La pratique consistant à conserver et documenter les métadonnées originales (horodatages système, EXIF, en‑têtes, temps MAC, enregistrements système de fichiers et informations d'artefact associées) lors de l'acquisition, de l'analyse, du stockage et de la divulgation, afin que le contexte, la chronologie et la provenance restent disponibles pour un usage forensique et juridique.

Principe

Préserver les métadonnées en tant que preuve : acquérir des images bit‑par‑bit avec bloqueur d'écriture, éviter les outils qui réécrivent les métadonnées originales sauf documentation explicite, et consigner toute transformation pour maintenir une piste d'audit.

Démonstration

Une image forensique capture les tables d'allocation, les entrées MFT, les données EXIF des photos et les en‑têtes d'e-mails ; l'examinateur documente l'outil d'imagerie, le hachage et les vues exportées, garantissant la conservation des horodatages et de la provenance pour la reconstitution chronologique.

Mauvaise application

Utiliser des outils grand public de copie de fichiers qui normalisent les horodatages, suppriment l'EXIF ou réécrivent les métadonnées système sans signaler les modifications, détruisant ainsi le contexte temporel et affaiblissant la valeur probatoire.

Conséquence

Une bonne préservation des métadonnées permet une reconstitution chronologique précise, l'attribution et la corrélation des artefacts ; l'échec provoque des lacunes susceptibles de compromettre enquêtes et admissibilité.

Inversion

La suppression active ou la normalisation des métadonnées (intentionnelle ou accidentelle) qui rompt les liens entre contenu et contexte, rendant la reconstitution des événements difficile voire impossible.

Limite

S'applique aux métadonnées originales capturées lors d'une acquisition forensique et aux enregistrements de toute dérivation ; exclut les annotations créées par l'analyste ou les métadonnées dérivées lorsqu'elles sont clairement étiquetées et suivies comme secondaires.

Tension sémantique

Tension avec la confidentialité et la divulgation : préserver les métadonnées peut exposer des informations sensibles et entrer en conflit avec les besoins de caviardage ; la préservation exige des stratégies pour maintenir la provenance tout en permettant une divulgation respectueuse de la vie privée.

Synthèse

La Préservation Des Métadonnées est la capture disciplinée et la documentation des métadonnées originales tout au long de la gestion des preuves afin de conserver le contexte, permettre les chronologies forensiques et maintenir la valeur juridique tout en consignant les transformations autorisées.