Gadu-Gadu. używanego przez komunikator. Pliki te są kontenerami dla. SQLite - informacje podstawowe

Transkrypt

1 Tomasz Pawlicki Arkadiusz Bo/ewski PawełKubicz Andrzej Romanowski Oprogramowanie do ana lizy ś ledczej tworzone we współpracy z Katedrą Informatyki Stosowanej Politechniki Łódzkiej - - SQLite, Torrent Analyzer, Konwerter Dźwięku Wprowadzenie i cel pracy Niniejsza publikacja jest kolejnym artykułem poświęconym zagadnieniom szeroko pojętej informatyki śledczej. Informatyka śledcza (Computer Forensics) wkracza tam, gdzie kryminalistyka styka się z komputerami zarówno w sensie sprzętu, jak i oprogramowania. Od kilku lat obszary jej zastosowania, poza komputerami, obejmują także szereg innych urządzeń technologii służących do przesyłania, przetwarzania i przechowywania informacji. W poniższym artykule poruszone zostały trzy wybrane, praktyczne aspekty związane z analizą dowodową informacji w postaci elektronicznej. Pierwszy z nich to wykorzystanie w praktyce kryminalistycznej właściwości i obsługi systemu bazodanowego SOLite na przykładzie archiwum komunikatora internetowego Gadu-Gadu. Drugi prezentuje możliwości opracowanego oprogramowania do analizy plików konfiguracyjnych programów kliencklch sieci do wymiany plików (Peer-to-Peer - P2P). Trzecim przedstawionym zagadnieniem jest projekt programu do konwersji plików dżwiękowych ułatwiający wykorzystanie i odtworzenie mate riału dowodowego pochodzącego głównie z urządzeń przenośnych. Prezentowana problematyka jest przedmiotem badań dotyczących tworzenia nowoczesnych narzędzi informatycznych wspierających pracę ekspertów kryminalistyki. Nad badaniami wspólnie pracują Laboratorium Kryminalistyczne Komendy WOjewódzkiej Policji w Łodzi i Katedra Informatyki Stosowanej Politechniki Łódzkiej przy wsparciu Oddziału Łódzkiego Polskiego Towarzystwa Informatycznego. Część wyników zamieszczona w niniejszym artykule przedstawia elementy prac dyplomowych Arkadiusza Bolewskiego oraz Pawła Kubicza. Odczyt danych z aplikacji opartych na silniku bazodanowym SOLite na przykładzie nowej wersji popularnego komunikatora internetowego Gadu-Gadu Nowe Gadu-Gadu może być dodatkowym żródłem informacji w różnych sprawach, w których dochodzi do komunikacji między użytkownikami. Często rozmowy zawierają wiadomości na temat miejsc spotkań, transakcji. Historia Gadu-Gadu, w skrócie GG, rozpoczęła się w roku 2000, obecna wersja ma numer 10. Po roku 200B, wdrożeniu biblioteki at i zastosowaniu kodowania Unicode UTF-B wydano wersję komunikatora pod nazwą Nowe Gadu-Gadu. Niniejsza część artykułu przedstawia metody przeglądania i analizy danych SOLite na przykładzie właśnie Gadu-Gadu. Dokładniej, jest to analiza pliku Archive.db używanego przez komunikator. Pliki te są kontenerami dla danych bazy SOLite w wersji v3. Poniżej zostały zaprezentowane podstawowe informacje umożliwiające poznanie struktury danych zastosowanych w Nowym GG, a także metody pozwalające na tzw. ręczną analizę informacji w niej zawartych. W tym miejscu należy wspomnieć, że istnieje dostępne oprogramowanie, np. adbt, za pomocą którego można uzyskać dane pochodzące z archiwów komunikatora, jednak w trakcie przeprowadzonych przez ekspertów kryminalistyki Pracowni Badań Komputero wych LK KWP w Łodzi badań stwierdzono, iż generowane przez nie raporty zawierają błędy, co całkowicie dyskwalifikuje to oprogramowanie jako narzędzie do analiz typu Computer Forensis. SQLite - informacje podstawowe SOLite to zarazem silnik i system zarządzania relacyjną bazą danych obsługujący język zapytań SOL1'. Jedną z podstawowych zalet tego rozwiązania jest możliwość implementacji bazy danych jako pojedynczego pliku (do 2 TB). Dzięki takiej architekturze w praktycznych implementacjach nie jest konieczne łączenie się z serwerem bazodanowym, a tym samym uruchamianie odrębnego procesu RDBMS' tak, jak to ma miejsce przykładowo w rozwiązaniach klasycznych, np. MySOL. SOLite jest obecnie najpopularniejszym rozwiązaniem bazodanowym wybieranym dla systemów wbudowanych. Świadczy o tym choćby jego obecność w dwóch najważniejszych płatformach Smartphone: iphone OS oraz Android, co z kolei pozwala przewidywać dalszyjego rozwój i wzrostznaczenia. Początki projektu datuje się na rok 2000, w którym to D. Richard Hipp stworzył i udostępnił SOLite na zasadach licencji Pub lic Dornain-. 40 PROBLEMY KRYMINALISTYKI 275(1) 2012

2 ł _. Z PRAKTYKI Podstawowe cechy SoLite to: obsługa transakcji zgodnych ze standardem ACID'. implementacja zgodna ze standardem SoL92, przechowywanie w pojedynczym pliku komp letnej bazy danych, możliwość migracji pom i ę dzy różnymi platformami Win32. Win64, WinC E. Linux, MacOSX. Ograniczeniem rozwiązan ia jest blokowanie ca łego pliku podczas dopisywania nowych danyc h oraz brak praw d ostępu do bazy danych. Jednak w przypadku analizy plików będą cy c h materia łe m dowodowym jest to znaczne ułatwienie. SOLite - zastosowanie Baza danych SoLite jest wbudowana m iędzy innymi w następujące aplikacje: Mozilla Firefox - przeg lądarka internetowa na licencji open source (w baza ch danych przechowywane są profile użytkowników ), Android - ś ro dowisko programistyczne dla urządzeń przenośnych. zaprojektowane przez Google (do przechowywania danych użytkowni ka ), Apple iphone - multimedialne urządzen ie przenośne, Nowe GG - komunikator inte rnetowy (archiwum połąc z e ń). Sqlite3Explorer - menadże r bazodanowy W celu analizy pliku można posfużyć si ę dostępnymi rozw iązan iami typu Me nager SOLite. W omawianym przypadku użyto prog ramu Sqlite3Explorer, dostęp nego na stronach Pon iże j przedstawio no jego opis, zważywszy jednak na nadrzędny cel artyku łu ograniczono s ię jedynie do opisu funkcji umoż l i wiających uzyskan ie da nych z kontenera SOLite. Okno programu (ryc. 1) dzieli si ę na trzy podstawowe elementy : widok schematyczny tabeli ( pod g l ąd tabeli przypomina st ru kt u rę folderów znanych z MS Windows), pole za pyta ń (pole umożliwi aj ące ręczne wpisywanie za pyta ń SOL), pole wyniku (pole, w który m przedstawiony jest wynik zapyta nia). Dodatkowym eleme ntem wspomag ającym konstrukcje za pytań SOL jest Quel}' Buliderdo stępny w górnym pask u narzędziowym (ryc. 2). Za pomocą kreatora moż na stworzyć oraz przetestować zapyta nie SOL. Dostępny widok przypomina opcję tworzenia kweren d znaną z MS Access. Dodatkowe opcje sortowania dostępn e w dolnej części programu pozwa lają na doprecyzowanie zapytania. Tradycyjny podgląd można uzyskać przez naciśn ięcie pola Sql umieszczon ego w górnym pasku narzędziowym (ryc. 3). Natomiast pole Sample pokazuje przy k ład o we dz iałanie zapyta nia. Tak utworzone zapytanie moż na sk o p i ować (Ctrl + C) i przenieść do Pola zapytań dostępnego w głównym panelu programu. W celu utworz enia nowego zapytania n al eż y wyśw iet li ć dostępne tabel e, a na stę p n ie połączyć je w log i czną cało ś ć, przeci ąg ając poszcz ególne komórki. Studium przypadku W celu przedstawienia zastosowania opisywanego narzędz ia zapro ponowano na stęp ują cy p rzykład procedury analizy danych (rozmów) pochodzących z komunikatora intemetowego Nowe GG z użytkow nikiem o num erze Ważnym elementem pracy z plikiem bazodanowym jest do kład ne poznani e jego struktury oraz poszczególnych komórek determinuj ą cy c h prawi dłowe rozpoznanie użytkownika, charakte ru jego rozmowy, treści itp. Baza danych komu nikatora zawarta jes t w pliku: Archive.db w ka talogu : IUsers!Nazwa Użytko wnika! AppOa tal Roaming l Gadu-Gadu to\numer Profilu. W przypadku niezaszyfrowanego archiw um" można bezpo ś redn io uzyska ć do stęp do w iadomo ści, m.in. przez podgląd pliku. np. z użyciem ap likacji wbudowanej w MS Windows - Notatnik. Jednak prowadzone w ten sposób badanie jest bardzo ż mudne, a wygenerowanie raportu. w sposób umożliwiają cy jego płynną ana l izę. jest bardzo czasoch łonne. Standardowa tre ś ć wiadomości zawarta jes t w znacznikach: Data/czas «spen style="color:#oooooo; font-family:'ms Shell Olg 2 '; tom -size.eot:» { tres ć wiedomoscit c/spen»..j 'nlerloollots.j,,_wqtlence.. s _.~ _ ł111z1 Ayc. 1. Główne okno programu Singular SOLileExplorer Fig. 1. Main window ot SOLiteExplorer Źródło (ryc, 1-18 ): autorzy,.- I F;e fd<l v,~.l.(t,o~. o,t,... U.!:2 ~ ", ~ x ~ 8 ~ '6" '" ~..""'s- E_ E... a..., ""-> ONlOolI Ił... h!> o-t" 8_ Cooorol Rcit ~"':;"m:-- t,...:,'.,f,i.,.,_,:".-:-.-:-,". ", "",::,-;;,",,_,;;. ";;,,;;~,c;:;.--~ J ICl:ll..J cłl lltl...j COI'\'WI'IUII~ l 1=..._- -- -o - _. Ryc. 2. G ł ówne okno kreatora zapyta ń SQL Fig. 2. Main window otsql query builder p."g._-_..._ I. _ 'f'- ~~ i ::::-"'"..._~ ~-. _., I 110. =W= =- 'H : ~ : :. ~ : c, t, C""","",",:,co' ::'r.o:...<i ~~e : :.<I ".. :.,.u.:oc',;t '.',. o:.d :I",.o:uo e:. C.U. :I'.':n o" 0;,.,'::'. ' I '.. - "., , PROBLEMY KRYMINALISTYKI 27S(1)

3 ł Z PRA}"'YKI Po uruch omieniu programu : Sqlite3Explorer i załad o waniu pliku Arcnive.db wyświetla na jest jego struktura, Baza danych sk ład a się z trzech podstawowych tabel zawierający ch odpowiednio: chats - rozmowy, communication_ilems - treści wiadomości, interlocutors - u ż yt kow ni cy, z którymi przeprowad zone z o stały rozmowy. Tabe la chats Struktura tabeli chatszostała przedstawionana rycinie 6. Tabela s kłada s ię z p ięciu podstawowych elementów: chaud - numer identyfikacyjny przeprowadzonej rozmowy, imettocutorid - numer identyfikacyjny u ż yt - kownika, z którym przeprowadzona by ł a rozmowa (przeprowadzone rozmowy zapisane są w tabeli interlocutors), is_inilialized_by_user - znacznik, czy rozmowa została roz poczęt a przez " m aj ą ce g o archiwum" (1 = tak, O= nie), stertoete - data i czas ro zpoczęcia rozmo wy, tirstcommunication_item_id - numer identyfikacyjny pierwszej wiado moś ci na leżącej do tej rozmowy (z tabeli commu nica lion_ilems). Tabe la communication_items Struktura tabeli communication_items przedstawiona została na rycinie 7.."., łiiii ~ iii! " X W. 11 Updale Load Save Seve as.., Cle.. Oplions 5E :~ cr C 2. c ~ a t_ id, Il. l ~t e ~loc ~ tc =_i d.c:. ~ ~ t e = l c c~ tc = i d F:; O ~1 che t.s Cl,cc rm.::.:.::.:. c a t :.c ::_ l. :'~ C2, l.::t. e =lccu to = ~ 1 1 ~ Sql ~ Sample h~ E :; E C2. c::at.:.d= : :. c~ at :.d ~ld I :..:. ::t e= l o c ~t c =.:. d= C ~..:. ::t e = l o c ~t c= ~ d V Check SJ'I1 łak Ryc. 3. Zapytania SQL w formacie nieprzetworzonym Fig. 3. SQL srarements in basic form.:= Sample Data I = ca e 't Jo d 7 J Ryc. 4. Pola wynikowe zapytania Fig. 4. Sampledata 'rtle- "<lol>"/><img sl yle-"wl(lt h' 18px: helght '18px" src="%n-g-, NSTALLATiOt'CDIRECTORY%/emolsnol gir alt-"<101>" II' [INSTALLATiON_DIRECTORY%/emots/lol git' alt="<101>" litie= "<101>"/><img style="width:18px: height18px" src="%gg- 1 t><img style="wid1h 18px: height '18px" src="%gg-'nstallation_directory%/emots/lol gir alt= "<lol>" title="<l ol>"/ IINSTALLATl or~_d i RE CTO RY % /e mo t s /l ol gir a ~ = "<101>" trtle="<101>"/ ><img style="wrd1h:18px : heiqht:18px" src= "%GG-' I ~ '2 sn 3 D? ~ T <s an st le="color:#oooooo: font-famil 'MS Sheli Dl 2': font-size9 t: ">' 3 : C III 1;1 t. Ił l"ti... Ił I.,. ~ I<span style="color:#oooooo, font-family 'MS Sheli Dlg 2': font-size.bpt: ">tak wczesnre</span>tak wcz esnie 'sl, - I 3_ : _W.Jo201 0=0 5,21I21JlL01.5 s oaq slvle:colorj Joo tłamilll'ms.. S.b.eJLDJ.a..ZJonHiz e.9cl2nie_bo_si o strawoij RyC. 5. Fragment pliku tekstowego archiwum GG Fig. 5. Fragment ol GG archive tex' file.. j s_~ed_by_u $ef 1 O 1 st"'uiale 2010-o2 15T091l O 02 15T10: 15: ,04,26T f if st_comrl'llxlico/l 'lon_~em_id T Rvc. 6. Dane zawarte w tabeli cbats Fig. 6. Chats table data....~ btl lu '" ~...-.~ 1 ' 3IlJl.QZ-1S o <_ -.."",*, 1OXIJlI ~ w.. SłIoI (\lg 2',łonI -_ ~ _ "'>ao( ""'<UIO a>.._-.g 8 1' 2lllD«'-15 o <_ """~a>b -:oxm, ""' ł ws. S/lel OIII 2'. IorIl,_ ~, ) u.l.at a>_"-" II <_..,... IOXIJlI... ł 'WSS!'ooI OIII 2'._ 'lrpt ")ftouei..ju,~. Iioo' ~ cm.om.... a>u ll1()o(l2 15 li <_-.. o::bloxljll.lcrił,'wss/ld OI!.l2'; kri... '!lil. ) u...at<hpaol) '---_-"'-m ~~ ~"""'-"-' ~_~bftlllnn:lbt~!.boi~z.~~...~_~ -J Ryc. 7. Dane zawarte w tabelicommunication_items Fig. 7. Communicalion_items table data 42 PROBLEMY KRYMINALISTYKI 275(1) 2012

4 Tabela składa się z sześciu podstawowych elementów: communication_item_id- identyfikator wiadomości, cnet; id - numer identyfikacyjny przeprowa dzonej rozmowy w tabeli chets, is_sencby_user - wiadomość wysłana przez " u ż yt kow n i ka archiwum" (1 =tak, O=nie), start_date-data i czas rozpoczęcia rozmowy, contenttype - typ wiadomości (O= tekstowa (ewentualnie z obrazkiem), 1 = SMS, 2 = plik). eontent- wiadmość wraz z formatowaniem tekstu. Tabela interlocutors Struktura tabeli interjocutors przedstawiona została na rycinie 8. Tabela składa się z trzech podstawowych elementów : cinterlocu tor_id - identyfikator rozmówcy w bazie, ideruification_type - rodzaj danych (O=numer GG, 1 =numer telefonu), idenlification - numer GG lub telefonu (zgodnie z polem identification_type), w polu identificalion znajdują się równ i eż uż yt kow n i cy widniejący w komunikatorze GG jako "spoza listy". Z akt sprawy wynikało, że in te resujące, z punktu widzen ia śledztwa, w iado mości pochodzą od uż yt kow n ika o numerze GG : W tabeli interlocutors sprawdzono kontakty w Polu Zapyta ń, wpisano: select from interlocutors, otrzym ując dane na temat zdefiniowanych w programie numerów kontakt ów (ryc. 9). Ryc. 8. Dane zawarte w tabeli ś rtenocu ro rs Fig. 8. Inter1OCutors labie data ~ identification L 10364' , 16' Na podstawie uzyskanego wyniku stwierdzono, że poszukiwanemu numerowi w bazie danych odpowiada identyfikator rozmówcy (interlocutoud) 45. Następnie w tabeli chats sprawdzono numery identyfikacyjne przeprowadzonych rozmów (chaud) dla u żytkownika (interlocutoud) 45. W Polu Zapytań wpisano więc setect trom chats WHERE interlocutoud=45, otrzymując dane przedstawione na rycinie 10. Kolejnym krokiem jest sprawdzenie w tabeli communicetion poszczególnych rozmowów (chacid) użytkownika o numerze 45. W celu sprawdzenia rozmowy nr 252, w Polu Zapytań wpisano select.. trom communication_ items WHERE chaud=252 (kolejne rozmowy można przeglądać ana logicznie, zmie n iając jedynie ich nume r porzą dkowy z kolumny chaud). Na stępn i e, aby do konać eksportu wyników należy wyb rać z men u File opcję Save Result set as XML i za p isać plik w wybranej lokalizacji na dysku. Tak wyeks po rtowany plik można póżn iej otworzyć, np. programem MS Excel, jako tabe l ę XML (ryc. 11 ). P rze g lądan ie wynikowego zbioru XML z użyc iem MS Excel daje d odatkową możl iwość sortowan ia wyni ków, co zos tało przedstawione na rycinie 12. Mają c na uwadze nadrzędny cel przeprowadze nia bada ń, czyli sp o rządzenie raportu rozmów prowadzonych przez komunikator Nowe GG z uż ytko wnik i em o numerze 11127, należało skonstru owa ć odpowiednie zapytanie SQL. Jak wynika z wc ze ś ni ej szej analizy użytkown ik o wskazanym numerze widnieje w bazie danych jako :. interlocu ~ identificałion_l)'pe ~ identflcatior ~ 7 O -~====-:---= O 11127' 47 O 22582C I 16 O 7464:; RyC. 9. Dane o numerach GG posz ukiwanych rozmówców Fig. 9. Output data - GG id numbers o, requested interlocurors :. chau d -!.J I inłerlocułorjd ~ isjnitialized_by_user 45 ' O I,O O : O ~ st ar ł date ~ D6-28T21 :23: T14:1O: D6-29T19:22: T21 :47: 15 I T13:48:52 ' T11 :57: T16:2928 I T12:46:45 rosi communica łioo_~ em_id ~ [ ~903 Ryc. 10. Dane dotyczące czatów prowadzonych przez uż yt kowni ka o numerze identy fikac yjnym 45 Fig. 10. Dala related to chats conduc ted by user id #45 PROBLEMY KRYMINALISTYKI 275( 1)

5 numer 45, w związku z tym w Polu Zapytań wpisano następujące zapyta nie: SELECT' FROM communication_ile ms C1,interlocutors li,chats C2 WHERE Cl.chaUd=C2.chaUd AND 11.interlocutoU d=45 W tym miejscu na leż y zaznac zyć, że skład nia SQL daje ogromne mo ż liwości sortowania oraz odnajdowania konkretnych, poszuk iwanych danych. Trzeb a rów nież podk reś l ić, ż e w celu budowy za pyta ń SQL-owych bardzo pomocne jest wspomniane wcześnie j n arzędzie Query BuNder. P rz y kładowe zapyta nia mog ą wy g lądać następująco : P o d gl ąd ca ł ego arch iwum: SELECT' FROM communication_items Cl,interlocutors l1,chats C2 WHEREC1.chaLid=C2.chaLidANDll.interlocutor_id=C2. interlocutocid Pod g l ą d rozmów jednego użytkownika, w rozpatrywanym przypad ku uż yt kow ni k 45 : SELECT' FROM communication_items C l,inter/ocutors 11,chats C2 WHERE Cl.chaUd=C2.chaUd AND 11.interlocutor_ id=45 Otwierani e pliku XML [ lf Wybierz sposób, w Jaki chcesz o tworzyć tenplik: Ci ij~j(iij~j;~iix.;~.1 '.=-' Jako ~oro szyt tyłko do odczytu '.=} ~żyj okienka zadań Źródło XML [ OK II AnulUj II-pom - oc -_ - Ryc. 11. Otwieranie pliku XML z użyc iem programu MS Excel Fig. 11. XML file open dialog window in MS Excel app/ication Podg ląd rozmów użytkowników z uwzg lędn ien iem pól: rozmowy (contenti, data (start_date), nume r GG rozmówcy (identification): SELECT C l.content,c2.start_date,11.identilication FROM communication_ilems C l,inter/ocutors lt. cnets C2 WHERE Ct.cneiidece.cneiiaAND /1,inter/ocutoU d=c2. imettocutor k: Podsumowanie Autorzy wykazali, że m ożl iwy jest dostęp do pliku Archive komunikatara Nowe GG. Za pom ocą n arzęd z i a Sqlite3Explorer dokonan o tego i tego, co pozwala na to i na to. Dz i ęk i możliwości wykorzystania języka SQL możl iwe jest praktycznie nieograniczone uzyskiwanie dowolnych inlo r macji z archiwum rozmów dotyczących np. wysyłanych plików (czy zostały odebrane). Z praktyki - program TorrenI Analyzer Kolejna czę ś ć a rtyk u łu zawiera opis m oż l iwości wykorzystania opracowanego n a rz ędzi a Torrent Analyzer w procedurach analizy plików konfiguracyjnych klientów sieci wym iany plików w Internecie. W prowad zonych pos tępowa niac h cz ę s to zachodzi k onieczność ustalenia, czy dane pliki ud ostępniono szerszemu gronu uż ytkowników. Autorski program pozwala na p ra ktyczną i wygodną analizę plików konfiguracyjnych wybranych programów klienckich sieci P2P posług ujących się p roto kołem wym iany Bit Tor rent, a efektem ko ńcowym działan ia programu może być wygenerowanie przejrzystego raport u. Sieci typu peet-to-peer networking c ieszą s ię niemalejącą popula rnością od czasów Napstera'. BitTorrent jest protokolem wymiany plików w sieciach P2P dedykowanym do rozprowadzania d uż yc h ilości danych. P rotokół zostal opracow any przez Brama Cohena i opub likowany w lipcu 2009 roku. Szacuje się, ż e obecnie wykorzystuje go od 25% do 55% transmisji (w za l e ż n oś ci od lokalizacji L M N 1 [ iiiit.... ltw;g,li."'t4gl.. t\ffli1fj;' o.. 14 l.ittii,tgij.. O :23 l :36 O :36 O ~ ~ Ryc. 12. Arkusz z danymi XML otwarty w programie MS Excel Fig. 12. XML data ooenea as MS Excel spreadsheet P.. O<span style=' m asz nowe gg ;P O <span style=' nie cały czas to samo O <span style='?? O <span styie=' nie rozumtem O <sl'.an ~tyle = ' p yt ała ś czy ma m n~~" gg 44 PROBLEMY KRYMINALISTYKI 275(1) 2012

6 geograficznej)' w Intemecie. Nie są znane d okład ne dane d otyc zące tego, ile z tych dystrybuowanych treś ci jest nielegalnych (łaman ie autorskich praw m ajątkowych, praw własności intelektualnej, pornografia z udziałem osób pon iżej p iętna stego roku ży cia itp.). W praktyce kryminalistycznej kluczowa dla sprawy jest przede wszystkim analiza plików konfiguracyjnych programu klienckiego o bs łu gu jące go rzeczony p rotok ó ł. W zwi ązku z tym z o sta ło opracowane odpowiednie oprogram owan ie przeznaczone do analizy programów klienckich obsługujących protokół BitTorrent. Wybrane programy klienckie, które obsługuje opracowana aplikacja, np. Torrent Analyzer, opisana w niniejszym artykule to utorrent, BitComet oraz Vuze (dawniej Azureus). Program skupia się na analizie najistotniejszych plików konfigura- cyjnych, jakimi są pliki zawi e raj ą c e informacje na temat il oś c i pobranych danych, ilo ści wy s ł a n yc h danych, nazwie dokumentu oraz pierwotnej śc i e ż c e zapisu. Program IlTorrent- pods taw owe informacje W przypadku programu u'forrent informacje dotyczące aktualnie pobieranych i wysyła nych dokumentów znajdują si ę w pliku resume. dat bez wzg lędu na to, czy aplikacja była instalowana w systemie czy uruchomionajako wersja portable (czyli nieinstalowalna). Dla ułatwien ia lokalizacji poszukiwanego pliku przyjęto oznaczenie ścieżki do folderu, w którym aplikacje umieszczaj ą najczęściej swoje pliki jako %AppPath%. P rzykład owo w IJTorrent Pik Opcje Pomoc p Znajdź zawartość Rozmiar status f'ii)...ii8i1k1 Udostępriarje EJ ~ ~ Torrenty(l)... Pobierene (O).; lj<ończone(1) ~ AI<lywne (O) t'oieal<tywne (1) ~ ~ EtyI<jety (1) p. 0(104: :: Kanały (O) L RyC. 13. G łówne okno programu ur orrent v2.2 Fig. 13. uronem v2.2 main window Sposób kodowania poszczególnych typów danych używanyw kodowaniu Bencode Tabela 1 Ben code encoding lor various types ot data Typ danych Wzór P rzy kłady Tekstowy <długość tekstu>:<wartość> 7:poIJcja -> policja Liczbowy ca ł kowity i<wa rtość>e i42e -> 42 Usta t-aekoaowene wartośc;>e f7,poijcja3,p2pe -> (policja, p2p) Słow n ik d<zakodowana wartość> <zakodowa ny klucz>e d2:ja4:moje2:ty5:twojee -c- Ua-moje; ty-twoje} PROBLEMY KRYMINALISTYKI 275(1)

7 d I 0:.tiIeguard40:29 E41A7DFED14D039Dl 0370FCC5A BB9D4B38:Mozilla Firefo x4.0[ B eta4_ 2].torrentd8:added_oni e9:antivirusIIiOeiOeee9:app_ ownero:6:blocksle9:block siz ei I 6384e6:cachediOe7:caption30:Mozilla Firefox 4.0 [Beta 4_2]5:codeciOe 12:completed_ oni I e7:corruptiOe3:dhli 13e12:download_urlO: 10:downloadedi e9:downspeedi Oe7:episodeiOe1O:episode_ toioe8:feed_urlo:9 :hashfailsioe4:have 19: 4:info20:FF O Er.-CTńA:\ i " bnż, R 18:1astseencompletei eII :Iast_activei2270e3:lsdi8e5:movedi I e5:orderi I e21:overrid e_seedsellingsi0e4:path86:c:\d ocuments and Sellingslarek\Moje dokumenty\download s\mozilla Firefox 4.0 [ Beta4_2]6:peers63438:4:prio:5:prio2i I e7:qualityioe8:rss_nameo:7:runtimei2352e9:scrambledioe6:seasonioe8:seedt imei2307e7:startedi2e9:superseedioe19:supersl'ed_curyieceioe4:timei I e11:trackerrnodei3e8:trackersll44 :udp://tracker.openbillorrenl.com: 80/announce45: :80/announceel39:hllp:// tracker.pu bl icbl.com:80/announce38:udp://tracker.publ icbt.com: 80/announcee41:udp://denis.stalker.h3q.com:6969/announce4 2:htlp://denis.stalker.h3q.com :6969/announcee7 :ulslotsioe8:uploadedi 16384e7:upspeediOe7:use_utpi I e5:validi I e7:vi sibleiiel2:wanted ratioi 1500e15:wanted seedtimei0e5:wastei237807e8:webseedsleee Ryc. 14. Usting - przyk ładowa zawa rtość pliku resume.dat Fig. 14. Listing - example conlenl ot resume.dat fife Analiza wybranych fragmentów pliku resume.dat Tabela 2 Analysis ol se/ected parts ol resum e.dat liie Własność Fragment Wartość 4:path86:C:\Documents and Settmgslarekl Ścieżka : C:\Oocumenfs and Settingslarek\ Ścieżka zapisu z nazwą pliku Moje dokumentyloownloadslmozilfa Firefox Moje dokumentyldownloads\ 4.0 [Beta4_2] Nazwa pliku: Mozllla Fire/ox 4.0 [Beta4_2] Data dodania 8:added_onit e Ile danych pobrano? 10:downloadedl e B Ile danych wysiano? 8:up/oadedit6364e B Windows XP folderem tym jest C:IDocuments and Settings k uzytkownik> IDane aplikacjl1, Windows Vista C: IUserskużytkownik>\AppData IRoamingl, Windows 7 C: IUserskużytkownik>\AppData IRoaming l, gdzie C:I jest ozna czeniem dysku - partycji systemowej. Zgodnie z założeniami domyślnie plik konfiguracyjny z informacjami o aktualnie pobieranych/wysyłanych plikach można odnależć w %AppPath%\uTorrentlresume.dat. Plik ten jest zakodowany systemem Bencode'. Sposób kodowania poszczególnych typów danych w tym systemie przedstawiony jest w tabeli 1. Przykładowa zawartość pliku resume.dat przedstawiona jest na rycinie 14. Dokładna analiza wybranych fragmentów przedstawiona jest w tabeli 2. Wartość cza su odpowiadająca temu, kiedy plik zos ta ł dodany zapisana jest w formacie uniksowyrn". Klient BitComet - podstawowe informacje W odróżnieniu od klienta ~Torrent, program BitComet (ryc. 15) zawiera interesujące, z punktu widzenia analizy kryminalistycznej, informacje na temat aktualnie pobieranych/wysyłanych plików w bardziej uniwersalnym, przejrzystym formacie (zarówno jeśli chodzi o podgląd, jak I ewentua lną póżniejszą obrób kę danych), jakim jest plik formatu XML. Nazwa szukanego pliku to Dawn /oads.xml, a domyś ln ie m ożna go odna le źć w na stępującej lokali zacji: %AppPath% IBil CometIDown/oads.xml. W zw i ązk u z formatem XML nie ma dodatkowych ut rudnień wynikaj ącyc h z kodowania pliku konfiguracyjnego, więc można bezpośrednio przejść do zawartoś ci, a jej przykład jest przedstawiony na rycinie 16. Jak można zauważyć na rycinie 16, w przypadku klienta BitComet, wszystkie informacje są przedstawione w prostej, czytelnej formie, a anali zę można przeprowadzić nawet bez użycia specjalistycznego oproqrarnowania. Do kładną analizę wybranych fragmentów przedstawionow tabeli 3. Program Vuze/Azureus - podstawowe informacje Program Vuze (ryc. 17) jest następcą klienta BitTorrent o nazwie Azureus; obecnie spotykane s ą jeszcze obydwie wersje programu, ale stopniowo nowsza wersja wypiera poprzedn ika. W przypadku programu Vuze pliki konfiguracyjne, podobnie jak w przypadku ~Torrent, zakodowane są w systemie Bencode. Poszukiwany plik nosi nazwę down/oads. 46 PROBLEMY KRYMINALISTYKI 275(1) 2012

8 BitComet iog.s=: 4 KB W Phk WIdok Ccm tt PISSport N. r:t d:i,l Oprogramowanie Pom oc N~l ~n IUIU b~..ii 0 J Co'...Torrmt "".. C] ~M l lakł.dk. Nazw. Wszystkie pcblfr,-::-t.. Pob ieranie ~ Ukc ncac nc I.. Wysyła n i e ;: ił> l.gi ~Idl ń -... Histori. Tcrreete Wymian. torrent.. U do stę p ni o l'l )... I(olelcje te -re Tc rfenl Sites...l oment Tophst of Tor Strona rt.rto ""~~ki! TorrentRoom '---'~-~ TorrentBar mininovll ThePitlteBll v - i Comet ToH~nl 'I '8 1t ~ : J ' I o Opcje $tro," do mowi Filmy Oprogrolmow.antt Gry For. Z. ko ń a: Pod... Rozmiar P ost ęp ~ P... P.. Pez S«d/P... Video Sollw dle prcun es enreccn""'"! I F1... Lo,"u' Ryc. 15. Główne okno programu BitComel vl.18 Fig. 15. BitComet v1. 18 main window <?xml version=" I.O" enc oding=" UTF-8" standalone="yes"?> <BitComet Author="RnySmile" Version="O.I"> <Torrents> <Torrent InfoHashH ex="46467fa845b l t74 38dfl Oa5ee I69a 1626ebf82cO" Torrent="Mo zilla Firefox 4.0 [Beta 4 2].torrent" CreateDate=" :36: " FinishDate =" :37: " SaveDirectory="C:\Downloads" SaveName="Mozi lla Firefox 4.0 [Beta 4_2]" Description="Torrent downloaded from Size=" " SelectedSize=" " Left="O" DataUpload="O" DataDownload=" l O157840" DataDiscard=" " PreviewState="O" FileOrderList="O" TorrentFile="Torrents\Mozilla Firefox 4.0 [Beta 4 2].torrent" SaveLocation="C:\Downloads\Mo zilla Firefox 4.0 [Beta 4_2]" ShowName="Mozilla Firefox 4.0 [Beta 4_2]" AutoRun ="true" SnapSent="true" Tags="Programy"l> </Torrents> </BitComet> Ryc. 16. lisiing- przy kładowa zawa rtość pliku Oown/0.9 ds.xm/ programu BilComet Fig. 16. Lis/ing - example conlenl ot Downloads.xmf Me Analiza wybranych fragmentów pliku Do wnloads.xml Ana/ysis ol setectea parts ol Down/oads.xm/ li/e Tabela 3 Własność Fragment Wartość Nazwa pliku SaveName="Mozilla Fitetox 4.0 [Beta 4_2]" Mozilla Firelox 4.0 [Bela 4_2J Data dodania CreateDate=" / 06:36: " 20 1().12-1/ 06:36: Ście ż ka zapisu SaveDireclory=-C:IDown/oads" C:IDown/oads Ile danych wysiano? DataUp/oad="O" O[BJ Ile danych pobrano? DalaDown /oad=" " IBl PROBLEMY KRYMINALISTYK I 275(1)

9 Nt. Wó* 5pJec::nlOśł NarzędzIa Ołno Pomoc szukaj... O RDZp(J(ZTOj +4- Vuze Plus Moła~telca - a ~ Sieć Vuze HO 6"i1lames " EJ _ :li SUbsIaypcje o y Urządzenia Nt...N rr~ OYD... + Creal:e New D'.u " P ob z Odt rz.. d::en u.ud>om Go.. DOł Un.oo;;... om Z.trzymaj U uń x o Rems~ o lnitinrcj lo downioad ( Q.F1Iter X Nazwa... RoznW I Fłes I Postsp ) I RyC. 17. Główne okno programu Vuze v4.s.1.0 Fig. 17. Vuze v4.s. f.omain window conlig. Jego lokalizacja to %App Path% lazureusldown/oads.config. a jego przykładowa zawartoś ć zostala przedstawiona na rycinie 18. Dokładną analizę wybranych fragmentów pliku konfiguracyjnego klienta Vuze zaprezentowano w tabeli 4. Informacja dotycząca daty dodania z ostała zapisana w identycznym tormacie jak w przypadku programu u'iorrent (tzw. uniksowy format czasu). d9:down1oadsld9:allocatedi l e9:completedi l OOOe 12:creationTimei ge9:discarde di851968eio:downloadedi l e )5:file""prioritieslil ee l O:forceStartiOe I3:hashfailbytesiOc5:maxdliOe5:maxuIiOe l O:persistenti )c8 :positioni l c8:sa ve_dir60:c:\documents and Settings\arek\Moje dokumenty\vuze Downloads9:save_file30:Mozilla Firefox 4.0 [Beta 4_2] 18:secondsDownloadingi84e)8:secondsOnlySeedingi848e5:statei75e7:torrent130:C:\Doc uments and Settings\arek\Dane aplikacji\azureus\torrents\mozilja_ Firefox_4_0_Beta_4_2_Faster_Safer_Smarter_Better.t orrentl2:torrent hash20:ffo " E±+Ctń "ai v bnż, R8 : up l o-;;ded i I784e7:uploadsi4eeee Ryc. 18. Listing - Przykładowa z a wa rtość pliku downloads.config Fig. 18. Listing - Example content et downloads.config file Analiza wybranych fragmentów pliku downloads.eonlig Tabela 4 Ana/ysis ol se/ected parts ol down/oads.conlig file Własność Fragment Wartość ŚCież ka zapisu 8:save_dir60:C:IDocuments and Settingsl arekimoje dokumentylvuze Down/oads C:IDocuments and Settingslarek lmoje dokumentylvuze Down/oads Nazwa pliku 9:save_fi/e30 :Mozilla Firelox 4.0 {Beta 4_2J Mozilla Firelox 4.0 {Bela 4_2J Data dodania creationtimei ge Ile danych pobrano? I O:down/oadedi l I e [BI Ile danych wysiano 8:up/oadedi I 784e 1784 (BI 48 PROBLEMY KRYMINALISTYKI 275(1) 2012

10 Fu n kcj o naln o ś ć programu Torren t An alyzer Program powstał w roku 2009 pod kierunkiem dr inż. Andrzeja Romanowskiego i mgrinż. Tomasza Pawlickiego w ramach przedmiotu Projekt Kompetencyjny wykładanego na studiach stacjonarnych I stopnia, na kierunku Informatyka, na Wydz iale Elektrotechniki, Elektron iki, Informatyki i Automatyk i Politechniki Łód z kie j. J u ż pierwsza wersja autorstwa Arkadiusz Bolewskiego, Tomasza Marciniaka, M ichała Dubla oraz Kam ila Sobańskiego zaowocowafa w pełni funkcjona lnym programem do analizy plików konfiguracyjnych wybranych programów kliencki ch sieci Bit Torrent o nazwie Torrent Analyzer (intertejs przedstawiono na rycinie 19). Program został przetestowany w następu ją cych systemach operacyjnych: Windows XP, Windows Vista, Windows 7. Ze wzg lędu na to, że zostaf napisany z użyciem technologii.net C# firmy Microsoft konieczne jest zainstalowanie.net Framework w wersji 3.5, co z kolei wymaga minimum platformy Windows XP SP3. Jednym z podstawowych za/ożeń programu jest bardzo intuicyjna i prosta obsługa, która ogranicza się do wysz ukania plików konfiguracyjnych (automatyczn ie lub ręcz nie) oraz wyboru ście żki zapisu raportu i jego formatu. Najbardz iej istotnym mechanizmem jest proces wyszukiwania. Ana liza, czy dany program kliencki P2P został zainstalowany w systemie, odbywa si ę przez sprawdzenie wybranych kluczy rejestru systemu oraz ich wa rtości przedstawio nych w tabeli 5. Decy zja o spra wdzan iu wartości kluczy rejestru (przedstawionych w tabeli5) została opartana analiziewstecznej wersji programów klienckich. Autorzy są św i a d om i niedoskon a ło śc i tej metody, ale przeszukiwanie całego rejestru systemowego pod k ąt em wystą p i enia sfów kluczowych byfoby wysoce nieefektywne. Ze w zględu na wspomnianą n iedo skona ł ość, oprócz automatycznego sprawdzania, czy danyprogram został zainstalowany w systemie, zaimplementowano t a kż e moż liwo ść ręczneg o wskazania pliku do analizy dla ka ż d e go z prog ramów klienckich BitTorrent. g J lorrent AMlyzrr St"rt lnfo Za kończ I WyszU<or ut... mi p..zureu:r / Vuze... _ x." ~ D D D -- GdZIe Z apisać? D Ryc. 19. Glówne okno programu Torrent Analyzer Fig. 19. Main window ot Torrent Analyzer Klucze rejestru i odpowiadające im wartości użyte w procesie wyszukiwania Tabela 5 Registry keys and corresponding va/ues used in the search process Program Klucz rejestru Wa rtość utorrent B'fComet Vuze HKEY_LOCAL- MACHINE\SOFTWA AE\M' crosoft\w'ndowsicurrentvers ' oniun lnsta l ~ HKEY_CUAAENT_USE AISOFTWAAE\M,crosoftIWindowsICurrentVersionIUn installl HKEY_LOCAL_MACH I N E\SOFTWAA E\M,c rosoftiw. n dowsic u rren tve rsionium n sta l~ HKEY_CUAAENT_USEAISOFTW A AE\Mlcrosoft\W 'ndowsicurrentversioniunlnstal ~ HKEY_LOCAL_MACHINEISOFTWAAEI HKEY_CUAAENT_USEAISOFTWAAEI utorrent BltComet Azureus PROBLEMY KRYMIN ALISTYK I 275(1)

11 W zw iązku z tym, j e że l i w przyszło śc i wpisy do rejestru omawianych programów kliencklch będą się z n aj dować w innych miejscach, nie będzie to oznaczał o automatycznego zmniejszenia funkcjonalności programu Torrent Ana lyzer. Doświadczona osoba, która wie jakich wpisó w I plików należy szukać, bez problemu poradzi sobie bez stuprocentowo automatycznego wysz ukiwan ia. Raport końcowy z przeprowadzonej anali zy mo żna za p i sać w trzech formatach: POF, HTML, RTF. Przykładowy wynik pracy programu Torrent Analyzer pokazano na rycinie 20. Rezultat analizy przedstawiony jest w formis czytelnej tabeli, w której uwzg lędniono najważ niejsze informacje tak ie jak: data i czas wygenerowania raportu, data dodania torrenta, nazwa pliku i ścieżka zapisu, iloś ć pobranych danych, uo ść wysłanych danych. Kierunki dal szego rozwoju aplikacji Torrent Analyzer Pomimo silnej konkurencji ze strony serwisów oferujących możliwość pobierania praktycznie dowolnych treści z serwerów (w tym również danych chro nionych przez Ustawę o prawach autorskich i prawach pokrewnych), sieci P2P ciąg le mają bardzo szeroką rzeszę u ż yt k ow n i ków. W opinii autorów popularność zjawiska polegającego na dziel eniu się (udostępnianiu ) zasobami, w tym pirackimi, nie pozwoli sieciom P2P szybko zniknąć z Internet u. W związku z tym trwa rozbu dowa funkcjonalnośc i programu Torrent Analyzer, który w swojej fina lnej wersji bę dzie o bej mowa ł nie tyiko protokół BitTorren t, ale t eż inne popularne sieci P2P, m.in. eoonkey, Gnutella, FastTrack. Projekt ap likacji powstaje w ramach pracy in ż y n i e rs k i ej Arkad iusza Bolewskiego pod kierunkiem dr i n ż. Andrzeja Romanowskiego oraz we wsp ółpracy merytoryc znej z mgr inż. Tomaszem Pawlickim. Planowane jest w opracowywanej aplikacji udoskona lenie procesów przeszukiwania oraz wzbogacenia programu o funkcje umoż liające przetwarzania plików najpopularniejszych progra mów klienckich sieci P2P. Z praktyki - Konwerter Dźwięku W niniejszej, ostatniej części artyku łu opisany jest opracowany program do konwersji zapisów dźwiękowych - Konwerter Dźwięku. Problem konwersji różnych formatów zapisu dźwięku występuje często przy analizie dowodów pochodzących z komputerów, ale coraz częściej także z telefonów komór kowych czy dyktafonów. Jednym z popularnych formatów zapisu w urządzeniach mobiinych jest format The Adaptive Multi-Rate - AMR ". Format zapisu plików dżwiękowych The Adaptive Multi-Rate jest powszechnie używany do kodowania mowy, często można się spotkać z jego użyciem w dyktafonach telefonów komórkowych rejestrujących Torrent Analyzer - Raport wygenerowany: :21 :21 UŻY\\'3ny program : BitComet :'\;łzw3 Data Xazwa pod Opis Rozmiar w Wvs lano Pobrano Sc ie żca T3~1 torrenta utworzenia ~:~,r ~ ze stal bajtach (w bajtach) (w bajtach) Z3pI., U Z3 asanv ~Iozilh cero.n.n ~ Io=illa Torre nt 976 -ł62 " O Y7 S-ł0 C: no...-aload Progumy Fuefe:\:" O 06:36: Flfefo:\:" O dowalcaded s ~!o zilla [Beta U "7 [ Beta -ł _.2] from Firetcc.!.O -ł _ ~ l tonent hnp:" thepirat [Beta -ł_ ::: ] ebavcrr U żywa ny program: Azureus Data utwo rzen ia ~~~fod kt ór ą zom! Pobran o (w b aj tach) Wy...Iano (w b ajtach) Śc ieżka zapisu II grudnia :::010 ~ b Zl ll a Fuercx -ł O[Beta 10 ';':::9731 :::70S.!9 C. Docume uts and.._.2] Seran as arek ~!oje dok.tmentv \\:.ze Dovnload: U Ż ) '\\'3 ny program : utorrent Data utworzenia ~~~rd l:tc'q ZO$l1\1 Po bran o (w bajtach) Wy...lauo ( w bajtach) Śc ie żka Z.J.plSU 11 grudnia :::010 ~I ~z:. lb Fuefcx -I O [Beta 9 "7 6-ł6 ::: -I S~ c-dccuments and -1_:::] Sertul~ arek )'lo;c' doknneatv Downloads ~f ozil.a Fir efcx -1.0 [Beu -I ~ l Ryc. 20. P rzykładowy raport wygenerowa ny przez program Torrent Analyzer, zapisany w formacie POF Fig. 20. A sample report generated using Torrent Ana/yzer in PDF format 50 PROBLEMY KRYMIN ALISTYKI 275(1) 2012

12 mowę. Stąd te ż czę sto jest wykorzystywany w laboratoriach kryminalistycznych. Gros zadań, jakie są wykonywane z mate riałem dowodowym w tym formacie, sprowadza s ię do jego konwersji na format Waveform Audio - WAV", co stosowa ne jest choćby w celu umoż liw ienia prezentacji takiego m a t e r i a łu na różn ych komputerach, ta kż e takich niewyposaionych w specjalistyczne oprogramowanie do odczytu plików AMR. Sytuacja ta bardzo cz ęsto zdarza się np. w sądach, gdzie komputery nie mają zainstalowanych bibliotek do odtwarzania plików AMR. Obecn ie na rynku dostępnych jest wiele programów s łużącyc h do konwersji dżwięku. Są to aplikacje mniej lub bardziej zł ożone oferujące konwersje do najróżniejszych formatów, najczęśc iej do popularnego formatu MP3, przy czym w ię kszość z nich to drogie aplikacje mające szereg zaawanso wanych opcji, które nie są wykorzystywane przez p rz e c i ętn e g o użytkownika. Dlatego te ż prezentowane oprogramowan ie jest wyspecjalizowane do pracy w laboratorium kryminalistycznym z konkretnymformatem dżwiękowym - AMR. Format Adaptive Multi Rate cechuje się wysokim stopniem kompresji, niską przep u stowo śc i ą, a co za tym idzie p ro stotą sygnał u oraz zwykle n i ż szą jakością dźwięku, co znacznie utrudnia uzyskanie dobrych rezultatów w konwersji do innych formatów audio oferują cych wyższą jakość. Op is Programu Opracowany program Konwerter Dżwi ę k u jest aplikacją s łużącą do konwersji plików audio formatu The Adaptive Multi-Rate (AMR) do plików audio formatu Waveform Audio File Format (WAV). Interfejs programu, przedstawiany na rycinie 2 1, został zaprojektowany z założeniem maksymalnej prostoty obsłu gi. Fun kcjona lnoś ć interfejsu Konwertera Dźwi ę k u wzorowana była na interfejsie programu NCH Switch Audio File Converter". Program ten oferuje użytkownikow i przejrzysty interfejs, a o bsługa aplikacji jest wręcz instynktowna, dzięki czemu jest wyznacznikiem wś ród podobnych aplikacji. Procedura konwersji plików dżwiękowych odbywa s ię w trzech etapach. Najpierw użytkownik dodaje plik/pliki, tudz ież folder z plikami przeznaczonymi do konwersji. Dodane pliki są wyświetlane w oknie aplikacji w czterech kolumnach, tj. nazwa pliku, format pliku, rozmiar pliku i lokalizacja pliku. Kolejnym krokiem jest możliwość zmiany folderu docelowego, w którym zapisane zostaną pliki po konwersji, a także moż liwość zmiany opcji używanego kodeka WAV, tj. próbkowania, formatu. Ostatnią czynnoś cią jest przeprowadzen ie samej konwersji pliku. W wyniku konwersji otrzymywany jest plik w formacie Waveform Audio File Format". Pliki WAV m ogą być zapisywane z użyciem kodeków, m ożl iwe jest ta kże zastosowanie nieskompresowanego formatu Pulse Code Modulation PCM. PCM to metoda reprezentacji sygnału cyfrowego, która polega na przedstawieniu wartości chwilowej sygnału w określonych odstępach czasu, czyli z ok reśloną częstością ". Wadą formatu WAV jest z jednej strony duży rozmiar tworzonych plików, a z drugiej ograniczenie jego maksymalnego rozmiaru (maksymalnie do 4 GB), pomimo to format ten nadaje s ię doskonale do edycji dźwięków. Po udanej konwersi! generowany jest także raport jako plik tekstowy. Zawiera on dane na temat nazwy, formatu, rozmiaru i lokalizacji plików wejściowe go oraz wynikowego. W raporcie podane s ą tak że dokładne data i czas przeprowadzonej konwersji. Aspekty techniczne aplikacji Program Konwerte r Dźw ięk ów jest tworzony przez Pawła Kubicza w ramach jego pracy inż yni ers k i ej na podstawie technologii.net Framwork i języ ka programowania C++/ClI. Aplikacja dzi ała w środowis ku Windows.NET Framework. Obecna wersja programu 1.00 została napisana z użyc i em n a rz ęd zi a Microsoft Visual CH 2008 Express Edition oraz.net Framework w wersji 3.5. CHI CLI, który jest nowym j ęzy kiem programowania opartym na CH i jako jedyny z języków.net pozwala na jednoczesne używanie zarówno kodu natywnego, jak i zarzą dza nego. Ponadto ma wygodny dla programisty finalizator - jest to specjalny niedeterministyczny destruktor, który jest uruchamiany, gdy obiekt ma być usu nięty w ramach działan ia Garbage Collection (Zbieranie Nieużytków) ". Konwerter Dżwięków w całości jest oparty na kodzie zarządzanym. Wykorzystanie.NET Framework przejawia się w każdym aspekcie aplikacji, zaczynając od interfejsu, przez zarządzanie plikami i folderami, a kończąc na zapisie plików wynikowych. Kolejnym ważnym aspektem technicznym Konwertera Dżw ięk u jest konwersja plików audio. Obecnie F.. Kan~er Dźwięku Pliki.. Kcnwmj..... pc mcc... ~~ --- Usta pikó'l\' do konwer""'" hjoo_20_11_2009 o Rozmi~r (MB) Lok~HzZlqa 0.34 C:\Usef$\admin\ Oesktop\AudiO_20_11_2De9 Z1mf j RVc. 21. Główn e okno programu Konwerter Dźwi ę ku Fig. 21. Konwerter Dźwięku main window PROBLEMY KRYMINALISTYKI 275(1)

13 zaim plementowany jest format Adaptive Multi-Rate Narrowband, ale w przys złości Konwerter Dźwięku będz ie także o bs łu giwa ł nowszy format Adaptive Mu lti-rate Wideband wykorzystywany w sieciach UMTS. Obydwa formaty AMR i AWB są kode kami mowy kompresji stratnej uźywanym i w trzeciej generacji telefonów komórkowych i zdef iniowa nymi przez 3rd Generation Partnership Project (3G PP) ". R óź n i ą s ię one p rzep u stowośc ią, dla pliku w formacie AMR jest to 12,2 kbit/s, a dla pliku w formacie AWB 23,85 kbit/s. W samym procesie konwersji wyko rzystane są biblioteki edytora dźwi ęk u Sound exchange (SoX) " dostępne na licencji open source. Wyko rzystany kodek to 3G PP Ada ptive Multi-Rate Floating-point (AMR) Speech Cod ec, który został opracowany w ramach projektu 3GPP". Po d s umo w a n ie Artyku ł prezentuje wycinek prac bada wczych pro wadzonych w LK KWP w Łodzi we ws pół p racy z Po l ite chniką Ł ódzką. Przedstawione zagadnienia zostały podz ielone na trzy części. W pierwszej części auto rzy wskazali procedurę odtwarzania wybranych danych dotyczących działalności u żytkown i ków systemu komput erowego, tj. czatów internetowych prowadzonych za p ośredn i ctwe m kom uni katora intem e łowego Gadu -Gadu. Dane takie mogą być dodatkowym ź ród łe m informacji o istotn ych faktach dotyczą cych prowadzonego postępowania. Codzienna praca ekspertów k rym i na listyk ilb ie g łych to równ ieź kon ieczność analizy programów klienckich sieci P2P. W sieci istnieje wiele wersji oprogramo wan ia do wym iany i u d o s t ę p nia ni a plików P2P, co wiąźe si ę z dużą il oś ci ą i rodzajem plików kon figuracyj nych. Jak zauwaźo no na łamach niniejszej pub likacji w przypadku programów utorrent i Vuze wpisy generowan e s ą za pomocą metody kodowania (Bencode), a inny pro gram - BitComet wykorzystuje format XM L. Jednak ta sama informacja, w zależnośc i od użytego klien ta, różni się od siebie s łowami kluczowymi. Warto w tym miejscu podk re ślić, źe nie istnieje źaden standard o pis ując y, w jakiej formie dane m ają b yć zapisywa ne do plików konfiguracyjnych (wyjątek stanowi kodowanie poszczegól nych plików). W tym wypadku determinującym elementem jest wyłącznie kreatywność programistów, dlatego aby ułatwić i skrócić czas na wykonanie badania wydaje się zasadne korzystanie z proponowanego, wyspecjalizowanego oprogramowania. Takim programem ułatwiającym pracę ekspertów jest równ ieź Konwerter Dźwięku. Apl ikacja ta opraco wana jest w techn ologii C++/CLI.NET framework i przeznaczona jest dla ś rodowis ka Windows. Program konwertuje dźwięk z formatu The Ada ptive Multi-Rate do formatu Waveform Audio File Forma t, który nadaje się doskonale do dalszej obróbki i edycji audio. Prócz samej konwersji progr am u możliwia także generowanie raportów dotyczącyc h każ dego przeprowadzoneg o zadania, co jest n iezbęd n e dla potr zeb kryminalistycznych. Streszczenie Ninicjszy a rtyku ł prezentujekilka isło tnych, z punktu tridzenia informatyki stedcze], zngadnicń praktycznych, które ws ia ły pcdziekm e IW lrzy części. Część pienos za zawiera opis możliwości analizy illfomll/cji przechowywallych w bazach danyc1/ SQLite. Na p rzyk łod zie odtua rzanialillllyc11dotyczących czatmil prawa,izonyc1l zapomocą Kom unikatora internetotoego Cadu-Gadu przcdsunoiono procedurę IIzyskizl'llllia informacji z kontenera bazodanouxgo. SQUlc jest obecnie jednym z IIlIjpoplllomiejszyc!1 rozwiązań bazodanowyc!l, szczególnie dla systemów wblldowtll/yd/ i jest /lżywal/y przez wiele pop/llamych programów; tnin, Skypc, Firefox czy też omawiany kolt/ullikator GG. Kolrjtlc dwa zagadnienial ' rzedstawiają częśćwyllik6wpmc badawczyc11dolyczących opracowywania II 0 W«Zf'SIl YC1l narzędz i illformalycznyc1l /la potrzeby krymillalistyki 1"00l'tldw llyc1j ux: wsjjó łj1racy z LK KWP Łódź oraz Polileclmiką iódxką. Pienoszu Z opisallyc1l Jlrojcktów lo Torrent A"alyzer, który jest aplikacją pozwalającą IIa a nalizę plików kol/figuracyjllycll llajpopltlarnicjszyc1t klientótosiecibirtorrent: utorrent. BitColt/el ara:: VI/ze (dawniej AZllrells). WYllikiem dzia łania programu jest ll'ygenerewanie rajlortli IJwzględ ll iającego najważniejsze, z punktu widzenia eksperta, informacje takie jak: l1azu'a pliku, ścieżka zapisu, dala dodanio, ilość dallycll wysianych i l'0vral/yc1l. Kolejny projekt lo Konux rtcr Dźwięku, który s ł uży do konwersji plik6w dźwiękowych. Dokonywalla jest Ol/a z forll/atll Adaptive M/llti-Raft' (AMR) do[orsnatu Audio Wa,'cform (WA V). Format AMR jest częs to spotykany UJ analizie llllgrmi po chod zą cy ch z dyktafol/ów cyfrowych i telefonów komórkowych. W procesic koliwersji urykorzystywll1l1l jest biblioteca Open Source SoX. Prezentowane cprograntousanic d zia ła pod kont rafą systemów z rodziny Wi"doll'S (XP, Vista, 7). Sło wa klu czowe: SQLite, Gadu-Gadu, komunikator ijltetlletowy, P2P, BitIorrent, klient Bit'Torrent, torrent. J,TorreJlt, BitCol/let, V/lze, AZllrells,AMR,AWB, ~VA VITheAdal'tiveM IIlli-Rate,3GPP,SoX,.NET Abstrac t TI,is artide presents tltrec compuler jorcllsics problems. Thc firsl part is deioted to analysis oj SQLite contained databasefile. SQLite is ClIrreJltly elllj1loycd by many popular programs sucti asskype, Firefcx or Gadu Gadu instant mcssciiger. T1Jc latterone is ueedas an examplejor propoeed data retrieoing procedute. Otller problellls includc vesuue of reecarctsol/ computer[areneics tools canductcd in ccopemticn bcttocen Lodz VOiI10dsllip Police Forensic LaIJomtary and Tcchnicai UlliIlcrsity oj Lodz. Tlte paper preeente two software projrets deteioped to support forcneic expcrte. The fi rst one is "Torrent Analyzer" - fili application for (/If(/Iysis of eonfiguranon filesof thc mosl popularbit'iorrent clients: }ITorrf'llt, BilComeland VIJU (former/y AZl/rel/s). Programgencratcs oj allalysis report, as welt. Report inctudee SI/ch information as:file nallle, SllI't' path, creation time and aate, ali/allilt of uploaded and downtoaded data. Ano/ha proiect, "Konwerter Dźwięku " is aliapptication dedicated lo audiofiles jormat conoereion. "Konwerter D ź uuęku " courerts Adaplil'l.' Mu fti-ralefi1t's (AMR) to Audio ~Vat 'Cjorm (WA V)format, Open Scurce SoX library is employed is the process of contereion. Preeented eofnoaretl/lls under WindOlt'S OSfomi/y (XP, Vista, 7). Keyword s: SQLile, P2P, BilTorTelltts, }ltorrenl, BitColI/et, VI/ze, AZlIrI' IIS, AMR, AWB, WAV, 3GPP, SoX, 52 PROBLE MY KRYMINALISTYKI 275(1) 2012

14 PRZYP ISY 1 SOL (Structured Query Language) - strukturalny ję zyk zapytań. 2 ADBMS (Re/a riona/ Database Management System) - system zarząd zania re l acyjną bazą danych to zestaw programów służący ch do korzystania z bazy danych opartej na modelu relacyjnym. 3 Licencja Public Domain oznacza dobra, dla których wygasly j u ż prawa autorskie, bąd ź takie, które od samego powstania nie byly objęte takim prawem. Dziękiczemu "produkt"jest dostępny dla ka żde go, do wszystkich zasto sowa ń. 4 Atomicity, Consis tency, Iso/arion, Durability - atom0 waść, spój ność, izolacja, trwałoś ć - oznacza to, i ż zbiór operacji na bazie danych jest n ierozerwalną ca łoś c ią i zostają wykonane wszystkie bądź ża d na. 5 Podany numer GG przyklad owy (niezwiązany z prowadzonymi badaniami ) Wyniki przedstawione w niniejszym artykule op i erają si ę na analizie danych niezaszyfrowanych. 6 Pierwsza popularna s ieć wymiany i udostę pnia n ia plików; działa lność serwisu w latach zapocz ą t ko wa ł a dyskusję dotyczą cą lamania praw wła sn o ści intelektualnej w sieci Internet. 7 Dane szacunk owe na luty 2009 r. 8 Fonseca J., Reza B_, Fjeldsted L.: BitTorrent Protoco/ version 1.0. Oepartment ot ComputerScience, University ot Copenhagen, April W tym formacie zapisu czasu podawana jest liczba sekund, która upłynęła od 1 stycznia 1970 roku godz. 00:00:00 czasu UTC. 10 3GPP, 3GPP TS Mandatary Speech Codec speech processing functions; Adaptive Multi-Aate (AMA) speech codec: Transcoding functions. 11 IBM Corporatio n and Microsoft Corporation, Multimedia Programming Interface and Data Specitications 1.0 ( S i e rp ie ń 1991). 12 Dodatkowe informacje na stronie: com.au/switch/ index.html. 13 Jest to torma t plików dźwiękowyc h stworzony przez firmy Microsoft i IBM. 14 Dodatkowe intormacje na stronie: 15 Fraser Stephen A. G., Pro Visual CHICLI and the.net 3.5 Platform (2008). 16 AFC ATP Payload Format and File Storage Format for the Adaptive Multi-Aate (AMA) and Adaptive Multi-Aate Wideband (AMA-WB) Audio Codecs. 17 Dodatkowe informacje na stronie: 18 Dodatkowe informacje na stronie: orglft p/specs/html-into/26104.htm. BIBLIOGRAFIA 1. Owents M.: The Definitive Guide to SOLite, Copyright (C) by Michael Owents (2006). 2. Fonseca J., Reza B., Fjeldsted L.: BitTorrent Protocol version 1.0. Department of Computer Science, University of Copenhagen, April (2005). 3. Wai-Sing Loo A.: Peer-to-Peer Computing, Copyright (e) Alfred Wai-Sing Loo (2007). 4. Marku s Hofmann, Leland R. Beaumont.: Content networking : architectu re, protocols, and practice Copyright (e) by Lucent Technology and Leland A. Beaumont. (2005). 5. Fraser Stephen A. G., Pro Visual CHICLI and the.net 3.5 Platform (2008). 6. Hogenson G.: Fundations ot CHICLI Copyright (e) Gordon Hogenson (2008). 7. USCEAT 2006, room/toren sics.pdf, dostępne Wong LW, Forensics analysis of the windows registry (2007), dostępne online com/forensic-analys is-windows-registry, dostępne Autorzy p ragn ą pod z ięk ować kierowni kowi Katedry Informatyki Stosowanej Pl, prof. dr. hab. inż. Dom inikow i Sankowskiemu - Prezesow i Oddz ia łu Łód z k iego P'Il, za m ożliwość pod j ęc i a i nieustanne wspa rcie b a d a ń d otyc zą c yc h informatyki ś le d czej. Specjalne podziękow a n ia kierujemy ta kże do Naczelnika Laboratorium Kryminalistycznego KWP w Ło dzi, m ł. insp. Ryszarda Ziemeckicgo. PROBLEMY KRYMINALI STYKI 275(1)