Le file carving expliqué aux propriétaires de Tesla

Q: Qu'est-ce que le file carving ?

Le file carving (« récupération par signature ») récupère des fichiers en lisant directement les octets bruts d'un périphérique de stockage — en ignorant le système de fichiers — et en cherchant des signatures de fichiers reconnaissables qui marquent le début de types de fichiers connus.

Q: Comment fonctionne le score de confiance ?

Chaque clip candidat reçoit un score de 0 à 100 à partir de sept facteurs : marque ftyp valide, taille de mdat dans la plage attendue, présence de moov, moov analysable, plausibilité de l'horodatage, cohérence de la taille du fichier et alignement sur les clusters — avec un petit bonus pour les dimensions vidéo propres à Tesla.

Qu'est-ce que le file carving ?

Le file carving récupère des fichiers en lisant directement les octets bruts d'un périphérique de stockage — en ignorant le système de fichiers — et en cherchant des signatures de fichiers reconnaissables qui marquent le début de types de fichiers connus.

C'est l'équivalent numérique d'une visite d'entrepôt sans liste d'inventaire, où l'on identifie les cartons par les étiquettes imprimées sur leurs flancs plutôt qu'en cherchant un numéro d'étagère dans un registre. Quand le registre manque (clé formatée) ou n'est pas fiable (système de fichiers corrompu), l'approche par étiquettes fonctionne toujours.

Pourquoi le système de fichiers compte, et quand il ne compte plus

Normalement, quand vous double-cliquez sur un fichier vidéo sur votre ordinateur, voici ce qui se passe :

Le système d'exploitation cherche le nom du fichier dans la table de répertoire de la clé.
La table de répertoire lui indique quels secteurs physiques contiennent les données du fichier.
Ces secteurs sont lus, assemblés et transmis à votre lecteur vidéo.

Deux choses peuvent casser cette chaîne. La table de répertoire peut être effacée (c'est ce que fait le formatage) ou devenir corrompue (c'est ce qui arrive quand une clé USB Tesla est arrachée en pleine écriture ou développe des secteurs défectueux). Dans les deux cas, le système d'exploitation n'a aucune idée des secteurs qui contiennent vos clips, et il déclare la clé vide ou illisible.

Le file carving contourne tout le problème. Il lit les secteurs bruts et cherche les empreintes des types de fichiers directement dans les données — aucune table de répertoire nécessaire.

Ce qu'est la « signature » des fichiers MP4

Tout fichier MP4 standard commence par un atome ftyp. Le mot « ftyp » apparaît en ASCII à l'offset 4 du fichier, précédé d'un champ de taille de 4 octets. Si vous voyez les quatre octets 66 74 79 70 (« ftyp » en ASCII) à l'offset 4 d'un bloc, vous regardez presque certainement le début d'un MP4.

Le carver parcourt la clé, un cluster à la fois, et vérifie les cinquième à huitième octets de chaque cluster à la recherche de ce motif. Quand il le trouve, il a trouvé un clip candidat.

Pourquoi l'analyse alignée sur les clusters est-elle si rapide sur les clés Tesla ?

Tesla formate les clés USB en exFAT avec des clusters de 128 Ko. exFAT écrit toujours les fichiers alignés sur les limites de clusters, ce qui signifie que la signature ftyp de chaque clip Tesla apparaîtra à un multiple de 128 Ko — jamais au milieu.

C'est important parce que cela permet au carver de sauter en avant. Au lieu de vérifier chaque octet d'une clé de 128 Go (mille milliards de comparaisons), il ne vérifie qu'une position par cluster de 128 Ko — environ un million de comparaisons. Même couverture, ~131 000× plus rapide. Une analyse complète de 128 Go se termine en minutes plutôt qu'en heures.

Valider chaque candidat

Trouver une signature ftyp ne signifie pas que le fichier est complet ou lisible — seulement qu'un MP4 commençait dans ce cluster. Le carver analyse ensuite la structure interne :

Atome ftyp — vérifie l'identifiant de marque. Tesla utilise mp42, tout autre identifiant est donc relégué au second plan.
Atome mdat — localise le bloc de données vidéo et vérifie que sa taille se situe dans une plage Tesla plausible (généralement 15 à 75 Mo pour un clip d'une minute).
Atome moov — Tesla écrit l'atome de métadonnées à la fin du fichier, le carver se positionne donc à la fin de la région mdat et analyse ce qui suit. Un moov valide avec des sous-atomes mvhd et trak analysables est un signal fort que le clip est intact.

Comment fonctionne le score de confiance ?

Les étapes d'analyse alimentent un score de confiance de 0 à 100. Sept facteurs y contribuent : marque ftyp valide, taille de mdat dans la plage attendue, présence de moov, moov analysable, plausibilité de l'horodatage (ère Tesla, de 2018 à aujourd'hui), cohérence de la taille du fichier et alignement sur les clusters. Un petit bonus s'ajoute pour les dimensions vidéo propres à Tesla (1280×960, 1280×720 ou 1920×1080).

Un score de 0 à 100 signifie que vous pouvez voir d'avance, avant d'enregistrer quoi que ce soit sur le disque, quels clips se liront parfaitement et lesquels pourraient présenter des trous. Un score supérieur à 85 signifie que le clip est structurellement complet ; en dessous de 40, quelque chose ne va vraiment pas et vous pourriez rencontrer des défauts de lecture.

Où intervient la récupération des noms de fichiers

Le file carving seul produit un dossier de fichiers MP4 aux noms génériques — clip-000001.mp4, clip-000002.mp4. C'est acceptable pour les données brutes mais très mauvais pour organiser un événement Sentinelle avec tous ses angles de caméra.

Un bon carver conçu pour Tesla fait une seconde passe sur les entrées de répertoire de la clé — y compris celles supprimées, qu'exFAT marque sans les écraser immédiatement — et fait correspondre chaque clip extrait à son nom de fichier Tesla d'origine par offset sur le disque et taille de fichier. Quand cette correspondance fonctionne, vous obtenez des clips nommés 2026-04-17_14-30-22-front.mp4, regroupés par dossier d'événement Sentinelle, avec des badges d'angle de caméra. C'est la différence entre « j'ai trouvé vos vidéos » et « voici votre événement Sentinelle, avec tous ses angles de caméra, exactement comme Tesla l'a écrit ».

Résumé en clair

Le file carving lit la clé secteur par secteur, cherche les empreintes MP4, analyse ce qu'il trouve pour valider que les fichiers sont complets, et note chacun d'eux avant que vous ne décidiez de l'enregistrer. Il fonctionne sur les clés formatées et corrompues parce qu'il ne s'appuie pas sur le système de fichiers — seulement sur les données elles-mêmes.

Sources et références

ISO/IEC 14496-12:2022 — Format de fichier média de base ISO (la spécification des atomes MP4 / ftyp / moov / mdat)
Spécification du système de fichiers exFAT de Microsoft (taille des clusters, allocation, structure des entrées de répertoire)
Manuel du propriétaire Tesla — Stockage de la caméra embarquée et du mode Sentinelle
Quel logiciel utiliser pour récupérer des vidéos Dashcam Tesla supprimées ?

Et si les clips ont été enregistrés après Tesla 2026.20 ?

Le logiciel Tesla 2026.20 chiffre par défaut les nouveaux clips Dashcam et Sentinelle sur la clé USB. Un clip chiffré n'est pas un MP4 ordinaire : l'extraire de la clé par carving récupère les données, mais le fichier ne se lira pas tant qu'il n'aura pas aussi été déchiffré. ClipSalvage fait les deux en une seule passe — il extrait les conteneurs chiffrés de l'espace non alloué et les déchiffre en MP4 lisibles, si bien qu'une clé supprimée ou formatée n'est pas une impasse.

Tesla le déploie marché par marché et il n'est pas activé partout — notamment pas en Chine continentale. Là où il n'a pas été activé, vos clips sont des fichiers MP4 ordinaires et tout ce qui figure sur cette page s'applique tel quel. Tous les détails : Chiffrement USB Tesla 2026.20 : ce que cela change pour la récupération Dashcam.