AMA - informatyk śledczy

Jestem biegłym sądowym z zakresu informatyki oraz technik telekomunikacyjnych jednocześnie kierownikiem departamentu informatyki śledczej. Jeśli kogoś interesują tego typu zagadnienia, zapraszam do zadawania pytań.

AMA – informatyk śledczy

Jestem biegłym sądowym z zakresu informatyki oraz technik telekomunikacyjnych jednocześnie kierownikiem departamentu informatyki śledczej w Biurze Ekspertyz Sądowych w Lublinie. Wykonuję (a właściwie wykonujemy) ekspertyzy dla organów ścigania oraz osób prywatnych m.in. z zakresu szeroko pojętej informatyki śledczej, technik telekomunikacyjnych, technik audiowizualnych, fonoskopii, praw autorskich, treści pornograficznych itp.

Jeśli kogoś interesują tego typu zagadnienia, zapraszam do zadawania pytań.

[i.....k]

@biuroekspertyzsadowych:

Pojawiły się kontrowersje w sprawie TORa i metod jego "szpiegowania" (???).

Rozumiem że tymi metodami oprócz próby uruchomienia skryptu po stronie klienta, bądź analizy danych na temat narzędzia (np. przeglądarki), jest przykładowo podstawienie dwóch serwerów i podłączenie ich do sieci tor -> pod tym względem aby oba były graniczne. I analiza polega na sprawdzeniu przechodzących przez nie pakietów (i z pewnym prawdopodobieństwem można przyłapać użytkownika sieci tor jeżeli jego adres wejściowy i wyjściowy prowadził przez podstawione

[b.....h]

@inqwertyk: Ad1. Przeważnie, nie udowadniamy, że "to ten użytkownik". My badamy, czy nośniki "tego użytkownika" zawierają dane wymienione w postanowieniu. Ew. czy np. łączył się z TOR-em, czy IP należy do tego komputera albo czy coś udostępniał.

Ad2. Jest wiele czynników, łatwo to sobie wyobrazić jeśli się wie jak działa TOR. Dlaczego konkretnie tyle, to trzeba by już pytać konkretnie osoby która wystawia fakturę za tego typu analizę.

Ad3. Trudno

[simperium]

Pytania praktyczne :)

1. czy samo posiadanie cracka jest nielegalne, czy dopiero, gdy crack ingeruje w oryginalny soft?

I dalej: są różne rodzaje internautów, ale jest taki, który ściąga wszystko, choć nie instaluje. Czyli jeśli mamy osobę, która ma na dysku instalki co przeróżnych aplikacji + cracki, seriale itd. (ale nie jest nic zainstalowane), to jest to traktowane w kategorii oprogramowania nielegalnego?

2.

[b.....h]

@simperium: Ad1: Crack bez oprogramowania którego zabezpieczenia chcesz z nim złamać - nie jest nielegalny. Crack z takim oprogramowaniem - jest nielegalny.

Ad2. Kontrola oprogramowania jest zależna od ilości softu na danym dysku x ilość komputerów. Kontrole przez policję, przeprowadzane są jedynie "na wskazanie" (wtedy wiadomo, że jest nielegalne oprogramowanie).

Ad3. Nie.

[k.....k]

nie jest to zapewne pytanie dokladnie do Ciebie, ale podejrzewam, ze mozesz cos wiedziec o tym.

istnieje taka plotka, ze jesli pojde zglosic na policji przestepstwo polegajace np na wlamaniu na moj komputer, to moj komputer tez zostanie zabrany do ekspertyzy i musze sobie jakos bez niego radzic.

czy to prawda?

[b.....h]

@konradk: Może zajść taka konieczność. Np. jeśli trzeba będzie zbadać ślady po włamaniu na Twoim komputerze.

[Singularity00]

mnie zastanawia czemu nie robią na miejscu obrazu dysku twardego tylko zabierają całe komputery?

[b.....h]

@Singularity00: A wiesz ile zajmuje wykonanie kopii binarnej? Pomnóż to razy ilość dysków i nośników znalezionych na miejscu. Zresztą policja nie ma takich możliwości. Nas ogranicza czas, dlatego na miejscu wykonujemy głównie kopie binarne dysków serwerowych (chodzi o to, żeby nie blokować legalnej działalności podejrzanego lub działalności osób postronnych) .

[wyszczekany_pingwin]

Jakie trzeba mieć kwalifikacje, żeby móc się przyjąć do pracy w twoim zespole lub ogólnie tej specjalizacji?

[b.....h]

@wyszczekany_pingwin: O specjalizacji jako takiej nie będę się wypowiadał, bo rożnie to bywa. Aby pracować u nas generalnie musisz mieć wiedzę i umiejętności. Wykształcenie - jest atutem, ale tak naprawdę możesz mieć średnie, jeśli jesteś dobry, w niczym nam to nie przeszkadza. Do tego konieczne są odpowiednie cechy charakteru. Rekrutacja jest kilkuetapowa i tam staramy się dowiedzieć o kandydacie jak najwięcej.

[R.....d]

Wczoraj rozmowy na Wykopie o sensie TORa, pryvartnych VPNach - dziś AMA faceta z biura ekspertyz, który twierdzi, że nawet TrueCrypta łamią - może mam paranoję, ale jak dla mnie to zbyt naciagane AMA, majace na na celu nastraszyć publikę.

Po za tym nie widzę weryfikacji AMA i za bardzo przypomina mi pewnego snajpera....

[b.....h]

@rothen: Skoro czekasz:

1. W pierwszym komentarzu podważającym naszą autentyczność dałem zdjęcia pracowni fonoskopii z AMA na monitorze i komentarzem.

2. Jeden z was telefonował do nas, rozmawiał ze mną. Nie jestem w stanie przewertować wszystkich komentarzy, ale być może potwierdził.

[m.....1]

Często do złamania hasła używacie klasyków czyli 1234 , qwerty, haslo?

[b.....h]

@maciejbo1: Dość często. Czasem z pozoru dobrze zabezpieczone dane padają, bo blokujące do nich dostępu hasło, to jakiś banał (ew. znajduje się w pliku tekstowym "hasła.txt" w "Moje dokumenty").

[RR_Woda]

Dziękuje autorowi ze zdecydował się na odpowiedzi na pytania.

Mam prośbę do innych kolegów o nieatakowania autora, dobrowolnie odpowiada on na nasze pytania i pisze tyle ile może żeby nie zrobić sobie krzywdy i ataki typu "czy nie masz wyrzutów sumienia" są nie na miejscu i nie zachęcają autora do odpowiedzi na kolejne pytania.

Przygotowałem kilka pytań.

Jeśli

[b.....h]

@RR_Woda: Ad 1. Przeważnie dotyczy to softu desktopowego. Backdoory umieszcza producent. Są to odpowiednio zaprojektowane mechanizmy mające dostarczać np. informacji serwisowych. Tego typu informacje rzadko podaje producent. Wiedza wynika z lektury analiz dokonanych przez innych śledczych lub przez nas samych (dużo tego typu informacji jest na zagranicznych forach frensicowych, do których dostęp jest zasadniczo utrudniony). I dajmy już spokój tym backdoorami, bo za chwile ktoś będzie chciał więcej informacji a niektórych udzielać nie powinienem ;)

Ad2. Istnieją. Nie będę reklamował, ale najbardziej znane to np. instytucja która obecnie wykonuje analizę fonoskopijną zapisu rozmów z czarnych skrzynek rządowego Tupolewa.

Ad3. Firma jest prywatna. To spółka z o.o. Podlegamy takim samym kontrolom jak inne tego typu

[sma11]

Nie doczytałem się czy padła taka hipotetyczna sytuacja:

Na dysku leżą instalki oprogramowania. Wersji zainstalowanych powiedzmy, że aktualnie nie ma na dysku.

PYTANIE:

Czy

[b.....h]

@sma11:

Czy takie sytuacje rozpatrywane są jako naruszenie prawa własności?

Zgłaszamy obecność czegoś takiego. Co się dalej z tym dzieje, to już zależy od

[Iudex]

1. Czy zdarzyło się Wam, że nie wywiązaliście się ze zlecenia i nie byliście w stanie nic ustalić, zwłaszcza z uwagi na zabezpieczenia? Innymi słowy, czy ktoś Was przechytrzył?

2. Jakie zlecenia sprawiają Wam najwięcej trudności i zajmują najwięcej czasu (nie ze względów proceduralnych, tylko wykonawczych)? Jest jakiś rodzaj zadań o których wiecie, że są piekielnie trudne i reagujecie na nie w stylu "ale będzie roboty, ciekawe czy się uda"?

[b.....h]

@Iudex: Ad1. Czasem zdarza się, że materiały nie są wystarczające. Jeśli zleceniodawca nie jest w stanie ich uzupełnić, wykonanie rzetelnej ekspertyzy staje się niemożliwe. Czasem też ktoś zna się na rzeczy, dobrze zaszyfruje, ma dobrego adwokata i wtedy przynajmniej częściowo nie jesteśmy w stanie się wywiązać.

Ad2. Te duże objętościowo. Wykonanie 5 godzinnego transkryptu, analiza danych na 1 TB dysku, czy przejrzenie wszystkich plików multimedialnych na dysku podejrzanego o pedofilię,