Glossaire
Numéro de série généré par Windows
ID d’instance USB créé par Windows quand le périphérique ne fournit pas de numéro de série exploitable, reconnaissable au & en deuxième position.
Un numéro de série généré par Windows est un identifiant d’instance que Windows fabrique lorsqu’un périphérique USB ne fournit pas de numéro de série exploitable. Les périphériques USB sont censés déclarer un numéro de série unique dans leur descripteur, et Windows l’utilise normalement comme identifiant d’instance sous SYSTEM\ControlSet00x\Enum\USB et Enum\USBSTOR. Beaucoup de lecteurs de cartes bon marché et certaines clés n’en déclarent aucun, ou un numéro que Windows ne considère pas comme unique. Windows construit alors un identifiant à partir de la position du périphérique dans l’arborescence USB, par exemple 7&1f2e3d4c&0. Le signe distinctif est un & en deuxième position.
Pourquoi c’est important en investigation
Un identifiant généré ressemble à un numéro de série mais ne se comporte pas comme tel :
- Il n’est unique que sur cet ordinateur. Il n’est pas imprimé sur le périphérique et ne correspondra pas au même périphérique sur une autre machine.
- Il dépend du chemin de port et de concentrateur : le même périphérique branché sur un autre port peut apparaître comme une seconde entrée.
- Le nœud USB et le nœud USBSTOR reçoivent des identifiants générés différents, si bien que le rapprochement habituel par numéro de série échoue. Le ContainerID est alors le seul lien entre eux.
Ne présentez pas une telle valeur comme « le numéro de série du périphérique ». Identifiez plutôt le périphérique par fabricant et produit, capacité, numéro de série de volume, nom de volume et chronologie de ses connexions, et précisez que l’identifiant d’instance a été généré par Windows.
Exemple
Enum\USB\VID_1E4F&PID_0726\5&2a9c1d77&0&3
ContainerID = {c3d9e1f0-2b4a-4c6d-8e7f-1a2b3c4d5e6f}
Enum\USBSTOR\Disk&Ven_Litware&Prod_Card_Reader_SD&Rev_1.00\7&1f2e3d4c&0
ContainerID = {c3d9e1f0-2b4a-4c6d-8e7f-1a2b3c4d5e6f}
Les deux identifiants d’instance ont & comme deuxième caractère, et ils diffèrent l’un de l’autre. Seul le ContainerID commun montre qu’il s’agit d’un même lecteur de cartes.
Termes associés
- ID d’instance de périphérique : la structure que l’identifiant généré remplace.
- USBSTOR : là où les identifiants générés se remarquent le plus souvent.
- ContainerID : le lien qui fonctionne encore.
- Numéro de série de volume (VSN) : un identifiant qui voyage avec le support.
USB Forensics signale les numéros de série générés sur la fiche de chaque périphérique. Plus de détails dans l’analyse forensique de USBSTOR, et un cas concret dans l’enquête sur une exfiltration USB.