«Хорошо, — сказал Кот и исчез — на этот раз очень медленно. Первым исчез кончик его хвоста, а последней — улыбка; она долго парила в воздухе, когда все остальное уже пропало. — Д-да! — подумала Алиса. — Видала я котов без улыбок, но улыбка без кота! Такого я в жизни еще не встречала».

Льюис Кэрролл, «Приключения Алисы в Стране чудес», перевод Н. М. Демуровой

Где-то на вашем телефоне наверняка есть «улыбка без кота». Файл, который вы давно удалили, его физически нет — но следы его пребывания разбросаны повсюду: в журнале файловой системы, в кэше миниатюр, в резервной копии, которую телефон залил в облако, наконец — в онлайн-галерее Dropbox или OneDrive, откуда оно не исчезнет само по себе, даже если вы удалите его с самого устройства. Цифровая криминалистика — это поиск как раз таких вот «улыбок». И, забегая вперёд: они таки находятся.

Как устроено цифровое расследование, с какими трудностями оно сталкивается и почему принцип «ничто не исчезает бесследно» — не красивая метафора, а рабочая гипотеза? Разберёмся подробно.

С чего начинается расследование: улик пока нет никаких

«Интересно, кого они сейчас вызовут, — подумала Алиса. — Пока что улик у них нет никаких…»
Льюис Кэрролл, «Приключения Алисы в Стране чудес», гл. XI, перевод Н. М. Демуровой

Цифровое расследование начинается с пустого места, где, по идее, должны быть улики. Дальше вступает методология: сначала — изъятие и фиксация, затем — создание образа (побитовой копии данных, чтобы не трогать оригинал), потом — анализ, и только в конце — отчёт с выводами. Пропускать шаги нельзя: если эксперт полез анализировать активное устройство без предварительного копирования, он рискует сам стать источником изменений, которые потом придётся объяснять в суде.

Поэтому в основе лежит принцип цепочки хранения доказательств — документированной истории того, кто, когда и как контактировал с устройством и его данными. Рецепт процедуры отлично сформулирован в «Алисе»:

«- С чего начинать, Ваше Величество? — спросил он. — Начни с начала, — важно ответил Король, — и продолжай, пока не дойдёшь до конца. Как дойдёшь — кончай!»

Льюис Кэрролл, «Приключения Алисы в Стране чудес», гл. XII, перевод Н. М. Демуровой

Абсурдный на вид совет Короля — на самом деле почти дословное описание протокола криминалистической экспертизы: строгая последовательность, ничего не выдумывать по ходу дела и не забегать вперёд. Каждое действие с устройством — от извлечения SIM-карты до финального хэширования образа диска — должно быть зафиксировано и воспроизводимо, потому что переиграть по памяти нельзя: если что-то было испорчено на этапе изъятия, вернуть его в изначальное состояние невозможно.

Каждый контакт оставляет след — и в цифровом мире тоже

«Преступник не может действовать с той интенсивностью, которую предполагает преступное действие, не оставив следов своего присутствия».

Эдмон Локар, французский криминалист, основатель одной из первых криминалистических лабораторий (Лион)

Принцип Локара — «каждый контакт оставляет след» — сформулирован для мира отпечатков пальцев, волокон одежды и частиц почвы на подошве ботинка. Но переносится он на цифровую среду с пугающей точностью: подключили флешку — осталась запись в реестре Windows. Открыли файл — обновилась метка времени доступа. Зашли на сайт — DNS-запрос осел в логе провайдера. Разница с миром физических улик лишь в масштабе: цифровых контактов на порядки больше, и они куда менее заметны невооружённым глазом.

В этой невидимости одновременно кроется и сложность, и главная удача криминалиста. Вот два хрестоматийных случая. В 2005 году американский серийный убийца, известный как BTK (Деннис Рейдер), после более чем десятилетнего молчания отправил в полицию дискету с текстом — предварительно письменно спросив следствие, можно ли отследить дискету по содержимому. Ему солгали, что нельзя. На самом деле криминалисты восстановили с дискеты удалённый файл Microsoft Word, в чьих метаданных сохранилось имя последнего редактировавшего документ пользователя — «Dennis» — и название организации — церкви, в которой Рейдер был председателем совета. Через несколько дней 31-летнее дело было закрыто. Дискета была технически «неотслеживаема» — но данные на ней рассказали куда больше, чем предполагал отправитель.

Второй случай поучительнее. В 2012 году журнал Vice опубликовал фотографию скрывавшегося от правосудия основателя антивирусной компании Джона Макафи, сделанную на iPhone. Никто не удосужился стереть с фотографии EXIF-метаданные — служебную информацию, которую камера автоматически вписывает в каждый снимок: модель устройства, настройки съёмки и, если геолокация была включена, точные GPS-координаты. Координаты указывали на конкретный ресторан у озера Рио-Дульсе в Гватемале. Макафи сначала утверждал, что данные подделаны нарочно, чтобы сбить погоню со следа, — но вскоре сам признал, что находится именно там.

Когда нужно бежать вдвое быстрее

«- У нас, — сказала Алиса, с трудом переводя дух, — когда долго бежишь со всех ног, непременно попадёшь в другое место. — Какая медлительная страна! — сказала Королева. — Ну а здесь, знаешь ли, приходится бежать со всех ног, чтобы только остаться на том же месте! Если же хочешь попасть в другое место, тогда нужно бежать по меньшей мере вдвое быстрее!»

Льюис Кэрролл, «Сквозь Зеркало и Что там увидела Алиса, или Алиса в Зазеркалье», гл. II, перевод Н. М. Демуровой

Это, пожалуй, лучшая метафора для всей индустрии цифровой криминалистики. Производители смартфонов ежегодно меняют схемы шифрования, форматы данных и алгоритмы защиты данных. Мессенджеры внедряют сквозное шифрование по умолчанию. Разработчики операционных систем закрывают уязвимости, через которые эксперты извлекали данные годом ранее. Чтобы просто оставаться там же, то есть сохранять способность извлекать доказательства из современных устройств, специалистам приходится непрерывно переучиваться, обновлять инструментарий и искать новые методы. Отстать хотя бы на пару обновлений означает получить в руки «кирпич», а не улику.

Брюс Шнайер, один из самых цитируемых специалистов по информационной безопасности, сформулировал смежный принцип ещё в 2000 году: «Безопасность — это процесс, а не продукт». То же самое справедливо и для криминалистики: это не набор программ, которые один раз купили и успокоились, а непрерывный процесс адаптации методологии к постоянно меняющейся реальности.

Гонка обостряется ещё и антифорензикой — набором приёмов, которыми злоумышленники (а иногда и вполне законопослушные пользователи, заботящиеся о приватности) пытаются заранее избавиться от цифровых следов: шифрование дисков, безопасное затирание данных поверх старых записей, использование анонимных сетей, подмена метаданных. Здесь в игру идеально вписывается ирония другой цитаты — про уничтожение информации ради собственного удовольствия:

«Жечь было наслаждением. Какое-то особое наслаждение видеть, как огонь пожирает вещи, как они чернеют и меняются».
— Рэй Брэдбери, «451° по Фаренгейту», перевод Т. Шинкарь

Проблема (для того, кто жжёт) в том, что современные устройства сложнее печатной страницы, и полное уничтожение данных оказывается труднее, чем кажется.

Рукописи не горят: почему «удалить» и «уничтожить» — разные вещи

«Нет, ничто не исчезает бесследно».
Рэй Брэдбери, «451° по Фаренгейту», перевод Т. Шинкарь

Это — центральный тезис профессии. Когда пользователь нажимает «удалить», то, что произойдёт с файлом на самом деле, можно описать одним словом: «зависит». ОС может его действительно удалить, пометив запись файла в файловой системе как «удалённое» — и тогда дальнейшая судьба данных на диске будет зависеть от того, имеем ли мы дело с традиционным магнитным диском, твердотельным накопителем или устройством вроде iPhone с пофайловым шифрованием, когда удаление файла сразу же уничтожает и его ключ шифрования. А может случиться так, что файл не будет удалён, а просто перемещён, например, в «корзину». Или, если это была фотография, он может попасть в папку «Удалённые». Или, если это был файл, синхронизированный с каким-либо облачным хранилищем (Dropbox, iCloud, OneDrive, Google Drive и т.д. и т.п.) — он может попасть уже в облачную папку «удалённые» и храниться там в течение длительного времени.

Ирония в том, что чем активнее пользователь пытается замести следы, тем больше косвенных улик он оставляет. Попытка удаления сама по себе фиксируется: остаётся метка времени операции, остаётся факт запуска программы для «чистки», остаётся резервная копия в облаке. А кэш приложений, миниатюры изображений, автоматические бэкапы и журналы файловой системы часто переживают удаление оригинала.

Дьявол — в метаданных

«Взрослые очень любят цифры. Когда рассказываешь им, что у тебя появился новый друг, они никогда не спросят о самом главном. <…> Они спрашивают: „Сколько ему лет? Сколько у него братьев? Сколько он весит? Сколько зарабатывает его отец?“ И после этого воображают, что узнали человека».
Антуан де Сент-Экзюпери, «Маленький принц», гл. IV, перевод Норы Галь

Метаданные — это данные о данных: время создания файла, модель камеры, координаты съёмки, версия программы, имя пользователя, зарегистрированного в системе. Файл может «помнить», что был создан в 3:14 ночи с устройства, физически находившегося в другой стране в момент, когда его владелец клялся, что был дома. В скобках заметим: верить метаданным нельзя; многие продукты для редактирования (и абсолютно все — для подделки чего бы то ни было) прекрасно подделывают и метаданные. Это прекрасно иллюстрирует смешная на первый взгляд реплика Болванщика из «Алисы»:

«- Какие смешные часы! — заметила она. — Они показывают число, а не час!»
— Льюис Кэрролл, «Приключения Алисы в Стране чудес», гл. VII, перевод Н. М. Демуровой

Системные часы устройства могут быть сбиты или намеренно переведены злоумышленником, чтобы запутать хронологию событий. Восстановление точного и, что важнее, согласованного между разными источниками таймлайна инцидента — одна из самых кропотливых задач эксперта: временные метки файловой системы нужно сверять с логами сети, с показаниями сервера, с данными оператора сотовой связи, чтобы построить единую и непротиворечивую картину произошедшего.

Показателен здесь парадокс, который отлично уловил Джордж Оруэлл, хоть и писал совсем не о криминалистике:

«Кто управляет прошлым, — гласит партийный лозунг, — тот управляет будущим; кто управляет настоящим, тот управляет прошлым».
Джордж Оруэлл, «1984», ч. 1, гл. 3, перевод В. Голышева

Тот, кто может незаметно отредактировать лог-файл или подменить метку времени, действительно «управляет прошлым» расследования — именно поэтому современная криминалистика делает ставку на независимые, неизменяемые копии данных и криптографическую проверку целостности: хэш-суммы образов дисков, подписанные журналы событий, распределённое хранение резервных копий там, где до них сложнее дотянуться незаметно.

Облако помнит то, что телефон уже забыл

Отдельный источник неожиданных находок — облачные резервные копии. Современный смартфон синхронизирует данные с сервером почти непрерывно: фотографии, заметки, история звонков, иногда даже переписка попадают в облако раньше, чем пользователь успевает решить, стоит ли их удалять локально. В результате удаление файла с устройства зачастую не удаляет его облачную копию. Здесь же уместно вспомнить наблюдение Кевина Митника, бывшего хакера, ставшего консультантом по кибербезопасности:

«Возможно, вы догадываетесь, что браузер на смартфоне отслеживает ваше местонахождение, но, вероятно, вы удивитесь, узнав, что браузер на компьютере делает то же самое».
Кевин Митник, «The Art of Invisibility» (цит. по LiveLib)

Пользователи почти никогда не осознают до конца, сколько теневых копий их данных существует одновременно: на устройстве, в облаке, в кэше синхронизированного приложения, в резервной копии предыдущего телефона, которую забыли удалить из учётной записи. Для криминалиста это шанс: если один источник данных недоступен, есть шанс, что где-то в этой сети остался дубликат.

Терабайты и человеческий фактор: почему нельзя проанализировать необъятное

«Никто не обнимет необъятного».
Козьма Прутков, «Плоды раздумья» (1854)

Один из самых недооценённых вызовов профессии — банальный объём данных. Современный смартфон легко хранит десятки и сотни гигабайт информации; корпоративная инфраструктура — петабайты журналов. Вручную прочитать весь этот массив невозможно физически, поэтому реальная работа эксперта — это выстраивание фильтров, гипотез и приоритетов: с чего начать поиск, какие индикаторы искать в первую очередь, какие артефакты отбросить как шум.

К объёму добавляется шифрование. Современные операционные системы шифруют данные по умолчанию, и без ключа (пароля, биометрии, кода восстановления) добраться до содержимого физически зашифрованного раздела зачастую невозможно даже с полным набором инструментов.

И третья, самая коварная трудность — предвзятость самого эксперта, склонность интерпретировать неоднозначные данные в пользу уже сложившейся версии, — профессиональная болезнь любого следствия, а не только цифрового. Прекрасно эту ловушку иллюстрирует сцена суда из «Алисы»:

«- Почерк обвиняемого? — спросил другой присяжный. — Нет, — отвечал Белый Кролик. — И это всего подозрительней. (Присяжные растерялись.) — Значит, подделал почерк, — заметил Король. (Присяжные просветлели.)»
— Льюис Кэрролл, «Приключения Алисы в Стране чудес», гл. XII, перевод Н. М. Демуровой

Что бы ни показал анализ — совпадение или несовпадение, — предвзятый ум всегда найдёт способ подогнать результат под заранее принятое решение. Именно поэтому в цифровой криминалистике так ценится принцип, сформулированный Артуром Конан Дойлом устами Шерлока Холмса:

«Есть большая ошибка — строить теории, не имея всех данных. Незаметно для себя человек начинает подгонять факты под теории, вместо того чтобы подгонять теории под факты»
— Артур Конан Дойл, рассказы о Шерлоке Холмсе (цит. по ritz-btr.narod.ru)

Когда невозможное оказывается единственно верным

«Нельзя поверить в невозможное! — Просто у тебя мало опыта, — заметила Королева. — В твоем возрасте я уделяла этому полчаса каждый день. В иные дни я успевала поверить в десяток невозможностей до завтрака».
— Льюис Кэрролл, «Сквозь Зеркало и Что там увидела Алиса, или Алиса в Зазеркалье», гл. V, перевод Н. М. Демуровой

Именно так временами и выглядит рабочий день специалиста по цифровой криминалистике: приходится всерьёз рассматривать версии, которые ещё утром казались фантастическими — что подозреваемого подставило скомпрометированное устройство соседа, что «удалённый» файл на самом деле уцелел в облачной копии, что решающей уликой окажется не переписка, а кэш карты, случайно сохранивший маршрут передвижения.

Улыбка без кота: заключение

Вернёмся к тому, с чего начали. Исчезновение Чеширского Кота — редкая по точности литературная метафора всей профессии цифровой криминалистики: файл может пропасть из папки, переписка — из мессенджера, история браузера — из настроек. Но метаданные, кэш, журнал файловой системы, облачная синхронизация и резервная копия часто продолжают «парить в воздухе» ещё долго после того, как пропало видимое тело файла. Задача эксперта — заметить эту улыбку и по ней восстановить, каким был кот.