Integritet digitalnih dokaza opisuje provjerljivu nepromijenjenost definiranog digitalnog skupa podataka u usporedbi s dokumentiranim referentnim stanjem. U digitalnoj forenzici to je ključni preduvjet za kasnije utvrđivanje odgovaraju li pregledani podaci još uvijek osiguranom stanju ili su u međuvremenu izmijenjeni.

Ovdje se ne radi samo o datotekama. Digitalni dokazi mogu uključivati, na primjer, forenzičku sliku tvrdog diska, izdvajanje podataka s pametnog telefona, bazu podataka, arhivu e-pošte, izvadak memorije, datoteku zapisnika ili izvezeni skup podataka u oblaku.

Međutim, integritet ne znači automatski autentičnost, istinu ili autorstvo. Tehnički nepromijenjeni skup podataka mogao je biti manipuliran čak i prije nego što je sigurnosno kopiran. Stoga se u IT forenzici mora napraviti precizna razlika između onoga što se zapravo može dokazati provjerom integriteta i onoga što se ne može.

Što znači integritet digitalnih dokaza?

Integritet, jednostavno rečeno, znači da određena količina podataka nije promijenjena od određenog vremenskog trenutka.

Ovaj trenutak je ključan. Na primjer, ako se s tvrdog diska stvori forenzička slika i odmah nakon toga izračuna kriptografska hash vrijednost, stvara se provjerljivo referentno stanje.

Ako se ista slika kasnije ponovno provjeri istom metodom hashiranja i dobije se ista hash vrijednost, to snažno sugerira da se provjereni skup podataka nije promijenio od izvornog izračuna.

Testiranje integriteta tako povezuje određeni skup podataka sa specifičnim dokumentiranim stanjem.

Zašto je integritet digitalnih dokaza toliko važan?

Digitalne informacije je puno lakše mijenjati nego mnoge tradicionalne fizičke dokaze. Datoteka se može kopirati, prebrisati, izbrisati ili uređivati ​​bez da to nužno bude vidljivo.

Moguće su i nenamjerne promjene. Operativni sustavi pišu metapodatke, aplikacije stvaraju privremene datoteke, a povezani uređaji za pohranu mogu se mijenjati automatskim sistemskim procesima.

Forenzička istraga stoga ne smije samo pronaći zanimljive digitalne tragove. Također mora učiniti razumljivim na kojem se skupu podataka analiza temelji.

Bez te veze, kasnije se može postaviti pitanje je li nalaz već bio prisutan na izvornom objektu istraživanja ili je nastao tek tijekom kasnije obrade.

Integritet počinje prije stvarne analize.

Uobičajena je zabluda povezivati ​​integritet isključivo s izračunom hash vrijednosti. U stvarnosti, zaštita digitalnih dokaza počinje mnogo ranije.

Čak i nabava uređaja, njegovo radno stanje, odabir metode sigurnosne kopije i rukovanje originalom mogu utjecati na podatke koji se naknadno ispituju.

Na primjer, ako je klasični tvrdi disk bez kontrolirane zaštite od pisanja spojen na normalan operativni sustav, mogu se odvijati automatske operacije pisanja.

Naknadno izračunata hash vrijednost može pouzdano dokumentirati stanje koje postoji nakon toga. Međutim, ne poništava prethodne promjene.

Što je referentno stanje?

Referentno stanje je definirano stanje podataka u odnosu na koje se provode naknadne provjere integriteta.

U praksi bi to mogla biti, na primjer, slika stvorena neposredno nakon forenzičkog pregleda.

Za ovaj skup podataka dokumentirana je hash vrijednost. Ta se vrijednost kasnije može koristiti kao referenca.

Važno je jasno definirati koji specifični skup podataka referentna vrijednost opisuje.

Kako se provjerava integritet digitalnih dokaza?

Ključna metoda je korištenje kriptografskih hash funkcija. To uključuje izračunavanje matematičke kontrolne sume iz definiranog skupa podataka.

Za moderne forenzičke istrage može se koristiti, na primjer, SHA-256.

Ako se ista SHA-256 vrijednost kasnije ponovno generira iz potpuno istog skupa podataka, može se koristiti za provjeru da se nije promijenila u usporedbi s referentnim stanjem.

Hash vrijednosti stoga nisu samo formalnost dokumentacije, već tehnički provjerljiva komponenta očuvanja dokaza.

Što dokazuje identična hash vrijednost?

Identična kriptografska hash vrijednost, pri korištenju prikladne moderne hash funkcije, snažno sugerira da su provjereni skupovi podataka identični po bitnom.

To omogućuje, na primjer, provjeru odgovara li arhivirana forenzička slika i dalje izvorno dokumentiranoj slici.

Međutim, hash vrijednost nam ne govori jesu li podaci već bili promijenjeni prije prvog izračuna hash vrijednosti.

Što hash vrijednost ne dokazuje?

Hash vrijednost ne dokazuje da je sadržaj datoteke istinit. Niti dokazuje tko je stvorio, izmijenio ili izbrisao datoteku.

Također ne može sam utvrditi je li dokument izvorno autentičan.

Hash vrijednost odgovara na mnogo uže definirano tehničko pitanje: Je li skup podataka koji se sada provjerava identičan skupu podataka za koji je generirana dokumentirana referentna vrijednost?

Integritet i autentičnost nisu ista stvar.

Ova razlika je posebno važna za digitalne dokaze .

Integritet opisuje nepromijenjeno stanje skupa podataka u usporedbi s referentnim stanjem.

Autentičnost se, s druge strane, odnosi na njegovo podrijetlo ili autentičnost.

Manipulirana PDF datoteka može se, na primjer, predati stručnjaku i potom pravilno forenzički osigurati. Od tog trenutka nadalje, njezin integritet može se pouzdano provjeriti.

Međutim, identična hash vrijednost ne dokazuje da PDF nikada nije bio manipuliran prije nego što je predan.

Integritet i dokazna vrijednost također nisu ista stvar.

Potpuno nepromijenjen skup podataka može biti besmislen za određeno pitanje.

Suprotno tome, može postojati tehnički relevantan nalaz čija povijest dokumentacije nije optimalna.

Integritet je stoga kvalitativna karakteristika baze podataka, ali ne i automatska izjava o dokaznom značaju određenog artefakta.

Dokazni značaj proizlazi samo iz profesionalne klasifikacije unutar specifičnog konteksta slučaja.

Zašto snimka zaslona nije dovoljna kao dokaz integriteta?

Snimka zaslona samo dokumentira vidljivi prikaz određenog sadržaja zaslona.

Obično ne sadrži potpune temeljne strukture podataka i ne omogućuje sveobuhvatnu provjeru tehničke cjelovitosti izvornog sustava.

U chatu putem Messengera, na primjer, snimka zaslona može prikazati vidljivi dio razgovora. Međutim, ne sadrži automatski temeljnu bazu podataka, interne identifikatore poruka, informacije o sustavu ili druge metapodatke.

Snimka zaslona stoga može biti relevantan dokument, ali nije ekvivalentna forenzičkoj sigurnosnoj kopiji izvornih podataka.

Zašto normalna kopija datoteke nije automatski forenzička sigurnosna kopija?

Standardna kopija datoteke može ispravno prenijeti sadržaj odabranih datoteka. Međutim, ne mora nužno obuhvatiti cjelokupno stanje pohrane relevantno za istragu.

Izbrisana područja podataka, informacije o datotečnom sustavu i drugi tehnički artefakti mogu nedostajati.

Nadalje, mora biti moguće pratiti kada su datoteke kopirane i jesu li se prije kopiranja već dogodile neke promjene.

Integritet kopiranih datoteka naknadno se može provjeriti pomoću hash vrijednosti. Međutim, to još ne stvara potpunu forenzičku sigurnosnu kopiju diska s podacima iz izvornog odabira datoteka.

Koji je značaj bitne sigurnosne kopije?

S tradicionalnim medijima za pohranu podataka, sektorska ili blokovna sigurnosna kopija može stvoriti sveobuhvatan prikaz adresabilnog područja pohrane.

Analiza se zatim može provesti na ovom sigurnosno kopiranom skupu podataka, a pritom original ostati što je moguće netaknut.

To smanjuje rizik da stvarna istraga izmijeni izvorni nosač podataka.

Zašto se koriste blokatori pisanja?

Blokator pisanja osmišljen je kako bi spriječio istraživačko računalo da šalje naredbe pisanja na izvorni nosač podataka.

To je važno jer operativni sustavi mogu samostalno obavljati operacije pisanja kada je spojen uređaj za pohranu.

Zaštita od pisanja hardvera ili prikladnog softvera može smanjiti ovaj rizik.

Međutim, blokatori pisanja nisu prikladni za svaku vrstu uređaja. Pametni telefoni, lemljena memorija ili aktivni sustavi zahtijevaju različite strategije sigurnosnog kopiranja.

Mogu li se dokazi mijenjati unatoč blokadi pisanja?

Ispravno implementiran blokator pisanja sprječava naredbe pisanja putem kontroliranog puta podataka. Međutim, ne rješava svaki zamislivi problem integriteta.

Na primjer, interni procesi kontrolera mogu igrati ulogu u flash memoriji. Nadalje, pogreške su se mogle dogoditi već prije povezivanja s blokatorom pisanja.

Blokator pisanja je stoga tehnički zaštitni alat unutar šireg forenzičkog procesa.

Što znači integritet u kontekstu tvrdog diska (HDD)?

S tradicionalnim magnetskim tvrdim diskovima, logički adresabilna pohrana često se može vrlo sveobuhvatno sigurnosno kopirati, sektor po sektor.

Ako je original zaštićen od pisanja tijekom procesa akvizicije i rezultirajuća slika se naknadno provjeri, stvara se visoko reproducibilna osnova za istraživanje.

Međutim, pogreške u čitanju ili oštećena područja moraju se dokumentirati.

Što znači integritet u kontekstu SSD-a?

Situacija je složenija kod SSD-ova. Između operativnog sustava i fizičkih ćelija flash memorije djeluje kontroler s vlastitim upravljanjem memorijom.

TRIM, sakupljanje smeća i izjednačavanje trošenja utječu na unutarnju organizaciju podataka.

Forenzička slika stoga može dokumentirati integritet stvarno snimljenih logičkih podataka. Međutim, to ne znači automatski da je svaka fizička ćelija flash memorije bila nepromijenjena ili odmah dostupna.

Zašto je ova razlika važna za SSD-ove?

Izraz "izvorno stanje" može se pogrešno shvatiti kada se govori o modernim medijima za pohranu.

SSD djelomično neovisno mijenja organizaciju svoje interne pohrane. Stoga fizička lokacija određenih podataka ne mora nužno trajno odgovarati logičkoj adresi vidljivoj operativnom sustavu.

Forenzička dokumentacija stoga bi trebala precizno opisati koji je podatkovni sloj zapravo bio osiguran.

Što znači integritet u kontekstu pametnih telefona?

Pametni telefoni predstavljaju poseban izazov. Moderni uređaji koriste hardversku enkripciju, sigurno upravljanje ključevima i složene mehanizme operacijskog sustava.

Klasična sigurnosna kopija sektor po sektor, kao kod uklonjenog tvrdog diska, stoga često nije moguća.

Integritet se mora odnositi na stvarni izdvojeni skup podataka. Treba dostaviti dokumentaciju o tome koji je uređaj pregledan, koja je metoda ekstrakcije korištena i koji je skup podataka rezultat toga.

Zašto bi skeniranje pametnog telefona moglo promijeniti stanje uređaja?

Uključeni pametni telefon je dinamičan sustav. Pozadinski procesi se nastavljaju izvršavati, zapisnici se mogu ažurirati, a aplikacije mogu mijenjati podatke.

Uspostavljanje veze s istražnim računalom također može izazvati tehničke promjene u stanju.

Neke metode akvizicije zahtijevaju određene kontrolirane interakcije s uređajem.

Profesionalni integritet stoga ne znači nerealnu tvrdnju da se ni pod kojim uvjetima ne smije mijenjati niti jedan bit na originalnom uređaju. Ključno je izbjegavati promjene koliko je god moguće i dokumentirati potrebne ili tehnički neizbježne intervencije na sljediv način.

Što znači integritet za računalo u radu?

Čak se i računalo koje radi stalno mijenja. RAM, privremene datoteke, zapisnici događaja i stanja mreže mogu se promijeniti u roku od nekoliko sekundi.

Stoga je potpuno statična početna situacija tehnički nedostižna u živoj forenzici.

Zadatak je, prije, osigurati potrebne podatke intervencijama koje su što kontroliranije i dokumentirati te intervencije na sljediv način.

Zašto isključivanje računala može utjecati i na integritet dokaza?

Iako isključivanje sprječava daljnje normalne aktivnosti operativnog sustava, ono također uništava hlapljive podatke u RAM-u.

Nadalje, u šifriranim sustavima, trenutno dešifrirano stanje može se izgubiti.

Stoga, "odmah isključite uređaj" nije univerzalno ispravno forenzičko pravilo.

Odluka se mora donijeti na temelju stanja sustava i pitanja koje se istražuje.

Što znači integritet u RAM podacima?

RAM je nestabilan i stalno se mijenja tijekom rada.

RAM slika stoga dokumentira specifično dostižno stanje tijekom određenog procesa sigurnosne kopije.

Hash vrijednost generiranog memorijskog dumpa zatim se može koristiti za provjeru njegovog kontinuiranog integriteta.

Međutim, ne može dokazati da se radna memorija nije promijenila tijekom same akvizicije.

Što integritet znači za podatke u oblaku?

S uslugama u oblaku, istražitelj obično nema izravan pristup fizičkom mediju za pohranu pružatelja usluga.

Umjesto toga, sigurnosna kopija se izvodi, na primjer, putem API-ja, izvoza računa ili drugih dostupnih sučelja.

Dokumentacija o integritetu stoga se mora usredotočiti na stvarno primljene podatke.

Relevantni čimbenici uključuju izvor, račun, vrijeme sigurnosne kopije, korištenu metodu i generirane datoteke.

Je li moguće provjeriti fizički integritet tvrdog diska u oblaku?

Obično ne izravno kao vanjski istražitelj.

Stoga bi vlastita forenzička izjava trebala biti ograničena na razinu stvarno dostupnih i osiguranih podataka.

Upravo to transparentno razgraničenje povećava profesionalnu kvalitetu istrage.

Što znači integritet u e-porukama?

Provjere integriteta e-pošte mogu se odnositi na različite razine.

Izvezena poruka može se, na primjer, hashirati kao EML datoteka. Slično tome, potpuna arhiva poštanskog sandučića može se sigurnosno kopirati i revidirati kao skup podataka.

Hash vrijednost ove datoteke zatim dokumentira njezino nepromijenjeno stanje, ali ne dokazuje automatski autentičnost izvornog pošiljatelja.

To može zahtijevati dodatne informacije kao što su zaglavlja pošte, podaci poslužitelja i drugi tehnički tragovi.

Što znači integritet u log datotekama?

Datoteke zapisnika mogu igrati važnu ulogu u kibernetičkim incidentima, curenju podataka ili neovlaštenom pristupu.

Prilikom izvoza relevantnih zapisnika, trebalo bi biti moguće pratiti iz kojeg sustava potječu, kada su sigurnosno kopirani i jesu li izvezeni podaci naknadno izmijenjeni.

Hash vrijednost može provjeriti integritet osiguranog izvoza.

Međutim, ne može sam dokazati da izvorni sustav evidentiranja nikada nije bio mijenjan prije sigurnosne kopije.

Što znači integritet u bazama podataka?

Baze podataka su često dinamički sustavi. Tijekom rada, zapisi podataka se mijenjaju, indeksi se ažuriraju i transakcije se izvršavaju.

Forenzička sigurnosna kopija stoga mora uzeti u obzir je li stvorena konzistentna kopija, izvoz ili neka druga definirana baza podataka.

Samo se taj generirani inventar može tretirati kao referentno stanje i osigurati, na primjer, putem hash vrijednosti.

Kakvu ulogu igra lanac čuvanja?

Lanac nadzora nadopunjuje provjeru tehničkog integriteta organizacijskom sljedivošću.

Hash vrijednost može pokazati da je određeni skup podataka ostao nepromijenjen. Međutim, ne govori tko je primio, prenio, pohranio ili pregledao dokaze.

Lanac dokaza dokumentira ove događaje.

Stoga se tehnički integritet i lanac nadzora ne smiju miješati.

Može li savršeni lanac čuvanja zamijeniti nedostajuće hash vrijednosti?

Ne. Pažljiva dokumentacija primopredaje i provjera tehničke ispravnosti služe različitim funkcijama.

Lanac dokaza može izvrsno dokumentirati tko je pohranio sliku. Međutim, bez tehničkih podataka za provjeru ne može se automatski zaključiti da su podaci koje sadrži ostali nepromijenjeni.

Suprotno tome, identična hash vrijednost ne može objasniti tko je imao pristup podacima.

Zašto bi original trebao biti pohranjen na najzaštićeniji mogući način?

Nakon uspješnog očuvanja, izvorni dokazi ili primarni forenzički dokazi mogu se zadržati kao referenca.

Stvarna analiza se provodi na radnoj kopiji, koliko je to tehnički izvedivo.

To omogućuje programima za analizu stvaranje datoteka, izgradnju indeksa ili izvođenje drugih koraka obrade bez mijenjanja arhivirane sigurnosne kopije referenci.

Zašto je radna kopija korisna?

Programi forenzičke analize obrađuju velike količine podataka i često generiraju vlastite baze podataka, indekse, datoteke pregleda i rezultate istrage.

Odvojeno radno okruženje sprječava miješanje takvih procesa analize s nepromijenjenom sigurnosnom kopijom referenci.

Ako je kasnije potrebna nova analiza, radna osnova može se ponovno stvoriti iz izvorne sigurnosne kopije.

Što se događa ako se promijeni hash vrijednost sigurnosne kopije?

Različita hash vrijednost u početku samo znači da se dva skupa podataka koja se provjeravaju razlikuju.

Ovo je važan znak upozorenja, ali još nije objašnjenje.

Uzrok može biti stvarna promjena, oštećena datoteka, pogreška u prijenosu, drugačija struktura spremnika ili jednostavno činjenica da su različita područja podataka hashirana.

Odstupanje stoga treba tehnički istražiti.

Predstavlja li drugačija hash vrijednost automatski dokaz manipulacije?

Ne.

Prvo dokazuje da uspoređeni skupovi podataka nisu identični, pod uvjetom da je ista hash funkcija ispravno primijenjena na usporedive podatke.

Razlog zašto su različiti ne može se utvrditi samo iz hash vrijednosti.

Što se događa ako se tijekom sigurnosne kopije pojave pogreške pri čitanju?

Oštećeni nosači podataka mogu sadržavati sektore koji se ne mogu pročitati ili se mogu pročitati samo s nepouzdanom točnošću.

Forenzička analiza i dalje može obuhvatiti značajan dio nosača podataka.

Ključno je da se pogreške u čitanju dokumentiraju i da se može pratiti kako je korišteni alat postupao s nečitljivim područjima.

Hash vrijednost generirane slike može se zatim koristiti za provjeru njezinog integriteta. Međutim, to ne dokazuje da su prethodno nečitljivi sektori uspješno pročitani.

Može li se oštećena slika i dalje smatrati netaknutom?

Da, ako "cijeli broj" znači da je datoteka ostala nepromijenjena od određene referentne vremenske točke.

Već nepotpuna ili oštećena sigurnosna kopija može imati stabilnu hash vrijednost.

Ovo dodatno ilustrira zašto su integritet i potpunost različita svojstva.

Integritet nije isto što i potpunost.

Skup podataka može biti potpuno nepromijenjen, a ipak mu nedostaju informacije.

Na primjer, logična ekstrakcija pametnog telefona može biti tehnički ispravna, iako ne sadrži sve podatke uređaja zbog odabrane metode ekstrakcije.

Provjera integriteta stoga ne govori ništa o tome je li metoda sigurnosne kopije uspjela uhvatiti sve informacije relevantne za postavljeno pitanje.

Integritet nije isto što i ispravnost.

Čak i činjenično netočne informacije mogu biti savršeno istinite.

Ako netko unese netočne podatke u dokument i datoteka nakon toga ostane nepromijenjena, hash vrijednost samo potvrđuje da datoteka nije izmijenjena.

On ne može prosuditi je li izjava sadržana u njemu istinita ili lažna.

Integritet nije isto što i autorstvo.

Identična hash vrijednost može pokazati da su dvije datoteke identičnog sadržaja.

Međutim, ne može utvrditi koja je osoba kreirala datoteku.

Za dodjeljivanje informacija korisniku ili fizičkoj osobi, potrebno je ispitati dodatne artefakte i kontekstualne informacije.

Koliki je značaj integriteta u slučajevima sumnje na krađu podataka?

U slučaju krađe podataka, digitalni tragovi mogu biti raspoređeni na više sustava.

Računalo tvrtke može sadržavati USB artefakte, vanjski uređaj za pohranu može sadržavati kopije povjerljivih datoteka, a poslužitelj može sadržavati dodatne zapise pristupa.

Da bi se ove informacije mogle usporediti, odgovarajući izvori podataka moraju biti jasno identificirani i osigurani.

Hash vrijednosti mogu, na primjer, pokazati da je datoteka na vanjskom mediju identična po sadržaju datoteci iz arhive tvrtke.

Međutim, stvarni proces kopiranja i uključena osoba moraju se rekonstruirati na temelju daljnjih dokaza.

Kakvu ulogu integritet igra u stručnom mišljenju?

Stručno izvješće treba navesti na kojim se podacima temelje tehnički nalazi.

Posebno u složenim digitalnim istragama, stoga je preporučljivo dokumentirati objekte istrage, sigurnosne metode i relevantne provjere integriteta na način koji se može pratiti.

To omogućuje upućenoj trećoj strani da bolje razumije put od izvornog objekta istraživanja do evaluiranog skupa podataka.

Postojeća web stranica stručnog ureda za IT i mobilnu forenziku također opisuje ovaj zahtjev za sveobuhvatnim očuvanjem i dokumentiranjem dokaza.

Praktičan primjer: Tvrdi disk poslovnog računala

Tvrtka sumnja da je zaposlenik kopirao povjerljive podatke prije nego što je napustio tvrtku.

Uređaj za pohranu podataka na računalu tvrtke sigurnosno se kopira pod kontroliranim uvjetima. Za generirani skup podataka dokumentira se SHA-256 vrijednost.

Stvarni pregled se provodi na radnoj kopiji.

Nekoliko mjeseci kasnije, drugi stručnjak će pregledati analizu. Prije početka ovog pregleda, ponovno se izračunava SHA-256 vrijednost arhivirane odlazne sigurnosne kopije.

Ako se to podudara s izvorno dokumentiranom vrijednošću, može se provjeriti da je taj točno taj skup podataka ostao nepromijenjen od izvorne sigurnosne kopije.

Praktičan primjer: Povjerljiva datoteka na USB sticku

Na poslužitelju tvrtke postoji povjerljiva datoteka projekta. Tijekom istrage, datoteka s istim nazivom pronađena je na USB sticku.

Samo ime datoteke nije dovoljan dokaz identičnog sadržaja.

Ako obje datoteke daju istu SHA-256 vrijednost, to snažno sugerira da je njihov hashirani sadržaj identičan.

Međutim, to ne dokazuje kada je datoteka prenesena na USB stick niti tko ju je tamo kopirao.

Praktičan primjer: snimka zaslona Messengera

Osoba predaje snimku zaslona navodnog chata u Messengeru.

Snimka zaslona može se odmah nakon slanja hashirati. To vam omogućuje da kasnije provjerite je li upravo ta slikovna datoteka modificirana.

Međutim, hash vrijednost ne dokazuje ni da je prikazani chat zapravo postojao na navodnom pametnom telefonu, niti da su prikazane poruke autentične.

Za dublji pregled, izvorni izvor podataka bio bi znatno informativniji.

Praktičan primjer: Vađenje pametnog telefona

Ekstrakcija se vrši s pametnog telefona pomoću forenzičkog alata.

Ovaj izdvojeni materijal se zatim dokumentira i zaštićuje od promjena.

Integritet se sada odnosi upravo na ovaj generirani skup podataka.

Sadrži li ekstrakcija sve informacije dostupne na pametnom telefonu drugo je pitanje i ovisi o uređaju, operativnom sustavu, sigurnosnom statusu i metodi ekstrakcije.

Praktičan primjer: Izvoz u oblak

Skup podataka izvozi se iz računa u oblaku. Nakon što je preuzimanje dovršeno, preuzete datoteke se sigurnosno kopiraju i generiraju se hash vrijednosti.

To omogućuje praćenje kontinuirane nepromijenjenosti izvezenih zaliha.

Međutim, hash vrijednost ne dokazuje da je pružatelj usluga u oblaku isporučio sve podatke koji su ikada postojali ili da prije izvoza nisu izbrisane datoteke.

Tipične pogreške u rukovanju integritetom dokaza

Uobičajena pogreška je smatrati identičnu hash vrijednost kao potpuni dokaz autentičnosti.

Jednako problematična je pretpostavka da forenzičko očuvanje mora biti moguće u svim tehničkim okolnostima potpuno bez ikakve promjene stanja izvornog sustava.

To je često nerealno s živim sustavima i pametnim telefonima. Kontrolirani postupci i transparentna dokumentacija su ključni.

Daljnje pogreške nastaju ako nije dokumentirano koji su podaci hashirani, ako se uspoređuju različiti algoritmi hashiranja ili ako se integritet zamijeni s potpunošću.

Kako treba dokumentirati integritet?

Dokumentacija treba jasno naznačiti koji je predmet istraživanja ili koji je skup podataka pregledan.

U provjeri hash-a, korišteni algoritam i rezultirajuća hash vrijednost trebaju biti jasno pripisivi relevantnom skupu podataka.

Ovisno o slučaju koji se istražuje, mogu se dokumentirati i vrijeme, korišteni alat, identifikator dokaza, slikovna datoteka i sve pogreške u čitanju koje su se dogodile.

Cilj nije izraditi što sveobuhvatniju dokumentaciju samu po sebi, već osigurati tehničku sljedivost relevantnih koraka istrage.

Često postavljana pitanja o integritetu digitalnih dokaza

Što znači integritet digitalnih dokaza, jednostavno objašnjeno?

Integritet znači da se može provjeriti je li se određeni digitalni skup podataka promijenio od dokumentirane referentne vremenske točke.

Kako se provjerava integritet digitalnih dokaza?

Važna metoda je izračun kriptografskih hash vrijednosti. Ista hash vrijednost za isti definirani skup podataka omogućuje vrlo snažnu tehničku kontrolu nad njegovim integritetom.

Što je hash vrijednost?

Hash vrijednost je matematički izračunata kontrolna suma digitalnog skupa podataka. Moderne metode poput SHA-256 koriste se, između ostalog, za kontrolu integriteta.

Je li SHA-256 prikladan za digitalne dokaze?

Da. SHA-256 je utvrđena kriptografska hash funkcija i prikladna je za moderne provjere integriteta digitalnih skupova podataka.

Dokazuje li identična hash vrijednost autentičnost datoteke?

Ne. Potvrđuje nepromijenjeno stanje u usporedbi s temeljnim referentnim stanjem, a ne automatski izvornu autentičnost ili podrijetlo.

Može li manipulirana datoteka biti cijeli broj?

Da. Ako se datoteka koja je već manipulirana naknadno hashira i zatim ponovno ne modificira, ona ostaje netaknuta u usporedbi s tim kasnijim referentnim stanjem.

Je li integritet isto što i autentičnost?

Ne. Integritet opisuje nepromijenjenost. Autentičnost se odnosi na pitanje istinitosti i podrijetla.

Je li integritet isto što i potpunost?

Ne. Nepromijenjeni skup podataka može biti nepotpun. Na primjer, ekstrakcija podataka s pametnog telefona može biti točna iako je korištena metoda mogla obuhvatiti samo dio dostupnih podataka.

Je li integritet isto što i dokazna vrijednost?

Ne. Integritet se odnosi na kvalitetu i nepromjenjivost podataka. Značaj artefakta za određenu situaciju mora se zasebno procijeniti.

Što se događa ako su dvije hash vrijednosti različite?

Tada se heširani skupovi podataka razlikuju. Razloge tih razlika treba istražiti.

Dokazuje li drugačija hash vrijednost manipulaciju?

Ne automatski. Tehničke pogreške, različiti rasponi podataka ili različita stanja spremnika također mogu dovesti do različitih vrijednosti.

Može li snimka zaslona biti cijeli broj?

Da. Sama datoteka snimke zaslona može se hashirati i tako provjeriti u odnosu na kasnije izmjene. Međutim, to ne dokazuje automatski autentičnost prikazanog sadržaja.

Može li normalna kopija datoteke biti cijeli broj?

Da. Kopirane datoteke zatim se mogu provjeriti pomoću hash vrijednosti. Međutim, to ne znači da kopija predstavlja potpunu forenzičku sliku izvornog medija za pohranu.

Zašto se koristi blokator pisanja?

Dizajniran je kako bi spriječio nenamjerno pisanje na izvorni nosač podataka i time smanjio promjene koje se mogu izbjeći tijekom sigurnosne kopije.

Treba li svaka forenzička sigurnosna kopija blokator pisanja?

Ne. Ovisi o klasi uređaja i načinu izrade sigurnosne kopije. Pametni telefoni i određeni aktivni sustavi zahtijevaju različite postupke.

Može li se pametni telefon pregledati bez ikakvih izmjena?

To se ne može jamčiti u svim područjima. Pametni telefoni su dinamički sustavi. Profesionalna forenzika pokušava minimizirati promjene i dokumentirati sve tehnički potrebne intervencije na sljediv način.

Može li uključeno računalo ostati nepromijenjeno?

Ne. Operativni sustav koji radi stalno mijenja nestabilne i djelomično trajne podatke. Stoga, forenzika uživo zahtijeva kontrolirane i dokumentirane intervencije.

Može li isključivanje računala uništiti dokaze?

Da. Sadržaj neisparljivog RAM-a gubi se u tom procesu. Na šifriranim sustavima može se izgubiti i prethodno dešifrirano stanje.

Što je lanac nadzora?

Lanac čuvanja dokumentira rukovanje dokazima i relevantne prijenose ili promjene odgovornosti. Nadopunjuje provjeru tehničke cjelovitosti, ali je ne zamjenjuje.

Može li hash vrijednost zamijeniti lanac čuvanja podataka?

Ne. Hash vrijednost kontrolira skup podataka. Ne dokumentira koja je osoba primila ili izmijenila dokaz i kada.

Zašto se analiza provodi na radnim kopijama?

To omogućuje da primarni forenzički dokazi ostanu nepromijenjeni kao referenca, dok se alati za analizu koriste na zasebnoj radnoj osnovi.

Može li se forenzička slika koristiti unatoč pogreškama u čitanju?

Da. Izdvojeni podaci i dalje mogu biti od znatne vrijednosti za istraživanje. Međutim, pogreške u čitanju i njihovo ispravljanje moraju se dokumentirati i uzeti u obzir tijekom interpretacije.

Je li sama hash vrijednost dovoljna za stručno mišljenje?

Ne. To je tehnička komponenta kontrole integriteta. Provjerljivo stručno mišljenje dodatno zahtijeva odgovarajuću bazu podataka, dokumentiranu metodologiju, stručnu analizu i odgovarajuće tumačenje.

Može li se integritet vratiti retroaktivno?

Naknadno generirana hash vrijednost može definirati referentno stanje od te točke nadalje. Međutim, ne može retrospektivno dokazati da su podaci prije te točke ostali nepromijenjeni.

Zašto je vrijeme prve sigurnosne kopije toliko važno?

Što se prije relevantni podaci sigurnosno kopiraju na kontroliran način, to se jasnije može dokumentirati njihovo naknadno stanje. Promjene koje su se dogodile prije sigurnosne kopije ne mogu se poništiti kasnijim provjerama integriteta.

Što zapravo govori integritet digitalnih dokaza

Integritet digitalnih dokaza odgovara na jasno definirano pitanje: Je li ispitivani skup podataka još uvijek isti kao dokumentirani referentni skup?

Ova izjava je izuzetno vrijedna za profesionalnu digitalnu forenziku, ali je ne treba pretjerivati.

Integritet ne dokazuje automatski autentičnost, potpunost, istinitost, autorstvo ili pravnu dopuštenost digitalnog dokaza.

Pouzdana istraga stoga kombinira nekoliko razina: kontrolirano sigurnosno kopiranje podataka, nedvosmislenu identifikaciju izvora podataka, testiranje integriteta, sljediv lanac dokaza i profesionalno utemeljenu analizu.

Upravo to odvajanje sprječava pogrešna tumačenja. Hash vrijednost ne postaje pečat autentičnosti, forenzička kopija ne postaje automatski potpuni dokaz, a tehnički neoštećen skup podataka ne postaje dokazana činjenična tvrdnja bez daljnjeg ispitivanja.

Profesionalni integritet dokaza stoga prije svega znači jedno: biti u mogućnosti u bilo kojem trenutku na razumljiv način objasniti koji je skup podataka pregledan, kako je osiguran i na kojoj tehničkoj osnovi se može provjeriti njegovo nepromijenjeno stanje.

Natrag na pregled znanja