Newsgroup: it.politica
Titolo: Delitti e computer

http://www.liberta.it/asp/default.asp?IDG=708262015&H=
Spiegatemi una cosa, io se creo un file di testo in genere quello che leggo 
č la data di creazione del file e l'ultima modifica, ma adesso mi volete 
dire che vengono anche registrati tutti i salvataggi? Poichč ipotizzo che 
quello lavorasse in ambiente Windows non č che qualcuno sa per qual motivo 
gli ingegneri di Seattle hanno escogitato una stranezza simile? 

 
comincia da qui:
http://www.cryptohacker.com/winword.html
-- 
"consultando un numero sufficientemente alto di esperti,
è possibile sostenere qualunque ipotesi."
[capsula]

 
alias..come vi ho gia detto in piu di una occasione..microsoft windows 
e' comunismo e massificazione...meditate gente ..meditate...in attesa 
che vi mettano il chip sottopelle !!!


se lavoro senza collegarmi ad internet e cambio la data corrente quali 
informazioni affidabili possono dare le modifiche a qualunque file io abbia 
lavorato? 

jee ha scritto:

con word, se hai attive le revisioni, ogni parola modificata in quel file
scaricati un analizzatore free 
www.docscrubber.com


jee ha scritto:

..nessuna ...ma nessuno lo fa...

 
...come mai il chip ha fatto passi da gigante ma l'umanita' e' ancora 
ferma allera del fuoco ? si muove col fuoco... spara col fuoco.. si 
scalda col fuoco.... qualcuno o ne sa di piu ma tace o la farina arriva 
da altre parti..e noi non siamo in grado di gestirla...anzi la usiamo 
male ...ma proprio male....alla COMUNISTA !!!!

 
Brrrr...

 
http://www.cryptohacker.com/winword.html
ehehehehehehehehehehehehehe(risatella sotto i baffi)
Ottimo link che mi toglie il dubbio, infatti quoto
"L'autorecovery é un espediente della microsoft per recuperare i dati in 
caso di crash di winword: se, per qualsiasi motivo winword avesse un 
problema, dovendo uscire senza consentire il salvataggio salva una copia del 
documento in memoria in windows\temp con il nome "AutoRecovery save of "... 
piú il nome del documento, é una caratteristica del tutto simile alla 
"bugdoor" dell' autosave vista piú sopra.
Questa dovrebbe essere una cosa positiva, perché, in caso di guasto é 
possibile controllare la cartella windows\temp e recuperare il documento. 
Questo peró é anche una grave falla di sicurezza, perché, anche se l' autore 
tenesse i documenti riservati su un' unitá irraggiungibile o li cancellasse 
in  modo sicuro consentirebbe ugualmente, in caso di accesso abusivo (e 
considero l'analisi forensica il PEGGIOR tipo di accesso abusivo) di 
recuperare molti documenti semplicemente controllando windows\temp"
Eccolo il motivo della "stranezza", ed è anche chiaro perchè io mi ricordo 
che molti anni fa avevo un Mac e creavo documenti testo con ClarisWork, se 
andava in crash riusciva a fare un auto-salvataggio. Quindi chiarito il 
dubbio spiegatemi una cosa: DOVE CAZZO STA SCRITTO L'ORARIO DEI 
SALVATAGGI?!?!?!?!?!

Claudio Bianchini ha scritto:

ma anche se ci fosse...
non basta lasciare aperto word e impostare il 
salvataggio automatico ogni 10 minuti?
(non lo uso da anni, non ricordo benissimo)

Claudio Bianchini ha scritto:

l'orario dei salvataggi si determina scansionando l'intero hard disk 
alla ricerca del ~nomeutentenomefile.doc provvisorio generato ad ogni 
apertura/salvataggio e cancellato alla chiusura del doc.
si spazzola l'hard disk con buone probabilità che quel settore fisico 
non sia stato occupato da altre scritture.


 
nello specifico non serve scoprire la eventuale modifica di un file word 
ma un qualunque utilizzo del pc da parte del sospettato


non sia stato occupato da altre scritture.
 tutto giusto, ma anche molto banalmente l'ora/data di
 ultimo salvataggio risulta semplicemente dal vecchio
 comando DIR (per i pochi che hanno usato il DOS, o
 il comando LS per i piu`  fighi) oppure scegliendo
 l'opzione dettagli nella visualizzazione di esplora
 risorse
 pero` la domanda e` un'altra: A CHE SERVE ???
 se l' ora/data di salvataggio non fosse sufficiente
 a discolpare il tesista, potrebbe essere semplicemente
 l'orologio del PC fuori sincrono (succede se la batteria
 tampone e` esaurita, o peggio [*], in via di esaurimento)
 se l'ora/data di salvataggio discolpasse il tesista,
 questi, se colpevole e volendo crearsi un alibi, avrebbe
 potuto astutamente far avanzare l'orologio, salvare,
 rimettere in sincrono e spegnere immediatamente dopo (non
 con "arresta il sistema" che lascia tracce ... forse) ma
 staccando la spina
 per cui: stanno perdendo tempo
 [*] peggio perche` se la batteria tampone e` esaurita salvi
 i file anni fa (l'ora zero dei primi PC era la mezzanotte
 del primo gennaio 1980, ultimamente ne ho visti azzerare
 al 1999, chissa` perche`) se invece e "quasi" esaurita,
 alla riaccensione perdi alcune ore ... giusto quelle che
 lo possono incastraree, spero che abbia un perito di difesa
 che conosca queste banalita` (da come ne parlano pare che i
 sedicendi giornalisti non le conoscano affatto)
 --
 Cordialita`
 Ts

t...@ts.it
 ha scritto:

La saggezza di Provenzano!
Con i pizzinni arrivati a destinazione, tutti 'sti casini e angosce te 
li dimentichi.
E' che i pizzinni stanno costando un'ira di dio.
<
<

 sia stato occupato da altre scritture
Io dubito che questo sia possibile se il documento provvisorio viene 
cancellato e non salvato alla fine della sessione. A meno che non ci sia un 
log con l'elenco di tutti i salvataggi compresivo di orario, che non esiste 
perchè non avrebbe alcun senso, io proprio non credo si possa fare quello 
che dici. Quelli al massimo avranno X copie provvisorie ma mi vuoi dire che 
in quelle X copie ci sono anche gli orari di apertura del file che già si 
trovano nella copia "ufficiale"? Io proprio non capisco il senso di questa 
"ripetizione". Al massimo il sistema prenderà gli orari nel momento in cui 
ne ha bisogno, quando la copia provvisoria viene effettivamente salvata, 
cioè in caso di crash. Al massimo la copia provvisoria può sapere quando è 
stata aperta ma che ne sa di quando sarà salvata? Quindi, se è come dici, al 
massimo ci sarà l'orario di apertura, ma non ne capisco l'utilità a meno che 
non sia una specie di "capriccio" della Microsoft 

 staccando la spina
Perchè se modifichi l'ora del PC ti viene registrata anche quella modifica?

 ma un qualunque utilizzo del pc da parte del sospettato
Ma allora lo accendo e dopo vado ad ammazzare, al ritorno lo spengo, ecco 
che mi sono costruito un alibi perfetto :-D

 
Bravo!
Così non hanno bisogno di fare tanti esami per scoprire l'ora esatta 
della morte.
Eh,di veri assassini come te ce ne sono rimasti pochi.
ps
Però, se dovevi andare in Germania a fare un certo lavoretto e poi 
tornare in Calabria, il consumo di energia elettrica te lo rimborsavano 
a piè di lista?
<
<
<

 gli ingegneri di Seattle hanno escogitato una stranezza simile?
Perche' in caso di crash del sistema, una cosa del genere ti evita di
doverti reindicizzare tutto il file system (operazione decisamente
lunga
si il disco e' di qualche GB ed ha qualche milionata di mp3
memorizzati
sopra). :-)
HTH
Bye, bye...

 gli ingegneri di Seattle hanno escogitato una stranezza simile?
Perche' in caso di crash del sistema, una cosa del genere ti evita di
doverti reindicizzare tutto il file system
___________________________________________
Vabbè, questo è chiaro, ma ciò che mi sembrava assurdo era che registrassero 
pure l'orario. Diciamolo chiaro e tondo, gli "investigatori" che stanno 
lavorando sul caso hanno detto l'ennesima STRONZATA. Il caso lo 
risolveranno, se lo risolveranno, solo dalle analisi del RIS

 risolveranno, se lo risolveranno, solo dalle analisi del RIS
Sono molto piu' confidente che siano i giornalisti ad aver
scritto cazzate. Quando ero piu' giovane, ho mandato piu' di
una mail a giornali (tra cui Repubblica e Corriere) segnalando
svarioni informatici (a dire la verita' alcune notizie erano
classificabili come sonore cazzate). Ma non e' cambiato niente,
a scrivere di informatica erano le solite capre ed ho smesso di
fare segnalazioni.
Bye, bye...


bravo T-Student le cose stanno come dici tu. Le altre sono inutilita.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

Perche` se modifichi l'ora del PC ti viene registrata anche quella modifica?
 No, almeno non credo
 Pero` se modifichi l'ora (per esempio indietro di
 due ore) e spegni, alla riaccensione sara` sempre
 indietro di due ore per cui chi ti vuole controllare
 le somma agli orari degli ultimi file e trova l'ora
 corretta
 Per cui devi rimettere a posto l'ora prima di spegnere,
 pero` se spegni regolarmente, da qualche parte viene
 segnata l'ora e siamo al punto di prima
 Allora devi mettere a posto l'ora e staccare la spina
 immediatamente dopo, senza dare la possibilita` al
 computer di fare salvataggi automatici o simili
 --
 Cordialita`
 Ts

manipolare il change journal.
 Infatti, come ho detto: stanno perdendo tempo (spero
 che siano solo i giornalisti a perderlo, non gli
 inquirenti)
 --
 Cordialita`
 Ts

che mi sono costruito un alibi perfetto :-D
 Secondo me col computer stanno perdendo tempo ... vedi altro post
 --
 Cordialita`
 Ts


ma scusate, lui non ha detto di stare su internet? qual'è il problema? si
controlla il suo traffico dal provider...
se il traffico è vario (es. traffico http vario) qualcuno necessariamente
stava adoperando il suo pc.
altrimenti ciccia.
poi chiaramente non vale come alibi, è una stronzata


 bravo T-Student le cose stanno come dici tu. Le altre sono inutilita.
nei giorni scorsi la procura ha precisato che nessun controllo è stato 
fatto sui due pc sequestrati.
hanno precisato che gli eventuali esami saranno fatti solo se necessari 
in quanto la perizia costa non poco.
evidentemente una perizia tecnica probante da utilizzare come indizio 
grave in un processo non può non tener conto di manomissioni 
intenzionali in particolare di livello elementare come il cambio di 
ora/data.


 - Mostra testo tra virgolette -
Ma poi è una stronzata comnque, io potrei incaricare un amico di
operare da remoto sul mio pc, per simulare che fossi realmente al pc
in quel giorno, oppure potrei far navigare randomicamente il pc da
solo programmandolo preventivamente, che stronzate che sparano sti
pennivendoli.
Salvini

 ha
scritto:

sono sostanzialmente d'accordo... solo un appunto al controllo remoto,
quello non va bene perche è tracciabile pure lui.


 ora/data.
il fatto è che la file system di un pc puo (da un esperto che agisce sul
giornale di windows) è esser falsificata.
anche se non fosse il caso di stasi la via piu corretta è controllare il
provider... tutto qua.


ora/data.
 Spiegami come puo` una perizia tecnica stabilire che
 sia avvenuto un cambio ora/data, ancorche` "elementare"
 Facciamo un caso concreto:
 Sono le 15 (stacco fisicamente l'ADSL, hai visto mai
 qualche spyware ...), metto l'orologio del PC alle 17,
 apro due/tre file, lavoro normalmente, per il computer
 sono le 17, salvo e i file prendono quell'ora (come
 prendono quell'ora tutti i salvataggi automatici,
 registri vari e quant'altro
 Apro una finestra Dos (non l'orologio di windows, non
 mi fido) e scrivo "TIME 15:30" (ovvero l'ora giusta)
 batto invio e appena ritorna il prompt del DOS (una
 frazione di secondo) stacco la spina del PC
 Come fa un perito a capire che e` stato messa
 avanti l'ora ? secondo me non puo`, per cui la
 perizia "costosa" non serve a nulla
 Per amore di precisione potrebbe capirlo se facesse
 la perizia prima delle 17:30, direi poco probabile:
 a quell'ora il perito non sa ancora di dovere fare
 la perizia
 --
 Cordialita`
 
 Ts

t...@ts.it
 ha scritto:

credo che esistano due livelli di esame:
un primo livello investigativo dove le incongruenze o le congruenze 
possono aiutare il fiuto del poliziotto a seguire una pista invece che 
un'altra. un semplice sguardo al pc (al case, ai programmi installati, 
foto pornografiche aberranti, scritti vaneggianti, ecc..) può indicare 
se l'utente è uno smanettone o un semplice utilizzatore dei soliti 
quattro applicativi. se, insomma, si è davanti ad un potenziale furbetto 
che si procura un alibi. ovviamente a posteriori dopo il colpo di testa, 
perchè a premeditarlo un omicidio così è da cretini.
se il ragazzo dice di aver lavorato su una tesi che doveva consegnare 
nella successiva settimana e su questo imposta tutta la coerenza del suo 
alibi (non dorme con la fidanzata per concentrasi nello studio, ecc..) è 
chiaro che: 1) è colpevole + è un pirla che non conosce una cippa di pc 
+ non ha manomesso nulla + si è impiccato da solo
2) è colpevole + crede di conoscere il pc + manomette + si è impiccato 
da solo
3) è innocente + si salva.
  C'è la possibilità che sia innocente e che non abbia toccato il pc 
quella mattina perchè non ne aveva voglia e in questo modo si è 
complicata la vita da solo.
un secondo livello probante per un'aula di tribunale dove si va a 
verificare la coerenza di tutto il pc (system restore, log degli eventi 
di sistema, ecc.. proprietà del file word (probabile che il file di 
editazione sia un file winword) ma sopratutto la ricerca dei file di 
salvataggio automatico cancellati dall'applicativo alla chiusura.
se lo scan dell'hd trova frammenti (o i file interi) non ancora 
sovrascritti del salvataggio dei file ~nomeutentenomefileecc.doc allora, 
oltre che date ed ore, è possibile capire se il file è stato 
effettivamente editato con coerenza (studio filologico delle aggiunte e 
delle cancellazioni), cioè il ragazzo era "effettivamente" al lavoro.
cioè se il perito dice che fuori dal file system dell'hd è stata trovata 
traccia di file .doc, temporanei e cancellati dalla tabella di 
allocazione file ma non ancora sovrascritti, che dall'esame del 
contenuto contengono espressioni attinenti alla tesi di laurea, il 
ragazzo è un passo avanti. se invece non si riscontra traccia di nessuna 
attività del pc per il ragazzo cominciano i guai. se poi il perito sia 
in condizione di dimostrare in modo inconfutabile che ci sia stata 
manomissione sulla data/orario il ragazzo è fritto (per esempio la 
presenza in un file .doc con data di ultimo salvataggio alle 9,30 del 
giorno x di una immagine creata/editata minuti/ore/giorni dopo).
questo non esclude la possibilità che il pc fosse acceso dalla mattina 
presto e che sia stato spento molte ore dopo il fattaccio come spesso 
succede a molti smanettoni che tengono il pc acceso a prescindere.
forse per questo gli inquirenti non danno peso allo studio del pc. forse 
in una seconda fase se dovessero accorgersi che il buio si stia facendo 
pesante.


  Facciamo un caso concreto:
il file immagine_1.jpg ha:
data di creazione 7 agosto 2007, 14.01.53
modificato il 7 agosto 2007, 14.03.20
ultimo accesso 27 agosto 2007, 14.57.40
il file immagine_1.jpg è contenuto/linkato al file tesi.doc che ha
data di creazione 8 agosto 2007, 14.01.53
modificato il 8 agosto 2007, 14.03.20
ultimo accesso 27 agosto 2007, 15.01.30
a me comincerebbe a puzzare...


 
il file immagine_1.jpg ha:
data di creazione 9 agosto 2007, 14.01.53
modificato il 9 agosto 2007, 14.03.20
ultimo accesso 27 agosto 2007, 14.57.40
il file immagine_1.jpg è contenuto/linkato al file tesi.doc che ha
data di creazione 8 agosto 2007, 14.01.53
modificato il 8 agosto 2007, 14.03.20
ultimo accesso 27 agosto 2007, 15.01.30
a me comincerebbe a puzzare...
-- 


 ma scusate, lui non ha detto di stare su internet?
Non stava su Internet e gli hanno sequestrato un portatile che usava per la 
tesi
 

 ha scritto nel messaggio
Ma poi è una stronzata comnque, io potrei incaricare un amico di
operare da remoto sul mio pc, per simulare che fossi realmente al pc
in quel giorno
__________________________________________
Se sei su una LAN
**********************************************
oppure potrei far navigare randomicamente il pc da
solo programmandolo preventivamente, che stronzate che sparano sti
pennivendoli
________________________________________________
E attento a cancellare ogni prova però :-DDDDDDDD

 frazione di secondo) stacco la spina del PC
E se invece dopo aver regolato l'ora giusta non faccio più niente e spengo 
il computer normalmente? Anche gli orari degli spegnimenti sono registrati? 
Poi tieni conto che si parla di un portatile

 segnata l'ora e siamo al punto di prima
Ma allora stai a sentire che ho pensato. Quello si alza alle 6 e 30, apre il 
PC alle 7 e mette tre ore avanti e lavora per 3 ore. Che fa a questo punto? 
Salva i file e spegne il PC normalmente SENZA RIMETTERE L'ORA ESATTA. Va ad 
ammazzare e poi torna, fa tutto quello che abbiamo visto ha fatto dopo la 
scoperta dell'omicidio e a sera riapre il PC e come prima cosa RIMETTE L'ORA 
GIUSTA, quindi apre, chiude e modifica file per X minuti in modo da creare 
un'altra sessione di lavoro ma questa volta con l'orario giusto. Da come si 
è detto e da quel che si legge parrebbe che la sessione di lavoro con 
l'orario "taroccato" 7-10 sarebbe cmq rintracciabile, ma quando a sera 
rimetto l'ora giusta il PC che ne sa che mancano tre ore? Ecco creato 
l'alibi perfetto...ma dai non diciamo stronzate!!!


non è necessario, anzi è anche possibile passare attraverso dei nat, ma
questa è n'artra cosa



a no? beh allora tutta sta caciara non serve a una fava...


dal Bios, e rispegnere. O sbaglio?
 Beh, come dici tu e` piu` pulito
 Pero` presuppone un intervento successivo, non puoi
 farlo subito, devi aspettare che sia trascorso un
 intervallo di tempo almeno pari a quello usato per
 posticipare l'ora
 Se lo fai subito hai l'orologio del PC indietro
 rispetto ad alcuni file, se qualcuno lo accende
 prima dell'ora taroccata dei file si accorge
 della manomissione
 Per cui 1) Se sei casa: che te frega di tutta
 questa manfrina ? 2) Se non sei in casa: tornerai
 in tempo per mettere le cose a posto ? Nel dubbio
 meglio staccare la spina
 --
 Cordialita`
 Ts

l'alibi perfetto...ma dai non diciamo stronzate!!!
 Infatti, ho giudicato dall'inizio una "stronzata"
 (per usare le tue parole) l'accanimento sugli orari
 rilevabili dal PC (che, IMHO, non valgono nulla)
 Successivamente e` emerso che -forse- si tratta
 di un'invenzione dei giornalisti, bene, tanto
 quelli hanno tempo da perdere
 Ero, casomai, preoccupato del contrario (per fortuna
 mi pare che anche questa ipotesi sia remota) cioe`
 che uno sfasamento per qualunque motivo dell'orario
 del PC possa non far coicidere le date dei files con
 quelle riferite, da qui un ingiusto indizio di
 colpevolezza
 Se affidi la perizia a uno smanettone (= lamer, e
 in campo informatico si leggono e si sentono tante
 idiozie) magari quello manco si accorge che dello
 sfasamento "naturale"
 Mia sorella, che e` una gran casista, mi porta dei
 file da stampare, hanno le date e gli orari piu`
 assurdi: sono foto e siccome esaurisce sempre la
 batteria della camera, quando le cambia prende la
 data  piu` o meno random, ne` lei la sistema
 Se avesse detto, "sono stata la` a fare delle foto
 Giovedi alle 15" poi le foto invece portano Lunedi`
 alle 10, ci arriveranno a supporre che forse la
 macchina fotografica ha la data sputtanata ?
 Oppure siccome "l'ha detto il computer" che le foto
 le hai fatte Lunedi` alle 10, quindi hai mentito e
 quindi sei colpevole ?
 --
 Cordialita`
 Ts

Con lo spegnimento normale, risulta ore 17 e riaccensione dopo le 17.
 Incomprensibile ed irrilevante
 --
 Cordialita`
 Ts