Analyse
Une preuve vidéo dépend du contexte
Une séquence lisible ne porte pas seule son contexte. Pour l’interpréter, il faut savoir de quel support elle provient, quelle caméra l’a produite, quelle horloge est utilisée, comment elle a été extraite et si elle a été convertie.
La récupération de données reste ainsi distincte de l'interprétation : elle préserve la source, produit une copie contrôlée et documente chaque transformation du fichier vidéo.
La traçabilité technique répond à ces questions sans promettre une qualification juridique. Datastrophe préserve les sources, documente l’acquisition et distingue les versions. L’autorité, l’assureur, l’expert ou le service compétent décide ensuite de l’usage et des exigences applicables.
La chaîne commence dès la collecte. Un identifiant de dossier, une description du support, son numéro de série lorsqu’il est disponible, la personne qui le remet et les dates de transfert évitent les ambiguïtés. Chaque passage de responsabilité est consigné ; ce journal technique ne remplace pas la procédure du destinataire, mais lui fournit des faits contrôlables.
Définir la séquence recherchée
La demande précise le système, la caméra, la période, le fuseau, l'événement recherché et la personne autorisée à recevoir les images. Le laboratoire peut alors limiter l'acquisition et la restitution au périmètre utile, sans confondre reconstruction technique, interprétation des scènes et décision sur leur recevabilité.
| Élément | Question à documenter |
|---|---|
| Support source | Quel DVR, NVR, disque, RAID ou carte a été reçu ? |
| Acquisition | Quand, comment et sur quelle copie l’analyse a-t-elle commencé ? |
| Séquence | Quelle caméra, quelle plage et quelle source temporelle ? |
| Transformation | Quel export, découpage ou transcodage a été effectué ? |
| Limite | Quelles coupures, zones illisibles ou incertitudes subsistent ? |
La récupération NVR et DVR doit rendre les manipulations et les relations entre les fichiers contrôlables, depuis le support source jusqu'aux livrables dérivés.
Analyse
Préserver le support original
Le support original doit être retiré de la boucle d’écriture et identifié sans modification. Photographiez l’installation, les baies, l’heure affichée et les messages. Conservez avec lui l’enregistreur, l’alimentation, les membres du RAID et les exports déjà réalisés lorsqu’ils éclairent la structure.
Les pannes de disques de vidéosurveillance sont qualifiées avant l'acquisition. Une salle blanche n'est pertinente que si un disque dur à plateaux présente un dommage interne exigeant son ouverture ; elle n'apporte rien à un export incomplet, un index corrompu ou une horloge décalée.
Source, copie de travail et livrable
Ces trois objets reçoivent des identifiants distincts. L’acquisition produit une image technique ou un clone ; l’analyse s’effectue sur cette copie ; les séquences remises sont des livrables natifs ou dérivés. Cette séparation évite qu’un fichier de consultation soit confondu avec les octets reçus.
Empreintes et journal
Une empreinte cryptographique calculée et consignée permet de vérifier qu’un fichier mesuré plus tard est identique bit à bit. Elle ne prouve ni son heure ni son contenu ; elle contrôle son identité entre deux étapes. Le journal associe l’empreinte à la date, à l’opérateur, à l’objet et à l’action.
Lorsque le support comporte des secteurs illisibles, l’image technique et son journal de lecture décrivent ces absences. Deux acquisitions partielles peuvent différer si des zones ont été lues lors d’une passe et pas lors d’une autre. Cette différence doit être expliquée par les cartes de lecture, pas masquée. Les livrables gardent leur filiation vers la copie dont ils sont issus.
Limite de l’empreinte — une empreinte identique confirme l’absence de modification du fichier mesuré. Elle ne certifie pas que l’horloge de la caméra était juste ou que la séquence est complète.
Analyse
Contrôler l’horodatage, la caméra et la période
Le temps peut être porté par l’index du NVR, la caméra, un serveur NTP, la base VMS ou un texte incrusté dans l’image. Après une coupure, ces sources peuvent diverger. Une heure affichée ne doit donc pas être présentée sans sa provenance.
Le contrôle relève :
- Fuseau et règle de changement d’heure ;
- Heure système du DVR/NVR et heure propre à la caméra ;
- Décalage constaté avec un événement externe connu ;
- Numéros de canal, noms et éventuelles modifications ;
- Ruptures ou remises à zéro du compteur temporel.
Les versions natives DVR/NVR conservent parfois ces métadonnées mieux qu’un MP4. Si deux horloges se contredisent, le compte rendu expose les deux et la méthode de rapprochement. Une correction silencieuse rendrait le fichier plus lisible mais moins traçable.
La continuité doit aussi être vérifiée
Une plage de dix minutes peut contenir une coupure, une duplication ou des images manquantes. La restitution examine les secondes avant et après l’événement et signale les discontinuités au lieu de lisser artificiellement la séquence.
Le nom d’une caméra ne suffit pas toujours à l’identifier : il peut avoir été modifié ou réutilisé. La configuration, l’identifiant interne, l’angle visible et les journaux sont rapprochés. Si l’attribution repose sur le contenu de l’image plutôt que sur une métadonnée, le rapport le dit explicitement.
Analyse
Éviter les exports et conversions hasardeux
Un export natif peut conserver le canal, les événements et une signature propre au système ; une conversion facilite la lecture mais change le conteneur et parfois les métadonnées. Les deux répondent à des usages différents.
La méthode conserve :
- Le fichier natif ou les blocs reconstruits ;
- Son empreinte et ses informations de source ;
- Le journal de l’export ou de l’extraction ;
- La copie de consultation, avec une nouvelle empreinte ;
- La relation explicite entre le natif et le dérivé.
Ne découpez, ne renommez et ne convertissez pas la seule copie reçue. Un export antérieur doit être transmis tel quel : il peut fournir un repère même s’il est incomplet. Les conversions automatiques ne doivent pas assembler des fragments avant validation du canal et de l’ordre.
Lisibilité et intégrité ne s’opposent pas si la version consultable reste traçable jusqu’à une source conservée.
Analyse
Documenter les limites de récupération
Le compte rendu doit nommer ce qui manque autant que ce qui a été retrouvé : secteurs illisibles, index incomplet, plage partielle, horodatage décalé, canal seulement probable ou blocs réécrits. Une limite explicite est plus utile qu’une continuité artificielle.
Préparez le modèle du système, le nombre et l’ordre des supports, la caméra, la plage, le fuseau, le contexte, les personnes ayant manipulé le matériel et les exports existants. Signalez les contraintes de confidentialité afin que la restitution reste ciblée et que les copies inutiles ne se multiplient pas.
Un livrable traçable peut réunir :
- Inventaire des objets reçus ;
- Journal de l’acquisition et des manipulations ;
- Empreintes des copies et livrables ;
- Méthode d’attribution du canal et de l’heure ;
- Tableau des séquences complètes, partielles ou absentes ;
- Description des conversions et des limites.
Les limites d’une vidéo effacée restent techniques : les blocs réécrits ne reviennent pas. La chaîne de traçabilité ne rend pas récupérable une donnée absente ; elle permet de comprendre exactement ce qui a été préservé, analysé et remis.
Avant la remise, le destinataire et le laboratoire définissent le support, le chiffrement éventuel, le canal de transmission et la durée de conservation. Les empreintes peuvent figurer dans un manifeste séparé afin que la réception soit contrôlée. Une copie de consultation diffusée plus largement ne devient pas la référence si le natif et son lecteur restent conservés dans le dossier maîtrisé.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « Vidéosurveillance : intégrité et chaîne de traçabilité »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.