Форум ''Интернет и Право''

такс. в материалах дела есть консультация эксперта.
там он заявляет, что даже, если кто-то перезаписал created/modified временные метки аттрибутов файла, то в последствии по метаданным файла можно такую перезапись обнаружить.

подскажите, что он мог иметь в виду ?
"MFT Modified"(Entry Modified Time) ?
но ведь она также легко перезаписывается как и created/modified/accessed.

я порылся по нету и нашел, что у файла есть 4 метаданных
Object Id
Reparse Point
Extended Attributes
Alternate Data Streams
и еще security_descriptor

но ведь все они не имеют полей для указания времени. но даже если бы и имели, то злоумышленник наряду с изменением created/modified мог бы изменить и их.

и еще более конкретный вопрос - эксперт врал и можно УК307ую ?

спасибо  ::)

Ничерта не понятно.  ;D

простите.  :-\ у меня от всяких мета-шмета данных уже голова кругом идеть.  :o
чуть позже постараюсь выложить часть текста из материалов дела.

***

ну а пока что такой вопрос. вот вам дали ХДД.
предположим сегодня дата 25-06-2011.
сможете ли Вы создать на данном ХДД файлы с датами(created/modified) в промежутке 01-01-2010 до 06-06-2010 и так чтоб потом ни один эксперт не смог бы доказать, что на самом деле файлы то записывались на ХДД 25-06-2011 числа ?
(в том числе и опираясь на какие-то призрачные метаданные файлов)

***

я считаю, что сможете.
используя не хитрую технологию описанную тутай
http://www.forensicswiki.org/wiki/Timestomp

или же все-таки "наследите" ? в каких-то там метаданных файлов ?!...

***

а после этого видимо еще надо сделати дефрагментацию. а то очень дотошный эксперт кое-что сможет да и определить...  по структуре распределения файлов на диске 8)

Вообще, например в Unix-системах есть такая команда как touch, она позволяет менять время изменения/последнего доступа к файлу.

http://www.opennet.ru/man.shtml?topic=touch&category=1 (http://www.opennet.ru/man.shtml?topic=touch&category=1)

Надеюсь как-то прояснит ситуацию.

Эксперт может узнать количество обращений к файлам, если файловая система NTFS.
Всё журналируется.
Однако вполне реально создать такие файлы, отключив параметр "Время последнего доступа" и все функции индексации NTFS.
Только придётся применить это ко всем файлам на диске, чтобы всё было чистенько.

Я думаю, вы заблуждаетесь.

Игорь, заблуждается по первой части или по второй?..

сразу вопросы
1) а что дает эксперту информация о количестве обращений к файлу ?
ну один раз, ну сто раз обратились и что ?
да и потом, если инфо об количестве обращений куда-то пишется, то эту самое инфо также можно изменить.
2) куда именно журналируется ? хотите сказать по каждому файлу ведется без ограничений по количеству записей журнал ?
и опять-таки -  а что запрещает и сам журнал сфальсифицировать ?
3) Только придётся применить это ко всем файлам на диске, чтобы всё было чистенько.

уточните, что именно имеете в виду.
можно сфальсифицировать. потом запустить дефрагментацию, но на пол-пути ее прервать. это не решит проблему ?

и еще

Однако вполне реально создать такие файлы, отключив параметр "Время последнего доступа" и все функции индексации NTFS.

я так понимаю Вы предполагаете создание файлов через win32 api и прочие квази-директные инструменты доступа к ХДД.
раз уж говорите об NTFS.

NTFS - это грубо говоря надстройка.



я же имею в виду прямой доступ к данным на ХДД.
вот как БИОС. какое там прерывание int(13) штоле ?

изменение всех дат создания/модификации файла. различные способы:
СПОСОБ ПЕРВЫЙ
в программе "total commander" правой кнопкой мышки выделить нужное количество файлов и папок,
затем открыть вкладку "файлы" и выбрать надпись "изменить атрибуты"
в открывшемся окошке поставить галочку "Обрабатывать содержимое каталогов" - для того, чтобы все файлы в выделенных каталогах изменили дату. далее, поставить галочку в поле "изменение даты/времени" и выбрать нужную дату изменения файлов, для более тонкой настройки, ниже есть место для галочки "использовать плагины" поставьте ее и выберите нужный вам плагин, а именно: дату создания файла, дату изменения файла и дату последнего доступа к файлу... поставьте напротив них нужные вам значения, и нажмите кнопочку "OK"
можете проверить в свойствах файла. везде будет измененная дата, именно та, которую вы укажите.
СПОСОБ ВТОРОЙ
данный способ предусмотрен создателями системы WINDOWS корпорацией MICROSOFT
измените текущую дату на часах компьютера, затем, откройте браузер "опера". а рядом откройте папку с нужным вам файлом и выберите любой файл для изменения его даты создания, нажмите на файл левой кнопкой мышки и. удерживая клавишу мыши, перетащите файл в окно браузера "опера", затем, отпустите мышку, появится окно "сохранить файл"... и, собственно говоря, сохраняйте его на свой компьютер. Вы увидите, что дата создания на вновь сохраненном файле будет именно той, которая установлена в момент сохранения файла на системных часах компьютера.
затем можно вернуть измененную дату компьютера в нормальное состояние в соответствие с московским временем. Скаченные через оперу файлы из интернета так же обретают дату создания в соответствии с системной датой на часах windows.
СПОСОБ ТРЕТИЙ.
UNIX СИСТЕМА, КОМАНДА "touch"
1. Поставить на файл определенную дату, формат: год месяц число час минута.
touch -t200811182005 apach.php
Или так:
touch -d 'Jan 31 2007 12:34:56' apach.php
2. Сделать file5 того же времени, что и file4:
touch -r file4 file5
3. Сделать file7 30 секундами старше, чем file6:
touch -r file6 -B 30 file7
4. Сделать file7 30 секундами моложе, чем file6:
touch -r file6 -F 30 file7
СПОСОБ ЧЕТВЕРТЫЙ. ПРОГРАММНОЕ СРЕДСТВО ЯЗЫКА PHP
То же самое можно сделать средствами PHP функцией touch():
touch('/usr/www/site.ru/www/index.php', filemtime('/usr/www/site.ru/www/show_kvit.php'));
СПОСОБ ПЯТЫЙ
иные способы: возможно использование редакторов диска, скриптов и прочих программ,
которые созданы специально для изменения даты в файлах, либо имеют такую функцию, незапрещенную законодательством РФ.
В СВЯЗИ С ЭТИМ, ОПРЕДЕЛИТЬ ТОЧНОЕ И ПРАВИЛЬНОЕ ВРЕМЯ СОЗДАНИЯ-МОДИФИКАЦИИ ФАЙЛОВ НЕ ПРЕДСТАВЛЯЕТСЯ РЕАЛЬНО ВОЗМОЖНЫМ.

Спасибо за подробную и полезную инфу!!!

Представляется. RTFM.

при скачивании собственного файла по протоколу http через браузер opera
 все, хоть 11, хоть 25, хоть 99 меток файловой системы ntfs обнуляются.
вернее, перезаписываются текущей системной датой виндовс, которую можно сделать любой вне зависимости от московского времени
p.s. с юр. точки зрения: даже по одному атрибуту файла, если информация в документах уже могла быть хоть как-то модифицирована от изначальной версии, перезаписана, значит любой байт, любая строчка файла может быть аналогично перезаписана теми же экспертами. так как изымались файлы без описи их свойств (хотя бы общедоступных).
p.p.s обычно эксперт имеет договор с МВД о проведении экспертиз, а значит - эксперт может являться заинтересованным лицом в пользу власть имущих структур, что приведет к отводу эксперта и признании его экспертизы неправомерной Статья 70 УПК.

Озвучьте свою позицию: кто, с точки зрения теории заговора, должен делать экспертизу?

по теории заговора: у нас много случаев несправедливо осужденных.
по экспертизе: экспертиза должна четко сказать: что дата создания файла может быть неверно определена из-за технической возможности ее изменить. вот тогда любая экспертиза станет правомерной в данном вопросе.
если продвинутый пользователь системы или тот же крекер заранее знает как менять все метки и атрибуты файлов, то он это может сделать на своих дисках за несколько дней до возможного изъятия у него техники, сто раз переустановив и перезаписав файлы по разным системам, включая прямой доступ к байтам файловой системы и тот же браузер OPERA - который стирает все метки всех файловых систем напрочь.
 любая экспертиза в данной ситуации по меткам и датам создания файлов будет заведомо ложной. так как эксперт заведомо знает про все метки и атрибуты, которые можно изменить, но на суде скажет, мол, "это невозможно" что как раз и создает повод для отвода эксперта и так же для привлечения его за заведомо ложные показания.
отвечая конкретно на ваш вопрос: любой эксперт может делать экспертизу, но делать ее нужно правильно, оповещая в заключении своем о возможной недостоверности проведенных исследований с подробным пояснением оного.
компьютер - это не бумажка, на которой остаются следы чернил и вы это прекрасно понимаете, логи не в счет.

Я понял. Вы ушли от ответа. Спасибо.

человек, имеющий глубокие познания в данной области, и не являющийся заинтересованным лицом.
п.с. несостоявший, непривлекавшийся, неслуживший в органах, не замеченый в противоправных деяниях, с чистой репутацией, признанной обществом. не создающий вирусов с целью создания к ним антивирусов.

С какого перепугу он будет делать такую экспертизу? Закупать оборудование и софт за свой счет для производства подобных экспертиз?

если человек любит справедливость и ради справедливости устанавливает истину. вот это и есть реально независимый эксперт. а деньги такой эксперт может продажей булочек зарабатывать, для себя.

п.с.
про эксперта - это уже отвлечение от темы.
я написал как изменить все атрибуты дат созданий-модификаций файлов. и эксперт это тоже прекрасно знает, но скрывает в большинстве случаев от суда, что увы, печально и незаконно со стороны эксперта - кем бы он там ни являлся на самом деле, хоть булочником - хоть деньгамизависимым от экспертиз человеком.

т.е. вы не видите решения проблемы (о чем я и писал выше).

хм, пожалуй, не буду оригинальным. победим коррупцию - увидим решение проблемы.
социальных "булочников", радеющих за страну и за справедливость сейчас реально мало.

кстати, по теме беседы.
попробуйте определить дату создания этого файла.
это просто пустой текстовый документ. не вирус и не программа.

Я бы попросил огласить весь список "социальных "булочников"".  ;D

К теме скатившейся дискуссии: В данном случае, правовые вопросы имеют приоритет над техническими. Пока не будут решены они, решать технические вопросы нет смысла (т.к. они будут заведомо неприменимы в целях доказывания виновности/невиновности).

;D

значит если нет живых свидетелей или видеозаписей, что это именно человек "ХХХ" создавал файл, и именно 22 декабря 2222 года в 22 часа 22 минуты он находился за компьютером, на котором создавал файлы - то техническая сторона вопроса в целях доказывания чего-либо неприменима.
Про видеозаписи можно сказать аналогично, как это было у депутатов - "человек похожий на ххх изображен на видеозаписи в момент совершения злодеяния" Выходит, что статья 273 УК мертвая изначально.

я лишь уточню - Вы озвучили квази-директные механизмы изменения данных на ХДД. при них кое-какие помарки будут. (или должны быть)

а можно к ХДД на прямую "стучаться" - через прерывания.
при изменении временных меток аттрибутов файлов таким способом по идее и помарок никаких не будет.

я кадата уже озвучивал целый ряд требований - сертификация, аккредитация и прочая псевдо-легализация.

а по Вашим, Игорь, рассуждениям всё должно опираться лишь на честность специалиста-эксперта.
увы, извиняйте, мой печальный опыт и опыт других граждан показывает, что честность со стороны эксперта не всегда уместна када идет речь о суммах под 1млн. рублей...

если мы говорим о жилом помещении, то надо соблюсти и еще некоторый ряд требований
1) суд.постановление на ведение видео-съемки. сертификация и оборудования для видео-схемки и самого видео-оператора
2) еще суд.постановление на проход в жил.помещение

а также
3) сама видео-съемка должна вестись в присутствии пристава, нотариуса или какого другого лица, которое по законам наделено полномочиями таковые видео-съемки удостоверять.
(простые граждане-понятые не являются экспертами ни в технической ни в юридической области. им может окошко в компьютере померещится. а не удостоверенная видео-съемка подвергнутся модификациям.)
4) по проведении видео-съемки видео-кассета должна изыматься прокурором.
упаковываться в специальную коробочку, опять таки сертифицированную по многим стандартам на противодейстиве незаконному доступу. коробочка опломбировываться прокурором...

ну итд....  ;D

Игорь, Вы подменяете понятия.

есть реальное время - о котором идёт речь в УК и УПК. и именно от реального времени зависит истекли ли сроки по привлечению к уг.ответственности.
и именно исходя из реального времени можно строить алиби итд.

а есть системное время компьютера.

плюс системное время компьютера может делиться на
1) более-менее совпадающее с реальным временем
2) и сфальсифицированное недоэкспертами

скачайте вышеприложенный к моему сообщению файлик. и попробуйте найти хоть одну помарку, указывающую на его реальную дату создания... вот вам результат без прямого стучания к диску.
дам подсказку, что его реальная дата создания явно не сегодняшняя :)
любой эксперт на данном техническом эксперименте спотыкнется и тут же наступит УПК 70, либо потяжелее - УК о фальсификации экспертизы...

т.е. допустим реальное время файла 1990 год. текущее 2012 год, прошло 22 года после создания файла.
дело возбуждено в 2012 году. значит, что срок давности преступления истек?

Вы не учли один момент.
помарки не в самом файле, а в структуре NTFS будут или могут быть.
в зависимости от того какой квази-директный доступ будет юзаться.

чтоб ответить, поясните на каких основаниях Вы заявляете "т.е. допустим реальное время файла 1990 год.", а не "т.е. допустим системное время компьютера при создании файла 1990 год."

допустим, есть два свидетеля реального времени.

тогда
1) суд должен поверить свидетелям. а это еще не факт.

2) от преступления зависит. например по ук242.1, то кажется достаточно доказать факт хранения, а насчет контрафакта и ук242 еще и факт использования.
и еще от сроков давности по преступлению.

то есть по ук242.1 осудят да еще и свидетелей в придачу как сообщников  :D


а по контрафакту и ук242 - если свидетели подтвердят(и им поверят), что modified/accessed тоже в 1990ом, то дельце должны закрыть.

получается по логике возвращаемся к самому началу: если нет реального доказательства, что это именно подсудимый
1) скопировал на свой диск запретный файлик
2) заведомо знал о хранении запретного файлика
то он - невиновен, так как доказать оное нереально с изъятого домашнего компьютера, к которому мог иметь доступ кто угодно.
но почему-то в рф зачастую виновность обосновывается очень просто - "не понравилось лицо подсудимого самому судье".

правильно все рассуждаете.

ну а "не понравилось лицо подсудимого самому судье" - эть уже не ко мне.
скорее к судьям и во многом к адвокатам.

но почему-то в рф зачастую виновность обосновывается очень просто

тут Вы не совсем правы.
я лично знаю одного дя... одного деятеля тут с форума, которому очень хотел помочь,
но он слушал не меня, а своего адвоката. признал вину. залетел на 100тыщ.р.
а что в такой ситуации оставалось судье кроме как не закрыть дело в связи с примирением-раскаянием ?! ведь правообглодателям вымогаемую сумму выплатил.
хотя чо там с делом еще не знаю.  я б на месте прокурора жэсточайшэ оспаривал бы.