Tämä yhteenveto kokoaa kaikki LanCologne-sivustolla olevat tuomioistuimille tarkoitetut kysymykset ja vastaukset, jotka liittyvät IT-rikostutkintaan – käyttäjien ja tilien tunnistamisesta tiedostoihin, metatietoihin ja viestintäjälkiin sekä digitaalisten todisteiden ristiriitaisuuksiin ja IT-asiantuntijan rooliin oikeudenkäynnissä. Napsauta luokkaa nähdäksesi siihen liittyvät kysymykset.
Käyttäjien ja tilien yhdistäminen
- Voidaanko todistaa, kuka on käyttänyt tietokonetta tai älypuhelinta?
- Voidaanko tietty käyttäjän syöttämä tieto todentaa teknisesti?
- Voidaanko viestin todellinen lähettäminen erottaa pelkästä sen olemassaolosta tilillä?
- Voidaanko tehdä ero paikallisen käyttäjätilin, toimialueen tilin ja pilvitilin välillä?
- Voidaanko käyttäjänvaihto tai rinnakkainen käyttäjäistunto rekonstruoida?
- Mikä on automaattisen kirjautumisen merkitys?
- Voidaanko digitaalinen artefakti liittää tiettyyn käyttäjäprofiiliin?
- Miten jaetuista tai teknisistä tileistä peräisin olevia artefakteja tulisi arvioida?
- Voidaanko erottaa, onko digitaaliset tiedot syntyneet automaattisesti vai käyttäjän toimesta?
- Voidaanko selvittää, onko käyttäjätili vaarantunut tai onko kolmas osapuoli käyttänyt sitä?
- Miten digitaalisia jälkiä arvioidaan, kun useat laitteet käyttävät samaa tiliä?
- Voidaanko jaetuilla tietokoneilla suoritettu digitaalinen toiminto liittää tiettyyn käyttäjään?
- Voidaanko paikallinen käyttäjätili, toimialueen tili ja pilvitili erottaa toisistaan luotettavasti?
- Voidaanko käyttäjänvaihto tai rinnakkainen käyttäjäistunto todentaa?
- Mikä merkitys automaattisella kirjautumisella on käyttäjien kohdentamisen kannalta?
- Voidaanko digitaalinen artefakti liittää tiettyyn käyttäjäprofiiliin monikäyttäjäjärjestelmässä?
Viestintä: chat, sähköposti ja viestit
- Voidaanko chat-keskustelun aitous ja täydellisyys tarkistaa teknisesti?
- Voidaanko sähköpostiviestin alkuperä ja lähetysreitti määrittää teknisesti?
- Minkälaista todistusarvoa push-ilmoituksilla on digitaalisena todisteena?
- Mitä digitaalinen lukukuittaus oikeastaan todistaa?
- Miten tulisi suhtautua lähettäjän ja vastaanottajan välisiin eroihin uutistilanteessa?
- Voidaanko sähköpostin liitetiedoston osalta tehdä ero vastaanottamisen, tallentamisen, avaamisen ja käsittelyn välillä?
- Voidaanko selvittää, onko sähköposti välitetty eteenpäin vai onko sen sisältö kopioitu manuaalisesti?
- Minkälaista tietoa sähköpostin otsikkotiedot antavat viestin alkuperästä ja siirtoreitistä?
- Voidaanko selvittää, onko sähköposti poistettu paikallisesti, palvelimella vai synkronoinnin yhteydessä?
Valokuvat, videot ja multimedia
- Voidaanko näytön lukituksen perusteella päätellä laitteen todellista käyttöä?
- Voidaanko selvittää, onko valokuva tai video otettu tietyllä laitteella?
- Voidaanko erottaa toisistaan alkuperäinen tallenne, muokattu tiedosto ja muunnettu kopio?
- Minkälaista merkitystä esikatselukuvilla ja pikkukuvien välimuistilla on?
- Minkälaista todistusvoimaa näytön tallenteella on digitaalisena todisteena?
- Kuinka luotettavia valokuva- ja videometatiedot ovat oikeudellisina todisteina?
- Osoittaako esikatselukuva tai pikkukuva, että kyseinen tiedosto on avattu?
Laitteet, verkko ja järjestelmäkomponentit
- Voidaanko selvittää, onko laite ollut yhteydessä tiettyyn WLAN-laitteeseen?
- Mitä merkitystä on sillä, että useilla laitteilla on identtiset tiedostot?
- Voidaanko selvittää, mikä laite on alun perin aiheuttanut synkronoidun muutoksen?
- Voidaanko väitetty etäkäyttö tietokoneeseen todistaa teknisesti?
- Voidaanko laitteen verkkovaihto rekonstruoida ajallisesti?
- Voidaanko selvittää, onko järjestelmän päivitys muuttanut tai poistanut digitaalisia jälkiä?
- Miten siirto uuteen laitteeseen vaikuttaa todisteiden arviointiin?
- Voidaanko todentaa, onko tietty ulkoinen laite ollut kytkettynä tietokoneeseen?
- Voidaanko selvittää, onko tietty ohjelmisto asennettu tai onko sitä todella käytetty?
- Voidaanko myöhemmin selvittää, onko ohjelmisto, joka on sittemmin poistettu, ollut asennettuna aiemmin?
- Voidaanko todentaa, onko tietoja siirretty tai haettu verkkojakoaseman kautta?
- Minkälaista todistusarvoa työmuistista peräisin olevilla väliaikaisilla tiedoilla on oikeudessa?
- Voidaanko etätyöpöytä- tai etäkäyttösessio todentaa jälkikäteen?
- Voidaanko selvittää, oliko laite kyseisenä ajankohtana lukittu vai käytössä?
- Voidaanko selvittää, mihin verkkoon laite oli kytkettynä tiettynä ajankohtana?
- Miten ulkoisen Server-laitteen aikatietoja verrataan laitteen paikalliseen aikaan?
- Miten järjestelmäpäivitykset voivat vaikuttaa digitaalisiin jälkiin?
- Voidaanko siirto vanhasta laitteesta uuteen tunnistaa rikosteknisten tutkimusten avulla?
Poisto, palautus ja varmuuskopiointi
- Voidaanko todistaa, onko tietoja poistettu tahallaan?
- Mitä jälkiä varmuuskopiosta tehty palautus voi jättää?
- Mitä voidaan luotettavasti todeta laitteen palauttamisen jälkeen tehdasasetuksiin?
- Mikä on varmuuskopioiden, tilannekuvien ja historiallisten varmuuskopioiden todistusarvo?
- Voidaanko selvittää, onko tallennusväline alustettu tai onko käyttöjärjestelmä asennettu uudelleen?
- Minkälaista todistusarvoa roskakoriin ja Trash-kansioon tallennetuilla tiedostoilla on oikeudessa?
- Voidaanko selvittää, onko poistetut tiedot myöhemmin korvattu uusilla tiedoilla?
- Miten varmuuskopiosta tehty palautus vaikuttaa todisteiden arviointiin?
- Mitä tietoja on vielä saatavilla, kun laite on palautettu tehdasasetuksiin?
Todennus, salaus ja pääsyn suojaus
- Voidaanko erottaa toisistaan salasana-, biometrinen ja istuntoon perustuva todennus?
- Minkälaista todistusarvoa tallennetuilla salasanoilla, tunnuksilla ja käyttäjätunnuksilla on oikeudessa?
- Minkälaista merkitystä salatuilla kontteilla ja virtuaalisilla tallennusvälineillä on?
- Minkälaisen lausunnon antaminen on sallittua, kun todistusaineisto on salattu tai vain osittain saatavilla?
- Miten digitaalinen allekirjoitus tarkistetaan teknisesti?
Anonymisointi, VPN ja verkkojäljet
- Miten merkittävää VPN:n käyttö on digitaalisten toimintojen jäljittämisen kannalta?
- Miten välityspalvelin-, välityskytkentä- tai anonymisointiyhteydet luokitellaan rikosteknologisessa tutkimuksessa?
- Kuinka merkityksellisiä DNA-jäljet ovat todisteena internetin käytöstä?
- Miten merkittävää VPN:n käyttö on internet-toiminnan jäljittämisen kannalta?
Pilvipalvelut, virtuaaliset järjestelmät ja kontit
- Voidaanko selvittää, onko arkisto purettu tai onko sen sisältöä käytetty?
- Miten virtuaalikoneita tutkitaan digitaalisina todisteina?
- Voidaanko selvittää, oliko virtuaalikone käynnissä tiettynä ajankohtana?
- Minkälaista todistusvoimaa pilvipohjaisilla synkronointitiedoilla on oikeudessa?
- Minkälaista todistusarvoa salatuilla kontteilla ja virtuaalisilla tallennusvälineillä on oikeudessa?
- Miten virtuaalikoneita tutkitaan digitaalisina todisteina?
Tiedostot, metatiedot ja aikaleimat
- Voidaanko selvittää, milloin tiedosto on luotu tai muokattu?
- Voidaanko selvittää, onko tiedostoa todella avattu tai käytetty?
- Voidaanko selvittää, onko tiedostoa vain katsottu vai onko sitä todella muokattu?
- Minkälaista todistusvoimaa luonnoksilla, automaattisesti tallennetuilla tiedostoilla ja väliaikaisilla asiakirjoilla on?
- Voidaanko tiedosto liittää tiettyyn ohjelmaan, jolla se on luotu?
- Voidaanko selvittää, onko asiakirja viety toisesta tiedostosta?
- Voivatko leikepöydän jäljet todistaa kopiointi- ja liittämistoimenpiteen?
- Minkälaista todistusarvoa ZIP-, RAR- ja muilla arkistotiedostoilla on oikeudessa?
- Kuinka luotettava digitaalinen aikajana on oikeudessa?
- Minkälaista merkitystä hakuhakemistoilla ja indeksoiduilla tiedostojen sisällöillä on?
- Voidaanko todellisuudessa suoritettu haku erottaa pelkästä indeksoinnista?
- Voidaanko selvittää, onko digitaalinen toiminto käynnistynyt suunnitellun tehtävän tai automaation seurauksena?
- Voidaanko selvittää, oliko käyttöoikeus voimassa tiettynä ajankohtana?
- Voidaanko käyttäjä- tai ryhmäoikeuksien muutoksia jäljittää?
- Milloin digitaalisen artefaktin puuttumisesta voidaan ylipäätään tehdä johtopäätös?
- Voidaanko todentaa, onko digitaalista asiakirjaa muutettu jälkikäteen?
- Voidaanko selvittää, mikä asiakirjan versio oli käytössä tiettynä ajankohtana?
- Voidaanko selvittää, onko tiedosto ladattu Internetistä?
- Voidaanko selvittää, oliko tietokone tiettynä ajankohtana päällä vai pois päältä?
- Voidaanko selvittää, onko tiedostojen nimiä muutettu tai onko niitä siirretty järjestelmän sisällä?
- Minkälaista todistusarvoa palautetuilla tai vain osittain säilyneillä tiedostoilla on oikeudessa?
- Voidaanko selvittää, onko tiedosto tai tieto tulostettu?
- Voidaanko selvittää, onko tiedosto todella avattu?
- Voidaanko todistaa, että henkilö on todellakin tutustunut digitaalisen tiedoston sisältöön?
- Voidaanko erottaa, onko tiedosto kopioitu, siirretty vai synkronoitu?
- Voidaanko poistamisen ajankohtaa rajoittaa teknisesti?
- Voidaanko tiedoston käyttö todistaa, vaikka tiedosto olisi pysynyt muuttumattomana?
- Voidaanko tiedostojen tai järjestelmän aikaleimojen manipuloinnin havaita?
- Voidaanko erottaa toisistaan alkuperäinen mediatiedosto ja muunnettu tai uudelleen tallennettu versio?
- Mitä tietoa hakuhakemistot antavat tiedoston olemassaolosta tai käytöstä?
Ristiriidat, uskottavuus ja todisteiden arviointi
- Miten IT-asiantuntija tarkastaa väitetyn tapahtumaketjun, jos digitaaliset todisteet ovat keskenään ristiriidassa?
- Kuinka luotettavia manuaalisesti muokattavat metatiedot ovat todisteina?
- Voiko haittaohjelma olla vaihtoehtoinen selitys digitaaliselle toiminnalle?
- Miten ristiriitaisiin digitaalisiin jälkiin tulisi suhtautua?
- Miten väitetyn digitaalisen tapahtumaketjun tekninen uskottavuus tarkistetaan?
- Miten IT-asiantuntija arvioi kahta teknisesti uskottavaa selitystä?
- Miten tekninen todisteiden puuttuminen ilmaistaan selkeästi asiantuntijalausunnossa?
- Miten ristiriitaisia digitaalisia todisteita tulisi käsitellä IT-asiantuntijalausunnossa?
Asiantuntijalausunnot, oikeudenkäynnit ja asiantuntijat
- Miten IT-asiantuntijan riippumattomuus ja puolueettomuus toteutetaan käytännössä?
- Miksi IT-asiantuntijalausunnon on oltava ymmärrettävä myös muille kuin rikosteknisten tutkijoiden?
- Miksi ymmärrettävään IT-asiantuntijalausuntoon kuuluu tekninen liite?
- Miten IT-asiantuntijalausunto laaditaan toistettavalla tavalla mahdollista vastalausuntoa varten?
- Miten oikeudellinen IT-todistekysymys ratkaistaan lopullisesti ja yksiselitteisesti?
- Miten aikavyöhykkeet, kesäaika ja virheelliset järjestelmäkellot otetaan huomioon asiantuntijalausunnossa?
- Miten jo olemassa olevaa yksityistä IT-asiantuntijalausuntoa voidaan tarkistaa teknisesti?
- Asiantuntija vai asiantuntijatodistaja – mitä eroa on digitaalisissa tosiseikoissa?
- Miten IT-asiantuntijalausunto esitetään oikeudessa ja miten sitä tarkastellaan lisäkysymysten valossa?
- Miten puutteellinen Chain of Custody vaikuttaa tekniseen luotettavuuteen?
- Mitä tapahtuu, jos tietoteknisen rikosteknologisen tutkinnan aikana tulee esiin uusia seikkoja, joita oikeuden määräyksessä ei ole mainittu?
- Missä päättyy IT-asiantuntijan tekninen johtopäätös ja missä alkaa tuomioistuimen todisteiden arviointi?
Muut todistuskysymykset
- Minkälaista todistusarvoa kuvakaappauksella tai valokuvalla digitaalisesta sisällöstä on?
- Voidaanko todentaa, onko tietoja kopioitu USB-tallennusvälineelle?
- Miten digitaaliset todisteet varmistetaan niin, että tutkinta voidaan myöhemmin tarkistaa?
- Kuinka luotettavia digitaaliset sijaintitiedot ovat oikeudellisena todisteena?
- Voidaanko väitetty internetin tai selaimen käyttö rekonstruoida teknisesti?
- Voidaanko digitaalisen tiedoston tai tietueen alkuperä jäljittää?
- Miten vahingoittuneita tai puutteellisia digitaalisia todisteita käsitellään?
- Miten tietokantamerkintöjä ja WAL-/lokitietoja arvioidaan oikeudessa?
- Minkälaista todistusarvoa järjestelmä- ja tapahtumalokeilla on oikeudessa?
- Voidaanko IP-osoite yhdistää tiettyyn henkilöön?
- Voidaanko havaita merkkejä rikosteknisten tutkimusten estämisestä tai kohdennetusta todisteiden hävittämisestä?
- Mikä on todistusvoimaisempaa: alkuperäiset tiedot, rikostekninen varmuuskopio vai viety raportti?
- Milloin uusi tietotekninen rikostekninen asiantuntijatutkimus ZPO:n 412 §:n nojalla voi olla perusteltua?
- Voidaanko todistaa, onko digitaalista todistusaineistoa muutettu sen takavarikoinnin jälkeen?
- Voidaanko selvittää, onko käytetty järjestelmänvalvojan oikeuksia vai laajennettuja oikeuksia?
- Miten on arvioitava digitaalista todistusaineistoa, jota on käytetty edelleen ennen rikosteknistä tallennusta?
- Voidaanko useiden digitaalisten toimien järjestys rekonstruoida luotettavasti?
- Voidaanko kuvakaappauksen aitous ja alkuperä tarkistaa teknisesti?
- Voidaanko selvittää, milloin ZIP-, RAR- tai muu arkisto on luotu tai purettu?
- Voidaanko PDF-tiedostosta selvittää, mistä lähdedokumentista se on luotu?