Et retsmedicinsk billede er en teknisk kontrolleret kopi af et digitalt lagringsmedium eller datasæt, der tjener som grundlag for efterfølgende undersøgelser. Målet er at sikre det relevante datasæt så fuldstændigt og transparent som muligt, uden at skulle genbruge originalen til hver yderligere analyse.

Med traditionelle harddiske kan et retsmedicinsk billede registrere den adresserbare lagring sektor for sektor. Dette registrerer ikke kun synlige filer og mapper, men, afhængigt af lagringsmediet, også filsystemstrukturer, ikke-allokerede lagringsområder og potentielt resterende fragmenter af slettede data. Dette er netop den afgørende forskel i forhold til en normal filkopi.

Udtrykket bør dog ikke bruges for generelt. Der gælder forskellige tekniske krav for SSD'er, moderne smartphones, krypterede systemer og cloud-tjenester. Derfor er et retsmedicinsk billede ikke automatisk en komplet fysisk kopi af hver enkelt lagringstilstand, men altid resultatet af en specifikt defineret erhvervelsesmetode.

Hvad betyder "retsmedicinsk billede"?

Et retsmedicinsk billede er en digital repræsentation af et datasæt, der efterfølgende kan undersøges uafhængigt af originalen. Det dokumenterer den databærer eller det system, hvorfra dataene stammer, den metode, der er anvendt til at indsamle dem, og hvordan deres integritet kan verificeres.

Til senere analyse er det afgørende ikke kun at overveje det synlige filindhold. Afhængigt af sikkerhedskopieringsmetoden kan der også gemmes oplysninger, som operativsystemet ikke direkte viser til den normale bruger.

Dette kan omfatte filsystemtabeller, slettede filreferencer, ikke-allokerede hukommelsesområder, metadata og andre tekniske strukturer. Især når man rekonstruerer tidligere brugeraktivitet, kan sådanne oplysninger være vigtigere end de aktuelt synlige filer.

Hvad er forskellen på et retsmedicinsk billede og en normal kopi?

En standard filkopiering fungerer på filniveau. For eksempel vælger brugeren en mappe og kopierer dens indhold til en anden lagringsenhed. Kun de filer, som operativsystemet stiller til rådighed via filsystemet, overføres.

I modsætning hertil kan et retsmedicinsk billede oprettes på et dybere niveau. Med en sektor-for-sektor-backup spørger systemet ikke, hvilke filer der er synlige i øjeblikket. I stedet læser det det adresserbare lagerområde på disken blok for blok.

• En normal kopi opfanger primært synlige filer.
• Et retsmedicinsk billede kan også indeholde filsystemstrukturer.
• Ikke-allokerede hukommelsesområder kan bevares.
• Rester af slettede filer kan stadig være til stede under visse betingelser.
• Backupprocessen er dokumenteret.
• Integritet kan verificeres ved hjælp af kryptografiske hashværdier.

Forskellen er særligt relevant, når der ikke blot er behov for aktuelle dokumenter, men også når en tidligere teknisk tilstand skal rekonstrueres.

Er et retsmedicinsk billede det samme som et retsmedicinsk billede?

I praksis bruges udtrykkene "retsmedicinsk billede" og "retsmedicinsk billede" ofte synonymt. Begge beskriver en sikkerhedskopi, der er oprettet til senere retsmedicinsk undersøgelse.

Teknisk set kan et billede gemmes i forskellige formater. Nogle formater indeholder kun de læste datablokke, mens andre desuden gemmer oplysninger om sagen, kilden, hashværdier eller segmenteringen af ​​backup'en.

Derfor er den afgørende faktor for informationens betydning ikke så meget navnet i sig selv, men det konkrete spørgsmål om, hvad der rent faktisk blev sikret, og hvordan billedet blev skabt.

Hvilke data indeholder et retsmedicinsk billede?

Indholdet afhænger af typen af ​​kildesystem og den anvendte backupmetode. Med en klassisk sektor-for-sektor backup af en databærer kan alle adresserbare lagerblokke i princippet registreres.

Følgende information kan blandt andet senere analyseres ud fra dette:

• regelmæssigt eksisterende filer og mapper
• Filsystemstrukturer
• Partitionstabeller
• Filmetadata
• slettede filreferencer
• ikke-allokerede hukommelsesområder
• Filfragmenter
• Brugerprofiler
• Systemfiler
• Applikationsdatabaser
• Browserdata
• Log- og hændelsesdata

Hvilke af disse informationer der rent faktisk kan rekonstrueres senere, afhænger af filsystemet, lagringsmediet og dataenes tilstand.

Hvad betyder "ikke-allokeret lagerplads"?

Ikke-allokeret plads, ofte omtalt som "ikke-allokeret plads", er lagerplads, der ikke i øjeblikket er allokeret til nogen aktiv fil af filsystemet.

Når en fil slettes, forsvinder dens data ikke nødvendigvis helt fra lageret med det samme, afhængigt af filsystemet. Ofte fjernes kun filtilknytningen i første omgang, og lagerpladsen markeres som tilgængelig igen.

Så længe dette område ikke er blevet overskrevet eller ryddet af interne lagringsmekanismer, kan fragmenter af tidligere data stadig være til stede. En normal filkopi indfanger ikke sådanne områder. Et sektor-for-sektor retsmedicinsk billede kan dog indeholde dem.

Hvorfor kan et retsmedicinsk billede være vigtigt, når data er blevet slettet?

Når man søger efter slettede filer, er en simpel kopi af de aktuelt synlige filer ofte uegnet. Det udelader de lagerområder, hvor rester af slettede data stadig kan være til stede.

Et retsmedicinsk billede kan bevare disse områder og muliggøre senere undersøgelse uden at skulle fortsætte med at bruge den originale databærer.

Dette betyder dog ikke, at slettede data kan gendannes automatisk. Hvis de relevante lagerområder er blevet overskrevet eller fjernet af SSD-interne oprydningsmekanismer, kan selv et komplet image ikke gendanne de originale data.

Hvordan skabes et retsmedicinsk billede?

Med traditionelle lagringsmedier læses hukommelsen ved hjælp af passende hardware eller software og skrives til en billedfil eller et andet målformat. Sikkerhedskopieringen kan udføres direkte på et passende retsmedielager.

Før opstart dokumenteres de identificerende karakteristika for kildedatabæreren normalt. Disse omfatter blandt andet producent, model, serienummer og lagerkapacitet.

Under sikkerhedskopieringsprocessen logges eventuelle læsefejl eller andre uregelmæssigheder, der opstår. En integritetskontrol kan udføres, når den er færdig.

Hvorfor bruges en skriveblokering?

Med egnede databærere anvendes ofte en skriveblokering mellem kildemediet og eksamenscomputeren. Den er designet til at forhindre eksamenscomputeren i at sende skrivekommandoer til den oprindelige databærer.

Dette er vigtigt, fordi operativsystemer kan foretage automatiske ændringer, så snart en lagerenhed tilsluttes. For eksempel kan indeksoplysninger, filsystemdata eller andre metadata ændres.

En skriveblokering reducerer denne risiko betydeligt. Det er dog ikke teknisk muligt med alle enheder og alle backup-systemer.

Hvilken rolle spiller hashværdier?

Efter backupprocessen beregnes der ofte kryptografiske hashværdier. Disse tjener til senere at verificere integriteten af ​​det genererede datasæt.

En hashværdi kan forstås som et digitalt fingeraftryk af et datasæt. Selv en lille ændring i de underliggende data vil højst sandsynligt føre til et andet resultat med moderne hashalgoritmer.

Hvis et retsmedicinsk billede senere genovervejes, og den samme hashværdi beregnes, kan det fastslås, at det hashede datasæt ikke har ændret sig siden den oprindelige beregning.

Hvad beviser en hashværdi ikke?

Hashværdier er ofte overvurderede. En identisk hashværdi beviser integriteten af ​​et givet datasæt, men den besvarer ikke yderligere spørgsmål om indholdets oprindelse eller ægthed.

En hashværdi beviser ikke automatisk, især:

• hvem der har oprettet en fil
• hvornår en fil rent faktisk blev oprettet
• om indholdet af et dokument er sandt
• hvem har åbnet eller kopieret en fil
• om de originale data allerede var blevet manipuleret før sikkerhedskopieringen.

Denne sondring er vigtig, fordi integritet og autenticitet er forskellige retsmedicinske problemstillinger.

Hvilke billedformater bruges?

Retsmedicinske billeder kan gemmes i forskellige formater. Valget afhænger af de anvendte værktøjer, formålet med undersøgelsen og kravene til kompatibilitet, komprimering og dokumentation.

RAW- eller DD-billede

Et RAW-billede indeholder i bund og grund en direkte sekvens af de udtrukne datablokke. Formatet er teknisk enkelt og understøttes af mange retsmedicinske værktøjer.

Fordelen ligger i dens brede kompatibilitet. Ulempen er, at yderligere sagsoplysninger eller interne revisionsdata ikke kan integreres på samme måde som med specialiserede containerformater.

E01-format

E01-formatet stammer fra EnCase-verdenen og har været brugt i digital retsmedicin i mange år. Udover de faktiske data kan det gemme metadata og revisionsinformation og understøtter komprimering og segmentering.

Dette gør det for eksempel muligt at opdele et stort billede i flere individuelle filer.

AFF og andre formater

Andre formater for retsmedicinske containere findes også. Den afgørende faktor er, at det valgte format kan behandles pålideligt af de anvendte analyseværktøjer og understøtter de nødvendige testfunktioner.

Hvad betyder billedsegmentering?

Meget store retsmedicinske billeder kan opdeles i flere filer. Denne segmentering letter lagring og overførsel af store datasæt.

En 8 TB-lagerenhed behøver ikke nødvendigvis at blive gemt som en enkelt 8 TB-fil. Billedet kan teknisk set opdeles i adskillige mindre segmenter, som tilsammen repræsenterer de komplette sikkerhedskopierede data.

Til analyse fortolkes disse segmenter af den retsmedicinske software som et sammenhængende billede.

Kan et retsmedicinsk billede komprimeres?

Visse billedformater understøtter tabsfri komprimering. Dette reducerer den nødvendige lagerplads uden at ændre indholdet af de sikkerhedskopierede data.

Effektiviteten af ​​komprimering afhænger af dataene. Allerede komprimerede videoer, billeder eller krypterede data kan ofte kun reduceres en smule yderligere. Store områder med tilbagevendende eller tomme data kan derimod komprimeres meget mere effektivt.

Tabsgivende komprimeringsmetoder ville være uegnede til et retsmedicinsk billede, fordi de ville ændre data.

Hvor stort er et retsmedicinsk billede?

Med et ukomprimeret sektor-for-sektor-billede svarer størrelsen generelt omtrent til den adresserbare kapacitet på kildelagringsmediet. En harddisk på 2 TB kan derfor oprette et billede på cirka 2 TB, uanset hvor mange synlige filer der rent faktisk er gemt.

Med komprimerede containerformater kan det faktiske lagerbehov være lavere. Hvor meget lavere afhænger af de data, der gemmes.

Ved planlægning af en retsmedicinsk undersøgelse skal der også tages højde for yderligere lagerplads til arbejdskopier, analyseindekser, midlertidige filer og eksporterede resultater.

Hvorfor kræver retsmedicin mere lagerplads end størrelsen på den oprindelige databærer?

Kildeenhedens nominelle størrelse er ikke lig med det samlede lagerbehov for en undersøgelse. Ud over det originale billede kan der oprettes en arbejdskopi, analyseprojekter, indeksdatabaser, gendannede filer og eksporter.

Derfor kan en 4 TB lagerenhed kræve betydeligt mere end 4 TB arbejds- og arkivlagerplads.

For professionelle retsmedicinske miljøer bør lagerbehov derfor planlægges med tilstrækkelige reserver.

Hvad sker der i tilfælde af læsefejl?

Beskadigede lagringsmedier giver muligvis ikke længere pålidelig adgang til individuelle lagringsområder. I dette tilfælde skal backupværktøjet kunne håndtere læsefejl.

Afhængigt af metoden kan defekte områder logges, læses flere gange eller springes over i første omgang. Med ustabile lagringsmedier kan en skånsom initial backup være vigtigere end gentagne aggressive læseforsøg.

Læsefejl skal dokumenteres, fordi de kan påvirke billedets fuldstændighed og meningsfuldhed.

Kan et billede med læsefejl stadig bruges til retsmedicinske formål?

Ja, under visse omstændigheder. Et delvist beskadiget lagringsmedie kan stadig indeholde store mængder brugbare data.

Det er afgørende at dokumentere transparent, hvilke områder der ikke kunne læses. En ufuldstændig sikkerhedskopi er ikke automatisk værdiløs, men den bør heller ikke præsenteres som komplet.

Hvordan adskiller et HDD-billede sig fra et SSD-billede?

I traditionelle magnetiske harddiske svarer den logisk adresserbare lagring relativt direkte til de områder, der kan læses via grænsefladen. Dette gør det muligt at bevare slettede datarester i længere tid, så længe de relevante sektorer ikke er blevet overskrevet.

SSD'er bruger derimod intern flashstyring. Wear leveling, garbage collection og TRIM påvirker den fysiske lagring. SSD-controlleren bestemmer internt, hvilke hukommelsesceller der rent faktisk bruges.

Et retsmedicinsk billede af en SSD kan derfor fuldt ud indfange den aktuelt adresserbare logiske hukommelse, men indeholder ikke automatisk alle fysisk eksisterende tilstande af individuelle flashceller.

Hvad er betydningen af ​​TRIM for et retsmedicinsk billede?

TRIM gør det muligt for et operativsystem at informere en SSD om, at bestemte datablokke ikke længere er nødvendige. SSD'en kan derefter forberede disse områder internt til senere genbrug.

Dette gør det muligt for slettede data at forsvinde relativt hurtigt fra logisk tilgængelig lagring. Hvis et retsmedicinsk billede først oprettes bagefter, indeholder det muligvis ikke længere brugbare rester.

Billedet afspejler derfor tilstanden på tidspunktet for sikkerhedskopieringen. Det kan ikke gendanne data, som lagerenheden allerede har fjernet internt.

Hvad gælder for NVMe SSD'er?

NVMe er en moderne brugerflade til hurtige SSD'er. Fra et retsmedicinsk perspektiv præsenterer den stort set de samme udfordringer som andre flash-lagringsenheder, især med hensyn til intern controllerlogik, TRIM og garbage collection.

Derudover skal den anvendte backuphardware understøtte det respektive NVMe-format og den fysiske grænseflade. M.2 refererer kun til én mulig formfaktor og angiver ikke i sig selv, hvilken protokol der anvendes.

Derfor bør det nøje kontrolleres, hvilken teknisk variant der findes, inden en datalagringsenhed fjernes eller tilsluttes.

Kan en krypteret databærer nemt afbildes?

Teknisk set er det ofte muligt at kopiere en krypteret databærer sektor for sektor. Resultatet vil dog også indeholde de krypterede data.

Uden den nødvendige nøgle eller adgang kan billedet muligvis ikke analyseres meningsfuldt bagefter.

Hvis et krypteret system allerede er startet og låst op, kan en anden backupstrategi være mere passende end for en slukket enhed.

BitLocker og retsmedicinsk billede

I et Windows-system krypteret med BitLocker kan et fysisk billede af den slukkede disk i bund og grund indeholde krypterede data.

Til efterfølgende analyse kræves passende adgangsdata eller gendannelsesnøgler. Hvis systemet allerede er låst op, kan en logisk eller livebaseret sikkerhedskopi af de dekrypterede data være mere passende under visse omstændigheder.

Hvilken mulighed der er mest retsmedicinsk passende, afhænger af det specifikke spørgsmål, der stilles.

FileVault og retsmedicinsk billede af en Mac

Moderne Mac-computere bruger ofte FileVault og yderligere hardwarebaserede sikkerhedsmekanismer. Desuden er intern lagring i nuværende Apple Silicon-systemer tæt integreret med enhedens arkitektur.

Den traditionelle metode med at fjerne en harddisk og sikkerhedskopiere den separat ved hjælp af en skriveblokering er derfor ikke længere mulig med mange moderne Mac-computere.

Sikkerhedskopimetoden skal vælges baseret på Mac-modellen, sikkerhedsstatussen og de tilgængelige adgangsdata.

Kan et retsmedicinsk billede oprettes fra en smartphone?

Udtrykket skal bruges med forsigtighed, når der henvises til smartphones. Moderne iPhones og Android-enheder tillader ofte ikke direkte, fuld adgang til den fysiske flashhukommelse.

I stedet genereres der, afhængigt af enheden og den tilgængelige metode, logiske udtræk, filsystemudtræk eller andre teknisk tilgængelige datasæt.

En sådan udtrækning kan være retsmedicinsk værdifuld og meget omfattende, men den er ikke automatisk ensbetydende med et sektor-for-sektor harddiskbillede.

Hvorfor er denne sondring vigtig for smartphones?

Hvis en rapport blot angiver, at en smartphone var "fuldt spejlet", forbliver det uklart, hvad den faktiske mængde data var.

Derfor bør teknisk præcis dokumentation specificere den nøjagtige udtrækningsmetode. Først derefter kan det vurderes, hvilke dataområder der blev indsamlet, og hvilke der muligvis ikke var tilgængelige.

Især når det kommer til spørgsmålet om slettede data, kan udtrækningsmetoden være afgørende.

Kan et retsmedicinsk billede undersøges senere med anden software?

Ja, forudsat at det anvendte billedformat understøttes af den respektive software. Dette er en af ​​de største fordele ved en ren retsmedicinsk backup.

Det originale billede behøver ikke at blive genbrugt. Det eksisterende billede kan senere kontrolleres med et andet analyseværktøj eller evalueres under et nyt spørgsmål.

Dette giver også mulighed for en uafhængig anden undersøgelse foretaget af en anden ekspert.

Hvad er en fungerende kopi af det retsmedicinske billede?

Det originale retsmedicinske billede kan arkiveres uændret. En ekstra arbejdskopi bruges ofte til selve efterforskningen.

Dette sikrer, at den originale sikkerhedskopi bevares, selvom der foretages ændringer i filer, indekser eller projektdata under analysen.

Om nødvendigt kan der til enhver tid oprettes en ny arbejdskopi ud fra det arkiverede originalbillede.

Kan et retsmedicinsk billede manipuleres?

Ligesom enhver digital fil kan et billede teoretisk set ændres, hvis nogen har skriveadgang til det. Derfor er adgangskontrol, sikker opbevaring og integritetstjek vigtige.

Hvis en kryptografisk hashværdi blev dokumenteret for det originale billede, ville en efterfølgende ændring normalt resultere i en anden hashværdi.

Dette kræver dog, at selve den oprindelige referenceværdi er blevet pålideligt dokumenteret og beskyttet.

Hvordan opbevares et retsmedicinsk billede sikkert?

Et retsmedicinsk billede kan indeholde meget følsomme oplysninger. Det indeholder ofte betydeligt flere data, end der faktisk er nødvendige for den specifikke undersøgelse.

Derfor bør lagring beskyttes mod uautoriseret adgang. Afhængigt af beskyttelseskravene kan krypterede lagringssystemer, adgangsbegrænsninger, logning og fysiske sikkerhedsforanstaltninger være nyttige.

Sikkerhedskopier skal også inkluderes i beskyttelseskonceptet.

Hvor længe skal et retsmedicinsk billede opbevares?

Der er ingen universelt gældende opbevaringsperiode for hver undersøgelse. Varigheden afhænger blandt andet af undersøgelsens art, retssager, kontraktlige aftaler, databeskyttelsesregler og potentielle bevisspørgsmål.

Det er vigtigt at afklare, enten før eller under undersøgelsen, hvad der skal ske med originalen, billedet, arbejdskopierne og de eksporterede data efter afslutningen.

Hvilke fejl opstår ofte i retsmedicinske billeder?

• Billedet gemmes uden en klar tilknytning til originalen.
• Serienummer og enhedsdata er ikke dokumenteret.
• Kildedatabæreren er monteret til skrivning uden behov.
• Læsefejl logges ikke.
• Den anvendte backupmetode er ikke nævnt.
• Det kaldes generelt en "1:1-kopi", selvom der kun findes en logisk sikkerhedskopi.
• Hashværdier beregnes, men er ikke korrekt dokumenteret.
• Det originale billede og arbejdskopien er ikke adskilt.
• Billedet er gemt på et utilstrækkeligt beskyttet lagringsmedie.
• Den tilgængelige lagerplads er fejlvurderet før start.

Praktisk eksempel: 1 TB harddisk på en firmacomputer

Der er en stærk mistanke om, at virksomhedsdata blev kopieret over på et USB-stik fra en virksomhedscomputer, før en medarbejder forlod virksomheden. Den interne lagerenhed har en kapacitet på 1 TB.

En normal kopi af brugermapperne ville kun optage de aktuelt synlige filer. Oplysninger om tilsluttede USB-enheder, filsystemartefakter, slettede filer og andre systemdata kan dog også være relevante for undersøgelsen.

Et passende retsmedicinsk billede giver et betydeligt bredere grundlag for undersøgelsen. Efterfølgende analyse kan derefter udføres på en arbejdskopi, mens det originale billede forbliver arkiveret uændret.

Praktisk eksempel: Slettede projektfiler

En virksomhed opdager, at en mappe med vigtige projektdokumenter er blevet slettet. Computeren har en traditionel magnetisk harddisk.

En standard backup af aktuelt synlige filer ville ikke indeholde slettede mapper. En sektor-for-sektor backup kan dog også indeholde ikke-allokerede lagerområder.

Om de slettede filer rent faktisk kan gendannes, afhænger af, om de relevante lagerområder allerede er blevet overskrevet. Det retsmedicinske billede giver dog i det mindste grundlag for at undersøge dette spørgsmål.

Praktisk eksempel: SSD efter datasletning

Filer blev slettet på en moderne bærbar computer med en NVMe SSD. En undersøgelse blev først iværksat et par dage senere.

Et retsmedicinsk billede kan også oprettes her. Det bør dog ikke forventes, at det automatisk indeholder alle slettede data.

TRIM og garbage collection har muligvis allerede ryddet op i de frigjorte hukommelsesområder. Værdien af ​​billedet ligger stadig i dets evne til at oprette en kontrolleret sikkerhedskopi af den aktuelt tilgængelige tilstand og forhindre yderligere ændringer fra normal brug.

Praktisk eksempel: Second opinion

I en retssag anfægtes den tekniske vurdering af en tidligere efterforskning. Den originale enhed er ikke længere tilgængelig, men det retsmedicinske billede, der blev oprettet på daværende tidspunkt, blev arkiveret med dokumenterede hashværdier.

En anden ekspert kan gennemgå dette billede igen og kontrollere, om de oprindelige konklusioner rent faktisk understøttes af dataene.

Dette eksempel demonstrerer en central fordel ved et rent genereret retsmedicinsk billede: Undersøgelsen kan reproduceres og verificeres uafhængigt.

Hvornår er et retsmedicinsk billede særligt nyttigt?

Et retsmedicinsk billede er særligt nyttigt, når en databærer skal undersøges nærmere senere, og originalen skal bevares så meget som muligt.

• Mistanke om datatyveri
• Undersøgelse af slettede filer
• Mistanke om datamanipulation
• Analyse af brugeraktiviteter
• Test af tilsluttede eksterne lagerenheder
• Cybersikkerhedshændelser
• juridiske tvister
• Sikring af bevismateriale før returnering af en enhed
• Forberedelse til en senere gennemgang
• Behovet for en uafhængig anden analyse

Hvornår er et retsmedicinsk billede alene utilstrækkeligt?

Et billede er et datagrundlag, men endnu ikke et resultat af en undersøgelse. Det besvarer ikke automatisk selve bevisspørgsmålet.

Kun analysen af ​​dataene og den tekniske evaluering heraf gør det muligt at drage konklusioner om en given situation. Dette kræver sammenligning af forskellige artefakter og overvejelse af mulige alternative forklaringer.

Derudover kan informationer ligge uden for den afbildede databærer, for eksempel i cloudtjenester, på servere, i e-mailsystemer eller på andre enheder. Et enkelt billede repræsenterer derfor ikke nødvendigvis hele situationen.

Ofte stillede spørgsmål om retsmedicinsk billeddannelse

Er et retsmedicinsk billede en nøjagtig kopi?

Med en traditionel sektor-for-sektor-backup kan den logisk adresserbare lagring kortlægges meget fuldstændigt. Med moderne SSD'er, smartphones og andre komplekse lagringssystemer er det dog nødvendigt præcist at beskrive, på hvilket niveau backup'en blev udført.

Indeholder et retsmedicinsk billede slettede data?

Den kan indeholde lagerområder, hvor der stadig findes fragmenter af slettede data. Om disse rent faktisk kan rekonstrueres, afhænger af lagermediet og dets tilstand.

Kan et billede være større end de gemte filer?

Ja. Et ukomprimeret sektor-for-sektor-billede er baseret på lagringsmediets kapacitet og ikke kun på det samlede antal synlige filer.

Kan et retsmedicinsk billede komprimeres?

Ja, hvis der anvendes et passende tabsfrit billedformat. De originale data må ikke ændres på nogen måde.

Kan et billede gemmes på en almindelig harddisk?

Teknisk set, ja. Til professionelle undersøgelser skal målmediet dog være tilstrækkeligt stort, pålideligt og tilstrækkeligt beskyttet mod uautoriseret adgang.

Skal der oprettes en hashværdi for hvert billede?

For bevisrelevante sikkerhedskopier er en dokumenteret integritetskontrol teknisk set tilrådelig. Den specifikke hashingstrategi, der anvendes, afhænger af arbejdsgangen og formålet med undersøgelsen.

Kan et billede genovervejes år senere?

Ja, forudsat at den blev bevaret fuldstændigt og læseligt, og filformatet stadig understøttes. Dette er en betydelig fordel i forhold til en enkelt analyse af den originale enhed.

Kan et billede bruges til at bestemme, hvem der har kopieret en fil?

Ikke udelukkende baseret på billedets eksistens. En sådan erklæring kræver analyse af konkrete bruger-, fil-, enheds- og systemspor. I nogle tilfælde er en klar personlig identifikation teknisk umulig.

Hvorfor et retsmedicinsk billede er mere end en kopi

Den afgørende værdi af et retsmedicinsk billede ligger ikke blot i, at dataene duplikeres. Det skaber et defineret teknisk grundlag for efterfølgende undersøgelser.

En veludviklet sikkerhedskopi muliggør gentagen analyse af en gemt datatilstand, brug af forskellige værktøjer og efterfølgende verifikation af resultater af en anden forsker. Samtidig kan den originale enhed i vid udstrækning udelukkes fra yderligere analyse, efter at sikkerhedskopien er oprettet.

Dette gør det retsmedicinske billede til et afgørende led mellem bevisbevaring og -analyse. Dets betydning afhænger dog direkte af, hvor præcist oprindelsen dokumenteres, hvilken bevaringsmetode der vælges, og hvor pålideligt datasættets integritet er blevet opretholdt.