What was the most unsettling thing you’ve ever found in someone’s browser history?
Vor einigen Jahren sagte ich im Namen der Verteidigung als Sachverständiger in einem Fall Krone gegen den Angeklagten in einer Einladung zu sexueller Berührung und Besitz von Kinderpornographie vor einem kanadischen Strafgericht aus.
Das sind ziemlich schwerwiegende Anschuldigungen, und jemand, der ein solches Verhalten an den Tag legt, sollte für einen längeren Zeitraum von der Gesellschaft getrennt und danach überwacht werden.
Die polizeilichen Ermittlungen begannen mit einer Beschwerde der Mutter beim NCMEC, dass der Angeklagte versucht hatte, ihre Tochter in eine sexuelle Beziehung zu locken.
Als die Polizei in Toronto einen Durchsuchungsbefehl erhielt und den Computer des Angeklagten beschlagnahmte, fand sie Beweise dafür, dass er den IRC-Online-Namen in der Beschwerde der Mutter benutzt hatte, und sie fanden Hunderte von kinderpornografischen Bildern. Das führte zu der Anklage.
Warum sollte ich also für die Verteidigung handeln?
Als ich zum ersten Mal gefragt wurde, erhielt ich alle möglichen Versicherungen, dass der Angeklagte unschuldig sei, obwohl die Polizei seinen Computer beschlagnahmt und Hunderte von Bildern gefunden hatte und Beweise dafür hatte, dass er online mit einem minderjährigen Mädchen gechattet hatte.
Ich erklärte, dass ich die Bilder der Festplatte untersuchen würde, die das forensische Team der Polizei vorbereitet hatte, und dass ich die von der Mutter des Mädchens vorgelegten Beweise untersuchen und dann meine Entscheidung darüber treffen würde, welche Unterstützung ich leisten würde.
Zunächst war es äußerst schwierig, meine Untersuchung durchzuführen. Die Polizei wollte keine Kopie des Disk-Images herausgeben und bestand vielmehr darauf, dass ich ihre Computerausrüstung mit ihrer Software in ihren Räumlichkeiten benutzte.
Ich versuchte, in einem winzigen fensterlosen Raum in einem der Bezirke auf ihrem Laptop zu arbeiten, auf dem ihre Software lief - eine Kopie von Encase auf einem Windows-Rechner. Igitt. Stark einschränkend. Nicht nur, dass der Beamte alle 5 Minuten den Raum betrat, um zu " plaudern", und ich hörte auf mit dem, was ich tat, und drehte den Laptop von ihm weg.
Was für ein Witz. Sie behaupteten, dass ich nicht im Besitz des Bildes sein könnte, da dies ein Verbrechen wäre. Äh... nein, das wäre es nicht. Das Gesetz erlaubt ausdrücklich den Besitz.
Abschnitt 163.
(6) Niemand darf wegen einer Straftat nach diesem Abschnitt verurteilt werden, wenn die Tat, die die Straftat darstellen soll
a) einen legitimen Zweck im Zusammenhang mit der Rechtspflege oder mit Wissenschaft, Medizin, Bildung oder Kunst verfolgt und
(b) kein unangemessenes Risiko eines Schadens für Personen unter achtzehn Jahren darstellt.
Der Verteidiger konnte einen Antrag durchsetzen, der mir einen ordnungsgemäßen Zugang zu den Beweisen ermöglichte, und ich erhielt Kopien des Laufwerkabbildes, die ich mit meinen eigenen Werkzeugen und Software untersuchen konnte. Das forensische Team des Sergeant sagte mir jedoch, dass er mit dem Urteil nicht einverstanden sei und mich verhaften lassen könne, wenn ich mit den Beweisen "erwischt" würde.
Ich wusste, dass es sich um Bullshit handelte, aber während der Arbeit an dem Fall bewahrte ich einige Zeit lang eine Kopie dieses Abschnitts des Strafgesetzbuches in meinem Auto und in meinem Büro auf.
Da die Mutter des Mädchens Beweise für angebliche Protokolle eines Online-Chats vorgelegt hat, bat ich auch um ein Bild ihrer Festplatte. Die Polizei lehnte dies ab, da sie behauptete, dass dies eine Belastung für das Opfer darstellen würde.
Belastung - was?
Ich sagte in einem Antrag aus, dass sie sich, da sie außer Landes war, in den Vereinigten Staaten befand, dass die Polizei in diesem Staat bei Bedarf helfen könne und dass alles, was wirklich getan werden müsse, wenn sowohl die Krone als auch die Verteidigung zustimmten, darin bestünde, die Maschine in einen örtlichen Computerladen zu bringen und sie zu bitten, ein neues Laufwerk derselben Größe zu installieren und den Inhalt darüber zu kopieren, damit sie ihren Computer weiter benutzen könnten. Dann sollte die Originalplatte in eine Kiste gelegt und zusammen mit einer unterzeichneten Erklärung des Technikers, dass er dies ohne absichtliche Änderungen am Originalinhalt getan hat, an den guten Sergeant der Polizei von Toronto geschickt werden.
Der Richter war damit einverstanden, aber die Krone argumentierte dagegen. Ich sagte aus, dass dies der beste Beweis sei, aber ich war bereit, meine Beurteilung der gedruckten Protokolle und meine Beurteilung der Abschrift der Aussage der Mutter anzubieten.
Der Richter beendete die Anhörung nur mit meiner Einschätzung dazu. Eine Kopie der Festplatte des Opfers wurde nie erhalten und auch nicht verlangt.
Am Ende hatte ich das Bild des Computers des Angeklagten und Fotokopien des Opferprotokolls und der Abschrift der Aussage der Mutter.
Beginnen wir mit dem "Protokoll". Es war gefälscht. Es war kein echtes Protokoll aus dem IRC. Es sah sicherlich so aus, aber es gab Unstimmigkeiten zwischen dem tatsächlichen Protokoll des IRC-Clients, das sie benutzte, und dem, was präsentiert wurde. Außerdem bezog sie sich in ihrer Aussage schließlich auf ein anderes Gesprächsprotokoll, das mit Zeitstempeln versehen war. Das ursprünglich bei NCMEC eingereichte Protokoll hatte keinen Zeitstempel. Das war eine Einstellung in dieser Software. Ein oder aus. Außerdem sagten sie und das Mädchen in der Aussage aus, dass sie vor diesem Gespräch noch nie mit dem Angeklagten gechattet hatten.
Am Anfang des Protokolls gab es einen Eintrag...
" Nickname des Angeklagten" ist online.
Das bedeutete, dass der Benutzer dieses IRC-Clients eine Alarmierung erstellt hatte, um sie zu benachrichtigen, wenn der Angeklagte im IRC online kam. Interessant.
Ich schlug dem Gericht vor, dass ein wahrscheinlicheres Szenario darin besteht, dass die Mutter dem Angeklagten eine Falle gestellt hat. Stellen Sie den Alarm so ein, dass sie ihn erkennt, wenn er online ist, mit ihm in einen Chat geht und dann ein Gespräch erfindet.
Edit, hinzugefügt: Das gab der Mutter die IP-Adresse sowie ein Datum und eine Uhrzeit, wann er online war.
Eine nachträgliche Durchsuchung und Prüfung der Aufzeichnungen des Internetanbieters des Angeklagten identifizierte ihn als den Nutzer dieser IP-Adresse zu diesem Zeitpunkt.
Um dies zu demonstrieren, habe ich ein fiktives Protokoll für das Gericht gefälscht, das einen Online-Chat zwischen Hamlet und Horatio beinhaltet. Mit Zeitstempeln.
Ich habe Hamlet in der öffentlichen Gerichtsverhandlung gelesen. Wie cool ist das?
Es war auch als Beweis vorgelegt worden, dass die Mutter für einen lokalen ISP arbeitete und einige computerforensische Kurse besucht hatte.
Ich sagte aus, dass ich kein anderes Motiv für eine Täuschung theoretisieren konnte als vielleicht ein vorheriges Online-Argument unbekannter Art, aber dass die Mutter sicherlich Methode und Gelegenheit hatte, zu täuschen.
Der Richter fragte mich, wonach ich suchen würde, wenn ich Zugang zur Festplatte der Mutter hätte. Ich erklärte, wie ein Ablagesystem funktioniert und wie Protokolle mit sequentiellen Zuweisungen zu einem Dateieintrag erstellt werden und dass ich erwarten würde, nur eine Version eines legitimen Protokolls zu finden, selbst wenn Kopien angefertigt würden. Aber ich würde erwarten, mehrere Versionen dieses Protokolls zu finden, da ich glaube, dass es gefälscht wurde.
Die Krone bezog sich schließlich in seinen eigenen Erklärungen auf "die nicht sehr überzeugenden Beweise für die Mutter", aber die Krone hatte immer noch die große Menge an unwiderlegbaren Beweisen für die Besitzanklage.
Nun... was ist mit diesen Hunderten von kinderpornographischen Bildern?
Ja, sie existierten. Es gab zwei Sets.
Ein Satz existierte in einem Download-Verzeichnis für das IRC. Praktisch alle wurden gelöscht. Diejenigen, die nicht mehr existierten, waren noch recht neu in dem Verzeichnis. Ich untersuchte die IRC-Konfiguration und fand heraus, dass der IRC des Angeklagten automatisch gesendete Dateien von jedem akzeptieren würde.
Die Maschine dieses Mannes hatte eine große Anzahl von Bildern und Dateien aller Art in diesem Verzeichnis, und es schien, dass er vielleicht einmal pro Woche hineingehen und alles löschen würde, was er nicht wollte, und was er mochte in ein anderes Verzeichnis verschieben würde.
Es wurden keine kinderpornographischen Bilder in andere Verzeichnisse verschoben, und die große Mehrheit war bereits gelöscht. Ich stellte die Theorie auf, dass die nicht gelöschten Dateien einfach noch nicht überprüft worden waren; und außerdem wären die gelöschten Dateien im Laufe des natürlichen Betriebs des Computers unwiederbringlich geworden.
Nun denn, der andere Satz.
Diese befanden sich alle im Browser-Cache, und es waren praktisch alle Miniaturbilder. Hunderte von ihnen. Aber...
Als ich die rohen Browser-History-Protokolle untersuchte, fand ich eine interessante Zeitleiste.
Der Angeklagte suchte nach verschiedenen Musikgenres zum Herunterladen. Während einer Sitzung folgte er mehrmals Links, die zum Herunterladen von Musik, aber für Pornos gedacht waren. Pornos jeder Art, die man sich vorstellen kann.
Mehrere dieser Seiten hatten eine große Anzahl von Miniaturbildern. Interessant war die Zeit, die auf den Seiten verbracht wurde, bevor der Benutzer versuchte, eine andere Website oder Seite aufzurufen. Sekunden.
Interessant war auch, dass mehrere der Seiten dazu führten, dass sich neue Browserfenster mit mehr Pornos öffneten.
Insgesamt gab es an einem Tag eine Zeitspanne von 15 Minuten, in der alle Bilder, die die Krone als Beweismittel eingereicht hatte, in den Cache des Browsers des Angeklagten heruntergeladen wurden. Außerdem war es zweifelhaft, ob der Angeklagte überhaupt das volle Ausmaß der Bilder erkannte, denn als ich dem Gericht zeigte, dass man auf den Seiten nach unten scrollen musste, um die Thumbnails zu sehen, da auf der oberen Seite einfach mehr Werbung für weitere Seiten zu sehen war.
Ich sagte auch aus, dass diese Thumbnails im Laufe des natürlichen Betriebs des Computers vom Browser gelöscht worden wären und für den Benutzer niemals abrufbar gewesen wären.
Der Richter hatte in seinem Versuch, die Situation besser zu verstehen, noch weitere Fragen an mich. Der Verteidiger lehnte sich zurück und fühlte sich ziemlich gut.
Die Krone und der gute Sergeant saßen eine ganze Weile da und klickten mit ihren Stiften.
Die Krone bat das Gericht schließlich um eine Aussetzung der Strafverfolgung im Austausch gegen eine Zusage des Angeklagten, sich nicht an Chats mit minderjährigen Mädchen zum Zwecke der Ausbeutung zu beteiligen.
Dies hätte ein schreckliches Ende für die Angeklagten haben können. Wenn er sich die von mir verlangten Honorare nicht leisten konnte oder keinen anständigen Anwalt leisten konnte, wäre er für schuldig befunden worden, oder er hätte sich einfach schuldig bekannt.
Ein paar Tage später sah ich diesen Sergeant und er sagte mir, er sei sich immer noch sicher, dass der Angeklagte schuldig sei und dass ich einem schuldigen Mann zur Freilassung verhelfe. Ich fragte ihn, ob er noch andere Beweise hätte, außer dem, was ich zeigte, und er sagte nein, aber er wusste, dass er schuldig war. Schuldig für was, fragte ich mich laut.