tranquil wrote: ↑18/03/2022 13:31
uglavnomja wrote: ↑17/03/2022 17:11
ocekujem na sljedecem sudjenju svjedoka iz osnovne skole da objasni sudiji sve o brisanju fajlovva, struji ...
i sipi naravno
de bolan
gdje je uostalom sipa?
da li je vjestacila pc koji je kod njih vec 5 godina?
ako jeste, a VJEROVATNO jeste, zasto nema rezultata tog vjestacenja (osim spominjanja u izjavi svjedoka da je cuo iz sipe da nije iskljucena mogucnost da je zbog struje) ?
da ukinemo sipu, da nam djeca iz osnovne budu vjestaci
ako si sudski vjestak, strucnjak za svoju oblast - ako ne znas i hoces da se ogradis - ponistavas dokaz
tako je u pravu
a u osnovnoj moze i svakako, i vjerovatno, i moguce ...
(dubok uzdah)
Pokušaću da objasnim polako i ne s visine.
Moj komentar sa djetetom se nije odnosio na to da djecu treba dovesti kao stručnjake, nego da je prosječni klinac danas takozvani "digital native" koji više zna o IT nego starije generacije, i vjerovatno bolje zna ove stvari od tebe (barem koliko pokazuješ).
Evo šta je stvar sa brisanjem podataka sa nekog medija, i zašto tvoje insistiranje na gubitku podataka usljed nestanka struje prouzrokuje da se većina informatičara hvata za glavu. Pišem iz sjećanja i iz glave jer ovo - da se odmah ogradim - NIJE moja struka, niti se pokušavam prodati kao stručnjak, ali iz specifičnih razloga znam dosta o ovome. Možda negdje griješim, ali mislim da ću dati prilično dobru predstavu o brisanju podataka.
Podaci u jednoj datoteci, kada se snime na npr. disk, nisu kompaktni. Disk je podijeljen na više sitnih jedinica, koje zovemo "sektori", i svaka datoteka zauzima jedan ili više njih. Operativni sistem (npr. Windows) zauzete sektore interpretira kao jedinstvenu datoteku jer ih ne čita sve odjednom, nego gleda samo u jedan pointer prema datoteci, nazovimo ga "indeksni sektor", u kom su informacije o drugim lokacijama na disku u kojima se nalazi sadržaj datoteke - i drugi meta podaci (ime, zadnje editovanje, i sl.).
Kada se desi da "izgubimo datoteku", to dakle nije gubljenje jednog kompaktnog dijela podataka na disku, nego se u najvećem broju slučajeva izgubio samo taj pointer, indeksni sektor, a ostali podaci su najčešće još tu, ali ih sistem ne može vidjeti kao takve, pa kažemo da smo izgubili fajl.
Čak i operacija brisanja datoteke iz npr. Windows Explorer-a je "lijeno" brisanje - sistem obriše samo indeksni sektor. Sadržaj datoteke je još na disku, ali on efektivno za sistem ne postoji. Ne, ne pričam o Recycle Bin, koji je samo specijalni folder, nego pravom brisanju, Shift-Delete - sadržaj datoteke čak i tada ostaje na disku.
Indeksni sektor se može izgubiti u slučaju naglog prekida rada ako je sistem radio obradu nad tom datotekom, i dakle radio nad tim indeksnim sektorom. Međutim, ta operacija bi trebala da bude WRITE operacija - dakle datoteka je morala biti ili u tom momentu snimana, ili editovana, da bi se prilikom naglog nestanka struje izgubio indeksni sektor, a i to je događaj prilično niske vjerovatnoće. Da bih to pojasnio, moram pojasniti šta se u ovom kontekstu misli na "obradu datoteke".
Znaš ono kada radiš u npr. Office programima, pa ti sistem ponudi da automatski snima ono što radiš, da ne izgubiš trenutni rad? Iz perspektive korisnika, korisnik obrađuje datoteku, ali iz perspektive diska, postoji samo zadnja snimljena verzija datoteke na disku, a na datoteci se trenutno ništa ne radi - sva trenutna obrada se dešava u radnoj memoriji, i onda program povremeno automatski snima to iz radne memorije na disk - jer ako ti nestane struje, izgubićeš sve poslije zadnjeg snimanja (mada i za ovo današnji programi imaju rješenja, ali to već nije tema) - ali bitna stvar je da bi snimljena datoteka bila netaknuta, u stanju u kom je zadnji put snimljena - čak i ako je korisnik drži otvorenu. Iz perspektive diska, WRITE operacija čijim se prekidom može ugroziti snimanje je samo ono povremeno pisanje na disk koje program automatski radi. Dakle WRITE operacija nad datotekom nije slučaj da je "datoteka otvorena u nekom programu", nego je to samo relativno kratki momenat kada se datoteka upisuje u sektore na disku.
Da se nasumično izgubi indeksni sektor datoteke koja je bila samo čitana, to je dakle već ekstremno malo vjerovatno. Da se nasumično izgube sektori sa sadržajem datoteke a ostale datoteke ostanu pošteđene - pričamo već o vjerovatnoći bliskoj beskonačno maloj.
Još od popularizacije računara 90-ih (možda čak i prije, ali ne smijem to čvrsto tvrditi, jer ipak nisam toliko star i nisam radio sa računarima 80-ih, a tekst pišem iz glave i ne da mi se provjeravati, niti je to toliko važno) su postojali alati koji bi prepoznavali situaciju "obrisanog pointera", i koji bi mogli rekonstruisati "izgubljenu" datoteku. Pod rekonstrukcijom se podrazumijeva da se podaci na disku, za koje ne postoji pointer, ponovo "proglase" za datoteku, i da datoteka dobije novi pointer, da se upiše novi indeksni sektor. Ime bi možda bilo izgubljeno jer je bilo u starom indeksnom sektoru, ali sadržaj je spašen.
Noviji operativni sistemi to čak i automatski rade, nakon lošeg pada sistema u momentu dok smo radili nad nekim podacima, i "gubitka" tih podataka, sistem pita korisnika da automatski popravi podatke koji su ostali da "vise" bez pointera. Siguran sam da se većini prosječnih korisnika ovo desilo barem jednom.
Podaci su zauvijek izgubljeni tek kada se fizički, preko sektora u kojima je bio sadržaj izbrisane datoteke, snimi nešto drugo. Ili ako se obriše programom specijalizovanim za pravo, dubinsko brisanje. Alternativno, podaci se mogu nepovratno izgubiti kada je disk fizički oštećen.
Sve ovo što sam do sada pričao nema puno relevantnosti za ovaj slučaj, ali može poslužiti kao pozadina. Iz informacija koje imamo o slučaju znamo sljedeće:
- datoteke u momentu nestanka struje nisu bile editovane, nego su samo čitane / pregledavane ili snimane na drugi medij, dakle nije bilo razloga da indeksni sektor, a kamoli čitava datoteka nestane zbog prekida rada, ali evo za sada ostavimo tu mogućnost; čak i ako su datoteke bile u nekom programu u "edit modu" (a ne znam zašto bi video datoteke bile pregledavane tako), opet, ako se nestanak struje nije desio u uskom momentu snimanja na disk, vjerovatno nije bilo mogućnosti da se bilo šta slučajno izbriše
- izbrisane podatke nije više moguće vratiti - to znači da ne samo da je nestao pointer na datoteku, nego i sam sadržaj datoteke u njenim sektorima na disku, vjerovatno zato što su već prebrisani drugim podacima; alternativno, nikome do sada nije palo na pamet da proba da vrati podatke, i ja idem odmah sada do Budnje da pokupim moj milion; realno, vjerovatno je to pokušano, i vidjeli su da ne može, pa ću se do kraja držati te pretpostavke da podatke više nije moguće vratiti.
- disk koliko znamo nije čitav spaljen niti uništen - ostali podaci su navodno tu; dzolix je citirao wikipediju gdje stvarno piše da gubitak podataka može doći usljed gubitka električne energije, i to je istina - međutim, najčešće je u pitanju veće oštećenje diska nastalo strujnim udarom usljed kolebanja napone pred sam nestanak. To jeste naravno moguće (nešto teže uz osigurače ugrađene u IT opremu, ali eto - moguće), ali takav rijedak slučaj havarije, koji bi zaobišao i osigurače i udario po disku uništava fizički "sve pred sobom", i tada bi uništio sve podatke, a ne samo neke, naročito ne ciljano datoteke koje su specifično vezane za ovaj slučaj.
- jedina informacija o obavljenom vještačenju koje imamo je da su ga obavili MUP KS i Agencije za forenzička ispitivanja i vještačenja BiH, i to je informacija objavljena 2021, dakle 5 godina nakon slučaja. Ne znam da li je vještačenje obavljeno tada ili 2016, niti znam da li je disk izuzet odmah ili 5 godina poslije (ako neko ima preciznu informaciju neka me dopuni)
E sad, pošto nije bilo moguće vratiti podatke, znači da su podaci skroz nestali sa diska, a ne samo pointer, a disk nije fizički oštećen, i to se prilično sigurno moralo desiti brisanjem. Da bi se desio scenario slučajnog nestanka baš tih podataka, moralo bi se desiti sljedeće:
- nestalo je struje, i uništen je ne samo pointer, nego i ostali sektori predmetne datoteke nad kojom u tom momentu nije bilo aktivne "WRITE" operacije, a pri tome su ostali podaci na disku ostali neoštećeni
I ovo je ekstremno rijetko, i to još pod pretpostavkom da su svi snimci bili u jednoj datoteci. Kako znamo da su nestali snimci sa 16 kamera, ne poznajem taj sistem, ali realno je pretpostaviti da je u pitanju bilo više datoteka. Zamisli sada vjerovatnoću da nestane struje i obriše tačno 16 datoteka sa diska - a ostale poštedi?
To je i dalje teoretski jedva moguće, ali na nivou teoretske mogućnosti da nekoga usmrti meteor. Da, moguće je, ali to se realno ne dešava.
E sad, vjerovatnoća ovisi i o tome kada je izvršeno vještačenje.
Ako je disk odmah izuzet i nije se dirao do vještačenja, i uprkos tome nije bilo moguće vratiti datoteku, to znači da ju je neko stručno obrisao tako da se ne može vratiti. Vjerovatnoća da je slučajno nestalo usljed nestanka struje je ekstremno niska ("meteorska").
Ako disk nije odmah izuzet, ostavljam mogućnost da je vjerovatnoća nešto viša, ali i dalje ekstremno niska, i to samo ako se umiješala nesposobnost / informatička nepismenost aktera, kao naprimjer u sljedećem scenariju:
- nesposobnjakovići koji su radili u Hotelu sa tim sistemom i policija su u neznanju slučajno editovali sve datoteke u pitanju (svih 16 ili koliko već), umjesto da ih samo kopiraju
- nestalo je struje baš u momentu neke nespretne "save" akcije za sve datoteke, i pointeri (svih 16+) su obrisani, sistem više neće prepoznati datoteke (podaci su i dalje na disku).
- nakon ponovnog dizanja sistema, sistem nije ponudio da vrati podatke, ili je ponudio, a neko nesposoban odbio
- disk nije odmah izuzet i u hotelu su nastavili da ga koriste, pa je s vremenom sadržaj datoteka prebrisan novim podacima i više ga nije bilo moguće vratiti
Ovo je malo realističniji scenario od meteora, ali i dalje ekstremno nevjerovatan, jer je nestanak indeksnog sektora i dalje rijedak događaj, a ovdje se mora još poklopiti i sa ekstremnom nesposobnošću policije i osoblja hotela, i uzeti u obzir činjenicu da je vjerovatno bilo više datoteka, da su sve istovremeno morale biti iz nekog razloga ponovo pisane na originalni disk u momentu nestanka struje, i da se svima - gle čuda - desilo apsolutno isto - da nestanu.
Sada je, nadam se, jasnije zašto je "nestanak struje" kao uzrok nestanka datoteka smiješno loš izgovor.
I veoma važno, zašto su forenzičari rekli "vjerovatno" a ne 100%?
Ako su za vještačenje dobili disk kojem nije moguće vratiti obrisane podatke, a koji nema ostataka te datoteke - oni više ne mogu utvrditi kako je datoteka nestala. Gotovo, taj voz za 100% je prošao, oni mogu samo da utvrde šta kažu ljudi koji su zadnji radili na tim podacima, i dođu do zaključaka šta je vjerovatno a šta ne, kao što sam i ja to radio.
I onda su vjerovatno zaključili nešto ovako:
- ako u momentu nisu aktivno radili na datoteci, nego je samo čitali / kopirali na drugi medij, postoji ekstremno mala mogućnost da su pointeri na sve relevantne datoteke obrisani tokom nestanka struje
- ako pointeri i jesu nestali moguće ih je bilo odmah vratiti, osim u slučaju još ekstremnije mogućnosti da su i ostali sektori gdje su bile te datoteke slučajno obrisani
- zato i jeste "vjerovatno" obrisan ne slučajno, nego s namjerom.
Niti jedan stručnjak više ne može reći 100%, ali može reći šta je u datom slučaju realno moguće, a šta ne.
Da još jednom kažem da nisam stručnjak za ovo, mogu se nazvati samo računarskim entuzijastom već 3 decenije, i naprednim korisnikom, ali sam sticajem okolnosti preko deceniju radio u jednoj manjoj i kompaktnoj kompaniji na istim projektima zajedno sa ljudima koji jesu jako dobri stručnjaci za ovu oblast, čak su i (u to vrijeme bili) certificirani za sudsko vještačenje i forenziku. Prisustvovao sam i učestvovao u vraćanju više datoteka (neke od kojih sam i sam brisao
slučajno naravno) nego što su mnogi vidjeli u životu. Možda nisam u svemu gore u pravu, ali ovo što sam dao je gruba i pojednostavljena slika, i uz malo više ili manje detalja ovu priču zna svaki napredni korisnik IT sistema, naročito oni koji se bave time duže od dvije decenije, još iz DOS vremena kada je ovakvo znanje bilo potrebnije nego danas, i kada je tadašnji "prosječni" korisnik računara morao znati, ili se barem sretati sa stvarima kao što su chkdsk ili rješavanje bad blockova.
