Коли ви видаляєте файл з жорсткого диска комп’ютера, він ніколи не зникає. Дотримуючись достатніх зусиль і технічних навичок, часто можна відновити документи та фотографії, які раніше вважалися стертими. Ці комп’ютерні експертизи є корисним інструментом для правоохоронних органів, але як вони насправді працюють?
Створення правової основи
Перш ніж перейти до технічних бур’янів, варто обговорити нудні процесуальні та юридичні аспекти комп’ютерної криміналістики в контексті правоохоронних органів.
По-перше, давайте розвіємо старий міф про те, що для огляду цифрового пристрою, як-от телефон чи комп’ютер, співробітнику правоохоронних органів завжди потрібен ордер. Хоча це часто трапляється, у законодавстві можна знайти багато «лазівок» (за браком кращого слова).
У багатьох юрисдикціях, наприклад у Сполученому Королівстві та Сполучених Штатах, митниці та імміграційні службовці можуть перевіряти електронні пристрої без ордера. Американські прикордонники також можуть перевіряти вміст пристроїв без ордеру, якщо є неминучий поток доказів, який буде знищено, як стверджує Рішення 11-го округу від 2018 року.
Порівняно зі своїми американськими колегами, британські поліцейські, як правило, мають більше можливостей для вилучення вмісту пристроїв, не звертаючись до судді чи магістрату. Вони можуть, наприклад, завантажувати вміст телефону за допомогою закону, який називається Закон про поліцію та докази злочинів (ПАРЕ), незалежно від того, чи висунуто обвинувачення. Однак, якщо поліція в кінцевому підсумку вирішить, що вони хочуть вивчити вміст, їй потрібно підписати суд.
Законодавство також надає поліції Великобританії право перевіряти пристрої без ордеру за певних обставин, коли є нагальна потреба, наприклад, у справі про тероризм, або коли є справжній страх, що дитина може бути сексуальною експлуатацією.
Але в кінцевому підсумку, незалежно від того, «як», коли комп’ютер вилучають, це лише представляє собою початок довгого процесу, який починається з вилучення ноутбука або телефону в захищений від несанкціонованого доступу поліетиленового пакета і часто закінчується представленням доказів у зала суду.
Поліція повинна дотримуватися набору правил і процедур для забезпечення допустимості доказів. Команди комп’ютерних криміналістів документують кожен свій крок, щоб у разі потреби вони могли повторити ті самі кроки та досягти тих же результатів. Вони використовують спеціальні інструменти для забезпечення цілісності файлів. Одним із прикладів є «блокувальник запису», який призначений для того, щоб дозволити фахівцям-криміналістам отримувати інформацію, не змінюючи випадково досліджувані докази.
Це правова основа та процедурна суворість, які визначають, чи буде успішне розслідування комп’ютерної криміналістики, а не технічна складність.
Пересувні тарілки, пересувні футляри
Незважаючи на юридичні проблеми, завжди цікаво відзначити багато факторів, які можуть визначити легкість, з якою видалені файли можуть бути відновлені правоохоронними органами. Вони включають тип використовуваного диска, наявність шифрування та файлову систему диска.
Візьмемо, наприклад, жорсткі диски. Хоча їх значною мірою випередили швидші твердотільні накопичувачі (SSD), механічні жорсткі диски (HDD) були переважаючим механізмом зберігання протягом понад 30 років.
На жорстких дисках для зберігання даних використовувалися магнітні пластини. Якщо ви коли-небудь розбирали жорсткий диск, ви, напевно, помічали, як вони трохи схожі на компакт-диски. Вони круглі, сріблястого кольору.
Під час використання ці пластини обертаються з неймовірною швидкістю — зазвичай 5400 або 7200 об/хв, а в деяких випадках — до 15 000 об/хв. До цих пластин підключені спеціальні «головки», які виконують операції читання та запису. Коли ви зберігаєте файл на накопичувач, ця «головка» переміщається до певної частини пластини і перетворює електричний струм в магнітне поле, тим самим змінюючи властивості пластини.
Але як воно знає, куди йти? Ну, він дивиться на щось, що називається таблицею розподілу, яка містить запис кожного файлу, що зберігається на диску. Але що відбувається, коли файл видаляється?
Коротка відповідь? Не багато.
Ось довга відповідь: запис для цього файлу видаляється, що дозволяє пізніше перезаписати місце, яке він займав на жорсткому диску. Однак дані залишаються фізично присутніми на магнітних пластинах і справді видаляються лише тоді, коли нові дані додаються до цього конкретного місця на пластині.
Зрештою, для його видалення буде потрібно, щоб магнітна головка фізично перемістилася в це місце на пластині та перезаписувала його. Це може перешкодити роботі інших програм і сповільнити роботу комп’ютера. Що стосується жорстких дисків, то простіше просто зробити вигляд, що видалених файлів просто не існує.
Це значно полегшує відновлення видалених файлів для правоохоронних органів. Вони просто повинні відтворити відсутні частини в таблиці розподілу, що можна зробити за допомогою безкоштовних інструментів, в т.ч. Recuva.
Тверда (стан) як скеля
Звичайно, SSD бувають різними. Вони не містять рухомих частин. Натомість файли представлені у вигляді електронів, утримуваних трильйонами мікроскопічних транзисторів з плаваючим затвором. Разом вони об’єднуються, утворюючи флеш-чіпи NAND.
SSD-диски мають деяку схожість з жорсткими дисками, оскільки файли видаляються лише тоді, коли вони перезаписуються. Однак деякі ключові відмінності неминуче ускладнюють роботу фахівців з комп’ютерної криміналістики. І, як і жорсткі диски, твердотільні накопичувачі організують дані в блоки, розмір яких сильно різниться між виробниками.
Ключова відмінність тут полягає в тому, що для запису даних на SSD блок повинен бути повністю порожнім. Щоб гарантувати, що SSD має постійний потік доступних блоків, комп’ютер видає так звану «команду TRIM», яка повідомляє SSD, які блоки більше не потрібні.
Для дослідників це означає, що, коли вони намагаються знайти видалені файли на SSD, вони можуть виявити, що диск невинно помістив їх далеко за межі їхньої досяжності.
SSD-накопичувачі також можуть розкидати файли між кількома блоками по всьому накопичувачу, щоб зменшити кількість зносу, що виникає при щоденному використанні. Оскільки твердотільні накопичувачі можуть витримувати лише обмежену кількість записів, важливо, щоб вони розподілялися по всьому диску, а не в невеликому місці. Ця технологія називається вирівнюванням зносу, і, як відомо, ускладнює життя професіоналам цифрової криміналістики.
Крім того, є той факт, що SSD-накопичувачі часто важче створити зображення, оскільки ви часто фізично не можете видалити їх із пристрою.
У той час як жорсткі диски майже завжди замінні та підключені через стандартні інтерфейси, такі як IDE або SATA, деякі виробники ноутбуків вирішують фізично припаяти сховище до материнської плати машини. Це значно ускладнює вилучення вмісту судово обґрунтованим для фахівців із правоохоронних органів.
Справжні ускладнення
Отже, на закінчення: так, правоохоронні органи можуть отримати файли, які ви видалили. Однак прогрес у технології зберігання даних і поширене шифрування дещо ускладнили справу.
Однак технічні проблеми часто можна подолати. Коли справа доходить до цифрових розслідувань, найбільшою проблемою, з якою стикаються правоохоронні органи, є не механізми SSD-накопичувачів, а скоріше брак у них ресурсів.
Не вистачає кваліфікованих фахівців для виконання роботи. І в кінцевому результаті багато поліцейських сил по всьому світу стикаються з величезною кількістю необроблених телефонів, ноутбуків і серверів.
Запит про свободу інформації від британської газети The Times показав, що 32 поліцейські сили Англії та Уельсу понад 12 000 пристроїв, які очікують на експертизу. Час обробки пристрою там різний, від місяця до року.
І це має наслідки. Основою будь-якої справедливої системи кримінального правосуддя є те, що обвинуваченим надається швидкий суд. Як то кажуть, затримане правосуддя – це відмовлення від правосуддя. Цей принцип настільки принципово важливий, що він навіть представлений у Шостій поправці до конституції США.
На жаль, це не проблема, яку можна легко вирішити, не витрачаючи більше грошей силами на вербування та навчання. Ви не можете вирішити це за допомогою додаткових технологій.