следующая тема »

[effes2004]

После моего ходотайства следователю, произвели дополнительный осмтор компьютеров и передали дело в прокуратуру. Сегодня ознакомили обвинительное. Недели через три будет суд.

[Igor Michailov]

Сочувствую.

[Igor Michailov]

Хотелось бы обсудить со специалистами вот это заключение:

http://computer-forensics-lab.org/lib/?cid=26

 

[Igor Michailov]

Экспертизу скачали уже семь человек.

Неужели нет претензий к экспертизе?  

Я вижу несколько ошибок в описательной части заключения

[Marat]

Неужели нет претензий к экспертизе?

Ну как это-нет претензий   Вам расширено или и этого хватит

- исследуемый НЖМД помещался во внешний корпус для быстрой смены НЖМД,
подключался к лабораторному компьютеру по USB-порту (сохранность данных на
исследуемых НЖМД обеспечивалось программой NCSF Software Write-block XP
организации National Center For Forensic Science);
- производилась загрузка операционной системы с системной дискеты эксперта и
определялись технические параметры НЖМД (количество цилиндров, сторон (головок),
секторов на треке, количество секторов, размеров секторов и емкости);

[Igor Michailov]

Конечно расширенно. Можно в приват.

[Igor Michailov]

Меня сильно смущает геометрия дисков. Ведь если в зале суда мы разломаем жесткий диск - максимум что мы там увидим: 4 блина и 8 головок ...  

[Dmitry]

Меня сильно смущает геометрия дисков. Ведь если в зале суда мы разломаем жесткий диск - максимум что мы там увидим: 4 блина и 8 головок ...  

Не думаю, что в количестве головок и блинов большая проблема. В конце концов эксперт не писал, что приведенные параметры соответствуют физической конфигурации НЖМД. Если верить сайту производителя http://www.seagate.com/cda/products/discsales/personal/family/0,1085,583,00.html, то например, Segate Barracuda ST340014A  действительно имеет одну поверхность и одну головку, про колличество дорожек и секторов в физической конфигурации вообще говорить применительно к современным НЖМД сложно, ибо современные методы кодирования и записи на физическом уровне гораздо более сложны, чем то, что использовалось лет 10-15 назад. Достаточно вспомнить, что на физическом уровне колличество информации, записываемой на внутренних и внешних дорожках, может отличаться друг от друга. Все эти детали, однако скрыты контролером, транслирующим некоторую физическую конфигурацию диска, в унифицированную логическую структуру, которая и представлена в заключении эксперта и в техническом описании производителя, а вот то, что между этими данными есть заметная разница - действительно смущает.

[Igor Michailov]

Делал недавно экспертизу по исследованию накопителей информации на флэш-памяти. Озадачился вот такой проблемой - что считать криминалистическими признаками данных носителей информации (именно крим. признаки накопителя а не раздела на нем)?

Привожу отчет Encase (может он кому-то что-то подскажет):
Name: C
Description: Volume, Sector 32-62591, 30,5MB
Logical Size: 0
Physical Size: 16 384
Starting Extent: 1C-S155
File Extents: 1
Bookmarks: 0
Physical Location: 79 360
Evidence File: 3
Full Path: Case 1\3\C

File Extents
Start Sector Sectors Start Cluster Clusters
155               32  

Volume
File System: FAT16   Drive Type: Fixed
Sectors per cluster: 4,0   Bytes per sector: 512,0
Total Sectors: 62 560,0   Total Capacity: 31 950 848,0 bytes (30,5MB)
Total Clusters: 15 601,0   Unallocated: 1 312 768,0 bytes (1,3MB)
Free Clusters: 641,0   Allocated: 30 638 080,0 bytes (29,2MB)
Volume Name: NO NAME   Volume Offset: 32,0
OEM Version: MSDOS5.0   Serial Number: 1D66-15DB
Heads: 4,0   Sectors Per Track: 32,0
Unused Sectors: 32,0   Number of FATs: 2,0
Sectors Per FAT: 61,0   Boot Sectors: 1,0

[Igor Michailov]

Хотелось бы обсудить со специалистами методики исследования объектов примененные экспертом здесь:

http://computer-forensics-lab.org/lib/?cid=31 (исследование НГМД)


И здесь:
http://computer-forensics-lab.org/lib/?cid=33 (исследование сотового телефона)