IT-rikostutkinta · Yksityishenkilöt

Miten voin selvittää, onko tiedoston metatietoja muutettu?

Metatietoja voidaan muuttaa ohjelmien avulla, vientiä, pilvisynkronointia tai tarkoituksellista muokkausta hyödyntämällä.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä yksityishenkilöille

Keskustelut, valokuvat, videot ja kuvakaappaukset voivat olla erittäin merkityksellisiä yksityisissä, siviili- tai rikosoikeudellisissa riita-asioissa. Niiden näkyvä esitys ei kuitenkaan automaattisesti anna vastausta kysymyksiin niiden alkuperästä, muokkaamisesta, ajankohdasta tai tekijyydestä.

Tekninen tutkimuslähestymistapa

Vertaamme sisäisiä metatietoja, tiedostojärjestelmän tietoja, upotettuja rakenteita, olemassa olevia tiedostoversioita ja niihin liittyviä artefakteja.

Missä todistusraja kulkee

Poikkeama osoittaa aluksi vain epäjohdonmukaisuutta; syy ja tarkoitus on tutkittava erikseen.

Miksi LanCologne?

Digitaaliset todisteet vaikuttavat maallikoille usein yksiselitteisemmiltä kuin ne teknisesti ottaen ovat. Kuvakaappaus voi näyttää aidolta, vaikka se olisi muokattu. Toisaalta metatietojen puuttumisella tai uudelleenpakkauksella voi olla täysin tavanomaisia syitä. Tiedosto voi löytyä älypuhelimesta ilman, että se olisi siellä luotu.

LanCologne jakaa siksi näennäisen yksinkertaisen kysymyksen „Onko tämä aito?“ teknisesti todennettavissa oleviin osakysymyksiin: Onko alkuperäinen tiedosto olemassa? Mistä sovelluksesta tai tietolähteestä se on peräisin? Ovatko sisäiset rakenteet ja metatiedot johdonmukaisia? Onko vastaavia merkintöjä tietokannoissa, varmuuskopioissa, pilvipalveluissa tai järjestelmän artefakteissa? Onko tiedostoa viety, muunnettu tai muokattu? Mitkä näistä toimenpiteistä ovat tosiasiallisesti todennettavissa?

Erityisen tärkeää on erottaa toisistaan aitous ja tekijyys. Vaikka viesti olisi teknisesti ollut tietyssä tilissä, se ei automaattisesti todista, kuka luonnollinen henkilö sen on kirjoittanut. Samoin EXIF-tiedoissa oleva kameramalli ei ilman lisätarkastusta todista, mikä konkreettinen fyysinen laite on tuottanut tiedoston.

Pidämme ensisijaisia tietoja parempana kuin pelkkää esitystapaa. Alkuperäiset uutiset, tietokannat ja alkuperäiset tiedostot sisältävät yleensä enemmän teknistä kontekstia kuin kuvakaappaukset, tulosteet tai jälkikäteen viedyt tiedostot.

Tuloksen lopputulos jää avoimeksi. Dokumentoimme yhtä lailla vahvistavat, ristiriitaiset ja ratkaisemattomat havainnot ja selitämme ymmärrettävästi, kuinka pitkälle tekninen väite tosiasiassa ulottuu.

Toimintatapamme

1Määritä konkreettinen todistuskysymys: sisältö, alkuperä, ajankohta, muutos tai tekijyys.

2Hankittu alkuperäinen laite tai alkuperäinen tiedosto, sikäli kuin se on laillisesti saatavilla.

3Luoda työkopioita ja dokumentoida sopivien tietotilojen eheys.

4Erotetaan selvästi toisistaan kuvakaappaukset, vienti ja raakadata.

5Tutkia tiedostorakennetta, metatietoja ja sovelluskohtaisia artefakteja.

6Tulkitse aikaleimat niiden teknisen merkityksen mukaisesti.

7Tarkista asiaankuuluvat tietokannat, varmuuskopiot, pilvipalvelut ja järjestelmän lokit.

8Erotetaan toisistaan tavanomainen muuntaminen ja kohdennetun manipuloinnin alustakäsittely.

9Älä koskaan anna automaattisten väärinkäytön havaitsimien tai tekoälypohjaisten havaitsimien päättää asioista yksin.

10Aitousta, alkuperää, omistusta ja tekijyyttä ei pidä asettaa samalle tasolle.

11Dokumentoi vastahypoteesit ja tietojen puutteet.

12Esitä tulos ymmärrettävästi ja siten, että se on toistettavissa asiantuntijan suorittamaa tarkistusta varten.

Aitouus ei ole sama asia kuin tekijyys

Viesti voi olla teknisesti autenttisesti tallennettu tiliin tai laitteelle ilman, että siitä yksinään voitaisiin varmuudella päätellä, kuka luonnollinen henkilö sen on kirjoittanut. Tämä erottelu estää sen, että oikea tekninen havainto sekoitetaan todistamattomaan väitteeseen henkilön identiteetistä.

Alkuperäiset tiedot ovat tärkeämpiä kuin pelkkä näytöllä näkyvä esitys

Kuvakaappaus voi olla arvokas, etenkin jos sisältö katoaa myöhemmin. Syvällisempää tutkimusta varten yritämme kuitenkin hankkia lisäksi alkuperäisiä tiedostoja, sovellustietoja, tietokantoja tai muita ensisijaisia lähteitä. Niissä on usein kontekstia, joka puuttuu näkyvästä esityksestä.

Miksi LanCologne digitaalisten todisteiden tutkinnassa?

LanCologne ei pidä digitaalista sisältöä totta tai väärää sen perusteella, että se näyttää uskottavalta. Tarkastelemme käytettävissä olevaa teknistä todistusaineistoa, dokumentoimme lähteet ja lausuntojen rajoitukset sekä esittelemme johtopäätökset siten, että ne ovat ymmärrettäviä yksityisasiakkaille ja samalla jäljitettävissä asianajajille, tutkintaviranomaisille, tuomioistuimille tai muille päteville IT-rikostutkijoille.

Oikeudellinen kehys

Manipuloitujen digitaalisten todistusaineistojen tapauksessa § 269 StGB voi olla merkityksellinen tapauskohtaisen tilanteen mukaan. Säännöksen soveltamisala kattaa sen edellytysten täyttyessä todistusaineistona merkittävien tietojen tallentamisen tai muuttamisen petostarkoituksessa tai tällaisella tavalla tallennettujen tai muutettujen tietojen käytön. Se, täyttääkö tietty tiedosto tai viesti kaikki rikoksen tunnusmerkit, on oikeudellinen kysymys; pelkkä tekninen manipuloinnin toteamus ei anna tähän vastausta.

Siviilioikeudenkäynneissä sovelletaan ZPO:n 371 §:ää. Sen mukaan todisteena voidaan käyttää myös sähköisten asiakirjojen esittämistä tai toimittamista. ZPO:n 371a § sisältää erityissäännöksiä sähköisten asiakirjojen todistusvoimasta, erityisesti varmennettujen sähköisten allekirjoitusten ja tiettyjen julkisten sähköisten asiakirjojen osalta. Siksi kaikilla tavallisilla chat-viesteillä tai kuvatiedostoilla ei ole automaattisesti kyseisessä pykälässä säädettyä erityistä todistusvoimaa.

Asiantuntijatodisteisiin sovelletaan ZPO:n 402 §:ää ja sitä seuraavia pykäliä. Yksityisesti tilattu tietotekninen rikostekninen lausunto ei ole pelkästään teknisen laadunsa perusteella oikeudellinen asiantuntijalausunto. Sen jäljiteltävä menetelmä ja kerätty todistusaineisto voivat kuitenkin olla tärkeitä asianajajille ja myöhemmälle asiantuntijatarkastukselle.

Hash-arvot ovat tärkeä tietojen eheyden varmistamisväline, mutta ne eivät takaa alkuperäisen sisällön aitoutta. Hash-arvo osoittaa, että tietty tietojoukko on pysynyt muuttumattomana hash-arvon muodostamisen jälkeen tai että se vastaa vertailukohdetta bitti bittiä kohden. Se ei kuitenkaan automaattisesti kerro, onko sisältöä manipuloitu ennen varmuuskopiointia.

LanCologne arvioi teknisiä tietoja ja niiden merkitystä. Oikeudellinen todisteiden arviointi, rikosoikeudellinen luokittelu sekä päätös siitä, mikä merkitys milläkin todisteella on oikeudenkäynnissä, kuuluvat asianajajille, tutkintaviranomaisille ja tuomioistuimille.

Usein kysyttyjä kysymyksiä

Miten voin selvittää, onko tiedoston metatietoja muutettu?

Miten tällainen tekninen tutkimus käytännössä toteutetaan?

Vertaamme sisäisiä metatietoja, tiedostojärjestelmän tietoja, upotettuja rakenteita, olemassa olevia tiedostoversioita ja niihin liittyviä artefakteja.

Voiko tällainen tutkimus aina antaa yksiselitteisen tuloksen?

Poikkeama osoittaa aluksi vain epäjohdonmukaisuutta; syy ja tarkoitus on tutkittava erikseen.

Onko tälle lainsäädännöllistä perustaa?

Manipuloitujen digitaalisten todistusaineistojen osalta § 269 StGB voi olla merkityksellinen tapauskohtaisista olosuhteista riippuen. Säännöksen soveltamisala kattaa sen edellytysten täyttyessä todistusaineistona merkityksellisten tietojen tallentamisen tai muuttamisen petostarkoituksessa tai tällaisella tavalla tallennettujen tai muutettujen tietojen käytön. Se, täyttääkö tietty tiedosto tai viesti kaikki rikoksen tunnusmerkit, on oikeudellinen kysymys; pelkkä tekninen manipuloinnin toteamus ei riitä vastaukseksi tähän. Siviilioikeudenkäynneissä sovelletaan siviiliprosessilain (ZPO) 371 §:ää. Sen mukaan todiste voidaan esittää silmämääräisen tarkastelun kautta myös esittämällä tai toimittamalla sähköisiä asiakirjoja. Siviiliprosessilain (ZPO) 371a § sisältää erityissäännöksiä sähköisten asiakirjojen todistusvoimasta, erityisesti varmennettujen sähköisten allekirjoitusten ja tiettyjen julkisten sähköisten asiakirjojen osalta. Kaikilla tavallisilla chat-viesteillä tai kuvatiedostoilla ei siis automaattisesti ole siinä säädettyä erityistä todistusvoimaa. Asiantuntijatodisteisiin sovelletaan ZPO:n 402 §:ää ja sitä seuraavia pykäliä. Yksityisesti tilattu IT-rikostutkintaraportti ei ole pelkästään teknisen laadunsa perusteella oikeudellinen asiantuntijalausunto. Sen jäljitettävä menetelmä ja kerätty todistusaineisto voivat kuitenkin olla tärkeitä asianajajille ja myöhemmälle asiantuntijatarkastukselle. Hash-arvot ovat tärkeä eheyden varmistamisväline, mutta ne eivät takaa alkuperäisen sisällön aitoutta. Hash-arvo dokumentoi, että tietty tietotila on pysynyt muuttumattomana hash-arvon muodostamisen jälkeen tai että se vastaa vertailutilaa bitti bittiä kohden. Se ei automaattisesti anna vastausta siihen, onko sisältöä manipuloitu ennen varmuuskopiointia. LanCologne arvioi teknisiä tietoja ja niiden todistusvoimaa. Oikeudellinen todisteiden arviointi, rikosoikeudellinen luokittelu sekä päätös siitä, mikä todiste saa menettelyssä minkäkin merkityksen, kuuluvat asianajajille, tutkintaviranomaisille ja tuomioistuimille.