следующая тема »

[Igor Michailov]

Вряд ли это возможно. Хотя бы потому, что даже самые-самые forensically sound дистрибутивы Linux в некоторых случаях могут вносить изменения в исследуемые данные. И, вероятно, придется очень долго ждать, когда хотя бы 90 % судебных дистрибутивов будут "пуленепробиваемыми".

Encase  уже года два-три как в ходе клонирования создает хеши для каждого файла в образе+для цепочки клонированных секторов в образе. Поэтому в случае повреждения (случайного или умышленного) образа всегда можно сказать какие данные в образе подверглись изменению и не исследовать их. Или исследовать, но в выводах оговориться, что исследованные данные были изменены поэтому результаты могут быть недостоверны или сфальсифицированы.

[Николай Николаевич Федотов]

Собственно вопрос к экспертам. Трудно ли, по вашему мнению, подделать доказательства, извлекаемые из компьютера? Скажем, установить необходимые программы, скопировать порнографию, тексты экстремистского содержания и так далее, а затем придать этому всему правдоподобность (изменить дату, время и т.д.). И как при этом контролируется проведение компьютерно-технической экспертизы?

Было у меня такое дело. Защита утверждала, что в промежуток времени между изъятием компьютера и КТЭ на диск была записана информация, которая затем легла в основу обвинения. Эксперт не исследовал вопрос, когда и кем она была записана. Защита добилась назначения дополнительной экспертизы. Но следователь поручил её милицейскому эксперту, который все вопросы защиты по поводу "когда" и "в какой последовательности" умело обошёл. Когда я последний раз общался с участниками дела, защита писала ходатайство о третьей, повторной экспертизе. У меня есть серьёзные основания полагать, что когда (и если) они добьются повторной, жёсткий диск компьютера окажется процарапанным гвоздиком.

В этом плане компьютерная экспертиза мало отличается от любой другой. Везде есть возможность изменить следы, потом найти следы изменения следов, изменить их и так далее.

[Сitizen]

Вообще имела бы смысл технология создания образа диска с составлением полных контрольных сумм этого образа в присутствии подозреваемого с передачей ему контрольных сумм. Ну, или что-то подобное...

Вряд ли это возможно.

В данном случае это и нецелесообразно. Не следует просто передавать контрольные образцы кому бы то ни было, а тем более заинтересованным лицам. Должна подразумеваться невозможность, как минимум, незаметного изменения этих образцов.

У меня есть серьёзные основания полагать, что когда (и если) они добьются повторной, жёсткий диск компьютера окажется процарапанным гвоздиком.

На мой взгляд, это можно будет считать победой стороны защиты, поскольку доказательства будут испорчены, а соответственно нельзя будет что-либо достоверно утверждать.

В этом плане компьютерная экспертиза мало отличается от любой другой. Везде есть возможность изменить следы, потом найти следы изменения следов, изменить их и так далее.

Ну, хоть какой-то контроль существует? Как, например, обязательное присутствие понятых при проведении проверок, опечатывание имущества при транспортировки. Я, конечно, понимаю, что абсолютной защиты существовать в принципе не может, но все же.

[Антон Серго]

Дано: НЖМД с единственной установленной ОС (Windows 7).
Задача: залить туда ПО с "признаками контрафактности" и всяких разных картинок.

Вы не поверите - но задача решится без труда.
1. В системе меняется дата на момент пока ПК был в Ваших руках.
2. Туда добавляется все, что закажете.
"Экспертиза" установит, что все это было у Вас.
Хотите поспорить? Не стоит.
Эксперт найдет, все что захочет.
Судья - не технарь, заключения эксперта ему будет достаточно.

Поймите очевидную вещь: Вы пытаетесь что-то доказать, на основе глубокого технического изучения предмета обсуждения. судья - гуманитарий, он юрист, он будет смотреть на ситуацию по бумагам. есть заключение эксперта - есть вывод, все ясно.

Я уверен, что даже продвинутый гик не сможет предложить решение задачи, при котором не остается ни одного типичного следа фальсификации. Хотите опровергнуть?

Возможно их будет много, но на решение суда то никак не повлияет.

P.S. Я никогда не встречался  с такими экспертами и даже не знаю, существуют ли они в природе. Надеюсь, что нет, но на вопрос я Вам ответил.

[eleron]

Поймите очевидную вещь: Вы пытаетесь что-то доказать, на основе глубокого технического изучения предмета обсуждения. судья - гуманитарий, он юрист, он будет смотреть на ситуацию по бумагам. есть заключение эксперта - есть вывод, все ясно.

Увы, речь шла про возможность обнаружения фальсификации при проведении N+1 экспертизы.

[Антон Серго]

Увы, речь шла про возможность обнаружения фальсификации при проведении N+1 экспертизы.

А, тогда соглашусь, что совсем бесследно это сделать неполучится.
Я думал, Вы о практике.

[Сitizen]

Поэтому у вас не получится скопировать на подключенный носитель с NTFS пару файлов, а затем изменить их временные метки без каких-либо следов.

В таком случае изменим исходные условия задачи. Предположим, что некоторые меры были приняты до копирования на диск поддельных доказательств (были изменены системная дата и время).

[Igor Michailov]

Поймите очевидную вещь: Вы пытаетесь что-то доказать, на основе глубокого технического изучения предмета обсуждения. судья - гуманитарий, он юрист, он будет смотреть на ситуацию по бумагам. есть заключение эксперта - есть вывод, все ясно.

За N-ое количество лет работы в данной области, ни разу не встретил в постановлении о назначении экспертизы вопрос (поставленный следователем или обвиняемым/ подозреваемым) к эксперту о том, вносились ли на изъятый носитель данные или производились ли иные изменения информации, содержащейся на носителе, после момента его изъятия.

А придумывать вопросы себе сам эксперт, в ходе производства экспертизы, не в праве.

[Igor Michailov]

Предположим, что некоторые меры были приняты до копирования на диск поддельных доказательств (были изменены системная дата и время).

Если мы рассматриваем файловую систему NTFS, осталось только придумать как переписать жесткие ссылки (hard link). В чем я вам искренне желаю удачи

[eleron]

P.S. Было бы неплохо, если бы Вы привели примеры этих типичных следов фальсификации. Но если Вы не хотите этого делать в силу каких-то определенных причин, то я Вас пойму.

В таком случае изменим исходные условия задачи. Предположим, что некоторые меры были приняты до копирования на диск поддельных доказательств (были изменены системная дата и время).

Спасибо за понимание