Цифровая контрреволюция

Юридическая значимость оригинальных документов и их копий существенно различалась фактически с самого начала использования документов для удостоверения юридически значимых сведений. Именно из тех времён идёт подкреплённая необходимостью традиция выполнять важные документы на «гербовой» бумаге и скреплять их «гербовой» печатью и заверять витиеватой подписью. 

Про китайского медведя,который ходит задом наперёд

Быстренько закончил работу по записи, сделанной цифровым регистратором. Сохранено это чудо было в файлик формата VVF.

Про Обстоятельства

Обстоя́тельство в синтаксисе русского языка — второстепенный член предложения, зависящий от сказуемого и обозначающий признак действия или признак другого признака.
По значению, которое выясняется вопросами, обстоятельства делятся на следующие основные виды: времени, места, образа действия, чего-то там еще.

Это из кладезя знаний, из Вики. Но очень осветляет моск, когда пытаешься задуматься, что же такое обстоятельства видеозаписи.

Обстоятельства записи - это время, место и технология проведения съемки.
Эти факторы всегда отражаются в видеоизображении, но мы не всегда их видим, не всегда имеем в распоряжении достаточно сил и средств, чтобы выяснить эти самые обстоятельства времени, места и действия.
Хотя, на самом деле - было бы желание.

Вот такие наши условия...

Название экспертной специальности звучит как «Исследование видеоизображений, условий, средств, материалов и следов видеозаписей». Что такое эти условия, зачем они – долгое время не вдавался в эти подробности. Пока не вслушался во фразу про работу в нечеловеческих условиях. Сразу стало понятно, что условия видеозаписи, именно процесса видеозаписи, а не «условия видеозаписей», где из контекста «видеозаписями» называются объекты, а не процесс…

уч´úл Λлбáнскиj

апщался с коллегами.
"принял участие в обсуждении способов иллюстрирования результатов формантного анализа в заключении".

Проточность

Исследование обстоятельств ДТП, зафиксированных видеозаписью, в значительной степени связано с решением задач определения положения и скорости ТС в кадре.

e!

Тут дошли руки до разобраться и опробовать вот такой инструмент.
Программка имеет четыре больших плюса: она создана именно как инструмент исследования изображений, она кроссплатформенна, она открыта и она бесплатна.
Есть в программке замечательная функция ANALYZE PARTICLES. Она выделяет на бинарном изображении фигуры (некоторые свойства которых можно предварительно задать) и измеряет у этих фигур всякое.

Точка зрения...

Каковой бы она не была у человека, увиденное обойдётся без искажений. Смотрелки так устроены.
С видеокамерами всё иначе.

... что надобно нам взять за образцы

Который раз зашел разговор за тот шестнадцатеричный редактор, коим так легко подделать метаданные и убить тем всякую возможность выявить подделку.
Кого-то может и обманут несколько строк из EXIF, увиденные с помощью всевозможных смотрелок. Но эксперт ведь смотрит не всевозможными смотрелками, а весьма специфическими. И совсем не то, что исправлял апологет контрфоренсики.
Помимо специальных смотрелок, увидеть нужное помогают образцы. В качетсве таковых иногда вполне подойдут кадры, прилагаемые к обзорам фототехники, которых есть в этих ваших интернетах.
Только прежде, чем приступать сравнивать, неплохо убедиться, что оно точно не Save For Web.

Артефакт

Исследую фотографию. На фотографии - лист дела, на котором ксерокопия другого листа дела. Без всякого увеличения в глаза бросается муар, отчетливо видимый на сером фоне откопированной страницы. На белой бумаге и деревянном рисунке стола муар не проявился:

Есть мнение, что причиной муара является то обстоятельство, что на растр матрицы фотоаппарата наложился растр цифрового копира, которым отпечатана сфотографированная копия.
Интересно.
UPD
Поступили сведения об обстоятельствах дела. Копия получена с помощью цифрового фотоаппарата и лазерного принтера. А не цифрового копира, как я думал. Но в целом версия происхождения муара подтвердилась. Это хорошо.
UPD END

Стремительным аллюром

сделал большой кусок работы, начатой вот здесь.
Получилась такая большая экселевская простыня. Не так поэтично, как текстовка, но более упорядоченно и наглядно. Как всегда - в начале работы трудно увидеть структуру, какой она должна быть. Как понял и увидел - наполнять её фактическими данными - плёвое дело.

Ну и по ходу выкристаллизовались такие вот соображения:

1. Файл цифровой фотографии, аудио- или видеозаписи (ФАВ) содержит как информацию о документируемом событии (контент), так и информацию об обстоятельствах создания файла. В связи с этим все задачи, решаемые исследованием ФАВ, необходимо разделить на две группы.
2. Первую группу составляют задачи, связанные с исследованием контента, которые можно разделить на идентификационные, связанные с идентификацией объектов, зафиксированных ФАВ, и диагностические, связанные с установлением свойств этих объектов. При этом как идентификация, так и диагностика могут являться предметом отдельного вида экспертизы (портретная для идентификации личности по фото/видеоизображению, фонографическая для идентификации личности по голосу и речи, фототехническая для определения размеров объектов в кадре)
3. Отдельно следует выделить задачу реконструкции контента, которая решается использованием различных методов фильтрации, коррекции параметров сигнала и т.д. Задача реконструкции не является самостоятельной задачей и её решение связано с решением иных задач исследования контента (установление дословного содержания разговора, определение номеров ТС и т.д.)
4. Вторую группу составляют задачи, связанные с исследованием обстоятельств создания файла ФАВ, которые так же делятся на идентификационные и диагностические: идентификации подлежат устройства документирования или программные продукты, с помощью которых создан файл, диагностика связана с установлением первичности или вторичности контента, обнаружением следов возможного монтажа.
5. Отдельно следует выделить комплекс задач, решаемых методами СКТЭ: восстановление данных (в т.ч. с повреждённых носителей), извлечение данных неизвестного формата (потоковые видеорегистраторы). Задача так же не является самостоятельной, результаты ее решения используются как при исследованиях контента, так и при установлении обстоятельств создания файлов.
6. Если задачи, связанные с исследованием контента являются «контентозависимыми», в связи с чем образуют достаточно широкий спектр, то во второй группе всего две задачи, решение которых, с одной стороны, достаточно хорошо алгоритмизируется, с другой – связано с использованием одних и тех же методов.

ЗЫ Действительно, галопом. Три раза пришлось уже загруженное править.   

Кайло и лопата

Каменный топор в руках питекантропа эффективнее микроскопа, кто бы спорил. К сожалению, обратное не всегда верно. Инструмент во многом определяет возможности исследования и даже его методологию. Так что невинный детский вопрос "чем делать?" не напрасно озвучивается первым.

В общем, есть смысл поговорить за инструмент инвестигатора. Что, для чего и на сколько хорошо.

Матрёшки

Продолжая тему про мореходные качества яхт, замечу, что проблемы с именованием и описанием свойственны не только экспертам и касаются не только дисков. Если копнуть глубже и распахнуть ширше, то есть чему радоваться.

Из всяческих типологических и порожденных ими терминологических казусов мне ближе некотороые такие:

Следователь эксперту:
«Каково дословное содержание фонограммы?»

Эксперт считает себя умнее, переформулирует вопрос:
«Каково дословное содержание разговора, зафиксированного на рабочем слое … диска в файле ХХХ?»

Как видно, не один не смог правильно разобрать/собрать ту матрёшку, которую представляет собой множество объектов исследования.

Попробуем мы. Вдруг получится?

Про компактные диски etc

"Как вы яхту назовёте, так она и поплывёт"

Капитан Врунгель

То, что чуть ниже, я уже публиковал вот здесь. Поскольку прочитать могут не все, перекинул  в здесь. Дело в том, что тема требует продолжения, о котором позже.

Подавляющее большинство описаний дисков, что встречались мне в заключениях экспертов и не совсем, чуть более чем полностью состояло из нагромождения фактологических и терминологических ошибок.
Как обзывают диски в заключениях? Как это делают любезные читатели?
"CD-диск", "компакт-диск DVD", больше всего умиляет "компакт-диск CD"
Как специалист в области языкознания, могу утверждать, что

Структура файла как идентификационный признак

Продолжая тему, начатую ранее, отмечу, что весь понт программы JPEGsnoop стоит на том, что она умеет сопоставлять данные из EXIF и таблицы квантования ДКП. Остальное эксперт должен анализировать сам, лично. При этом в лог программы не попадают те детали структуры файла, которые... не попадают. А между тем, анализ структуры файла JFIF может поведать очень много интересного. Просто потому, что спецификация очень гибкая, и лепит каждый кто во что горазд.

Как пример можно сравнить структуру маркеров в двух файлах JPG, один из которых создан камерой CANON EOS350D, другой - получен из первого через "Сохранить как" в IrfanView:

 Canon EOS350D        !  IrfanView 4.30

----------------------!---------------------- 

 Marker: SOI  (xFFD8) ! Marker: SOI  (xFFD8)

 -------------------  ! Marker: APP0 (xFFE0)

 Marker: APP1 (xFFE1) ! Marker: APP1 (xFFE1)

 Marker: DHT  (xFFC4) ! -------------------

 Marker: DQT  (xFFDB) ! Marker: DQT  (xFFDB)

 Marker: DQT  (xFFDB) ! -------------------

 Marker: SOF0 (xFFC0) ! Marker: SOF0 (xFFC0) 

 -------------------  ! Marker: DHT  (xFFC4)

 -------------------  ! Marker: DHT  (xFFC4)

 -------------------  ! Marker: DHT  (xFFC4)

 -------------------  ! Marker: DHT  (xFFC4)

 Marker: SOS  (xFFDA) ! Marker: SOS  (xFFDA)

 Marker: EOI  (xFFD9) ! Marker: EOI  (xFFD9)

Пробитые пиксели

При обсуждении возможностей идентификации устройства документирования по фотоснимку на форуме COMPUTER FORENSICS AND INVESTIGATIONS один из участников напомнил присутствующим, что можно использовать индивидуальную картинку, которую дают битые пиксели, имеющиеся, в принципе, на каждой матрице.

В общем, конечно же да. Безусловно. Только вот одно НО.

Вот кадр, на котором хорошо видны битые пиксели:

А вот кадры, где они не видны : 

Проблема только одна: научиться обнаруживать битые пиксели на произвольном, а не экспериментальном кадре.

Просто пример

На форуме COMPUTER FORENSICS AND INVESTIGATIONS промелькнула однажды вот такая фотография из практики СЗРЦСЭ:

Мне нравится с её помощью иллюстрировать техническое исследование фотоснимков. 

Во первых, методом пристального изучения деталей картинки видно, что около ручки задней двери, несколько ниже неё, отразился, судя по всему, фотограф с другом. Возникает вопрос, почему больше ничего внятного не отразилось? Ответ прост: потому, что двери заретушировали так, что ниже передней дверной ручки закрасили зазор между ними. Какое уж там отражение?

При внимательном рассмотрении видно, что на капоте авто что-то нарисовано. Этого почти не заметно, но оно есть. Там в комплекте было еще несколько снимков, в том числе - вид спереди. Досадно, но на том снимке капот чистый. Это к тому вопросу, что чем больше подделываешь, тем легче накосячить - во-первых, и никакой объём исследуемого материала лишним не бывает - это во-вторых.

Если воспользоваться JPEGsnoop'ом, вот что мы увидим:

1.  В файле имеется маркер APP1(xFFE1), в котором есть информация, позволяющая идентифицировать камеру и определить время съёмки:

EXIF MakerIFD @ Absolute 0x000002BB

[Canon.ImageType ] = "Canon EOS 400D DIGITAL"
[Canon.FirmwareVersion ] = "Firmware 1.0.5"
[Canon.SerialNumber ] = 1180613288

EXIF SubIFD @ Absolute 0x00000101

[DateTimeOriginal ]  = "2008:09:12 15:49:06"
[DateTimeDigitized ] = "2008:09:12 15:49:06"
  

2. В файле имеется маркер APP0 (xFFE0) OFFSET: 0x00000002. Если вы внимательно читали предыдущие посты, то уже знаете, что этот маркер  firmware аппаратов Canon не пишет. Пишет какое-то другое ПО.

3. Видимо, это то ПО, которое вписало в файл маркер APP13 (xFFED):

OFFSET: 0x00003E78

...

Identifier = [Photoshop 3.0]

4. Вот и результаты сравнения матриц ДКП нам такое вот говорят:

EXIF.Make / Software      EXIF.Model   Quality  

SW :[Adobe DNG Converter]              [ ]  

SW :[Adobe Photoshop ]                 [Save As 05 ]

5. В EXIF есть еще такая вот ссылочка: 

EXIF IFD0 @ Absolute 0x00000026 

[Software ] = "ACD Systems Digital Imaging"

[DateTime ] = "2008:09:12 19:18:10" 

которая нам как-бы намекает. 

Как связаны ACDSee и Photoshop 3.0 в этом конкретном случае, мы не будем разбираться. Может,  ACD Systems лицензировали древний код от Adobe, может, рачительный фотохудожник реально работает антиквариатом, не знаю. 

6. А вот зато нам JPEGsnoop подсказывает, что есть в файле миниатюра, да еще пожатая жипегом:

*** Embedded JPEG Thumbnail ***
Offset: 0x00001727
Length: 0x00002751 (10065)

Осталось сделать Image Search FWD и Export JPEG, и вот, voila: 

Оказывается, иконка, созданная фирмварью Канона, осталась в неприкосновенности. ACD Systems и возможно, даже  Photoshop не трогают маркеры, не относящиеся напрямую к данным основного изображения.

Что не может не радовать.

Видите, как всё легко? Не радуйтесь, это не даром показательный пример. 

JPEGSnoop part III

Ранее были часть I и часть II

После первого месяца экспериментов с программой рекомендуется всё же ознакомиться с функциями её меню:

File\Open – абсолютно ненужный пункт меню, дублирующий кнопку с открытой папочкой

File\Save Log – сохраняет результаты работы в текстовый файл.

File\Reprocess – повторно декодирует файл, что полезно после изменения параметров обработки

Опции меню View позволяют задавать масштаб изображения, управлять выводом отдельных каналов, накладывать сетку границ MCU на изображение.

 

Options\DHT Expand – включает дополнительное отображение таблиц Хаффмана в виде бинарных строк переменной длины:

 ----------------------------------------------------------

  Expanded Form of Codes:

    Codes of length 02 bits:

      00 = 00 (EOB)                      (Total Len =  2)

    Codes of length 03 bits:

      010 = 01                           (Total Len =  4)

  ...

    Codes of length 09 bits:

      111111110 = 0B                     (Total Len = 20)

 ----------------------------------------------------------

Options\Hide unknown EXIF tags и – абсолютно неэкспертная опция, скрывающая те теги EXIF,которое не известны JPEGsoop’у

Options\Maker Notes – еще одна неэкспертная опция: вкл/выкл декодирование раздела Maker Notes, который содержит дополнительную информацию производителя. Автор программы рекомендует отключать эту опцию, потому как производитель хранит в этом разделе всякое непонятное, которое только занимает место в логе и отвлекает внимание. Очень nonforensic approach.

Options\Scan Segment\Decode Image  - включить декодирование сегмента данных изображения. Одновременно проверяются коды переменной длины и выявляются ошибки данных (если есть). Одновременно выполняется преобразование YCbCr > RGB.

Options\Scan Segment\Histogram RGB – если включен режим Decode Image, включается отображение гистограммы трёх цветовых каналов RGB.

Options\Scan Segment\Histogram Y – если включены режимы Decode Image и Histogram RGB, включается отображение гистограммы яркостного канала Y.

Учитывая размер гистограмм, само их отображение имеет скорее декоративный, чем прикладной характер. Значение данной опции придаёт только то обстоятельство, что при включении режима Histogram Y в лог скидывается дамп данных, на основе которых строится гистограмма. Дамп содержит значения постоянной составляющей яркости всех MCU (блоков 8x8 пикс), на которые разбита картинка, в диапазоне величин  [-1024;+1023].

Options\Scan Segment\Full IDCT – включает режим полного обратного ДКП, в результате чего вычисляются и постоянная и высокочастотная составляющие компонентов сигнала для каждого MCU. Режим обеспечивает максимальное разрешение картинки, но притормаживает процесс обработки.

Options\Scan Segment\No IDCT – восстанавливается только постоянная составляющая компонентов. Картинка рисуется быстро, но не очень качественно.

Options\Scan Segment\Dump – после включения опции в лог после заголовка маркера SOS записывается 640 байт дампа данных.

Options\Scan Segment\Detailed Decode – включает режим детальной расшифровки кодов переменной длины для MCU с заданными координатами.

Options\Configuration – открывает меню некоторых дополнительных настроек программы.

Tools\Image Search Fwd, Image Search Rev  - поиск от текущей позиции очередного маркера SOI(Start Of Image) по сигнатуре 0xFFD8.

Tools\Lookup MCU Offset – поиск смещения от начала файла, по которому расположен MCU, содержащий пиксели с заданными координатами. Используется в основном для работы с повреждёнными данными.

Tools\File Overlay – замена фрагмента файла

Tools\Search Executable for DQT – поиск исполняемого кода, выполняющего ДКП. Функция может быть использована для модернизации кода сканеров, фотоаппаратов и т.д. с целью изменения качества сохраняемого JPEG изображения.

Tools\Add Camera / SW to DB... – добавление сигнатуры таблиц ДКП в локальную базу данных.

Tools\Export JPEG – экспорт данных изображения в отдельный файл. Может быть использован для извлечения миниатюр, кадров из видеофильма формата AVI Motion JPEG

Например, для поиска миниатюр необходимо запустить поиск   Image Search Fwd/Rew, затем, если найденный блок действительно представляет собой миниатюру (в нижнем окне программы она отобразится в виде малюсенькой иконки), следует выполнить экспорт в файл.   

Свои соображения про некоторые недостатки JPEGSnoop именно как экспертного инструмента, я изложу по возможности...   когда нибудь.

Пример технического исследования цифрового фотоснимка с использованием JPEGsnoop

JPEGSnoop, part II

Чуть раньше была часть I

JPEGsnoop понимает, что такое тег EXIF. Данные тега размещаются в маркере АРР1 и в данном случае позволяют идентифицировать конкретную фотокамеру (см. Cannon.SerialNumber):

Следует отметить, что в файле отсутствует маркер АРР0.

В этом случае данные EXIF не противоречат значениям таблиц квантования, на основании чего сделан вывод, что файл создан заявленным устройством документирования:

Если в базе данных программы не содержатся сведения о таблицах квантования, программа оказывается в растерянности:

А вот в случае, когда данные EXIF противоречат результатам сравнения таблиц квантования, сомнений никаких нет:

Следует отметить, что файл отредактированного изображения не потерял маркера АРР1 с данными EXIF, а наоборот, приобрел дополнительный маркер АРР0, который, вообще-то, программным обеспечением камеры не создаётся (что видно по предыдущей картинке). В этом заключается отличие графических редакторов от редакторов звука и видео. Последние не церемонятся с метаданными и заново переписывают всю структуру файла.

Таким образом, для вывода об обработке данных важны не только сами по себе сведения тега EXIF и значения таблиц квантования, но и само наличие и расположение маркеров в файле.

Продолжение следует...