Hvordan sikrer man digitale beviser?
God teknisk praksis for at bevare digitalt materiale uden at ændre det — smartphone, computer, cloud, e-mail, beskeder — og hvad denne praksis kan og ikke kan fastslå.
Kort sagt. At sikre digitale beviser betyder at holde originalmediet intakt, undgå enhver handling, der ændrer data eller metadata, notere omstændighederne ved opdagelsen og derefter få lavet en forensisk kopi, der kontrolleres med en kryptografisk hashværdi. Disse tekniske forholdsregler foregriber ikke den retlige vurdering af materialet, som tilhører retten.
Denne guide er teknisk. Den beskriver god praksis for sikring og er ikke juridisk rådgivning. Reglerne om beviser og deres vægt afhænger af den gældende ret — i Danmark dansk ret — og af den pågældende domstol; spørg din advokat.
1. Bevar originalmediet
Originalmediet — telefon, computer, disk, USB-nøgle — er referencen. Så længe det er intakt, er en tro kopi mulig. Almindelig brug ændrer data: at åbne en fil ændrer dens adgangsdatoer, en opdatering omskriver dele af systemet, en nulstilling sletter det meste.
2. Forholdsregler, før du gør noget
- Nulstil, gendan eller opdater ikke enheden.
- Slet ikke den mistænkelige app, besked eller fil.
- « Rens » ikke enheden med et antivirusprogram eller en forbrugerapp til detektion.
- Isoler en computer eller server fra netværket i stedet for at slukke den: arbejdshukommelsen går tabt ved nedlukning.
- Notér dato og klokkeslæt for opdagelsen og alle handlinger siden.
3. Skærmbilleder: nyttige, men begrænsede
Et skærmbillede viser, hvad der stod på skærmen, og er ofte det første, man bør gøre, når indhold kan forsvinde. Men det har begrænsninger: det indeholder ikke originalens metadata, det beviser ikke i sig selv ægthed, og det er let at ændre. Det supplerer sikringen af originalen; det erstatter den ikke.
For indhold online er en tidsstemplet teknisk konstatering — URL, dato, klokkeslæt, hashværdi af det sikrede indhold, metode — mere robust. Se identitetstyveri og falske profiler.
4. Metadata og tidsstempler
Metadata følger med en fil eller besked: oprettelses- og ændringsdatoer, forfatter, enhed, placering, e-mailheadere. De gør det ofte muligt at datere og placere et element, men de er skrøbelige: kopiering, videresendelse eller redigering kan ændre dem. Derfor er det vigtigt at arbejde på en korrekt fremstillet kopi og tage højde for tidszoner og hver enheds urindstilling.
5. Forensisk kopiering og hashværdi
En forensisk kopiering er en kopi, der fremstilles med en metode, som ikke ændrer mediet, og hvor hvert trin dokumenteres. Ved kopieringen beregnes en kryptografisk hashværdi — for eksempel SHA-256 — der karakteriserer indholdet. Giver en senere genberegning samme hashværdi, er kopien uændret. Det er det, der gør det muligt for en tredjepart at kontrollere arbejdet.
Internationale retningslinjer som ISO/IEC 27037 og NIST SP 800-86 beskriver disse trin: identifikation, indsamling, kopiering og sikring.
6. Dokumenteret bevisførelse
Bevisførelsen (chain of custody) sporer hvert elements vej: hvem afleverede det, til hvem, hvornår, i hvilken stand, og hvilke handlinger der blev foretaget. En afleveringskvittering, en forsegling og en handlingslog er de sædvanlige dokumenter. Uden den bliver et elements integritet svær at påvise.
7. Efter type af medie
Smartphone
Nulstil eller opdater ikke; lad enheden være tændt, hvis det er muligt; afinstaller ikke den pågældende app. Se mobil forensics.
Computer
Isoler fra netværket uden at slukke; kør intet oprydningsværktøj; notér de åbne programmer. Arbejdshukommelsen indeholder spor, der forsvinder ved nedlukning.
Cloud og onlinekonti
Aktivitetslogge opbevares i begrænset tid: bed hurtigt om en eksport eller en opbevaring. Sikr kontoen fra en anden betroet enhed. Se digital efterforskning.
Behold beskeden i den oprindelige postkasse med alle headere; undgå at videresende den, da det omskriver en del af den.
Beskedapps
Slet ikke samtalen; bloker ikke modparten, før udvekslingerne er sikret; notér brugernavne, numre og aliasser. Ved afpresning, se sextortion og afpresning.
8. Hvad teknikken fastslår, og hvad der tilhører retten
Den tekniske tilgang fastslår fakta: en fil fandtes på en bestemt dato, en besked kom fra en bestemt konto, en kopi er identisk med originalen. Den dokumenterer sin metode og sine begrænsninger. Den retlige kvalificering af disse fakta og materialets bevisværdi afhænger derimod af den gældende ret og rettens vurdering. En god rapport overskrider ikke den grænse.
Ofte stillede spørgsmål
Er et skærmbillede nok?
Det kan være nyttigt, især for indhold, der kan forsvinde. Men det mangler originalens metadata og er let at ændre: bevar også originalen, og få for indhold online lavet en tidsstemplet teknisk konstatering.
Hvad er en hashværdi?
Et fingeraftryk beregnet ud fra digitalt indhold. Den mindste ændring af indholdet ændrer hashværdien. Ved at genberegne en kopis hashværdi og sammenligne den med den, der blev beregnet ved kopieringen, kan man vise, at den ikke er ændret.
Skal jeg anmelde sagen til politiet, før materialet sikres?
Nej. Det er ofte nyttigt at sikre materialet før eller samtidig med en anmeldelse. Om og hvordan sagen skal anmeldes, afgør du og din advokat.
Digitalt materiale, der skal sikres?
Første samtale er gratis og fortrolig, og vi svarer på engelsk. Vi fortæller, hvad der skal sikres først, og hvordan.