Чи є копія електронного доказу — електронним доказом?

Сам по собі факт копіювання з певним розбігом у часі, скоріш за все, суд не братиме до уваги, особливо якщо буде збігатися об’єм інформації. Питання щодо того, яким чином корелюється положення про те, що копія електронного доказу може визнаватися електронним доказом, є дійсно ключовим для правильної оцінки цифрових матеріалів судом.

Читайте також: Паперова копія електронного документа не може бути належним доказом недійсності іншого документа з такими самими реквізитами

1. У цифровій криміналістиці сама по собі дія копіювання не є нейтральною процедурою, як це традиційно сприймається щодо паперових документів. На відміну від матеріального об’єкта, цифрові дані існують у вигляді сукупності технічних властивостей, до яких належать:

• структура файлу;
• службові атрибути файлової системи;
• часові мітки (timestamps);
• метадані;
• внутрішні ідентифікатори;
• залежності від інформаційного середовища носія.

Саме тому у міжнародних стандартах цифрової криміналістики (ДСТУ ISO/IEC 27037, 27041, 27042) визначено: копія цифрового артефакту може розглядатися як доказ лише за умови доведеної й документально підтвердженої ідентичності з першоджерелом.

Що означає «копія електронного доказу» з криміналістичної точки зору?У цифровій криміналістиці доказом фактично є не «файл як текст чи зображення», а цифровий артефакт у його технічній цілісності. Тому коректною визнається лише така копія, яка:

• отримана із застосуванням цифрових криміналістичних процедур;
• створена без доступу операційної системи до запису на носій (write-block);
• супроводжується фіксацією процесу вилучення;
• підтверджена контрольними хеш-значеннями (SHA-256, MD5 тощо);
• має безперервний ланцюг збереження (Chain of Custody).

У такому випадку копія є біт-у-біт (bitstream image) відтворенням першоджерела, а не звичайним копіюванням файлу засобами операційної системи. Саме тоді копія криміналістично тотожна оригіналу.

2. Чому збіг об’єму інформації не доводить тотожність. Аргумент про те, що суд може не врахувати розбіжність у часі копіювання за умови збігу обсягу інформації, є технічно помилковим. Однаковий розмір файлу не підтверджує:

• незмінність метаданих;
• відсутність повторного збереження;
• незмінність структури контейнера;
• відсутність відкриття або індексації системою;
• незмінність файлових часових міток (timestamp’ів).

Будь-яке стандартне копіювання через:

• файловий менеджер,
• USB-підключення,
• відкриття каталогу,
• автоматичне сканування ОС, вже змінює службові атрибути носія або файлу.

З позиції цифрової криміналістики це означає втрату стану першоджерела.

Читайте також: Протоколи оглядів інтернет-сторінок і телеграм-каналів та додатки до протоколів, у яких зафіксовано зміст відображеної на них інформації, є допустимими доказами

3. Принцип першоджерельності цифрового доказу.Вимога процесуального законодавства щодо подання першоджерельного доказу у цифровому середовищі реалізується не шляхом фізичного подання саме носія, а шляхом:

• збереження його початкового стану;
• створення криміналістичного образу;
• доведення незмінності між джерелом та копією.

Тобто доказовим є не факт існування файлу, а доведений причинно-наслідковий зв’язок між: Носієм → процедурою вилучення → копією → дослідженням → представленням у суді. Без цього зв’язку копія є лише інформаційним відображенням, але не доказом у криміналістичному розумінні.

4. Практична проблема судової практики.

На практиці досить часто цифрові матеріали демонструються шляхом:

• підключення накопичувача до звичайного комп’ютера;
• відкриття файлів у провіднику ОС;
• безконтрольного перегляду змісту.

Такі дії автоматично призводять до зміни цифрового середовища носія, що суперечить базовому принципу цифрового криміналістичного аналізу — не змінювати об’єкт дослідження. У цьому випадку суд фактично досліджує вже модифікований цифровий об’єкт.

5. Висновок щодо поставленого питання. Отже, положення про те, що копія електронного доказу може бути електронним доказом, може корелюватися з вимогами доказовості лише за однієї умови: копія повинна бути створена криміналістично коректним способом із доведеною бітовою тотожністю першоджерелу. Сам факт копіювання, навіть за мінімального розбігу у часі або при збігу обсягу даних, сам по собі не підтверджує автентичність, якщо відсутні:

• хеш-контроль,
• опис процедури вилучення,
• фіксація середовища,
• ланцюг збереження доказу.

Відповідно, для сторони захисту встановлення факту звичайного («побутового») копіювання або перегляду цифрових даних без застосування стандартів цифрової криміналістики є обґрунтованою підставою ставити під сумнів доказовий статус такого цифрового артефакту.

Джерело: Юридичний вісник України

Поділитися

Твітнути