СВЕЖИЕ НОВОСТИ ИНТЕРНЕТА

WM.копилка - Копилка для Вашего сайта.

Поиск по этому блогу

воскресенье, 17 апреля 2011 г.

ЗАДАЧИ КТЭ: ПОЛЬЗОВАТЕЛЬ

     Оценка квалификации и некоторых других особенностей личности пользователя исследуемого компьютера.
    При достаточно интенсивном использовании компьютера человек неизбежно оставляет в нем «отпечаток» собственной личности. Документы, фотографии, музыка, переписка, настройки, оформление, закладки, временной режим работы, подбор программ – все это индивидуализирует информационное содержимое компьютера. Все это отражает интеллект пользователя, его эмоции, наклонности, способности.
      Нет уверенности, что вопрос полностью лежит в сфере КТЭ. Возможно, ради более строгого подхода такая экспертиза должна быть комплексной, компьютерно-психологической. Во всяком случае, вопрос квалификации пользователя в области ИТ точно в компетенции эксперта, проводящего КТЭ. Конечно, для оценки квалификации на исследуемом носителе должны находиться соответствующие объекты, результаты интеллектуальной деятельности – написанные пользователем программы, переписка по нетривиальным техническим вопросам, сложные программные инструменты (например, отладчик).
     Следует заметить, что некорректно ставить вопрос об «установлении личности пользователя компьютера». Любые выводы о личности на основе найденных на диске плодов интеллектуальной и творческой деятельности могут носить лишь предположительный характер.




ЗАДАЧИ КТЭ: ВРЕМЯ

     Установление времени и последовательности совершения пользователем различных действий.
      Благодаря наличию у компьютера внутренних энергонезависимых часов и простановке в различных местах временных меток становится возможным определить, когда и в какой последовательности пользователь производил различные действия.
       Если внутренние часы компьютера были переведены вперед или назад (в том числе неоднократно), все равно имеются возможности восстановить правильное время и правильную последовательность событий. Перевод часов компьютера сам по себе оставляет следы. А если еще было и сетевое взаимодействие, то есть возможность сопоставить моменты событий, зафиксированные данным компьютером, с событиями по иным источникам и выяснить сдвиг внутренних часов.
      Задача выполнима даже в том случае, если системный блок, содержащий внутренние часы, не находится в распоряжении экспертизы. Только по носителю информации (например, НЖМД) можно получить кое-какие сведения о последовательности событий. Чем больше информации на носителе, тем полнее будет восстановлена картина.
     Отмечена даже такая экзотическая задача, как подтверждение/опровержение алиби подозреваемого, который утверждает, что в определенное время работал за компьютером. В этом случае, хотя речь не идет о компьютерном преступлении, для проверки алиби потребуется КТЭ.




ЗАДАЧИ КТЭ: ПРОГРАММЫ

     Анализ программ для ЭВМ на предмет их принадлежности к вредоносным, к средствам преодоления ТСЗАП, к инструментам для осуществления неправомерного доступа к компьютерной информации, к специальным техническим средствам, предназначенным для негласного получения информации. А также анализ функциональности программ, принципа действия, вероятного их источника, происхождения, автора.
     Иногда необходимо более глубокое исследование программ. То есть исследование не просто их свойств и функциональности, а происхождения, особенностей взаимодействия с другими программами, процесса создания, сопоставление версий. Такое глубокое исследование подразумевает дизассемблирование программы, запуск под отладчиком (пошаговое исполнение), исследование структуры данных. Это предмет отдельной экспертизы, иногда ее называют программно-технической. Редко можно найти эксперта, сочетающего специальные знания по ИТ и по программированию. Поэтому рекомендуется проводить две отдельные экспертизы – первая изучает содержимое компьютерных носителей, а вторая особенности обнаруженных программ.
     Такое более глубокое исследование программ необходимо далеко не всегда. Например, вредоносность программы – это совокупность ее функций. Вредоносность может установить эксперт-специалист по ИТ. А вот для сопоставления объектного кода программы с фрагментом исходного кода необходимо участие эксперта-программиста.




ЗАДАЧИ КТЭ: СЛЕДЫ

     Поиск «цифровых» следов различного рода действий, совершаемых над компьютерной информацией. Вопрос лучше формулировать не проследы, а про действия. То есть вместо «имеются ли следы создания таких-то веб-страниц?» лучше поставить вопрос так: «создавались ли на исследуемом компьютере такие-то веб-страницы?».
     Когда компьютер используется как средство доступа к информации, находящейся в ином месте, и когда доступ к информации осуществляется на этом компьютере – в обоих случаях остаются «цифровые» следы, следы в виде компьютерной информации. КТЭ может определить, когда, при каких условиях и каким образом осуществлялся доступ. Кто его осуществлял, КТЭ определить не может. Лишь в некоторых случаях эксперту удается обнаружить некоторые сведения о пользователе исследуемого компьютера.
     Действия, которые оставляют следы на компьютере или на носителе информации, включают: доступ к информации, ее просмотр, ввод, изменение, удаление, любую другую обработку или хранение, а также удаленное управление этими процессами.




ЗАДАЧИ КТЭ: ПОИСК ИНФОРМАЦИИ

      Поиск на компьютерном носителе документов, изображений, сообщений и иной информации, относящейся к делу, в том числе в неявном (удаленном, скрытом, зашифрованном) виде.
      Рекомендуется не конкретизировать вид и содержание искомой информации. Эксперт вполне может самостоятельно решить, относится ли тот или иной текст, изображение или программа к делу. В ходе поиска информации эксперту приходится просматривать глазами тысячи текстов и изображений. Понятно, что невозможно распечатать и приложить к заключению их все – с тем, чтобы потом следователь решил, что из найденного относится к делу. Эксперт в любом случае вынужден проводить первичную селекцию и принимать решение, что именно из найденного приобщать. Вынужден в силу объемов информации. Типичный объем архива электронной почты среднего пользователя – мегабайты. Для более активного пользователя – сотни мегабайт. Это не поместится ни в одно заключение (протокол). Поэтому эксперта следует ознакомить с уголовным делом или хотя бы кратко изложить его фабулу в постановлении о назначении КТЭ. И запросить у него поиск «любой информации, относящейся к данному делу».




МЕСТО И РОЛЬ КОМПЬЮТЕРНО-ТЕХНИЧЕСКОЙ ЭКСПЕРТИЗЫ

     С точки зрения места в раскрытии и расследовании уголовного дела компьютерно-техническая экспертиза (КТЭ) ничем не отличается от других видов экспертиз.
Компьютерная информация, являющаяся объектом или средством совершения компьютерного преступления, хотя и может быть предназначена для обычных людей, но исследовать ее могут только специалисты.
     Практически любое обращение с компьютерной информацией требует специальных знаний. А источником таких знаний, согласно закону, может быть только специалист или эксперт. Устанавливать факты, касающиеся компьютерной информации, можно только на основании экспертизы. Отсюда и особая роль КТЭ при расследовании.
     Несведущим людям может показаться, что многие действия над компьютерной информацией не требуют специальных знаний. Действительно, современные компьютеры и ПО предназначены для широкого круга пользователей. И пользователи (в том числе малоквалифицированные) успешно выполняют на них обычные задачи, такие как редактирование текстов, отправка и получение электронной почты, создание и распечатка рисунков. Зачем же тут специальные знания?
     Чтобы найти ответ, давайте немного вспомним историю развития вычислительной техники. В 1960-х годах для работы на ЭВМ следовало не просто иметь специальные знания, но и быть программистом. Затем были созданы программы для решения некоторых типовых задач, и навык программиста перестал быть обязательным. Но управление работой ЭВМ по-прежнему было недоступно для неспециалиста. В 1980-х годах появились первые персональные компьютеры, научиться работать с которыми мог обычный человек. Обучение тем не менее все же требовалось. И это ограничивало рынок сбыта персональных компьютеров. Но ПО стремительно развивалось. И одним из главных направлений его развития являлось обеспечение простого, наглядного и относительно привычного интерфейса для неквалифицированного пользователя. Ориентация на массового покупателя – залог успеха для коммерческого ПО. Некоторые современные ОС делают освоение персонального компьютера довольно простой задачей, поскольку сводят «многомерное» управление к выбору из списка действий, а вместо технических терминов оперируют менее адекватными, но более привычными для простого человека аналогами: «документ» вместо «файл», «папка» вместо «каталог», «отправка сообщения» вместо «установление SMTP-сессии» и так далее. Многие операции автоматизированы за счет снижения функциональности. Многие другие операции просто скрыты от пользователя. Все это стало возможным благодаря развитию программного обеспечения. Биты в современных компьютерах точно такие же, как и 40 лет назад. И набор арифметическо-логических операций процессора мало изменился. Кажущаяся простота – это не более чем поднятие пользователя на более высокий уровень абстрагирования от технической реализации операций. Такое поднятие вовсе не означает понимания. Напротив, простота управления достигается за счет снижения понимания сути производимых действий.
     Приведем простую аналогию. В начале XX века управление автомобилем было неразрывно связано с его техобслуживанием (довольно трудоемким) и починкой. В течение нескольких десятилетий вождение автомобиля оставалось профессией, которой положено было учиться. По мере развития техники автомобиль превратился в потребительский товар, доступный самому широкому кругу. Ездить на машине перестало означать ее обслуживать. У некоторых современных моделей даже не открывается капот, поскольку пользователю это не нужно. В автошколах уже перестали учить устройство двигателя. Нужны ли специальные знания для современного автолюбителя? Почти нет. А для проведения экспертизы автотехники?
     Для пользования современным компьютером специальные знания действительно не требуются. Это происходит благодаря высокой степени отчуждения пользователя от технической реализации обработки информации. Между «верхним слоем», то есть графическим интерфейсом пользователя, и «нижним слоем», то есть битовыми массивами данных, лежитмного промежуточных «слоев» из форматов, протоколов, драйверов, API, системных функций и прикладных программ. На каждом из них остаются следы. Каждый «слой» вносит свою лепту в изменение компьютерной информации, в образование цифровых следов. Для поиска и изучения этих следов специальные знания нужны. Из-за отчуждения пользователя от реализации бóльшая часть информации от него скрыта. Почти все процессы происходят не так, как они представляются пользователю.




ПРИМЕР НОТАРИАЛЬНОГО ПРОТОКОЛА ОСМОТРА ВЕБ-САЙТА

     Нотариус не проверяет правильность разрешения доменного имени, не может противостоять различным способам подмены контента, не контролирует актуальность содержимого (отсутствие кэширования), не проверяет, отличается ли контент, отдаваемый пользователям из разных регионов, и так далее. Тем не менее достоверность такого осмотра – на достаточном уровне.
      Тем не менее, чтобы застраховаться от возможных ошибок или злонамеренных действий, в осмотре может участвовать и специалист.
Ниже приводится образец протокола осмотра веб-сайта нотариусом совместно со специалистом.





ПУТАНИЦА САЙТА И ДОМЕННОГО ИМЕНИ

     Часто отождествляют веб-сайт и доменное имя, под которым этот сайт живет. На самом деле веб-сайт и домен – разные сущности как с технической, так и с правовой точки зрения.
     Описанная путаница – следствие не только слабого понимания технических вопросов функционирования веб-сайтов. Неверному пониманию и отождествлению доменного имени и веб-сайта способствуют некоторые юристы, представляющие истцов по гражданским делам, связанным с веб-сайтами и информацией на них.
      Как известно, обязанность найти ответчика лежит на истце. Его следует не просто найти, а представить суду доказательства того, что веб-сайт принадлежит ему. Веб-сайты не подлежат обязательной регистрации, нет никакой системы учета сайтов и их владельцев. А провайдеры (операторы связи) весьма неохотно сообщают данные о своих клиентах, ссылаясь на коммерческую тайну или защиту персональных данных.
      В противоположность этому владельца доменного имени 2-го уровня узнать легко. Сведения о нем содержатся в общедоступной базе данных регистраторов доменных имен. Получить письменную справку с такими сведениями также несложно – распечатку с публичными данными сервиса whois легко заверит любой регистратор.
    Таким образом, обстоятельства диктуют представителям истцов решение – назначить ответчиком не владельца веб-сайта, а владельца соответствующего домена.
Надо признать, что в большинстве случаев владелец домена 2-го уровня и владелец живущего на этом домене веб-сайта – одно и то же лицо. В большинстве случаев, но далеко не всегда. Кроме того, большинство веб-сайтов живут на домене не 2-го уровня, а 3-го. То есть на домене вида «www.example.com». Несмотря на то, что «www» – это стандартное имя 3-го уровня для веб-сайта, владельцы «www.example.com» и «example.com» могут быть разными.
       Также далеко не всегда совпадают владелец веб-сайта и владелец размещенного на этом сайте контента.
      Для гражданских дел можно попытаться возложить ответственность за контент сайта на владельца этого сайта, на оператора связи или даже на владельца доменного имени. За то, что создали условия размещения, не воспрепятствовали и т.д. В ряде случаев такое возложение ответственности истцам удавалось. Но для уголовных дел подобная натяжка не пройдет. Ответственность может нести только лицо, разместившее информацию на веб-сайте. В отношении владельца сайта, его провайдера, владельца домена можно говорить лишь о соучастии, и то – в весьма редких случаях.




ПРАВОВАЯ ЗАЩИТА ДОМЕНА

     Система доменных имен была придумана для облегчения запоминания человеком сетевых адресов. С массовым развитием системы WWW и с коммерциализацией Интернета доменное имя приобрело коммерческую ценность. А ценности нуждаются в законодательной защите. Тем более что стоимость самых дорогих доменных имен может исчисляться миллионами долларов. И законодательная защита была дана. Ныне домен – не просто удобная для человека форма сетевой адресации, но объект интеллектуальной собственности.
     В одних странах отношения по поводу доменных имен сети Интернет напрямую регулируются законодательством, в других странах домены охраняются в числе прочих средств индивидуализации. В России доменное имя упоминается в законе «О товарных знаках...». В Гражданском кодексе доменные именаупоминанаютс как объекта регулирования.




РАЗМЕЩЕНИЕ ИНФОРМАЦИИ В ФАЙЛООБМЕННЫХ СЕТЯХ

     Термином «файлообменные сети» (также «пиринговые сети», «P2P-сети») называют семейство программ и протоколов, позволяющих создавать одноранговые сети в пределах глобальной компьютерной сети для обмена файлами, а также сами эти сети. Целями создания и функционирования таких сетей являются надежность, независимость от какого бы то ни было центра, относительная анонимность, возможность функционирования на персональных компьютерах и «узких» каналах связи.
     В отличие от веб- и FTP-серверов, через распространение которых контент легко отслеживается, при распространении файлов через одноранговые пиринговые сети отключение любого числа узлов не влияет на работоспособность сети в целом.
      Наиболее известные файлообменные сети:
● Napster – одна из первых файлообменных сетей, ныне не работающая; имела единый центр, из-за чего была закрыта по иску правообладателей;
● eDonkey2000 (сокращенно ed2k) – крупнейшая гибридная файлообменная сеть; поиск выполняют специализированные серверы, связанные между собой; клиенты самостоятельно обмениваются файлами по протоколу MFTP;
● Bittorrent – сеть, специализированная для распространения файлов большого объема;
● OpenFT – OpenFastTrack поддерживается клиентами giFT (KCeasy), mlDonkey;
● Gnutella – сеть, использующая протокол, разработанный компанией Nullsoft;
● MP2P (Manolito P2P) – поддерживается клиентами Blubster, Piolet, RockItNet;
и другие.
     Каждый желающий участвовать в файлообменной сети должен установить на свой компьютер программу-клиент. Для каждой из сетей существует по нескольку различных программ-клиентов под разные операционные системы.
     После подключения к Сети пользователь получает возможность скачивать к себе на компьютер любые имеющиеся в Сети файлы, а одновременно с этим другие пользователи получают возможность скачивать файлы, имеющиеся у него.
     Наиболее известные программы-клиенты файлообменных сетей (в скобках указаны поддерживаемые сети/протоколы):
● aMule (eDonkey network, Kad network);
● Shareaza (BitTorrent, eDonkey, Gnutella, Gnutella2);
● FileScope (eDonkey network, Gnutella, Gnutella2, OpenNAP);
● MLDonkey (BitTorrent, Direct Connect, eDonkey network, FastTrack, Gnutella, Gnutella2, Kad Network, OpenNap, SoulSeek, HTTP/FTP);
● Napshare (Key network, MUTE network);
● Kiwi Alpha (Gnutella, Gnutella2);
● Morpheus (NEO Network, Gnutella, Gnutella2, BitTorrent );
● Zultrax (Gnutella, ZEPP).
     По понятным причинам, основным контентом пиринговых сетей является незаконный, а также полузаконный, оскорбительный, неэтичный и другой проблемный контент. Обычно распространяются музыкальные MP3-файлы, фильмы, фотографии, дистрибутивы программного обеспечения.

ДОКАЗАТЕЛЬСТВО НАЛИЧИЯ КОНТЕНТА

     Доказательством наличия определенного контента в файлообменной сети могут служить свидетельские показания или заключение эксперта.
     Поскольку присоединиться к такой сети может любой желающий, а для обычного использования файлообменного ПО специальных знаний не требуется, то не должно возникнуть проблем с обеспечением доказательств наличия контента. Сложнее обстоит дело с выявлением источника этого контента.

ВЫЯВЛЕНИЕ ИСТОЧНИКА

    Прежде всего следует заметить, что, поскольку файлообменные сети децентрализованные, понятие «источник файла» в них достаточно условно. Пока какой-либо файл лежит на единственном узле такой сети, этот узел можно назвать источником. При этом информация о файле (индексная информация) распространяется по всей сети. Но каждый узел, который начинает закачку этого файла, сам в тот же момент становится его источником, неотличимым от первичного. По окончании полной закачки файла узел либо продолжает служить его источником, либо прекращает – в зависимости от решения пользователя. Понятно, что пользующийся спросом файл, только появившись в файлообменной сети, сразу же начинает закачиваться множеством узлов и приобретает в их лице множество источников.
       Поэтому не имеет смысла говорить о первичном источнике какого-либо файла.
Можно говорить лишь о нахождении файла (фрагментов файла) на конкретном узле и его доступности другим.
    Передача же файла происходит обычно напрямую между узлами. Тогда можно определить IP-адрес узла-источника. Другой информации об этом узле, как правило, получить не удается.
     Некоторые файлообменные сети не позволяют легко определить источник файла. Любой узел в таких сетях может выступать посредником при передаче, скрывая истинный источник. Это посредничество – чисто техническая особенность, не зависящая от воли пользователя. Поэтому хотя узел с технической точки зрения является посредником, с юридической точки зрения его владелец или оператор посредником не является, не имеет прямого умысла на такое посредничество и даже косвенного умысла не всегда имеет.
    Таким образом, в ряде случаев мы имеем возможность относительно просто определить IP-адрес узла файлообменной сети, являющегося источником определенного файла. В других случаях (с узлами-посредниками) определение источника сильно затруднено. Определить же первичный или оригинальный источник файла не представляется возможным.

ДОКАЗАТЕЛЬСТВО ИСПОЛЬЗОВАНИЯ

     Доказательством того факта, что известное лицо использовало файлообменные сети, может служить следующее:
● протокол экспертизы компьютера интересующего нас лица, содержащий вывод о том, что на исследуемом компьютере было установлено ПО файлообменных сетей и это ПО использовалось по назначению;
● показания иного участника файлообменной сети о том, что он взаимодействовал в этой сети с узлом, имеющим тот же IP-адрес, что использовался интересующим нас лицом;
● протокол экспертизы компьютера иного участника файлообменной сети, содержащий вывод о том, что на исследуемом компьютере было установлено ПО файлообменных сетей, это ПО использовалось по назначению и обнаружены следы взаимодействия с IP-адресом интересующего нас лица;
● протокол осмотра или экспертизы компьютера оператора связи (провайдера), где зафиксировано наличие логов, отражающих информацию о трафике IP-адреса интересующего нас лица, причем в этом трафике присутствовали характерные для файлообменных сетей особенности (протоколы, порты, IP-адреса популярных узлов).
     Трафик файлообменных сетей не является тайной связи, поскольку не относится к общению между человеком и человеком. Следовательно, для ознакомления с ним не требуется судебного решения. Однако такой трафик является тайной частной жизни (ч. 1 ст. 23 Конституции).

ВИДЫ ПРЕСТУПЛЕНИЙ

    Некоторые считают файлообменные сети принципиально криминальными, поскольку легальный контент в них встречается редко, а основной трафик составляет в той или иной степени нелегальный.
     Такая точка зрения не является общепринятой. Файлообменные сети созданы не только ради безнаказанности. Они имеют существенные преимущества возможность быстро распространять большие объемы информации одновременно многим пользователям при использовании слабых и ненадежных каналов связи.
      Как бы то ни было, действующие на сегодня файлообменные сети сами по себе не поставлены под запрет ни в одной стране. Преследуются только правонарушения, совершаемые с их использованием. Как правило это преступления, связанные с нарушением авторских прав и распространением порнографии.




воскресенье, 10 апреля 2011 г.

РАЗМЕЩЕНИЕ ИНФОРМАЦИИ В ТЕЛЕКОНФЕРЕНЦИИ (NEWSGROUP)

      Телеконференции представляют собой систему серверов, объединенных между собой протоколом NNTP и содержащих примерно один и тот же контент. Контент представляет собой множество сообщений (обычно коротких), организованных в группы с иерархической структурой имен. Сообщения – короткоживущие, каждое из них, появившись на любом из серверов, за короткое время (минуты) распространяется по всем остальным, а через несколько дней устаревает и автоматически удаляется. Пользователь может подключиться по тому же протоколу NNTP к любому из серверов и получить с него все или только интересующие группы и отдельные сообщения, а также опубликовать свое сообщение.
      Вследствие особенностей используемого протокола, система телеконференций дает относительную анонимность пользователя. Возможно, из-за этого в телеконференциях присутствует значительное количество незаконного и сомнительного контента – порнографии, контрафактной музыки. Правда, «тяжелый» контент для телеконференций неудобен.
     Например, фотография объемом 20-50 кбайт вполне помещается в одно сообщение. Музыкальное произведение в формате MP3 объемом 4-5 Мбайт должно быть разделено на несколько сообщений. Чем больше сообщений, тем труднее потом «читателю» собрать вместе исходный файл.
      Поэтому произведения большого объема, порядка десятков мегабайт и свыше, в телеконференциях не публикуются.
      Из служебных заголовков сообщения телеконференции можно установить, через какой сервер этой системы (они обычно именуются ньюс-серверами или NNTP-серверами) сообщение было опубликовано. IP-адрес пользователя, опубликовавшего сообщение, в заголовках обычно не фиксируется. Системы аутентификации и авторизации в протоколе NNTP не предусмотрено, только ограничения на основании IP-адреса. Логи, в которых фиксируется, какой пользователь какое сообщение прочитал или опубликовал, серверами ведутся, но далеко не всегда. А когда ведутся, их объем редко позволяет хранить историю более чем за несколько суток.
     Для удостоверения наличия определенного контента в телеконференциях можно использовать один из способов, рекомендуемых в посте «Размещение информации на веб-сайте», то есть провести осмотр, нотариальный осмотр или экспертизу. Для проведения осмотра или экспертизы придется подключиться к любому из ньюс-серверов, совсем не обязательно к тому же самому, на котором сообщение было впервые обнаружено. Их контент различается между собой лишь постольку, поскольку различается время хранения сообщений на разных серверах.
      Бывают анонимные NNTP-сервера, владельцы которых утверждают, что не ведут логов, и этим стараются привлечь подписчиков.
     Чтобы установить источник конкретного сообщения в телеконференцию, надо предпринять следующие действия:
● Получить само сообщение со всеми служебными заголовками. Эти заголовки обычно не показываются программой просмотра (ньюс-ридером), чтобы их увидеть, надо специально включить соответствующий режим. Как это сделать, зависит от типа ньюс-ридера.
● По заголовкам установить, через какой сервер это сообщение было введено. Заголовок может быть и подложным, если источник предпринимал специальные меры для сохранения анонимности. Для надежности можно получить то же сообщение через несколько ньюссерверов и сравнить их заголовки.
● Обратиться к администратору того сервера, через который сообщение было опубликовано, и затребовать логи за соответствующий период. По ним можно установить IP-адрес, с которого сообщение опубликовано.
● Также можно поискать в телеконференциях другие сообщения, принадлежащие, судя по их содержимому, тому же источнику. Если первая попытка установить автора сообщения была неудачной, возможно, он попадется на следующем своем сообщении.
    Когда источник установлен, следует изъять компьютер, с которого предположительно публиковалось сообщение в телеконференцию. Экспертиза может установить факт публикации, факт создания сообщения, факт наличия на этом компьютере того же контента, что и в сообщении.
      Со стороны сервера факт публикации должен подтверждаться протоколом осмотра или экспертизы логов ньюс-сервера.
     Также возможен перехват трафика. По протоколу NNTP сообщения передаются в незашифрованном виде. Экспертиза перехваченного трафика также будет доказательством размещения сообщения.
     Если ожидается публикация сообщения в телеконференцию и при этом известен сервер, через который сообщение будет опубликовано, или же известна сеть, из которой оно придет, установить источник можно при помощи ОРМ «снятие информации с технических каналов связи», задействовав для этого СОРМ.
      Сообщение в телеконференцию не является сообщением от человека к человеку, поскольку оно адресовано неопределенному кругу лиц. Следовательно, это сообщение не охватывается правом на тайну связи (ч. 2 ст. 23 Конституции). Поэтому для отслеживания сообщений лица в телеконференции и его NNTP-трафика не надо получать судебного решения.



УДОСТОВЕРЕНИЕ СОДЕРЖИМОГО ВЕБ-САЙТА

      В российской практике применялись следующие способы удостоверения содержимого веб-сайта для судебных целей:
● распечатка веб-страниц через браузер;
● распечатка + рапорт сотрудника милиции;
● осмотр веб-сайта следователем с понятыми;
● такой же осмотр, но с участием специалиста;
● ответ оператора связи (провайдера) на запрос о содержимом сайта;
● экспертиза;
● нотариальное удостоверение (осмотр сайта нотариусом).
      Каждый из способов небезупречен. Хотя браузер и вся система WWW ориентированы на неподготовленных лиц, все же специальные знания требуются для того, чтобы убедиться в отсутствии ошибок и намеренных фальсификаций. Поэтому без участия специалиста корректность результата не гарантирована. Применение же экспертизы вроде бы избавляет от возможных ошибок. Но вызывает сомнение тот факт, что объект экспертизы (веб-страница, веб-сервер) находится не в распоряжении эксперта, а довольно далеко от него.




РАЗМЕЩЕНИЕ ИНФОРМАЦИИ НА ВЕБ-САЙТЕ

     В простейшем случае размещение на веб-сайте сводится к помещению файла в соответствующую директорию на сервере.
     В более сложных случаях для размещения информации могут потребоваться также следующие действия:
● регистрация или приобретение доменного имени, настройка DNS-серверов для него;
● установка и запуск веб-сервера;
● приобретение услуги провайдера по организации и поддержанию веб-сервера (хостинг или колокация);
● настройка веб-сервера;
● создание или модификация исходного кода веб-страницы на языке HTML, PHP и др.;
● создание или модификация CGI-скриптов для поддержания работы веб-сайта;
● создание или заказ художественного оформления (дизайна) веб-сайта;
● настройка аутентификации и авторизации на веб-сайте;
● сообщение каким-либо способом адреса (URL) размещенного файла или соответствующей веб-страницы заинтересованным лицам, рекламирование такого адреса;
● отслеживание работы веб-сайта, его статистики посещений, трафика, количества скачиваний размещенной информации, отзывов посетителей и т.д.;
● обновление, актуализация размещенной информации;
● удаление или блокирование размещенной информации.
     Каждое из указанных действий оставляет «цифровые» следы. Чем больше таких действий совершал злоумышленник, тем легче его идентифицировать и впоследствии доказать его вину.
      Как видно, следы могут быть достаточно многочисленными. Впрочем, речь идет не о поиске и изобличении лица, разместившего информацию, а о доказательстве наличия в Сети самой этой информации.




ПРОБЛЕМА ЗАВЕРЕНИЯ КОНТЕНТА

     Для доказывания многих преступлений и правонарушений необходимо доказать распространение или обнародование некоторой информации. Возбуждение межнациональной розни, клевета, пропаганда наркотиков, распространение порнографии, нарушение авторских прав – в состав этих и других преступлений входит такое действие, как распространение информации или произведения. Разумеется, в данном случае речь идет только о распространении через компьютерные сети, прежде всего Интернет.
Как доказать факт наличия определенной информации в сети в определенный период времени, а также ее общедоступность? Как установить лицо, разместившее информацию, и доказать этот факт?
      Сложности в доказательстве таких фактов суть следующие:
● невозможно произвести непосредственный осмотр размещенной информации (произведения), поскольку видеть можно лишь изображение на экране, возникшее вследствие сложных и не контролируемых процессов передачи, и преобразования изначально размещенной информации;
● подавляющее большинство веб-страниц – динамические, их контент зависит от времени, местоположения пользователя, его браузера, ряда случайных факторов;
● доступ к информации в Сети производится через посредство множества технических средств, о большинстве из которых не известно ничего определенного;
● во многих случаях доступ производится в интерактивном режиме, то есть для получения информации требуется проявление инициативы со стороны пользователя;
● существует много способов ввести в заблуждение пользователя, просматривающего информацию, – относительно самого факта размещения информации, ее содержания, адреса, времени;
● размещенную информацию в ряде случаев довольно просто и быстро убрать либо она уничтожается сама с течением времени;
● Интернет рассматривается многими как некая область особенной свободы или экстерриториальная зона, поэтому там существует много средств и возможностей для анонимизации, сокрытия следов, круговой поруки;
● существующие процессуальные нормы рассчитаны были исключительно на офлайновые документы и доказательства, в них редко учтены технические особенности компьютерных сетей.
      Между тем методы фиксации доказательств тем не менее существуют. В блоге рассмотрены наиболее распространенные методы размещения информации в Сети с указанием особенностей и приемлемых методов фиксации.




РАБОТА С ПОТЕРПЕВШИМИ

      Компьютерная информация имеет свойство легко и быстро утрачиваться. Задержка при сборе доказательств может привести к их неполучению. Поэтому потерпевших и свидетелей надо опросить на предмет таких доказательств как можно быстрее, не дожидаясь официального допроса.
      У потерпевших и очевидцев следует узнать следующее.
      Преступления, связанные с электронной почтой:
● адреса электронной почты – корреспондента и его собственный;
● сохранилось ли сообщение электронной почты (письмо), где именно оно сохранено;
● если сообщение сохранено, попросите передать его так, чтобы были доступны ВСЕ служебные заголовки, как это сделать, зависит от используемой программы-клиента;
● какая программа-клиент использовалась либо какой веб-интерфейс.
      Преступления, связанные с веб-сайтами:
● каков адрес (URL) веб-сайта;
● услугами какого интернет-провайдера пользуется потерпевший;
● в какое время (желательно точнее) он посещал веб-сайт;
● сохранилась ли у него копия или скриншот этого веб-сайта.
      Преступления, связанные с телеконференциями (newsgroups):
● услугами какого интернет-провайдера пользуется потерпевший;
● каково имя телеконференции;
● через какой ньюс-сервер осуществлялся доступ к телеконференциям;
● какое использовалось ПО для доступа к телеконференциям, не осуществлялся ли этот доступ через веб-гейт;
● каков subject и другие данные сообщения;
● сохранилось ли сообщение телеконференции, где именно оно сохранено;
● если сообщение сохранено, попросите передать его так, чтобы были доступны ВСЕ служебные заголовки, как это сделать, зависит от используемой программы-клиента.




пятница, 25 марта 2011 г.

КАК ВЫКЛЮЧАТЬ КОМПЬЮТЕР?

       Каким способом следует выключать компьютер, который подлежит изъятию и который застали во включенном состоянии?
      По большому счету, выбор сводится к двум вариантам: воспользоваться штатной командой выключения или выключить прерыванием электропитания. Рассмотрим преимущества и недостатки каждого из методов.
       Команда завершения работы и выключения компьютера имеется в составе почти всех ОС. Часто та же команда не только завершает работу ОС, но и выключает электропитание. Иногда только завершает работу, а блок питания надо будет выключить вручную.


     Во время процедуры завершения работы закрываются все открытые файлы, стираются временные файлы, иногда очищается область подкачки (своп). Кроме того, всем текущим процессам посылается сигнал завершения работы. Что именно будет делать программа, получив такой сигнал, в общем случае сказать нельзя. Большинство программ просто завершают работу. Некоторые сохраняют промежуточные варианты данных. Другие, напротив, стирают свои временные файлы. Ряд вредоносных программ, таких как троян или руткит, могут при сигнале завершения работы целенаправленно уничтожить следы своего присутствия.
      Если перед выключением специалист снял короткоживущие данные, то почти все недостатки этого метода выключения можно считать компенсированными.
      Кроме того, при завершении работы может сработать специально установленная логическая бомба, которая уничтожит самые важные данные. Такие бомбы (к тому же связанные с командой завершения работы) встречаются редко, но все же...
      Прерывание электропитания осуществляется вытаскиванием электрического шнура из компьютера. Причем лучше вытаскивать тот конец, который подключен к компьютеру, а не тот, который к стенной розетке.
      Дело в том, что между розеткой и компьютером может оказаться источник бесперебойного питания. Он не только станет поддерживать напряжение, но и может дать компьютеру команду завершения работы. Для ноутбуков, кроме того, следует извлечь аккумулятор.
     В случае прерывания электропитания все временные файлы остаются нетронутыми. Но зато может быть нарушена целостность файловой системы, если прерывание электропитания застанет компьютер в момент проведения файловой операции. Испорченная файловая система в большинстве случаев может быть потом восстановлена, но не все экспертные системы поддерживают такую операцию, а экспертное изучение испорченной файловой системы затруднено. Кроме того, могут появиться локальные дефекты в некоторых открытых на запись файлах, например лог-файлах.
       Вариант выключения выбирает специалист, исходя из обстоятельств дела: насколько важны временные файлы, можно ли предполагать наличие вредоносных программ. При отсутствии специалиста или при неясности указанных обстоятельств следует избрать метод выключения прерыванием электропитания.
      Стоит ли упоминать, что примененный метод выключения компьютера должен быть указан в протоколе?
    Некоторые криминологи даже советуют поступать следующим образом. Если подозреваемый, в доме или на рабочем месте которого производится обыск, настаивает на «правильном» выключении компьютера, то согласиться для виду, но не позволять ему проделывать такую операцию. Вместо этого попросить написать или нарисовать необходимую последовательность действий. Этот документ приобщить к делу, а компьютер выключить методом обесточивания. При последующей экспертизе, если эксперт установит, что описанная подозреваемым последовательность действий должна была привести к уничтожению существенной для дела информации, это будет лишним доказательством вины и, возможно, отягчающим обстоятельством.
      Такой совет применить его вряд ли удастся. Тем не менее следует помнить о возможности подобного обмана со стороны подозреваемого.
      Например, многие модели криптодисков имеют штатную возможность под названием «пароль для работы под контролем». Это альтернативный пароль, при вводе которого вместо подключения криптодиска безвозвратно уничтожается ключ шифрования, так что все защищенные данные становятся недоступны навек. При этом либо имитируется внешний сбой, либо вместо истинного криптодиска подключается имитационный, с безобидными данными. Еще раз напомним, что «работа под контролем» – это не кустарная поделка, а штатная возможность всякой добротно сделанной системы защиты.




четверг, 24 марта 2011 г.

СНЯТИЕ КОРОТКОЖИВУЩИХ ДАННЫХ

     Для сбора короткоживущей информации из ОЗУ и свопа есть различные программные инструменты под различные ОС. Специалисту предпочтительно не надеяться, что такие инструменты найдутся на исследуемом компьютере, а пользоваться своими собственными программами, которые заранее приготовлены на дискете, компакт-диске или флэш-накопителе. Чаще всего используют компакт-диск.
     Кроме того, следует приготовить еще один носитель – для записи результатов снятия короткоживущей информации. Предпочтителен флэш-накопитель. Для сброса результатов вместо флэш-накопителя или иного устройства можно подключить в качестве сетевого диска диск удаленного компьютера. Таковым может служить переносной компьютер специалиста, принесенный им с собой и подключенный к тому же сегменту ЛВС, или стационарный компьютер специалиста, доступный через Интернет. Сбрасывать полученные короткоживущие данные на жесткий диск исследуемого компьютера категорически не рекомендуется. Этим можно уничтожить некоторую существенную для дела информацию и поставить под сомнение результаты последующей экспертизы.
     Корректность работы программных инструментов по снятию информации с работающего компьютера зависит не только от самих этих инструментов. На результат может влиять также состояние исследуемого компьютера. Например, если он заражен вредоносной программой типа руткит, то специалист может и не получить корректную информацию, даже при безупречной работе его инструментов.
      Вот некоторые полезные программы для сбора короткоживущих данных:
● Утилиты «PMDump», «userdump», «dd» позволяют снимать содержимое ОЗУ компьютера (дамп памяти). Запуск любой программы изменяет содержимое ОЗУ, поэтому результат работы таких утилит будет не вполне «чистый». Но это неизбежная погрешность.
● Утилиты «ifconfig», «ipconfig», «arp», «route», «netstat», «ipfw», «ipfilter», «ipchain», «iptables» снимают текущую сетевую конфигурацию компьютера.
● Утилиты «netstat», «nmap» снимают информацию о текущих сетевых соединениях и открытых портах.
● Утилиты «Task manager», «pslist», «ps», «top» дают список текущих процессов – исполняемых программ.
● Утилиты «lsof» дают список открытых в текущий момент файлов.
● Утилиты «w», «last» дают список пользователей, вошедших в систему.
● Утилиты «date», «nlsinfo» дают информацию о текущем системном времени.
● Утилиты «ethereal», «tcpdump» дают возможность снять текущий сетевой трафик компьютера.
● Утилиты «lsmod», «kldstat» показывают список загруженных модулей ядра.
      Какую именно короткоживущую информацию собирать и в каком порядке? Зависит от характера доказательств, которые мы предполагаем найти.
     Когда речь идет о «взломе» исследуемого компьютера или заражении его вредоносной программой, следует собирать: содержимое ОЗУ, список процессов, список открытых портов, список пользователей, сетевую конфигурацию, образец трафика.
     Когда дело касается электронной переписки или незаконного контента, возможно хранящегося на исследуемом компьютере, следует собирать: список процессов, информацию о криптодисках, текущее время, возможно, сетевую конфигурацию.
     Когда речь идёт о неправомерном доступе, предположительно осуществленном с исследуемого компьютера, следует собирать: список процессов, информацию о текущих сетевых соединениях, образец трафика.
     По делам о нарушении авторских прав следует собирать: список процессов, текущее время, содержимое временных файлов и области подкачки.
   Вообще-то, если есть возможность, лучше собирать всю доступную короткоживущую информацию.
     Порядок сбора информации рекомендуется такой, чтобы сначала собрать самую короткоживущую. А именно – собирать ее в такой последовательности:
● текущие сетевые соединения;
● текущие пользовательские сессии;
● содержимое ОЗУ;
● список процессов;
● открытые файлы;
● образец трафика;
● ключи и пароли;
● сетевая конфигурация;
● текущее время.
     Когда сетевые моменты не важны (например, компьютер не подключен к сети в текущий момент), содержимое ОЗУ (дамп памяти) следует снимать в первую очередь – для его наименьшего искажения, поскольку, как уже указывалось, запуск любой программы изменяет состояние оперативной памяти ЭВМ.
     Прежде чем снимать короткоживущую информацию с включенного компьютера, бывает необходимо преодолеть препятствия в виде:
● активного скринсейвера (заставки) с парольной (парольно-биометрической) защитой;
● недостаточных привилегий текущего пользователя;
● заблокированных, отключенных или отсутствующих возможностей для подключения внешних устройств (порт USB, CD привод).
     Имеет ли право специалист задействовать для преодоления такой защиты специальные средства – программы, относящиеся к средствам несанкционированного доступа, вредоносным программам или средствам обхода защиты авторских прав?
    Вообще-то имеет. Кроме вредоносных программ, использование которых противозаконно в любом случае.




среда, 23 марта 2011 г.

КОРОТКОЖИВУЩИЕ ДАННЫЕ И ИХ ПЕРЕЧЕНЬ

     Здесь мы рассмотрим, как специалист при проведении следственного действия должен обращаться с короткоживущими, или волатильными данными. Этим термином обычно именуют такую информацию, которая недолговечна и существует лишь до момента выключения компьютера или до завершения определенной программы.
     Вот некоторые из типов короткоживущих данных:
● содержимое ОЗУ, то есть все исполняемые в текущий момент программы (задачи, процессы), системные и прикладные (пользовательские);
● прежнее содержимое ОЗУ в областях оперативной памяти, которые на текущий момент считаются свободными;
● список открытых файлов со сведениями, какой процесс каким файлом пользуется;
● информация о пользовательских сессиях, то есть вошедших в систему (залогиненных, зарегистрированных) пользователях;
● сетевая конфигурация – динамически присвоенный IP-адрес, маска подсети, ARP-таблица, счетчики сетевых интерфейсов, таблица маршрутизации;
● сетевые соединения – информация о текущих соединениях (коннекциях) по различным протоколам, о соответствующих динамических настройках межсетевого экрана или пакетного фильтра;
● текущее системное время;
● список назначенных заданий (scheduled jobs);
● кэш доменных имен и NETBIOS-имен;
● загруженные модули ядра (LKM);
● монтированные файловые системы, подключенные сетевые диски;
● файл или область подкачки* (swap-файл) на диске – информация о текущем состоянии виртуальной части ОЗУ, а также ранее находившиеся там данные;
● временные файлы, которые автоматически стираются при штатном завершении работы ОС или при загрузке ОС.
       Все перечисленные данные, кроме последних двух пунктов, хранятся в ОЗУ.
     Кроме того, к короткоживущим данным можно причислить образцы сетевого трафика в обоих направлениях – с исследуемого компьютера и на него. Проанализировать устройство и функции программы по содержимому ОЗУ (дампу памяти) бывает довольно сложно. Зато по генерируемому программой трафику во многих случаях нетрудно определить ее функции. Поэтому образец трафика компьютера за какой-то разумный период времени будет хорошим дополнением для исследования работы неизвестных программ.
     Понятно, что короткоживущие данные (кроме области подкачки) можно снять лишь с работающего компьютера. После выключения все такие данные будут утрачены. То есть снятие короткоживущих данных производится не экспертом при проведении КТЭ, а специалистом во время следственного действия. Исключение – экспертиза КПК (наладонного компьютера), который обычно хранится во включенном состоянии, но в режиме гибернации.
     Стоит ли пытаться снять с работающего компьютера короткоживущие данные? С одной стороны, среди них могут оказаться полезные и даже очень ценные, например, запись о текущей TCP-сессии с атакуемым узлом или ключ для доступа к криптодиску. С другой стороны, при снятии содержимого ОЗУ невозможно не изменить информацию на компьютере, в том числе на его диске. Это может отрицательно повлиять на оценку достоверности последующей экспертизы. В каждом случае это решает специалист, оценивая, какой аспект важнее для дела – сохранность долгоживущей информации или возможность получить короткоживущую критичную. Разумеется, для этого специалист должен быть проинформирован о существенных обстоятельствах дела.
     Например, при использовании подозреваемым криптодиска получить доступ к его содержимому можно либо как-то узнав пароль, либо застав компьютер во включенном состоянии с активированным (монтированным) криптодиском. После демонтирования криптодиска узнать пароль непросто.
   Стоит ли пытаться снять короткоживущую информацию, рискуя при этом существенно изменить данные на нем или сразу выключить компьютер, – решает специалист, исходя из материалов дела.
     В любом случае, настоятельно рекомендуется снять минимально возможную без риска короткоживущую информацию – сфотографировать или описать текущее изображение на экране включенного компьютера.




ОСОБЕННОСТИ ИЗЪЯТИЯ СМЕННЫХ НАКОПИТЕЛЕЙ

      Есть несколько стандартных типов таких накопителей.


     Это ныне уже устаревшие и выходящие из употребления гибкие магнитные диски (ГМД) или дискеты, магнитооптические диски, компакт-диски (CD), DVD-диски, сменные флэш-карты, а также НЖМД, выполненные в отдельном корпусе.



ОСОБЕННОСТИ ИЗЪЯТИЯ ЦИФРОВЫХ ФОТОАППАРАТОВ

      Практически все цифровые фотоаппараты (фотокамеры) имеют сменный и встроенный накопитель достаточно большой емкости. Этот накопитель доступен пользователю не только для чтения, но и для записи.


       Поэтому кроме отснятых фотографий и видеороликов там можно найти и иную пользовательскую информацию. Иногда цифровой фотоаппарат используется в качестве переносного USB-накопителя.




воскресенье, 20 марта 2011 г.

ОСОБЕННОСТИ ИЗЪЯТИЯ МОДЕМОВ

      В некоторых модемах хранится пользовательская информация – настройки сети или телефонные номера провайдера.


     Если нет специалиста, который может указать, какая именно модель модема здесь присутствует – с памятью или без, – то модем надо отключить от электропитания, опечатать и изъять.




ОСОБЕННОСТИ ИЗЪЯТИЯ АВТОМОБИЛЬНЫХ КОМПЬЮТЕРОВ

     Бортовым компьютером оснащены практически все современные модели автомобилей. Основное его предназначение – оптимизация режима двигателя с целью экономии горючего. Компьютер собирает многочисленные данные с различных устройств автомобиля. В случае аварии в нем можно найти сведения о нескольких последних секундах – скорость, обороты, позиции педалей газа и тормоза, режим стеклоочистителей, осветительных приборов и т.п.


       Кроме того, бортовой компьютер выполняет навигационные функции либо для этого установлен отдельный навигационный компьютер. В нем фиксируется расположение автомобиля в разные моменты времени, вычисляются возможные маршруты следования до заданных точек.
    К сожалению, бортовые компьютеры не унифицированы, как персональные. Расположение компьютера и его запоминающего устройства зависит от модели автомобиля.
     Для изъятия или копирования носителей компьютерной информации следует пригласить специалиста из фирменного (авторизованного) центра техобслуживания соответствующего автопроизводителя.




ОСОБЕННОСТИ ИЗЪЯТИЯ КОММУТАТОРОВ И МАРШРУТИЗАТОРОВ

      Обычно коммутатор (switch) имеет внутреннюю энергонезависимую память, в которой помещается только операционная система и файл конфигурации. Именно конфигурация может быть предметом интереса следствия. Мелкие коммутаторы могут не иметь доступной пользователю памяти, хотя свою конфигурацию (настройки) все же сохраняют.        Совсем мелкие коммутаторы для домашнего использования и хабы могут не иметь даже настроек.
     Маршрутизатор (router), в зависимости от своего назначения, может иметь столь же небольшую память, как и коммутатор, где хранится лишь относительно небольшой файл конфигурации, а может иметь и более существенное устройство хранения, например, жесткий диск.


     Конфигурация маршрутизатора или коммутатора может заинтересовать следствие лишь при некоторых специфических типах преступлений.
      В большинстве случаев их конфигурация не представляет интереса.
     Снять всю конфигурацию с маршрутизатора или коммутатора специалист может на месте, если знать пароль для доступа.
    Включенные коммутаторы и маршрутизаторы следует при изъятии отключать вытаскиванием электрического шнура либо аппаратным переключателем (рубильником), который находится прямо на встроенном блоке питания.




ОСОБЕННОСТИ ИЗЪЯТИЯ МОБИЛЬНЫХ ТЕЛЕФОНОВ

     Перед тем, как рассмотреть изъятый мобильный телефон в качестве носителя компьютерной информации, следует решить, требуется ли получить с него материальные следы – отпечатки пальцев, следы наркотиков, иные.


      Следует помнить, что некоторые методы снятия отпечатков могут привести телефон в негодность.
     В большинстве случаев при изъятии нужно выключить мобильный телефон, чтобы исключить потерю имеющихся данных вследствие поступления новых вызовов и новых SMS. Аккумулятор вынимать не следует.
     Однако в некоторых случаях руководитель операции может решить, что контролировать поступающие вызовы важнее. Тогда телефон надо оставить включенным и подзаряжать его по мере необходимости.
     Выключенный телефон упаковывается в жесткую упаковку и опечатывается так, чтобы исключить доступ к органам его управления. Это отмечается в протоколе.
     При выключении телефона не надо беспокоиться о PIN-коде на доступ к данным в SIM-карте телефона. У оператора связи в любой момент можно узнать PUK (PIN unlock key) и с его помощью получить доступ к SIM-карте.
     О полевом и лабораторном исследовании информации из мобильных телефонов есть достаточно много технической литературы.




ОСОБЕННОСТИ ИЗЪЯТИЯ ФЛЭШ-НАКОПИТЕЛЕЙ

       Накопители на флэш-памяти выпускаются в виде самостоятельных устройств, а также в составе других устройств, таких как аудиоплееры или цифровые фотоаппараты. Форма и размер устройств с флэш-накопителями также весьма разнообразны. Чаще всего такие накопители снабжены интерфейсом типа USB, по которому их и можно опознать.
 
         Такие накопители не теряют данные при отсутствии электропитания, поэтому их можно хранить долгое время. При изъятии следует опечатать так, чтобы исключить доступ к USB-разъему и органам управления (если такие органы есть).
        Снять копию флэш-накопителя на месте, в принципе, можно. Как это сделать, смотрите в разделе «Компьютерно-техническая экспертиза». Но особенной необходимости в таком копировании нет, поскольку флэш-накопитель все равно изымается, когда есть основания полагать, что на нем может содержаться существенная для дела информация. Затем он передается на экспертизу. Снимать копию на месте логично в тех случаях, когда ждать результатов экспертизы нет времени и нужно быстро получить информацию для продолжения расследования. В таких случаях специалист снимает копию с накопителя на месте, сам накопитель опечатывается, изымается и откладывается ждать экспертизы, а его копия подвергается исследованию с целью получения неофициальной, зато срочной информации.




ОСОБЕННОСТИ ИЗЪЯТИЯ ПРИНТЕРОВ

     Современные принтеры (за очень редким исключением) не имеют доступных пользователю носителей компьютерной информации. Поэтому изымать принтеры нет необходимости. Надо только изъять все распечатки, обнаруженные в выходном лотке принтера или подле него, поскольку такие распечатки также содержат компьютерную информацию. Кроме того, некоторые фотопринтеры имеют разъем для непосредственного подключения носителей информации типа флэш-накопителей. Если такой накопитель оставлен в разъеме принтера, его нужно изъять, а принтер можно не трогать. При проведении осмотра или обыска следует отразить в протоколе наличие принтера и способ его подключения к компьютеру.
      Из этого правила есть одно исключение – дела о подделке документов.
    Принтеры очень часто используются для изготовления поддельных документов, поскольку их разрешающая способность (от 600 точек на дюйм и больше) превышает разрешающую способность человеческого глаза. То есть фальшивку, отпечатанную на современном принтере, отличить на глаз нельзя.
     Экспертиза может установить, что поддельный документ был напечатан именно на этом конкретном принтере или с использованием конкретного картриджа.
    Когда в деле фигурируют поддельные документы, то кроме компьютеров и машинных носителей информации следует также изымать:
● принтеры;
● картриджи для принтеров (кроме, может быть, новых в упаковке) и иные расходные материалы (тонер, ленты, чернила);
● все обнаруженные распечатки;
● чистую бумагу и пленку, приготовленные для использования в принтере.
     Принтер следует опечатать так, чтобы сделать невозможным подключение электропитания и доступ к печатающему узлу без нарушения упаковки. Этот факт отразить в протоколе. Иные изъятые материалы также следует опечатать.




ОСОБЕННОСТИ ИЗЪЯТИЯ НАЛАДОННОГО КОМПЬЮТЕРА (КПК)

      К данному классу относятся: КПК, PDA (Personal Digital Assistant), palmtop, pocket PC, органайзеры, смартфоны, коммуникаторы, электронные дневники.
    Особенностью этого класса компьютеров является то, что значительная часть пользовательских данных хранится у них в оперативной, энергозависимой памяти. При отключении питания наладонника вся такая информация безвозвратно пропадет.
     Штатное состояние «выключен» у наладонника фактически означает не выключение, а режим «засыпания» или гибернации. При этом электроэнергия расходуется только на поддержание оперативной памяти.
     Храниться в таком состоянии он может до нескольких дней, в зависимости от текущего состояния аккумулятора.
     Если наладонник включен (активен) на момент начала обыска, то прежде всего следует сфотографировать или иным образом зафиксировать содержимое экрана. При неактивности экран автоматически гаснет, а наладонник переходит в режим гибернации через несколько минут. После фотографирования можно выключить его вручную кнопкой «power», если есть такая кнопка.
   Касаться экрана наладонника нельзя, поскольку экран у него является чувствительным; каждое прикосновение к экрану воспринимается как команда.
      Извлекать аккумулятор из наладонника нельзя.
     Вместе с ним обязательно следует изъять крэдл (подставку с устройством питания и сопряжения) либо иное зарядное устройство. Хранить наладонник сам по себе, без подзарядки, можно недолго, обычно несколько дней. Длительность хранения зависит от первоначального состояния аккумулятора. После его истощения содержимое оперативной памяти будет утрачено. Лучше не рисковать и после изъятия как можно быстрее передать компьютер эксперту. А до такой передачи, по возможности, хранить его вставленным в крэдл, чтобы аккумулятор не истощался. В крэдле (который, естественно, должен быть подключен к электросети) хранить наладонник можно неограниченно долго. Правда, хранение в крэдле несовместимо с опечатыванием компьютера.
    В протоколе обыска (изъятия, личного досмотра) следует указать примерно следующее: «При осмотре и изъятии наладонного компьютера его кнопки не нажимались, экрана не касались, аккумулятор или съемные накопители не извлекались. Наладонный компьютер в состоянии гибернации (засыпания) был упакован и опечатан так, чтобы исключить всякий доступ к органам его управления (клавиши, экран) и к его разъемам без повреждения печатей».




ОСОБЕННОСТИ ИЗЪЯТИЯ НОУТБУКА

     Если ноутбук включен на момент начала обыска, то прежде всего следует сфотографировать или иным образом зафиксировать содержимое экрана, как это указывалось выше.
       Чтобы выключить ноутбук, недостаточно вытащить из него шнур питания; при этом ноутбук перейдет на питание от аккумулятора. Для обесточивания надо извлечь аккумулятор. При этом не следует закрывать крышку ноутбука, складывать его. При складывании обычно активизируется функция гибернации («засыпания»), а это означает внесение изменений в информацию на диске, что нарушит вышеозначенные принципы.