следующая тема »

[zero70]

Уважаемые юристы!

Требуется помощь в прояснении некоторых вопросов.

1. Обвинение предъявлено в разглашении гостайны на Интернет-форуме crime.vl.ru, в материалах дела нет материалов с указанного сайта, а есть акт обследования и протокол осмотра сайта vlcrime.net на компьютере без названия и номера. Законно ли это и как по закону закрепляются Интернет-доказательства?

2. Изъятые накопительные устройства компьютеров обследовал следователь и специалист и составлялся протокол осмотра в здании УФСБ, в первый раз обследовали с помощью программы diskMETA-Personal 7 UA  (не понятного происхождения), второй раз следователь и другой специалист просматривали содержимое компьютеров в другой правоохранительной структуре. Результаты осмотра оказались разные. Законны ли действия следователя? Или необходимо заключение Компьютерно-технической экспертизы?
 
3. Изъятый сотовый телефон на следственном действии при выходе в Интернет по GPRS выдал другой IP-адрес. Можно ли считать телефон не допустимым доказательством?

С большим уважением Ю.В.

[Igor Michailov]

diskMETA-Personal 7 UA  

C сайта производителя:
_http://www.diskmeta.com/dmpers/

diskMETA-Personal

diskMETA-Personal - бесплатная версия системы.

     В честь своего семилетия компания МЕТА cделала подарок своим пользователям. Программа diskMETA стала бесплатной для персонального некоммерческого использования.

     Данная версия системы обеспечивает поиск документов в форматах .txt, .html, .doc, .rtf, .xls, .ppt, .pdf.
     Позволяет проиндексировать до 1 000 000 документов.
     Максимальное количество создаваемых поисковых индексов - 100.

     Система снабжена модулями поддержки словоизменения для русского, украинского и английского языков.

1. Обвинение предъявлено в разглашении гостайны на Интернет-форуме crime.vl.ru, в материалах дела нет материалов с указанного сайта, а есть акт обследования и протокол осмотра сайта vlcrime.net на компьютере без названия и номера. Законно ли это и как по закону закрепляются Интернет-доказательства?

Способы закрепления «Интернет-доказательств» описаны в книге Федотова Н.Н. Форензика – компьютерная криминалистика. стр.232-233
Однако, при проведении осмотра неопытным специалистом, возможны ошибки, которые приведут к тому, что протокол осмотра или акт обследования будут исключены из числа допустимых доказательств.
Вот, для примера пара камешков (из книги Федотова Н.Н. Форензика – компьютерная криминалистика.)  про которые многие «специалисты» (именно так, специалисты в кавычках) просто забывают:

«…
*подавляющее большинство веб-страниц – динамические, их контент зависит от времени, местоположения пользователя, его браузера, ряда случайных факторов;
…
*доступ к информации в Сети производится через посредство множества технических средств, о большинстве из которых не известно ничего определенного;
…
*существует много способов ввести в заблуждение пользователя, просматривающего информацию, - относительно самого факта размещения информации, ее содержания, адреса, времени;…»

Кроме того, раз осматривались некие сведения составляющие гос.тайну видимо у понятых, присутствовавших при осмотре/обследовании  должен был быть допуск для работы со сведениями составляющими гос.тайну (иначе, имхо, получается что следователь сам её также разгласил).

2. Изъятые накопительные устройства компьютеров обследовал следователь и специалист и составлялся протокол осмотра в здании УФСБ, в первый раз обследовали с помощью программы diskMETA-Personal 7 UA  (не понятного происхождения), второй раз следователь и другой специалист просматривали содержимое компьютеров в другой правоохранительной структуре. Результаты осмотра оказались разные. Законны ли действия следователя? Или необходимо заключение Компьютерно-технической экспертизы?
 

Правильнее конечно было назначить экспертизу. Но вероятно никто не подписался её делать. Предполагаю, что проведение подобной экспертизы повлечет особые требования к оборудованию, программному обеспечению, эксперту. В МВД вряд ли удастся соблюсти все требования по обработке сведений составляющих гос.тайну. А в ФСБ нет экспертов (предполагаю, что нет).

3. Изъятый сотовый телефон на следственном действии при выходе в Интернет по GPRS выдал другой IP-адрес. Можно ли считать телефон не допустимым доказательством?

Нет. Если IP входит в диапазон вашего оператора связи - нет. Так как при каждом новом соединении с Интернет вашему телефону присваивается новый IP из диапазона адресов зарезервированным за оператором сотовой связи.

[guru]

1) Судя по всему протокол осмотра сайта Вам обжаловать не удастся, спецы из УФСБ очень хорошо и грамотно работают. Ошибок, как правило, не допускают.
2) КТЭ они обязательно проведут в дальнейшем. Здесь я не согласна с Игорем, так как все эксперты ФСБ имеют допуск к гос.тайне, поэтому они имеют полное право проводить любые экспертизы в этой области.
3) Сотовый телефон имеет ещё IMEI, который прописывается у оператора при каждом сеансе связи.

[Николай Николаевич Федотов]

Законны ли действия следователя? Или необходимо заключение Компьютерно-технической экспертизы?

По-хорошему, надо бы провести экспертизу. Но осмотр тоже сойдёт. Особенно по такому мелкому делу в глухой провинции.
 

Изъятый сотовый телефон на следственном действии при выходе в Интернет по GPRS выдал другой IP-адрес. Можно ли считать телефон не допустимым доказательством?

Здесь хотелось бы побольше технических подробностей. Что за действие? Что значит "выдал"? Какой именно адрес, из какой подсети?

А для получения нормальной консультации желательно показать материалы дела.

...спецы из УФСБ очень хорошо и грамотно работают. Ошибок, как правило, не допускают.

Ой, не смешите меня!

[zero70]

Большое спасибо за ответы!
Вот что есть по телефону в деле:
Что есть у следствия:

услуга GPRS у абонента № 89… была подключена. Абонент № 89… осуществлял  соединение с сетью Интернет используя GPRS 14 сентября 2007 с 07:47 по 07:59, IP-адрес соединения 80.243.78.40.
Логии сессии не сохранились.
Коммуникационное оборудование не синхронизируется с сервером мирового времени. Расхождение составляет не более 3-5 секунд.
Распечатка тех. Соединения:
14.09.2007  7:59:47   102   349148   gprs   Исходящая GPRS Internet Класс2

80.243.78.40 14 сентября 2007 г. в 7 часов 56 минут выделялся для GPRS-соединению, предоставить МАС-адрес не представляется возможным по ??.
?? фикатором GPRS-соединения является номер MSISDN, т.е. телефонный ?? подвижной связи.

Следственный экспиримент
Лица, участвующие в следственном эксперименте, были заранее предупреждены о  применении при производстве следственного действия технических средств: внешний инфракрасный порт «irmate 410w», ноутбук «Nautilus W550», телефон Nokia 6021 (PIN-код  № 3….., абоненский номер 8…….., изъятый у М., модуль USB-блютуз «BlueSoleit», установочный диск с драверами к блютуз, устройство для телефона  Nokia 6021, настройки GPRS-Internet -  свидетелем и следователем.
Следственным экспериментом установлено: телефон Nokia 6021 (IMEI № 3…..) c  абонентский номер 8….. Упакованный в полиэтиленовый пакет, который опечатан нитью и бумажной биркой с оттиском печати «Для пакетов» следственного отдела УФ…. На бирке имеется три подписи и пояснительная надпись «телефон мобильный Nokia 6021 c  абонентским номером 8…..», целостность упаковки и бирки не нарушена, признаков вскрытия не имеется. В присутствии понятых и специалиста упаковка вскрывается, телефон извлекается из пакета. Телефон активируется, в нем включается функция инфракрасный порт и через внешний инфракрасный порт «irmate 410w» телефон соединяется с ноутбуком, используемом в эксперименте. Данный телефон используется в эксперименте в качестве модема. После этого ноутбук через телефон соединяется с Интернетом. Соединение не происходит, инфракрасный порт в телефоне и внешний инфракрасный порт отключаются. (Нужно проверить были на счету деньги??, если были, кто платил??).
   После этого в ноутбук установили драйвера к внешнему модулю USB-блютуз, телефон и ноутбук соеденили через «блютуз» при помощи программного обеспечения, поставляемого ?? «блютуз». В ноутбуке задали необходимые настройки для выхода в Интернет, для этого вошли в свойства модемов и задали строку конфигурации «AT+CGDCONT=1, «IP», «internet.ntc»», которую предварительно взяли на официальном сайте компании ОАО «Новая телефонная компания». С помощью программного обеспечения поставляемого совместно с «блютуз» осуществляем подключение к интернету. После соединения с Интернетом, заходим в свойства соединения и задаем адреса DNS-серверов, после чего набираем адрес «www.crime.vl.ru», в появившемся окне нажали ссылку «Форум», появилась надпись «на crime.ru форума больше нет. Рекомендуем вам воспользоваться форумом vlcrime.net. Crime.ru никак не связан с владельцами данного форума». Переходим по ссылке на сайт «www/vlcrime.net», в нем нажимаем на ссылку «Аресты таможенников в Восточном» страница 77. В конце страницы в окне для сообщений набираем текст «+1 Совершенно согласен. Вор должен сидеть в тюрьме!!!», указав в строке пользователя – Guest2008, в строке e-mail – Guest2008@mail.ru и нажимаете кнопку отправить. После этого происходит автоматический переход на главную страницу. Заходим по ссылке «Аресты таможенников в Восточном» страница 77, где видем что появилось новое сообщение от пользователя Guest2008 «+1 Совершенно согласен. Вор должен сидеть в тюрьме!!!», оставленное в 16 часов 53 минуты 25.06.2008г., с IP-адреса «80.243.79.---» После этого прерываем связь с Интернетом и отключаем используемое в эксперименте оборудование.
   В результате эксперимента достигли цели, с которой он проводился, то есть телефона  Nokia 6021 (IMEI  № 3…), с абонентским номером 8…., изъятый у М., возможно было использовать в качестве модема для размещения сообщения на сайте «www.crime.vl.ru» в разделе «Форум» в теме «Аресты таможенников в Восточном».
   По окончанию проведения следственного эксперимента  телефона  Nokia 6021 (IMEI  № 3…) с абонентским номером 8…., изъятый у М, упаковывается в полиэтиленовый пакет, который опечатывался нитью и бумажной биркой с оттиском печати «Для пакетов» следственного отдела УФ.., бирка подписывалась всеми участвующими лицами. На бирку наносится пояснительная надпись «телефона  8…., изъятый у М.».
   В ходе следственного эксперимента  проводилось соединение с интернет

[zero70]

Уважаемые участники, прошу прощение за опечатку в слове эксперемент.

По протоколу обследования сайта:

Осмотр интернет-сайта Владивостокского центра изучения организованной преступности www.crime.vl.ru в здании УФСБ в каб.**.
Участвующим лицам объявлено о применении технических средств: Монитор Samsung Syne Master 710N, системный блок без названия, клавиатура НР, манипулятор типа мыщь Genius, ADSL модем ?? Star-net, принтер Canon LBP-800
 
Осмотром установлено: в результате набора адреса в адресной строке программы «Интернет Эксплорер» открывается страница сайта Владивостокского центра по изучению организованной преступности, которая далее выдается на печать, на 7 листах. Затем осуществляется переход по ссылке «Форум», находящейся на данной странице (стр. №5 распечатки). В результате на экране отображается надпись: «На crime.vl.ru форума более нет. Рекомендуем вам воспользоваться форумом vlcrime.net. crime.vl.ru ни как не связан с владельцами данного форума. Страница распечатывается, на 1 (одном) листе. Через несколько секунд осуществляется автоматическая переадресация на страницу форума vlcrime.net. При этом в адресной строке отображается адрес http//www/vlcrime.net/list.php?1. Указанная страница распечатывается, на 3 (трех) листах.  На указанной странице отображены разделы форума, среди которых находится раздел с названием «Аресты таможенников в Восточном».При переходе в указанный раздел отображается первая страница темы из 66 имеющихся. Страница выводится на печать, на 8 (восьми) листах. При переходе на страницу №50 отображаются публикации ряда пользователей, среди них имеется сообщение пользователя «Сотрудник» от 14 сентября 2007 года, размещенная в 07 часов 56 минут местного времени. Страница № 50 выводится на печать, на 13 (тринадцати) листах. Сообщение « Сотрудника находится на странице №№ 5-8 распечатки.
Приложение: распечатки страниц форума на 33 (тридцати трех) страницах.

Вопросы:
- почему в здании УФСБ?
- не указан номер компьютера, неописано содержание носителей информации.
- сертифицирован ли компьютер, лицензионные ли программы?
- знания компьютера понятыми?
- не указано само подключение компьютера в сеть Интернет

является это доказательством, ведь пользователь "Сотрудник" скинул на форум сайта crime.vl.ru, а фактически обследовался сайт vlcrime.net

С уважением.

[zero70]

Это первый протокол

Протокол осмотра предметов (документов).
   
Старший следователь
Понятые:
с участием специалиста ***,
в соотвествии  со ст.164 ч.1, ст.176 ч.1,4,6, ст. 177 УПК РФ в служебном кабинете №*  произвел осмотр предметов, изъятых в ходе обыска у М. **2008 г.
Присутствующим лицам объявлено о применении  технических средств: монитора «Samsung», системного блока «Пуск» №   РСВО-6-2004-13324, «Pentium 4» 3Ггц, принтера «НР-1300», клавиатуры «Cherry», манипулятора «мышь», ноутбук «Acer Aspire 5630» « Intel T5500» 1.66 Ггц, переходник USB 2.0 TO IDE, фотоаппарат  «Nikon Coolpix S200» специалистом и следователем.
   Осмотром установлено: черный полиэтиленовый пакет, опечатанный скотчем, белой нитью и бумажной биркой с оттиском печати «Для пакетов», имеющей подписи участвующих в обыске лиц. Свободного доступа к содержимому пакета нет, упаковочная бирка не повреждена, признаков вскрытия упаковки не имеется. В присутствии понятых и специалиста пакет вскрыт. В нем обнаружено:
Черная сумка, в которой находится ноутбук «Samsung» Р30, серийный номер Y0809REX700079M, в стальном корпусе, бывший в употреблении и источник питания серийный номер CNBA4400162ABJ6F42P3734, с кабелем. С данного ноутбука снимается жесткий диск и через переходник подсоединяется к используемому в осмотре служебному ноутбуку.  Жесткий диск «Hitachi», модель IC25N040ATMR04-0, серийный номер ?KBN4LM9H. Свойства диска: файловая система NTFS, занято на диске 37480718336 байт, свободно 2527010816 байт, общая емкость диска 40007729152 байт. На данном диске с помощью поисковой системы «diskMETA-Personal 7 UA» задаем строку поиска «Телефоны стояли на контроле», и включаем поиск. Файлов с заданными словами не обнаружено. Осматриваемый диск отсоединяем.
   ? черная сумка, в которой находится ноутбук «FMV-820MT», номер CP201070-01, в стальном корпусе, бывший в употреблении и источник питания серийный номер CP171180-01, с кабелем. С данного ноутбука снимается жесткий диск и через переходник подсоединяется к используемому в осмотре служебному ноутбуку.  Жесткий диск «Toshiba 6021GAS», серийный номер 44С70036Т, файловая система NTFS, разбит на логических диска. Свойство одного -  занято 18408341504 бай, свободно 11589251072 байт, емкость ?997592576 байт, свойство второго – занято 16522457088, свободно 13475102720, емкость 997559808.
На осматриваемом диске с помощью поисковой системы «diskMETA-Personal 7 UA» задаем строку поиска «Телефоны стояли на контроле», и включаем поиск. Поисковая система нашла интернетовский файл «форум на crime  vl  ru  Аресты таможенников в восточном-50.htm», содержащий данную строку, который хранится в каталоге :\Н\Флеш 22.11.2007\Новая папка\. Открываем данный файл. Он содержит текстово-графическую информацию. Свойства файла – создан 27.12.2007г. ?? мин. 44 сек., изменен – 15.09.2007г. 09ч47мин08сек, размер 49,9 Кб.
Специалист пояснил, что дата создания файла «форум на crime  vl  ru  Аресты таможенников в восточном-50.htm» - это время, когда файл появился на диске, а дата  изменения файла – это время создания файла на другом компьютере. То есть данный файл возможно был скопирован с другого носителя информации на этот жесткий диск 27.12.2007г.
Распечатываем на принтере документ и прилагаем к настоящему протоколу.
После этого диск отсоединяется. Ноутбук и диск сфотографированы..

Второй протокол

Протокол осмотра предметов (документов).
Старший следователь
Понятые:
с участием свидетеля С***,
в соотвествии  со ст.164 ч.1, ст.176 ч.1,4,6, ст. 177 УПК РФ в служебном кабинете произвел осмотр предметов, изъятых в ходе обыска у М. 2008 г.
Присутствующим лицам объявлено о применении  технических средств: монитора «Samsung», системного блока «Пуск» № РСВО-6-2004-13324, «Pentium 4» 3Ггц, принтера «НР-1300», клавиатуры «Cherry», манипулятора «мышь», контроллер USB для 2,5 дюймовых жестких дисков, переходник USB 2.0 SATA, Адаптер, переходник USB IDE, кабель свидетелем и следователем.
   Осмотром установлено:
1. черный полиэтиленовый пакет, опечатанный скотчем, белой нитью и бумажной биркой с оттиском печати «Для пакетов», имеющей подписи участвующих в обыске лиц. Свободного доступа к содержимому пакета нет, упаковочная бирка не повреждена, признаков вскрытия упаковки не имеется. В присутствии понятых и специалиста пакет вскрыт. В нем находятся черная сумка, в которой хранится ноутбук «Samsung» Р30, серийный номер Y0809REX700079M, в стальном корпусе, бывший в употреблении и источник питания серийный номер CNBA4400162ABJ6F42P3734, с кабелем. С данного ноутбука снимается жесткий диск и подсоединяется к используемому в осмотре компьютеру.(Как подсоединяется?)  Жесткий диск «Hitachi», модель IC25N040ATMR04-0, серийный номер KBN4LM9H. Свойства диска: файловая система NTFS, занято на диске 37480718336 байт, свободно 2527010816 байт, общая емкость диска 40007729152 байт. Осматривается содержимое диска. После этого он отключается, отсоединяется и устанавливается обратно в осматриваемый ноутбук.
   Ноутбук помещается в сумку и упаковывается в тот же пакет, который опечатывался нитью и бумажной биркой с оттиском печати «Для пакетов» следственного отдела УФ, бирка подписывалась участвующими лицами.
(Получается что в этом ноутбуке ничего не нашли, почему не отдали).

Протокол осмотра предметов (документов).
Старший следователь
понятые:
с участием свидетеля С***,
в соотвествии  со ст.164 ч.1, ст.176 ч.1,4,6, ст. 177 УПК РФ
в служебном помещении   произвел осмотр предметов, изъятых в ходе обыска у М. 2008 г.
Присутствующим лицам объявлено о применении технических средств: монитора «Samsung 244Т», системного блока Velton №24030005, «Pentium 4» «Core 2Duo» 2,13Ггц, принтера «НР 465DN» c/н JPG FD 07715, клавиатуры «Cenius», манипулятора «мышь», внешний бокс для HHD 2,5, новый жесткий диск «Western Digital» WD800JB, с/н WMAM9ZW76206? CD-диски – следователем и свидетелем.
Установлено:
Полиэтиленовый пакет, опечатанный нитью и бумажной биркой с оттиском печати «Для пакетов» следственного отдела УФ. Упаковка не нарушена, признаков вскрытия не имеется. В присутствии понятых и свидетеля пакет вскрывается, внутри его находятся:
сумка черная сумка, внутри которой находится ноутбук «Fujitzu» «FMV LIFEBOOK», модель «FMV-820MT», на одной из бирок в нижнем основании указан номер CP201070-01, в серебристом корпусе со вставкой из материала черного цвета, бывший в употреблении и источник питания серийный номер CP171180-01, с кабелем.
С данного ноутбука снимается жесткий диск и через переходник подсоединяется к используемому в осмотре компьютеру.  Жесткий диск «Toshiba 6021GAS», серийный номер 44С70036Т, файловая система NTFS, разбит на логических диска, определившихся на используемом в осмотре компьютере как «Е» и «I». Свойство одного -  занято 18408341504 байт, свободно 11589251072 байт, емкость 29997592576 байт, свойство второго – занято 16522457088, свободно 13475102720, емкость 29997559808. Поочередно просматриваем информацию, содержащуюся на дисках.

Интересно, что каждый предмет осматривался два раза, разные результаты, некоторые диски стояли на рейд-контроллере. Осмотр показал, что они пусты, хотя там была информации. И так 29 накопителей, и во многих есть не совпадения.
Понятые солдатики. Следователь и специалист осматривал первый раз (без указания образования), а второй раз осматривали следователь со свидетелем.
Что в этой ситуации можно предпринять. Законно ли применение программы «diskMETA-Personal 7 UA» при осмотре, почему нет что диски работали в этом компьютере, лог-файлы.
В обвинительном заключении так и не указано с какого компьютера выходили в интернет и следователь 2 компьютера и 3 ноутбука приобщил к вещ. докам.

С уважением.

[Igor Michailov]

Ну вот, как я и говорил

inetnum: 80.243.77.0 - 80.243.79.255
netname: VNTC-GPRS
descr: GPRS networks
country: RU
admin-c: GUR77-RIPE
tech-c: GUR77-RIPE
status: ASSIGNED PA
mnt-by: NTC-MNT
mnt-lower: NTC-MNT
mnt-routes: NTC-MNT
source: RIPE # Filtered

указанные вами выше IP принадлежат одной сети.

[zero70]

Большое спасибо.
С уважением.

[Николай Николаевич Федотов]

Следственный экспиримент
Лица, участвующие в следственном эксперименте, ...

Вполне нормальный следственный эксперимент. Особенно для России. Защитник может привлечь специалиста, который укажет на отдельные недостатки при его проведении. Но фатальных ошибок в следственном действии я не вижу.