СВЕЖИЕ НОВОСТИ ИНТЕРНЕТА

WM.копилка - Копилка для Вашего сайта.

Поиск по этому блогу

воскресенье, 17 апреля 2011 г.

ЗАДАЧИ КТЭ: ПОЛЬЗОВАТЕЛЬ

     Оценка квалификации и некоторых других особенностей личности пользователя исследуемого компьютера.
    При достаточно интенсивном использовании компьютера человек неизбежно оставляет в нем «отпечаток» собственной личности. Документы, фотографии, музыка, переписка, настройки, оформление, закладки, временной режим работы, подбор программ – все это индивидуализирует информационное содержимое компьютера. Все это отражает интеллект пользователя, его эмоции, наклонности, способности.
      Нет уверенности, что вопрос полностью лежит в сфере КТЭ. Возможно, ради более строгого подхода такая экспертиза должна быть комплексной, компьютерно-психологической. Во всяком случае, вопрос квалификации пользователя в области ИТ точно в компетенции эксперта, проводящего КТЭ. Конечно, для оценки квалификации на исследуемом носителе должны находиться соответствующие объекты, результаты интеллектуальной деятельности – написанные пользователем программы, переписка по нетривиальным техническим вопросам, сложные программные инструменты (например, отладчик).
     Следует заметить, что некорректно ставить вопрос об «установлении личности пользователя компьютера». Любые выводы о личности на основе найденных на диске плодов интеллектуальной и творческой деятельности могут носить лишь предположительный характер.




ЗАДАЧИ КТЭ: ВРЕМЯ

     Установление времени и последовательности совершения пользователем различных действий.
      Благодаря наличию у компьютера внутренних энергонезависимых часов и простановке в различных местах временных меток становится возможным определить, когда и в какой последовательности пользователь производил различные действия.
       Если внутренние часы компьютера были переведены вперед или назад (в том числе неоднократно), все равно имеются возможности восстановить правильное время и правильную последовательность событий. Перевод часов компьютера сам по себе оставляет следы. А если еще было и сетевое взаимодействие, то есть возможность сопоставить моменты событий, зафиксированные данным компьютером, с событиями по иным источникам и выяснить сдвиг внутренних часов.
      Задача выполнима даже в том случае, если системный блок, содержащий внутренние часы, не находится в распоряжении экспертизы. Только по носителю информации (например, НЖМД) можно получить кое-какие сведения о последовательности событий. Чем больше информации на носителе, тем полнее будет восстановлена картина.
     Отмечена даже такая экзотическая задача, как подтверждение/опровержение алиби подозреваемого, который утверждает, что в определенное время работал за компьютером. В этом случае, хотя речь не идет о компьютерном преступлении, для проверки алиби потребуется КТЭ.




ЗАДАЧИ КТЭ: ПРОГРАММЫ

     Анализ программ для ЭВМ на предмет их принадлежности к вредоносным, к средствам преодоления ТСЗАП, к инструментам для осуществления неправомерного доступа к компьютерной информации, к специальным техническим средствам, предназначенным для негласного получения информации. А также анализ функциональности программ, принципа действия, вероятного их источника, происхождения, автора.
     Иногда необходимо более глубокое исследование программ. То есть исследование не просто их свойств и функциональности, а происхождения, особенностей взаимодействия с другими программами, процесса создания, сопоставление версий. Такое глубокое исследование подразумевает дизассемблирование программы, запуск под отладчиком (пошаговое исполнение), исследование структуры данных. Это предмет отдельной экспертизы, иногда ее называют программно-технической. Редко можно найти эксперта, сочетающего специальные знания по ИТ и по программированию. Поэтому рекомендуется проводить две отдельные экспертизы – первая изучает содержимое компьютерных носителей, а вторая особенности обнаруженных программ.
     Такое более глубокое исследование программ необходимо далеко не всегда. Например, вредоносность программы – это совокупность ее функций. Вредоносность может установить эксперт-специалист по ИТ. А вот для сопоставления объектного кода программы с фрагментом исходного кода необходимо участие эксперта-программиста.




ЗАДАЧИ КТЭ: СЛЕДЫ

     Поиск «цифровых» следов различного рода действий, совершаемых над компьютерной информацией. Вопрос лучше формулировать не проследы, а про действия. То есть вместо «имеются ли следы создания таких-то веб-страниц?» лучше поставить вопрос так: «создавались ли на исследуемом компьютере такие-то веб-страницы?».
     Когда компьютер используется как средство доступа к информации, находящейся в ином месте, и когда доступ к информации осуществляется на этом компьютере – в обоих случаях остаются «цифровые» следы, следы в виде компьютерной информации. КТЭ может определить, когда, при каких условиях и каким образом осуществлялся доступ. Кто его осуществлял, КТЭ определить не может. Лишь в некоторых случаях эксперту удается обнаружить некоторые сведения о пользователе исследуемого компьютера.
     Действия, которые оставляют следы на компьютере или на носителе информации, включают: доступ к информации, ее просмотр, ввод, изменение, удаление, любую другую обработку или хранение, а также удаленное управление этими процессами.




ЗАДАЧИ КТЭ: ПОИСК ИНФОРМАЦИИ

      Поиск на компьютерном носителе документов, изображений, сообщений и иной информации, относящейся к делу, в том числе в неявном (удаленном, скрытом, зашифрованном) виде.
      Рекомендуется не конкретизировать вид и содержание искомой информации. Эксперт вполне может самостоятельно решить, относится ли тот или иной текст, изображение или программа к делу. В ходе поиска информации эксперту приходится просматривать глазами тысячи текстов и изображений. Понятно, что невозможно распечатать и приложить к заключению их все – с тем, чтобы потом следователь решил, что из найденного относится к делу. Эксперт в любом случае вынужден проводить первичную селекцию и принимать решение, что именно из найденного приобщать. Вынужден в силу объемов информации. Типичный объем архива электронной почты среднего пользователя – мегабайты. Для более активного пользователя – сотни мегабайт. Это не поместится ни в одно заключение (протокол). Поэтому эксперта следует ознакомить с уголовным делом или хотя бы кратко изложить его фабулу в постановлении о назначении КТЭ. И запросить у него поиск «любой информации, относящейся к данному делу».




МЕСТО И РОЛЬ КОМПЬЮТЕРНО-ТЕХНИЧЕСКОЙ ЭКСПЕРТИЗЫ

     С точки зрения места в раскрытии и расследовании уголовного дела компьютерно-техническая экспертиза (КТЭ) ничем не отличается от других видов экспертиз.
Компьютерная информация, являющаяся объектом или средством совершения компьютерного преступления, хотя и может быть предназначена для обычных людей, но исследовать ее могут только специалисты.
     Практически любое обращение с компьютерной информацией требует специальных знаний. А источником таких знаний, согласно закону, может быть только специалист или эксперт. Устанавливать факты, касающиеся компьютерной информации, можно только на основании экспертизы. Отсюда и особая роль КТЭ при расследовании.
     Несведущим людям может показаться, что многие действия над компьютерной информацией не требуют специальных знаний. Действительно, современные компьютеры и ПО предназначены для широкого круга пользователей. И пользователи (в том числе малоквалифицированные) успешно выполняют на них обычные задачи, такие как редактирование текстов, отправка и получение электронной почты, создание и распечатка рисунков. Зачем же тут специальные знания?
     Чтобы найти ответ, давайте немного вспомним историю развития вычислительной техники. В 1960-х годах для работы на ЭВМ следовало не просто иметь специальные знания, но и быть программистом. Затем были созданы программы для решения некоторых типовых задач, и навык программиста перестал быть обязательным. Но управление работой ЭВМ по-прежнему было недоступно для неспециалиста. В 1980-х годах появились первые персональные компьютеры, научиться работать с которыми мог обычный человек. Обучение тем не менее все же требовалось. И это ограничивало рынок сбыта персональных компьютеров. Но ПО стремительно развивалось. И одним из главных направлений его развития являлось обеспечение простого, наглядного и относительно привычного интерфейса для неквалифицированного пользователя. Ориентация на массового покупателя – залог успеха для коммерческого ПО. Некоторые современные ОС делают освоение персонального компьютера довольно простой задачей, поскольку сводят «многомерное» управление к выбору из списка действий, а вместо технических терминов оперируют менее адекватными, но более привычными для простого человека аналогами: «документ» вместо «файл», «папка» вместо «каталог», «отправка сообщения» вместо «установление SMTP-сессии» и так далее. Многие операции автоматизированы за счет снижения функциональности. Многие другие операции просто скрыты от пользователя. Все это стало возможным благодаря развитию программного обеспечения. Биты в современных компьютерах точно такие же, как и 40 лет назад. И набор арифметическо-логических операций процессора мало изменился. Кажущаяся простота – это не более чем поднятие пользователя на более высокий уровень абстрагирования от технической реализации операций. Такое поднятие вовсе не означает понимания. Напротив, простота управления достигается за счет снижения понимания сути производимых действий.
     Приведем простую аналогию. В начале XX века управление автомобилем было неразрывно связано с его техобслуживанием (довольно трудоемким) и починкой. В течение нескольких десятилетий вождение автомобиля оставалось профессией, которой положено было учиться. По мере развития техники автомобиль превратился в потребительский товар, доступный самому широкому кругу. Ездить на машине перестало означать ее обслуживать. У некоторых современных моделей даже не открывается капот, поскольку пользователю это не нужно. В автошколах уже перестали учить устройство двигателя. Нужны ли специальные знания для современного автолюбителя? Почти нет. А для проведения экспертизы автотехники?
     Для пользования современным компьютером специальные знания действительно не требуются. Это происходит благодаря высокой степени отчуждения пользователя от технической реализации обработки информации. Между «верхним слоем», то есть графическим интерфейсом пользователя, и «нижним слоем», то есть битовыми массивами данных, лежитмного промежуточных «слоев» из форматов, протоколов, драйверов, API, системных функций и прикладных программ. На каждом из них остаются следы. Каждый «слой» вносит свою лепту в изменение компьютерной информации, в образование цифровых следов. Для поиска и изучения этих следов специальные знания нужны. Из-за отчуждения пользователя от реализации бóльшая часть информации от него скрыта. Почти все процессы происходят не так, как они представляются пользователю.




ПРИМЕР НОТАРИАЛЬНОГО ПРОТОКОЛА ОСМОТРА ВЕБ-САЙТА

     Нотариус не проверяет правильность разрешения доменного имени, не может противостоять различным способам подмены контента, не контролирует актуальность содержимого (отсутствие кэширования), не проверяет, отличается ли контент, отдаваемый пользователям из разных регионов, и так далее. Тем не менее достоверность такого осмотра – на достаточном уровне.
      Тем не менее, чтобы застраховаться от возможных ошибок или злонамеренных действий, в осмотре может участвовать и специалист.
Ниже приводится образец протокола осмотра веб-сайта нотариусом совместно со специалистом.





ПУТАНИЦА САЙТА И ДОМЕННОГО ИМЕНИ

     Часто отождествляют веб-сайт и доменное имя, под которым этот сайт живет. На самом деле веб-сайт и домен – разные сущности как с технической, так и с правовой точки зрения.
     Описанная путаница – следствие не только слабого понимания технических вопросов функционирования веб-сайтов. Неверному пониманию и отождествлению доменного имени и веб-сайта способствуют некоторые юристы, представляющие истцов по гражданским делам, связанным с веб-сайтами и информацией на них.
      Как известно, обязанность найти ответчика лежит на истце. Его следует не просто найти, а представить суду доказательства того, что веб-сайт принадлежит ему. Веб-сайты не подлежат обязательной регистрации, нет никакой системы учета сайтов и их владельцев. А провайдеры (операторы связи) весьма неохотно сообщают данные о своих клиентах, ссылаясь на коммерческую тайну или защиту персональных данных.
      В противоположность этому владельца доменного имени 2-го уровня узнать легко. Сведения о нем содержатся в общедоступной базе данных регистраторов доменных имен. Получить письменную справку с такими сведениями также несложно – распечатку с публичными данными сервиса whois легко заверит любой регистратор.
    Таким образом, обстоятельства диктуют представителям истцов решение – назначить ответчиком не владельца веб-сайта, а владельца соответствующего домена.
Надо признать, что в большинстве случаев владелец домена 2-го уровня и владелец живущего на этом домене веб-сайта – одно и то же лицо. В большинстве случаев, но далеко не всегда. Кроме того, большинство веб-сайтов живут на домене не 2-го уровня, а 3-го. То есть на домене вида «www.example.com». Несмотря на то, что «www» – это стандартное имя 3-го уровня для веб-сайта, владельцы «www.example.com» и «example.com» могут быть разными.
       Также далеко не всегда совпадают владелец веб-сайта и владелец размещенного на этом сайте контента.
      Для гражданских дел можно попытаться возложить ответственность за контент сайта на владельца этого сайта, на оператора связи или даже на владельца доменного имени. За то, что создали условия размещения, не воспрепятствовали и т.д. В ряде случаев такое возложение ответственности истцам удавалось. Но для уголовных дел подобная натяжка не пройдет. Ответственность может нести только лицо, разместившее информацию на веб-сайте. В отношении владельца сайта, его провайдера, владельца домена можно говорить лишь о соучастии, и то – в весьма редких случаях.




ПРАВОВАЯ ЗАЩИТА ДОМЕНА

     Система доменных имен была придумана для облегчения запоминания человеком сетевых адресов. С массовым развитием системы WWW и с коммерциализацией Интернета доменное имя приобрело коммерческую ценность. А ценности нуждаются в законодательной защите. Тем более что стоимость самых дорогих доменных имен может исчисляться миллионами долларов. И законодательная защита была дана. Ныне домен – не просто удобная для человека форма сетевой адресации, но объект интеллектуальной собственности.
     В одних странах отношения по поводу доменных имен сети Интернет напрямую регулируются законодательством, в других странах домены охраняются в числе прочих средств индивидуализации. В России доменное имя упоминается в законе «О товарных знаках...». В Гражданском кодексе доменные именаупоминанаютс как объекта регулирования.




РАЗМЕЩЕНИЕ ИНФОРМАЦИИ В ФАЙЛООБМЕННЫХ СЕТЯХ

     Термином «файлообменные сети» (также «пиринговые сети», «P2P-сети») называют семейство программ и протоколов, позволяющих создавать одноранговые сети в пределах глобальной компьютерной сети для обмена файлами, а также сами эти сети. Целями создания и функционирования таких сетей являются надежность, независимость от какого бы то ни было центра, относительная анонимность, возможность функционирования на персональных компьютерах и «узких» каналах связи.
     В отличие от веб- и FTP-серверов, через распространение которых контент легко отслеживается, при распространении файлов через одноранговые пиринговые сети отключение любого числа узлов не влияет на работоспособность сети в целом.
      Наиболее известные файлообменные сети:
● Napster – одна из первых файлообменных сетей, ныне не работающая; имела единый центр, из-за чего была закрыта по иску правообладателей;
● eDonkey2000 (сокращенно ed2k) – крупнейшая гибридная файлообменная сеть; поиск выполняют специализированные серверы, связанные между собой; клиенты самостоятельно обмениваются файлами по протоколу MFTP;
● Bittorrent – сеть, специализированная для распространения файлов большого объема;
● OpenFT – OpenFastTrack поддерживается клиентами giFT (KCeasy), mlDonkey;
● Gnutella – сеть, использующая протокол, разработанный компанией Nullsoft;
● MP2P (Manolito P2P) – поддерживается клиентами Blubster, Piolet, RockItNet;
и другие.
     Каждый желающий участвовать в файлообменной сети должен установить на свой компьютер программу-клиент. Для каждой из сетей существует по нескольку различных программ-клиентов под разные операционные системы.
     После подключения к Сети пользователь получает возможность скачивать к себе на компьютер любые имеющиеся в Сети файлы, а одновременно с этим другие пользователи получают возможность скачивать файлы, имеющиеся у него.
     Наиболее известные программы-клиенты файлообменных сетей (в скобках указаны поддерживаемые сети/протоколы):
● aMule (eDonkey network, Kad network);
● Shareaza (BitTorrent, eDonkey, Gnutella, Gnutella2);
● FileScope (eDonkey network, Gnutella, Gnutella2, OpenNAP);
● MLDonkey (BitTorrent, Direct Connect, eDonkey network, FastTrack, Gnutella, Gnutella2, Kad Network, OpenNap, SoulSeek, HTTP/FTP);
● Napshare (Key network, MUTE network);
● Kiwi Alpha (Gnutella, Gnutella2);
● Morpheus (NEO Network, Gnutella, Gnutella2, BitTorrent );
● Zultrax (Gnutella, ZEPP).
     По понятным причинам, основным контентом пиринговых сетей является незаконный, а также полузаконный, оскорбительный, неэтичный и другой проблемный контент. Обычно распространяются музыкальные MP3-файлы, фильмы, фотографии, дистрибутивы программного обеспечения.

ДОКАЗАТЕЛЬСТВО НАЛИЧИЯ КОНТЕНТА

     Доказательством наличия определенного контента в файлообменной сети могут служить свидетельские показания или заключение эксперта.
     Поскольку присоединиться к такой сети может любой желающий, а для обычного использования файлообменного ПО специальных знаний не требуется, то не должно возникнуть проблем с обеспечением доказательств наличия контента. Сложнее обстоит дело с выявлением источника этого контента.

ВЫЯВЛЕНИЕ ИСТОЧНИКА

    Прежде всего следует заметить, что, поскольку файлообменные сети децентрализованные, понятие «источник файла» в них достаточно условно. Пока какой-либо файл лежит на единственном узле такой сети, этот узел можно назвать источником. При этом информация о файле (индексная информация) распространяется по всей сети. Но каждый узел, который начинает закачку этого файла, сам в тот же момент становится его источником, неотличимым от первичного. По окончании полной закачки файла узел либо продолжает служить его источником, либо прекращает – в зависимости от решения пользователя. Понятно, что пользующийся спросом файл, только появившись в файлообменной сети, сразу же начинает закачиваться множеством узлов и приобретает в их лице множество источников.
       Поэтому не имеет смысла говорить о первичном источнике какого-либо файла.
Можно говорить лишь о нахождении файла (фрагментов файла) на конкретном узле и его доступности другим.
    Передача же файла происходит обычно напрямую между узлами. Тогда можно определить IP-адрес узла-источника. Другой информации об этом узле, как правило, получить не удается.
     Некоторые файлообменные сети не позволяют легко определить источник файла. Любой узел в таких сетях может выступать посредником при передаче, скрывая истинный источник. Это посредничество – чисто техническая особенность, не зависящая от воли пользователя. Поэтому хотя узел с технической точки зрения является посредником, с юридической точки зрения его владелец или оператор посредником не является, не имеет прямого умысла на такое посредничество и даже косвенного умысла не всегда имеет.
    Таким образом, в ряде случаев мы имеем возможность относительно просто определить IP-адрес узла файлообменной сети, являющегося источником определенного файла. В других случаях (с узлами-посредниками) определение источника сильно затруднено. Определить же первичный или оригинальный источник файла не представляется возможным.

ДОКАЗАТЕЛЬСТВО ИСПОЛЬЗОВАНИЯ

     Доказательством того факта, что известное лицо использовало файлообменные сети, может служить следующее:
● протокол экспертизы компьютера интересующего нас лица, содержащий вывод о том, что на исследуемом компьютере было установлено ПО файлообменных сетей и это ПО использовалось по назначению;
● показания иного участника файлообменной сети о том, что он взаимодействовал в этой сети с узлом, имеющим тот же IP-адрес, что использовался интересующим нас лицом;
● протокол экспертизы компьютера иного участника файлообменной сети, содержащий вывод о том, что на исследуемом компьютере было установлено ПО файлообменных сетей, это ПО использовалось по назначению и обнаружены следы взаимодействия с IP-адресом интересующего нас лица;
● протокол осмотра или экспертизы компьютера оператора связи (провайдера), где зафиксировано наличие логов, отражающих информацию о трафике IP-адреса интересующего нас лица, причем в этом трафике присутствовали характерные для файлообменных сетей особенности (протоколы, порты, IP-адреса популярных узлов).
     Трафик файлообменных сетей не является тайной связи, поскольку не относится к общению между человеком и человеком. Следовательно, для ознакомления с ним не требуется судебного решения. Однако такой трафик является тайной частной жизни (ч. 1 ст. 23 Конституции).

ВИДЫ ПРЕСТУПЛЕНИЙ

    Некоторые считают файлообменные сети принципиально криминальными, поскольку легальный контент в них встречается редко, а основной трафик составляет в той или иной степени нелегальный.
     Такая точка зрения не является общепринятой. Файлообменные сети созданы не только ради безнаказанности. Они имеют существенные преимущества возможность быстро распространять большие объемы информации одновременно многим пользователям при использовании слабых и ненадежных каналов связи.
      Как бы то ни было, действующие на сегодня файлообменные сети сами по себе не поставлены под запрет ни в одной стране. Преследуются только правонарушения, совершаемые с их использованием. Как правило это преступления, связанные с нарушением авторских прав и распространением порнографии.