique évalue-t-il deux explications techniquement plausibles ?
- Comment formuler clairement une absence de preuve technique dans un rapport d'expertise ?
- Comment traiter les éléments de preuve numériques contradictoires dans une expertise informatique ?
Expertises, procédures judiciaires et experts
- Comment l'indépendance et la neutralité d'un expert en informatique se traduisent-elles concrètement ?
- Pourquoi un rapport d'expertise informatique doit-il être compréhensible pour les non-spécialistes de la criminalistique informatique ?
- Pourquoi une annexe technique fait-elle partie intégrante d'une expertise informatique claire et compréhensible ?
- Comment structurer un rapport d'expertise informatique de manière à ce qu'il puisse servir de base à une éventuelle contre-expertise ?
- Comment apporter une réponse définitive et sans ambiguïté à une question relative aux preuves informatiques dans le cadre d'une procédure judiciaire ?
- Comment les fuseaux horaires, l'heure d'été et les horloges système défectueuses sont-ils pris en compte dans l'expertise ?
- Comment procéder à une vérification technique d'une expertise informatique privée déjà existante ?
- Expert ou témoin expert : quelle distinction faut-il faire lorsqu'il s'agit de faits numériques ?
- Comment un rapport d'expertise informatique est-il présenté devant le tribunal et examiné à la lumière des questions complémentaires ?
- Quelle est l'incidence d'une chaîne de traçabilité lacunaire sur la valeur probante technique ?
- Que se passe-t-il si, au cours de l'enquête informatique judiciaire, de nouveaux faits non couverts par la décision judiciaire sont mis en évidence ?
- Où s'arrête la conclusion technique de l'expert en informatique et où commence l'appréciation des preuves par le tribunal ?
Autres questions relatives à la preuve
- Quelle est la valeur probante d'une capture d'écran ou d'une photo d'un contenu numérique ?
- Est-il possible de vérifier si des données ont été copiées sur un support de stockage USB ?
- Comment les preuves numériques sont-elles conservées de manière à ce que l'enquête puisse être vérifiée ultérieurement ?
- Dans quelle mesure les données numériques relatives à la localisation constituent-elles des preuves recevables devant les tribunaux ?
- Est-il techniquement possible de reconstituer une utilisation présumée d'Internet ou d'un navigateur ?
- Est-il possible de retracer l'origine d'un fichier numérique ou d'un ensemble de données ?
- Comment traite-t-on les éléments de preuve numériques endommagés ou incomplets ?
- Comment les entrées de base de données et les traces WAL/journal sont-elles évaluées devant les tribunaux ?
- Quelle est la valeur probante des journaux système et des journaux d'événements devant les tribunaux ?
- Une adresse IP peut-elle être associée à une personne en particulier ?
- Peut-on constater des indices laissant supposer l'utilisation de techniques anti-forensiques ou l'effacement ciblé de traces ?
- Qu'est-ce qui a le plus de valeur probante : les données originales, une sauvegarde légale ou un rapport exporté ?
- Dans quels cas une nouvelle expertise informatique judiciaire au titre de l'article 412 du Code de procédure civile allemand (ZPO) peut-elle s'avérer utile ?
- Est-il possible de prouver qu'un élément de preuve numérique a été modifié après sa saisie ?
- Est-il possible de déterminer si des droits administratifs ou des droits étendus ont été utilisés ?
- Comment évaluer une preuve numérique qui a continué à être utilisée avant la sauvegarde à des fins d'expertise ?
- Est-il possible de reconstituer de manière fiable la chronologie de plusieurs actions numériques ?
- Est-il possible de vérifier techniquement l'authenticité et l'origine d'une capture d'écran ?
- Est-il possible de déterminer à quel moment un fichier ZIP, RAR ou tout autre fichier d'archive a été créé ou décompressé ?
- Est-il possible de déterminer, à partir d'un fichier PDF, quel document source a servi à sa création ?