Skip to content
USBForensics

Glossaire

Numéro de série de volume (VSN)

Le numéro de série 32 bits écrit dans le secteur d’amorçage d’un volume au formatage, affiché en XXXX-XXXX et stocké dans les raccourcis et Jump Lists.

Un numéro de série de volume (VSN) est une valeur de 32 bits écrite dans le secteur d’amorçage d’un volume lors de son formatage. Windows l’affiche sous la forme de deux groupes de quatre chiffres hexadécimaux, comme 3C9D-51A2, dans la sortie de vol et de dir. Sa position dépend du système de fichiers : offset 0x43 en FAT32, 0x27 en FAT12/16, 0x64 en exFAT et 0x48 en NTFS, où le champ fait 8 octets et où Windows affiche les 4 octets de poids faible. Les octets sont stockés en little-endian.

Pourquoi c’est important en investigation

Le VSN est l’identifiant qui relie des fichiers à un périphérique physique. Lorsqu’un utilisateur ouvre un fichier, le raccourci que Windows écrit enregistre le VolumeID du volume sur lequel il se trouvait : type de lecteur, nom de volume et VSN. Les Jump Lists intègrent la même structure. Si ce VSN correspond à celui décodé depuis le secteur d’amorçage du périphérique dans Partition/Diagnostic 1006, ou à celui d’EMDMgmt, le fichier se trouvait sur ce périphérique, même si une autre clé a reçu plus tard la même lettre de lecteur.

Gardez en tête ce qu’il n’est pas :

  • Il appartient au volume, pas au matériel. Un reformatage écrit un nouveau VSN : un périphérique peut donc en avoir plusieurs au cours de sa vie. Deux VSN pour un même périphérique signifient qu’il a été reformaté, et les fichiers ouverts sous l’un ou l’autre appartiennent à la même clé.
  • Il peut être modifié avec des utilitaires de disque : c’est une preuve solide, mais pas infalsifiable.
  • Deux volumes sans rapport peuvent, rarement, partager un VSN ; confirmez avec le nom de volume et la chronologie.

Exemple

secteur d’amorçage exFAT, offset 0x64 :  A2 51 9D 3C
valeur 32 bits little-endian :            0x3C9D51A2
affichage Windows :                       3C9D-51A2
dans EMDMgmt (décimal) :                  …BACKUP_1016943010
dans le VolumeID d’un raccourci :         DriveType 2 (amovible), Label BACKUP, Serial 3C9D-51A2

Quatre sources, une seule valeur : le secteur d’amorçage, EMDMgmt et le raccourci désignent le même volume.

Termes associés

USB Forensics extrait les VSN des secteurs d’amorçage, d’EMDMgmt, des raccourcis et des Jump Lists, puis les rapproche. Lisez Partition/Diagnostic 1006 pour les détails du décodage.