Όταν διαγράφετε ένα αρχείο από τον σκληρό δίσκο του υπολογιστή σας, αυτό δεν θα εξαφανιστεί. Με αρκετή προσπάθεια και τεχνική ικανότητα, είναι συχνά δυνατό να ανακτήσετε έγγραφα και φωτογραφίες που πιστεύατε ότι έχουν διαγραφεί.
Στα ηλεκτρονικά εγκλήματα αυτή η δυνατότητα είναι ένα χρήσιμο εργαλείο για την επιβολή του νόμου, αλλά πώς λειτουργεί πραγματικά;
Πριν μπούμε στις τεχνικές λεπτομέρειες, αξίζει να συζητήσουμε τις βαρετές διαδικαστικές και νομικές πτυχές της ηλεκτρονικής εγκληματολογίας στο πλαίσιο της επιβολής του νόμου.
Ρυθμίζοντας το νομικό πλαίσιο
Αρχικά, ας καταρρίψουμε τον παλιό μύθο ότι απαιτείται πάντα ένταλμα από την αστυνομία για να εξετάσει μια ψηφιακή συσκευή, όπως ένα τηλέφωνο ή έναν υπολογιστή. Αν και συνήθως απαιτείται μία εισαγγελική παραγγελία, υπάρχουν πολλά “κενά” στο πλαίσιο του νόμου.
Αρχές από όλο τον κόσμο, όπως στο Ηνωμένο Βασίλειο και στις Ηνωμένες Πολιτείες, επιτρέπουν στους υπαλλήλους τελωνείων και μετανάστευσης να εξετάζουν ηλεκτρονικές συσκευές χωρίς ένταλμα. Οι Αμερικανοί τελωνειακοί και οι αστυνομικοί των συνόρων μπορούν επίσης να εξετάσουν το περιεχόμενο συσκευών χωρίς ένταλμα, εάν υπάρχει η υποψία ότι θα καταστραφούν αποδεικτικά στοιχεία, σύμφωνα με απόφαση της 11ης περιφέρειας από το 2018.
Σε σύγκριση με τους Αμερικανούς, οι αστυνομικοί του Ηνωμένου Βασιλείου έχουν περισσότερα περιθώρια για να αποκτήσουν πρόσβαση στο περιεχόμενο των συσκευών, χωρίς να πρέπει να υποβάλουν κάποιο αίτημα σε δικαστή. Μπορούν, για παράδειγμα, να κατεβάσουν τα περιεχόμενα ενός τηλεφώνου χρησιμοποιώντας ένα νόμο που ονομάζεται Αστυνομικός και Ποινικός Αποδεικτικός Νόμος (Police and Criminal Evidence Act = PACE) , ανεξάρτητα από το εάν έχουν ασκηθεί κατηγορίες. Ωστόσο, εάν η αστυνομία αποφασίσει τελικά ότι επιθυμεί να εξετάσει τα περιεχόμενα όσων κατέβηκαν σε μια συσκευή, θα πρέπει να έχει μια υπογραφή από δικαστήριο.
Η νομοθεσία σχεδόν σε όλο το Δυτικό κόσμο, δίνει στην αστυνομία το δικαίωμα να εξετάζει συσκευές χωρίς ένταλμα, σε ορισμένες περιπτώσεις όπου υπάρχει επείγουσα ανάγκη, όπως σε τρομοκρατική υπόθεση ή όταν υπάρχει πραγματικός φόβος ότι ένα παιδί μπορεί να είναι θύμα σεξουαλικής εκμετάλλευσης.
Αλλά τελικά, ανεξάρτητα από το «πώς», όταν κατάσχεται ένας υπολογιστής, είναι η αρχή μιας μακράς διαδικασίας, που ξεκινά με την τοποθέτηση ενός φορητού υπολογιστή ή ενός τηλεφώνου σε μια πλαστική σακούλα και συχνά ολοκληρώνεται με στοιχεία που παρουσιάζονται στην αίθουσα του δικαστηρίου.
Η αστυνομία πρέπει να τηρεί ορισμένους κανόνες και διαδικασίες για να διασφαλίσει το παραδεκτό των αποδεικτικών στοιχείων. Οι ομάδες ηλεκτρονικής εγκληματολογίας τεκμηριώνουν την κάθε κίνησή τους έτσι ώστε, εάν είναι απαραίτητο, να επαναλάβουν τα ίδια βήματα και να επιτύχουν τα ίδια αποτελέσματα. Χρησιμοποιούν ειδικά εργαλεία για να διασφαλίσουν την ακεραιότητα των αρχείων. Ένα παράδειγμα είναι ο «αποκλειστής εγγραφής», ο οποίος έχει σχεδιαστεί για να επιτρέπει στους αστυνομικούς να εξάγουν πληροφορίες χωρίς να τροποποιούν κατά λάθος τα στοιχεία που εξετάζονται.
Αυτή η νομική βάση και η διαδικαστική αυστηρότητα καθορίζουν εάν μια έρευνα της εγκληματολογίας των υπολογιστών είναι επιτυχής.
Σκληροί δίσκοι
Παρά τα νομικά ζητήματα, είναι πάντα ενδιαφέρον να επισημάνουμε τους πολλούς παράγοντες που μπορούν να καθορίσουν την ευκολία με την οποία τα διαγραμμένα αρχεία μπορούν να ανακτηθούν από την αστυνομία (και όχι μόνο). Αυτά περιλαμβάνουν τον τύπο του δίσκου που χρησιμοποιείται, εάν υπάρχει κρυπτογράφηση και αν ήταν επιτυχής, καθώς και το σύστημα αρχείων της μονάδας δίσκου.
Για παράδειγμα, πάρτε τους σκληρούς δίσκους. Αν και αυτοί έχουν ξεπεραστεί σε μεγάλο βαθμό από τις ταχύτερες μονάδες SSD, οι μηχανικοί σκληροί δίσκοι (HDD) είναι ο κυρίαρχος μηχανισμός αποθήκευσης για πάνω από 30 χρόνια. Χρησιμοποιούνται κατά κόρον σε όσους θέλουν μία οικονομική λύση αποθήκευσης ή έχουν πολύ μεγάλο όγκο δεδομένων.
Οι σκληροί δίσκοι χρησιμοποιούν μαγνητικούς ομόκεντρους δίσκους για την αποθήκευση δεδομένων. Εάν έχετε αποσυναρμολογήσει ποτέ έναν σκληρό δίσκο, πιθανότατα έχετε παρατηρήσει πώς μοιάζουν λίγο με CD. Είναι κυκλικοί και ασημί σε χρώμα.
Όταν αυτοί οι δίσκου χρησιμοποιούνται περιστρέφονται με απίστευτες ταχύτητες, συνήθως είτε 5.400 είτε 7.200 σ.α.λ., και σε ορισμένες περιπτώσεις, φτάνουν τις 15.000 σ.α.λ. Σε αυτούς του ομόκεντρους δίσκους ακουμπάνε ειδικές «κεφαλές» που εκτελούν εργασίες ανάγνωσης και εγγραφής. Όταν αποθηκεύετε ένα αρχείο στη μονάδα δίσκου, αυτή η “κεφαλή” μετακινείται σε ένα συγκεκριμένο μέρος του δίσκου και μετατρέπει ένα ηλεκτρικό ρεύμα σε μαγνητικό πεδίο, αλλάζοντας έτσι τις ιδιότητες του δίσκου.
Αλλά πώς ξέρει πού να πάει; Λοιπόν, εξετάζει κάτι που ονομάζεται πίνακας κατανομής (allocation table), ο οποίος περιέχει μια εγγραφή για κάθε αρχείο που είναι αποθηκευμένο σε ένα δίσκο. Τι συμβαίνει όμως όταν διαγράφεται ένα αρχείο;
Όχι και πολλά πράγματα.
Εδώ είναι η σωστή απάντηση: Η εγγραφή για αυτό το συγκεκριμένο αρχείο διαγράφεται, επιτρέποντας την αντικατάσταση του χώρου που καταλαμβάνει το αρχείο στον σκληρό δίσκο, για κάτι άλλο αργότερα. Ωστόσο, τα δεδομένα παραμένουν φυσικά παρόντα στους μαγνητικούς δίσκους και διαγράφονται πραγματικά μόνο όταν προστίθενται νέα δεδομένα στη συγκεκριμένη θέση στον δίσκο.
Σε τελική ανάλυση, η πλήρης διαγραφή τους θα απαιτούσε από τη μαγνητική κεφαλή να μετακινηθεί στην φυσική τη θέση του αρχείου στον δίσκο και να το αντικαταστούσε. Αυτό θα μπορούσε να επιβραδύνει την απόδοση του υπολογιστή. Έτσι όσον αφορά τους σκληρούς δίσκους, είναι απλούστερο να προσποιούνται ότι τα διαγραμμένα αρχεία απλά δεν υπάρχουν !.
Αυτό καθιστά την ανάκτηση διαγραμμένων αρχείων πολύ πιο εύκολη για την αστυνομική αρχή. Απλώς πρέπει να ξαναδημιουργήσουν τα κομμάτια που λείπουν στον πίνακα κατανομής, κάτι που μπορεί να γίνει ακόμα και με δωρεάν εργαλεία.
SSD
Φυσικά, οι SSD είναι διαφορετικοί. Δεν περιέχουν κινούμενα μέρη. Αντ ‘αυτού, τα αρχεία απεικονίζονται ως ηλεκτρόνια που συγκρατούνται από τρισεκατομμύρια μικροσκοπικά τρανζίστορ. Συλλογικά, συνδυάζονται για να σχηματίσουν NAND flash chips.
Οι SSD φέρουν κάποιες ομοιότητες με τους σκληρούς δίσκους, όπως ότι τα αρχεία διαγράφονται μόνο όταν αντικαθίστανται. Ωστόσο, ορισμένες βασικές διαφορές περιπλέκουν αναπόφευκτα το έργο των αστυνομικών λειτουργών. Και όπως οι σκληροί δίσκοι, οι SSD οργανώνουν δεδομένα σε μπλοκ, με το μέγεθος να διαφέρει πολύ μεταξύ των κατασκευαστών.
Η βασική διαφορά εδώ είναι ότι για ένα SSD για την εγγραφή δεδομένων, το μπλοκ πρέπει να είναι εντελώς κενό από περιεχόμενο. Για να διασφαλιστεί ότι το SSD έχει μια συνεχή ροή διαθέσιμων μπλοκ, ο υπολογιστής εκδίδει κάτι που ονομάζεται “TRIM Command“, το οποίο ενημερώνει το SSD ποια μπλοκ δεν απαιτούνται πλέον.
Για τους ερευνητές, αυτό σημαίνει ότι όταν προσπαθούν να βρουν διαγραμμένα αρχεία σε ένα SSD, μπορεί να διαπιστώσουν ότι η μονάδα δίσκου τα έβαλε πολύ πιο μακριά από εκεί που ήταν.
Τα SSD μπορούν επίσης να διασκορπίσουν αρχεία σε πολλά μπλοκ στη μονάδα δίσκου για να μειώσουν την ποσότητα φθοράς που προκαλείται από την καθημερινή χρήση. Επειδή τα SSD μπορούν να αντέξουν μόνο έναν πεπερασμένο αριθμό εγγραφών , είναι σημαντικό να διανέμονται σε ολόκληρη τη μονάδα δίσκου και όχι σε μια μικρή τοποθεσία. Αυτή η τεχνολογία ονομάζεται wear leveling (ισοκατανομή φθοράς) και είναι γνωστό ότι δυσκολεύει τη ζωή των επαγγελματιών της ψηφιακής εγκληματολογίας.
Στη συνέχεια, υπάρχει το γεγονός ότι τα SSD είναι πιο δύσκολοι στο να πάρετε μία εικόνα (image), επειδή σε ορισμένες συσκευές δεν μπορείτε να τους αφαιρέσετε. Ενώ οι σκληροί δίσκοι είναι σχεδόν πάντα αντικαταστάσιμοι και συνδέονται μέσω τυπικών διασυνδέσεων, όπως IDE ή SATA , ορισμένοι κατασκευαστές φορητών υπολογιστών επιλέγουν να ενσωματώσουν την αποθήκευση επάνω στη μητρική πλακέτα του μηχανήματος. Αυτό κάνει δύσκολη την εξαγωγή του περιεχομένου για τους αστυνομικούς.
Οι πραγματικές επιπλοκές
Συμπερασματικά: Ναι, η αστυνομία αν επιθυμεί διακαώς, μπορεί να ανακτήσει αρχεία που έχετε διαγράψει. Ωστόσο, οι εξελίξεις στην τεχνολογία αποθήκευσης και η εκτεταμένη κρυπτογράφηση περιπλέκουν κάπως τα πράγματα. Ειδικότερα αν έχετε κάνει μία εκτεταμένη κρυπτογράφηση και με πολύ μεγάλο κωδικό, πολύ δύσκολα θα μπορέσει να αποκρυπτογραφήσει τα δεδομένα σας. Θυμάστε το παράδειγμα μίας χήρας που δεν μπορούσε να πάρει τα Bitcoin του άντρα της επειδή το laptop είχε μία δυνατή κρυπτογράφηση.
Πάντως όποια και να είναι τα τεχνικά προβλήματα, μπορούν συχνά να ξεπεραστούν. Όσον αφορά τις ψηφιακές έρευνες, η μεγαλύτερη πρόκληση που αντιμετωπίζει η αστυνομική αρχή δεν είναι οι μηχανισμοί και η κρυπτογράφηση, αλλά μάλλον η έλλειψη πόρων.
Δεν υπάρχουν αρκετοί εκπαιδευμένοι επαγγελματίες για να κάνουν τη δουλειά. Και συνήθως οι αστυνομικές δυνάμεις σε όλο τον κόσμο αντιμετωπίζουν ένα μεγάλο πλήθος από μη επεξεργασμένων τηλεφώνων, φορητών υπολογιστών και διακομιστών.
Ένα άρθρο από τη βρετανική εφημερίδα The Times ανέφερε ότι οι 32 αστυνομικές δυνάμεις σε όλη την Αγγλία και την Ουαλία έχουν πάνω από 12.000 συσκευές εν αναμονή για εξέταση. Ο χρόνος για την επεξεργασία μιας συσκευής ποικίλλει, από έναν μήνα έως πάνω από ένα χρόνο.
Και αυτό έχει συνέπειες. Το θεμέλιο οποιουδήποτε συστήματος για μία σωστή δικαιοσύνη είναι ότι οι δικές θα πρέπει να είναι άμεσες. Όταν η δικαιοσύνη καθυστερεί, τότε δεν υπάρχει πραγματική δικαιοσύνη.
O Δημήτρης μισεί τις Δευτέρες…..
Κακή μετάφραση που βγάζει μάτι. Έλεος, τουλάχιστον διαβάστε τα πριν τα αναρτήσετε.
Ποιος σε γαμαει και σένα..