Informatyka śledcza języczkiem u wagi Temidy

Marek Liszkiewicz

Laboratorium Kryminalistyczne

Komendy Wojewódzkiej Policji w Krakowie

Informatyka śledczajęzyczkiem u wagi Temidy

Klasyfikacja przestępstw komputerowych

Przestępstwa komputerowe przeciwko ochronie informacji

– Hacking komputerowy,

– Podsłuch komputerowy,

– Bezprawne niszczenie informacji,

– Sabotaż komputerowy.

Przestępstwa komputerowe przeciwko mieniu

–Nielegalne uzyskanie programu komputerowego,

–Paserstwo programu komputerowego,

–Oszustwo komputerowe,

–Oszustwo telekomunikacyjne,

–Kradzież karty uprawniającej do podjęcia pieniędzy z automatu bankowego.

Przestępstwa komputerowe przeciwko bezpieczeństwu powszechnemu

– Sprowadzenie niebezpieczeństwa dla życia lub zdrowia wielu osób albo mienia w

znacznych rozmiarach,

– Nieumyślne zakłócenie automatycznego przetwarzania informacji związane za

publikowanie chronionego prawnie programu komputerowego itp.,

– Zamach terrorystyczny na statek morski lub powietrzny.

Przestępstwa komputerowe przeciwko wiarygodności dokumentów

– Fałszerstwo komputerowe

Inne

– Inne rodzaje przestępstw takie jak np. nielegalne kopiowanie, rozpowszechnianie lub

publikowanie prawnie chronionego programu komputerowego itp.

WYBRANE PRZESTĘPSTWA PRZECIWKO OCHRONIE INFORMACJI (Kodeks Karny)

-Hacking:

Art. 267. § 1. Kto bez uprawnienia uzyskuje informację dla niego nie przeznaczoną, otwierając zamknięte pismo, podłączając się

do przewodu służącego do przekazywania informacji lub przełamując elektroniczne, magnetyczne albo inne szczególne jej

zabezpieczenie,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

-Nielegalny podsłuch i inwigilacja:

Art. 267. § 2. Tej samej karze podlega, kto w celu uzyskania informacji, do której nie jest uprawniony, zakłada lub posługuje się

urządzeniem podsłuchowym, wizualnym albo innym urządzeniem specjalnym.

Art. 267. § 4. Ściganie przestępstwa określonego w § 1-3 następuje na wniosek pokrzywdzonego.

-Naruszenie integralności komputerowego zapisu informacji:

Art. 268. § 1. Kto, nie będąc do tego uprawnionym, niszczy, uszkadza, usuwa lub zmienia zapis istotnej informacji albo w inny

sposób udaremnia lub znacznie utrudnia osobie uprawnionej zapoznanie się z nią,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

§ 2. Jeżeli czyn określony w § 1 dotyczy zapisu na komputerowym nośniku informacji, sprawca podlega karze pozbawienia wolności do

lat 3.

Art. 268. § 4. Ściganie przestępstwa określonego w § 1-3 następuje na wniosek pokrzywdzonego.

-Fałszerstwo komputerowego zapisu informacji stanowiącego dokument:

Art. 270. § 1. Kto, w celu użycia za autentyczny, podrabia lub przerabia dokument lub takiego dokumentu jako autentycznego

używa,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności od 3 miesięcy do lat 5.

-Fałszerstwo kart płatniczych:

Art. 310. § 1. Kto podrabia albo przerabia polski albo obcy pieniądz, inny środek płatniczy albo dokument uprawniający

do otrzymania sumy pieniężnej albo zawierający obowiązek wypłaty kapitału, odsetek, udziału w zyskach albo stwierdzenie

uczestnictwa w spółce lub z pieniędzy, innego środka płatniczego albo z takiego dokumentu usuwa oznakę umorzenia,

podlega karze pozbawienia wolności na czas nie krótszy od lat 5 albo karze 25 lat pozbawienia wolności.

§ 4. Kto czyni przygotowania do popełnienia przestępstwa określonego w § 1 lub 2,

podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

-Oszustwo komputerowe:

Art. 287. § 1. Kto, w celu osiągnięcia korzyści majątkowej lub wyrządzenia innej osobie szkody, bez upoważnienia, wpływa na

automatyczne przetwarzanie, gromadzenie lub przesyłanie informacji lub zmienia, usuwa albo wprowadza nowy zapis

na komputerowym nośniku informacji,

podlega karze pozbawienia wolności od 3 miesięcy do lat 5.

Laboratorium Kryminalistyczne – rodzaje badań i śladów:

– daktyloskopijne (m.in. odbitki linii papilarnych),

– traseologiczne (ślady butów, opon),

– mechanoskopijne (ślady narzędzi, zamki, numery identyfikacyjne pojazdów),

– badania dokumentów (rękopisy, podpisy, urządzenia drukujące),

– badania broni i balistyki,

– chemiczne (środki odurzające, zawartość alkoholu we krwi, materiały wybuchowe),

– biologiczne (badania DNA),

– osmologiczne (badania śladów zapachowych),

– badania zapisów wizyjnych i fotografia,

– badania mikrośladów,

– fonoskopijne (zapisy dźwiękowe),

– rysownicy („portret pamięciowy”, progresja wiekowa),

– badania sprzętu komputerowego i cyfrowych nośników informacji.

Rodzaje cyfrowych nośników informacji.






Pojemność 1.44Mb

Co stanowi:

Zawiera 1,500,000 znaków

0,6 m

Based on a normal 12 font word document printed single-sided


64 MB może zawierać 67,000,000 znaków

Co stanowi:

2,25 m

Sony Memory Sticks


Pojemność 650Mb lub 700 Mb

Zawiera 682,000,000 lub 734,000,000 znaków

24,5 m

Co stanowi:

Płyty Compact Discs


Dla przykładu 1GB

Zawiera około 1,074,000,000 znaków

Co stanowi:

35,7 m

Pendrive


Dysk 80GB

Do 86,000,000,000 znaków

Co stanowi:

2 km 866 m

Hard drivesHard drives

Zabezpieczanie nośników informatycznych:

1. Procesowe:–opis nośnika w dokumentach procesowych: protokołach, notatkachoraz dokumentacja fotograficzna.

2. Techniczne:–wykonanie kopii binarnej całego obszaru danych nośnika,–selektywne zabezpieczenie danych,–zabezpieczenie nośnika w taki sposób, który zapewni jego ochronę przed uszkodzeniem fizycznym oraz uniemożliwi zmianę jego zawartości poprzez działanie celowe lub przypadek.

Zabezpieczanie „klasycznych” komputerów stacjonarnych lub przenośnych c.d.

Bądź przygotowany na najgorsze






Ludzka kreatywność nie zna granic


- Zabezpieczenie zawartości pamięci ulotnej RAM.

Zawartość takiej pamięci ulega zanikowi po odcięciu zasilania.


Wartość dowodową ma zazwyczaj informacja zapisana na nośniku (a nie sam nośnik jako urządzenie). Z uwagi na specyfikę informacji w postaci cyfrowej, możliwe jest jej bezstratne powielanie, kopiowanie na inne nośniki.

Kopia binarna.

Kopia binarna – przykładowy raport

Evidence Number “flop001” Alias “flop001” File "C:\data\Gas\flopp001.E01" was acquired by pjr at 28/10/01 18:46:19. The computer system clock read: 28/10/01 18:46:58. Evidence acquired under Windows 98 using version 3.11. Acquisition Notes: disk from drawer in Stotts desk. File Integrity: Completely Verified, 0 Errors. Acquisition Hash: E62F78CD12DCDAA9E7C21CD781387671 Verification Hash: E62F78CD12DCDAA9E7C21CD781387671 Drive Geometry: Total Size 1.4MB (2,880 sectors) Volume “flop001” Parameters File System: FAT12 Drive Type: Removable Sectors Per Cluster: 1 Bytes Per Sector: 512 Total Sectors: 2,880 Total Capacity: 1,457,664 bytes (1.4MB) Total Clusters: 2,847 Unallocated: 612,352 bytes (598.0KB) Free Clusters: 1,196 Allocated: 845,312 bytes (825.5KB) Volume Name: Volume Offset: 0 OEM Version: **nrIIHC Volume Serial #: 0000-0000 Heads: 2 Sectors Per Track: 18 Unused Sectors: 0 Number of FATs: 2 Sectors Per FAT: 9 Boot Sectors: 1

Sprzętowe „blokery” zapisu (write-blockers)

Analiza obszaru danych dysku twardego:

−Pliki jawne, ukryte, systemowe: odczyt zawartości jawnej,

atrybuty, rozkład entropii (dane zaszyfrowane),−Pliki usunięte: odzyskiwanie zapisów na podstawie analizy „tablic

alokacji” oraz „sygnatur” plików,−Obszary „slack space”, „volume slack”, „interpartition space”,−Weryfikacja sygnatur plików,−Wyszukiwanie plików „zagnieżdżonych”,−Analiza rejestru systemowego,−Obliczanie wartości funkcji skrótu (hash) i porównywanie z

dowolną bazą hash’y,−Analiza obrazów np. „skin detection”, ekstrakcja obrazów z

plików wideo,−Analiza aplikacji komunikatorów, klientów pocztowych,

przeglądarek stron WWW, programów p2p, aplikacji księgowych,

itp.−Wyszukiwanie słów kluczowych (logiczne i fizyczne), tworzenie

indeksu,−…… wiele innych aspektów w zależności od charakteru

postępowania.

Narzędzia programowe:

1.„komercyjne”:−„EnCase Forensic” firmy „Guidance Software”,−„X-Ways Forensics” firmy „X-Ways Software Technology AG”,−„FTK – Forensic Toolkit” firmy „AccessData”.

2.oparte na „wolnej” licencji:−„The Sleuth Kit”,−„Helix”,−„DFF - Digital Forensics Framework”,−„SANS Investigative Forensics Toolkit - SIFT”,−„The Coroner's Toolkit”,−„CAINE”.

Oprogramowanie „X-Ways Forensics/WinHex”:

Wybrane funkcjonalności oprogramowania „X-Ways Forensics”:

–domyślny tryb pracy w trybie „read-only”, celem dodatkowego (oprócz np. blokera sprzętowego) zapewnienia integralności danych,–powielanie (klonowanie) i obrazowanie nośników danych, również w systemie DOS (za pomocą „X-Ways Replica”), z uwzględnieniem obszaru HPA,–wewnętrzne procedury obsługi systemów plików FAT, NTFS, Ext2/3, CDFS, UDF, HFS+ (Apple), ReiserFSoraz Reiser4 (Linux),–wbudowane mechanizmy interpretacji systemów RAID (RAID 0 i RAID 5) oraz dysków dynamicznycho rozmiarach większych od 2 TB,–podgląd oraz „zrzucanie” zawartości fizycznej pamięci RAM oraz wirtualnej pamięci uruchomionych procesów,–zróżnicowane techniki odzyskiwania danych, możliwość definiowania nowych oraz edycji sygnatur plików,–gromadzenie (jako jednego obiektu) z badanych nośników i obrazów tzw. „slack space”, „free space”

oraz przestrzeni między partycjami,–wykrywanie i dostęp do alternatywnych strumieni danych NTFS (ADS), –wbudowany przeglądarka plików graficznych (obsługuje formaty: JPEG, JPEG 2000, GIF, TIFF, Bitmap, PNG, TGA, PCX, WMF, EMF, MNG, oraz JBG),–zaawansowane mechanizmy wyszukiwania ciągów znakowych oraz indeksowania ich, możliwość stosowania wyrażeń regularnych,–weryfikacja sygnatur plików,–możliwość logowania wykonywanych czynności badawczych,–tworzenie raportów w formacie HTML,–przeglądarka rejestru systemów Windows,–automatyczna dekompresja skompresowanych plików systemu NTFS, archiwów ZIP, RAR, itd.,–obliczanie sum kontrolnych oraz zintegrowana baza porównywania „hash’y”.

Przykład (analiza entropii plików):

Przykład (analiza entropii plików):

obraz JPG

kontener TC

Telefony komórkowe

Nośniki informacji w telefonów komórkowych:

-Karta/karty SIM,-Karta pamięci,-Pamięć wewnętrzna telefonu.

Karta SIM identyfikowana jest poprzez numery:

-ICCID wydrukowany na powierzchni karty oraz zapisany w jej pamięci; 19 cyfrowy numer zawierający informację o kraju i operatorze sieci,

-IMSI zapisany w pamięci karty; 16 cyfrowy numer zawierający informację o kraju, sieci oraz abonencie.

Zabezpieczenia karty SIM:

-Kod PIN (zmienny),

-Kod PUK (stały).

Zapisy pamięci karty SIM:

- lista kontaktów- lista ostatnio wybieranych numerów telefonów,- wiadomości tekstowe SMS,- numer własny abonenta (może być dowolnie edytowany),- niekiedy informacja o ostatniej lokalizacji w sieci GSM,- parametry techniczne.

W obszarze danych kart pamięci mogą być zapisane:

- pliki multimedialne (zdjęcia, wideo, dźwięk),- pliki aplikacji systemu operacyjnego telefonu (np. nawigacji),- kopie danych z pamięci wewnętrznej telefonu (np. lista kontaktów).

W obszarze pamięci wewnętrznej telefonu mogą być zapisane:

- lista kontaktów,- rejestry połączeń (połączenia nieodebrane/odebrane/wychodzące/adresaci i nadawcy wiadomości SMS i MMS/połączenia pakietowe),- wiadomości tekstowe SMS, multimedialne MMS, raporty doręczeń,- zapisy kalendarza, organizera, listy spraw,- aplikacje systemu operacyjnego telefonu… nieograniczone możliwości, łącznie ze złośliwym oprogramowaniem (wirusami)

Urządzenia do pozyskiwania sygnału telewizyjnegoz pominięciem systemów dostępu warunkowego (sharing)

Zabezpieczanie urządzeń do pozyskiwania sygnału telewizyjnego

Ustawa z dn. 5.07.2002 r. o ochronie niektórych usług świadczonych drogą elektroniczną opartych lub polegających na dostępie warunkowym

Art. 6: „1. Kto w celu użycia w obrocie, wytwarza urządzenia niedozwolone lub wprowadza je do obrotu, podlega karze pozbawienie wolności do lat 3. 2. Tej samej karze podlega , kto świadczy usługi niedozwolone.”

Art. 7:„1. Kto w celu osiągnięcia korzyści majątkowej, posiada lub używa urządzenia niedozwolone, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.2. Jeżeli sprawca używa urządzenia niedozwolonego wyłącznie na własne potrzeby, podlega grzywnie.”

Pozyskiwanie sygnału telewizyjnego

Sharing - technologia umożliwiająca zdalne udostępnianie karty

abonenckiej (przeważnie płatnych platform cyfrowych) przy użyciu sieci

lokalnej lub Internetu. W Polsce udostępnianie karty osobom

nieopłacającym abonamentu jest nielegalne, jednakże należy zauważyć,

że technologia ta może być wykorzystana również legalnie do

przekazywania uprawnień do odbioru programów telewizji satelitarnej w

obrębie jednego gospodarstwa domowego. Dostęp taki może być

realizowany poprzez dedykowany serwer lub przy użyciu tunerów

opartych o linuksowy system operacyjny.

Źródło: Wikipedia


Odbiór legalny

Legalny odbiór telewizji kodowanej

Sygnał telewizyjnySłowo

kontrolne odkodowane

Słowo kontrolne

zakodowane

Sygnał kodowany


Urządzenia niedozwolone - sprzęt zaprojektowany

• SPLITTER – zasada działania

SPLITTER


• SHARING = splitter internetowy

SERWER

SHARINGUINTERNE

T


Urządzenia dostępu warunkowego dotyczącePlatform Cyfrowych - przykłady

• DEKODERY WYNAJMOWANE LUB SPRZEDAWANE

• KARTYZAWSZE WYNAJMOWANE

Nietypowe nośniki informacji – podsłuch GSM

Nietypowe nośniki informacji – skimmery

Nietypowe nośniki informacji – skimmery

Cyfrowe rejestratory wideo DVR

Dziękuję za wytrwanie do końca prezentacji

Pytania ?

Documents

Informatyka śledcza języczkiem u wagi Temidy