Forensics publics — résultats bornés par plateforme, OS, version et date

Registre de preuves — Phase 2

Ce dossier est une pièce de recherche datée. La conclusion canonique est celle du rapport final 1.0. Les synthèses antérieures et renvois à la Phase 3 restent historiques. UNKNOWN reste UNKNOWN.

Outil / OS / app / date	Résultat observé ou affirmé	Limites de transfert au présent
Cellebrite Physical Analyzer + Advanced Services / Android / Signal / 10 déc. 2020	Résultat observé ou affirméLe billet de Cellebrite décrit le déchiffrement de signal.db via une clé récupérée depuis Shared Preferences et Android Keystore, puis les tables sms/part et les pièces jointes sous app_parts. Il précise que les pièces jointes utilisent une clé distincte.	Limites de transfert au présentAnnonce éditeur, pas article évalué par les pairs; aucun modèle d’appareil, version Android, version Signal, version Physical Analyzer ou état de verrouillage n’est donné dans le texte. Ne démontre pas que la méthode fonctionne sur Signal/Android courant ou sur appareil verrouillé. Cellebrite [accès à vérifier].
DC3 / Windows, macOS, Linux, iOS, Android / Signal / 26 mai 2021	Résultat observé ou affirméLe Technical Advisory 2021-005 documente clés et bases : clé desktop dans config.json; iOS keychain + signal.sqlite, fichiers Attachments et Snapshots; Android signal.db, Android Keystore et app_parts. L’avis qualifie desktop de straightforward et mobile de plus difficile quand les clés sont matériellement protégées.	Limites de transfert au présentAdvisory d’investigation, sans matrice de versions d’app/OS ou de produits forensic; les chemins et conclusions sont des observations publiées à la date du conseil, pas une garantie de décryptage universel. DoD DC3 TA-2021-005.
FBI / iPhone (modèle et iOS inconnus) / Signal / preuve rapportée en avril 2026	Résultat observé ou affirméMessages entrants récupérés dans la base/stockage de notifications iOS, y compris app supprimée et messages temporaires expirés dans Signal; l’extraction était via stockage du système, sans casser Signal Protocol.	Limites de transfert au présentL’article rapporte témoignages/notes; version iOS, modèle, version Signal, état BFU/AFU et outil exact non publiés. Apple a corrigé le défaut CVE-2026-28950 en iOS 26.4.2 / iPadOS 26.4.2; un test après patch sur terminaux similaires est requis avant toute affirmation de persistance. 404 Media [accès à vérifier], Apple.
Études universitaires sur WhatsApp, Signal, Threema / Android / années antérieures	Résultat observé ou affirméIl existe des travaux qui récupèrent bases, clés, pièces jointes et artefacts pour versions testées; une étude 2022 examine spécifiquement Signal, Wickr, Threema, et des travaux plus anciens WhatsApp.	Limites de transfert au présentLes années, builds d’app, appareils et techniques délimitent strictement la conclusion; aucune capacité Cellebrite/GrayKey/Magnet actuelle ne peut être inférée sans matrice explicitement publiée et reproduction. Ces sources sont à relever audit par audit, pas résumer comme « forensic bypass » permanent. étude FSI: Digital Investigation 2022, étude WhatsApp Android sur arXiv.
Projet étudiant KISIA / Android / Session / présenté le 2 déc. 2023, résumé publié en 2024	Résultat observé ou affirméLe programme CISC-W’23 identifie un travail de l’équipe FaS de Kookmin sur le déchiffrement des fichiers temporaires Session; le résumé de projet KISIA dit qu’il a exploité Android Keystore pour les clés de base et de fichiers temporaires, puis déchiffré DB et fichiers.	Limites de transfert au présentSources institutionnelles de présentation/projet, pas rapport d’extraction commerciale ni article complet évalué par les pairs.
Jaeckel et al. / Cellebrite UFED Touch / iOS non précisé / Telegram iOS 11.1.1 / publié le 24 mars 2025	Résultat observé ou affirméSur des iPhone SE et iPhone 7, les auteurs ont généré des échanges de test (cloud chat, Secret Chat, groupes, canaux, textes, médias et appels), puis réalisé une extraction du système de fichiers avec « UFED Touch » et analysé le dossier telegram-data. Ils décodent contacts, identifiants, groupes/canaux/Secret Chats, textes, auteur, direction, horodatages, références média et événements d’appel depuis db_sqlite/BLOB; la base peut avoir un db_sqlite-wal avec des transactions absentes/anciennes. Le papier dit que les données examinées n’étaient pas chiffrées au niveau de la base/app. Article complet DFRWS/FSI.	Limites de transfert au présentRésultat d’extraction post-acquisition et de décodage, pas preuve d’un déverrouillage/bypass : version iOS, version exacte UFED, état verrouillé du téléphone et protection Data Protection des fichiers ne sont pas publiés. Données synthétiques; les auteurs disent que la récupération de données supprimées et davantage de tables restent à étudier. Ils préviennent aussi que le schéma varie avec les releases; le résultat de 2025 ne démontre pas l’extractabilité de Telegram/iOS actuel.
ALEAPP (parser indépendant) / Android / SimpleX / 20 août 2026	Résultat observé ou affirméLe parser public sait extraire contacts, messages, fichiers, états edited/deleted et anciennes versions éditées depuis files_chat.db chiffrée, si l’acquisition contient aussi la clé/passphrase. Les auteurs déclarent deux échantillons Android privés; SQLCipher page-HMAC est vérifié sur le jeu testé. Pour médias, le parser note une clé 32 octets et nonce 24 octets, mais dit explicitement que le format de déchiffrement n’est pas établi dans l’analyse.	Limites de transfert au présentLe code du parser est une source technique indépendante, plus probante qu’un slogan ou qu’une simple capacité annoncée par un fournisseur forensic.
Étude académique / Android / Session / 2025	Résultat observé ou affirméKim et al., JKIISC 35(5), pp. 1209–1227, DOI 10.13089/JKIISC.2025.35.5.1209; le catalogue de la National Assembly Library date l’article du 31 oct. 2025. L’abstract indique une analyse de bases, logs et fichiers temporaires et une méthode de déchiffrement par extraction dynamique de clé via Frida sur appareil réel.	Limites de transfert au présentArticle de revue; le résumé établit la catégorie de technique étudiée et l’existence de recherche forensic ciblant Session.
ALEAPP / Android 14 et 15 / Session / parser créé le 7 août 2026	Résultat observé ou affirméLa source du parser déclare quatre images de test : Android 14 avec codes d’app 372/376 et Android 15 avec codes 417/419. Elle lit dans network.loki.messenger_preferences.xml l’Account ID, profil, timestamps et clés de base/pièces jointes/logs sous forme de secrets enveloppés; elle liste les fichiers app_parts mais ne décode pas leur contenu.	Limites de transfert au présentL’auteur marque explicitement la frontière : il ne parse pas le contenu des messages. signal_v4.db et session.db sont SQLCipher; la méthode publiée d’extraction par offset de blob est notée applicable à un appareil virtualisé sans Keystore matériel.