Miért nem elegendő önmagában egy képernyőkép bizonyítékként?

A képernyőkép bizonyítékként gyakran egy közösségi oldalon megjelent bejegyzés, egy üzenetváltás, egy webáruházi ajánlat vagy egy online hirdetés gyors rögzítésére szolgál. Néhány másodperc alatt elkészíthető, könnyen továbbítható, és látszólag pontosan megmutatja, mi jelent meg a kijelzőn.

A képernyőkép ezért fontos kiindulópont lehet, de önmagában rendszerint csak azt szemlélteti, hogy egy adott képen milyen vizuális tartalom volt látható. Nem feltétlenül igazolja, hogy a megjelenített tartalom honnan származott, mikor volt elérhető, melyik felhasználói fiókhoz kapcsolódott, teljes volt-e a bemutatott beszélgetés, illetve történt-e módosítás a rögzítés előtt vagy után.

A digitális bizonyíték szakmai értékelése során nemcsak a látható tartalom, hanem annak eredete, sértetlensége, környezete és dokumentált kezelése is lényeges. A nemzetközi digitális forenzikus módszertanok ezért a következetes eljárást, a részletes dokumentációt, a bizonyítási láncot és az adatok integritásának ellenőrzését egyaránt fontosnak tekintik.

A képernyőkép nem azonos az eredeti digitális adattal

A képernyőkép többnyire egy megjelenítési állapot képi lenyomata. Nem maga az eredeti üzenet, weboldal, adatbázis-bejegyzés, elektronikus levél vagy alkalmazásrekord, hanem ezeknek a felhasználói felületen megjelenített részlete.

Ez a különbség alapvető. Egy elektronikus levél eredeti formájában tartalmazhat fejlécadatokat, üzenetazonosítót, továbbítási útvonalat, időbélyegeket és egyéb technikai információkat. Egy csevegőalkalmazás adatbázisa tartalmazhat üzenetazonosítókat, küldési és kézbesítési állapotokat, fiókazonosítókat vagy csatolmányokra mutató hivatkozásokat. Egy weboldal mögött pedig HTML-forrás, beágyazott adatok, naplóállományok és szerveroldali rekordok állhatnak.

A képernyőkép ezekből jellemzően csak a vizuálisan megjelenített részt őrzi meg. Emiatt a képen látható tartalom technikailag sokszor nem köthető közvetlenül és kizárólagosan az eredeti rendszerhez.

Milyen kérdésekre nem ad biztos választ egy képernyőkép?

Honnan származott a tartalom?

Egy képen megjelenhet webcím, felhasználónév vagy alkalmazáslogó, de ezek látványa önmagában nem bizonyítja, hogy a tartalmat valóban az adott szolgáltatás szolgálta ki. A böngésző fejlesztői eszközeivel a helyben megjelenő szöveg átmenetileg módosítható, és képszerkesztő programmal is létrehozható megtévesztő megjelenés.

Ez nem jelenti azt, hogy minden képernyőkép hamis. Azt jelenti, hogy a forrás hitelességét nem szabad pusztán a kép látványából levezetni.

Mikor volt látható?

A képernyőn feltüntetett időpont, a telefon állapotsorában látható óra és a képfájl létrehozási ideje eltérő jelentésű adatok. Az eszköz órája hibásan lehet beállítva, eltérő időzónát használhat, az alkalmazás pedig relatív időt is mutathat, például azt, hogy „tegnap” vagy „két órája”.

A képfájl fájlrendszeri időadatai másolás, exportálás, üzenetküldő alkalmazáson keresztüli továbbítás vagy felhőszinkronizálás során megváltozhatnak. Ezért az időpontot lehetőség szerint több, egymástól független adatforrással kell összevetni.

Teljes-e a bemutatott kontextus?

Egy kivágott üzenetrészletből hiányozhatnak a korábbi és későbbi üzenetek, a válaszok, a csatolmányok, a résztvevők azonosítói vagy a beszélgetés tárgya.

Egy közösségi médiás bejegyzésnél nem feltétlenül látható, hogy nyilvános, korlátozott vagy személyre szabott tartalomról volt-e szó. Egy weboldalnál pedig lemaradhat a teljes webcím, a dátum, az általános szerződési feltétel vagy a tájékoztatás másik része.

A digitális tartalom jelentése gyakran csak a teljes kommunikációs vagy technikai környezet ismeretében értékelhető megfelelően.

Módosították-e a tartalmat?

A képernyőkép szerkeszthető, vágható, átméretezhető és újratömöríthető. A módosítás lehet szándékos, de keletkezhet automatikusan is, például egy közösségi platform, levelezőrendszer vagy üzenetküldő alkalmazás képkezelése miatt.

Egy digitális kép vizsgálatával esetenként azonosíthatók szerkesztésre vagy újrakódolásra utaló körülmények, de a módosítás nyomainak hiánya önmagában nem bizonyítja, hogy a kép eredeti. A hitelesség megítéléséhez a képet a keletkezési körülményekkel és más adatforrásokkal együtt kell értékelni.

Ki készítette, és hogyan kezelték?

A bizonyítási értéket befolyásolhatja, hogy ki, milyen eszközzel, milyen körülmények között készítette a képet, hol tárolta, kinek továbbította, és hozzáférhetett-e más személy.

Ha ezekről nincs egyidejű dokumentáció, később nehezebb rekonstruálni a digitális bizonyíték életútját. Ezért fontos az adatforrás, a rögzítés időpontja, az alkalmazott eljárás, valamint az átvételek és átadások követhető dokumentálása.

Mit bizonyít a hash-érték, és mit nem?

A kriptográfiai hash-érték egy digitális állomány tartalmából matematikai eljárással számított ellenőrző érték. Már az állomány egyetlen bitjének megváltozása is eltérő hash-értéket eredményez.

Ha egy képernyőképről a rögzítéskor hash-értéket számítanak, majd később ugyanaz az érték reprodukálható, az technikailag alátámasztja, hogy a vizsgált fájl a hash elkészítése óta nem változott meg.

A hash-érték azonban nem igazolja, hogy a képen látható tartalom már a rögzítés előtt is hiteles volt. Egy manipulált vagy mesterségesen létrehozott képfájlról ugyanúgy készíthető szabályos hash-érték.

A hash tehát a digitális állomány sértetlenségének ellenőrzését támogatja egy meghatározott időponttól kezdve, de nem helyettesíti a forrás, a keletkezési körülmények és a tartalom hitelességének vizsgálatát.

Hogyan történik a digitális tartalom szakszerű rögzítése?

Nincs minden ügyre alkalmazható egyetlen rögzítési eljárás. Más módszer lehet megfelelő egy nyilvános weboldal, egy bejelentkezéshez kötött közösségi profil, egy mobiltelefonos üzenetváltás, egy elektronikus levél vagy egy felhőszolgáltatás adatainak megőrzéséhez.

A megfelelő eljárást a vizsgálati cél, a jogszerű hozzáférés, az adatforrás, a tartalom várható változékonysága és az ügy körülményei alapján kell megválasztani. A képernyőkép általában csak egy eleme a dokumentált adatmegőrzési folyamatnak.

A forrás és a hozzáférés dokumentálása

A rögzítés során dokumentálni kell, hogy a tartalom pontosan milyen forrásból, milyen eszközzel, milyen felhasználói környezetben és milyen lépések eredményeként vált hozzáférhetővé. A dokumentációnak később is érthetővé és ellenőrizhetővé kell tennie a rögzítés folyamatát.

• a teljes webcím vagy az alkalmazás és szolgáltatás pontos megnevezése;
• a hozzáférés dátuma, pontos időpontja és időzónája;
• a használt eszköz és operációs rendszer;
• a böngésző vagy alkalmazás neve és verziója;
• az érintett profil vagy felhasználói fiók azonosításához szükséges adatok;
• a hozzáférés és a rögzítés egymást követő lépései;
• az esetleges hibák, átirányítások vagy hozzáférési korlátozások.

A pontos dokumentálás különösen fontos akkor, ha a tartalom később törlődik, módosul, vagy a hozzáférés már nem ismételhető meg.

A teljes releváns környezet megőrzése

Egyetlen kivágott képernyőrészlet helyett szükség lehet a teljes oldal, a beszélgetés releváns előzményei és folytatása, a profiladatok, az időpontok, a hozzászólások, a csatolmányok és a kapcsolódó hivatkozások megőrzésére.

A képernyőkép ilyenkor továbbra is hasznos, mert gyorsan és áttekinthetően mutatja meg a vizuális állapotot. Célszerű azonban más adatokkal és rögzítési módokkal együtt kezelni.

• teljes oldalas képernyőmentés;
• az eredeti fájl vagy szolgáltatói adatexport;
• elektronikus levél esetén a teljes levélfejléc;
• a weboldal forrásadatai vagy mentett állománya;
• az alkalmazásból jogszerűen kinyerhető eredeti adatok;
• szükség esetén a rögzítési folyamat videódokumentálása.

Az eredeti formátum és a technikai adatok megőrzése

Ahol lehetséges, az adatot az eredeti, úgynevezett natív formátumban vagy ahhoz minél közelebbi formában is meg kell őrizni. A vizuális megjelenést rögzítő képernyőkép ugyanis rendszerint nem tartalmazza az eredeti adatforrás valamennyi technikai információját.

Ilyen eredeti adat lehet például egy elektronikus levél teljes üzenetállománya, a szolgáltatásból készített adatexport, egy letöltött dokumentum, egy üzenetküldő alkalmazásból jogszerűen kinyert adatállomány vagy egy igazságügyi informatikai módszerrel készített adatmentés.

Az eredeti formátum megőrzése lehetőséget teremthet a metaadatok, az üzenetazonosítók, a fejlécadatok, az időinformációk és más technikai jellemzők későbbi vizsgálatára.

Integritásvédelem és elkülönített munkapéldány

A rögzített digitális állományokról célszerű a lehető legkorábbi szakaszban kriptográfiai hash-értéket számítani. Az eredeti példányt ezt követően védetten kell megőrizni, az elemzést pedig lehetőség szerint külön munkapéldányon kell elvégezni.

Az elkülönített munkapéldány használata csökkenti annak kockázatát, hogy az elemzés során az eredeti állomány tartalma, metaadatai vagy fájlrendszeri jellemzői megváltozzanak.

Dokumentálni kell azt is, hogy az adatot mikor, kitől és milyen módon vették át, ki fért hozzá, milyen másolatok készültek róla, és hol történt a tárolása. Ez alkotja a digitális bizonyíték kezelési és átadási folyamatának, vagyis a bizonyítási láncnak az alapját.

Több forrásból történő megerősítés

A képernyőképen látható információt lehetőség szerint más, részben független adatforrásokkal is össze kell vetni. Az egymással összhangban álló technikai és tartalmi adatok általában megbízhatóbb következtetést tesznek lehetővé, mint egyetlen képfájl önmagában.

• az eredeti eszközön található alkalmazásadatok;
• üzenet-, bejegyzés- vagy tranzakcióazonosítók;
• elektronikus levelek teljes fejlécadatai;
• szerver- és hozzáférési naplók; szolgáltatói adatexportok;
• a másik kommunikáló fél eszközén található adatok;
• archivált webtartalmak;
• platform- vagy szolgáltatói nyilvántartások.

A több forrásból származó adatok összevetése nem minden esetben lehetséges. A szakmai értékelésben ezért azt is egyértelműen jelezni kell, hogy mely megállapítások támaszthatók alá közvetlen technikai adatokkal, és melyek maradnak valószínűsítő jellegűek.

Mikor lehet hasznos a képernyőkép bizonyítékként?

A képernyőkép nem értéktelen vagy szükségszerűen megbízhatatlan bizonyíték. Sok esetben ez az első és esetleg az egyetlen gyorsan elkészíthető rögzítés egy később törölt, módosított vagy hozzáférhetetlenné váló tartalomról.

Különösen fontos lehet akkor, ha a rögzítés időpontjában nincs lehetőség teljes körű technikai adatmentésre. Ilyenkor a megfelelően elkészített képernyőkép segíthet a későbbi vizsgálat irányának meghatározásában és a releváns személyek, fiókok, időpontok vagy szolgáltatások azonosításában.

• a digitális tartalom vizuális megjelenésének szemléltetésére;
• a vizsgálat kiindulópontjaként;
• személyek, profilok és szolgáltatások azonosítására;
• egy eseménysor időbeli rekonstruálásának támogatására;
• más bizonyítékokkal együtt a megállapítások alátámasztására.

A képernyőkép értékelésekor figyelembe kell venni, hogy rendelkezésre áll-e az eredeti eszköz vagy adatforrás, dokumentálták-e a kép készítésének körülményeit, vitatja-e valamelyik fél a tartalmát, és találhatók-e azt megerősítő további bizonyítékok.

Mit tegyen, ha fontos online tartalmat talál?

Ha egy közösségi médiás bejegyzés, üzenetváltás, hirdetés, weboldal vagy más online tartalom később jogvita szempontjából jelentős lehet, a legfontosabb a gyors, de megfontolt megőrzés. A képernyőkép elkészítése jó első lépés, de lehetőség szerint további adatokat és körülményeket is dokumentálni kell.

1. Készítsen képernyőképet, de ne álljon meg ennél.
2. Rögzítse a teljes webcímet, a dátumot, a pontos időpontot és az időzónát.
3. Őrizze meg a teljes releváns környezetet, ne csak egy mondatot vagy kivágott képrészletet.
4. Ne szerkessze az eredeti fájlt, és lehetőleg ne közösségi alkalmazáson keresztül továbbítsa.
5. Jegyezze fel, milyen eszközön, melyik fiókból és milyen lépésekkel érte el a tartalmat.
6. Ne telepítsen és ne futtasson szükségtelen programokat azon az eszközön, amely később szakértői vizsgálat tárgya lehet.
7. Vitatott vagy jelentős ügyben minél korábban kérjen szakmai segítséget.

Az időfaktor különösen fontos. Az online tartalom törölhető vagy módosítható, a felhasználói fiók hozzáférhetetlenné válhat, és a szolgáltatói adatok megőrzési ideje is korlátozott lehet.

A megfelelő rögzítési módszert mindig az adott adatforrás, az ügy jelentősége, a rendelkezésre álló eszközök és a későbbi felhasználás várható módja alapján kell megválasztani.

Összegzés

A képernyőkép bizonyítékként jól használható vizuális dokumentum, de önmagában rendszerint nem hordozza mindazokat az információkat, amelyek egy digitális bizonyíték eredetének, sértetlenségének és teljes jelentésének megbízható értékeléséhez szükségesek.

A képen általában nem ellenőrizhető teljes bizonyossággal a tartalom forrása, a rögzítés pontos időpontja, a bemutatott kommunikáció teljessége, illetve az, hogy a képfájl vagy a megjelenített tartalom korábban módosult-e.

A nemzetközi digitális forenzikus módszertanok közös alapelve, hogy a potenciális digitális bizonyítékot azonosítható forrásból, dokumentált módon, integritását megőrizve és ellenőrizhető kezelési folyamat mellett kell rögzíteni és megőrizni.

A képernyőkép ennek a folyamatnak fontos része lehet, de nem helyettesíti az eredeti adatforrás, a technikai adatok, a teljes kontextus és a kapcsolódó rendszerinformációk vizsgálatát.

Gyakori kérdések a képernyőképek bizonyítási értékéről

Elfogadható a képernyőkép bizonyítékként?

Igen, egy képernyőkép is rendelkezhet bizonyítási értékkel. Ennek súlya azonban függ a készítés körülményeitől, a dokumentáltságtól, a tartalom vitatottságától és attól, hogy más bizonyítékok megerősítik-e a képen látható információkat.

Bizonyítja a fájl dátuma, hogy mikor készült a kép?

Nem feltétlenül. A fájlrendszeri időadatok másolás, exportálás, szinkronizálás vagy továbbítás során megváltozhatnak. Az időpont értékelésénél ezért más technikai és tartalmi adatokat is figyelembe kell venni.

Elegendő SHA-256 hash-értéket készíteni a képernyőképről?

A hash-érték alkalmas lehet annak ellenőrzésére, hogy a vizsgált fájl a hash elkészítése óta megváltozott-e. Nem bizonyítja azonban, hogy a képen megjelenő tartalom már a fájl rögzítése előtt is hiteles volt.

Mitől lesz megbízhatóbb egy online tartalom rögzítése?

A teljes forrás és kontextus dokumentálásától, az eredeti vagy natív adatok megőrzésétől, az integritás ellenőrzésétől, a kezelési és átadási folyamat követhetőségétől, valamint a tartalmat megerősítő további adatforrásoktól.

A cikk szakmai és módszertani háttere

A cikkben ismertetett alapelvek az ISO/IEC digitális bizonyítékkezelési szabványaira, a NIST digitális forenzikus ajánlásaira, valamint a Scientific Working Group on Digital Evidence – SWGDE – digitális bizonyítékok és online tartalmak rögzítésére vonatkozó szakmai útmutatóira épülnek.

• ISO/IEC 27037:2012 – Guidelines for identification, collection, acquisition and preservation of digital evidence
• ISO/IEC 27042:2015 – Guidelines for the analysis and interpretation of digital evidence
• NIST SP 800-86 – Guide to Integrating Forensic Techniques into Incident Response
• SWGDE Best Practices for Digital Evidence Collection
• SWGDE Best Practices for Acquiring Online Content

Az ISO/IEC 27037 az azonosítást, gyűjtést, beszerzést és megőrzést foglalja egységes keretbe, míg az ISO/IEC 27042 az elemzés és értelmezés módszertani elemeivel foglalkozik. A NIST és a SWGDE útmutatói többek között a dokumentált adatkezelést, az integritás fenntartását és az online tartalmak szakszerű rögzítésének szempontjait részletezik.

Digitális tartalom válhat bizonyítékká az ügyében?

Előzetes szakmai konzultáció keretében áttekintjük a rendelkezésre álló elektronikus adatokat, a lehetséges rögzítési és vizsgálati módszereket, valamint azt, hogy milyen további technikai információk támogathatják a jogi képviseletet.

---

Szerző: Lakatos Tamás

Igazságügyi informatikai szakértő és kriminalisztikai digitális nyomszakértő, több mint tíz év igazságügyi szakértői tapasztalattal. Szakterülete a digitális adatok vizsgálata, az elektronikus bizonyítékok értékelése és a jogi eljárások informatikai szakmai támogatása.