Analyse
Définir un support atypique
Un support atypique n'est pas nécessairement rare. Il devient atypique lorsque la donnée ne peut pas être comprise en séparant simplement le média de l'appareil qui l'a produite. Une mémoire soudée, une cartouche métier, un enregistreur embarqué ou une carte amovible avec format propriétaire peut dépendre d'un contrôleur, d'un micrologiciel, d'un index, d'un chiffrement ou d'un logiciel précis.
La difficulté ne tient donc pas seulement au connecteur. Un support peut être électriquement lisible et livrer des octets sans produire un seul fichier exploitable. À l'inverse, l'appareil d'origine peut encore exporter une période utile alors qu'une extraction directe ferait perdre les métadonnées nécessaires.
Quatre familles de dépendances
| Dépendance dominante | Exemple de contexte | Limite à qualifier |
|---|---|---|
| Interface ou lecteur | Cartouche, bus industriel, carte propriétaire | Alimentation, brochage et protocole inconnus |
| Contrôleur ou appareil | Mémoire eMMC, flash soudée, enregistreur | Traduction des blocs et éventuel couplage |
| Format applicatif | Mesures, vidéo, journal d'événements | Index, unités, horodatage et logiciel de lecture |
| Accès ou chiffrement | Volume lié à une clé ou à un compte | Données copiées mais inexploitables sans secret légitime |
La récupération des supports physiques commence par la préservation du média. Avec un support atypique, elle dépend aussi de toute la chaîne qui transforme les blocs en information utilisable.
Analyse
Identifier interface, format et dépendances
Le diagnostic remonte depuis le besoin métier vers la source. Il demande d'abord quel résultat est attendu : un lot de fichiers, une séquence datée, une base, des mesures avec leurs unités ou un export accepté par une application. Cette réponse permet d'identifier les éléments indispensables avant de démonter quoi que ce soit.
Cartographier la chaîne de lecture
La fiche technique utile rassemble :
- Fabricant et modèle exacts de l'appareil et du support ;
- Alimentation, connecteurs, cartes intermédiaires et périphériques associés ;
- Version de micrologiciel, logiciel, système et licence disponible ;
- Format d'export connu et exemple de fichier sain ;
- Compte, mot de passe, code ou clé détenu légitimement ;
- Chronologie de la panne et opérations déjà tentées.
Le système d'origine peut répartir la donnée entre plusieurs emplacements. Un appareil embarqué peut écrire un flux sur une carte et garder l'index en mémoire interne. Un instrument peut stocker les valeurs dans une base et les libellés dans sa configuration. Un équipement peut chiffrer la mémoire avec une clé détenue par un composant de la même carte.
Il ne faut donc pas supposer qu'une puce est une source autonome. Dessouder ou lire directement une mémoire n'apporte rien si l'adressage, la correction d'erreurs, le chiffrement ou les métadonnées de translation ne sont pas reconstruits. À l'inverse, conserver l'appareil complet peut permettre une acquisition par son interface native sans intervention invasive.
Question de décision — quelle est la plus petite manipulation capable de produire le résultat attendu tout en conservant l'appareil, ses métadonnées et ses accès ? L'extraction la plus spectaculaire n'est pas nécessairement la plus fiable.
Analyse
Préserver le contexte d'origine
Sur un support atypique, le contexte est une partie de la preuve technique. L'appareil, ses cartes, son bloc d'alimentation, ses câbles, ses manuels et l'ordinateur qui le pilotait peuvent expliquer des structures impossibles à déduire des seuls blocs. Les étiquettes manuscrites et les captures d'écran doivent rester associées au bon équipement.
Les mises à jour, réinitialisations et procédures de « retour usine » sont particulièrement risquées. Elles peuvent recréer un système de fichiers, renouveler une clé, effacer un catalogue ou remplacer un micrologiciel compatible avec l'ancien format. Même une configuration apparemment vide peut contenir l'ordre des canaux, les unités ou les identifiants nécessaires à l'interprétation.
Conserver plusieurs sources sans les synchroniser
Il faut inventorier séparément mémoire interne, carte amovible, ancien poste de pilotage, export local, sauvegarde et éventuelle copie distante. Les reconnecter au système actif peut déclencher une synchronisation ou une initialisation. Chaque source reste figée jusqu'à ce que sa période et son rôle soient compris.
Pour une vidéo propriétaire, les formats DVR et NVR dépendent de la relation entre flux et index. Un support atypique peut présenter la même dépendance, mais aussi d'autres objets : enregistrements de capteurs, recettes de machine, journaux de production ou bases embarquées.
La manipulation doit suivre un seuil d'arrêt clair. Chauffe anormale, alimentation instable, connecteur arraché, corrosion, erreur répétée ou capacité incohérente imposent d'arrêter. Brancher le support sur une succession d'adaptateurs inconnus n'est pas une méthode d'identification.
Préserver avant de simplifier — ne pas envoyer uniquement la petite carte ou la puce si l'appareil complet et ses accessoires peuvent être nécessaires. Une séparation irréversible peut supprimer la seule interface capable de restituer le contexte.
Analyse
Reconstruire une donnée exploitable
La récupération comprend trois niveaux distincts : acquisition des données brutes, reconstruction de leur organisation, puis validation de leur sens. Une réussite au premier niveau ne garantit pas les deux suivants. Le livrable doit être défini au niveau où il sera réellement utilisé.
Des blocs au résultat métier
Une séquence de vidéos doit conserver le canal, la période et si possible l'horodatage ; une mesure doit garder son unité, son capteur et son ordre ; une base doit respecter sa version et ses dépendances. Lorsque l'index manque, une reconstruction par signatures peut retrouver des objets mais perdre leur nom, leur date ou leur relation.
Plusieurs contrôles permettent de distinguer un résultat apparent d'un résultat utile :
- Comparer le volume acquis à la capacité et aux plages attendues ;
- Rechercher les catalogues, index, journaux et configurations ;
- Ouvrir des éléments représentatifs dans un environnement isolé ;
- Confronter dates, numéros de séquence et événements connus ;
- Faire valider le résultat par la personne qui comprend son usage.
Un fichier qui s'ouvre peut encore être incomplet. Une vidéo peut s'arrêter avant l'événement recherché ; une table peut contenir les valeurs sans leurs libellés ; un export peut perdre les données brutes. Les limites doivent nommer précisément ce qui manque au lieu d'annoncer une récupération globale.
Datastrophe peut travailler sur le support, ses composants et ses structures logiques selon le dossier. Cela ne permet pas de contourner un chiffrement sans accès légitime, de recréer des blocs écrasés ni d'interpréter avec certitude un format sans référence. Un exemple sain, une documentation ou le logiciel d'origine réduit l'incertitude, sans garantir l'exhaustivité.
Analyse
Préparer un dossier de diagnostic
Un dossier bien préparé évite que l'identification consomme les premières manipulations du support. Il regroupe l'ensemble sans tenter de le rendre plus propre ou plus standard. Les pièces sont étiquetées, protégées et reliées à une chronologie commune.
Décrire le besoin avant la technologie
Le formulaire de transmission doit préciser :
- Le résultat recherché et son usage final ;
- Les dates, sessions, canaux ou types d'enregistrements prioritaires ;
- Le dernier fonctionnement normal et le premier symptôme ;
- Chaque tentative, même sans résultat visible ;
- Les accès légitimes disponibles et les contraintes de confidentialité ;
- L'existence d'un appareil ou d'un fichier comparable en bon état.
Si plusieurs équipements se ressemblent, chaque support garde son numéro, son emplacement et sa configuration. Mélanger deux cartes ou deux alimentations peut créer un faux diagnostic. Les emballages, notices et pièces retirées restent identifiés plutôt que jetés.
La restitution doit être prévue dès l'entrée. Le format demandé peut être natif, exporté ou les deux ; les dates et unités doivent être conservées ; les fichiers partiels sont séparés ; la provenance est documentée. Cette définition empêche de produire une extraction techniquement volumineuse mais inutilisable.
Un support atypique impose finalement une méthode sobre : cartographier avant d'extraire, conserver l'écosystème, acquérir la source la moins risquée et valider le sens de la donnée. La limite n'est pas seulement ce qui peut être lu, mais ce qui peut être interprété et prouvé sans inventer les dépendances absentes.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « Supports atypiques : limites de récupération »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.