Tracer les criminels en cyber espace

Présentation au sujet: "Tracer les criminels en cyber espace"— Transcription de la présentation:

1 Tracer les criminels en cyber espace
La méthodologie des recherches Internet à l’aide d’un exemple Formation Magistrats © FCCU

2 Architecture

3 Accès à Internet Utilisation de services sur Internet
Fournisseur de service Internet Utilisation de services sur Internet Fournisseur d’accès à Internet Accès à Internet Connexion physique Opérateur télécom 02 / Utilisateur final

4 L’architecture d’Internet : éléments de base
Adresse Internet : adresse unique par ordinateur (adresse IP = adresse Internet Protocol) Ex: Adresse statique pour les serveurs Adresse dynamique pour les utilisateurs (durée de la session) Adresses internes / externes Attribution par IANA et disponibles dans des bases de données Noms de domaines : adresse facile à retenir just.fgov.be Domaines “Top level”: *.com, *.net, *.org, *,edu, ... *.be, *,fr, ... Les Domain-Name-Servers : relation nom de domaine et adresse IP Les serveurs WHOIS : qui a enrégistré un nom de domaine Attention !! Le pays où est enregistré le nom de domaine n’est pas nécessairement le pays où se situe l’ordinateur !!

5 Méthodologie

6 Méthode d’enquête Prouver les faits Indiquer les auteurs
Localisation dans le temps et l’espace : qui est compétent ? Problèmes avec l’aspect transfrontalier. Préjudices / prouver les conséquences Indiquer les auteurs Investigation via les éléments techniques => Ordinateur : qui l’a utilisé ? Exclure les personnes non-suspectes Problèmes : les connexions anonymes (bibliothèques, cybercafés, abonnement hacké, ordinateur hacké, Internet libre, WIFI)

7 Méthode d’enquête (suite)
Démontrer les intentions de l’auteur Par la fréquence des faits Par les traces des manipulations effectuées Par le fait qu’il utilise de fausses identités Réunir toutes les preuves matérielles de manière cohérente et les rapporter par PV Backups / entreposage du matériel saisi au greffe

8 Méthode pour la recherche d’un auteur
A partir d’information disponible : rechercher un élément qui peut directement ou indirectement mener à l’adresse IP de l’auteur au moment des faits Dans l’entête d’un / message de groupe de discussion Dans un message SMS (ex: plus loin) Dans les données disponibles chez les fournisseurs de services Internet (ISP) Dès que l’on connaît le moment et l’adresse IP Vérifier si IP statique ou dynamique Vérifier si abonnement hacké / ordinateur hacké Demande des données logging chez les IAP (fournisseurs d’accès Internet) Eventuellement confirmation chez les opérateurs Télécom

9 Adresse IP & timestamp dans l’entête technique
Menaces par mail

10

11 Exemple L’envoi d’un sms par le web

12 Schéma d’envoi d’un message SMS via Internet et loggings des traces
Fournisseur d’accès Internet (IAP) Fournisseur de services de messages SMS sur Internet Expéditeur GSM appelé Ligne téléphone / câble Adresse IP attribuée à l’expéditeur 0486 / INTERNET

13 Startscherm SMS dienst

14 Ecran à remplir le message Orange

15 Ecran message envoyé

16 Schéma d’envoi d’un message SMS via Internet et loggings des traces
Fournisseur d’accès Internet (IAP) Fournisseur de services de messages SMS sur Internet Expéditeur GSM appelé GSM du fournisseur de services SMS Ligne téléphone / câble Adresse IP attribuée à l’expéditeur INTERNET

17 Réception du texte sur le GSM 0486 134613
03Oct 14:30 L’après-cours était très amusant. C’est à refaire. Mr XXX ( Phase 1 Etape 2 Phase 1 Etape 1

18 WHOIS DATABASE : qui a enregistré le domaine ?

19

20 Première phase Etape une : identification de l’“expéditeur SMS” :
=> Planet Internet SA => GSM Planet Internet SA (éventuellement identification de ce n° par réquisitoire) Etape deux : réquisitoire à Planet Internet SA Donne l’adresse IP de l’utilisateur de votre service et le moment où il a placé le message qui a été envoyé le 19 Sep à 10:20 vers le numéro

21 Schéma d’envoi d’un message SMS via Internet et loggings des traces
Fournisseur d’accès Internet (IAP) Fournisseur de services de messages SMS sur Internet Expéditeur GSM appelé GSM du fournisseur de services SMS Ligne téléphone / câble Adresse IP attribuée à l’expéditeur 0486 / Logging Planet Internet Adresse IP de l’expéditeur au moment de création du message SMS n° de GSM de l’appelé et moment de l’envoi Sep 10:18 19 Sep 10: INTERNET

22 IP WHOIS DATABASE : qui gère l’adresse IP ?

23

24 Phase deux Etape une : identification du fournisseur d’accès Internet
Vérifier dans la base de données => Skynet SA (probablement une adresse dynamique) Si c’est une société (pas IAP) ou un particulier => l’étape deux n’est pas nécessaire Etape deux : investiguer chez Skynet SA Donne l’identification (+ le numéro d’appelant) de l’abonné Skynet qui le 19 Sep à 10:18 était connecté avec l’adresse IP

25 Schéma d’envoi d’un message SMS via Internet et loggings des traces
Fournisseur d’accès Internet (IAP) Fournisseur de services de messages SMS sur Internet Expéditeur GSM appelé GSM du fournisseur de services SMS Ligne téléphone / câble Adresse IP attribuée à l’expéditeur 0486 / Logging IAP Adresse IP abonné début session fin session volume IN volume OUT n° tél appelant Sep 10:18 ID abonné Nom abonné Adresse abonné N° tél appelant INTERNET

26 Troisième phase La réponse est bien complète mais ...
Sommes-nous certains que c’est l’ utilisateur véritable ? (“nom d’abonné + mot de passe” souvent abusé) Abus facile dans les connexions Internet via téléphone & ADSL Nous voulons la certitude (et disculper les innocents) Si nous avons reçu le numéro de l’appelant => examiner la banque de données publique => identification => si c’est un numéro secret => réquisitoire pour identification Si le n° de l’appelant <> n° de l’utilisateur attitré => identification et confirmation de l’appel : réquisitoire chez l’opérateur télécom ou le fournisseur ADSL (Belgacom)

27 Schéma d’envoi d’un message SMS via Internet et loggings des traces
Fournisseur d’accès Internet (IAP) Fournisseur de services de messages SMS sur Internet Expéditeur GSM appelé GSM du fournisseur de services SMS Ligne téléphone / câble Adresse IP attribuée à l’expéditeur 0486 / N° téléphonique de l’expéditeur Logging opérateur télécom Moment défini Durée N° tél appelant N° tél appelé (n° de tel IAP) N° tél de l’abonné 19 Sep 10:18 N° tél appelant INTERNET Nom de l’abonné Adresse de l’abonné Confirmation de l’appel

28 Utilité et conclusions

29 Quelques exemples utilites des recherches Internet
Connexions faits avec les boîtes webmail sur le serveur (p.ex. Hotmail) localisation d’une personne “disparue” Traces sur un site web “annonces” Qui a posté le message suspect ? Escroqueries L’envoi Origine d’un mail (menaces, escroqueries) Chat Le serveur de chat => qui utilise un tel nickname ? quelle adresse IP ? Distribution de pédoporno Avec qui a chatté la personne disparue ?

30 Concrètement pour l’enquête
La combinaison de l’IP et du moment est nécessaire pour l’identification (et aussi pour déterminer les faits) Les réquisitoires mentionnent de préférence exactement les données souhaitées avec les réquisitoires corrects : (identification 46bis – aperçu connexions : 88 bis CIC) Vu la grande quantité et le volume des données : demander de les fournir dans un format fichier sur un support de données ou via mail => l’analyse des données devient possible Rapidité de délivrance des réquisitoires est nécessaire