IT forenzika · Soukromé osoby

Jak mohu zjistit, zda byly metadata souboru změněna?

Metadata lze změnit pomocí programů, exportů, synchronizace v cloudu nebo ruční úpravou.

Proč je tato otázka důležitá pro soukromé osoby

Chaty, fotografie, videa a snímky obrazovky mohou mít v soukromých, občanskoprávních či trestněprávních sporech značnou váhu. Jejich vizuální podoba však automaticky neodpovídá na otázky týkající se původu, úprav, časového okamžiku nebo autorství.

Technický přístup k výzkumu

Porovnáváme interní metadata, informace o souborovém systému, vložené struktury, existující verze souborů a odpovídající artefakty.

Kde leží hranice výpovědi

Odchylka zpočátku svědčí pouze o nekonzistentnosti; příčinu a záměr je třeba prošetřit samostatně.

Proč LanCologne?

Digitální důkazy se laikům často jeví jako jednoznačnější, než ve skutečnosti jsou z technického hlediska. Snímek obrazovky může vypadat autenticky, a přesto může být upraven. Naopak chybějící metadata nebo nová komprese mohou mít zcela běžné příčiny. Soubor se může nacházet na smartphonu, aniž by tam byl vytvořen.

LanCologne proto rozkládá zdánlivě jednoduchou otázku „Je to pravé?“ na technicky ověřitelné dílčí otázky: Existuje původní soubor? Z jaké aplikace nebo datového zdroje pochází? Jsou vnitřní struktury a metadata konzistentní? Existují odpovídající záznamy v databázích, zálohách, cloudu nebo systémových artefaktech? Byl soubor exportován, převeden nebo upraven? Které z těchto operací lze skutečně doložit?

Zvláště důležité je rozlišovat mezi autentičností a autorstvím. I když byla zpráva technicky uložena na určitém účtu, neznamená to automaticky, že je prokázáno, která fyzická osoba ji zadala. Stejně tak model fotoaparátu v EXIF datech bez dalšího ověření neprokazuje, které konkrétní fyzické zařízení soubor vytvořilo.

Upřednostňujeme primární data před pouhými znázorněními. Původní zprávy, databáze a původní soubory obvykle obsahují více technického kontextu než snímky obrazovky, výtisky nebo dodatečné exporty.

Výsledek zůstává otevřený. Stejně tak dokumentujeme potvrzující, protichůdné i nerozhodné nálezy a srozumitelně vysvětlujeme, do jaké míry je technické tvrzení skutečně platné.

Náš způsob práce

1Definovat konkrétní otázku týkající se důkazu: obsah, původ, časový okamžik, změna nebo autorství.

2Získat originální zařízení, resp. originální soubor, pokud je to v souladu se zákonem.

3Vytvořit pracovní kopie a zdokumentovat integritu příslušných datových stavů.

4Jasně rozlišovat mezi snímkem obrazovky, exportem a primárními daty.

5Prozkoumat strukturu souborů, metadata a artefakty specifické pro danou aplikaci.

6Interpretovat časová razítka podle jejich příslušného technického významu.

7Zkontrolujte příslušné databáze, zálohy, cloudová data a systémové záznamy.

8Rozlišovat mezi běžnou konverzí a zpracováním na platformě od cílené manipulace.

9Nikdy nenechte automatické detektory manipulace nebo detektory založené na umělé inteligenci rozhodovat samostatně.

10Nesmí se zaměňovat autentičnost, původ, vlastnictví a autorství.

11Zaznamenat protichůdné hypotézy a mezery v datech.

12Výsledek je třeba prezentovat srozumitelně a tak, aby jej bylo možné reprodukovat při odborné kontrole.

Autentičnost není totéž co autorství

Zpráva může být technicky autenticky uložena v účtu nebo na zařízení, aniž by z toho samo o sobě bylo možné s jistotou odvodit, která fyzická osoba ji napsala. Toto oddělení zabraňuje tomu, aby se správný technický závěr mísil s nepodloženým tvrzením o totožnosti osoby.

Původní data jsou důležitější než pouhé zobrazení na obrazovce

Snímek obrazovky může být cenným zdrojem informací, zejména pokud obsah později zmizí. Pro podrobnější vyšetřování se však snažíme získat také původní soubory, data z aplikací, databáze nebo jiné primární zdroje. Ty často obsahují kontext, který ve viditelné podobě chybí.

Proč se při prověřování digitálních důkazů používá metoda LanCologne?

LanCologne neposuzuje digitální obsah jako pravdivý či nepravdivý na základě toho, zda se jeví jako věrohodný. Prověřujeme dostupné technické důkazy, dokumentujeme jejich původ a omezení výpovědní hodnoty a zpracováváme odvození tak, aby bylo srozumitelné pro soukromého klienta a zároveň pochopitelné pro právníka, vyšetřovací orgán, soud nebo jiného kvalifikovaného IT forenzního experta.

Právní rámec

V případě zmanipulovaných digitálních důkazních údajů může být v závislosti na konkrétních okolnostech relevantní § 269 trestního zákoníku. Toto ustanovení se za splnění stanovených podmínek vztahuje na ukládání nebo změnu dat relevantních pro důkazní řízení s úmyslem uvést v omyl, resp. na použití takto uložených nebo změněných dat. Zda konkrétní soubor nebo zpráva splňuje všechny znaky trestného činu, je právní otázkou; samotné technické zjištění manipulace na ni nedává odpověď.

Pro občanskoprávní řízení je relevantní § 371 ZPO. Podle něj lze důkaz na základě prohlídky předložit i prostřednictvím předložení nebo zaslání elektronických dokumentů. § 371a ZPO obsahuje zvláštní ustanovení o důkazní síle elektronických dokumentů, zejména v případě kvalifikovaných elektronických podpisů a určitých veřejných elektronických dokumentů. Ne každá běžná zpráva z chatu nebo obrazový soubor má proto automaticky zvláštní důkazní sílu, jak je tam stanoveno.

Na znalecké posudky se vztahují §§ 402 a násl. ZPO. Soukromě zadaný IT-forenzní posudek není pouhou technickou kvalitou sám o sobě soudním znaleckým posudkem. Jeho srozumitelná metodika a získaná důkazní základna však mohou být důležité pro advokáty a pro pozdější odborné posouzení.

Hashové hodnoty jsou důležitým nástrojem pro zajištění integrity, ale neposkytují záruku pravosti původního obsahu. Hash dokládá, že určitý stav dat zůstal od vytvoření hashe nezměněn, respektive že se bit po bitu shoduje s referenčním stavem. Neodpovídá však automaticky na otázku, zda byl obsah před zálohováním zmanipulován.

LanCologne hodnotí technické údaje a jejich vypovídací hodnotu. Právní posouzení důkazů, trestněprávní kvalifikace a rozhodnutí o tom, jaký význam se v řízení přikládá jednotlivým důkazům, náleží advokátům, vyšetřovacím orgánům a soudům.

Často kladené otázky

Jak mohu zjistit, zda byly metadata souboru změněna?

Jak taková technická prohlídka probíhá v praxi?

Porovnáváme interní metadata, informace o souborovém systému, vložené struktury, existující verze souborů a odpovídající artefakty.

Může takové vyšetření vždy poskytnout jednoznačný výsledek?

Odchylka zpočátku svědčí pouze o nekonzistentnosti; příčinu a záměr je třeba prošetřit samostatně.

Existuje pro to právní základ?

V případě zmanipulovaných digitálních důkazních údajů může být v závislosti na konkrétních okolnostech relevantní § 269 trestního zákoníku (StGB). Toto ustanovení se za splnění stanovených podmínek vztahuje na ukládání nebo změnu údajů relevantních pro důkazní řízení s úmyslem uvést v omyl, resp. na použití takto uložených nebo změněných údajů. Zda konkrétní soubor nebo zpráva splňuje všechny znaky trestného činu, je otázkou právní; samotné technické zjištění manipulace na ni neodpovídá. Pro občanskoprávní řízení je relevantní § 371 ZPO. Podle něj lze důkaz formou prohlídky předložit i předložením nebo zasláním elektronických dokumentů. § 371a ZPO obsahuje zvláštní ustanovení o důkazní síle elektronických dokumentů, zejména v případě kvalifikovaných elektronických podpisů a určitých veřejných elektronických dokumentů. Ne každá běžná zpráva z chatu nebo obrazový soubor proto automaticky disponuje zvláštní důkazní silou, jak je zde stanoveno. Pro znalecké důkazy platí §§ 402 a násl. ZPO. Soukromě zadaný IT-forenzní posudek není pouhou technickou kvalitou sám o sobě soudním znaleckým posudkem. Jeho srozumitelná metodika a zachovaná důkazní základna však mohou být důležité pro advokáty a pro pozdější odborné posouzení. Hashové hodnoty jsou důležitým nástrojem pro zajištění integrity, ale nejsou zárukou pravosti původního obsahu. Hash dokládá, že určitý stav dat zůstal od vytvoření hashe nezměněn, resp. že se bit po bitu shoduje s referenčním stavem. Neodpovídá však automaticky na otázku, zda byl obsah před zálohováním zmanipulován. LanCologne vyhodnocuje technické údaje a jejich výpovědní hodnotu. Právní posouzení důkazů, trestněprávní kvalifikace a rozhodnutí o tom, jaký význam mají jednotlivé důkazy v řízení, přísluší advokátům, vyšetřovacím orgánům a soudům.