Soud čte report programu, ne data z telefonu

V jednací síni se na plátně objeví profesionální report. Sloupce jsou zarovnané, časy přesné na sekundu, kontakty pojmenované. Právě proto se skoro nikdo nezeptá, co muselo proběhnout mezi pamětí telefonu a tímhle čistým řádkem.

Na obrazovce stojí tři položky. Zpráva odeslána ve 14:32. Poloha X. Kontakt Y. Tabulka nevypadá jako názor. Vypadá jako otevřený telefon, který se naučil mluvit úředním jazykem.

Telefon takovou větu nejspíš nikde neuchovával. Mohla v něm být čísla, vazby mezi tabulkami, časová hodnota bez viditelného pásma a příznak, jehož význam určuje konkrétní verze aplikace. Lidsky srozumitelná věta vznikla až cestou.

Klíčová otázka nezní, jestli program lže. Přesnější je, co přesně přečetl, co odvodil a co ještě přidal člověk.

Vezměme jediný řádek a pojďme opačným směrem. Mezi zařízením a lidským závěrem stojí nejméně osm vrstev. Živé zařízení se šifrováním a dočasnými soubory. Obraz, který určuje, co bylo vůbec dostupné. Databáze, která bez schématu a verze aplikace nedává smysl. Parser, který rozhodne, že pole znamená čas nebo směr zprávy. Normalizace epoch a jednotek. Rozhraní, které sloučí účty a pojmenuje kontakty. Report, který vybere sloupce. A analytik, který zvolí řádek a formulaci závěru.

Číslo 1713184320000 může program převést na 15. dubna 2024 ve 14:32 středoevropského letního času. K výsledku se ale přidaly nejméně tři předpoklady. Že jde o unixový čas. Že hodnota je v milisekundách. Že se má zobrazit v pásmu Praha. Kdyby databáze ukládala lokální čas nebo jinou epochu, stejná aritmetika by vytvořila přesný, ale chybný údaj.

Direction rovná se 1 není přirozeně „odesláno“. Je to jednička. Význam jí dává schéma aplikace a pravidlo parseru.

Nejzrádnější chyba nevypadá jako porucha. Program nespadne, report se nerozsype, řádek není červeně. Výstup je úplný, uhlazený a vnitřně konzistentní. Jen jedno pole bylo vyložené podle starého schématu, jedna časová hodnota podle špatné jednotky, nebo jedna tabulka v nové verzi aplikace nebyla rozpoznaná.

Změna databázového schématu může přesunout význam do jiného sloupce. Neznámá verze aplikace může obsahovat strukturu, pro kterou parser používá jen podobné pravidlo. Americký NIST výslovně upozorňuje, že obnova smazaných dat může zahrnout i nadbytečný materiál a že parser může při chybném rozpoznání struktury položky vynechat, nebo je zobrazit špatně.

Takové chyby bývají spíš systematické než náhodné. Když pravidlo zamění význam určitého příznaku, nezmýlí se jednou z tisíce. Může se stejně zmýlit u každého záznamu, který splní tutéž podmínku. Konzistence pak paradoxně působí jako potvrzení správnosti.

Důležité je rozlišovat čtyři různé věty. Nenalezeno. Neextrahováno. Nepodporováno. Neexistuje. Prázdná kategorie v reportu neprokazuje, že telefon příslušná data neobsahoval.

Čím profesionálněji report vypadá, tím snazší je přehlédnout, že jeho přesnost může být přesností výpočtu, ne jistotou významu.

V digitální forenzice má hash zásadní roli. Otisk zdrojového obrazu a pracovních kopií umožňuje doložit, že se analyzovaná posloupnost dat nezměnila. Hash ale neodpoví, jestli byla extrakce úplná, jestli parser poznal správné schéma, jestli se čas převedl ve správném pásmu, ani jestli záznam dokládá jednání konkrétní osoby.

Může dokonale chránit nesprávnou interpretaci. Potvrzuje neměnnost vstupu, ne správnost překladu.

Proto je vedle integrity důležitá auditní stopa. Kdo a kdy zařízení převzal. Jaký typ akvizice provedl. Jaké nástroje a verze použil, s jakým nastavením. A odkud přesně pochází rozhodující artefakt.

Dobrá forenzní praxe nestojí na přesvědčení, že náš software se nemýlí. Stojí na procesu, který s chybou počítá, umí ji hledat a umí popsat zbytkovou nejistotu.

Odborná skupina SWGDE doporučuje testované metody, znalost známých anomálií, dokumentaci, technický přezkum a kombinaci nástrojů podle rizika konkrétního závěru. Validace doloží, že metoda je vhodná pro zamýšlený účel. Verifikace zkontroluje, že konkrétní provedení pracuje tak, jak se čeká. Reprodukovatelnost umožní, aby jiný kvalifikovaný odborník došel k materiálně shodnému zjištění. Peer review je technický přezkum druhou kvalifikovanou osobou.

Nezávislý nástroj může artefakt ověřit jiným parserem. Dva programy ale nejsou automaticky nezávislé, pokud sdílejí knihovnu nebo stejný předpoklad.

Specialista vysvětlí řádek za pár minut. Ostatní často vidí až výsledek. Čím techničtější je mezivrstva, tím snáz se přezkum změní v otázku osobní důvěry.

Soudce nemusí umět napsat parser. Musí ale dostat dost, aby mohl hodnotit základ, logiku a limity závěru. Ústavní soud v nálezu sp. zn. I. ÚS 1785/21 zdůraznil, že znalecký posudek nemá privilegovanou sílu. Prověřuje se celý proces vzniku. Podklady, metoda i způsob, jakým se z nich vyvodily závěry.

U digitálního důkazu to znamená, že přezkoumatelnost má umožnit konkrétní otázky a konkrétní odpovědi. Jaký byl primární zdroj a typ akvizice. Jaký nástroj, verze a nastavení vytvořily výstup. Z jakého souboru a záznamu rozhodující položka pochází. Které části jsou přímo uložené hodnoty a které jsou výsledkem mapování. Jak byl převeden čas. A jestli byl klíčový artefakt ověřen jinou metodou.

Je snadné sklouznout k opačnému extrému a tvrdit, že skutečným důkazem jsou jen surové bajty. Nejsou. Bajt bez struktury je stejně málo srozumitelný jako písmeno bez jazyka.

Moderní telefon obsahuje ohromné množství dat rozptýlených mezi databázemi, žurnály, kontejnery, systémovými službami, zálohami a cloudovými vazbami. Forenzní software opakuje rutinu, udržuje vazby, indexuje a převádí. Dilema „člověk, nebo software“ nic neřeší. Člověk bez softwaru velkou část digitální reality neuvidí. Software bez člověka neví, na jakou právní otázku odpovídá. Potřebujeme obojí. A mezi nimi viditelnou kontrolní vazbu.

Přezkoumatelnost neznamená zahrnout soud stovkami stran hexadecimálních výpisů. Report může být jednoduchý. Rozdíl je v tom, jestli se pod ním dá dojít ke zdroji, k verzi nástroje, k tomu, co je uložená hodnota a co je výklad, a k odchylce, kterou nikdo neuhladil.

Nemusí znít, že telefon prokazuje odeslání zprávy ve 14:32. Může znít přesněji. V databázi X byl v záznamu Y nalezen příznak, který parser verze Z pro podporované schéma bere jako odchozí zprávu. Čas se převedl z UTC na Europe/Prague a výsledek se ověřil na zdrojovém záznamu.

Na obrazovce zůstává stejný řádek. Zpráva odeslána ve 14:32. Poloha X. Kontakt Y. Po cestě zpátky už ale nepůsobí jako věta, kterou telefon sám napsal pro soud.

Je to odborné tvrzení. Vzniklo ze zachovaných dat, z rozpoznané struktury, z pravidel parseru, z převodů v rozhraní a z lidského výběru. Tím se důkaz automaticky neoslabuje. Naopak. Když známe jeho původ, můžeme zjistit, která část je pevná, která závisí na verzi, která byla ověřená a kde zůstává nejistota.

Důvěra pak nestojí na logu programu ani na autoritě specialisty. Stojí na cestě, kterou jde znovu projít.

Digitální důkaz není jen to, co bylo nalezeno. Součástí důkazu je taky cesta, kterou se z nalezených dat stal lidsky čitelný význam.

- NIST IR 8354 (2022). Digital Investigation Techniques: A NIST Scientific Foundation Review.
- SWGDE. Minimum Requirements for Testing Tools; Establishing Confidence in Digital and Multimedia Evidence Forensic Results by Error Mitigation Analysis.
- ISO/IEC 27037 a 27042. Zajištění digitálních důkazů a jejich analýza a interpretace.
- Horsman (2018). Tool errors, tool limitations and user error in digital forensics. Science & Justice.
- Nález Ústavního soudu sp. zn. I. ÚS 1785/21.

Původně publikováno na jinykontext.cz: https://jinykontext.cz/clanek/kdyz-dukaz-prelozi-program