Новая тема   Ответить

 Vad
Организация технико-криминалистической экспертизы компьютерных систем


Игорь Всеволодович Собецкий,
преподаватель Учебного центра «Информзащита»

В предыдущей статье мною было проанализировано доказательственное значение лог-файлов, получаемых в ходе расследования уголовных дел о правонарушениях в сфере компьютерной информации. Однако остается ещё один не менее важный вопрос – о производстве экспертизы разного рода компьютерных систем. Такая экспертиза может потребоваться как в гражданском (в случае споров об ответственности между заказчиком и подрядчиком, о наступлении страхового случая, невиновном причинении вреда), так и в уголовном процессе (исследование техники, принадлежавшей правонарушителям либо потерпевшим, для установления истины по делу).
В то же время сейчас перед юристами и экспертами по информационной безопасности стоят многие проблемы, затрудняющие производство таких экспертных исследований и использование их результатов в гражданском и уголовном процессе.

Очевидно, что проводимая в рамках уголовного процесса экспертиза компьютерной техники может предоставить в распоряжение следователя и суда весомые доказательства вины (или невиновности) подсудимого. Это касается не только преступлений в сфере компьютерной информации, но и большей части преступлений экономической направленности и некоторых общеуголовных (например, незаконного распространение порнографических материалов или предметов, мошенничества, подделки документов и т.п.). Как известно, любая организованная деятельность, в том числе преступная, не может обходиться без учёта, а в современных условиях большинство видов учёта успешно автоматизировано посредством компьютерной техники. Характерным примером использования результатов технико-криминалистической экспертизы явилось дело НК «ЮКОС», когда владельцу компании М.Б. Ходорковскому были предъявлены обвинения на основании данных, полученных именно в результате экспертизы изъятых в НК компьютеров. Однако технико-криминалистическая экспертиза компьютерной техники, в отличие от многих других экспертиз, до сих пор не поставлена «на поток». Что позволено Юпитеру, не позволено быку – по сотням менее громких дел технико-криминалистическую экспертизу компьютерных систем проводить некому и некогда.

В целом при назначении технико-криминалистической экспертизы компьютерных систем следователям приходится решать следующие наиболее существенные проблемы:

Отсутствие в штате экспертных подразделений правоохранительных органов и Министерства юстиции достаточно квалифицированных специалистов в области компьютерной информации.
Недостаточная подготовка в области компьютерной техники, не позволяющая правильно сформулировать вопросы для эксперта (особенно по общеуголовным составам). Постановка перед экспертами вопросов, выходящих за рамки их компетенции.
Трудности в интерпретации результатов экспертизы.
Рассмотрим эти проблемы более подробно. В настоящее время экспертиза по уголовным делам производится либо экспертно-криминалистическими подразделениями органов внутренних дел и ФСБ, либо лабораториями судебной экспертизы Министерства юстиции. Ведомственные эксперты МВД и ФСБ, за очень редким исключением, разбираются в компьютерных системах на уровне «продвинутого пользователя», то есть в принципе не имеют возможности проводить сложные экспертизы. В лучшем случае такие эксперты не могут преодолеть парольную защиту в Windows NT или просят «снять пароль» с jpg-файла (работникам НИП «Информзащита» неоднократно приходилось консультировать таких специалистов). В худшем же случае результаты их экспертизы либо неполны, либо вследствие ошибок теряют доказательственное значение. Автору известно несколько особо тяжёлых случаев, когда недостаточно квалифицированные эксперты полностью уничтожали существенную информацию на изъятой компьютерной технике.
В экспертных лабораториях Министерства юстиции осуществляются вполне качественные экспертизы компьютерных систем, однако и здесь соответствующих специалистов явно недостаточно. Поэтому технико-криминалистические экспертизы компьютерных систем проводятся далеко не во всех регионах РФ и занимают значительное время.

Вследствие недостаточной подготовки следователи и судьи зачастую при назначении экспертизы компьютерных систем неправильно ставят перед экспертом вопросы. Наиболее типичны здесь три ошибки:

Постановка излишне общих вопросов, не имеющих значения для рассматриваемого дела. Классический пример из практики автора – «Восстановить и распечатать все стёртые файлы». Интересно, все многочисленные копии файла win386.swp тоже печатать?
Постановка вопросов, явно выходящих за рамки профессиональной компетенции эксперта или неразрешимых в принципе. Например – «Установить, имеются ли на клавиатуре отпечатки пальцев гражданина Н?» или «Установить, где в настоящее время находится информация, скопированная неизвестными лицами с исследуемого компьютера?»
Постановка вопросов, которые должны решаться не экспертом, а исключительно следствием и судом. К таковым относятся вопросы о нарушении законодательства в той или иной сфере, а также о целях и мотивах каких-либо действий. Характерный пример – «Являются ли программы на изъятом компьютере контрафактными?»
Поскольку ведомственные эксперты, как правило, некритически относятся к подобным вопросам, то их заключения оказываются либо неконкретными, малоинформативными для следствия, либо же оспариваются в суде адвокатом противной стороны. В самом деле, когда эксперт пишет в заключении, что на таком-то компьютере им обнаружено контрафактное программное обеспечение, он по сути принимает на себя функции суда. Устанавливать наличие состава преступления в России может только суд. Тем не менее эксперт, не дожидаясь судебного приговора, сам объявляет преступление доказанным. Разумеется, к такому заключению суд может отнестись критически.
В связи с недостаточным количеством экспертов производство технико-криминалистической экспертизы в учреждениях Минюста занимает продолжительное время. Сроки же предварительного следствия жёстко ограничены Уголовно-процессуальным кодексом. В соответствии со ст. 162 УПК, «предварительное следствие по уголовному делу должно быть закончено в срок, не превышающий 2 месяцев со дня возбуждения уголовного дела». Срок предварительного следствия может быть продлён, но по обычным уголовным делам экономической направленности продление крайне редко оформляется на срок свыше 1 месяца. В результате заключение экспертов, поступившее в последние дни перед окончанием срока следствия, просто подшивается в дело как одно из доказательств. Использовать предоставленную экспертом информацию для новых следственных действий у следователя просто не остаётся времени.

Следствием всего изложенного является малополезность результатов экспертизы для следователя. В большинстве случаев заключение эксперта просматривается «по диагонали», следователь убеждается, что на поставленные им вопросы дан положительный ответ. А в суде может выясниться, например, что экспертом обнаружены признаки и других составов преступлений, которые были благополучно проигнорированы следователем.

Недофинансирование экспертных подразделений создаёт в конечном итоге благоприятные условия для ущемления прав как подследственных и обвиняемых, так и потерпевших. Так, автору не известно ни одного случая, когда обвиняемый воспользовался бы своим декларированным в п.11 части 4 статьи 47 УПК РФ правом «знакомиться с постановлением о назначении судебной экспертизы, ставить вопросы эксперту и знакомиться с заключением эксперта». Претензии же потерпевших на реализацию их прав, предусмотренных пунктами 9 и 11 части 2 статьи 42 УПК – «участвовать с разрешения следователя или дознавателя в следственных действиях, производимых по его ходатайству либо ходатайству его представителя» и «знакомиться с постановлением о назначении судебной экспертизы и заключением эксперта» – вообще воспринимаются следователями как остроумная шутка. Следователи понимают, что большинство экспертов государственных учреждений просто не готовы к жесткому и пристрастному контролю.

Очень неприятное положение складывается, если выводы таких экспертов поставлены под сомнение в суде. В таком случае суд может только назначить повторную экспертизу, как правило, в том же самом учреждении. При этом зачастую оказывается, что в ходе первой экспертизы исследуемые системы изменены до такой степени, что новый эксперт руководствуется в большей степени корпоративной солидарностью – никаких более объективных материалов всё равно не осталось. Многие юристы в такой ситуации настаивают на «независимой» экспертизе, приглашая собственных экспертов. Впрочем, независимость этих экспертов весьма сомнительна, ведь их услуги оплачены одной из сторон процесса! Легко предположить, что в заключениях этих экспертов будет преобладать явно выраженный «оправдательный уклон», в противовес «обвинительному уклону» экспертов на государственной службе. Еще хуже положение дел с экспертизой в гражданском судопроизводстве. Если по уголовным делам всё же есть учреждения, обязанные производить экспертизу компьютерных систем, то по гражданским делам производить экспертизу никто не обязан. Более того, существующие в различных регионах и хорошо себя зарекомендовавшие центры независимой экспертизы в принципе не занимаются профессиональным исследованием компьютерных систем. В результате участники гражданского процесса вынуждены обращаться к «независимым» экспертам зачастую весьма сомнительной репутации. Нередки случаи, когда с обеих сторон выдвигаются «независимые» эксперты с противоположными мнениями. Ничего, впрочем, удивительного – как известно, кто платит, тот и заказывает музыку.

Ситуация конфликта двух «независимых» экспертов со стороны истца и ответчика ставит суд в трудное положение. По российскому законодательству судья не только не может в бесспорном порядке поручить кому-то производство экспертизы по гражданскому делу, но и не имеет права предложить сторонам известного ему эксперта. В результате тяжущиеся стороны раз за разом приводят в суд оплаченных ими экспертов, объективность которых вызывает большие сомнения.

Напрашивается предложение обратиться при производстве экспертиз компьютерных систем к частным специалистам в более или менее авторитетной организации, специализирующейся на информационной безопасности. Как правило, такие организации дорожат своей репутацией, а работающие в них специалисты имеют достаточно высокую квалификацию. Однако по-настоящему серьёзные частные эксперты весьма невыгодно отличаются от экспертов на государственной службе – они требуют адекватной оплаты за свои экспертизы. Запросы специалистов, с точки зрения должностных лиц правоохранительных органов, непомерно высоки. Так, стоимость полного исследования информации, содержащейся только в одном персональном компьютере, в различных организациях составляет от 7500 до 25000 рублей. Эти суммы существенно превышают ассигнованные следственным и судебным органам средства. Поэтому при назначении технико-криминалистической экспертизы компьютерных систем по большинству уголовных дел следователи и судьи исходят преимущественно из финансовых соображений. Дешёвые государственные эксперты и все проблемы, проистекающие из их заключений, в этом случае воспринимаются как меньшее зло.

Автору представляется, что выходом из сложившейся ситуации могло бы стать отнесение полной стоимости экспертизы по уголовным делам на судебные издержки. В таком качестве эти расходы будут в большинстве случаев покрываться из средств осуждённого. Над частными экспертами не будет довлеть корпоративная солидарность с правоохранительными органами, и оспорить выданные ими заключения будет гораздо труднее. Прозрачная же система оплаты их услуг поможет избежать обвинений в сговоре со стороной защиты. Этот вариант, разумеется, также не идеален. Однако ничего лучшего (и притом реализуемого на практике) в настоящее время просто не усматривается.

Аналогичный механизм предусмотрен (хотя и практически не задействован) в гражданском судопроизводстве. истец оплачивает экспертизу из собственных средств, а в случае удовлетворения иска эта сумма взыскивается с ответчика. Как и в случае с экспертизой по уголовным делам, профессиональная репутация эксперта будет служить лучшей защитой от возможных фальсификаций.

Теперь обсудим некоторые аспекты собственно проведения экспертизы. Допустим, что эксперт приступил к исследованию некоей компьютерной системы. При этом его деятельность регламентируется статьёй 57 УПК РФ:

Эксперт – лицо, обладающее специальными знаниями и назначенное в порядке, установленном настоящим Кодексом, для производства судебной экспертизы и дачи заключения.
Вызов эксперта, назначение и производство судебной экспертизы осуществляются в порядке, установленном статьями 195 - 207, 269, 282 и 283 настоящего Кодекса.
Эксперт вправе:
знакомиться с материалами уголовного дела, относящимися к предмету судебной экспертизы;
ходатайствовать о предоставлении ему дополнительных материалов, необходимых для дачи заключения, либо привлечении к производству судебной экспертизы других экспертов;
участвовать с разрешения дознавателя, следователя, прокурора и суда в процессуальных действиях и задавать вопросы, относящиеся к предмету судебной экспертизы;
давать заключение в пределах своей компетенции, в том числе по вопросам, хотя и не поставленным в постановлении о назначении судебной экспертизы, но имеющим отношение к предмету экспертного исследования;
приносить жалобы на действия (бездействие) и решения дознавателя, следователя, прокурора и суда, ограничивающие его права;
отказаться от дачи заключения по вопросам, выходящим за пределы специальных знаний, а также в случаях, если представленные ему материалы недостаточны для дачи заключения.
Эксперт не вправе:
без ведома следователя и суда вести переговоры с участниками уголовного судопроизводства по вопросам, связанным с производством судебной экспертизы;
самостоятельно собирать материалы для экспертного исследования;
проводить без разрешения дознавателя, следователя, суда исследования, могущие повлечь полное или частичное уничтожение объектов либо изменение их внешнего вида или основных свойств;
давать заведомо ложное заключение;
разглашать данные предварительного расследования, ставшие известными ему в связи с участием в уголовном деле в качестве эксперта, если он был об этом заранее предупрежден в порядке, установленном статьей 161 настоящего Кодекса.
За дачу заведомо ложного заключения эксперт несет ответственность в соответствии со статьей 307 Уголовного кодекса Российской Федерации.
За разглашение данных предварительного расследования эксперт несет ответственность в соответствии со статьей 310 Уголовного кодекса Российской Федерации.
Большинство экспертов нарушают требования этой статьи немедленно в самом начале исследования – как только включают исследуемый компьютер. Дело в том, что п. 3 части 4 этой статьи прямо запрещает эксперту производить действия, вызывающие изменения основных свойств исследуемого объекта. Применительно к компьютерной технике, эксперт обязан обеспечить неизменность содержимого жестких дисков и иных носителей информации в исследуемых компьютерах. Только при соблюдении этого условия выводы эксперта могут быть проверены при необходимости повторной экспертизой.
Большинство современных операционных систем, в частности Windows 95/98/NT/XP, Windows 2000/2003, MacOS, OS/2 и все разновидности UNIX, в процессе работы осуществляют запись на жесткий диск – как минимум в файл подкачки. Если же речь идет о компьютерах, используемых в криминальных целях, то на них вообще может быть установлена специальная программа для уничтожения информации. При включении такого «заминированного» компьютера без особых предосторожностей содержимое его жёсткого диска может измениться до такой степени, что не будет представлять уже никакой ценности для следствия и суда.

Поэтому эксперт обязан позаботиться о сохранении всех исследуемых носителей информации в неизменяемом состоянии. Эта цель может быть достигнута как технологически, так и физическими методами. Основной технологический приём – загрузка на исследуемом компьютере с внешнего носителя т.н. доверенной операционной системы, которая заведомо не производит несанкционированной записи на жёсткий диск. Характерным примером такой системы может служить MS DOS 6.22 (без менеджеров памяти типа QEMM), а также некоторые усечённые версии UNIX. Допустимо также изъятие жесткого диска из исследуемого компьютера и подключение его к собственному компьютеру с загруженной там доверенной операционной системой.

Физически жёсткий диск исследуемого компьютера может быть защищён от записи путём подключения его через специальное устройство. Например, устройство FastBloc производства американской корпорации Guidance Software обеспечивает аппаратную блокировку записи на жёсткие диски с интерфейсами IDE и SCSI при сохранении скорости обмена с диском. В такой (и только в такой!) конфигурации допустимо загружать исследуемый компьютер в штатном режиме.

В любом случае невозможность записи на жёсткий диск исследуемого компьютера существенно затрудняет процесс поиска нужной информации. Оказывается невозможным, к примеру, восстановить стёртые файлы, работать с текстовыми процессорами и СУБД, даже просто осуществлять расширенный поиск информации. Поэтому для того, чтобы произвести экспертизу за приемлемое время, эксперт должен создать файл-образ исследуемого жёсткого диска на своём компьютере либо попросту скопировать исследуемый жёсткий диск на другой. При этом недопустимо стандартное копирование файлов, поскольку не меньший интерес для эксперта представляет пространство диска, считающееся свободным. Следует использовать специальное программное обеспечение, например Symantec Ghost, которое осуществляет посекторное копирование носителей информации.

Слабым местом такого подхода является, как всегда, финансирование. Для того, чтобы создать на своём компьютере (или компьютерах) образ или копию исследуемого жёсткого диска, эксперт должен располагать носителем информации как минимум такой же ёмкости. А если на экспертизу направлено несколько компьютеров, да ещё сервер с RAID-массивом… Вот тут-то государственный эксперт и вспоминает, что проверить его заключение сможет разве что коллега из соседней комнаты. И 57-я статья приносится в жертву целесообразности. Раз такого объёма свободного места просто нет, эксперт начинает работать непосредственно с жёстким диском исследуемого компьютера. При этом могут быть восстановлены файлы, распакованы архивы, снят пароль с подвернувшейся базы данных… Словом, в ходе исследования происходит то самое «изменение внешнего вида или основных свойств» исследуемого объекта. Аналогичные ошибки зачастую допускают и «независимые» эксперты, приглашенные сторонами процесса либо правоохранительными органами.

Если подсудимый смог воспользоваться услугами высокооплачиваемого адвоката и выводы эксперта ставятся под сомнение, то при повторной экспертизе могут возникнуть существенные трудности. Так, автору статьи пришлось некоторое время назад исследовать компьютер, побывавший в кривых руках «независимого» специалиста. Суд тогда вынес решение о повторной экспертизе.

В ходе повторной экспертизы на жёстком диске исследуемого компьютера было обнаружено множество файлов, созданных… после даты изъятия компьютера! Корпус не был опечатан, а микросхем оперативной памяти не оказалось вовсе. «Независимый» эксперт был прост как две копейки: файлы с бухгалтерскими документами были отформатированы очень неудобно, поэтому он попросту взял и отредактировал их прямо на исследуемом компьютере. Ничего, что содержимое изменилось, зато всё на принтер влезло! После «независимой» экспертизы компьютер в неопечатанном виде долго хранился в неохраняемом коридоре, поэтому извлечь микросхемы мог кто угодно, может быть их с самого начала не было. И вообще, при чём тут микросхемы, жёсткий диск исследовать надо! Да ты что, старик, мне не веришь?!

Общими усилиями горе-эксперту разъяснили, что экспертиза компьютерных систем проводится на основе сбора и анализа объективных фактов, а верить или не верить можно в свободное время в храме. К сожалению, автору статьи пришлось зафиксировать в заключении об исследовании и сомнительное авторство бухгалтерских документов, и изменение аппаратной конфигурации, и распакованные архивы… К новому судебному заседанию дело похудело вдвое. Приговор оправдал самые лучшие ожидания адвоката.

Дальнейшее исследование созданного экспертом образа диска только вопрос времени. Правда, довольно продолжительного – до сих пор в России нет специального программного обеспечения для производства экспертизы. Поэтому самым старым и самым надёжным экспертным средством остаётся программа Disc Editor из набора Norton Utilites. При использовании этой программы для поиска определенных ключевых последовательностей на исследуемом диске поиск только одной последовательности на образе диска в 40 Гб занимает от 30 минут до 1 часа, в зависимости от производительности компьютера эксперта. Полное исследование такого компьютера может занять несколько дней. Исследование серверов с большим объёмом дискового пространства растягивается на недели.

В учреждениях, обеспеченных финансированием, эксперты могут использовать специализированное программное обеспечение. В ряде стран Западной Европы и США разработаны программы, предназначенные специально для производства экспертизы компьютерной техники. Наилучшей среди них, бесспорно, является программа EnCase – разработка американской компании Guidance Software. Первоначально эта программа была разработана исключительно для нужд таких государственных организаций США, как Секретная служба Министерства финансов, ФБР и АНБ, но в настоящее время предлагается к свободной продаже.

Программа EnCase практически полностью автоматизирует как процесс создания копии исследуемого жесткого диска, так и исследование его содержимого. Основными возможностями этой программы являются:

проведение контекстного поиска и анализа информации на магнитных носителях с различными файловыми системами одновременно, включая FAT12, FAT16, FAT32, NTFS, Linux, UNIX, Macintosh, а также CD-ROM и DVD-R;
встроенный макроязык дает возможность составлять мощные фильтры и программы для настройки EnCase и применять «продвинутые» методы для автоматического анализа всех данных, содержащихся на исследуемом носителе;
подсистема коллекционирования картинок автоматически опознает все файлы, содержащие фрагменты графических изображений, и показывает их в виде пиктограмм, которые легко можно пометить закладками или скопировать на CD-ROM;
просмотр файлов без изменения их содержания или времени создания;
«простой» поиск информации по всему диску с использованием любого количества ключевых слов;
«сложный» поиск информации с использованием мощного синтаксиса UNIX GREP;
просмотр файлов сложной структуры, таких как реестр Windows, файлы-вложения в сообщения электронной почты и Zip-файлы;
просмотр всех существенных отметок времени для всех файлов в компьютере с помощью мощной программы с временной шкалой;
EnCase и аналогичные ей программы не являются экспертными системами или базами знаний, они не могут анализировать лог-файлы и файлы протоколов, а также не дают каких-либо советов лицу, ведущему расследование. Фактически, эти программы представляют собой многофункциональный и довольно удобный инструмент для анализа содержимого изъятых носителей компьютерной информации. Методика работы с этими программами обеспечивает доказательственное значение собранных данных, даже по более строгому в данном отношении законодательству США.
За счёт использования EnCase и подобных ей программ время исследования одного сервера сокращается до 3-4 дней, а компьютер с жёстким диском не слишком большого объёма исследуется менее чем за 1 день. К сожалению, многие государственные экспертные учреждения не в состоянии приобрести экспертное программное обеспечение по причине недофинансирования.

В то же время автору не хотелось бы создать впечатление, что эксперты из негосударственных учреждений могут свысока смотреть на своих коллег, состоящих на государственной службе. Дело в том, что практически все сотрудники государственных экспертных учреждений в совершенстве изучили процессуальную сторону дела и имеют весьма ценный опыт защиты своих выводов непосредственно в судебном заседании. Специалисты же из негосударственных структур, в целом обладая более высокой квалификацией в области компьютерных систем, зачастую не уделяют достаточного внимания ни процессуальному оформлению своих заключений, ни выступлению в суде. Срабатывает старый стереотип программиста – эти вопросы решаются «по умолчанию», всё важное в заключении было написано, а неважное само собой разумеется.

Между тем заключение эксперта – не роман, и вольный стиль тут неуместен. Статья 204 Уголовно-процессуального кодекса РФ оговаривает основные требования к заключению эксперта:

В заключении эксперта указываются:
дата, время и место производства судебной экспертизы;
основания производства судебной экспертизы;
должностное лицо, назначившее судебную экспертизу;
сведения об экспертном учреждении, а также фамилия, имя и отчество эксперта, его образование, специальность, стаж работы, ученая степень и (или) ученое звание, занимаемая должность;
сведения о предупреждении эксперта об ответственности за дачу заведомо ложного заключения;
вопросы, поставленные перед экспертом;
объекты исследований и материалы, представленные для производства судебной экспертизы;
данные о лицах, присутствовавших при производстве судебной экспертизы;
содержание и результаты исследований с указанием примененных методик;
выводы по поставленным перед экспертом вопросам и их обоснование.
Если при производстве судебной экспертизы эксперт установит обстоятельства, которые имеют значение для уголовного дела, но по поводу которых ему не были поставлены вопросы, то он вправе указать на них в своем заключении.
Материалы, иллюстрирующие заключение эксперта (фотографии, схемы, графики и т.п.), прилагаются к заключению и являются его составной частью.
Добротное заключение эксперта, имеющее хорошие шансы на признание в суде, должно состоять из трёх частей – вводной, где в соответствии c пунктами 1-8 части 1 ст. 204 излагаются все необходимые формальности, описательной, где в подробностях описывается весь процесс исследования, и резолютивной, где указываются основные выводы. При этом в заключении желательно использовать вполне определённую терминологию. Например, на поставленные следователем вопросы эксперт может давать только три типа ответов, как в армии, – «категорически да», «категорически нет» и «предположительно». Не котируются в судах такие откровения экспертов, как «по моему скромному мнению», «всем известно, что…» и даже «на основании собранных данных я догадался…» Процитированного последним автора до сих пор вспоминают в одном из судов под ласковым псевдонимом «догадливый», что не помешало отклонить его заключение.
Следует помнить также, что в соответствии со статьёй 282 Уголовно-процессуального кодекса РФ автор экспертного заключения может быть вызван для допроса в суд:

По ходатайству сторон или по собственной инициативе суд вправе вызвать для допроса эксперта, давшего заключение в ходе предварительного расследования, для разъяснения или дополнения данного им заключения.
После оглашения заключения эксперта ему могут быть заданы вопросы сторонами. При этом первой вопросы задает сторона, по инициативе которой была назначена экспертиза.
При необходимости суд вправе предоставить эксперту время, необходимое для подготовки ответов на вопросы суда и сторон.
Ещё ни один известный автору статьи эксперт не готовился специально к такому походу. Эти специалисты полагают, что в суде в ходе общения с дилетантами в компьютерной сфере достаточно сказать пару терминов и настоять на своём заключении. На самом же деле допрос эксперта – самостоятельное действие. В ходе допроса суд имеет возможность как проверить квалификацию эксперта, так и получить дополнительную информацию, не вошедшую в заключение. Однако неготовые к такой ситуации частные эксперты зачастую становятся лёгкой добычей адвокатов противной стороны. Опытному адвокату с большим стажем выступлений в суде обычно не составляет труда запутать и подавить человека, никогда в суде не выступавшего. Соответствующий набор неджентльменских, но тем не менее вполне законных приёмов описан в специальной литературе.
Даже если эксперт отличается крепкими нервами и завидной самостоятельностью, его можно поймать на несложную провокацию. Так, в Петербурге перед судебным разбирательством по уголовному делу о преступлении в сфере экономики помощник адвоката вежливо попросил эксперта зайти в такую-то комнату – «Вас туда вызывают!». После этого адвокату осталось только зафиксировать со свидетелями, как независимый эксперт перед процессом зашёл в комнату, отведённую в суде для представителей прокуратуры, - после чего на суде эксперту был заявлен отвод по мотивам его личной заинтересованности в исходе дела. Несмотря на бесспорный профессионализм эксперта в области информационной безопасности, его заключение лишилось доказательственного значения вследствие всего лишь одного неверного шага! Адвокаты настолько привыкли к правовой безграмотности негосударственных экспертов, что даже обижаются, когда эксперт не «ведётся». В одном из московских судов после небольшой дискуссии с автором статьи адвокат искренне возмущался: «Вы меня перед клиентом опозорили! Кто вам позволил кодексы цитировать?!». Эту же фразу с разной степенью аффектации повторяли и другие проигравшие адвокаты…

В целом можно считать, что на современном этапе целесообразно организовать качественную экспертизу компьютерных систем как по уголовным, так и по гражданским делам на базе негосударственных учреждений, специализирующихся в области информационной безопасности. Разумеется такой подход предполагает усиление внимания к правовой стороне вопроса, в частности обязательный процессуальный «ликбез» для работников этих организаций, непосредственно задействованных в производстве экспертиз.

Автор этой статьи будет благодарен за замечания и комментарии по адресу sobetsky@infosec.ru

Кит, это в статьи надо поместить, имхо.

 perlmaster
Вад, спасибо, интересное чтиво! В статьи его обязательно.

 Tekken
Спасибо. Действительно полезно.

 Mustafa
Vad писал:

Подтверждаю
Когда меня в августе загребли в ФСБ, один из тамошних спецов на моих глазах проделал следующую операцию на моем ноуте: Пуск -> Найти -> Файлы и папки, и задал поиск слова "секретно" во всех файлах...
Выводы делайте сами

 Ecchi
Mustafa писал:

это за что тебя?

 Mustafa
Если коротко, то приняли за шпиона.

 BerWe
Где-то я уже это слышал... причем в устной форме.... эх... лекции лекции

 zhorik
ага... но не забывайте в какой стране живем...
если вскрыть не смогут, то сами просто зальют винт порнухой и всего делов, и докажи потом, что у тебя ее там не было...

а насчет НИП "Информзащита" - ребята то ведь системами защиты информации занимаются! интересно, кто им доверит защиту важной информации, коли они сами же ее (защиты) взломом и занимаются?

зашифровала какая-нить контора свои финансовые данные таким софтваром, потом прихватили их органы (за дело или просто захотели бабла срубить - всякое бывает) и информзащита тут как тут, расшифрует все в момент, благо сами и писали...

 Vad
Дык в статье и отражены многие ошибки "экспертов".

Зальют порнухи, но дату создания файла на более раннюю заменить не смогут или не догадаются. Вот тогда адвокат и порадуется. Если ты внимательно читал, то такой случай там описан. Это раз.
Второе. Подозреваю, что подлог доказательств является уголовным преступлением. И "эксперт", согласившийся на это, очень сильно рискует.

 Angry Bull
Классная статья!
Просто пособие для наших адвокатов(тьфу, бля, тфу, не дай бох конечна).
Я давно подозревал, что просто изъятие компа в ментовку нихрена не покатит на нормальном процессе.
К сожелению, ни следствие, ни прокуратура, ни суд не готовы к нормальному состезательному процессу.
в 90% случаев сроки следствия затягиваются под разными предлогами. Подозреваемый фактически отбывает срок до суда.
Плюс пресс уголовников, запугивание и т.д.
В какой-то момент делается предложение - ты уже отсидел под следствием год, тебе светит 1-2 года, признавайся, пока суд то-се, короче сразу выйдешь. Большенство идет на такой шаг просто что-бы выжить.

 kassander
Аж мурашки по коже... Брррр ;) Вспомнилось, как меня за шпиона принимали... Vad, дай плиз ссылку на предыдущую статью - про анализ логов ? С винтом, имхо, проще разобраться - на крайняк в окно кинул, пусть потом в Москву везут на восстановление данных за полторы косых уев... ;) А вообще, - надо иметь хорошего адвоката. ;)

 Vad
О доказательственном значении лог-файлов


Игорь Всеволодович Собецкий,
преподаватель Учебного центра «Информзащита»

В настоящее время все больший размах приобретает борьба с преступностью в сфере высоких технологий. С момента принятия нового Уголовного кодекса РФ, в который были включены ст. 272-274 об ответственности за преступления в сфере компьютерной информации, в системе МВД РФ были созданы и начали активную работу соответствующие подразделения. Уголовные дела о преступлениях в сфере компьютерной информации рассматриваются судами, и по ним нередко выносятся обвинительные приговоры в отношении конкретных злоумышленников. В последнее время за расследование инцидентов в сфере компьютерной информации взялись, помимо некоторых частных детективных служб, даже службы безопасности крупных фирм – силами сотрудников с весьма сомнительной квалификацией.

Как показывает практика, в ходе раскрытия и расследования преступлений в сфере компьютерной информации следователь выстраивает цепочку доказательств: данные осмотра места происшествия – исследование – наведение справок ­– выявление и задержание злоумышленника. На первом этапе в соответствии со статьями 164, 176 и 177 Уголовно-процессуального кодекса РФ производится осмотр места происшествия, то есть компьютерной системы, подвергшейся хакерской атаке. В ходе этого осмотра следователь изымает и приобщает к делу различные файлы протоколов, в том числе с межсетевых экранов, журналы операционных систем и прикладных программ и т.п. Затем после анализа этих лог-файлов специалистом определяется тактика дальнейшего расследования. В зависимости от конкретных обстоятельств дела далее получаются путем выемки или даже обыска файлы протоколов в провайдерских или хостинговых компаниях, компаниях, предоставляющих услуги проводной связи, а также в некоторых других местах. На основании этих лог-файлов устанавливается как минимум местонахождение (а иногда и такие сведения о личности, как данные паспорта или фотография) подозреваемого лица. Данные этих лог-файлов в дальнейшем предъявляются как доказательство в ходе судебного процесса.

Разумеется, при таком положении вещей перед всеми участниками судебного процесса встает вопрос: как обеспечивается доказательственное значение приобщенных к уголовному делу лог-файлов? Иными словами, являются ли лог-файлы допустимым доказательством в уголовном процессе? Этот вопрос весьма активно обсуждается на многих сайтах, посвященных вопросам безопасности. Однако, по моим наблюдениям, наибольшую активность в этих обсуждениях проявляют лица, не участвовавшие в реальных расследованиях преступлений в сфере компьютерной информации и тем более не представлявшие как обвинение, так и защиту в суде. В ходе таких обсуждений сетевая общественность в большинстве своем пришла к следующим весьма спорным умозаключениям:

Лог-файлы, изъятые с компьютера потерпевшего, в дальнейшем не имеют доказательственной силы, поскольку предварительно могли быть изменены как самим потерпевшим, так и независимо от его желания третьими лицами. После же изъятия лог-файлы могут быть изменены следователем, специалистом или оперативными сотрудниками правоохранительных органов.
Лог-файлы, полученные в провайдерских компаниях, в дальнейшем не имеют доказательственной силы, поскольку в соответствии с Законом РФ «О связи» провайдер не имеет права предоставлять кому бы то ни было информацию о частной жизни граждан без судебного решения. На основании же одних подозрений следователя (ведь лог-файлы с компьютера потерпевшего доказательственной силы не имеют) суды не будут выносить такое решение.
Результаты исследования каких-либо компьютеров (в том числе и изъятых у подозреваемых лиц), произведенного экспертом, не имеют доказательственной силы, поскольку для производства подобных экспертиз эксперт должен использовать методики, сертифицированные Министерством юстиции и состоять на службе в специализированном экспертном учреждении. Фактически на данный момент в штате экспертных учреждений Министерства юстиции (и даже МВД и ФСБ – прим. автора) таких специалистов нет.
Для пресечения преступлений в сфере компьютерной информации необходимо разработать специальное «Интернет-законодательство» и «Интернет-право», поскольку обычные законы не могут действовать в киберпространстве.
Руководствуясь этими соображениями, нетрудно сделать ошибочный вывод, что доказать какое-либо преступление в сфере компьютерной информации в настоящее время практически невозможно. И, как результат, некоторые посетители таких форумов, не обладающие достаточной юридической подготовкой, нередко сами совершают правонарушения, после чего без особых сложностей привлекаются к уголовной ответственности.

На самом же деле возникающие при оценке доказательственной силы лог-файлов затруднения легко разрешаются в рамках действующего законодательства. Как и во многих других аспектах нашей жизни, теория явно не выдерживает столкновения с практикой. Подобно тому, как первое кругосветное путешествие доказало несостоятельность теории плоской Земли, первое же судебное заседание по делу гражданина, обвиненного по ст. 272 УК РФ, доказало несостоятельность доморощенных юридических теорий. Обвиняемый (в гор. Волгограде) получил наказание в виде двух лет лишения свободы условно, а практикующие юристы – ценный опыт, который и был применен при расследовании уголовных дел по ст. 272 и 273 УК РФ в различных субъектах РФ.

Для лучшего понимания дальнейшего текста приведем простой пример, сравнив компьютерную преступность с общеуголовной. Допустим, что совершено ограбление и убийство. Родственники потерпевшего обратились в милицию, после чего следователь вынул из трупа окровавленный нож со следами пальцев убийцы. По отпечаткам пальцев убийца был установлен и задержан. Однако в свою защиту он заявляет, что отпечатки его пальцев на ноже были фальсифицированы следователем или родственниками убитого, а украденные из квартиры вещи подбросили ему работники милиции. То есть он невиновен и требует немедленного освобождения. Такое заявление не так нелепо, как кажется. Любой следователь может вспомнить многих «клиентов», которые рассказывали и более странные истории. На самом деле это верный способ получить максимальный срок по инкриминируемой статье.

Следователь и суд оценивают собранные по делу доказательства на основании статей 87 и 88 Уголовно-процессуального кодекса РФ. Так, в соответствии со статьей 87 «проверка доказательств производится дознавателем, следователем, прокурором, судом путем сопоставления их с другими доказательствами, имеющимися в уголовном деле, а также установления их источников, получения иных доказательств, подтверждающих или опровергающих проверяемое доказательство». В соответствии со статьей 88, «каждое доказательство подлежит оценке с точки зрения относимости, допустимости, достоверности, а все собранные доказательства в совокупности - достаточности для разрешения уголовного дела». Эта же статья указывает, что конкретные доказательства по уголовному делу могут быть признаны недопустимыми (то есть не имеющими юридической силы) либо следователем, либо судом.

Очевидно, что в ходе расследования уголовного дела о преступлении в сфере компьютерной информации следователь едва ли согласится признать недопустимым доказательством собственноручно изъятые им лог-файлы. У привлеченного к уголовной ответственности злоумышленника остается единственный выход – заявить соответствующее ходатайство непосредственно в судебном заседании. В этом случае рассмотрение ходатайства будет осуществляться с соблюдением требований статьи 234 Уголовно-процессуального кодекса: «при рассмотрении ходатайства об исключении доказательства, заявленного стороной защиты на том основании, что доказательство было получено с нарушением требований настоящего Кодекса, бремя опровержения доводов, представленных стороной защиты, лежит на прокуроре. В остальных случаях бремя доказывания лежит на стороне, заявившей ходатайство.» Таким образом, если следователь или оперативные работники не допустили процессуальных нарушений при изъятии лог-файлов, то доказывать факт их подделки потерпевшим или третьими лицами придется не кому-нибудь, а самому злоумышленнику. И ему в полной мере придется ощутить мудрость Конфуция: «Трудно поймать чёрную кошку в темной комнате, особенно когда её там нет!»

При осмотре места происшествия и изъятии лог-файлов единственной новацией по сравнению с раскрытием общеуголовных преступлений является необходимость обеспечить присутствие при осмотре достаточно компетентных понятых, которые понимали бы смысл действий следователя (и, возможно, приглашённого им специалиста) по изъятию лог-файлов. В остальном же осмотр места происшествия является одним из наиболее стереотипных и отлично описанных в специальной литературе следственных действий. Поэтому, если проблема компетентности понятых решена, то какие-либо другие процессуальные нарушения крайне маловероятны. В результате оспорить доказательственное значение лог-файлов, снятых с компьютера потерпевшего, как правило, не удается.

Второе обычное заблуждение касается правомерности получения лог-файлов у провайдерских и телекоммуникационных компаний. Эти действия осуществляются в соответствии с Законами РФ «О милиции» и «Об оперативно-розыскной деятельности». Действительно, в Законе РФ «О связи» содержатся положения о тайне связи. Так, в статье 31 этого закона говорится:

«Информация о почтовых отправлениях и передаваемых по сетям электрической связи сообщениях, а также сами эти отправления и сообщения могут выдаваться только отправителям и адресатам или их законным представителям.

Прослушивание телефонных переговоров, ознакомление с сообщениями электросвязи, задержка, осмотр и выемка почтовых отправлений и документальной корреспонденции, получение сведений о них, а также иные ограничения тайны связи допускаются только на основании судебного решения.»

В большинстве случаев у провайдерских компаний запрашиваются данные, непосредственно касающиеся самого потерпевшего (такие как детализация соединений под его логином, звонков на его модемный пул и т.п.). Эти данные следователь получает у провайдерской компании с личного письменного согласия самого потерпевшего, то есть с точки зрения Закона «О связи» фактически выступает в роли его законного представителя. Поэтому полученные данные никак не могут считаться недопустимым доказательством и могут быть использованы в суде и на предварительном следствии.

В остальных случаях данные у телекоммуникационных компаний могут быть получены на основании судебного решения. Поскольку, как было рассмотрено выше, ранее полученные лог-файлы все-таки имеют доказательственную силу, не усматривается никаких препятствий для положительного решения суда. Следует также учесть, что такие решения принимаются единолично судьей, без участия сторон. В результате, как показывает личный опыт автора, суды удовлетворяют поступающие из правоохранительных органов ходатайства в 95 % случаев. Остальные 5 % приходятся на случаи явной халтуры при составлении документов и грубых ошибок отдельных оперативных сотрудников. Полученные по решению суда данные, разумеется, также используются в суде и на предварительном следствии. Таким образом, падает и второй бастион защитников свободы компьютерного хулиганства…

Но вот личность злоумышленника установлена, используемая им техника изъята и отправлена на экспертизу. На этом этапе адвокаты обвиняемого вслед за общественностью поднимают вопрос: кто может выступить в качестве эксперта? К сожалению, и здесь спорить не о чем. Ответ на этот вопрос уже дан Уголовно-процессуальным кодексом РФ. Статья 57 УПК, определяющая статус эксперта, гласит:

«1. Эксперт - лицо, обладающее специальными знаниями и назначенное в порядке, установленном настоящим Кодексом, для производства судебной экспертизы и дачи заключения.

2. Вызов эксперта, назначение и производство судебной экспертизы осуществляются в порядке, установленном статьями 195 - 207, 269, 282 и 283 настоящего Кодекса.

3. Эксперт вправе:

1) знакомиться с материалами уголовного дела, относящимися к предмету судебной экспертизы;

2) ходатайствовать о предоставлении ему дополнительных материалов, необходимых для дачи заключения, либо привлечении к производству судебной экспертизы других экспертов;

3) участвовать с разрешения дознавателя, следователя, прокурора и суда в процессуальных действиях и задавать вопросы, относящиеся к предмету судебной экспертизы;

4) давать заключение в пределах своей компетенции, в том числе по вопросам, хотя и не поставленным в постановлении о назначении судебной экспертизы, но имеющим отношение к предмету экспертного исследования;

5) приносить жалобы на действия (бездействие) и решения дознавателя, следователя, прокурора и суда, ограничивающие его права;

6) отказаться от дачи заключения по вопросам, выходящим за пределы специальных знаний, а также в случаях, если представленные ему материалы недостаточны для дачи заключения.

4. Эксперт не вправе:

1) без ведома следователя и суда вести переговоры с участниками уголовного судопроизводства по вопросам, связанным с производством судебной экспертизы;

2) самостоятельно собирать материалы для экспертного исследования;

3) проводить без разрешения дознавателя, следователя, суда исследования, могущие повлечь полное или частичное уничтожение объектов либо изменение их внешнего вида или основных свойств;

4) давать заведомо ложное заключение;

5) разглашать данные предварительного расследования, ставшие известными ему в связи с участием в уголовном деле в качестве эксперта, если он был об этом заранее предупрежден в порядке, установленном статьей 161 настоящего Кодекса.

5. За дачу заведомо ложного заключения эксперт несет ответственность в соответствии со статьей 307 Уголовного кодекса Российской Федерации.

6. За разглашение данных предварительного расследования эксперт несет ответственность в соответствии со статьей 310 Уголовного кодекса Российской Федерации.»

При этом с статье 195 указывается: «Судебная экспертиза производится государственными судебными экспертами и иными экспертами из числа лиц, обладающих специальными знаниями». При этом в кодексе круг «иных» экспертов никак не очерчен, и никаких специальных сертификатов, в том числе от Министерства юстиции, экспертам не требуется. Иными словами, в качестве эксперта может быть привлечено любое лицо, обладающее необходимыми знаниями и навыками. Уровень компетентности эксперта при этом определяет следователь.

Разумеется, в суде обвиняемый или его адвокат могут заявить ходатайство об отводе эксперта по мотивам его некомпетентности или требовать приглашения собственного эксперта. Однако до сих пор автору неизвестно ни одного случая, когда такие ходатайства удовлетворялись бы судом. Дело в том, что следователи поручают производство экспертизы достаточно компетентным специалистам, которые к тому же «от сердца к сердцу» передают друг другу некоторую общую методику производства подобных исследований (разработана Следственным комитетом МВД РФ и несколько модернизирована НИП «Информзащита»), обеспечивающую доказательственное значение результата экспертизы. И тут адвоката ждет фиаско!

Наконец, не выдерживает никакой критики предложение обзавестись специальным «Интернет-правом». На самом деле практикующие юристы встречают такие предложения с большим недоверием. Право для того и предназначено, чтобы регулировать наиболее важные общественные отношения, и немыслимо каждую предметную область комплектовать собственной отраслью права. В ином случае, придется создавать не только компьютерное, но и медицинское, геологическое, химическое, канцелярское право. И еще много других отраслей…

Этот подход ведет в тупик. В действительности практически все вопросы взаимоотношений между пользователями компьютерных сетей и телекоммуникационными компаниями могут быть решены в рамках традиционного гражданского, административного и даже уголовного права. Телекоммуникации и сеть Интернет – далеко не единственная в настоящее время транснациональная структура. Транспортные компании, почтовые службы, многие корпорации с диверсифицированной инфраструктурой действуют на территории многих стран. В одно и то же время их деятельность подчиняется различным национальным законам, что ничуть не мешает процветанию соответствующего бизнеса. Тем не менее корпорации не требуют ввести специфическое автомобилестроительное или почтовое право. Фактически все вопросы защиты интересов как компании, так и ее клиентов решаются в соответствии с законодательством того или иного государства.

Таким образом, общеупотребительные на сетевых форумах представления далеко не во всем совпадают с российской реальностью. А такой разрыв между представлениями и суровой реальностью может привести к крайне неприятным последствиям в зале суда…

Автор этой статьи будет благодарен за замечания и комментарии по адресу sobetsky@infosec.ru


=============================================================
В курсе РАССЛЕДОВАНИЕ КОМПЬЮТЕРНЫХ ИНЦИДЕНТОВ подробно разбираются все аспекты деятельности службы безопасности (отдела информационной безопасности) организации при реагировании на инциденты в информационной системе, в том числе методика предупреждения таких инцидентов, ликвидации нанесенного ими ущерба, пресечения хакерской активности, перекрытия каналов незаконного съема информации и выявления виновных лиц. На конкретных примерах рассматриваются недочеты деятельности службы безопасности, создающие предпосылки для появления уязвимостей в информационной инфраструктуре организации. Слушатели получают информацию о факторах риска для информационных систем организации, представляющих наибольшую опасность. На основе обобщения большого числа КИ даются рекомендации по снижению вероятности КИ.
=============================================================

 Vad
судя по последней статье, притянуть за порнуху могут запросто.
На основании провайдерских логов. Просто получат твой ФТП трафф + HTTP - статистика спонсов.

на счет криптования - надо криптовать систему, а вот возможно л это?
в самой винде дохуищща инфы, кто куда и когда ходил и что делал

 kassander
Мда, остается разве что исключительно VPN-ом ходить... Или доказывать, что на территории РФ ты ничего не распространяешь... Если это, конечно, реально...

 Tornado
Vad писал:


DCPP и VPN тебя спасут
Хотя думаю все же не все так грустно и логи одного провайдера не будут ничего означать

только закриптуй диск свой

 bibigon
ИМХО хороший адвокат развалит все дело к ебеням.
Чисто наша ментовка с их спецами сработать не сможет. Наверняка будут нарушения процессуальные.

Не ссыте. Есть вещи более опасные.

 pelmen
ИМХО: хуйня все это...

Какой бы крутой софт для криптования не был
десяток ударов дубинкой, пару дней без сна, в слоника поиграют,
и во всем признаешься как миленький.
Что делать, страна такая, это минус, но и плюс, что можно откупиться...

не на что не претендую, просто мысль вслух...

 kassander


Откупиться, имхо, всегда, или почти всегда, можно. А насчет выбитых показаний - ты ж тоже не дурак, допрос велся не в присутствии твоего адвоката, стало быть на суде громко кричишь, что показания из тебя были выбиты, подписал ты протокол, дабы остаться в живых, и от показаний отказываешься. Дальше все по новой... Во всех смыслах, правда...

 BerWe
pelmen писал:

И где теперь этот Ходарковский? %)
но дело даже не в этом.... захотят они героизм народу показать - станешь козлом отпущения... а методы для этого - действительно есть.... и не поплетешься же в суд по правам человека....

 Sigurd
Weber писал:

Почему нет? Если не виноват, то легко...

Кстати, я вот всегда удивлялся: серваки не в России, сайты не на русском языке, в большинстве своем на сайтах стоят скрипты, которые отсекают русский трафф нах. Мне кажется, что и среднему адвокату хватит этого, чтобы доказать, что никакого распространение на территории РФ нету Я не прав?

 Austerlitz
Цитата:

Насколько я понимаю, ты находишься на территории РФ. И сайты ты делаешь на своем домашнем компьютере, который тоже находится на территории РФ. А то, что сайты находятся на иностранных серверах не имеет значения, и уж точно ты не сможешь доказать, что на твоих сайтах не бывают русские посетители.

 Vad
>>и уж точно ты не сможешь доказать, что на твоих сайтах не бывают русские посетители.

а сфига ли он должен это доказывать? Это прокурор должен доказать, что таковые там имеются

 kassander
Yahook писал:

Так это я для себя, для красоты Смотрю перед сном, потом на жену кидаюсь - она летает полночи

Вот сама статья:

"Статья 242. Незаконное распространение порнографических материалов или
предметов.

Незаконные изготовление в целях распространения или рекламирования, распространение,
рекламирование порнографических материалов или предметов, а равно незаконная
торговля печатными изданиями, кино- или видеоматериалами, изображениями или
иными предметами порнографического характера -
наказываются штрафом в размере от пятисот до восьмисот минимальных размеров
оплаты труда или в размере заработной платы или иного дохода осужденного за
период от пяти до восьми месяцев либо лишением свободы на срок до двух лет."

Комментарий:
" 6. Изготовление состоит в создании любым способом (печатание, рисование, фотографирование, съемка кино- или видеофильма и т. п.) материала или предмета порнографического содержания. Ответственность за изготовление возможна лишь при установлении умысла на их распространение, т. е. на ознакомление других лиц с этими материалами или предметами, независимо от формы такого ознакомления, либо для их рекламирования, которое является одним из способов распространения.
Рекламирование заключается в выставлении соответствующих материалов или предметов для всеобщего ознакомления либо в сообщении о существовании таких материалов или предметов, месте, где они могут быть приобретены либо где можно с ними
ознакомиться, и т. п. Преступление считается оконченным с момента изготовления хотя бы одного материала или предмета порнографического характера.
Распространение и рекламирование порнографических материалов или предметов образуют самостоятельные составы данного преступления, даже если они были совершены лицом, их не изготовившим. Окончены эти преступления с момента ознакомления
с соответствующими материалами или предметами хотя бы одного лица или с момента, когда информация о них стала известна также хотя бы одному лицу."

Вообще, несколько расплывчато: если ты хотел их распространять, то за наличие привлекут, а вот если не хотел - храни сколько хочешь, за хранение без распространения ответственность не предусмотрена. Стало быть, главное - распространение. Далее: Уголовный Кодекс, как известно, действует на территории РФ, а размещаются материалы за ее пределами, более того, в стране (я про США), где, при выполнении определенных формальностей, свободное размещение adult-материалов разрешено. Так что тут, имхо, у кого денег больше... ;)

 EXTRIM
В этой статье ключевое слово - незаконное изготовление, распостранение...
Может кто знает как законно можно порно распостранять? ;)

 Catch22
Vad писал:

Не думаю, что запросто.

Можно иметь логи, фтп трафф и статистику, но ты попробуй доказать, что эти логи были записаны за конкретным человеком.
=============


И еще - народ, ну хорош фантазировать и выдумывать небылицы. По 242УК менты не будут прессовать, бить дубинками и т.д. , это совсем не та статья. А то у вас не менты, а святая инквизиция практически.