En forensisk kopi er en nøjagtig kopi af alle data på en disk, en telefon eller en konto, taget på en måde der ikke ændrer originalen, og hvor det dokumenteres med hashværdier, at kopien er identisk. Det er den forensiske kopi, der gør det muligt at undersøge beviser uden at røre ved originalen.
Almindelig kopi og forensisk kopi
- Hvad kopieres · Almindelig kopi: De filer, man kan se · Forensisk kopi: Alt, også slettede områder og systemdata
- Ændrer originalen · Almindelig kopi: Ofte, fx tidsstempler · Forensisk kopi: Nej, originalen er skrivebeskyttet
- Metadata · Almindelig kopi: Kan ændres undervejs · Forensisk kopi: Bevares
- Bevis for identitet · Almindelig kopi: Ingen · Forensisk kopi: Hashværdier for original og kopi
- Dokumentation · Almindelig kopi: Sjældent · Forensisk kopi: Hvem, hvornår, hvordan og med hvilket udstyr
Hvordan laves en forensisk kopi?
- Skrivebeskyttelse: Disken tilsluttes gennem en skrivebeskytter, så intet kan skrives til den.
- Kopiering: Hele disken kopieres bit for bit til en fil eller en anden disk.
- Hashværdier: Der beregnes en hashværdi af original og kopi. Er de ens, er kopien identisk. → Hashværdier
- Dokumentation: Udstyr, tidspunkter, serienumre og hashværdier skrives ned. → Kæde af ansvar
Derefter arbejdes der kun på kopien. Originalen kan opbevares urørt og bruges, hvis nogen senere vil kontrollere resultatet.
Telefoner og cloud
En telefon kan ikke altid kopieres bit for bit. Her bruges specialværktøjer, der henter så meget som muligt ud, afhængigt af model og om koden er kendt. Data i skyen, for eksempel Microsoft 365, sikres med tjenestens egne funktioner til eksport. Princippet er det samme: dokumentér, hvad der er hentet, og beregn hashværdier.
Hvorfor ikke bare kopiere filerne?
- Du får ikke slettede data med.
- Tidsstempler og andre metadata kan ændres.
- Du kan ikke bevise, at intet er ændret.
- Modparten kan påstå, at der er udvalgt eller manipuleret.
Hvor lang tid tager det?
En forensisk kopi af en almindelig bærbar computer tager typisk fra en til flere timer, afhængigt af diskens størrelse og hastighed. Medarbejderen kan som regel få en anden computer imens.
Hvem bør lave den?
En IT-sagkyndig med erfaring i bevissikring og det rigtige udstyr. Det er ikke en opgave for den almindelige IT-afdeling, hvis beviset skal kunne bruges i en tvist. → Sådan foregår en bevissikring
