Informática forense · Tribunais
Kann zwischen Passwort-, biometrischer und sitzungsbasierter Authentifizierung unterschieden werden?
Für die Benutzerzuordnung kann relevant sein, wie ein Zugriff technisch autorisiert wurde. Passwort, biometrische Freigabe, bereits bestehende Sitzung oder Token-basierter Zugriff sind nicht gleichbedeutend.
Para o tribunal, o número de programas utilizados não é determinante. O que é determinante é qual o facto técnico que pode ser comprovado de forma fiável a partir da base de dados existente, como se chega a essa conclusão e quais são os limites da sua interpretação.
A questão concreta da prova
Wir prüfen verfügbare Authentifizierungs-, Session-, Geräte- und Sicherheitsartefakte und trennen die ursprüngliche Anmeldung von späteren Zugriffen innerhalb einer bereits autorisierten Sitzung.
Por que razão o contexto técnico é determinante
Os vestígios digitais não surgem isoladamente. O sistema operativo, a aplicação, o serviço na nuvem, a rede e o contexto do utilizador podem gerar o mesmo resultado visível de formas diferentes. Por isso, um único carimbo temporal, registo de log ou valor de base de dados não é considerado como conclusão definitiva sem a análise da lógica subjacente à sua origem. Sempre que necessário, vários vestígios independentes entre si são correlacionados entre si.
Onde se situa o limite da afirmação
Nicht jedes System protokolliert die konkrete Authentifizierungsmethode dauerhaft. Ein entsperrter Zustand beweist zudem nicht, wer die Freigabe vorgenommen hat.
Como o LanCologne aborda a questão de prova
Na LanCologne, a análise forense informática judicial começa pela questão probatória e não por um programa de análise específico. Em primeiro lugar, determina-se qual o facto técnico a esclarecer, quais as fontes de dados que têm relevância para o efeito e quais as explicações alternativas que devem ser analisadas com seriedade.
Os dados iniciais e as provas são documentados. Na medida do tecnicamente possível, a análise é realizada em cópias de segurança forenses verificadas ou em cópias de trabalho adequadas. As correspondências geradas automaticamente não são aceites sem verificação quando se trata de questões relevantes para a tomada de decisão. São determinantes a origem, a lógica de formação e o contexto do respetivo artefacto. As conclusões centrais são verificadas, se necessário, com base nos dados subjacentes ou através de um segundo método tecnicamente adequado.
No relatório pericial, os factos constatados, a interpretação técnica e as conclusões são apresentados separadamente. Igualmente importante é o limite das afirmações: o que está tecnicamente comprovado? O que é apenas corroborado? Que resultados contraditórios existem? Que explicação alternativa continua a ser possível? O que não é possível determinar com base nos dados disponíveis?
A parte principal é redigida de forma compreensível para juízes e outros intervenientes no processo que não possuam conhecimentos especializados em informática forense. A verificabilidade técnica é mantida. As fontes de dados, as informações de integridade, os artefactos e as etapas da investigação essenciais para uma verificação independente são documentados de forma compreensível numa parte técnica.
Da encomenda a uma afirmação fundamentada
Resultado positivo, resultado negativo e ausência de detecção
Um parecer pericial deve manter-se imparcial quanto aos resultados. Se os dados corroborarem uma hipótese, deve explicar-se por que motivo. Se houver indícios sólidos que contradigam a hipótese, estes são igualmente apresentados. Se a base de dados não for suficiente, a falta de comprovação é expressamente referida. Não se constrói nenhuma afirmação aparentemente segura a partir de uma lacuna nos dados.
Compreensível para o tribunal – verificável pelo perito de contra-parecer
Os conceitos técnicos essenciais são explicados numa linguagem compreensível. Os termos técnicos são utilizados apenas quando necessário e, posteriormente, explicados. Ao mesmo tempo, os fundamentos técnicos decisivos são documentados de forma a que um perito forense de TI independente possa compreender o raciocínio com base nos mesmos dados e, se necessário, reproduzi-lo.
Classificação metodológica
No âmbito da informática forense judicial, não existe um catálogo legal de programas de análise obrigatórios. Do ponto de vista técnico, são essenciais uma base de dados controlada, a integridade, etapas de investigação documentadas, conclusões compreensíveis e a possibilidade de verificação independente.
O módulo DER.2.2 da Proteção Básica do BSI, intitulado „Preparação para a informática forense“, contém princípios básicos úteis para a preparação de futuras investigações forenses informáticas e para a recolha de provas em caso de incidentes de segurança informática. No entanto, não se trata, de forma alguma, de um conjunto de regras para investigações forenses informáticas no âmbito de crimes; a própria análise forense também não é objeto deste módulo. Por conseguinte, não é apresentado como uma norma forense no âmbito do processo penal.
LanCologne como perito independente em TI
Quando um tribunal precisa de esclarecer tecnicamente uma questão concreta relacionada com provas digitais, analisamos a base de dados disponível de forma independente e sem preconceitos quanto ao resultado. O objetivo não é obter o maior número possível de resultados técnicos, mas sim uma resposta fundamentada do ponto de vista técnico: compreensível para o tribunal, transparente na sua dedução e tecnicamente verificável.
Quadro jurídico
No que diz respeito à prova pericial em processos cíveis, são aplicáveis, em especial, os artigos 402.º e seguintes do Código de Processo Civil (ZPO). Nos termos do artigo 404.º-A do ZPO, o tribunal orienta a atividade do perito e pode determinar a natureza e o âmbito da mesma. Em caso de factos controversos, o tribunal determina quais os factos que devem servir de base ao parecer. O artigo 407.º-A do Código de Processo Civil (ZPO) obriga o perito, entre outras coisas, a verificar imediatamente se o mandato se insere na sua área de especialização; quaisquer dúvidas quanto ao conteúdo e ao âmbito do mandato devem ser esclarecidas pelo tribunal. O parecer escrito e eventuais esclarecimentos ou aditamentos estão regulados no artigo 411.º do ZPO. A apreciação final do parecer, juntamente com o resultado global da instrução, continua a ser da competência do tribunal (artigo 286.º do ZPO).
No que diz respeito aos pareceres no âmbito do processo penal, aplicam-se aos peritos os artigos 72.º e seguintes do Código de Processo Penal; o artigo 78.º do Código de Processo Penal diz respeito à orientação judicial da atividade do perito. As disposições aplicáveis num processo concreto dependem do tipo de processo e do mandato. A perícia informática forense não substitui uma avaliação jurídica.
Perguntas frequentes
LanCologne – Informática forense para tribunais
Tem alguma questão relacionada com o mundo digital? A LanCologne presta-lhe apoio através de uma investigação forense informática objetiva e imparcial.