Forensique mobile en cours : enseigner l'investigation Android et iOS à des étudiants
Neuf personnes sur dix en France possèdent un smartphone. Ces appareils concentrent des messageries, des historiques de localisation, des données bancaires, des photos, des accès professionnels. Du point de vue de l'investigation numérique, ils sont devenus une source de preuves aussi riche — et parfois plus riche — que l'ordinateur personnel.
Pour les enseignants en forensique et en investigation numérique, l'intégration d'un module mobile n'est plus optionnelle. Mais enseigner la forensique mobile soulève des questions pratiques spécifiques : quels outils utiliser sans budget professionnel ? Comment construire un lab légalement sûr ? Comment articuler les spécificités Android et iOS dans un même module ?
Ce guide propose un plan concret, séance par séance, pour intégrer la forensique mobile dans un cursus cybersécurité.
1. Pourquoi le mobile est devenu incontournable en forensique
Les messageries chiffrées au cœur des enquêtes
Signal, WhatsApp, Telegram, iMessage : la quasi-totalité des échanges sensibles transite par des messageries chiffrées de bout en bout sur mobile. Même les cybercriminels ont migré sur ces plateformes. Apprendre à extraire et analyser les artefacts de ces applications (métadonnées, bases SQLite, fichiers médias) est une compétence directement opérationnelle.
Les applications sandbox créent de nouveaux défis
Contrairement à un système de fichiers classique, une application mobile stocke ses données dans un répertoire sandbox isolé, accessible uniquement en mode root (Android) ou via des mécanismes d'extraction spécifiques (iOS). Cette architecture change complètement les méthodes d'acquisition : on ne monte pas un volume et on ne liste pas les fichiers comme sur un disque dur.
Le chiffrement full-disk par défaut
Depuis Android 10 et iOS 8, le chiffrement complet du stockage est activé par défaut. L'acquisition d'une image du stockage brut ne produit que du bruit chiffré sans la clé — qui est dérivée du PIN/mot de passe de l'appareil. Les étudiants doivent comprendre les différentes méthodes d'extraction (logique, physique, JTAG, chip-off) et leurs conditions d'applicabilité.
2. Prérequis étudiants
Avant d'aborder la forensique mobile, les étudiants doivent maîtriser les bases suivantes :
- Forensique classique : notions de chaîne de custody, acquisition d'une image disque, hachage (MD5/SHA-256), utilisation d'Autopsy ou The Sleuth Kit.
- Sécurité mobile : architecture Android (partitions, permissions, ADB), architecture iOS (APFS, sandbox, Secure Enclave), modèles de menaces.
- Linux en ligne de commande : navigation dans le système de fichiers, scripts bash de base, manipulation de fichiers binaires (hexdump, xxd).
- Python de base : lecture de fichiers SQLite avec
sqlite3, manipulation de JSON, parsing de logs.
Sans ces prérequis, le cours devient une démonstration passive plutôt qu'un lab actif.
3. Architecture Android et iOS : le socle théorique indispensable
Ce que l'étudiant doit comprendre sur Android
Structure des partitions : system (OS en lecture seule), data (données utilisateur et applications), sdcard (stockage externe accessible), cache. La partition data est celle qui intéresse en priorité l'investigateur.
ADB (Android Debug Bridge) : outil central de l'investigation Android en mode logique. Via ADB, on peut extraire des sauvegardes (backup.adb), accéder au système de fichiers sur un appareil rooté, ou utiliser des commandes shell pour extraire des artefacts spécifiques.
Les artefacts clés : bases de données SQLite (contacts, appels, SMS, WhatsApp), fichiers de préférences XML (SharedPreferences), historique du navigateur, journaux système (logcat), données GPS.
Ce que l'étudiant doit comprendre sur iOS
APFS (Apple File System) : le système de fichiers d'Apple depuis iOS 10.3. Ses snapshots, son chiffrement natif et sa gestion des métadonnées diffèrent fortement d'ext4 ou NTFS.
L'acquisition iTunes/Finder : iOS ne permet pas d'accès direct au système de fichiers sans jailbreak. La méthode d'acquisition principale pour un cours est l'extraction via sauvegarde iTunes (chiffrée ou non). La sauvegarde chiffrée contient plus d'artefacts, notamment les mots de passe, les données de santé et les données d'applications tierces.
Le sandboxing des applications : chaque app a son propre répertoire inaccessible aux autres. L'investigation d'une app spécifique nécessite d'avoir accès à son container, ce qui n'est possible qu'en jailbreakant l'appareil ou via les mécanismes d'extraction avancés.
4. Les outils de référence pour l'enseignement
Voici une comparaison des outils accessibles dans un contexte pédagogique :
| Outil | Plateforme | Coût | Type d'extraction | Niveau requis | Points forts |
|---|---|---|---|---|---|
| ADB | Android | Gratuit | Logique (sauvegarde, shell) | Débutant | Universel, bien documenté |
| idevicebackup2 / libimobiledevice | iOS | Gratuit | Sauvegarde iTunes | Débutant | Open source, multi-OS |
| Autopsy (modules mobile) | Android/iOS | Gratuit | Analyse d'images/sauvegardes | Intermédiaire | Interface graphique, timeline |
| MVT (Mobile Verification Toolkit) | Android/iOS | Gratuit | Analyse IOC, spyware | Intermédiaire | Créé par Amnesty Tech, spécialisé APT |
| Cellebrite UFED Academic Edition | Android/iOS | Sur devis (académique) | Logique, physique, JTAG | Avancé | Standard professionnel, base de données d'artefacts |
Pour un cours sans budget : ADB + libimobiledevice + Autopsy couvrent l'essentiel de ce qu'un étudiant doit apprendre. MVT est un excellent complément pour introduire la détection de spyware.
Pour un lab plus ambitieux : Cellebrite propose une Academic Edition à tarif préférentiel pour les établissements. C'est l'outil de référence dans les services d'enquête, et les étudiants qui en ont la maîtrise ont un avantage direct sur le marché de l'emploi.
5. Plan d'un module de 8 heures : séance par séance
| Séance | Durée | Objectifs | Outils | Livrable |
|---|---|---|---|---|
| Intro théorique + prérequis | 1h | Comprendre les spécificités mobile, situer dans la forensique générale | Présentation, schémas d'architecture | Fiche récapitulative partitions Android/iOS |
| Lab Android – extraction logique | 2h | Réaliser une sauvegarde ADB, extraire et lire les bases SQLite | ADB, DB Browser for SQLite | Rapport partiel : contacts, SMS, appels extraits |
| Lab Android – artefacts avancés | 1,5h | Analyser les données WhatsApp, l'historique navigateur, les logs GPS | ADB shell, Autopsy | Tableau d'artefacts localisés et annotés |
| Lab iOS – extraction de sauvegarde | 2h | Créer et analyser une sauvegarde iTunes chiffrée | libimobiledevice, iMazing (version gratuite), Autopsy | Rapport partiel : messages iMessage, contacts |
| Analyse IOC avec MVT | 1h | Détecter des indicateurs de compromission sur les extraits | MVT, analyse de logs | Liste d'IOC identifiés et classifiés |
| Rapport final et débrief | 0,5h | Structurer les findings, formaliser la chaîne de custody | Template rapport fourni | Rapport d'investigation complet |
Ce plan est ajustable : l'intégration iOS peut être retirée si le parc de téléphones du lab est 100 % Android, et la durée des labs pratiques peut être étendue à 3 heures chacun pour des groupes moins avancés.
6. Créer un environnement lab sécurisé
Les appareils
La solution la plus pratique : un parc de 5 à 10 smartphones Android d'entrée de gamme (moins de 80 € pièce), préparés spécifiquement pour le cours. Chaque appareil doit être :
- Réinitialisé (factory reset complet, pas juste un reset logiciel).
- Activé avec un compte Google dédié au cours, sans données personnelles réelles.
- Peuplé avec des données fictives cohérentes : contacts inventés, échanges SMS simulés, historique de navigation banal, quelques photos neutres.
Ce processus de préparation prend environ 30 minutes par appareil et doit être refait à chaque nouveau groupe ou après chaque démonstration d'exploitation.
Les données fictives consenties
Si vous demandez aux étudiants d'apporter leur propre téléphone, le processus doit être rigoureux : consentement écrit, factory reset en séance, activation avec un compte temporaire créé pour l'occasion, injection de données fictives. Utiliser le téléphone personnel d'un étudiant sans ce protocole expose l'établissement à un risque RGPD sérieux.
La meilleure pratique reste le parc dédié. Elle simplifie la logistique et élimine les risques juridiques.
Isolation réseau
Les téléphones du lab ne doivent jamais être connectés au réseau de l'établissement pendant les séances de lab. Un réseau Wi-Fi isolé dédié au lab (sans accès internet si possible, ou avec un proxy de contrôle) est la bonne pratique. Cela évite notamment les synchronisations automatiques qui modifient les artefacts entre deux acquisitions.
7. Contraintes légales et éthiques
La forensique mobile touche directement à la vie privée. Un enseignant qui introduit ce sujet sans cadre juridique clair expose ses étudiants à des erreurs aux conséquences sérieuses.
RGPD et données personnelles
Le RGPD s'applique dès qu'on collecte ou traite des données à caractère personnel, même dans un cadre pédagogique. Les données extraites lors des labs (si elles proviennent de téléphones réels ou non correctement pseudonymisées) peuvent être considérées comme des données personnelles. La règle : toutes les données du lab doivent être fictives ou issues d'appareils factory-reset avec consentement explicite.
Réquisition judiciaire vs investigation pédagogique
En dehors d'une procédure judiciaire, accéder au contenu d'un appareil sans le consentement du propriétaire est une infraction pénale (article 323-1 du Code pénal). L'enseignant doit clairement expliquer cette limite : les techniques apprises en cours ne s'appliquent qu'à des appareils dont on est propriétaire ou pour lesquels on a une autorisation explicite.
Données des étudiants
Même en contexte pédagogique, si des étudiants utilisent leurs propres appareils, les données extraites pendant les labs sont leurs données personnelles. Elles ne doivent pas être conservées, analysées au-delà du cadre du cours, ou transmises à des tiers. Un accord écrit en début de cours clarifie les conditions d'usage.
8. Évaluation : le rapport d'investigation
L'évaluation la plus pertinente pour un cours de forensique mobile est la production d'un rapport d'investigation structuré. Ce format reproduit le livrable réel d'un analyste forensique et développe des compétences directement transposables en emploi.
Structure du rapport attendu
- En-tête : identification de l'appareil, hash de l'image/sauvegarde, date et heure d'acquisition.
- Chaîne de custody : qui a eu accès à l'appareil, dans quel ordre, quelles manipulations ont été effectuées.
- Méthodologie : outils utilisés, versions, paramètres d'extraction.
- Findings : liste des artefacts pertinents, leur localisation, leur interprétation dans le contexte du scénario.
- IoC identifiés : si le scénario inclut un élément malveillant simulé, liste des indicateurs de compromission trouvés.
- Conclusion : reconstitution du scénario à partir des éléments extraits.
Un scénario fictif bien construit (ex : "Ce téléphone appartient à un employé soupçonné d'avoir transmis des données confidentielles. Votre mission est d'identifier les communications et les fichiers partagés dans les 7 derniers jours") rend l'exercice immersif et directement utile pour le développement professionnel des étudiants visant une carrière d'analyste malware ou d'analyste forensique.
Pour aller plus loin, les certifications GREM et GCFE constituent des objectifs professionnels atteignables à l'issue d'un cursus qui intègre ce module.
Ce qu'il faut retenir
- La forensique mobile est désormais un module obligatoire dans tout cursus forensique sérieux — les smartphones sont la première source d'artefacts numériques dans de nombreuses enquêtes.
- Les prérequis sont exigeants : forensique classique, sécurité mobile, Linux et Python de base avant d'aborder ce module.
- Un parc dédié d'appareils Android factory-reset est la solution la plus simple et la plus sûre pour les labs.
- ADB + libimobiledevice + Autopsy permettent de couvrir l'essentiel sans budget important.
- MVT est un outil open source excellent pour introduire la détection d'IOC et les menaces étatiques.
- Le cadre juridique est non négociable : RGPD, consentement, données fictives — l'enseignant est responsable de ce cadre.
- L'évaluation par rapport d'investigation est le format le plus professionnel et le plus formateur.
Vous cherchez un intervenant expérimenté en forensique mobile pour votre cursus ? Retrouvez des profils spécialisés sur Cyber Teachers et organisez votre prochain module pratique.