forensic : effacement d'un disque dur (et recover)

Olivier Masson wrote:

Tu crois franchement qu'un gars qui n'a rien à se reprocher va marteler
son DD ? Comme le couple de pédophile/meurtrier arrêtait l'année
dernière. sûrement pour planquer leur photos de vacances...

Tire' des citations de bugbrother. Ajoutez-y les softs de wiping si le
coeur vous en dit:

"Au début, ils s'en sont pris aux hackers.
Mais je n'avais jamais rien fait d'illégal avec mon ordinateur, alors
je n'ai
rien dit.
Ensuite, ils vinrent pour les pornographes,
mais je trouvais qu'il y avait beaucoup trop de cochonneries sur
l'internet,
alors je n'ai rien dit.
Ensuite ils vinrent pour les remailers anonymes,
mais beaucoup s'een servait pour balancer des choses puantes, alors je
n'ai
rien dit.
Ensuite ils vienrent pour les utilisateurs de cryptographie,
mais je n'avais toujours pas compris comment utilsier PGP, alors je
n'ai rien
dit.
Ensuite ils vinrent me chercher.
Mais il n'y avait plus personne pour en parler."
---Inconnu


--
Tweakie

Olivier Masson wrote:

Mauvais argument, déjà cité, pour moi. *Toutes* les techno évoluent
en même temps.

La vitesse d'evolution des nouvelles technologie est proportionnelle a
l'investissement qui leur est consacre'. Or j'ai la legere impression
que l'optimisation du stockage de masse genere plus de revenus que les
technologies dediees a "voir ce qui se passe entre deux pistes".

Sans parler de courbes statistiques, si les pistes sont très proches,
les appareils permettant d'aller voir ce qui se passent entre sont
forcément plus précis, même si c'est de l'usage militaire.

Mais que voulez vous que les militaires aient a foutre de ce type d'
outils ? Le temps ou ils financaient tout et n'importe quoi en se
basant plus sur des "keywords" que sur de reels projets est bel et
bien revolu.

L'article de Wikipedia nous donne un lien vers la réponse faite à
Gutmann. Le seul argument réel est 'A letter from an Australian
homicide investigator confirms my view that even police agencies
have no access to the technology Gutmann describes'.
Scientifiquement, pas grand chose.

C'est vous qui faites une banale faute de raisonnement scientifique:
ce n'est pas aux scientifiques sceptiques de prouver que les
"lemuriens"que combattait Gilbert Bourdin n'existent pas, que la
disposition des astres vues de la terre lors de la naissance d'un
individu n'influe pas sur ses relations professionnelles et
amoureuses, que l'eau n'a pas de "memoire". C'est aux tenants de
ces "theories" de prouver le contraire.

Ainsi, inutile d'attendre que l'on vous prouve qu'on ne peut pas
recuperer des donnees sur un disque wipe'. Il faudrait d'abord
que l'on vous demontre le contraire.

On sait (du moins je le sais, après à vous de le croire ou non) que
les différentes organisations d'investigation d'états n'apprécient
que peu que soit dévoilées les techniques *réelles* (même si
parfois exagérées) - et du coup les parades - employées par ces
équipes.

Je veux bien croire que nos-zamis-les-cyber-fics-et-barbouzes disposent
de la collaboration de personnes tres competentes (du moins je le
sais).
Je sois tout aussi pret a croire qu'ils enfreignent regulierement les
lois qu'ils sont senses faire respecter (du moins, je le subodore
fortement). Mais je ne suis pas pret a croire pas qu'ils disposent de
technologies ultra a la pointe pour resoudre des problemes qui ne
se presentent que deux fois l'an (les annees bissextiles), comme la
recuperation de donnees sur un disque wipe'.

Les techniques du (grand) banditisme se sont largement améliorées au
fil du temps, en partie (faible ou non, mais en partie qd même) grâce
au cinéma puis aux séries.

Et ben vu le degre' epoustouflant de realisme atteint par ces films et
series teles pour tout ce qui touche a la delinquance et aux
investigations informatique, ils sont mal barres, les cyber-malfrats.

Même un petit malfrat sait qu'il ne doit pas laisser de cheveux,
empreintes, fragments de peau, adresse IP, etc.

Bah, heureusement, il reste quelques boulets:
http://www.legalis.net/jurisprudence-decision.php3?id_article14

[Gutmann] Néanmoins, croire aveuglément que ce qu'il dit est faux sur
le simple prétexte que les DD d'aujourd'hui sont bcp plus sophistiqués
qu'il y a 20 ans, me parait un peu hâtif.

Ca n'etait qu'un de mes 3 arguments.

(...) Quant au coût, y'a bien des gars qui font des microscope à effet
tunnel pour 100 dollars...

Ca, ca me troue. Du coup, ca a excite' ma curiosite', et pour le cas
ou je ne serais pas le seul (cf. le 1ier lien en particulier):
http://www.e-basteln.de/index_r.htm

M'enfin l'investissement du type (qui est un professionnel) se chiffre
a bien plus de 100$, prise de brevet comprise.

J'ai déjà lu des articles bien plus hallucinant que ça (pour trouver
une clef complexe).

Ouais, y a meme des gars qui ont reussi a aller jusqu'a la lune et a en
revenir en 1969. C'est propremement hallucinant, mais ca ne donne
aucune indication sur la recuperation de donnees sur un disque dur
wipe'.

Mais c'est vrai qu'il y a peu d'infos là-dessus. Pas de pub, c'est
moins étonnant, au vue du prix que cela pourrait coûter.

"Pub" au sens large du terme. Si un labo ou une boite s'est fait ch...
a y parvenir, quel interet pourrait-elle trouver a garder ca secret ?
C'est inutile, la plupart des clampins qui wipent leurs disques durs
utilisent de multiples passes pour etre DoD compliant (en s'imaginant
peut-etre que ca fait tripper leur gonzesse). Tout ca parce qu'une
legende urbaine a la peau dure.

Bcp on compris que la destruction physique était radicale. Le broyeur
à papier n'est pas tout jeune, le broyeur à disque dur s'appelle le
puissant champ magnétique.

Mieux vaut passer le disque au four (thermostat 7, chaleur tournante)
avant si vous voulez utiliser un (electro-)aimant facile a se procurer
dans le commerce, et depasser le point de Curie (un peu comme pour les
minidiscs, quoi).

--
Tweakie

Il me semble que les militaires le font systématiquement. Y a-t-il
tant que ça de pédophiles dans l'armée ?

Oui mais les militaires en général ne sont suspectés de rien ! Tu prends
le problème à l'envers.
Si demain tu es accusé de détournements de fonds et que tu te casses
illico dans un pays très exotique en ayant pris soin de détruire tes
disques durs, on peut se permettre de penser qu'il y a un soucis. Un
début de preuve assez réaliste.

Et franchement, vu le flou sur les méthodes de récupération (cf le
présent thread), si tu as des données confidentielles sur ton disque
dur, dont la valeur pour un concurrent serait importante, je te
conseille fortement la destruction physique avant de le jeter.

Ce n'est, là non plus, pas du tout le problème : "peut-on récupérer des
données après un erase (wipping)" n'est pas du tout pareil que "comment
détruire efficacement les données d'un disque dur".

La vitesse d'evolution des nouvelles technologie est proportionnelle a
l'investissement qui leur est consacre'. Or j'ai la legere impression
que l'optimisation du stockage de masse genere plus de revenus que les
technologies dediees a "voir ce qui se passe entre deux pistes".

Ouille, la grosse erreur classique ! Ton airbag, tu crois franchement
qu'il est là parce qu'on se souciait de *ta* santé ?! Ta poêle en
teflon, tu penses sincérement qu'elle est là parce qu'on en avait marre
que tu rates tes oeufs au plat ? C'est beau d'être naïf ;)

Mais que voulez vous que les militaires aient a foutre de ce type d'
outils ? Le temps ou ils financaient tout et n'importe quoi en se
basant plus sur des "keywords" que sur de reels projets est bel et
bien revolu.

Il faudrait peut-être arrêter de prendre les choses à la lettre et
comprendre le sens général...

Ainsi, inutile d'attendre que l'on vous prouve qu'on ne peut pas
recuperer des donnees sur un disque wipe'. Il faudrait d'abord
que l'on vous demontre le contraire.

Ah ! Une parole censée !
Exact, mais, pas très difficile : suffit de remonter à l'origine de ce
fil et regarder la question que je posais. Je cherche des réponses, pas
des soupçons, des supputations de personnes qui ont plus ou moins le
même niveau que moi et baratinent autour d'un doute.
Donc mon but est bien celui décrit : je cherche à savoir s'il est
possible de retrouver ces données. Pas à savoir si tweakie ni crois pas.

Je veux bien croire que nos-zamis-les-cyber-fics-et-barbouzes disposent

La phrase de trop que je ne commenterais pas, car pas très intelligent
(et tristement cliché/pseudo-rebelle.)

Ouais, y a meme des gars qui ont reussi a aller jusqu'a la lune et a en
revenir en 1969. C'est propremement hallucinant, mais ca ne donne
aucune indication sur la recuperation de donnees sur un disque dur
wipe'.

Non, tout comme ton texte issu de bugbrother (vieux comme le mode, mais
la littérature informatique est souvent un mauvais plagiat de
l'existant) n'avait pas de rapport (ou alors très glauque).
C'est histoire de nourrir le débat. Histoire de dire que tu ne sais pas
tout, tu n'as pas idée de tout, tu es peut-être loin de penser certains
choses (comme les STM à 100 $). On en apprend tous les jours, c'est pour
ça que je suis là.

Pour la lune, marrant ça. Faudrait nous prouver qu'ils y sont bien allé
puisque qq un ici croit fortement que c'est faux (il n'est plus là
d'ailleurs ?)

peut-etre que ca fait tripper leur gonzesse). Tout ca parce qu'une
legende urbaine a la peau dure.

Si tu le dis...

Mieux vaut passer le disque au four (thermostat 7, chaleur tournante)
avant si vous voulez utiliser un (electro-)aimant facile a se procurer
dans le commerce, et depasser le point de Curie (un peu comme pour les
minidiscs, quoi).

Merci, comme je te disais, pas besoin de conseil sur ce point (et je
m'en fous en plus puisque je n'ai jamais de disque à détruire.)
Mais le four est un très mauvais idée : les fumées sont toxiques, elles
rendent fou et aveugle (à moins que ce soit une légende urbaine :))

On 13 Sep 2006 15:33:48 GMT, Olivier Masson <sisemen@laposte.net>:

Ce n'est, là non plus, pas du tout le problème : "peut-on récupérer des
données après un erase (wipping)" n'est pas du tout pareil que "comment
détruire efficacement les données d'un disque dur".

Les deux problèmes sont liés.

D'autre part, si on arrive à enseigner aux suspects une bonne méthode
de destruction des données, ça éviterait à la police de se demander si
on peut récupérer les données.

On 07 Sep 2006 14:42:35 GMT, Olivier Masson <sisemen@laposte.net>:

Est-il possible, sans requérir à des moyens énormes (cad > 100 keuros),
de pouvoir récupérer des données effacées avec un outil comme Eraser en
mode Guttmann 35 passes ?

J'imagine que tu as déjà lu
<http://www.actionfront.com/ts_dataremoval.aspx#Overwriting> ?

On Wed, 13 Sep 2006 19:29:30 +0000, Olivier Masson wrote:

La vitesse d'evolution des nouvelles technologie est proportionnelle a
l'investissement qui leur est consacre'. Or j'ai la legere impression
que l'optimisation du stockage de masse genere plus de revenus que les
technologies dediees a "voir ce qui se passe entre deux pistes".

Ouille, la grosse erreur classique ! Ton airbag, tu crois franchement
qu'il est là parce qu'on se souciait de *ta* santé ?! Ta poêle en
teflon, tu penses sincérement qu'elle est là parce qu'on en avait marre
que tu rates tes oeufs au plat ? C'est beau d'être naïf ;)

On s'éloigne du sujet, mais le fait que l'évolution des nouvelles
technologies soit proportionnelle à l'investissement consacré n'est pas
contredit pas ta réflexion sur les airbags et les poêles qui n'attachent
pas. Ces innovations étaient des "plus marketing", donc avaient pu
avoir des budgets conséquents, donc progresser rapidement.

Pour la lune, marrant ça. Faudrait nous prouver qu'ils y sont bien
allé puisque qq un ici croit fortement que c'est faux (il n'est plus
là d'ailleurs ?)

Oh non, pas lui ! ;-)


Nicob

Les deux problèmes sont liés.

Oui. "Peut-on survivre à une balle de 357 dans la tête ?" et "Peut-on
tuer qq un avec un 357 ?" aussi. Mais l'information recherchée non.

D'autre part, si on arrive à enseigner aux suspects une bonne méthode
de destruction des données, ça éviterait à la police de se demander si
on peut récupérer les données.

Pourquoi êtes-vous si obsédés pas la police sur ce forum ? Vous pensez
être de gros cyber-truand-justiciers ?

J'imagine que tu as déjà lu
<http://www.actionfront.com/ts_dataremoval.aspx#Overwriting> ?

Non, mais "For conventional degaussing to be successful with a hard
disk, you would have to disassemble the drive and remove the platters.
Once physically removed, it's questionable whether the degaussing
process would be required.", c'est un peu juste.

Quoiqu'il en soit, le fait qu'un labo de récup de données (en supposant
qu'ils soient sérieux et efficaces) affirme que la recup après
effacement "[...] can be done - but in practice it is little more than a
myth." me parait un bon argument - et de toutes façons, je pense qu'on
peut conclure ça - pour dire que c'est au moins extrêmement difficile.

Olivier Masson wrote:

Ouille, la grosse erreur classique ! Ton airbag, tu crois franchement
qu'il est là parce qu'on se souciait de *ta* santé ?! Ta poêle en
teflon, tu penses sincérement qu'elle est là parce qu'on en avait
marre que tu rates tes oeufs au plat ? C'est beau d'être naïf ;)

L'analogie est foireuse: il s'agit de technologies qui ont puise' leur
source ou leur premiere application dans des domaines de haute
technologie et qui ont ensuite trouve' un debouche' dans une
application grand public (i.e. potentiellement generatrice de revenus
importants). La recherche de donnees sur disques effaces n'est pas
exactement une application grand public.

Il faudrait peut-être arrêter de prendre les choses à la lettre et
comprendre le sens général...

Au risque de me repeter une ultime fois, le sens general de mon propos
c'est que l'existence d'outils dedies a la recuperation de donnees
effacees depend de l'interet qu'y porteraient ceux susceptibles de
posseder de tels outils (militaires, chercheurs ou majorettes), et des
moyens qu'ils ont a y consacrer.

La phrase de trop que je ne commenterais pas, car pas très intelligent
(et tristement cliché/pseudo-rebelle.)

Une vraie phrase de militant de Greenpeace ou de tenancier Corse,
ouais.

(...) Histoire de dire que tu ne sais pas tout, tu n'as pas idée de
tout (...)

J'en conviens bien volontier, mais "on ne peut pas tout savoir, pas
tout comprendre", c'est aussi l'argument principal des homeopathes et
autres charlatans (enfin, dans ce cas c'est generalement accompagne'
par "mais moi je sais"). Ca n'est donc pas une raison pour tout croire
ou tout prendre en compte.

Je n'ai jamais pretendu avoir la science infuse, mais toutes les
discussions que j'ai pu lire sur le sujet (ce fut un theme recurrent
chez nos voisins de fr.misc.cryptologie, par exemple) se sont toujours
conclues sans que personne n'apporte d'element convainquant en faveur
de l'existence d'un service de recuperation de donnees effacees. Je
vais quand meme tacher de me renseigner un peu plus serieusement
aupres de ceux qui pourraient savoir.

Donc mon but est bien celui décrit : je cherche à savoir s'il est
possible de retrouver ces données. Pas à savoir si tweakie ni crois
pas.

Alors je vous laisse tirer tout seul l'absence de conclusion qui
s'impose de l'absence de reponse pertinente.

Plus serieusement, je voulais juste insister sur la distinction entre
faisabilite' "scientifique" et economique, et sur les consequences
pratiques de cette distinction.

Cela dit, on me souffle que la DCSSI pense comme vous (recommendations
officielles concernant l'effacement des disques), mais qu'elle
argumente peu.

--
Tweakie