Копирование цифровой информации с электронных носителей: дискуссионные вопросы следственной и судебной практики

Исследование выполнено в рамках программы стратегического академического лидерства «Приоритет-2030» (Центр компетенций «Киберправо»).

The study was conducted as part of the Priority-2030 Strategic Academic Leadership Program (Cyberlaw Competence Center).

Введение

Современные особенности электронных носителей информации предопределяют специфику криминалистических средств, приемов и методик, направленных на извлечение, исследование и фиксацию данной информации. Работа с такими объектами предусматривает не только учет процессуальной формы при оперировании с ними, но и закономерностей функционирования, как самих устройств, так и заключенной в них информации. Такая информация в большинстве своем имеет цифровую природу и представлена в виде сведений (сообщений, данных), представленных в виде электрических сигналов, независимо от средств их хранения, обработки и передачи (Примечание 1 к ст. 272 УК рФ). При этом данные сведения могут находиться в запоминающем устройстве электронно-вычислительных машин и в других компьютерных устройствах либо на любых внешних электронных носителях (дисках-накопителях, флеш-картах и т. п.) в форме, доступной восприятию компьютерного устройства, и (или) передаваться по каналам электрической связи. Представляется, что данное законодательное определение цифровой (компьютерной) информации формировалось на базе ее природы и характеристик.

Основная часть

Обобщение работ по данному вопросу позволяет выделить следующие специфические характеристики цифровой информации, учет которых необходим при выборе оптимальных приемов и средств, направленных на ее обнаружение, фиксацию, изъятие и исследование: ее обезличенность (между информацией и лицом, которое ее создает и использует, нет прямой связи) [1, с. 275]; опосредованность через материальный (электронный) носитель (изменяться, ко- пироваться, применяться и использоваться только с помощью ЭВМ при наличии соответствующих устройств для ее ввода, чтения, записи, передачи) [2, с. 42]; возможность передачи по телекоммуникационным каналам связи компьютерных сетей; постоянное изменение в ходе работы с информацией пользователя и выполнения различных операций [3, с. 114]; возможность трансформации объема (сжатие и последующее восстановление); наличие индивидуализирующих признаков (метаданных)1; пригодность для автоматической обработки (поиска, удаления, восстановления и др.) и прочее. Данная специфика, как отмечается в литературе, предопределяет методологию формирования криминалистических приемов и средств проведения следственных действий, в рамках которой приоритет отводится кибернетическим методам, позволяющим осуществлять автоматический поиск и обработку информации, методам компьютерного моделирования, средствам цифро-аналогового преобразования полученной информации и пр.2

Также особенности носителей цифровой информации обусловливают последовательность действий при работе с ними. Так, к числу первоочередных тактических задач при осмотре стационарного компьютера относится фиксация информации из его оперативной памяти, получение электронного образа содержимого жестких дисков, а также фиксация активных сетевых соединений3.

Специфика электронных носителей информации, как источников доказательственной информации, предопределяет при работе с такими носителями особенности задействования специальных знаний, предусматривающих не только полное и точное получение информации, но и минимизацию потерь с учетом ее природы. В связи с этим справедливо отмечается в литературе, что лицо, осуществляющее первоначальный доступ к обследуемому объекту (электронному носителю информации), должно иметь соответствующую квалификацию, осознавать суть основных процессов, происходящих в компьютерной системе, и, соответственно, понимать физические принципы записи, хранения и удаления информации на каждом из носителей. Игнорирование данных положений может привести на практике к рискам неполного изъятия, уничтожения (например, при отсутствии паролей доступа к устройству) или подмены информации на электронных носителях, а также к неверной интерпретации ее характеристик (например, получена ли информация непосредственно из сети Интернет или из кэша).

Копирование является неотъемлемым свойством цифровой инфор- мации и связано с ее переносом на иные физические носители или в их пределах без изменения содержания. Однако технологическая составляющая данного процесса различается в зависимости от методов и целей переноса информации и напрямую влияет на понимание категории «неизменность переносимой информации». Если обратиться к уголовнопроцессуальному законодательству, то анализ УПК РФ позволяет сделать вывод, что информация с изымаемых электронных носителей копируется (ч. 3 ст. 164.1 УПК РФ). При этом законодатель исходит из того, что при копировании информации должны обеспечиваться условия, исключающие возможность ее утраты или изменения (ч. 2.1. ст. 83 УПК РФ). А само копирование представлено в виде переноса информации на другой электронный носитель при сохранении неизменности первоначальной информации4. Что понимается под сохранением неизменности информации, законодатель не разъясняет. Отчасти это объясняется тем, что уголовно-процессуальное доказывание оказалось не вполне готовым к «электронным» изменениям в общественной жизни. Поэтому, как отмечается в литературе, в настоящее время можно констатировать стадию осмысления и теоретического обоснования некоторых цифровых и технических категорий со стороны законодателя [4, с. 33–34].

На наш взгляд, положение о сохранении неизменности копируемой информации следует рассматривать в контексте ее пригодности для дальнейшего использования в уголовном судопроизводстве. Однако обеспечение данного предписания не всегда коррелируется на практике с техническими аспектами копирования цифровой информации. Кроме того, отмечается разное понимание «неизменности» информации участниками уголовного судопроизводства. Так, для следователя перенос информации в неизменном виде необходим для обеспечения легитимности ее доказательственного значения, а для эксперта - для решения отдельных вопросов в рамках ее исследования.

В информатике различают разные способы переноса содержания цифровой информации. Так, копирование - это базовая операция, которая просто создает новую копию объекта, побитово копируя его содержимое. Клонирование, в свою очередь, представляет собой более сложный процесс, который, помимо создания копии, может включать в себя глубокое копирование вложенных объектов и структур данных. Клонирование позволяет создать точную копию текущего устройства, включая все приложения, настройки и файлы. Это полезно, если есть опасения потери важных данных из-за случайного удаления, неисправности устройства или сбоя системы. Например, при клонировании USB-накопителя, помимо данных, переносятся главная загрузочная запись диска и таблицы разделов. В результате клонирования получается готовый образ, который состоит из всех видимых и скрытых файлов и неиспользуемого пространства диска.

Понятно, что для следователя перенос скрытых файлов не столь необходим для обеспечения допустимости получаемого доказательства. И процессуально данная технология никак не влияет на процесс сохране- ния содержимого информации на принимаемом носителе в том виде, который необходим следователю для решения его задач. Однако дело меняется, когда речь заходит о проведении отдельных исследований такой информации в рамках компьютерно-технической экспертизы. В данных ситуациях перенос скрытых файлов может иметь существенное значение. Например, при решении вопросов об установлении обстоятельств создания и использования файлов и баз данных. На цифровом уровне файл содержит не только данные, которые поместил в него пользователь, но и целый ряд специфических атрибутов, благодаря которым система распознает данный пакет информации и размещает его в хранилище данных. Для извлечения некоторых характеристик файлов или баз данных требуется владение особыми навыками в сфере компьютерной информации, а также применение специальных современных технологий и, соответственно, оборудования. В данном случае эксперт прибегает именно к методу клонирования, то есть создаёт файл-образ жёсткого диска на своём компьютере, либо через специальное программное обеспечение посекторно копирует на другой жёсткий диск. Отчасти такая методика продиктована требованием законодательства о запрете эксперту совершать действия, которые могут привести к изменению основных свойств исследуемого объекта5. В некоторых ситуациях это продиктовано задачами экспертного исследования. Так, при проведении некоторых компьютерно-технических экспертиз по- рой требуется создать точную копию исследуемого устройства памяти в целях сохранения доказательства противоправной деятельности; при этом носитель-копия должен в точности соответствовать оригиналу, включая физическую геометрию исправных и поврежденных секторов. Представляется, что именно клонирование позволяет обеспечить полноту сохранения свойств переносимой информации на специально выделенные экспертом зоны на тестовом компьютере (так называемое создание образа исследуемого носителя цифровой информации). В последующем именно над «образом» эксперт и осуществляет исследование.

Для того чтобы такой образ являлся эквивалентом оригинала, он должен представлять собой абсолютную копию исходных данных. Следовательно, каждый бит оригинала должен быть скопирован на такой образ. Для этого эксперты прибегают к различным методам клонирования носителей информации: клонирование с диска на диск в DOS; клонирование данных по сети [5, с. 58]. При этом такие действия эксперта должны проводиться только с использованием специализированного программного обеспечения, применение которого в исследовании должно быть обосновано и отражено в экспертном заключении [6, с. 113]. В частности, для копирования данных с мобильного телефона как при его осмотре, так и в ходе компьютернотехнической экспертизы используются специализированные программные средства (например, UFED Cellebrite, Oxygen Forensic Detective и пр.), которые обеспечивают извлечение информации на физическом уровне; логическое извлечение; извлечение файловой системы.

Выводы и заключение

Таким образом, современное понимание процесса копирования циф- ровой информации и правоприменительная практика его реализации предполагает учет его технических сторон в целях обеспечения эффективного решения задач уголовного судопроизводства разными его участниками (следователями, специалистами, экспертами). На наш взгляд, под копированием компьютерной информации следует понимать перенос всех данных имеющейся информации на другой электронный носитель или создание файл-образа такой информации на другом носителе с помощью аппаратных или программных методов при сохранении неизменной первоначальной информации.

Еще один немаловажный аспект, связанный с копированием цифровой информации - это обеспечение ее допустимости. Законодатель, предоставив право следователю на копирование такой информации с одного электронного носителя на другой, не установил перечень технических средств, которые могут быть задействованы в данном процессе (ч. 3 ст. 164.1 УПК РФ). Это вполне закономерно, поскольку угнаться за техническим прогрессом в данном вопросе представляется затруднительным. Однако ключевые положения применения технических средств, задействованные в копировании цифровой информации, должны быть закреплены на законодательном уровне. В первую очередь это касается вопроса сертификации используемого оборудования и программного комплекса. Это позволит избежать проблем, связанных с признанием недопустимой для использования в качестве доказательственной, полученной с их помощью цифровой криминалистически значимой информации [7, с. 27]. И самое главное - позволит минимизировать риски утери, искажения или иных инцидентов безопасности скопированной информации.