|
10-05-2007, 14:16:10
http://adamselene.redliberal.com/Peritaj...ticos.html
Primero dice que es terriblemente dificil sacar archivos de un disco duro, y al final se sorprende de que algunos ficheros tengan una fecha posterior. En fin.
10-05-2007, 14:36:00
Ambos razonamientos son bastante absurdos. Ya le he respondido brevemente, tampoco he querido entrar demasiado en tecnicismos...
10-05-2007, 14:55:15
Me parece increíble que Adam se suba de esa forma a un barco que se está hundiendo. Terrible ejemplo de que la fe ciega en una ideología puede llegar a nublar cualquier intelecto.
[A los creyentes] les competerá difundir lo que otros han acuñado; ya que ningún hombre suelta y expande la mentira con tanta gracia como el que se la cree.
10-05-2007, 16:32:49
Bueno, por fin puedo ser útil.
Da la casualidad de que yo soy "perito informático". Para ser exacto soy consultor de seguridad de la información, y una de mis atribuciones es realizar el análisis post mórtem - peritaje de sistemas informáticos tras incidentes de seguridad. La información que da el autor de ese artículo es incompleta y sesgada. Y es que, según el formato del sistema de archivos y según el sistema operativo, esa información que dice el puede existir o no. A grandes rasgos, en los sistemas operativos modernos los sistemas de archivos mantienen, además de los archivos en su estructura jerárquica, una serie de meta-datos. Y si, pueden existir la fecha de creación, de última modificación y de último acceso. Pero se olvida de comentar que el sistema de archivos, en este caso, puede ser tanto un sistema NTFS (suponiendo que sea Windows) como ISO9660 (el sistema de archivos de los CDs). y he aquí el error de este señor: "Según dijo la perito, ella trabajó con unos CD que contenían el volcado del disco duro." Nótese "El volcado del disco duro", no "la imagen del disco duro". Hay una diferencia muy importante entre ambos conceptos. Un volcado del disco duro supone hacer algo tan sencillo como señalar los archivos con el ratón, arrastrarlos a una carpeta y copiarlos. Una imagen del disco duro, por otro lado, significa copiar, bit a bit, una reproduccion exacta de los contenidos del disco duro; es decir, no solo los archivos, sino la estructura interna en que se encuentran, datos que no pertenecen a ningun archivo, espacio temporal en disco ... todo. Si se analiza esa imagen, si tenemos la seguridad de que las fechas de creación de los archivos son las que contenía el disco duro. "Pues resulta que hay un "pequeño" problema. La fecha de algunos archivos del ordenador encontrado entre los escombros de Leganés es posterior a la fecha en que Jamal Ahmidan y sus compinches se suicidaron. Preguntada la perita por este detalle, responde que puede responder a la fecha de recuperación del archivo, y no a la de creación. Pero resulta que hay otros ficheros con otras fechas anteriores al 3 de Abril." Peeero, ¿que pasaría si la fecha de creación del archivo que alguien te pasa en un pendrive está en el futuro? Pues que su bonito "problema" no existe. La fecha de creación se mantiene al copiar de un ordenador a otro, así que la fecha que debería evaluarse no es la de creación, sino la de último acceso. Buen intento, ¿siguiente pregunta? "Un CD con ficheros supuestamente descargados de Internet es, sencillamente, inaceptable como prueba. Y presentar unos ficheros con la fecha modificada es equivalente a encontrar las huellas dactilares del policía en el arma del crimen." Confunde este señor sus deseos con la realidad, porque depende del caso la atención que se deba poner en un dato como las fechas de los archivos. No es lo mismo una auditoría de un crimen informático que esto. Aquí no se juzga si una persona accedió desde su ordenador en la fecha indicada cometiendo una intrusión en un sistema informático ajeno, sino los contenidos de dichos archivos, que demuestran la ideología de los acusados. Que ganas tenía de decir algo constructivo  Saludos, jopi
10-05-2007, 16:37:21
Que bueno jopi!
¿Puedo copipastearlo allende los mares? Sólo un matiz. Creo que demuestra la "ideología" de los que se suicidaron en Leganés, más que la de los acusados
10-05-2007, 17:42:51
Muy interesante, jopi. He leído el hilo de Adam Selene y de entrada me parece una temeridad que canten victoria por un informe que es una refundición de otros informes. Tendrían que esperar a preguntar a los peritos de Científica por el tema de las fechas de creación, a ver qué técnicas han empleado y cual es su explicación.
Mientras tanto, a ver si podemos ir amansándolos sobre el tema. Una pregunta: jopi Wrote:Peeero, ¿que pasaría si la fecha de creación del archivo que alguien te pasa en un pendrive está en el futuro? Pues que su bonito "problema" no existe. La fecha de creación se mantiene al copiar de un ordenador a otro, así que la fecha que debería evaluarse no es la de creación, sino la de último acceso.¿Es habitual que una fecha de creación esté en el futuro? Entiendo que es factible, pero ¿es normal? Sin saber del tema y basándome en lo que comentas, yo hubiera pensado más bien que algunos ficheros se sacaron como imágen (con fechas de creación anteriores al 3-3-04), y otros se volcaron (con posibles fechas posteriores). En definitiva, sin saber qué ficheros, qué fechas, de qué soportes, con qué técnicas de recuperación, tanto A.Selene como nosotros estamos expuestos a especular en el aire. Cosa que a los peónidos les encanta, pero a mi no tanto jejej. jopi Wrote:Confunde este señor sus deseos con la realidad, porque depende del caso la atención que se deba poner en un dato como las fechas de los archivos. No es lo mismo una auditoría de un crimen informático que esto. Aquí no se juzga si una persona accedió desde su ordenador en la fecha indicada cometiendo una intrusión en un sistema informático ajeno, sino los contenidos de dichos archivos, que demuestran la ideología de los acusados.En esta investigación las fechas de creación podían dar pistas. Pero lo prioritario era recuperar la información como pudieran. En una auditoría por crimen informático no suele haber una explosión de Goma2 de por medio. Lo dicho, en última instancia, esperar a los de Científica. Me pregunto ¿el SO de los ordenadores estará recogido en el sumario? Quizás alguien sepa las páginas. jopi Wrote:Que ganas tenía de decir algo constructivoJeje. Los peónidos no dejarán aquí la cosa, así que prepárate  .
10-05-2007, 18:43:11
Pues Jopi, segun he leido en el hilo de Adam Selene, el sistema operativo era un Win 95/98 con lo que los atributos que el dice tienden practicamente a cero.
10-05-2007, 18:50:08
Hola a todos,
Acabo de hacer una prueba casera. He copiado un archivo que tenia en un dispositivo USB al disco duro del ordenador y me ha cambiado la fecha de creación. Ahora figura la fecha de hoy (el original tenia la fecha de creación del 24/04/2006 y ahora la copia del mismo archivo tiene la de 10/05/2007). He vuelto a hacer la prueba cortando y pegando el archivo y no me ha cambiado la fecha de creación (en el ordenador aparece la del 24/04/2006, es decir la original). Por lo tanto, si los archivos los copiaron de un pendrive al disco duro o a un CD, automaticamente se cambió la fecha de creación por la del dia en el que hicieron la copia. De todas formas yo me imagino que se conservan el disco duro de los terroristas y los pendrives con los archivos originales. Por lo tanto será fácil comprobar las fechas.
10-05-2007, 18:59:12
No, Pantalla, porque los conspiradores habrán falsificado el disco duro, los pendrives y lo que haga falta. Es inútil, nunca sabremos de dónde sale toda esa información "yihadista"...
10-05-2007, 19:56:29
Ok, pantalla. Para mondarse. Vale la pena copiárselo al pesao de Adam. Y hay un mensaje nuevo muy bueno de Horacio.
Y además, a toda esa pandilla de abstrusos iletrados se les olvida que en caso de ser una falsificación ¿para qué poner fechas de creación de archivos posteriores con lo fácil que sería coger un ordenador virgen, crear las personalidaddes del autor/es a falsificar, modificar la fecha del sistema para poner la que sea conveniente y seguidamente crear los archivos falsos que incorporarán esa fecha conveniente, para finalmente, mediante pen-drive u otro sistema, añadirlos al disco duro del ordenador cuyos archivos se pretenden falsificar?.
Y es que en la cárcel se aprende de tó.
10-05-2007, 22:33:10
Lo que es en efecto increíble es que se anuncie algo tan trivial como una prueba evidente de manipulación o negligencia. Si algo te enseña el método científico es a no ser temerario...
[A los creyentes] les competerá difundir lo que otros han acuñado; ya que ningún hombre suelta y expande la mentira con tanta gracia como el que se la cree.
10-05-2007, 22:40:03
Puestos en este plan sería mucho más fácil reclutar al conspirador encargado de esta parte entre los peritos que analizan la información y no entre los que la recuperan. El perito analista sólo tiene que "inventarse" el documento y colocarle la fecha correcta en el informe, dado que ¿quién se iba a pensar que unos pocos ciudadanos inquietos y libres sospecharían y serían tan inteligentes como para descubrir la trama, blablablabla? .
Lior Wrote:Que bueno jopi!Por favor ... MMG Wrote:¿Es habitual que una fecha de creación esté en el futuro? Entiendo que es factible, pero ¿es normal?Cuando copias archivos entre discos de forma asidua (p.e., cuando intercambias con colegas muchos documentos, películas descargadas en Internet, mp3, etc.) es algo totalmente normal. Una cosa que suele pasar con los pendrive es que al estar formateados en FAT, muchos archivos copiados en ellos tengan fechas totalmente dispares. Leyendo la página de Selene, Areán (creo) ha hecho una reseña muy adecuada : el perito encargado del análisis no tiene porque ser el encargado de la extracción y recopilación de datos original. Me explico. En mi caso, cuando es necesaria una pericial, el técnico forense (para el caso, yo mismo), indico en presencia de un notario, que en fecha y hora determinada realizo la imagen del dispositivo físico que contiene los datos. Para ello se suelen usar herramientas informáticas muy especializadas (Encase es la más usada por las diferentes policías de todo el mundo), que tras hacer la imagen, devuelven un "hash", que es una cadena de tamaño fijo que se devuelve como salida de una función matemática; esta cadena tiene la propiedad de actuar como firma única del contenido del archivo, es decir, que solo ESE contenido clonado y ningún otro, puede devolver ese valor de cadena. De esa forma se asegura que no se puedan "inventar" datos, y el notario da fe de que, desde ese momento, se trabajará con los datos de la imagen realizada. Tras ese proceso, se empieza a trabajar con los datos de la imagen. !Ojo! Ahora no tiene que ser la misma persona la que analice los datos, es más, la persona que analiza los datos puede no tener ni la más remota idea de como se ha hecho la extracción original. Desde este punto, los datos se pueden pasar a disco, a cdrom, a pendrive, diskette ... lo que se quiera. ¿Que alguien duda de que una mano negra está inventándose pruebas? Solo hay que ir al disco original, repetir el proceso de clonación, y comparar la salida de dicho con la firma digital de la función de hash que habíamos realizado originalmente. Y solo una nota más con respecto al insulto típico de quien tiene una imagen derivada de ver demasiado CSI llamando a los técnicos de las fuerzas de seguridad del Estado "peritos chapuzas". En España solo tengo constancia de una (sic) sola empresa especializada en análisis y extracción de evidencias digitales forenses, en la que solo hay dos técnicos trabajando. Luego hay tres empresas más, un operador de telecomunicaciones y dos consultoras de seguridad, que tienen técnicos forenses especialistas. Me consta que la Guardia Civil tiene UN analista forense especializado. Pues bien, esos son TODOS los técnicos de auditoría especializados en análisis forense que hay en España, sin contar a un servidor. A menos, claro, que el señor Selene se ofrezca voluntario...
10-05-2007, 23:52:24
Jopi,
muy contundentes tus mensajes, pero das tantos datos que casi casi se te podría localizar...
11-05-2007, 08:40:17
No recuerdo donde lei, cuando hice mi articulo de registros informáticos, que las imagenes del disco duro se recuperaron con el norton ghost...
Y como ultimo, queda la posibilidad más tonta...que el ordenador de el chino tuviera la fecha incorrecta.
11-05-2007, 09:20:49
Tuppence Wrote:Lo mismo con los análisis cristalinos, ¿a tí no te lo parecen? Lástima. A mi sí. Exactamente igual de cristalino que le ha parecido al Tribunal Supremo el que se desguazaran los trenes.Jajajajaja |
|
|
