from 01.01.2001 to 01.01.2023
Saratov, Saratov, Russian Federation
from 01.01.2022 until now
UDC 343.98
Traditional methods of committing crimes, which involve leaving material traces and direct contact between the perpetrator and the victim, are increasingly being replaced by remote and non-contact methods. The integration of information technology into various areas of public life has inevitably led to the use of such technology by criminals to modernize their methods of criminal activity. In this regard, law enforcement agencies are increasingly faced with the need to work with digital sources of information. However, law enforcement agencies have not fully prepared themselves for the "digital" changes in public life. This is further complicated by the slow pace of "digitalization" by lawmakers. The article discusses the features of working with digital information carriers, as well as the specifics of its fixation and seizure. It reveals the features of the content of such information, the relationship between the terms "copying" and "cloning" of digital information, and the significance of these actions for the appointment of forensic examinations. The article examines the difference between the above-mentioned actions through the lens of the tasks faced by the investigator and the expert. The author proposes a definition of copying computer information. The article also addresses the issue of the admissibility of copied information as evidence in a criminal case.
crime investigation, forensic techniques, expertise, investigative examination, source of forensic information, copying of digital information, admissibility of evidence.
Современные особенности электронных носителей информации предопределяют специфику криминалистических средств, приемов и методик, направленных на извлечение, исследование и фиксацию данной информации. Работа с такими объектами предусматривает не только учет процессуальной формы при оперировании с ними, но и закономерностей функционирования, как самих устройств, так и заключенной в них информации. Такая информация в большинстве своем имеет цифровую природу и представлена в виде сведений (сообщений, данных), представленных в виде электрических сигналов, независимо от средств их хранения, обработки и передачи (Примечание 1 к ст. 272 УК РФ). При этом данные сведения могут находиться в запоминающем устройстве электронно-вычислительных машин и в других компьютерных устройствах, либо на любых внешних электронных носителях (дисках – накопителях, флеш-картах и т. п.) в форме, доступной восприятию компьютерного устройства, и (или) передаваться по каналам электрической связи. Представляется, что данное законодательное определение цифровой (компьютерной) информации формировалось на базе ее природы и характеристик.
Обобщение работ по данному вопросу позволяет выделить следующие специфические характеристики цифровой информации, учет которых необходим при выборе оптимальных приемов и средств, направленных на ее обнаружение, фиксацию, изъятие и исследование: ее обезличенность (между информацией и лицом, которое ее создает и использует, нет прямой связи) [4, с. 275]; опосредованность через материальный (электронный) носитель (изменяться, копироваться, применяться и использоваться только с помощью ЭВМ при наличии соответствующих устройств для ее ввода, чтения, записи, передачи) [1, с. 42]; возможность передачи по телекоммуникационным каналам связи компьютерных сетей; постоянное изменение в ходе работы с информацией пользователя и выполнения различных операций [5, с. 114]; возможность трансформации объема (сжатие и последующее восстановление); наличие индивидуализирующих признаков (метаданных)[1]; пригодность для автоматической обработки (поиска, удаления, восстановления и др.) и пр. Данная специфика, как отмечается в литературе, предопределяет методологию формирования криминалистических приемов и средств проведения следственных действий, в рамках которой приоритет отводится кибернетическим методам, позволяющим осуществлять автоматический поиск и обработку информации, методам компьютерного моделирования, средствам цифро-аналогового преобразования полученной информации и пр.[2].
Также особенности носителей цифровой информации обусловливают последовательность действий при работе с ними. Так, к числу первоочередных тактических задач при осмотре стационарного компьютера относится фиксация информации из его оперативной памяти, получение электронного образа содержимого жестких дисков, а также фиксация активных сетевых соединений[3].
Специфика электронных носителей информации, как источников доказательственной информации, предопределяет особенности задействования специальных знаний при работе с такими носителями, предусматривающих не только полное и точное получение информации, но и минимизацию потерь с учетом ее природы. В связи с этим справедливо отмечается в литературе, что лицо, осуществляющее первоначальный доступ к обследуемому объекту (электронному носителю информации), должно иметь соответствующую квалификацию, осознавать суть основных процессов, происходящих в компьютерной системе, и, соответственно, понимать физические принципы записи, хранения и удаления информации на каждом из носителей. Игнорирование данных положений может привести на практике к рискам неполного изъятия, уничтожения (например, при отсутствии паролей доступа к устройству) или подмены информации на электронных носителях, а также к неверной интерпретации ее характеристик (например, получена ли информация непосредственно из сети Интернет или из кэша);
Копирование является неотъемлемым свойством цифровой информации и связано с ее переносом на иные физические носители или в их пределах без изменения содержания. Однако технологическая составляющая данного процесса различается в зависимости от методов и целей переноса информации и напрямую влияет на понимание категории «неизменность переносимой информации». Если обратиться к уголовно-процессуальному законодательству, то анализ УПК РФ позволяет сделать вывод, что информация с изымаемых электронных носителей копируется (ч. 3 ст. 164.1 УПК РФ). При этом законодатель исходит из того, что при копировании информации должны обеспечиваться условия, исключающие возможность ее утраты или изменения (ч. 2.1. ст. 83 УПК РФ). А само копирование представлено в виде переноса информации на другой электронный носитель при сохранении неизменности первоначальной информации[4]. Что понимается под сохранением неизменности информации законодатель не разъясняет. Отчасти это объясняется тем, что уголовно-процессуальное доказывание оказалось не вполне готовым к «электронным» изменениям в общественной жизни. Поэтому, как отмечается в литературе, в настоящее время можно констатировать стадию осмысления и теоретического обоснования некоторых цифровых и технических категорий со стороны законодателя [2, с. 33-34].
На наш взгляд, положение о сохранении неизменности копируемой информации следует рассматривать в контексте ее пригодности для дальнейшего использования в уголовном судопроизводстве. Однако обеспечение данного предписания не всегда коррелируется на практике с техническими аспектами копирования цифровой информации. Кроме того, отмечается разное понимание «неизменности» информации участниками уголовного судопроизводства. Так для следователя перенос информации в неизменном виде необходим для обеспечения легитимности ее доказательственного значения, а для эксперта – для решения отдельных вопросов в рамках ее исследования.
В информатике различают разные способы переноса содержания цифровой информации. Так, копирование – это базовая операция, которая просто создает новую копию объекта, побитово копируя его содержимое. Клонирование, в свою очередь, представляет собой более сложный процесс, который, помимо создания копии, может включать в себя глубокое копирование вложенных объектов и структур данных. Клонирование позволяет создать точную копию текущего устройства, включая все приложения, настройки и файлы. Это полезно, если есть опасения потери важных данных из-за случайного удаления, неисправности устройства или сбоя системы. Например, при клонировании USB-накопителя помимо данных переносятся главная загрузочная запись диска и таблицы разделов. В результате клонирования получается готовый образ, который состоит из всех видимых и скрытых файлов и неиспользуемого пространства диска.
Понятно, что для следователя перенос скрытых файлов не столь необходим для обеспечения допустимости получаемого доказательства. И процессуально данная технология никак не влияет на процесс сохранения содержимого информации на принимаемом носителе в том виде, который необходим следователю для решения его задач. Однако дело меняется, когда речь заходит о проведении отдельных исследований такой информации в рамках компьютерно-технической экспертизы. В данных ситуациях перенос скрытых файлов может иметь существенное значение. Например, при решении вопросов об установлении обстоятельств создания и использования файлов и баз данных. На цифровом уровне файл содержит не только данные, которые поместил в него пользователь, но и целый ряд специфических атрибутов, благодаря которым система распознает данный пакет информации и размещает его в хранилище данных. Для извлечения некоторых характеристик файлов или баз данных требуется владение особыми навыками в сфере компьютерной информации, а также применение специальных современных технологий и, соответственно, оборудования. В данном случае эксперт прибегает именно к методу клонирования, то есть создаёт файл-образ жёсткого диска на своём компьютере, либо через специальное программное обеспечение посекторно копирует на другой жёсткий диск. Отчасти такая методика продиктована требованием законодательства о запрете эксперту совершать действия, которые могут привести к изменению основных свойств исследуемого объекта[5]. В некоторых ситуациях это продиктовано задачами экспертного исследования. Так, при проведении некоторых компьютерно-технических экспертиз порой требуется создать точную копию исследуемого устройства памяти в целях сохранения доказательства противоправной деятельности; при этом носитель-копия должен в точности соответствовать оригиналу, включая физическую геометрию исправных и поврежденных секторов. Представляется, что именно клонирование позволяет обеспечить полноту сохранения свойств переносимой информации на специально выделенные экспертом зоны на тестовом компьютере (так называемое создание образа исследуемого носителя цифровой информации). В последующем именно над «образом» эксперт и осуществляет исследование.
Для того чтобы такой образ являлся эквивалентом оригинала, он должен представлять собой абсолютную копию исходных данных. Следовательно, каждый бит оригинала должны быть скопирован на такой образ. Для этого эксперты прибегают к различным методам клонирования носителей информации: клонирование с диска на диск в DOS; клонирование данных по сети [6, с. 58]. При этом такие действия эксперта должны проводиться только с использованием специализированного программного обеспечения, применение которого в исследовании должно быть обосновано и отражено в экспертном заключении [3, с. 113]. В частности, для копирования данных с мобильного телефона, как при его осмотре, так и в ходе компьютерно-технической экспертизы, используются специализированные программные средства (например, UFED Cellebrite, Oxygen Forensic Detective и пр.), которые обеспечивают извлечение информации на физическом уровне; логическое извлечение; извлечение файловой системы.
Таким образом, современное понимание процесса копирования цифровой информации и правоприменительная практика его реализация предполагает учет его технических сторон в целях обеспечения эффективного решения задач уголовного судопроизводства разными его участниками (следователями, специалистами, экспертами). На наш взгляд, под копированием компьютерной информации следует понимать перенос всех данных имеющейся информации на другой электронный носитель или создание файл-образа такой информации на другом носителе с помощью аппаратных или программных методов при сохранении неизменной первоначальной информации.
Еще один немаловажный аспект, связанный с копированием цифровой информации – обеспечение ее допустимости. Законодатель, предоставив право следователю на копирование такой информации с одного электронного носителя на другой, не установил перечень технических средств, которые могут быть задействованы в данном процессе (ч. 3 ст. 164.1 УПК РФ). Это вполне закономерно, поскольку угнаться за техническим прогрессом в данном вопросе представляется затруднительным. Однако ключевые положения применения технических средств, задействованные в копировании цифровой информации, должны быть закреплены на законодательном уровне. В первую очередь это касается вопроса сертификации используемого оборудования и программного комплекса. Это позволит избежать проблем, связанных с признанием недопустимой для использования в качестве доказательственной, полученной с их помощью цифровой криминалистически значимой информации [7, с. 27]. И самое главное – минимизировать риски утери, искажения или иных инцидентов безопасности скопированной информации.
[1] Гаврилин Ю. В. Организационно-методическое обеспечение расследования преступлений, совершенных с использованием информационно-телекоммуникационных технологий и в сфере компьютерной информации // Деятельность органов внутренних дел по борьбе с преступлениями, совершенных с использованием информационно-телекоммуникационных технологий: учеб. пособие. М.: Изд-во Академии управления МВД России, 2019. С. 74.
[2] Смушкин А. Б. Цифровизация криминалистической деятельности + eПриложение: дополнительные материалы: учебное пособие. М.: КНОРУС, 2024. С. 155 – 156.
[3] Организация противодействия преступлениям, совершаемым с использованием информационно-телекоммуникационных технологий: учебник : в 2 ч. / Гаврилин Ю. В., Пинкевич Т. В., Мартыненко Н. Э. [и др.]; под общ. ред. Ю. В. Гаврилина. М.: Академия управления МВД России, 2024. Ч. 1. С. 216.
[4] Постановление Пленума Верховного Суда РФ от 15.12.2022 г. № 37 «О некоторых вопросах судебной практики по уголовным делам о преступлениях в сфере компьютерной информации, а также иных преступлениях, совершенных с использованием электронных или информационно-телекоммуникационных сетей, включая сеть «Интернет» // Российская газета от 28.12.2022. № 294.
[5] Ст. 16 Федерального закона от 31.05.2001 г. № 73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации» // Собрание законодательства Российской Федерации от 4.06.2001 г. № 23 ст. 2291.
1. Vehov V. B. Elektronnaya kriminalistika: ponyatie i sistema // Kriminalistika: aktual'nye voprosy teorii i praktiki: mater. mezhdunar. nauch.-prakt. konf. – Rostov n/D: Izd-vo Rostovskiy yuridicheskiy institut MVD RF. 2017. S. 40 – 46.
2. Grigor'ev V. N., Maksimov O. A. Ponyatie elektronnyh nositeley informacii v ugolovnom sudoproizvodstve // Vestnik Ufimskogo yuridicheskogo instituta MVD Rossii. 2019. № 2. S. 33 – 44.
3. Zazulin A. I. Uchastie specialista i proizvodstvo sudebnyh ekspertiz pri issledovanii komp'yuternoy informacii // Pravoporyadok: istoriya, teoriya, praktika. 2018. № 1. S. 110 – 114.
4. Zinnurov F. K., Hayrullova E. T. Osobennosti raboty s elektronnymi nositelyami kak istochnikami dokazatel'stv pri provedenii sledstvennyh deystviy // Vestnik Kazanskogo yuridicheskogo instituta MVD Rossii. 2018. № 2. S. 274 – 278.
5. Rossinskaya E. R. Koncepciya chastnoy kriminalisticheskoy teorii «informacionno-komp'yuternoe obespechenie kriminalisticheskoy deyatel'nosti» // Deyatel'nost' pravoohranitel'nyh organov v sovremennyh usloviyah: sbor. Mater. XXIII Mezhdunar. nauch.-prakt. konf. – Irkutsk: Izd-vo Vostochno-Sibirskogo in-ta MVD RF, 2018. S. 113 – 118.
6. Smolina A. R. Metodicheskoe i algoritmicheskoe obespechenie proizvodstva komp'yuterno-tehnicheskoy ekspertizy: dis. … kand. tehnich. nauk. Tomsk, 2017. 132 s.
7. Cherdancev A. Yu. Prakticheskie problemy polucheniya, analiza i posleduyuschey pravil'noy interpretacii poluchennoy cifrovoy kriminalisticheski znachimoy informacii // Ekspert-kriminalist. 2022. № 4. S. 26 – 29.
