Файл: Forensics-06.pdf

случаях правомерность определяется обычаями делового оборота (ст. 5
ГК). Например, порт 3389/tcp используется для удаленного управления
компьютерами с ОС «Windows». Никаких публичных сервисов на этом
порту ожидать нельзя. Поэтому попытки доступа на этот порт со стороны
постороннего лица следует расценивать как неправомерные. Порт 80/tcp,
напротив, в подавляющем большинстве случаев используется для пуб
личного HTTPсервиса. Поэтому пользователь, осуществляя попытку
доступа к этому порту чужого сервера, может ожидать на нем наличия об
щедоступного вебсайта. Такую попытку нельзя признать неправомер
ным доступом. Итак, одно и то же действие по отношению к различным
портам должно квалифицироваться поразному. При этом статус обоих
упомянутых портов закреплен лишь в технических стандартах и в неписа
ных обычаях делового оборота сети Интернет.

Оценка содержания

Эксперт может найти на исследуемом компьютере (носителе) тексты и

сообщения по определенной тематике, однако он не имеет права оцени
вать содержание этих текстов, их авторство.

Также эксперт не может действовать в качестве переводчика, если

тексты на ином языке. Возможно, исключение составляет тот случай,
когда в переписке используется жаргон или транслитерация. Хотя задача
в этом случае вроде бы лингвистическая, но соответствующих специалис
тов среди обычных лингвистов нет. Это как раз тот случай, когда лучший
переводчик – не переводчик, а специалист в предметной области. Для
«перевода» текстов с жаргона или с нестандартного транслита можно наз
начить отдельную комплексную экспертизу – лингвистическокомпью
терную. А можно поручить эксперту в рамках КТЭ «преобразовать най
денные тексты в доступную для восприятия форму без изменения их
смыслового содержания, а также разъяснить используемые в текстах спе
циальные термины и выражения».

Ниже для иллюстрации приводится реальный диалог по ICQ из одно

го уголовного дела. Автор специально выбрал пример попроще, с исполь
зованием кириллицы. В случае же применения собеседниками трансли
терации, да к тому же транслитерации далеко не канонической, о подоб
ный диалог читатель мог бы сломать глаза.

Слушай а ты не знаешь где можно Civilization2 скачать?(это игра)

ТЫ ЧЕ?! ДУРАК?!

СОВСЕМ ПОЕХАЛ ЧТОЛИ?!

ОНА ВЕСИТ ТО СКОЛЬКО?!

А мне пофигу! Я вчера на 56$ сосканил!

ВОТ НЕНАВИЖУ КОГДА ТАК ОТРУБАЮТ!!!!!!

КАК?

Прлсто взяли и отрубили! Я уж думал пароль кончился....

261

Компьютернотехническая экспертиза

Ценообразование на программные продукты и цифровые фонограм

мы – это отдельная большая тема. Происходит оно несколько иначе, чем
в отношении материальных товаров. При этом издержки производителя
– далеко не самый важный фактор. Если в отношении материального то
вара цена на различных рынках для различных групп потребителей может
отличаться и в 2, и в 3, и даже в 5 раз (больше – вряд ли), то в отношении
«нематериального» программного обеспечения цена может различаться в
бесконечное число раз даже в пределах одной страны. Нередки случаи,
когда правообладатель передает право на использование программного
продукта (лицензию) совершенно бесплатно для некоторых потребите
лей, а с других потребителей берет значительные суммы.

Например, в отношении золотого кольца цена в один доллар является

однозначным указателем на криминальное происхождение. Покупатель
не может не знать, что таких цен на такой товар не бывает. На рынке же
программных продуктов встречаются вполне легальные и при этом доб
ротные товары по цене в 1 и даже в 0 долларов. При этом их аналоги мо
гут продаваться за сотни долларов. Поэтому покупатель не может быть
уверен в контрафактности, ориентируясь на низкую цену. Даже подозре
ний на контрафактность может не возникнуть.

Правомерность доступа

Эксперт не может определить правомерность доступа, осуществлявшего

ся с исследуемого компьютера или на исследуемый компьютер. Правомер
ность – это, как и контрафактность, факт юридический, а не технический.

Но эксперт может определить ряд других фактов, которые позволят

следствию и суду квалифицировать доступ как правомерный или непра
вомерный. Это следующие факты:

●

к какой именно информации осуществлялся доступ (для последующе
го решения вопроса, является ли она охраняемой законом компьютер
ной информацией);

●

предпринимал ли обладатель информации, к которой был осущес
твлен доступ, какиелибо меры для ее защиты и ограничения доступа
(для решения вопроса о конфиденциальности этой информации);

●

присутствует ли на электронном документе или носителе гриф «ком
мерческая тайна» (для решения вопроса об отнесении этой информа
ции к коммерческой тайне [44]) или иной гриф;

●

является ли данный способ доступа общепринятым способом для пуб
личных сетевых ресурсов.
Нуждается в пояснениях последний пункт. Правомерность или непра

вомерность доступа определяется не только законами (каковых для Ин
тернета не очень много) или договорами (каковые не могут быть заклю
чены между всеми пользователями и владельцами ресурсов). Во многих

260

Н.Н. Федотов

Форензика – компьютерная криминалистика

●

о правомерности действий, произведенных с использованием иссле
дуемых объектов;

●

о стоимости компьютеров, носителей, прав (лицензий) на содержа
щиеся там программы;

●

о переводах найденных текстов, интерфейсов программ, переписки и
т.п. (кроме разъяснения терминов и жаргона).

Объекты исследования

Оригинал или копия?

Существует мнение, что на экспертизу следует представлять только

оригинал носителя компьютерной информации – НЖМД, компакт
диск, флэшнакопитель и т.д. А исследовать его копию якобы неприем
лемо.

Это мнение не основано на законе. Ни в УПК, ни в законе «О госуда

рственной судебноэкспертной деятельности в Российской Федерации»
(№73ФЗ) такого требования не содержится. Более того, содержится зап
рет повреждать объект исследования без особого разрешения следовате
ля.

Автор полагает (и многие исследователи с этим согласны), что иссле

довать в ходе КТЭ оригинал носителя вообще нежелательно. Чтобы га
рантировать неизменность информации, а также оставить возможность
проведения повторной или дополнительной экспертизы, надо оставить
оригинал нетронутым. А все исследования проводить с его копией. Это
не только надежнее, но и удобнее, поскольку копию можно сделать на та
ком носителе, который лучше приспособлен для имеющихся у эксперта
инструментов, надежнее, быстрее. 

Это относится не только к изготовлению копии носителя в ходе КТЭ,

но и к копированию носителя вместо его изъятия при проведении обыс
ка или выемки.

Например, во время обыска специалист может изъять диск сервера це

ликом, а может на месте скопировать все его содержимое (естественно,
на низком уровне, на уровне контроллера) на свой диск. Допустимо ли
это с процессуальной точки зрения? Разумно ли с технической точки зре
ния?

Есть следующие аргументы:
1. Некоторые методы исследования носителя непременно требуют

оригинала. Другие с равным успехом работают с копией. Во время изъя
тия может ли специалист предположить, какие вопросы поставят перед
экспертом и какие методы он станет применять? По мнению автора, мо
жет. Тем более что методы, требующие непременно оригинала, использу
ются крайне редко.

263

Компьютернотехническая экспертиза

:) Да у меня тоже такое в последнее время бывает...

Слушай... Ты мне так и не сказал как по сети в кваку резаться.

Здорова!!!

Здарово!!!

Пришол чтоли?

Ну так...

Здесь тебе привет от ученицы!!!

От Сашки чтоли? :)))

Мы тут по порно лазием!!

:))))))))))))

Рульно!!!

Ты где ща лазаеш?

Дан!! Дай пасс.

У менямои на исходе, а в переди еще вся ноч!!!!

Я те патом по возможности отдам...

Я простог в последнее время обленился!!! :((((( :))))

Дан!! Не молчи!!

Ты меня слышышь?

Слушай UFO выйдииз инета побазарить надо!!!!!!!

Давай.... А ещё, кокой у тебя номер в Одиго?

А как тебя туда занесло??:G)))

А газета то МоСковсКая?

А может это ФсБля АGааа...:G)))))))))))))))))))))))))

НеGа...

Ты на щёт чего??

Слишком длинный:G))))

Давай на кнт.ru

Чё за инфа???

Слушай где мне УРл короткий достать?

Ну типа как ты говорил www.haker.net

Чё хоть куриш та?

Дай хоть какой нибудь сайт прикольный:G)))

Нет...

avt393381

Нет ты мне дал avt239776...

Держи на два бакса 

GGGGGGGGGGGGGGGGGGGGG

avt202265

UTew8hNC

GGGGGGGGGGGGGGGGGGGGG

Ладно пора спать, а то завтра хрен встану. Полтинник принесу в воскресение

Пока!!!!!

Неподготовленный человек вряд ли поймет, что речь идет о примене

нии вредоносных программ и неправомерном доступе к компьютерной
информации, а также о сбыте результатов такого доступа.

Резюме

Итак, в рамках КТЭ нельзя ставить следующие вопросы:

●

о лицензионности/контрафактности экземпляров произведений, за
писанных на исследуемых носителях;

262

Н.Н. Федотов

Форензика – компьютерная криминалистика

Файловая система – это структура для организации хранения инфор

мации в виде файлов и доступа к ней. Файл обязательно предусматривает
заголовок и тело. В заголовке содержится имя файла, другие его атрибуты
и указание на расположение тела файла. В теле файла записываются дан
ные, то есть содержимое файла. Практически все файловые системы пре
дусматривают древовидную структуру: файлы включаются в состав ди
ректорий* (каталогов), которые, в свою очередь, могут включаться в дру
гие директории. Минимальная единица хранения определяется парамет
рами носителя (например, размером сектора НЖМД) и файловой систе
мой; обычно она именуется блоком или кластером. Тело файла всегда за
нимает целое число таких блоков.

Наиболее распространенные файловые системы таковы.

265

Компьютернотехническая экспертиза

Название

Макс. емкость

Комментарии

FAT12

16 Мб

Используется только на дискетах

FAT16

2 Гб;

Единственная ФС для MSDOS и ее клонов.

для WindowsNT 

С момента создания поддерживается 

и последующих: 4 Гб

ОС Юникс. Ныне считается устаревшей
для компьютеров, но широко использу
ется на иных устройствах – MP3плеерах,
камерах, флэшнакопителях

FAT32

2 Тб

Оригинальная ФС для Windows95OSR2
и последующих, является модификацией
FAT16. Применяется в некоторых 
мультимедийных носителях.

NTFS

16 Эб

Оригинальная ФС для WindowsNT и 

(1 Эб=2

60

б)

последующих. Поддерживает сжатие и 
шифрование данных, а также 
восстановление после сбоев

UFS 

256 Тб–1 Йб (2

80

б)

Стандартная, или «родная», ФС для всех

(UNIXFile System)

типов UNIX, а также MacOSX. 
Существует несколько модификаций 
под различные клоны Юникс

Ext2fs

32 Тб

Оригинальная ФС для ОС Linux.
Наследует свойства UFS. 
Предусматривает восстановление 
целостности после сбоев

Ext3fs

32 Тб

Развитие ФС Ext2fs. Добавлено 
журналирование транзакций для 
улучшения и ускорения восстановления
после сбоев

Ext4

1 Эб

Дальнейшее развитие ФС Ext3. 

(1 Эб=260б)

Уменьшена фрагментация и повышена 
производительность

2. Возможны ошибки при копировании диска. Их возникновение ста

вит под угрозу проведение экспертизы вообще. Но насколько вероятны
такие ошибки? Верификация после копирования носителя разве не ре
шит проблему? По мнению автора, решит. Кроме того, специалист дол
жен использовать для копирования лишь проверенные средства и мето
ды, которые не только не допускают ошибок, но и детектируют внешние
ошибки.

3. Достаточна ли компетентность специалиста, участвующего в след

ственном действии, проводящего копирование диска? По мнению авто
ра, найти такого специалиста несложно.

4. Поймут ли понятые суть происходящих действий? Изъятие и опеча

тывание оригинала диска им, безусловно, понятно. А снятие копии?
Смогут ли они уверенно утверждать, что именно проделывал специалист?
По мнению автора, им этого понимать и не обязательно. На то и предус
мотрен специалист, чтобы проводить действия, требующие специальных
знаний.

5. Может ли произойти при копировании диска утрата некоторой ин

формации? Например, заводской номер диска, число секторов. По мне
нию автора, утраты не произойдет, если копировать на уровне контрол
лера диска, а внешние признаки оригинала записать в протокол.

6. Если применять снятие копии вместо изъятия оригинала носителя,

это позволит не прерывать (или прервать ненадолго) рабочий процесс у
владельца носителя. Остановить работу сервера на несколько дней ради
проведения экспертизы – за что потерпевшему или непричастному про
вайдеру такое наказание?

7. В некоторых случаях копирование носителя страхует от потери дан

ных вследствие недолговечности оригинального носителя. Например, в
случае КПК. Лучше на месте снять копию памяти, чем до экспертизы
поддерживать КПК в заряженном состоянии (не нарушая целостность
печатей). Или в случае старого диска, склонного «сыпаться», то есть пос
тоянно увеличивать количество дефектных блоков.

Методы КТЭ

Исследование файловых систем

Чтобы носитель компьютерной информации мог содержать файлы, он

должен быть размечен и отформатирован под определенную файловую
систему*. Разметка* состоит в создании на носителе разделов* (парти
ций), внутри которых могут быть образованы логические диски (тома).
Форматирование логического диска (тома) состоит в создании на нем
пустой файловой системы. Некоторые виды носителей способны содер
жать единственный раздел (партицию), например, дискеты.

264

Н.Н. Федотов

Форензика – компьютерная криминалистика

Иногда можно наткнуться на целый бывший раздел. Есть также разделы
специального назначения, например, для свопинга или для хранения со
держимого криптодиска.

Кроме того, на некоторых типах носителей встречаются технологи

ческие, не предназначенные для пользователей области, например, Host
Protected Area (HPA). При помощи соответствующих программ они все
же могут быть использованы и порой используются для хранения скры
той информации.

Копирование носителей

Любые экспертные исследования носителей компьютерной информации

надо проводить, не изменяя их содержимого,

если только это возможно. А

возможно это всегда.

Исключением можно считать те случаи, когда эксперт не обладает ис

следовательским оборудованием или носителем нужной емкости. Учиты
вая, что исследовательским оборудованием в данном случае является самый
обычный компьютер, а хорошее экспертное ПО распространяется бесплат
но, такие причины автор не склонен считать уважительными. Но на прак
тике это встречается. Надо напомнить, что если при экспертизе содержимое
исследуемого носителя изменяется, некоторая оригинальная информация с
него уничтожается, то, согласно УПК, на это следует получить предвари
тельное разрешение от следователя, назначившего экспертизу.

Все исследователи единодушно рекомендуют делать копию ориги

нального носителя и проводить исследования с ней, а оригинал сохра
нить в неизменности для контроля и возможной повторной/дополни
тельной экспертизы. Если на экспертизу поступила копия, то ее также
следует оставить в неприкосновенности в качестве мастеркопии, а ис
следования проводить над снятой с нее рабочей копией.

Для обнаружения скрытой информации копировать носитель нужно

не средствами ОС, то есть не на уровне файловой системы, а уровнем ни
же. Копирование надо производить на уровне контроллера устройства
(также используется термин «Bit stream copying/imaging»). При этом ко
пируется как информация, содержащаяся в файловой системе, так и
скрытая для нее – свободные блоки, хвосты файлов и т.д.

В принципе, возможны исследования носителей на еще более низком

уровне – на физическом. Для НЖМД это означает, что считывание про
изводится не встроенными в накопитель магнитными головками, под уп
равлением встроенного контроллера, а некими внешними средствами.
При этом возможно снять остаточную намагниченность или намагни
ченность на границах магнитных дорожек и таким образом восстановить
даже те данные, которые были недоступны для штатных магнитных голо
вок исследуемого НЖМД. Это позволяет восстановить перезаписанные

267

Компьютернотехническая экспертиза

С другими файловыми системами можно познакомиться в специаль

ной литературе [W10, W11], всего их известно несколько десятков.

Как правило, каждая ОС имеет встроенную поддержку для одной или

нескольких файловых систем. При помощи дополнительного ПО (драй
веров) ОС может понимать и иные файловые системы.

Если работать с носителем (диском) помимо штатных функций для

соответствующей файловой системы, то можно увидеть больше инфор
мации, чем доступно через файловую систему. Такая скрытая информа
ция может быть обнаружена в четырех местах – свободных блоках, хвос
тах файлов, ADS и неиспользованных разделах.

Свободные блоки.

При стирании файлов штатными средствами ОС

блоки, содержащие тело файла, отмечаются как свободные, но сразу не
перезаписываются. Запись в эти блоки может быть произведена позже,
при последующих операциях. Таким образом, свободные блоки, если они
хоть раз использовались, содержат фрагменты старых, удаленных или из
мененных файлов. Правда, не всегда можно восстановить первоначаль
ную принадлежность и последовательность этих блоков.

Хвосты файлов.

Как указывалось, тело файла должно занимать целое

число блоков (кластеров) на носителе. Если файл короче, то остаток пос
леднего блока, его хвост или «slack space» будет содержать прежнюю ин
формацию, то есть фрагмент старого файла.

Alternate data streams (ADS)

– это дополнительные тела для файла в

файловой системе NTFS, которые могут содержать сопутствующую ин
формацию. Они недоступны с помощью штатных средств ОС и поэтому
представляют скрытую для пользователя информацию.

Свободные и специальные разделы.

Неиспользуемые и неразмеченные

части диска также содержат информацию, которая была там прежде.

266

Н.Н. Федотов

Форензика – компьютерная криминалистика

ISO9660

Популярная ФС для компактдисков и 
DVD. Есть несколько модификаций

этой ФС: 

Joliet, RockRidge, ISO13490 и др.

HPFS

64 Гб

Оригинальная ФС для OS/2. Основана 

(High

на принципах FAT с добавлением неко

то

Performance

рых свойств по ускорению доступа

File System)

и оптимизации

HFS

MacOS6 и 7 – 2 Гб

Стандартная ФС для MacOS

MacOS7.5 – 4 Гб;
MacOS7.5.2 
и послед. – 2 Тб

HFS Plus

2 Тб

Дальнейшее развитие HFS

UDF ФС 

для DVD и некоторых CD

(Universal 
Disk Format)

Есть опасение, что не все программные и аппаратные инструменты

одинаково хорошо справляются с задачей копирования носителя.

Действительно, некоторые инструменты могут либо неточно/неполно

копировать, так что содержимое копии отличается от оригинала, либо
вносить какиелибо изменения в оригинал.

В Национальном институте юстиции США (National Institute of

Justice, U.S. Department of Justice) были протестированы несколько таких
программ [W12]. Согласно методике испытаний, корректность снятия
копии содержимого (образа) диска определяется 4 параметрами:

●

совпадение копии с оригиналом;

●

возможность верификации копии;

●

сохранение неизменности оригинала;

●

детектирование внешних ошибок.

Проведенными исследованиями показана корректная работа следую

щих программ:

●

dd из состава ОС FreeBSD 4.4 (без ошибок);

●

Encase версии 3.20 (с тремя ошибками);

●

Safeback версии 2.18 (с двумя ошибками);

●

Safeback/DOS версии 2.0 (с четырьмя ошибками);

●

dd из состава GNU fileutils 4.0.36, ОС Red Hat Linux 7.1 (без ошибок).
Разумеется, проводились и иные исследования в иных организациях,

но автор приводит данный источник (National Institute of Justice) как на
иболее авторитетный из известных. Использование упомянутых прог
рамм для снятия образа диска во время экспертизы или при проведении
следственного действия не вызовет у специалистов сомнений по поводу
корректности копирования.

Для сохранения неизменности оригинала или для дополнительной га

рантии такой неизменности оригинальный носитель при копировании
подключается в режиме «только чтение». Для этого во всех операционных
системах, кроме Windows, используется режим 

«ro»

команды монтирова

ния файловой системы 

(mount)

. А для Windows, где такого режима не

предусмотрено, используются специальные программные или аппарат
ные блокировщики записи, которых существует на рынке немало.

Для гарантии тождественности копии или образа диска после копиро

вания следует произвести верификацию. В упомянутых выше програм
мах и некоторых других предусмотрен режим верификации. Если его нет,
то побитное сравнение содержимого оригинала и копии можно произ
вести иными программами.

Хэшфункции для удостоверения тождественности

В зарубежной практике для удостоверения целостности и неизмен

ности данных на носителе используются однонаправленные хэшфунк

269

Компьютернотехническая экспертиза

(в том числе перезаписанные неоднократно) данные. Но такая эксперти
за требует специального очень дорогого оборудования. Ограничимся рас
смотрением экспертных исследований на уровне файловой системы и на
уровне контроллера устройства.

Итак, оригинальный носитель перед проведением экспертизы копи

руется. Можно скопировать его на другой (такого же размера или боль
шего) аппаратный носитель, а можно создать образ носителя в специаль
ном файле или разделе. Копирование «носитель на носитель» можно про
извести как предназначенным для этого отдельным устройством (дупли
катором дисков), так и с помощью компьютера, использовав соответству
ющее программное обеспечение, например, программу «dd». Копирова
ние «носитель в файл» производится только программно, специальным
ПО, например, программой «dd».

Копирование же на уровне файловой системы (также используется

термин «logical copying/imaging/backup») применимо лишь в ограничен
ном числе случаев, например, при изучении только логфайлов.

Копирование носителя может являться составной частью экспертизы.

Копирование может быть проведено во время следственного действия
вместо изъятия оригинального носителя. В последнем случае на экспер
тизу передается копия, но ее необходимо сохранить неизменной, так же
как в случае с передачей на экспертизу оригинального носителя.

268

Н.Н. Федотов

Форензика – компьютерная криминалистика

Схема копирования на уровне файловой системы (logical copying) и копирования

на уровне контроллера диска (bit stream copying)