Експертиза електронної пошти: дослідження email, вкладень і метаданих
Які питання поставили експерту
Експертиза електронної пошти стосувалася трьох пов’язаних технічних завдань: зафіксувати зміст визначених електронних листів та прикріплених документів, перевірити листи на наявність ознак внесення змін після отримання, а також дослідити технологію і хронологію створення електронного документа-вкладення.
Це важливий приклад того, що дослідження email не обмежується текстом, який користувач бачить у поштовому клієнті. Електронний лист містить службові дані, а вкладений файл — власні метадані, які можуть відображати дату створення, дату модифікації, програмне забезпечення та інші технічні характеристики.
Дослідження електронних листів і вкладень
Досліджувані повідомлення зберігалися в базі поштового клієнта The Bat! на комп’ютері замовника. Експерт дистанційно оглянув відповідний комп’ютер, вивантажив потрібні електронні листи з поштової бази та переніс їх до своєї робочої станції для подальшого аналізу.
Для вивантажених файлів електронних листів були зафіксовані контрольні значення MD5 і SHA-256. Самі листи, їх службові дані та хронологія були систематизовані в окремій таблиці, а цифрові копії збережені в електронному додатку до висновку.
Перевірка електронної пошти на ознаки змін
Експерт дослідив службову структуру файлів електронної пошти на предмет можливого втручання. Службові записи у досліджених листах узгоджувалися між собою та не містили незвичайних або суперечливих даних, які свідчили б про зміну змісту після отримання.
У підсумку для досліджених повідомлень не було встановлено ознак втручання в їх зміст після того, як вони були отримані поштовою системою. Це технічний висновок щодо конкретних файлів і службових даних, а не універсальна оцінка будь-якого скриншота чи роздруківки email.
Метадані та хронологія створення електронного документа
Окремим об’єктом стало вкладення у форматі Microsoft Word. Аналіз внутрішніх метаданих показав дату первинного створення документа, дату останньої зміни, тривалість редагування, ім’я користувача, від імені якого документ створювався та змінювався, а також версію програмного забезпечення.
У конкретному кейсі метадані двох примірників вкладеного документа збігалися. Було встановлено, що файл первинно створили наприкінці 2015 року, сучасного змісту він набув у січні 2016 року, а сумарний час редагування становив близько 4,8 години. Документ був підготовлений у Microsoft Office Word 14 / Office 2010.
Результати комп’ютерно-технічної експертизи
Електронні листи та прикріплені документи були технічно зафіксовані, для цифрових файлів визначено контрольні хеш-значення. Досліджені повідомлення не містили ознак втручання в їх зміст після отримання.
Метадані вкладення дозволили відтворити ключові етапи створення та редагування електронного документа. Саме поєднання службових даних email і метаданих вкладеного файлу дало змогу відповісти на різні за змістом питання в межах однієї комп’ютерно-технічної експертизи.
Коли потрібна експертиза електронної пошти
Експертиза email може бути корисною, коли потрібно не просто роздрукувати лист, а технічно зафіксувати електронне повідомлення, дослідити його службову структуру, вкладення, контрольні значення та ознаки можливих змін. Окремий напрям — встановлення метаданих і хронології створення документа, що надсилався електронною поштою.
Для дослідження бажано зберігати оригінальні файли листів або доступ до поштової бази, а не лише скриншоти. Конкретний набір питань залежить від того, що саме потрібно встановити: зміст листування, ознаки втручання, дату створення вкладення чи інші цифрові характеристики.
Потрібна комп’ютерно-технічна експертиза?
Опишіть цифрові дані та пристрій — визначимо можливість дослідження і перелік необхідних матеріалів.