Integriteten af ​​digitale beviser beskriver den verificerbare uændring af et defineret digitalt datasæt sammenlignet med en dokumenteret referencetilstand. Inden for digital retsmedicin er det en central forudsætning for senere at kunne afgøre, om de undersøgte data stadig svarer til den sikrede tilstand eller er blevet ændret i mellemtiden.

Det handler ikke kun om filer. Digitale beviser kan f.eks. omfatte et retsmedicinsk harddiskbillede, et smartphone-udtræk, en database, et e-mailarkiv, en hukommelsesdump, en logfil eller et eksporteret cloud-datasæt.

Integritet er dog ikke automatisk lig med autenticitet, sandhed eller forfatterskab. Et teknisk uændret datasæt kan være blevet manipuleret, selv før det blev sikkerhedskopieret. Derfor skal der i IT-forensik skelnes præcist mellem, hvad der rent faktisk kan bevises gennem en integritetskontrol, og hvad der ikke kan.

Hvad betyder integriteten af ​​digitalt bevismateriale?

Integritet betyder kort sagt, at en vis mængde data ikke er blevet ændret siden et defineret tidspunkt.

Dette tidspunkt er afgørende. Hvis for eksempel et retsmedicinsk billede oprettes fra en harddisk , og en kryptografisk hashværdi beregnes umiddelbart bagefter, oprettes en verificerbar referencetilstand.

Hvis det samme billede senere kontrolleres igen med den samme hashing-metode, og den samme hash-værdi produceres, tyder dette stærkt på, at det kontrollerede datasæt ikke har ændret sig siden den oprindelige beregning.

Integritetstestning forbinder således et specifikt datasæt med en specifik dokumenteret tilstand.

Hvorfor er integriteten af ​​digitale beviser så vigtig?

Digital information er meget nemmere at ændre end mange traditionelle fysiske beviser. En fil kan kopieres, overskrives, slettes eller redigeres uden at dette nødvendigvis er synligt udadtil.

Utilsigtede ændringer er også mulige. Operativsystemer skriver metadata, applikationer opretter midlertidige filer, og tilsluttede lagerenheder kan ændres af automatiske systemprocesser.

En retsmedicinsk undersøgelse skal derfor ikke blot finde interessante digitale spor. Den skal også gøre det forståeligt, hvilket datasæt analysen er baseret på.

Uden denne forbindelse kan spørgsmålet senere opstå, om et fund allerede var til stede på det oprindelige undersøgelsesobjekt, eller om det først er opstået under en senere bearbejdning.

Integritet begynder før den egentlige analyse.

En almindelig misforståelse er udelukkende at forbinde integritet med beregningen af ​​en hashværdi. I virkeligheden begynder beskyttelsen af ​​digitale beviser meget tidligere.

Selv anskaffelsen af ​​en enhed, dens driftstilstand, valget af backupmetode og håndteringen af ​​originalen kan påvirke de data, der efterfølgende undersøges.

Hvis for eksempel en klassisk harddisk uden kontrolleret skrivebeskyttelse er tilsluttet et normalt operativsystem, kan der udføres automatiske skriveoperationer.

Den efterfølgende beregnede hashværdi kan pålideligt dokumentere den tilstand, der eksisterer bagefter. Den fortryder dog ikke tidligere ændringer.

Hvad er en referencetilstand?

En referencetilstand er den definerede datatilstand, som efterfølgende integritetstjek udføres imod.

I praksis kunne dette for eksempel være et billede, der er skabt umiddelbart efter en retsmedicinsk undersøgelse.

En hashværdi er dokumenteret for dette datasæt. Denne værdi kan senere bruges som reference.

Det er vigtigt, at det er klart defineret, hvilket specifikt datasæt referenceværdien beskriver.

Hvordan kontrolleres integriteten af ​​digitale beviser?

En nøglemetode er brugen af ​​kryptografiske hashfunktioner. Dette involverer beregning af en matematisk checksum ud fra et defineret datasæt.

Til moderne retsmedicinske undersøgelser kan SHA-256 for eksempel anvendes.

Hvis den samme SHA-256-værdi genereres igen senere fra præcis det samme datasæt, kan den bruges til at verificere, at den ikke har ændret sig i forhold til referencetilstanden.

Hashværdier er derfor ikke blot en dokumentationsformalitet, men en teknisk verificerbar komponent i bevisopbevaring.

Hvad beviser en identisk hashværdi?

En identisk kryptografisk hashværdi, når en passende moderne hashfunktion anvendes, tyder stærkt på, at de datasæt, der kontrolleres, er bit-identiske.

Dette muliggør f.eks. verifikation af, om et arkiveret retsmedicinsk billede stadig svarer til det oprindeligt dokumenterede billede.

Hashværdien fortæller os dog ikke, om dataene allerede var blevet ændret før den første hashberegning.

Hvad beviser en hashværdi ikke?

En hashværdi beviser ikke, at indholdet af en fil er sandt. Den beviser heller ikke, hvem der oprettede, ændrede eller slettede en fil.

Han kan heller ikke selv afgøre, om et dokument oprindeligt var ægte.

Hashværdien besvarer et langt mere snævert defineret teknisk spørgsmål: Er det datasæt, der nu kontrolleres, identisk med det datasæt, som den dokumenterede referenceværdi blev genereret for?

Integritet og autenticitet er ikke det samme.

Denne sondring er særlig vigtig for digital bevisførelse .

Integritet beskriver den uændrede tilstand af et datasæt sammenlignet med en referencetilstand.

Autenticitet refererer derimod til dens oprindelse eller ægthed.

En manipuleret PDF-fil kan for eksempel overdrages til en ekspert og efterfølgende sikres korrekt retsmedicinsk. Fra dette tidspunkt kan dens integritet verificeres pålideligt.

Den identiske hashværdi beviser dog ikke, at PDF-filen aldrig blev manipuleret, før den blev overleveret.

Integritet og bevisværdi er heller ikke det samme.

Et fuldstændig uændret datasæt kan være meningsløst for et specifikt spørgsmål.

Omvendt kan der findes et teknisk relevant fund, hvis dokumentationshistorik ikke er optimal.

Integritet er derfor en kvalitetsegenskab ved databasen, men ikke en automatisk erklæring om den bevismæssige betydning af et bestemt artefakt.

Den bevismæssige betydning opstår kun gennem den professionelle klassificering inden for sagens specifikke kontekst.

Hvorfor er et skærmbillede ikke tilstrækkeligt som bevis på integritet?

Et skærmbillede dokumenterer blot en synlig repræsentation af et specifikt skærmindhold.

Den indeholder typisk ikke de komplette underliggende datastrukturer og tillader ikke en omfattende teknisk integritetskontrol af kildesystemet.

I en messenger-chat kan et skærmbillede for eksempel vise en synlig del af samtalen. Det indeholder dog ikke automatisk den underliggende database, interne beskedidentifikatorer, systemoplysninger eller andre metadata.

Et skærmbillede kan derfor være et relevant dokument, men det er ikke ensbetydende med en retsmedicinsk sikkerhedskopi af de originale data.

Hvorfor er en normal filkopi ikke automatisk en retsmedicinsk sikkerhedskopi?

En standardfilkopi kan korrekt overføre indholdet af udvalgte filer. Den registrerer dog ikke nødvendigvis den komplette lagringstilstand, der er relevant for en undersøgelse.

Slettede dataområder, filsystemoplysninger og andre tekniske artefakter kan mangle.

Desuden skal det være muligt at spore, hvornår filerne blev kopieret, og om der allerede er sket ændringer før kopieringen.

Integriteten af ​​de kopierede filer kan efterfølgende kontrolleres ved hjælp af hashværdier. Dette skaber dog endnu ikke en komplet sikkerhedskopi af den retsmedicinske datadisk fra det oprindelige filvalg.

Hvad er betydningen af ​​en bitvis backup?

Med traditionelle datalagringsmedier kan sektorvis eller blokvis backup skabe en omfattende repræsentation af det adresserbare lagerområde.

Analysen kan derefter udføres på dette sikkerhedskopierede datasæt, mens originalen forbliver så uberørt som muligt.

Dette reducerer risikoen for, at den faktiske undersøgelse ændrer den oprindelige databærer.

Hvorfor bruges skriveblokkere?

En skriveblokering er designet til at forhindre en undersøgelsescomputer i at sende skrivekommandoer til en oprindelig databærer.

Dette er vigtigt, fordi operativsystemer kan udføre skriveoperationer uafhængigt, når en lagerenhed er tilsluttet.

Hardware- eller passende software-skrivebeskyttelse kan reducere denne risiko.

Skriveblokkere er dog ikke egnede til alle typer enheder. Smartphones, påloddet hukommelse eller aktive systemer kræver forskellige backupstrategier.

Kan bevismateriale ændres på trods af en skriveblokering?

En korrekt implementeret skriveblokering forhindrer skrivekommandoer via den kontrollerede datasti. Den løser dog ikke alle tænkelige integritetsproblemer.

For eksempel kan interne controllerprocesser spille en rolle i flashhukommelse. Derudover kan der allerede være opstået fejl før forbindelsen til skriveblokkeren.

Skriveblokkeren er derfor et teknisk beskyttelsesværktøj inden for en større retsmedicinsk proces.

Hvad betyder integritet i forbindelse med en harddisk?

Med traditionelle magnetiske harddiske kan den logisk adresserbare lagring ofte sikkerhedskopieres meget omfattende, sektor for sektor.

Hvis originalen er beskyttet mod skriveadgang under optagelsesprocessen, og det resulterende billede efterfølgende verificeres, skabes et yderst reproducerbart grundlag for undersøgelsen.

Dog skal aflæsningsfejl eller beskadigede områder dokumenteres.

Hvad betyder integritet i forbindelse med en SSD?

Situationen er mere kompleks med SSD'er. En controller med sin egen hukommelsesstyring fungerer mellem operativsystemet og de fysiske flashhukommelsesceller.

TRIM, affaldsindsamling og slidudjævning påvirker den interne organisering af dataene.

Et retsmedicinsk billede kan derfor dokumentere integriteten af ​​de faktisk optagede logiske data. Dette betyder dog ikke automatisk, at alle fysiske flashceller var uændrede eller umiddelbart tilgængelige.

Hvorfor er denne sondring vigtig for SSD'er?

Udtrykket "oprindelig tilstand" kan misforstås i forbindelse med moderne lagringsmedier.

En SSD ændrer delvist sin interne lagerstruktur uafhængigt. Derfor behøver den fysiske placering af bestemte data ikke nødvendigvis permanent at svare til den logiske adresse, der er synlig for operativsystemet.

Retsmedicinsk dokumentation bør derfor præcist beskrive, hvilket datalag der rent faktisk blev sikret.

Hvad betyder integritet i forbindelse med smartphones?

Smartphones udgør en særlig udfordring. Moderne enheder bruger hardwarebaseret kryptering, sikker nøglehåndtering og komplekse operativsystemmekanismer.

En klassisk sektor-for-sektor-backup, som med en fjernet harddisk, er derfor ofte ikke mulig.

Integritet skal henvise til det faktiske udtrukne datasæt. Der skal fremlægges dokumentation for, hvilken enhed der blev undersøgt, hvilken udtrækningsmetode der blev anvendt, og hvilket datasæt der blev resultatet af den.

Hvorfor kan en smartphone-scanning ændre enhedens tilstand?

En tændt smartphone er et dynamisk system. Baggrundsprocesser fortsætter med at køre, logfiler kan opdateres, og applikationer kan ændre data.

Etablering af en forbindelse til en efterforskningscomputer kan også udløse tekniske ændringer i tilstanden.

Nogle optagelsesmetoder kræver visse kontrollerede interaktioner med enheden.

Professionel integritet betyder derfor ikke den urealistiske påstand om, at en eneste bit på den originale enhed under ingen omstændigheder må ændres. Det afgørende er at undgå ændringer så vidt muligt og at dokumentere nødvendige eller teknisk uundgåelige indgreb på en sporbar måde.

Hvad betyder integritet for en kørende computer?

Selv en kørende computer ændrer sig konstant. RAM, midlertidige filer, hændelseslogfiler og netværkstilstande kan ændre sig inden for få sekunder.

Derfor er en fuldstændig statisk udgangssituation teknisk uopnåelig i levende retsmedicin.

Opgaven er snarere at sikre de nødvendige data med så kontrollerede interventioner som muligt og at dokumentere disse interventioner på en sporbar måde.

Hvorfor kan det at slukke en computer også påvirke bevisernes integritet?

Selvom slukning forhindrer yderligere normal operativsystemaktivitet, ødelægger det også flygtige data i RAM'en.

Derudover kan en aktuelt dekrypteret tilstand gå tabt i krypterede systemer.

Derfor er "sluk enheden med det samme" ikke en universelt korrekt retsmedicinsk regel.

Beslutningen skal træffes baseret på systemets tilstand og det spørgsmål, der undersøges.

Hvad betyder integritet i RAM-data?

RAM er flygtigt og ændrer sig konstant under drift.

Et RAM-billede dokumenterer derfor en specifik opnåelig tilstand under en bestemt backupproces.

Hashværdien af ​​den genererede hukommelsesdump kan derefter bruges til at verificere dens fortsatte integritet.

Han kan dog ikke bevise, at arbejdshukommelsen ikke ændrede sig under selve tilegnelsen.

Hvad betyder integritet for cloud-data?

Med cloud-tjenester har en efterforsker typisk ikke direkte adgang til udbyderens fysiske lagringsmedier.

I stedet udføres backup'en f.eks. via en API, en kontoeksport eller andre tilgængelige grænseflader.

Integritetsdokumentationen skal derfor fokusere på de faktisk modtagne data.

Relevante faktorer omfatter kilde, konto, backuptidspunkt, anvendt metode og de genererede filer.

Er det muligt at verificere den fysiske integritet af en cloud-harddisk?

Normalt ikke direkte som ekstern efterforsker.

Derfor bør ens egen retsmedicinske udtalelse begrænses til det faktisk tilgængelige og sikrede dataniveau.

Det er netop denne transparente afgrænsning, der øger den professionelle kvalitet af en undersøgelse.

Hvad betyder integritet i e-mails?

Integritetstjek for e-mails kan referere til forskellige niveauer.

En eksporteret besked kan for eksempel hashes som en EML-fil. På samme måde kan et komplet postkassearkiv sikkerhedskopieres og revideres som et datasæt.

Hashværdien af ​​denne fil dokumenterer derefter dens uændrede tilstand, men beviser ikke automatisk den oprindelige afsender's ægthed.

Dette kan kræve yderligere oplysninger såsom mailheadere, serverdata og andre tekniske spor.

Hvad betyder integritet i logfiler?

Logfiler kan spille en vigtig rolle i forbindelse med cyberhændelser, datalækager eller uautoriseret adgang.

Når relevante logs eksporteres, skal det være sporbart, hvilket system de kommer fra, hvornår de blev sikkerhedskopieret, og om de eksporterede data efterfølgende er blevet ændret.

En hashværdi kan verificere integriteten af ​​den sikrede eksport.

Han kan dog ikke selv bevise, at det oprindelige logningssystem aldrig blev manipuleret med før sikkerhedskopieringen.

Hvad betyder integritet i databaser?

Databaser er ofte dynamiske systemer. Under drift ændres dataposter, indeks opdateres, og transaktioner udføres.

En retsmedicinsk backup skal derfor tage højde for, om der blev oprettet en konsistent kopi, en eksport eller en anden defineret database.

Kun denne genererede inventar kan derefter behandles som en referencetilstand og sikres, for eksempel via hashværdier.

Hvilken rolle spiller forældremyndigheden?

Sporbarhedskæden supplerer den tekniske integritetskontrol med organisatorisk sporbarhed.

En hashværdi kan vise, at et bestemt datasæt er forblevet uændret. Den siger dog ikke, hvem der modtog, transporterede, opbevarede eller undersøgte bevismaterialet.

Beviskæden dokumenterer disse begivenheder.

Teknisk integritet og sporbarhedskæde bør derfor ikke forveksles.

Kan en perfekt sporbarhedskæde erstatte manglende hashværdier?

Nej. Omhyggelig overdragelsesdokumentation og en teknisk integritetskontrol tjener forskellige funktioner.

En beviskæde kan på fremragende vis dokumentere, hvem der har gemt et billede. Uden teknisk verifikation kan det dog ikke automatisk konkluderes, at de data, det indeholder, er forblevet uændrede.

Omvendt kan en identisk hashværdi ikke forklare, hvem der havde adgang til dataene.

Hvorfor skal originalen opbevares på den bedst mulige beskyttede måde?

Efter vellykket bevaring kan det originale bevismateriale eller primære retsmedicinske beviser bevares som reference.

Selve analysen udføres på en arbejdskopi, så vidt det er teknisk muligt.

Dette gør det muligt for analyseprogrammer at oprette filer, bygge indekser eller udføre andre behandlingstrin uden at ændre den arkiverede referencebackup.

Hvorfor er en arbejdskopi nyttig?

Retsmedicinske analyseprogrammer behandler store mængder data og genererer ofte deres egne databaser, indekser, forhåndsvisningsfiler og undersøgelsesresultater.

Et separat arbejdsmiljø forhindrer, at sådanne analyseprocesser blandes med den uændrede referencebackup.

Hvis en ny analyse senere er nødvendig, kan der oprettes et arbejdsgrundlag igen fra den oprindelige backup.

Hvad sker der, hvis hashværdien af ​​en backup ændres?

En forskellig hashværdi betyder i første omgang kun, at de to datasæt, der kontrolleres, er forskellige.

Dette er et vigtigt advarselstegn, men endnu ikke en forklaring.

Årsagen kan være en faktisk ændring, en beskadiget fil, en transmissionsfejl, en anden containerstruktur eller simpelthen det faktum, at forskellige dataområder blev hashet.

Afvigelsen skal derfor undersøges teknisk.

Udgør en anden hashværdi automatisk bevis for manipulation?

Nej.

Han beviser først, at de sammenlignede datasæt ikke er identiske, forudsat at den samme hashfunktion blev anvendt korrekt på sammenlignelige data.

Årsagen til, at de er forskellige, kan ikke bestemmes alene ud fra hashværdien.

Hvad sker der, hvis der er læsefejl under en sikkerhedskopiering?

Beskadigede databærere kan indeholde sektorer, der ikke kan læses eller kun kan læses upålideligt.

En retsmedicinsk analyse kan stadig indfange en betydelig del af databæreren.

Det er afgørende, at læsefejl dokumenteres, og at det fortsat er sporbart, hvordan det anvendte værktøj håndterede ulæselige områder.

En hashværdi af det genererede billede kan derefter bruges til at kontrollere dets integritet. Det beviser dog ikke, at tidligere ulæselige sektorer er blevet læst.

Kan et beskadiget billede stadig betragtes som intakt?

Ja, hvis "heltal" betyder, at filen er forblevet uændret siden et bestemt referencetidspunkt.

En allerede ufuldstændig eller beskadiget backup kan have en stabil hashværdi.

Dette illustrerer yderligere, hvorfor integritet og fuldstændighed er forskellige egenskaber.

Integritet er ikke det samme som fuldstændighed.

Et datasæt kan være fuldstændig uændret og stadig mangle information.

For eksempel kan en logisk smartphone-udtrækning være teknisk forsvarlig, selvom den ikke indeholder alle enhedens data på grund af den valgte udtrækningsmetode.

Integritetstjekket siger derfor intet om, hvorvidt backupmetoden var i stand til at indfange alle oplysninger, der var relevante for spørgsmålet.

Integritet er ikke det samme som korrekthed.

Selv faktuelt ukorrekte oplysninger kan være fuldstændig ærlige.

Hvis nogen indtaster forkerte oplysninger i et dokument, og filen efterfølgende forbliver uændret, bekræfter en hashværdi blot, at filen ikke er blevet ændret.

Han kan ikke bedømme, om udsagnet deri er sandt eller falsk.

Integritet er ikke det samme som forfatterskab.

En identisk hashværdi kan vise, at to filer har identisk indhold.

Han kan dog ikke fastslå, hvilken person der har oprettet filen.

For at tildele oplysningerne til en bruger eller en fysisk person skal yderligere artefakter og kontekstuelle oplysninger undersøges.

Hvad er betydningen af ​​integritet i tilfælde af mistanke om datatyveri?

I tilfælde af datatyveri kan digitale spor blive fordelt på tværs af flere systemer.

En virksomhedscomputer kan indeholde USB-artefakter, en ekstern lagerenhed kan indeholde kopier af fortrolige filer, og en server kan indeholde yderligere adgangslogfiler.

For at disse oplysninger kan sammenlignes, skal de respektive datakilder være tydeligt identificeret og sikret.

Hashværdier kan for eksempel vise, at en fil på et eksternt medie har identisk indhold med en fil fra en virksomheds arkiv.

Imidlertid skal selve kopieringsprocessen og den involverede person rekonstrueres ved hjælp af yderligere beviser.

Hvilken rolle spiller integritet i en ekspertvurdering?

En ekspertrapport bør angive, hvilket datagrundlag de tekniske resultater er baseret på.

Især i komplekse digitale undersøgelser er det derfor tilrådeligt at dokumentere undersøgelsesobjekter, sikkerhedsmetoder og relevante integritetskontroller på en sporbar måde.

Dette giver en kyndig tredjepart mulighed for bedre at forstå vejen fra det oprindelige undersøgelsesobjekt til det evaluerede datasæt.

Den eksisterende hjemmeside for ekspertkontoret for IT- og mobilforensik beskriver også dette krav om forståelig bevisopbevaring og dokumentation.

Praktisk eksempel: Harddisken på en firmacomputer

En virksomhed har mistanke om, at en medarbejder kopierede fortrolige data, inden vedkommende forlod virksomheden.

Virksomhedens computers datalagringsenhed sikkerhedskopieres under kontrollerede forhold. En SHA-256-værdi dokumenteres for det genererede datasæt.

Selve undersøgelsen udføres på en arbejdskopi.

Flere måneder senere skal en anden ekspert gennemgå analysen. Før denne gennemgang begynder, beregnes SHA-256-værdien af ​​den arkiverede udgående backup igen.

Hvis dette stemmer overens med den oprindeligt dokumenterede værdi, kan det verificeres, at dette nøjagtige datasæt er forblevet uændret siden den oprindelige sikkerhedskopi.

Praktisk eksempel: Fortrolig fil på en USB-stick

En fortrolig projektfil findes på en virksomhedsserver. Under en undersøgelse blev en fil med samme navn fundet på en USB-stick.

Filnavnet alene er ikke tilstrækkeligt bevis for identisk indhold.

Hvis begge filer giver den samme SHA-256-værdi, tyder det stærkt på, at deres hashede indhold er identisk.

Dette beviser dog ikke, hvornår filen blev overført til USB-nøglen, eller hvem der kopierede den dertil.

Praktisk eksempel: Messenger-skærmbillede

En person udleverer et skærmbillede af en påstået messenger-chat.

Skærmbilledet kan hashes umiddelbart efter afsendelse. Dette giver dig mulighed for senere at kontrollere, om præcis denne billedfil blev ændret.

Hashværdien beviser dog hverken, at den viste chat faktisk eksisterede på den påståede smartphone, eller at de viste beskeder er autentiske.

For en mere dybdegående undersøgelse ville den oprindelige datakilde være betydeligt mere informativ.

Praktisk eksempel: Smartphone-udtrækning

En udtrækning udføres fra en smartphone ved hjælp af et retsmedicinsk værktøj.

Dette udtrukne materiale dokumenteres derefter og beskyttes mod ændringer.

Integritet refererer nu præcist til dette genererede datasæt.

Om udtrækningen indeholder alle de oplysninger, der er tilgængelige på smartphonen, er et andet spørgsmål og afhænger af enheden, operativsystemet, sikkerhedsstatus og udtrækningsmetoden.

Praktisk eksempel: Cloud-eksport

Et datasæt eksporteres fra en cloud-konto. Når downloadingen er fuldført, sikkerhedskopieres de downloadede filer, og hashværdier genereres.

Dette gør det muligt at overvåge den fortsatte uændring af den eksporterede varebeholdning.

Hashværdien beviser dog ikke, at cloududbyderen har leveret alle data, der nogensinde har eksisteret, eller at ingen filer blev slettet før eksporten.

Typiske fejl i håndtering af bevisintegritet

En almindelig fejl er at betragte en identisk hashværdi som et fuldstændigt bevis på ægthed.

Lige så problematisk er antagelsen om, at retsmedicinsk bevaring skal være mulig under alle tekniske omstændigheder fuldstændig uden nogen ændring i det oprindelige systems tilstand.

Dette er ofte urealistisk med live-systemer og smartphones. Kontrollerede procedurer og transparent dokumentation er afgørende.

Yderligere fejl opstår, hvis det ikke dokumenteres, hvilke data der blev hashet, hvis forskellige hashalgoritmer sammenlignes, eller hvis integritet forveksles med fuldstændighed.

Hvordan skal integritet dokumenteres?

Dokumentationen skal tydeligt angive, hvilket undersøgelsesobjekt eller hvilket datasæt der blev undersøgt.

I et hash-tjek skal den anvendte algoritme og den resulterende hashværdi tydeligt kunne tilskrives det relevante datasæt.

Afhængigt af den undersøgte sag kan tidspunktet, det anvendte værktøj, bevisidentifikator, billedfilen og eventuelle opståede aflæsningsfejl også dokumenteres.

Målet er ikke at producere den mest omfattende dokumentation i sig selv, men snarere at sikre den tekniske sporbarhed af de relevante efterforskningstrin.

Ofte stillede spørgsmål om integriteten af ​​digitale beviser

Hvad betyder integriteten af ​​digitalt bevismateriale, enkelt forklaret?

Integritet betyder, at det kan verificeres, om et specifikt digitalt datasæt har ændret sig siden et dokumenteret referencetidspunkt.

Hvordan verificeres integriteten af ​​digitale beviser?

En vigtig metode er beregning af kryptografiske hashværdier. Den samme hashværdi for det samme definerede datasæt muliggør en meget stærk teknisk kontrol over dets integritet.

Hvad er en hashværdi?

En hashværdi er en matematisk beregnet checksum af et digitalt datasæt. Moderne metoder som SHA-256 bruges blandt andet til integritetskontrol.

Er SHA-256 egnet til digitalt bevismateriale?

Ja. SHA-256 er en etableret kryptografisk hashfunktion og er egnet til moderne integritetstjek af digitale datasæt.

Beviser en identisk hashværdi en fils ægthed?

Nej. Det bekræfter den uændrede tilstand sammenlignet med den underliggende referencetilstand, ikke automatisk den oprindelige ægthed eller oprindelse.

Kan en manipuleret fil være et heltal?

Ja. Hvis en fil, der allerede er blevet manipuleret, efterfølgende hashes og ikke ændres igen, forbliver den intakt i forhold til denne senere referencetilstand.

Er integritet det samme som autenticitet?

Nej. Integritet beskriver uforanderlighed. Ægthed handler om spørgsmålet om ægthed og oprindelse.

Er integritet det samme som fuldstændighed?

Nej. Et uændret datasæt kan være ufuldstændigt. For eksempel kan en smartphone-udtrækning være nøjagtig, selvom den anvendte metode kun kan indfange en del af de tilgængelige data.

Er integritet det samme som bevisværdi?

Nej. Integritet refererer til dataenes kvalitet og uforanderlighed. Betydningen af ​​et artefakt for en specifik situation skal vurderes separat.

Hvad sker der, hvis to hashværdier er forskellige?

Så er de hashede datasæt forskellige. Årsagerne til disse forskelle skal derefter undersøges.

Beviser en anden hashværdi manipulation?

Ikke automatisk. Tekniske fejl, forskellige dataområder eller varierende containertilstande kan også føre til forskellige værdier.

Kan et skærmbillede være et heltal?

Ja. Selve skærmbilledet kan hashes og dermed kontrolleres mod senere ændringer. Dette beviser dog ikke automatisk ægtheden af ​​det viste indhold.

Kan en normal filkopi være et heltal?

Ja. De kopierede filer kan derefter kontrolleres ved hjælp af hashværdier. Dette betyder dog ikke, at kopien repræsenterer et komplet retsmediebillede af det originale lagringsmedie.

Hvorfor bruges en skriveblokering?

Den er designet til at forhindre utilsigtet skriveadgang til et originalt datamedie og dermed reducere undgåelige ændringer under sikkerhedskopiering.

Har alle retsmedicinske backups brug for en skriveblokering?

Nej. Det afhænger af enhedsklassen og backupmetoden. Smartphones og visse live-systemer kræver forskellige procedurer.

Kan en smartphone undersøges uden ændringer?

Dette kan ikke garanteres på tværs af systemer. Smartphones er dynamiske systemer. Professionel retsmedicin forsøger at minimere ændringer og dokumentere eventuelle teknisk nødvendige indgreb på en sporbar måde.

Kan en tændt computer forblive uændret?

Nej. Et kørende operativsystem ændrer konstant flygtige og delvist persistente data. Derfor kræver live retsmedicin kontrollerede og dokumenterede interventioner.

Kan det at slukke computeren ødelægge bevismateriale?

Ja. Indhold af flygtigt RAM går tabt i processen. På krypterede systemer kan en tidligere dekrypteret tilstand også gå tabt.

Hvad er sporbarhedskæden?

Sporbarhedskæden dokumenterer håndteringen af ​​bevismateriale og relevante overdragelser eller ændringer af ansvar. Den supplerer den tekniske integritetskontrol, men erstatter den ikke.

Kan en hashværdi erstatte kæden af ​​​​forvaring?

Nej. En hashværdi styrer et datasæt. Den dokumenterer ikke, hvilken person der modtog eller ændrede et bevismateriale, og hvornår.

Hvorfor udføres analysen på arbejdskopier?

Dette gør det muligt for et primært retsmedicinsk bevismateriale at forblive uændret som reference, mens analyseværktøjer anvendes på et separat arbejdsbasis.

Kan et retsmedicinsk billede bruges på trods af læsefejl?

Ja. De udtrukne data kan stadig være af betydelig værdi for forskning. Læsefejlene og deres korrektion skal dog dokumenteres og tages i betragtning under fortolkningen.

Er en hashværdi alene tilstrækkelig til en ekspertvurdering?

Nej. Det er en teknisk komponent i integritetskontrol. En verificerbar ekspertvurdering kræver desuden en passende database, dokumenteret metode, ekspertanalyse og passende fortolkning.

Kan integritet genoprettes med tilbagevirkende kraft?

En efterfølgende genereret hashværdi kan definere en referencetilstand fra det punkt og fremefter. Den kan dog ikke retrospektivt bevise, at dataene før dette punkt forblev uændrede.

Hvorfor er timingen af ​​den første backup så vigtig?

Jo før relevante data sikkerhedskopieres på en kontrolleret måde, desto tydeligere kan deres efterfølgende tilstand dokumenteres. Ændringer, der opstod før sikkerhedskopieringen, kan ikke fortrydes ved senere integritetstjek.

Hvad integriteten af ​​digitale beviser rent faktisk siger

Integriteten af ​​digitalt bevismateriale besvarer et klart defineret spørgsmål: Er det undersøgte datasæt stadig det samme som det dokumenterede referencesæt?

Denne udtalelse er yderst værdifuld for professionel digital retsmedicin, men den bør ikke overdrives.

Integritet beviser ikke automatisk ægthed, fuldstændighed, sandhed, forfatterskab eller den juridiske antagelighed af et digitalt bevismateriale.

En pålidelig undersøgelse kombinerer derfor flere niveauer: kontrolleret databackup, entydig identifikation af datakilden, integritetstest, en sporbar beviskæde og en professionelt forsvarlig analyse.

Netop denne adskillelse forhindrer misfortolkninger. En hashværdi bliver ikke et generelt segl af ægthed, en retsmedicinsk kopi bliver ikke automatisk et fuldstændigt bevis, og et teknisk intakt datasæt bliver ikke en bevist faktuel påstand uden yderligere undersøgelse.

Professionel bevisintegritet betyder derfor frem for alt én ting: at kunne forklare til enhver tid på en forståelig måde, hvilket datasæt der blev undersøgt, hvordan det blev sikret, og på hvilket teknisk grundlag dets uændrede tilstand kan verificeres.

Tilbage til vidensoversigten