IPED – Fouiller un disque dur comme la police

Si vous vous êtes déjà demandé comment les flics font pour fouiller un disque dur saisi chez un suspect, la réponse tient en quatre lettres :
IPED
. C’est l’outil que la police fédérale brésilienne a développé en interne depuis 2012 pour analyser les preuves numériques… et qui est devenu open source en 2019.

N’importe qui peut aujourd’hui donc télécharger le même logiciel que celui utilisé par les enquêteurs pour décortiquer des scènes de crime numériques. J’vous parle d’un truc qui avale 400 Go de données à l’heure, ce qui à vrai dire c’est plutôt le débit d’un SSD NVMe que d’un logiciel d’analyse. Et ça gère des multicases de 135 millions d’éléments. Ouais, rien que le chiffre donne le vertige !

En gros, le principe c’est de balancer une image disque (DD brut, conteneur E01, machine virtuelle VMDK, VHD Hyper-V, AFF… la totale) et IPED va indexer, analyser, hasher en MD5 et SHA-256, et trier tout ce qu’il trouve. Le logiciel supporte une quarantaine de formats pour le carving, fait de l’OCR via Tesseract 5, parse l’historique des navigateurs, et peut même transcrire de l’audio grâce à Azure ou Google Cloud. Vous avez même un moteur de recherche plain-text sur l’intégralité d’un disque !

L’interface d’analyse d’IPED avec sa recherche plein texte et l’aperçu des fichiers

Et surtout, le truc qui tue c’est la reconnaissance faciale intégrée… car elle tourne sans GPU !! La v4.3 sortie fin 2025 pousse même le délire encore plus loin avec l’estimation d’âge sur les visages détectés et le support multi-visages par image. Pour les forces de l’ordre, y’a aussi PhotoDNA (étendu aux vidéos dans cette version) et une tâche de classification CSAM… bref du lourd pour la lutte contre la pédocriminalité !

La reconnaissance faciale intégrée trie automatiquement les visages détectés

Mais attention, c’est pas juste un outil de flics. Si vous bossez en cybersécurité, en réponse à incident, ou si vous êtes juste curieux de comprendre ce qui traîne sur
un vieux disque dur récupéré
, IPED fera très bien le taf. Le logiciel propose plusieurs profils de traitement : forensic (analyse complète), triage (scan rapide), fastmode (indexation sans parsing lourd), et même un mode "blind" pour les cas où vous ne savez pas trop ce que vous cherchez.

Vous faites pointer l’outil sur une image disque, vous choisissez votre profil, et en quelques minutes il vous sort une interface Swing (oui, c’est pas forcément la plus belle du monde, oubliez pas que c’est du Java) avec tous les fichiers indexés, une timeline d’activité, les historiques de navigation, les conversations de messagerie et même une galerie de toutes les images triées par visage. Le tout sans avoir à monter l’image manuellement.

La timeline unifiée permet de retracer toute l’activité chronologique du disque

Faudra donc un JDK 11 avec JavaFX inclus (genre Liberica ou Azul, parce que le JDK standard ne bundle plus JavaFX… snif) puis faites un petit git clone et un mvn clean install pour déployer tout ça.

Ça fonctionne sous Windows et Linux, mais pas de support macOS natif par contre. Et prévoyez au moins 16 Go de RAM, vu les volumes que ça traite. Le projet est solide mais je tiens quand même à souligner que le dev principal porte à lui seul plus de la moitié des commits… c’est courant sur ce type de projet mais c’est vraiment dommage car c’est d’utilité publique !

La v4.3 a aussi ajouté la validation de phrases mnémoniques crypto (pour détecter des seed phrases sur un disque, genre
le même principe que quand le FBI demande les clés BitLocker
sauf que là c’est vous qui cherchez), le support BitTorrent via Transmission, le carving 7zip, HEIC, WebM et MKV, et un parseur NSKeyedArchiver pour les dumps iOS. Et si vous devez analyser le backup d’un iPhone, y’a carrément moyen.

Le moteur de carving récupère et affiche les fichiers avec leurs miniatures

Après la doc est assez éparse… le wiki GitHub ne couvre pas toujours les cas limites et faut parfois fouiller dans les issues pour trouver la bonne config. Mais bon, franchement, c’est le jeu de l’open source. Quand c’est "gratuit" c’est ton temps le "produit" ^^.

Bref, si vous avez un vieux disque qui traîne dans un tiroir, c’est l’occasion de jouer les enquêteurs du dimanche !

Source : korben.info