Nu blir det lite rörigt här men måste få det ur mig.
Hittade några vettigheter kring det här med om något skett lokalt i dators webbläsare eller via synk.
Utdrag från artikel som beslriver ett ramverk som kan vara grund när man avgör om något skett lokalt i dator eller synkats:
” For example, if a URL is found in a browser's history, the computer forensic analyst would analyze other browser artefacts relating to the URL in question that can serve as indicators of synchronization (i.e. absence of cookies or cache associated to the URL in question, or if the application specifically tracks which artefacts are local and which are synced) (Oh et al., 2011; Warren et al., 2017).
It is equally important to determine what syncs as well as what does not sync. If a user artefact of interest can sync (Google Chrome browsing history, for instance), the computer forensic examiner will need to work through the framework to attempt to determine if it's present on the device because it synced from another device, or if was created on the local device.
If the user artefact of interest never syncs (Google Chrome Cache, for instance), this framework is not needed as the artefact can only be local.
Källa:
https://www.sciencedirect.com/science/article/pii/S1742287618300410
Mer från artikeln:
”The synchronization of data between devices translates to both a benefit and a challenge for computer forensic examiners.
The benefit is that the device being analyzed may contain evidence that synced from another device that cannot be found.
The challenge for a computer forensic examiner is that the device being analyzed may contain evidence that synced from another device. ”
” Despite its benefits, syncing also presents a challenge.
How do you prove that the activity happened on the device being analyzed and that it did not sync from another device? Surprisingly this challenge does not appear to have been raised in the courts as a defense, and therefore is not being addressed by examiners as part of their forensic process. With the ever-increasing number of end user devices syncing data between them,
it is only a matter of time that a computer forensic analyst will face that defense in court. It may even be a legitimate defense. Imagine a computer forensic analyst analyzes a laptop computer and finds URLs in the browser history showing that the user surfed to websites that corroborate that the user is guilty of an offense. What if that user has a tablet at home that is automatically connecting to their browser account, and that someone at home surfed those sites? Would an examiner know this to be the case? Would they be able to defend their evidence against such a defense?
Given the absence of research on this topic, it suggests that few computer forensic examiners are considering this during their examination. ”
”The lack of attention to this issue creates a risk that a computer forensic examiner will face this argument in court some day and
will be unprepared and thus unable to address it.”
Bla bla bla men läser man hela artikeln så framgår vad som brister i vårt fall.
Sen borde IT-forensikerna läsa det här gamla blogginlägget på nån kafferast också.
https://digitalinvestigation.wordpress.com/2012/09/03/chrome-session-and-tabs-files-and-the-puzzle-of-the-pickle/
Det handlar om en fördjupning i de Chrome Current Session som de hittat inloggningen 05:23 i. Speciellt de ”transition types” som nämns i artikeln bör de kika på i 05:23 filen. Alltså hur någon navigerat till sidan för inloggningen.
Mycket av analysen sker via polisens programvara. Inte bara lokalt hos utredarna utan även hos IT-forensikerna hos NFC.
Det de inte verkar lägga så mycket krut på är det som sista länken här beskriver. Alltså det manuella arbete utanför polisens analyserande programvara som måste göras.
Det kallas på fackspråk ”parsing” det som polisens och NFC:s olka program gör. Alltså automatisk ”tolkning”. Programmen hittar artefakter, t.ex Chrome Cache Records, och sen redovisas de rakt upp och ner i en lista utan några vettiga (läs kunniga) slutsatser och med en rad hypoteser om vad som hänt.
Blogginlägget beskriver alltså den manuella ”parsing”, alltså tolkning av filerna funna i artefakterna.
Det är det arbetet som NFC tackade nej tack till att göra för händelsen 23:34 t.ex.
05:23 undersöktes inte vidare pga av okunskap gällande de filer och tema som nämns ovan.
Jäkla olyckligt alltså för 23:34 är en mycket kritisk tid när detta ska upp i rätten. För visst är det inte helt ointressant att veta om han
1. Satt framför datorn 23:34
2. Någon använde LW:s dator i köket 05:23
3. Lägger till den händelsen här också att ett dokument öppnas 00:00:00 i SD:s dator från hårddisken d: vilken inte har så mycket aktivitet i resten av hans tidslinje. Där öppnas dokument via c:, Google Docs eller Tyréns intranät eller motsvarande. Alltså via webbläsaren.
1-3 ovan hade kunnat lösas med manuell tolkning av datorernas filer och loggar menar jag. Men de har kört lite för mycket McDonald’s istället för finlir helt enkelt.
Kommer osökt att tänka på sketchen med ”The computer says no” från Little Britain.
. Spekulationer så klart.