Les preuves d'une enquête sur un incident, comme la copie d'un disque, doivent être traitées de façon à pouvoir servir plus tard dans un procès ou lors d'une plainte auprès de la police. Quel traitement est le plus approprié selon l'idée de la chaîne de possession (chain of custody) ?

Réponse : C. Copier le disque d'origine au travers d'un dispositif qui empêche l'écriture, et enregistrer les valeurs de hachage ainsi que qui l'a reçu, quand, et ce qu'il en a fait

Pour que des preuves soient jugées fiables au tribunal ou ailleurs, il faut montrer qu'il n'y a eu ni falsification ni substitution entre leur collecte et leur production. On n'accède donc au support d'origine qu'au travers d'un dispositif qui empêche l'écriture (un bloqueur d'écriture), on en fait une copie bit à bit, et on consigne que les valeurs de hachage (par exemple SHA-256) de l'original et de la copie concordent. C'est la copie qui est examinée ; le support d'origine est scellé et conservé, et la date et l'heure, la personne responsable et l'objet sont consignés à chaque remise. Une rupture dans cet enregistrement est une raison de mettre en doute la fiabilité des preuves.