СВЕЖИЕ НОВОСТИ ИНТЕРНЕТА

WM.копилка - Копилка для Вашего сайта.

Поиск по этому блогу

воскресенье, 17 апреля 2011 г.

ЗАДАЧИ КТЭ: ПОЛЬЗОВАТЕЛЬ

     Оценка квалификации и некоторых других особенностей личности пользователя исследуемого компьютера.
    При достаточно интенсивном использовании компьютера человек неизбежно оставляет в нем «отпечаток» собственной личности. Документы, фотографии, музыка, переписка, настройки, оформление, закладки, временной режим работы, подбор программ – все это индивидуализирует информационное содержимое компьютера. Все это отражает интеллект пользователя, его эмоции, наклонности, способности.
      Нет уверенности, что вопрос полностью лежит в сфере КТЭ. Возможно, ради более строгого подхода такая экспертиза должна быть комплексной, компьютерно-психологической. Во всяком случае, вопрос квалификации пользователя в области ИТ точно в компетенции эксперта, проводящего КТЭ. Конечно, для оценки квалификации на исследуемом носителе должны находиться соответствующие объекты, результаты интеллектуальной деятельности – написанные пользователем программы, переписка по нетривиальным техническим вопросам, сложные программные инструменты (например, отладчик).
     Следует заметить, что некорректно ставить вопрос об «установлении личности пользователя компьютера». Любые выводы о личности на основе найденных на диске плодов интеллектуальной и творческой деятельности могут носить лишь предположительный характер.




ЗАДАЧИ КТЭ: ВРЕМЯ

     Установление времени и последовательности совершения пользователем различных действий.
      Благодаря наличию у компьютера внутренних энергонезависимых часов и простановке в различных местах временных меток становится возможным определить, когда и в какой последовательности пользователь производил различные действия.
       Если внутренние часы компьютера были переведены вперед или назад (в том числе неоднократно), все равно имеются возможности восстановить правильное время и правильную последовательность событий. Перевод часов компьютера сам по себе оставляет следы. А если еще было и сетевое взаимодействие, то есть возможность сопоставить моменты событий, зафиксированные данным компьютером, с событиями по иным источникам и выяснить сдвиг внутренних часов.
      Задача выполнима даже в том случае, если системный блок, содержащий внутренние часы, не находится в распоряжении экспертизы. Только по носителю информации (например, НЖМД) можно получить кое-какие сведения о последовательности событий. Чем больше информации на носителе, тем полнее будет восстановлена картина.
     Отмечена даже такая экзотическая задача, как подтверждение/опровержение алиби подозреваемого, который утверждает, что в определенное время работал за компьютером. В этом случае, хотя речь не идет о компьютерном преступлении, для проверки алиби потребуется КТЭ.




ЗАДАЧИ КТЭ: ПРОГРАММЫ

     Анализ программ для ЭВМ на предмет их принадлежности к вредоносным, к средствам преодоления ТСЗАП, к инструментам для осуществления неправомерного доступа к компьютерной информации, к специальным техническим средствам, предназначенным для негласного получения информации. А также анализ функциональности программ, принципа действия, вероятного их источника, происхождения, автора.
     Иногда необходимо более глубокое исследование программ. То есть исследование не просто их свойств и функциональности, а происхождения, особенностей взаимодействия с другими программами, процесса создания, сопоставление версий. Такое глубокое исследование подразумевает дизассемблирование программы, запуск под отладчиком (пошаговое исполнение), исследование структуры данных. Это предмет отдельной экспертизы, иногда ее называют программно-технической. Редко можно найти эксперта, сочетающего специальные знания по ИТ и по программированию. Поэтому рекомендуется проводить две отдельные экспертизы – первая изучает содержимое компьютерных носителей, а вторая особенности обнаруженных программ.
     Такое более глубокое исследование программ необходимо далеко не всегда. Например, вредоносность программы – это совокупность ее функций. Вредоносность может установить эксперт-специалист по ИТ. А вот для сопоставления объектного кода программы с фрагментом исходного кода необходимо участие эксперта-программиста.




ЗАДАЧИ КТЭ: СЛЕДЫ

     Поиск «цифровых» следов различного рода действий, совершаемых над компьютерной информацией. Вопрос лучше формулировать не проследы, а про действия. То есть вместо «имеются ли следы создания таких-то веб-страниц?» лучше поставить вопрос так: «создавались ли на исследуемом компьютере такие-то веб-страницы?».
     Когда компьютер используется как средство доступа к информации, находящейся в ином месте, и когда доступ к информации осуществляется на этом компьютере – в обоих случаях остаются «цифровые» следы, следы в виде компьютерной информации. КТЭ может определить, когда, при каких условиях и каким образом осуществлялся доступ. Кто его осуществлял, КТЭ определить не может. Лишь в некоторых случаях эксперту удается обнаружить некоторые сведения о пользователе исследуемого компьютера.
     Действия, которые оставляют следы на компьютере или на носителе информации, включают: доступ к информации, ее просмотр, ввод, изменение, удаление, любую другую обработку или хранение, а также удаленное управление этими процессами.




ЗАДАЧИ КТЭ: ПОИСК ИНФОРМАЦИИ

      Поиск на компьютерном носителе документов, изображений, сообщений и иной информации, относящейся к делу, в том числе в неявном (удаленном, скрытом, зашифрованном) виде.
      Рекомендуется не конкретизировать вид и содержание искомой информации. Эксперт вполне может самостоятельно решить, относится ли тот или иной текст, изображение или программа к делу. В ходе поиска информации эксперту приходится просматривать глазами тысячи текстов и изображений. Понятно, что невозможно распечатать и приложить к заключению их все – с тем, чтобы потом следователь решил, что из найденного относится к делу. Эксперт в любом случае вынужден проводить первичную селекцию и принимать решение, что именно из найденного приобщать. Вынужден в силу объемов информации. Типичный объем архива электронной почты среднего пользователя – мегабайты. Для более активного пользователя – сотни мегабайт. Это не поместится ни в одно заключение (протокол). Поэтому эксперта следует ознакомить с уголовным делом или хотя бы кратко изложить его фабулу в постановлении о назначении КТЭ. И запросить у него поиск «любой информации, относящейся к данному делу».




МЕСТО И РОЛЬ КОМПЬЮТЕРНО-ТЕХНИЧЕСКОЙ ЭКСПЕРТИЗЫ

     С точки зрения места в раскрытии и расследовании уголовного дела компьютерно-техническая экспертиза (КТЭ) ничем не отличается от других видов экспертиз.
Компьютерная информация, являющаяся объектом или средством совершения компьютерного преступления, хотя и может быть предназначена для обычных людей, но исследовать ее могут только специалисты.
     Практически любое обращение с компьютерной информацией требует специальных знаний. А источником таких знаний, согласно закону, может быть только специалист или эксперт. Устанавливать факты, касающиеся компьютерной информации, можно только на основании экспертизы. Отсюда и особая роль КТЭ при расследовании.
     Несведущим людям может показаться, что многие действия над компьютерной информацией не требуют специальных знаний. Действительно, современные компьютеры и ПО предназначены для широкого круга пользователей. И пользователи (в том числе малоквалифицированные) успешно выполняют на них обычные задачи, такие как редактирование текстов, отправка и получение электронной почты, создание и распечатка рисунков. Зачем же тут специальные знания?
     Чтобы найти ответ, давайте немного вспомним историю развития вычислительной техники. В 1960-х годах для работы на ЭВМ следовало не просто иметь специальные знания, но и быть программистом. Затем были созданы программы для решения некоторых типовых задач, и навык программиста перестал быть обязательным. Но управление работой ЭВМ по-прежнему было недоступно для неспециалиста. В 1980-х годах появились первые персональные компьютеры, научиться работать с которыми мог обычный человек. Обучение тем не менее все же требовалось. И это ограничивало рынок сбыта персональных компьютеров. Но ПО стремительно развивалось. И одним из главных направлений его развития являлось обеспечение простого, наглядного и относительно привычного интерфейса для неквалифицированного пользователя. Ориентация на массового покупателя – залог успеха для коммерческого ПО. Некоторые современные ОС делают освоение персонального компьютера довольно простой задачей, поскольку сводят «многомерное» управление к выбору из списка действий, а вместо технических терминов оперируют менее адекватными, но более привычными для простого человека аналогами: «документ» вместо «файл», «папка» вместо «каталог», «отправка сообщения» вместо «установление SMTP-сессии» и так далее. Многие операции автоматизированы за счет снижения функциональности. Многие другие операции просто скрыты от пользователя. Все это стало возможным благодаря развитию программного обеспечения. Биты в современных компьютерах точно такие же, как и 40 лет назад. И набор арифметическо-логических операций процессора мало изменился. Кажущаяся простота – это не более чем поднятие пользователя на более высокий уровень абстрагирования от технической реализации операций. Такое поднятие вовсе не означает понимания. Напротив, простота управления достигается за счет снижения понимания сути производимых действий.
     Приведем простую аналогию. В начале XX века управление автомобилем было неразрывно связано с его техобслуживанием (довольно трудоемким) и починкой. В течение нескольких десятилетий вождение автомобиля оставалось профессией, которой положено было учиться. По мере развития техники автомобиль превратился в потребительский товар, доступный самому широкому кругу. Ездить на машине перестало означать ее обслуживать. У некоторых современных моделей даже не открывается капот, поскольку пользователю это не нужно. В автошколах уже перестали учить устройство двигателя. Нужны ли специальные знания для современного автолюбителя? Почти нет. А для проведения экспертизы автотехники?
     Для пользования современным компьютером специальные знания действительно не требуются. Это происходит благодаря высокой степени отчуждения пользователя от технической реализации обработки информации. Между «верхним слоем», то есть графическим интерфейсом пользователя, и «нижним слоем», то есть битовыми массивами данных, лежитмного промежуточных «слоев» из форматов, протоколов, драйверов, API, системных функций и прикладных программ. На каждом из них остаются следы. Каждый «слой» вносит свою лепту в изменение компьютерной информации, в образование цифровых следов. Для поиска и изучения этих следов специальные знания нужны. Из-за отчуждения пользователя от реализации бóльшая часть информации от него скрыта. Почти все процессы происходят не так, как они представляются пользователю.




ПРИМЕР НОТАРИАЛЬНОГО ПРОТОКОЛА ОСМОТРА ВЕБ-САЙТА

     Нотариус не проверяет правильность разрешения доменного имени, не может противостоять различным способам подмены контента, не контролирует актуальность содержимого (отсутствие кэширования), не проверяет, отличается ли контент, отдаваемый пользователям из разных регионов, и так далее. Тем не менее достоверность такого осмотра – на достаточном уровне.
      Тем не менее, чтобы застраховаться от возможных ошибок или злонамеренных действий, в осмотре может участвовать и специалист.
Ниже приводится образец протокола осмотра веб-сайта нотариусом совместно со специалистом.





ПУТАНИЦА САЙТА И ДОМЕННОГО ИМЕНИ

     Часто отождествляют веб-сайт и доменное имя, под которым этот сайт живет. На самом деле веб-сайт и домен – разные сущности как с технической, так и с правовой точки зрения.
     Описанная путаница – следствие не только слабого понимания технических вопросов функционирования веб-сайтов. Неверному пониманию и отождествлению доменного имени и веб-сайта способствуют некоторые юристы, представляющие истцов по гражданским делам, связанным с веб-сайтами и информацией на них.
      Как известно, обязанность найти ответчика лежит на истце. Его следует не просто найти, а представить суду доказательства того, что веб-сайт принадлежит ему. Веб-сайты не подлежат обязательной регистрации, нет никакой системы учета сайтов и их владельцев. А провайдеры (операторы связи) весьма неохотно сообщают данные о своих клиентах, ссылаясь на коммерческую тайну или защиту персональных данных.
      В противоположность этому владельца доменного имени 2-го уровня узнать легко. Сведения о нем содержатся в общедоступной базе данных регистраторов доменных имен. Получить письменную справку с такими сведениями также несложно – распечатку с публичными данными сервиса whois легко заверит любой регистратор.
    Таким образом, обстоятельства диктуют представителям истцов решение – назначить ответчиком не владельца веб-сайта, а владельца соответствующего домена.
Надо признать, что в большинстве случаев владелец домена 2-го уровня и владелец живущего на этом домене веб-сайта – одно и то же лицо. В большинстве случаев, но далеко не всегда. Кроме того, большинство веб-сайтов живут на домене не 2-го уровня, а 3-го. То есть на домене вида «www.example.com». Несмотря на то, что «www» – это стандартное имя 3-го уровня для веб-сайта, владельцы «www.example.com» и «example.com» могут быть разными.
       Также далеко не всегда совпадают владелец веб-сайта и владелец размещенного на этом сайте контента.
      Для гражданских дел можно попытаться возложить ответственность за контент сайта на владельца этого сайта, на оператора связи или даже на владельца доменного имени. За то, что создали условия размещения, не воспрепятствовали и т.д. В ряде случаев такое возложение ответственности истцам удавалось. Но для уголовных дел подобная натяжка не пройдет. Ответственность может нести только лицо, разместившее информацию на веб-сайте. В отношении владельца сайта, его провайдера, владельца домена можно говорить лишь о соучастии, и то – в весьма редких случаях.




ПРАВОВАЯ ЗАЩИТА ДОМЕНА

     Система доменных имен была придумана для облегчения запоминания человеком сетевых адресов. С массовым развитием системы WWW и с коммерциализацией Интернета доменное имя приобрело коммерческую ценность. А ценности нуждаются в законодательной защите. Тем более что стоимость самых дорогих доменных имен может исчисляться миллионами долларов. И законодательная защита была дана. Ныне домен – не просто удобная для человека форма сетевой адресации, но объект интеллектуальной собственности.
     В одних странах отношения по поводу доменных имен сети Интернет напрямую регулируются законодательством, в других странах домены охраняются в числе прочих средств индивидуализации. В России доменное имя упоминается в законе «О товарных знаках...». В Гражданском кодексе доменные именаупоминанаютс как объекта регулирования.




РАЗМЕЩЕНИЕ ИНФОРМАЦИИ В ФАЙЛООБМЕННЫХ СЕТЯХ

     Термином «файлообменные сети» (также «пиринговые сети», «P2P-сети») называют семейство программ и протоколов, позволяющих создавать одноранговые сети в пределах глобальной компьютерной сети для обмена файлами, а также сами эти сети. Целями создания и функционирования таких сетей являются надежность, независимость от какого бы то ни было центра, относительная анонимность, возможность функционирования на персональных компьютерах и «узких» каналах связи.
     В отличие от веб- и FTP-серверов, через распространение которых контент легко отслеживается, при распространении файлов через одноранговые пиринговые сети отключение любого числа узлов не влияет на работоспособность сети в целом.
      Наиболее известные файлообменные сети:
● Napster – одна из первых файлообменных сетей, ныне не работающая; имела единый центр, из-за чего была закрыта по иску правообладателей;
● eDonkey2000 (сокращенно ed2k) – крупнейшая гибридная файлообменная сеть; поиск выполняют специализированные серверы, связанные между собой; клиенты самостоятельно обмениваются файлами по протоколу MFTP;
● Bittorrent – сеть, специализированная для распространения файлов большого объема;
● OpenFT – OpenFastTrack поддерживается клиентами giFT (KCeasy), mlDonkey;
● Gnutella – сеть, использующая протокол, разработанный компанией Nullsoft;
● MP2P (Manolito P2P) – поддерживается клиентами Blubster, Piolet, RockItNet;
и другие.
     Каждый желающий участвовать в файлообменной сети должен установить на свой компьютер программу-клиент. Для каждой из сетей существует по нескольку различных программ-клиентов под разные операционные системы.
     После подключения к Сети пользователь получает возможность скачивать к себе на компьютер любые имеющиеся в Сети файлы, а одновременно с этим другие пользователи получают возможность скачивать файлы, имеющиеся у него.
     Наиболее известные программы-клиенты файлообменных сетей (в скобках указаны поддерживаемые сети/протоколы):
● aMule (eDonkey network, Kad network);
● Shareaza (BitTorrent, eDonkey, Gnutella, Gnutella2);
● FileScope (eDonkey network, Gnutella, Gnutella2, OpenNAP);
● MLDonkey (BitTorrent, Direct Connect, eDonkey network, FastTrack, Gnutella, Gnutella2, Kad Network, OpenNap, SoulSeek, HTTP/FTP);
● Napshare (Key network, MUTE network);
● Kiwi Alpha (Gnutella, Gnutella2);
● Morpheus (NEO Network, Gnutella, Gnutella2, BitTorrent );
● Zultrax (Gnutella, ZEPP).
     По понятным причинам, основным контентом пиринговых сетей является незаконный, а также полузаконный, оскорбительный, неэтичный и другой проблемный контент. Обычно распространяются музыкальные MP3-файлы, фильмы, фотографии, дистрибутивы программного обеспечения.

ДОКАЗАТЕЛЬСТВО НАЛИЧИЯ КОНТЕНТА

     Доказательством наличия определенного контента в файлообменной сети могут служить свидетельские показания или заключение эксперта.
     Поскольку присоединиться к такой сети может любой желающий, а для обычного использования файлообменного ПО специальных знаний не требуется, то не должно возникнуть проблем с обеспечением доказательств наличия контента. Сложнее обстоит дело с выявлением источника этого контента.

ВЫЯВЛЕНИЕ ИСТОЧНИКА

    Прежде всего следует заметить, что, поскольку файлообменные сети децентрализованные, понятие «источник файла» в них достаточно условно. Пока какой-либо файл лежит на единственном узле такой сети, этот узел можно назвать источником. При этом информация о файле (индексная информация) распространяется по всей сети. Но каждый узел, который начинает закачку этого файла, сам в тот же момент становится его источником, неотличимым от первичного. По окончании полной закачки файла узел либо продолжает служить его источником, либо прекращает – в зависимости от решения пользователя. Понятно, что пользующийся спросом файл, только появившись в файлообменной сети, сразу же начинает закачиваться множеством узлов и приобретает в их лице множество источников.
       Поэтому не имеет смысла говорить о первичном источнике какого-либо файла.
Можно говорить лишь о нахождении файла (фрагментов файла) на конкретном узле и его доступности другим.
    Передача же файла происходит обычно напрямую между узлами. Тогда можно определить IP-адрес узла-источника. Другой информации об этом узле, как правило, получить не удается.
     Некоторые файлообменные сети не позволяют легко определить источник файла. Любой узел в таких сетях может выступать посредником при передаче, скрывая истинный источник. Это посредничество – чисто техническая особенность, не зависящая от воли пользователя. Поэтому хотя узел с технической точки зрения является посредником, с юридической точки зрения его владелец или оператор посредником не является, не имеет прямого умысла на такое посредничество и даже косвенного умысла не всегда имеет.
    Таким образом, в ряде случаев мы имеем возможность относительно просто определить IP-адрес узла файлообменной сети, являющегося источником определенного файла. В других случаях (с узлами-посредниками) определение источника сильно затруднено. Определить же первичный или оригинальный источник файла не представляется возможным.

ДОКАЗАТЕЛЬСТВО ИСПОЛЬЗОВАНИЯ

     Доказательством того факта, что известное лицо использовало файлообменные сети, может служить следующее:
● протокол экспертизы компьютера интересующего нас лица, содержащий вывод о том, что на исследуемом компьютере было установлено ПО файлообменных сетей и это ПО использовалось по назначению;
● показания иного участника файлообменной сети о том, что он взаимодействовал в этой сети с узлом, имеющим тот же IP-адрес, что использовался интересующим нас лицом;
● протокол экспертизы компьютера иного участника файлообменной сети, содержащий вывод о том, что на исследуемом компьютере было установлено ПО файлообменных сетей, это ПО использовалось по назначению и обнаружены следы взаимодействия с IP-адресом интересующего нас лица;
● протокол осмотра или экспертизы компьютера оператора связи (провайдера), где зафиксировано наличие логов, отражающих информацию о трафике IP-адреса интересующего нас лица, причем в этом трафике присутствовали характерные для файлообменных сетей особенности (протоколы, порты, IP-адреса популярных узлов).
     Трафик файлообменных сетей не является тайной связи, поскольку не относится к общению между человеком и человеком. Следовательно, для ознакомления с ним не требуется судебного решения. Однако такой трафик является тайной частной жизни (ч. 1 ст. 23 Конституции).

ВИДЫ ПРЕСТУПЛЕНИЙ

    Некоторые считают файлообменные сети принципиально криминальными, поскольку легальный контент в них встречается редко, а основной трафик составляет в той или иной степени нелегальный.
     Такая точка зрения не является общепринятой. Файлообменные сети созданы не только ради безнаказанности. Они имеют существенные преимущества возможность быстро распространять большие объемы информации одновременно многим пользователям при использовании слабых и ненадежных каналов связи.
      Как бы то ни было, действующие на сегодня файлообменные сети сами по себе не поставлены под запрет ни в одной стране. Преследуются только правонарушения, совершаемые с их использованием. Как правило это преступления, связанные с нарушением авторских прав и распространением порнографии.




воскресенье, 10 апреля 2011 г.

РАЗМЕЩЕНИЕ ИНФОРМАЦИИ В ТЕЛЕКОНФЕРЕНЦИИ (NEWSGROUP)

      Телеконференции представляют собой систему серверов, объединенных между собой протоколом NNTP и содержащих примерно один и тот же контент. Контент представляет собой множество сообщений (обычно коротких), организованных в группы с иерархической структурой имен. Сообщения – короткоживущие, каждое из них, появившись на любом из серверов, за короткое время (минуты) распространяется по всем остальным, а через несколько дней устаревает и автоматически удаляется. Пользователь может подключиться по тому же протоколу NNTP к любому из серверов и получить с него все или только интересующие группы и отдельные сообщения, а также опубликовать свое сообщение.
      Вследствие особенностей используемого протокола, система телеконференций дает относительную анонимность пользователя. Возможно, из-за этого в телеконференциях присутствует значительное количество незаконного и сомнительного контента – порнографии, контрафактной музыки. Правда, «тяжелый» контент для телеконференций неудобен.
     Например, фотография объемом 20-50 кбайт вполне помещается в одно сообщение. Музыкальное произведение в формате MP3 объемом 4-5 Мбайт должно быть разделено на несколько сообщений. Чем больше сообщений, тем труднее потом «читателю» собрать вместе исходный файл.
      Поэтому произведения большого объема, порядка десятков мегабайт и свыше, в телеконференциях не публикуются.
      Из служебных заголовков сообщения телеконференции можно установить, через какой сервер этой системы (они обычно именуются ньюс-серверами или NNTP-серверами) сообщение было опубликовано. IP-адрес пользователя, опубликовавшего сообщение, в заголовках обычно не фиксируется. Системы аутентификации и авторизации в протоколе NNTP не предусмотрено, только ограничения на основании IP-адреса. Логи, в которых фиксируется, какой пользователь какое сообщение прочитал или опубликовал, серверами ведутся, но далеко не всегда. А когда ведутся, их объем редко позволяет хранить историю более чем за несколько суток.
     Для удостоверения наличия определенного контента в телеконференциях можно использовать один из способов, рекомендуемых в посте «Размещение информации на веб-сайте», то есть провести осмотр, нотариальный осмотр или экспертизу. Для проведения осмотра или экспертизы придется подключиться к любому из ньюс-серверов, совсем не обязательно к тому же самому, на котором сообщение было впервые обнаружено. Их контент различается между собой лишь постольку, поскольку различается время хранения сообщений на разных серверах.
      Бывают анонимные NNTP-сервера, владельцы которых утверждают, что не ведут логов, и этим стараются привлечь подписчиков.
     Чтобы установить источник конкретного сообщения в телеконференцию, надо предпринять следующие действия:
● Получить само сообщение со всеми служебными заголовками. Эти заголовки обычно не показываются программой просмотра (ньюс-ридером), чтобы их увидеть, надо специально включить соответствующий режим. Как это сделать, зависит от типа ньюс-ридера.
● По заголовкам установить, через какой сервер это сообщение было введено. Заголовок может быть и подложным, если источник предпринимал специальные меры для сохранения анонимности. Для надежности можно получить то же сообщение через несколько ньюссерверов и сравнить их заголовки.
● Обратиться к администратору того сервера, через который сообщение было опубликовано, и затребовать логи за соответствующий период. По ним можно установить IP-адрес, с которого сообщение опубликовано.
● Также можно поискать в телеконференциях другие сообщения, принадлежащие, судя по их содержимому, тому же источнику. Если первая попытка установить автора сообщения была неудачной, возможно, он попадется на следующем своем сообщении.
    Когда источник установлен, следует изъять компьютер, с которого предположительно публиковалось сообщение в телеконференцию. Экспертиза может установить факт публикации, факт создания сообщения, факт наличия на этом компьютере того же контента, что и в сообщении.
      Со стороны сервера факт публикации должен подтверждаться протоколом осмотра или экспертизы логов ньюс-сервера.
     Также возможен перехват трафика. По протоколу NNTP сообщения передаются в незашифрованном виде. Экспертиза перехваченного трафика также будет доказательством размещения сообщения.
     Если ожидается публикация сообщения в телеконференцию и при этом известен сервер, через который сообщение будет опубликовано, или же известна сеть, из которой оно придет, установить источник можно при помощи ОРМ «снятие информации с технических каналов связи», задействовав для этого СОРМ.
      Сообщение в телеконференцию не является сообщением от человека к человеку, поскольку оно адресовано неопределенному кругу лиц. Следовательно, это сообщение не охватывается правом на тайну связи (ч. 2 ст. 23 Конституции). Поэтому для отслеживания сообщений лица в телеконференции и его NNTP-трафика не надо получать судебного решения.



УДОСТОВЕРЕНИЕ СОДЕРЖИМОГО ВЕБ-САЙТА

      В российской практике применялись следующие способы удостоверения содержимого веб-сайта для судебных целей:
● распечатка веб-страниц через браузер;
● распечатка + рапорт сотрудника милиции;
● осмотр веб-сайта следователем с понятыми;
● такой же осмотр, но с участием специалиста;
● ответ оператора связи (провайдера) на запрос о содержимом сайта;
● экспертиза;
● нотариальное удостоверение (осмотр сайта нотариусом).
      Каждый из способов небезупречен. Хотя браузер и вся система WWW ориентированы на неподготовленных лиц, все же специальные знания требуются для того, чтобы убедиться в отсутствии ошибок и намеренных фальсификаций. Поэтому без участия специалиста корректность результата не гарантирована. Применение же экспертизы вроде бы избавляет от возможных ошибок. Но вызывает сомнение тот факт, что объект экспертизы (веб-страница, веб-сервер) находится не в распоряжении эксперта, а довольно далеко от него.




РАЗМЕЩЕНИЕ ИНФОРМАЦИИ НА ВЕБ-САЙТЕ

     В простейшем случае размещение на веб-сайте сводится к помещению файла в соответствующую директорию на сервере.
     В более сложных случаях для размещения информации могут потребоваться также следующие действия:
● регистрация или приобретение доменного имени, настройка DNS-серверов для него;
● установка и запуск веб-сервера;
● приобретение услуги провайдера по организации и поддержанию веб-сервера (хостинг или колокация);
● настройка веб-сервера;
● создание или модификация исходного кода веб-страницы на языке HTML, PHP и др.;
● создание или модификация CGI-скриптов для поддержания работы веб-сайта;
● создание или заказ художественного оформления (дизайна) веб-сайта;
● настройка аутентификации и авторизации на веб-сайте;
● сообщение каким-либо способом адреса (URL) размещенного файла или соответствующей веб-страницы заинтересованным лицам, рекламирование такого адреса;
● отслеживание работы веб-сайта, его статистики посещений, трафика, количества скачиваний размещенной информации, отзывов посетителей и т.д.;
● обновление, актуализация размещенной информации;
● удаление или блокирование размещенной информации.
     Каждое из указанных действий оставляет «цифровые» следы. Чем больше таких действий совершал злоумышленник, тем легче его идентифицировать и впоследствии доказать его вину.
      Как видно, следы могут быть достаточно многочисленными. Впрочем, речь идет не о поиске и изобличении лица, разместившего информацию, а о доказательстве наличия в Сети самой этой информации.




ПРОБЛЕМА ЗАВЕРЕНИЯ КОНТЕНТА

     Для доказывания многих преступлений и правонарушений необходимо доказать распространение или обнародование некоторой информации. Возбуждение межнациональной розни, клевета, пропаганда наркотиков, распространение порнографии, нарушение авторских прав – в состав этих и других преступлений входит такое действие, как распространение информации или произведения. Разумеется, в данном случае речь идет только о распространении через компьютерные сети, прежде всего Интернет.
Как доказать факт наличия определенной информации в сети в определенный период времени, а также ее общедоступность? Как установить лицо, разместившее информацию, и доказать этот факт?
      Сложности в доказательстве таких фактов суть следующие:
● невозможно произвести непосредственный осмотр размещенной информации (произведения), поскольку видеть можно лишь изображение на экране, возникшее вследствие сложных и не контролируемых процессов передачи, и преобразования изначально размещенной информации;
● подавляющее большинство веб-страниц – динамические, их контент зависит от времени, местоположения пользователя, его браузера, ряда случайных факторов;
● доступ к информации в Сети производится через посредство множества технических средств, о большинстве из которых не известно ничего определенного;
● во многих случаях доступ производится в интерактивном режиме, то есть для получения информации требуется проявление инициативы со стороны пользователя;
● существует много способов ввести в заблуждение пользователя, просматривающего информацию, – относительно самого факта размещения информации, ее содержания, адреса, времени;
● размещенную информацию в ряде случаев довольно просто и быстро убрать либо она уничтожается сама с течением времени;
● Интернет рассматривается многими как некая область особенной свободы или экстерриториальная зона, поэтому там существует много средств и возможностей для анонимизации, сокрытия следов, круговой поруки;
● существующие процессуальные нормы рассчитаны были исключительно на офлайновые документы и доказательства, в них редко учтены технические особенности компьютерных сетей.
      Между тем методы фиксации доказательств тем не менее существуют. В блоге рассмотрены наиболее распространенные методы размещения информации в Сети с указанием особенностей и приемлемых методов фиксации.




РАБОТА С ПОТЕРПЕВШИМИ

      Компьютерная информация имеет свойство легко и быстро утрачиваться. Задержка при сборе доказательств может привести к их неполучению. Поэтому потерпевших и свидетелей надо опросить на предмет таких доказательств как можно быстрее, не дожидаясь официального допроса.
      У потерпевших и очевидцев следует узнать следующее.
      Преступления, связанные с электронной почтой:
● адреса электронной почты – корреспондента и его собственный;
● сохранилось ли сообщение электронной почты (письмо), где именно оно сохранено;
● если сообщение сохранено, попросите передать его так, чтобы были доступны ВСЕ служебные заголовки, как это сделать, зависит от используемой программы-клиента;
● какая программа-клиент использовалась либо какой веб-интерфейс.
      Преступления, связанные с веб-сайтами:
● каков адрес (URL) веб-сайта;
● услугами какого интернет-провайдера пользуется потерпевший;
● в какое время (желательно точнее) он посещал веб-сайт;
● сохранилась ли у него копия или скриншот этого веб-сайта.
      Преступления, связанные с телеконференциями (newsgroups):
● услугами какого интернет-провайдера пользуется потерпевший;
● каково имя телеконференции;
● через какой ньюс-сервер осуществлялся доступ к телеконференциям;
● какое использовалось ПО для доступа к телеконференциям, не осуществлялся ли этот доступ через веб-гейт;
● каков subject и другие данные сообщения;
● сохранилось ли сообщение телеконференции, где именно оно сохранено;
● если сообщение сохранено, попросите передать его так, чтобы были доступны ВСЕ служебные заголовки, как это сделать, зависит от используемой программы-клиента.