IT forenzika · Privatne osobe

Kako mogu saznati kada je fotografija zapravo snimljena?

Datum prikazan u galeriji može biti izveden iz metapodataka, informacija sustava datoteka ili procesa uvoza i ne odražava nužno stvarno vrijeme kada je slika snimljena.

Upitajte bez obaveze

Zašto je ovo pitanje važno za privatne osobe

Razgovori, fotografije, videozapisi i snimke zaslona mogu imati značajnu težinu u privatnim, građanskim ili kaznenim sporovima. Međutim, činjenica da su vidljivi ne odgovara automatski na pitanja o njihovom podrijetlu, jesu li bili izmijenjeni, kada su nastali ili tko ih je stvorio.

Tehnički istraživački pristup

Uspoređujemo EXIF/kontejnerske podatke, vremenske oznake datotečnog sustava, artefakte aplikacije i oblaka te, gdje je primjenjivo, odgovarajuće događaje.

Gdje leže granice onoga što se može reći

Vremenski pečati mogu biti izmijenjeni, resetirani tijekom izvoza ili pogođeni neispravnim postavkama uređaja. Stoga jedan vremenski unos nije uvijek dovoljan.

Zašto LanCologne?

Neiskusnom oku digitalni dokazi često izgledaju uvjerljivije nego što zapravo jesu s tehničkog stajališta. Snimka zaslona može izgledati autentično, a ipak biti izmijenjena. Suprotno tome, nedostajuće metapodatke ili ponovnu kompresiju mogu imati sasvim uobičajene uzroke. Datoteka može biti prisutna na pametnom telefonu, a da tamo nije stvorena.

LanCologne stoga razlaže naizgled jednostavno pitanje „Je li ovo autentično?“ na tehnički provjerljiva podpitanjima: Je li izvorna datoteka dostupna? Iz koje aplikacije ili izvora podataka potječe? Jesu li unutarnje strukture i metapodaci dosljedni? Postoje li odgovarajući zapisi u bazama podataka, sigurnosnim kopijama, u oblaku ili sustavnim artefaktima? Je li datoteka izvožena, pretvorena ili uređivana? Koji se od tih procesa zapravo može provjeriti?

Posebno je važno razlikovati autentičnost i autorstvo. Čak i ako je poruka tehnički bila prisutna na određenom računu, to ne dokazuje automatski koja je fizička osoba nju unijela. Slično tome, model kamere u EXIF podacima, bez dodatne provjere, ne dokazuje koji je konkretni fizički uređaj generirao datoteku.

Radije koristimo primarne podatke nego puke prikaze. Izvorne poruke, baze podataka i izvorne datoteke redovito sadrže više tehničkog konteksta nego snimke zaslona, ispisi ili naknadni izvoz.

Ishod ostaje otvoren. Dokumentiramo jednako mjereći potporne, proturječne i neizvjesne nalaze te jasno objašnjavamo stvarni opseg svake tehničke izjave.

Kako radimo

1Definirajte specifično pitanje koje treba dokazati: sadržaj, podrijetlo, datum, izmjenu ili autorstvo.

2Pribavite originalni uređaj ili originalnu datoteku, gdje je to zakonski moguće.

3Izradite radne kopije i dokumentirajte integritet odgovarajućih skupova podataka.

4Jasno razlikujte snimke zaslona, izvoze i sirove podatke.

5Istražite strukture datoteka, metapodatke i artefakte specifične za aplikaciju.

6Protumačite vremenske oznake prema njihovom tehničkom značaju.

7Provjerite relevantne baze podataka, sigurnosne kopije, pohranu u oblaku i sistemske zapise.

8Razlikujte normalnu konverziju i obradu na platformi s jedne strane te ciljanu manipulaciju s druge.

9Nikada ne dopustite sustavima za automatsku detekciju neovlaštenih zahvata ili AI detektorima da donose odluke sami.

10Nemojte poistovjećivati autentičnost s porijeklom, vlasništvom i autorstvom.

11Dokumentirajte protuhipoteze i praznine u podacima.

12Predstavite rezultate na način koji je jasan i reproducibilan za tehničku verifikaciju.

Autentičnost nije isto što i autorstvo.

Tehnički gledano, poruka se može autentično pohraniti na računu ili uređaju, a da to samo po sebi ne pruža konačan dokaz o tome koja je fizička osoba njezina autorica. Ova razlika sprječava da se ispravan tehnički nalaz pomiješa s neutemeljenom tvrdnjom o identitetu osobe.

Izvorni podaci važniji su od pukog prikaza na ekranu.

Snimka zaslona može biti korisna, osobito ako sadržaj kasnije nestane. Međutim, za detaljniju istragu također nastojimo pribaviti izvorne datoteke, podatke aplikacije, baze podataka ili druge primarne izvore. Oni često sadrže kontekst koji nedostaje na vidljivom prikazu.

Zašto koristiti pristup LanCologne pri ispitivanju digitalnih dokaza?

LanCologne ne tretira digitalni sadržaj kao istinit ili lažan samo zato što izgleda uvjerljivo. Istražujemo dostupne tehničke dokaze, dokumentiramo njihovo podrijetlo i ograničenja te iznose nalaze na način koji je razumljiv privatnim klijentima, a istovremeno provjerljiv odvjetnicima, istražnim tijelima, sudovima ili drugim kvalificiranim IT forenzičkim stručnjacima.

Pravni okvir

U slučaju manipuliranih digitalnih dokaza, odredba članka 269. njemačkog Kaznenog zakona (StGB) može biti relevantna, ovisno o specifičnim okolnostima. Pod uvjetima navedenima u odredbi, ova se odredba odnosi na pohranu ili izmjenu podataka relevantnih za dokaze s namjerom obmane ili na uporabu podataka koji su na takav način pohranjeni ili izmijenjeni. Pitanje ispunjava li određena datoteka ili poruka sve elemente kaznenog djela pravno je pitanje; sama tehnička utvrda manipulacije na to ne daje odgovor.

Članak 371. Zakona o građanskom postupku (ZPO) relevantan je za građanski postupak. Prema ovoj odredbi, dokaz putem pregleda može se izvesti i dostavom ili prijenosom elektroničkih dokumenata. Članak 371a ZPO-a sadrži posebne odredbe o dokaznoj vrijednosti elektroničkih dokumenata, osobito u slučaju kvalificiranih elektroničkih potpisa i određenih javnih elektroničkih dokumenata. Stoga obična poruka u chatu ili datoteka s slikom ne posjeduju automatski specifičnu dokaznu vrijednost propisanu tim odredbama.

Članci 402. i sl. Zakona o parničnom postupku (ZPO) primjenjuju se na vještački dokaz. Privatno naručeno IT forenzičko izvješće ne predstavlja sudsko vještačenje isključivo na temelju svoje tehničke kvalitete. Međutim, njegova transparentna metodologija i dokazi na kojima se temelji mogu biti važni za odvjetnike i za naknadnu stručnu provjeru.

Hash vrijednosti su važan alat za integritet, ali ne jamče autentičnost izvornog sadržaja. Hash bilježi da je određeni skup podataka ostao nepromijenjen od trenutka stvaranja hasha ili da se bit po bit podudara s referentnim skupom. To ne ukazuje automatski je li sadržaj bio izmijenjen prije nego što je napravljena sigurnosna kopija.

LanCologne procjenjuje tehničke podatke i njihovu važnost. Pravna procjena dokaza, njihova klasifikacija prema kaznenom pravu i odluka o tome kojem se dokazu u postupku pridaje kakva važnost u nadležnosti su odvjetnika, istražnih tijela i sudova.

Često postavljana pitanja

Kako mogu saznati kada je fotografija zapravo snimljena?

Kako se takva tehnička istraga provodi u praksi?

Uspoređujemo EXIF/kontejnerske podatke, vremenske oznake datotečnog sustava, artefakte aplikacije i oblaka te, gdje je primjenjivo, odgovarajuće događaje.

Može li takav test uvijek dati jasan rezultat?

Vremenski pečati mogu biti izmijenjeni, resetirani tijekom izvoza ili pogođeni neispravnim postavkama uređaja. Stoga jedan vremenski unos nije uvijek dovoljan.

Postoji li za ovo pravna osnova?

U slučaju digitalnih dokaza kojima je neovlašteno pristupljeno, odredba članka 269. njemačkog Kaznenog zakona (StGB) može biti relevantna, ovisno o konkretnim okolnostima. Pod uvjetom da su ispunjeni njegovi uvjeti, ova se odredba odnosi na pohranu ili izmjenu podataka relevantnih za dokaze s namjerom obmane ili na uporabu takvih pohranjenih ili izmijenjenih podataka. Pitanje ispunjava li određena datoteka ili poruka sve elemente kaznenog djela pravno je pitanje; sama tehnička utvrda manipulacije na to ne daje odgovor. Članak 371 Zakona o građanskom postupku (ZPO) primjenjiv je u građanskom postupku. Prema ovoj odredbi, dokaz putem vizualnog pregleda može se također iznijeti dostavom ili prijenosom elektroničkih dokumenata. Članak 371a Zakona o parničnom postupku (ZPO) sadrži posebne odredbe o dokaznoj vrijednosti elektroničkih dokumenata, osobito u slučaju kvalificiranih elektroničkih potpisa i određenih javnih elektroničkih dokumenata. Stoga svaka obična poruka u chatu ili datoteka s slikom ne posjeduje automatski posebnu dokaznu vrijednost propisanu tim člankom. Članci 402. i sl. ZPO-a primjenjuju se na vještački dokaz. Privatno naručeno IT forenzičko izvješće ne predstavlja sudsko vještačko izvješće isključivo na temelju svoje tehničke kvalitete. Međutim, njegova transparentna metodologija i dokazi na kojima se temelji mogu biti važni za odvjetnike i za naknadnu tehničku provjeru. Hash vrijednosti su važan alat za integritet, ali ne jamče autentičnost izvornog sadržaja. Hash potvrđuje da određeni skup podataka nije promijenjen od trenutka stvaranja hasha ili da se podudara s referentnim skupom bit po bit. Ne odgovara automatski na pitanje je li sadržaj bio izmijenjen prije izrade sigurnosne kopije. LanCologne procjenjuje tehničke podatke i njihovu dokaznu vrijednost. Pravna procjena dokaza, njihova klasifikacija prema kaznenom pravu i odluka o tome koji dokaz ima kakvu težinu u postupku odgovornost su odvjetnika, istražnih tijela i sudova.