Методы и способы получения доказательственной информации с электронных носителей (стр. 2 )

6. Коммерческая тайна - научно-техническая, технологическая, производственная, финансово-экономическая или иная информация (в том числе составляющая секреты производства (ноу-хау), которая имеет действительную или потенциальную коммерческую ценность в силу неизвестности ее третьим лицам, к которой нет свободного доступа на законном основании и в отношении которой обладателем такой информации введен режим коммерческой тайны (ст. 183 УК РФ), при этом передача и предоставление такой информации - это ее передача в зафиксированном на материальном носителе виде; разглашение такой информации - действие или бездействие, в результате которых информация, составляющая коммерческую тайну, в любой возможной форме (устной, письменной, иной форме, в том числе с использованием технических средств) становится известной третьим лицам без согласия обладателя такой информации либо вопреки трудовому или гражданско-правовому договору.

7. Служебная тайна - несекретная информация, касающаяся деятельности организаций, ограничения на распространение которой диктуются служебной необходимостью (ст. 183 УК РФ). Информация составляет служебную тайну в случае, когда она имеет действительную или потенциальную ценность в силу неизвестности ее третьим лицам, к ней нет свободного доступа на законном основании, и обладатель информации принимает меры к охране ее конфиденциальности. Лица, незаконно получившие информацию, которая составляет служебную тайну, обязаны возместить причиненные убытки. Такая же обязанность возлагается на работников, разгласивших служебную тайну вопреки трудовому договору, и на контрагентов, сделавших это вопреки гражданско-правовому договору (ст. 139 ГК РФ).

8. Тайна связи - информация, передаваемая путем переписки, телефонных переговоров, почтовых отправлений (в том числе электронных), телеграфных или иных сообщений (включая IP - телефонию, SMS, MMS, GPRS и пейджинговые сообщения), передаваемые по сетям электросвязи или почтовой связи (п.2 ст. 23 Конституции РФ; ч.1 и 2 ст. 138 УК РФ).

9. Конфиденциальные сведения редакции средств массовой информации - это сведения, представленные в редакцию с условием сохранения их в тайне; сведения о лице, представившем какую-либо информацию с условием неразглашения его имени; сведения, прямо или косвенно указывающие на личность несовершеннолетнего, совершившего преступление либо подозреваемого в его совершении, а равно совершившего административное правонарушение или антиобщественное действие; сведения, прямо или косвенно указывающие на личность несовершеннолетнего, признанного потерпевшим, без согласия самого несовершеннолетнего и (или) его законных представителей (Закон РФ от 01.01.2001 г. № 000-1 «О средствах массовой информации» с учетом изменений от 01.01.2001).

10. Персональные данные (информация о гражданах) - любая информация, относящаяся прямо или косвенно к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы и другая информация (п.1 ст.23 и п.1 ст.24 Конституции РФ; ст. 137 УК РФ, Федеральный закон «О персональных данных» с учетом изменений от 01.01.2001).

В свою очередь, персональные данные можно подразделить на следующие виды:

- биометрические персональные данные - это сведения, которые характеризуют физиологические особенности человека и на основе которых можно установить его личность;

- медицинская тайна - информация о факте обращения за медицинской помощью, состоянии здоровья гражданина, диагнозе его заболевания и иные сведения, полученные при его лечении и обследовании;

- тайна усыновления (удочерения);

- адвокатская тайна - любые сведения, связанные с оказанием адвокатом юридической помощи своему доверителю;

- тайна голосования - информация о волеизъявлении лица на выборах или референдуме (ст. 142 и 142-1 УК РФ);

- нотариальная тайна - сведения, известные нотариусу в связи с осуществлением им своей профессиональной деятельности;

- тайна страхования – сведения о страхователе, застрахованном лице и выгодоприобретателе, состоянии их здоровья, а также об имущественном положении этих лиц (ст. 946 ГК РФ);

- тайна исповеди.

Термин «персональные данные» был введен в оборот Конвенцией Совета Европы, принятой 28 января 1981г. В подпункте «А» ст. 2 дано следующее его определение: «Данные личного характера - это любая информация, относящаяся к физическому лицу, идентифицированному или которое может быть идентифицировано».

Необходимо обратить внимание на то, что передача прав на материальный носитель не влечет за собой передачи прав на информацию, содержащуюся на этом носителе.

Деятельность, заключающаяся в доведении до потребителя документированной информации, называется информационной услугой.

Рассмотрев виды информации, отметим, что она ничем не отличается от традиционных объектов права собственности. Известно, что право собственности включает три составных элемента: право распоряжения, право владения и право пользования.

Право распоряжения информацией - это исключительное право обладателя определять, кому она может быть передана во владение или пользование.

Право владения позволяет иметь эту информацию в неизменном виде.

Право пользования предоставляет возможность использовать информацию в собственных интересах.

Таким образом, к информации кроме собственника (обладателя) могут иметь доступ другие субъекты, как законные, санкционированные, так и незаконные, несанкционированные.

В соответствии со ст. 16 Закона РФ «Об информации, информационных технологиях и о защите информации» (в ред. Федерального закона № 000 от 01.01.2001г.) защита информации представляет собой принятие правовых, организационных и технических мер, направленных:

1) на обеспечение защиты информации от неправомерного доступа, уничтожения, модифицирования, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении такой информации;

2) соблюдение конфиденциальности информации ограниченного доступа;

3) реализацию права на доступ к информации.

Обладатель информации, оператор информационной системы обязаны обеспечить:

- предотвращение несанкционированного доступа к информации и передаче ее лицам, не имеющим права на доступ к ней;

- своевременное обнаружение фактов несанкционированного доступа к информации;

- предупреждение возможности неблагоприятных последствий нарушения порядка доступа к информации;

- недопущение воздействия на технические средства обработки информации, в результате которого нарушается их функционирование;

- возможность незамедлительного восстановления информации, модифицированной или уничтоженной вследствие несанкционированного доступа к ней;

- постоянный контроль за обеспечением уровня защищенности информации.

Требования о защите информации, содержащейся в государственных информационных системах, устанавливаются федеральным органом исполнительной власти в сфере обеспечения безопасности и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, в пределах их полномочий.

С учетом вышеизложенного перейдем к исследованию понятия и сущности компьютерной информации, которая является одной из объективных форм существования информации - электронно-цифровой формой. Необходимо вспомнить историю ее зарождения и развития.

Отправной точкой и своеобразным толчком к появлению новой материальной формы существования информации послужила Концепция построения электронно-вычислительной машины с вводимыми в память программами и числами, предложенная в 1945 г. американским математиком румынского происхождения Джоном Яношом Нейманом. Действующий образец этой машины был им создан в 1950 г.

Основополагающим элементом концепции организации ЭВМ является ее построение из 2 основных частей: линейно адресуемой памяти, в которой хранятся команды и элементы данных, и процессора, выбирающего из памяти команды операции и записывающего в нее результаты вычислений. При этом каждая команда явно или неявно указывает адрес операндов, результат вычислений и следующей команды. Эти принципы реализованы в архитектуре строения большинства современных ЭВМ (ПК).

Первое правовое понятие машинной (компьютерной) информации дал в 1990 г. : «Под машинной информацией понимается информация, циркулирующая в вычислительной среде, зафиксированная на физическом носителе в форме, доступной восприятию ЭВМ, или передающаяся по телекоммуникационным каналам[7]. Последняя форма включает в себя сформированную в вычислительной среде информацию, пересылаемую из одной ЭВМ в другую, из ЭВМ на устройство отображения или из ЭВМ на управляющий датчик оборудования».

С позиций информатики компьютерная информация была определена как данные, поступающие в ЭВМ, хранящиеся и циркулирующие в ней и выдаваемые из ЭВМ пользователям.

В 1996 г. был принят новый УК РФ, где впервые была выделена в качестве объекта уголовно-правовой охраны компьютерная информация, т. е. информация, находящаяся на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети (ст.272).

В апреле 2000 г. в Вене проходил Х Конгресс ООН по предупреждению преступности и обращению с правонарушителями. Один из вопросов, который обсужден на этом международном форуме, - проблема борьбы с компьютерными преступлениями. Компьютерная информация на нем была определена следующим образом: «Главная функция любой компьютерной системы заключается в обработке данных. Термин “данные” определяется как факты, инструкции или концепции, излагаемые обычным образом, в форме, поддающейся пониманию человеком или автоматизированной обработке. Электронные данные представляют собой серию магнитных точек в постоянной или временной запоминающей среде или форме электронных зарядов в процессе их передачи. Если данные поддаются идентификации и контролю по конкретному носителю данных, то с юридической точки зрения они могут рассматриваться как единый и ощутимый материальный предмет. Данные, обрабатываемые в рамках компьютерной системы, уже нельзя контролировать по их носителю. Операционные системы автономно перемещают файлы данных из одного физического места в запоминающей среде в другое. В компьютерных сетях распределенная обработка данных делает невозможным для лиц, контролирующих данные, устанавливать физическое местонахождение всего или части файла без принятия специфических мер».

1 июня 2001 года в Минске на заседании Совета глав государств СНГ было подписано Соглашение о сотрудничестве государств - участников СНГ в борьбе с преступлениями в сфере компьютерной информации. Участники согласились со следующим определением компьютерной информации, которое будет использоваться в национальных уголовных законодательствах для квалификации преступных деяний, а именно: «информация, находящаяся в памяти компьютера, на машинных или иных носителях, в форме, доступной для восприятия ЭВМ, или передающаяся по каналам связи».

Принятый 27 июля 2006 г. Федеральный закон № 000 «Об информации, информационных технологиях и о защите информации» ввел в юридический оборот термин «электронное сообщение» и определил его как информацию, переданную или полученную пользователем информационно-телекоммуникационной сети (п.10) - технологической системы, предназначенной для передачи по линиям связи информации, доступ к которой осуществляется с использованием средств вычислительной техники».

На основании изложенного можно сделать следующие выводы:

1. Компьютерная информация - это сведения (сообщения, данные), находящиеся в электронно-цифровой форме, зафиксированные на материальном носителе с помощью электромагнитных взаимодействий либо передающиеся по каналам связи посредством электромагнитных сигналов.

2. Компьютерная информация материальна.

3. Она всегда будет опосредована через материальный носитель, вне которого физически не может существовать.

4. Как и некоторые другие материальные вещи, компьютерная информация может быть предметом коллективного пользования, так как доступ к ней могут одновременно иметь несколько лиц, например, при работе с информацией, содержащейся на электронной странице или сайте в Интернете.

5. Компьютерная информация довольно просто и быстро преобразуется из одной объективной формы в другую, копируется (тиражируется) на определенные виды материальных носителей и пересылается на любые расстояния, ограниченные только радиусом действия современных средств электросвязи.

6. Компьютерная информация, как правило, обезличена, т. е. между ней и создавшим ее человеком нет жесткой персонифицированной связи.

7. Компьютерная информация может быть предметом и (или) средством совершения преступления.

8. Компьютерная информация может использоваться в качестве доказательства.

9. Осуществление процессов создания, обработки и использования криминалистически значимой компьютерной информации возможно только с помощью специальных орудий производства – программ для ЭВМ, баз данных, систем ЭВМ, компьютерных сетей, машинных носителей, средств электронно-вычислительной (компьютерной) техники, в том числе электросвязи.

3. Механизм образования и локализация электронно-цифровых следов при совершении компьютерных преступлений

Следы совершения преступления в сфере компьютерной информации в силу специфики рассматриваемого вида преступлений редко остаются в виде изменений внешней среды. Они в основном не рассматриваются современной трасологией, поскольку в большинстве случаев имеют информационный характер, т. е. представляют собой те или иные изменения в компьютерной информации, имеющие форму ее уничтожения, модификации, копирования, блокирования. Как справедливо отмечает А. В. Касаткин, «при современном развитии вычислительной техники и информационных технологий “компьютерные следы” преступной деятельности имеют широкое распространение[8]. Это должно учитываться следователями и оперативными работниками в их деятельности по собиранию доказательств наряду с поиском следов уже ставших традиционными».

Следы совершения компьютерного преступления целесообразно разделить на два типа: традиционные следы (следы-отображения, рассматриваемые трасологией, а также следы-вещества и следы-предметы) и нетрадиционные - информационные следы.

К первому типу относятся материальные следы. Ими могут являться какие-либо рукописные записи, распечатки и т. п., свидетельствующие о приготовлении и совершении преступления. Материальные следы могут остаться и на самой вычислительной технике (следы пальцев рук, микрочастицы на клавиатуре, дисководах, принтере и т. д.), а также на магнитных носителях и дисках.

Информационные следы образуются в результате воздействия (уничтожения, модификации, копирования, блокирования) на компьютерную информацию путем доступа к ней и представляют собой любые изменения компьютерной информации, связанные с событием преступления. Прежде всего они остаются на машинных носителях информации и отражают изменения в хранящейся в них информации (по сравнению с исходным состоянием). Речь идет о следах модификации информации (баз данных, программ, текстовых файлов), находящейся на жестких дисках ЭВМ, дискетах, магнитных лентах, лазерных и магнито-оптических дисках. Кроме того, магнитные носители могут нести следы уничтожения или модификации информации (удаление из каталогов имен файлов, стирание или добавление отдельных записей, физическое разрушение или размагничивание носителей). Информационными следами являются также результаты работы антивирусных и тестовых программ. Данные следы могут быть выявлены при изучении компьютерного оборудования, рабочих записей программистов, протоколов работы антивирусных программ, программного обеспечения. Для выявления подобных следов необходимо участие специалистов.

Информационные следы могут оставаться и при опосредованном (удаленном) доступе через компьютерные сети, например через Интернет. Они возникают в силу того, что система, через которую производится доступ, обладает некоторой информацией, которую эта система запрашивает у лица, пытающегося соединиться с другим компьютером. Она определяет электронный адрес, номер сетевой карты, используемое программное обеспечение и его версию. Кроме того, при доступе в сеть обычно запрашивается адрес электронной почты, реальное имя и другие данные. Эту информацию запрашивает системный администратор (провайдер) для контроля обращений на его сервер, и это также позволяет идентифицировать личность проникающего в сеть.

Рассмотрим информационные следы в сети Интернет, позволяющие установить лицо, совершившее неправомерный доступ к компьютерной информации, более подробно.

Данные о фирме-провайдере. В Интернете существует специальная служба Whois, предназначенная для установления провайдера, через которого произошел неправомерный доступ, для чего необходимо указать электронный адрес (IP) интересующего компьютера. Время выхода абонента на связь и продолжительность его работы можно установить у провайдера по ведущемуся у него специальному лог-файлу.

Номер телефона, с которого была установлена связь с провайдером. Следует иметь в виду, что не все провайдеры устанавливают устройства автоматического определения номера на свои телефоны, да и городская телефонная сеть не всегда может предоставить подобную информацию, однако пренебрегать этими возможностями нельзя. Впрочем, не стоит забывать и о том, что существуют и широко популяризированы через Интернет различные системы маскировки под другой номер, «Анти-АОНы» либо «Супер-АОНы». Но даже если удалось установить телефон, с которого был осуществлен звонок, это не всегда дает выход на конкретное лицо, поскольку к Интернету может быть подключена и локальная вычислительная сеть. В этом случае установить, с какого рабочего места был осуществлен сеанс связи, можно по лог-файлу сервера локальной сети с теми же ограничениями по времени.

Протокол выхода в Интернет с определенного компьютера. Он автоматически ведется на каждом компьютере, с которого возможен выход во всемирную сеть (количество дней его хранения определяется пользователем). Представляется, что совпадение данного протокола с лог-файлом провайдера может служить неопровержимым доказательством.

Данные о пользователе электронной почты (фамилия, имя, отчество, дата и место рождения, место жительства, работы и пр.). Сам пользователь заинтересован в предоставлении достоверной информации для получения электронных сообщений.

Большой информационной ценностью обладают разговоры через Интернет, поскольку их содержание автоматически сохраняется во временных файлах, которые даже после стирания могут быть восстановлены (хотя бы частично).

Следует отметить, что многие программы фирмы Microsoft создают резервные копии файлов, файлы-отчеты, сохраняют информацию о последних проделанных операциях и выполненных программах, а также содержат иную информацию, представляющую огромный интерес для расследования.

Следами, указывающими на посторонний доступ к информации, могут являться: переименование каталогов и файлов; изменение размеров и содержимого файлов; изменение стандартных реквизитов файлов, даты и времени их создания; появление новых каталогов, файлов и пр.

Перечисленное может свидетельствовать об изменениях в заданной структуре файловой системы, а также об изменении содержимого файлов. Кроме того, на неправомерный доступ к компьютерной информации могут указывать изменения в заданной ранее конфигурации компьютера, в том числе изменение картинки и цвета экрана при включении; изменение порядка взаимодействия с периферийным оборудованием (принтером, модемом и др.); появление новых и удаление прежних сетевых устройств.

На неправомерный доступ к компьютерной информации могут указывать и необычные проявления в работе ЭВМ, а именно:

- замедленная или неправильная загрузка операционной системы;

- замедленная реакция машины на ввод с клавиатуры;

- замедленная работа машины с дисковыми накопителями при записи и считывании информации;

- неадекватная реакция ЭВМ на команды пользователя;

- появление на экране нестандартных символов, знаков и пр.

Следообразующий объект и его характеристики. В зависимости от этапа совершения данного вида преступления будет существовать различный набор следообразующих объектов. На этапе внедрения программы «троянского коня» это сообщение электронной почты с прикрепленным исполняемым файлом в специальном формате, а на этапе активизации к нему добавится еще соответствующий исполняемый файл. При этом основными (важнейшими с криминалистической точки зрения) характеристиками следообразующих объектов будут:

- размер программ и сообщения электронной почты с присоединенным файлом; дата и время создания, получения или модификации файлов и сообщения;

- отдельные атрибуты (например, признак архивного, скрытого или системного файла, уровень важности и конфиденциальности полученного сообщения) файла и сообщения;

- характерные записи (фрагменты) исполняемых программ или файлов конфигурации, позволяющие идентифицировать конкретный экземпляр вредоносной программы. Например, адрес электронного почтового ящика, куда следует отсылать выкраденные пароли, логины и IP-адрес компьютера.

Помимо самих файлов вредоносной программы (т. е. некоторого аналога традиционно рассматриваемого орудия преступления) следообразующими объектами также будут:

1. Файлы, использующиеся для электронной рассылки «троянских коней».

2. Стандартная почтовая программа (The Bat!, MS Outlook Express и т. п., входящие в стандартный набор операционной системы или офисного набора программ) или иная специализированная программа рассылки почтовых сообщений - вид используемой почтовой программы, ее версия и текущие настройки.

3. Текстовые файлы или файлы в специальном формате (согласованном с программой рассылки почтовых сообщений), содержащие списки рассылки и вспомогательные данные - даты и время рассылки, количество попыток повторения и т. п.

4. Файлы программ, обеспечивающие удаленное соединение компьютера и содержащие номера телефонов, «логины» (учетные имена для входа в сеть), пароли, скрипты (наборы автоматически выполняемой последовательности команд) и т. п.

5. Файлы компилятора, использующегося для создания (программирования или настройки) самой вредоносной программы:

- версия, настройки и параметры. Эти данные в ряде компиляторов автоматически включаются в тело создаваемой с их помощью программы;

- используемые библиотеки компилятора, операционной системы или других пакетов прикладных программ. Ряд программ рассчитан на обязательное присутствие на компьютере определенных библиотек или пакетов прикладных программ. Например, известны случаи, когда вредоносные программы типа «троянский конь» для рассылки украденной парольно-ключевой информации используют коммуникационные средства программы обмена информацией в реальном времени ICQ (фирмы Mirabilis).

Следовоспринимающий объект и его характеристики. Учитывая, что при совершении рассмотренного выше преступления в сфере компьютерной информации используется, как минимум, два компьютера (преступника и жертвы), то следовоспринимающих объектов также будет несколько.

На компьютере жертвы такими объектами будут:

1. Таблица размещения файлов (FAT, NTFS или другая в зависимости от типа используемой операционной системы). На компьютере жертвы должны появиться файлы с программами, представляющими собой первую часть вредоносной программы «троянский конь». Как правило, это два файла: один исполняемый файл (непосредственно сама программа), а второй файл содержит параметры конфигурации и вспомогательные данные, необходимые для работы исполняемого файла. Имена этих файлов могут быть произвольными (легко и без изменения функциональных возможностей программы заменяются преступником), но они должны иметь фиксированную (одну и ту же) длину, а также дата и время создания модификации этих файлов должны соответствовать дате и времени установки этих программ на компьютер-жертву.

2. Системный реестр операционной системы Windows XP, Vista, W7. Соответствующие разделы системного реестра должны включать указания на размещение и параметры установленных программных файлов.