Corbeille & récupération de fichicers

Préambule : je participe à Libre à vous !, l'émission de radio de l'April, diffusée en région parisienne sur la radio Cause Commune (93.1 fm) et sur Internet dans le reste du monde. J'y tiens une chronique humoristique mensuelle intitulée Les humeurs de Gee.

Un grand merci à l'équipe de l'April pour l'accueil, l'enregistrement, et tout le boulot d'édition des podcasts ! Vous pouvez aussi retrouver le reste de l'émission en ligne.

Note : cette chronique est l'adaptation étendue d'une BD sur le même sujet datant de l'année précédente.

Texte de la chronique

Salut camarades,

Si vous regardez un peu des séries policières, vous avez sans doute déjà vu cette scène où la police scientifique récupère, sur le disque dur d'un suspect, des données qui avaient pourtant été effacées. Alors, facilité scénaristique ou réalité ?

Eh bien au risque de vous surprendre, nous ne sommes pas dans le même cas que ces fameux zooms infinis sur des images qui permettent d'identifier un suspect dans le reflet d'une paire de lunettes qui faisait pourtant 10 pixels de large, hein. Il est effectivement possible de récupérer des fichiers supprimés dans certains cas, et je vais vous expliquer pourquoi et comment.

Déjà, il faut évacuer rapidement le cas où les fichiers ont juste été « mis dans la corbeille ». La corbeille, c'est juste un dossier spécial où vos fichiers sont mis en attendant de savoir si vous voulez vraiment les supprimer. Ça ne supprime rien du tout tant que vous ne la videz pas. Et au passage, un fichier dans la corbeille prend autant de place qu'un fichier normal, pour les quelques personnes qui pensaient avoir trouvé une astuce pour gagner de la place sur leur ordinateur en mettant des fichier dans la corbeille.

Faudra d'ailleurs m'expliquer par quel miracle cette technique marcherait, et du coup pourquoi on ne construirait pas l'entièreté des disques durs dans l'étrange matériau mystique dont serait conçues les corbeilles pour pouvoir conserver des données sans prendre de place.

Bon, mais prenons le cas où vous videz votre corbeille, et où les fichiers sont supprimés, vraiment. Ça veut dire quoi, « supprimer » ? En fait l'incompréhension vient souvent d'une mauvaise analogie : comme on parle de fichiers et de dossiers, on a tendance à imaginer qu'un fichier informatique, ce serait un peu comme une feuille de papier où on écrirait des trucs. Et du coup, pour supprimer des données, bah on prendrait une gomme : on effacerait ce qui est écrit pour retrouver une page blanche, vierge.

Sauf qu'une page blanche en informatique, ça n'existe pas. Un bit, la base du stockage numérique, n'a que deux états : 0 ou 1. Il n'a pas d'état « neutre », « vierge » ou « non-initialisé ». Il y a toujours quelque chose d'écrit. Votre disque dur, même quand vous l'achetez neuf, n'est pas une page blanche que vous pouvez remplir ou effacer. Ce serait plutôt comme un très très très très long cadenas à code, vous savez ces cadenas où vous faites tourner des petits cylindres sur lesquels sont inscrits les chiffres. Bah ce cadenas, même si vous ne l'avez jamais utilisé, il y a toujours un code d'affiché.

Donc quand un fichier est écrit sur le disque dur, c'est comme si on arrangeait tout un tas de petits interrupteurs – les bits – pour que la bonne information soit affichée, comme on ferait tourner les cylindres d'un cadenas pour que le bon code soit affiché.

Dans le cas d'un disque dur, on va avoir tout plein de fichiers partout, ainsi que des endroits où il n'y a pas de fichier, mais donc où il y a quand même des choses écrites. Pour s'y retrouver, le système de fichier stocke une sorte d'annuaire des fichiers, pour savoir quelle partie du disque contient tel ou tel fichier, et quelles parties sont disponibles.

Que se passe-t-il alors quand on supprime un fichier ? Eh bien on supprime la référence à ce fichier de l'annuaire, et on considère alors l'espace occupé par le fichier comme disponible. Mais le contenu… bah il est toujours là.

Et donc oui, avec les bons outils, on peut récupérer un fichier qui a été supprimé, puisqu'en fait, on a juste supprimé la référence de l'annuaire. Bon évidemment faut pas trop tarder, puisqu'au bout d'un moment, le contenu risque bien d'être écrasé et réutilisé pour stocker un autre fichier, et donc disparaître pour de bon.

N'empêche que ça peut poser de gros problèmes de sécurité : quand vous vendez votre disque dur sur le Bon Coin, même si vous avez pris soin de le formater avant… ben oui, la personne qui l'achète peut récupérer votre sexta… vos photos de vacances dessus.

J'avais fait une BD sur le sujet l'année dernière, et on m'avait même envoyé un article du blog Zythom qui racontait une anecdote assez flippante sur le sujet : l'auteur raconte que lorsqu'il bossait comme informaticien expert judiciaire, on lui avait demandé de récupérer toutes les adresses e-mail présentes sur un disque dur saisi dans une affaire de pédocriminalité.

Et là, stupeur : il découvre tout un tas d'adresses issues du même nom de domaine, le nom d'un hôpital. Est-ce qu'il est sur le point de révéler un réseau pédocriminel organisé au sein d'un établissement de santé, ce qui serait fou et assez gerbant au passage ? Eh ben plutôt que de passer assez hâtivement à cette conclusion, notre informaticien fouille et décide d'analyser un peu ces données.

En gros, il essaie de déterminer qui parle avec qui dans ces adresses e-mails. Et là, il identifie deux groupes complètement séparés : un groupe d'adresses e-mail qui échange parfois des contenus pédopornographiques, et un autre groupe sans aucun lien qui échange principalement des e-mails sur des sujets médicaux. Évidemment, c'est dans ce second groupe que se trouvent les adresses de l'hôpital en question. Et puis l'informaticien regarde aussi les dates des e-mails : même chose, les deux groupes sont séparés temporellement, les e-mails en lien avec l'hôpital étant toujours antérieurs aux autres.

Qu'est-ce qu'il s'est passé en fait ? Bah vous l'avez peut-être déjà deviné. En fait le disque dur avait commencé par être utilisé dans un hôpital, avant d'être effacé et vendu d'occasion pour finir dans les mains d'un pédophile. Mais comme je vous l'ai expliqué, effacé ne veut pas dire supprimé physiquement, d'où cet imbroglio qui aurait quand même pu avoir des conséquences dramatiques pour le personnel de l'hôpital qui aurait pu se retrouver accusé à tort dans une affaire de pédocriminalité.

Alors vous allez me dire : mais du coup, est-ce qu'on ne devrait pas réécrire quelque chose sur les fichiers quand on les supprime, par sécurité ? Je sais pas, écrire que des bits à 0, ou que des 1 ou alors aléatoirement des 0 ou des 1 ? Eh bah sachez qu'il y a des utilitaires qui le font, et si vous manipulez des données sensibles et que vous voulez vous assurer de leur suppression, ça peut être une bonne idée de les utiliser.

Bon, si vous manipulez des données sensibles, ce serait de toute façon mieux de les chiffrer, c'est-à-dire de les rendre illisibles à qui n'a pas la clef de déchiffrement, mais c'est un autre sujet. En tout cas, moi, si d'aventure je dois revendre un support de stockage, je pense que je ne manquerai pas de faire tourner un de ces utilitaires de suppression, y'a notamment shred (s-h-r-e-d) sur GNU/Linux qui peut faire ça très simplement.

Pourquoi on ne le fait pas systématiquement, me demanderez-vous ? Ben déjà parce que ça rendrait la suppression de fichier potentiellement très longue : imaginez que vous supprimiez un fichier vidéo de plusieurs gigaoctets, ça serait très long de réécrire que des zéro sur des gigas de données, aussi long que de le copier, en gros. Alors qu'actuellement, quand vous supprimez un fichier, c'est quasi-instantané.

Et puis l'autre raison, c'est tout simplement pour préserver la durée de vie des supports : un support de stockage numérique n'a qu'une certaine longévité et ne peut être écrit et réécrit qu'un certain nombre de fois avant de cesser de fonctionner correctement. Donc tant qu'à faire, autant éviter les écritures inutiles. Et la suppression de fichier classique – c'est-à-dire celle qui ne supprime que la référence du fichier dans l'annuaire – bah elle est suffisante et inoffensive dans l'immense majorité des cas.

Elle peut même vous sauver si vous supprimez un fichier par erreur : moi, ça m'est déjà arrivé, j'avais supprimé un petit programme sur lequel j'avais travaillé de longues heures, et j'étais bien content de pouvoir le récupérer !

Pour finir, notez que même les logiciels d'écrasement comme shred ne garantissent pas forcément la suppression totale des données : il y a des secteurs d'un disque dur qui peuvent devenir deffectueux et ne plus être réécrit, et il y aurait même des techniques de criminalistique avancées qui permettraient de retrouver l'état précédent d'un bit, c'est dire.

Au final, pour être vraiment sûr, y'a plus qu'à détruire physiquement le disque dur, comme ça on est tranquille.

En tout cas, quand vous supprimez un fichier, gardez toujours bien à l'esprit ce que ça signifie : mettre un objet à la corbeille ? Ça supprime rien, ça déplace votre fichier dans un dossier spécial, c'est tout. Vider la corbeille ? Ça supprime les références des fichiers dans l'annuaire de votre disque dur, pas leur contenu. Contenu qui va donc rester accessible jusqu'à ce que vous l'écrasiez physiquement par un autre fichier, et encore, il peut rester des traces.

Pensez-y la prochaine fois que vous revendez votre disque dur… bon sauf si vous êtes un pédocriminel, parce que dans ce cas très précis, au lieu de vendre votre disque dur, je ne saurai que vous conseiller d'aller le déposer intacte dans un commissariat de police avec des aveux signés, on gagnera du temps et ça rendra service à tout le monde.

Allez salut !