Numéro de série de volume

Le numéro de série de volume (volume serial number, VSN) est un identifiant écrit dans le secteur d'amorçage d'un volume lors de son formatage. Windows l'affiche sous forme de deux groupes de quatre chiffres hexadécimaux, par exemple avec vol ou dir. Sur NTFS, il est stocké sur 8 octets à l'offset 0x48 du secteur d'amorçage du volume, dont Windows n'affiche que les quatre octets de poids faible ; FAT32 conserve une valeur de 4 octets à l'offset 0x43.

Le VSN appartient au système de fichiers, pas au matériel. Reformater une clé USB lui attribue un nouveau VSN, sans rapport avec le numéro de série du périphérique que conserve l'historique USB. Il peut aussi être modifié volontairement, par exemple avec Sysinternals VolumeID.

Sa valeur forensique vient des artefacts qui l'enregistrent. Les fichiers LNK (et les raccourcis contenus dans les Jump Lists) stockent le VSN du volume qui héberge le fichier cible, et les fichiers Prefetch consignent les numéros de série des volumes utilisés par un exécutable. Sur les systèmes où la clé EMDMgmt liée à ReadyBoost existe, les noms de ses sous-clés incluent le VSN des volumes amovibles, et le journal Microsoft-Windows-Partition/Diagnostic peut stocker les octets bruts du secteur d'amorçage, dont on peut extraire le VSN.

Faire correspondre un VSN entre ces sources permet de rattacher un fichier ouvert depuis E:\ à un volume précis, puis à un périphérique précis dans l'historique des périphériques USB — l'étape clé pour prouver que des fichiers ont été consultés depuis un support amovible donné.