Dans 20 ans, pourra-t-on encore ouvrir vos archives photographiques ?

Vingt ans, à l’échelle d’une photographie, ce n’est pas long. Un tirage de 2006 se regarde sans difficulté. Un négatif de 1986 se numérise. Mais un fichier de 2006, rangé à l’époque dans le format d’un logiciel qui n’existe plus, est parfois plus difficile à rouvrir qu’un négatif de quarante ans.

Les deux premiers articles de cette série parlaient d’intégrité : s’assurer que les octets d’un fichier n’ont pas changé, et que les copies sont bonnes. Celui-ci pose une question différente, et plus sournoise : même intactes, vos archives pourront-elles être ouvertes, et par qui ?

C’est la question de la transmission. Celle d’un photographe qui pense à ses ayants droit, d’un studio qui change d’outils, d’une association ou d’une institution qui reçoit un fonds et devra s’en occuper bien après le départ de ceux qui l’ont constitué.

Ce qui rend une archive illisible

Une archive peut devenir inaccessible sans qu’un seul octet ne soit abîmé. Les causes sont connues.

La dépendance à un logiciel. Beaucoup d’outils rangent les fichiers dans un conteneur qui leur est propre, qu’eux seuls savent ouvrir. Tant que le logiciel existe, tout va bien. Le jour où il n’est plus mis à jour pour le système du moment, l’archive devient une boîte fermée.

Les formats opaques. Un format dont la description n’est pas publiée ne peut être relu que par ceux qui le connaissent. Si personne ne l’a documenté, personne ne pourra écrire demain le programme qui le relira.

La disparition d’un éditeur. Les entreprises ferment, sont rachetées, abandonnent des produits. Une archive qui n’a de sens que dans l’application d’un éditeur partage son destin.

Les mots de passe et le chiffrement. Une archive chiffrée est protégée contre les regards indiscrets, et aussi contre ses propres héritiers si la clé n’a pas été transmise. Le chiffrement ne pardonne pas : sans la clé, il n’y a pas de porte dérobée.

L’absence de documentation. Même avec des formats ouverts, il faut savoir ce que contient l’archive, comment elle est organisée, et dans quel ordre faire les choses pour la restaurer. Ce savoir, s’il n’est que dans la tête d’une personne, part avec elle.

Une idée simple

De ces risques découle un principe :

Une archive véritablement pérenne ne devrait pas dépendre de la survie du logiciel qui l’a créée.

Cela ne veut pas dire que le logiciel est inutile. Il rend le travail quotidien plus sûr et plus simple : vérifier, planifier, envoyer, restaurer. Mais le jour où il n’est plus là, l’archive doit rester compréhensible avec des outils ordinaires et des descriptions publiques.

Ce qu’il y a dans une archive Obscura Vault

Obscura Vault range chaque projet dans une archive .obf. Ce n’est pas un fichier fermé : c’est un dossier, qui contient des fichiers aux formats ouverts et un inventaire lisible.

• Le contenu : tout le dossier du projet, dans une archive tar compressée en zstd (format par défaut ; tar.gz, tar sans compression et zip sont aussi proposés).
• Le manifeste (manifest.json) : l’inventaire, en JSON, un format texte lisible dans n’importe quel éditeur. Il liste chaque fichier, avec son chemin, sa taille et son empreinte SHA-256, ainsi que l’empreinte du contenu, la date de création et le logiciel qui l’a écrit.
• La signature (signature.ed25519) : une signature Ed25519 des octets exacts du manifeste.

Chacune de ces briques est un standard public, décrit par un texte que n’importe qui peut lire :

Le format .obf lui-même n’est pas nouveau : c’est celui d’Obscura Flow 2.0.8, sans modification. Vault garde des archives écrites par Flow comme preuve de compatibilité, et chaque version de Vault vérifie qu’elle sait encore les lire, en vérifier la signature, les déchiffrer et les restaurer à l’identique. Les détails sont sur la page Le format .obf et dans le chapitre Le format .obf du guide.

Sans Obscura Vault : ce qui est vrai, exactement

Il serait facile d’écrire « vos archives s’ouvrent sans nous ». C’est vrai en partie. Voici précisément ce qui est possible aujourd’hui, d’après le guide.

Une archive non chiffrée reste exploitable avec les outils standard d’un Mac :

• lire l’inventaire : ouvrir manifest.json dans un éditeur de texte ;
• contrôler le contenu : dans le Terminal, shasum -a 256 sur le fichier de contenu doit donner la valeur payloadChecksum du manifeste ;
• extraire les fichiers : le contenu est une archive tar, tar.gz ou zip ordinaire, et le tar livré avec macOS sait lire une archive .tar.zst ;
• contrôler chaque fichier extrait : shasum -a 256 sur un fichier doit donner l’empreinte que le manifeste indique pour lui.

Autrement dit : sans Vault, vous retrouvez vos fichiers et vous pouvez prouver qu’ils sont ceux qui ont été archivés, fichier par fichier.

Vérifier la signature à la main est possible, mais demande un outil qui sache vérifier une signature Ed25519, et la clé publique de l’archive (Vault l’exporte, et ce fichier n’est pas secret).

Une archive chiffrée demande sa clé de chiffrement et un programme qui connaisse le découpage du contenu chiffré (des blocs de 4 Mio, chacun authentifié). Les outils standard d’un Mac ne le font pas d’office. Aujourd’hui, une archive chiffrée se restaure donc avec Obscura Vault, ou avec Obscura Flow, qui lit le même format. Ce n’est pas un défaut caché : c’est le prix du chiffrement, et c’est pourquoi il est facultatif.

Le chiffrement : une protection à double tranchant

Chiffrer une archive, c’est la rendre illisible à quiconque n’a pas la clé. C’est utile pour une copie posée chez un fournisseur de stockage en ligne, ou pour des images sensibles. Mais c’est aussi accepter une règle sans exception : perdre la clé, c’est perdre l’archive. Le guide le dit sans détour : il n’existe aucun moyen de récupérer une archive chiffrée sans sa clé, pour personne.

Vault organise ce risque au lieu de le cacher :

• les clés sont rangées dans le trousseau du Mac, pas dans la bibliothèque : une sauvegarde de la base ne les contient pas, et perdre le Mac sans les avoir exportées, c’est les perdre ;
• chaque clé s’exporte dans un fichier chiffré par une phrase de passe d’au moins 12 caractères ;
• tant que vos clés n’ont pas été exportées, Vault le rappelle, et le tableau de bord ne se déclare pas « Tout est vérifié » sans clés d’archives exportées.

Le chiffrement ne protège que le contenu. Le manifeste et la signature restent lisibles : on peut vérifier une archive chiffrée sans sa clé, mais pas la restaurer.

La clé de signature, elle, n’ouvre rien : la perdre ne rend aucune archive illisible. Mais sur un autre Mac qui ne la connaît pas, vos archives seraient « non vérifiables » et refusées à la restauration tant que sa clé publique n’a pas été importée. Là encore, exporter suffit. Le chapitre Clés et sécurité détaille chaque cas.

Transmettre, pas seulement conserver

Une archive pérenne, c’est une archive qu’une autre personne peut reprendre. Quelques habitudes y contribuent, avec ou sans Vault :

• Choisir le chiffrement en connaissance de cause. Une archive non chiffrée, rangée sur un disque que vous contrôlez, est plus facile à transmettre. Le chiffrement se justifie surtout pour les copies confiées à un tiers.
• Exporter les clés dès leur création, en garder au moins deux copies en deux lieux, jamais dans le même dossier que les archives, et ne jamais les envoyer par e-mail. Ranger la phrase de passe séparément du fichier.
• Écrire où sont les choses. Où sont les disques, où sont les copies hors site, où sont les fichiers de clés, qui connaît les phrases de passe. Une note claire, rangée là où vos proches ou vos successeurs la trouveront, vaut mieux que la meilleure mémoire.
• Garder la documentation avec l’archive. Une copie de la description du format à côté des disques coûte peu, et répond d’avance à la question « comment on ouvre ça ? ».
• Tester une restauration de temps en temps, dans un dossier à part : c’est la seule façon de savoir que les clés et les instructions sont les bonnes.

Une dernière précision, pour être complet : Vault préserve les octets de vos fichiers ; il ne les convertit pas. Une archive pérenne de fichiers RAW garde des fichiers RAW. La question de savoir si un format d’image propriétaire sera encore bien lu dans vingt ans est une autre question, que vous trancherez selon vos fichiers (en gardant par exemple, à côté des originaux, des versions dans un format largement documenté). L’archive, elle, garantit que l’original restera intact et récupérable.

Ce qu’il faut retenir

• Une archive peut devenir illisible sans être abîmée : logiciel disparu, format opaque, clé perdue, savoir non transmis.
• Une archive pérenne ne devrait pas dépendre de la survie du logiciel qui l’a créée.
• Les archives .obf reposent sur des standards publics : tar, zstd, JSON, SHA-256, Ed25519, et AES-256-GCM quand on choisit de chiffrer.
• Sans Vault, une archive non chiffrée se lit, s’extrait et se contrôle fichier par fichier avec les outils d’un Mac ; une archive chiffrée demande sa clé et un programme qui connaisse son découpage.
• Le chiffrement protège, mais perdre la clé, c’est perdre l’archive : exportez vos clés et dites où elles sont.

Reste une dernière question : le jour où quelqu’un doute qu’une photographie soit bien celle qui a été archivée, comment le prouver ? C’est le sujet du dernier article de la série.

Article suivant de la série : Peut-on prouver qu’un fichier photographique n’a pas été modifié ?

Article précédent : Vous avez trois copies de vos photos. Mais savez-vous si elles sont encore intactes ?

• archivage long terme
• patrimoine photographique
• formats ouverts
• chiffrement