Семикаленова
.pdf131
-контроль времени может использоваться с целью (причем заме рять лучше не абсолютное цремя исполнения, а относительное);
-передача информации через буфер клавиатуры затрудняет отлад
ку;
-проверка действительного запрещения аппа(К1тных пр^ываний (прямое перепрограммирование контроллера призываний);
-проверка п^)ехвач<^иых вектс^в на к£жое-ли6о SHS'^BIK;
-предлагается проходить участок кода с поднятым флагом трасси ровки. При этом обработчик int Ih должен постоянно изменять этот код исходя из значений векторов, контрольных сумм участков программы, и т.д. Кроме того, вместе с этим может производиться расшифровка частей программы, опять же исходя из контрольных сз^м. Хотя бы простейший контроль времени должен помешать полной трассироюсе этого **безумиого кода" вручную.
Методы зашиты от дизассемблера'^^. Неважно, насколько мощной сде лана защита от отладчика, но эта защита ничего не значит щт использовании дизассемблера. Вполне объяснимо желание подавляюш[его большинства прохраммистов работать с твердой копией исследуемой Ефогршимы. Всдедспше этого первоочередной задавши эксп^гга при п(хяедоваятл практи^кски лю бой защиты является дизассемблирование исполняемого кода программы и получение листинга с мнемоничес1ШМ изо^ажением шх:емблерных ко1кШнд.
Для защиты от дизассемблеров могут быть использованы специальные методы, которые приведены ниже:
-модификация кода программы приводит к тому, что дизассемб лер не может достоверно распознать инструкции и/или данные:
-зашифровка критичного кода и расши^ювка его самой системой защиты перед передачей управления на него, таким о^эазом, деши^ююса
"^ №;пользованы кютериалы <;айта: http7/public.kubsu.ni/M!si02716/protect/
132 1фОграммы происходит не сразу, а частями и защита от дизассембл^т оказывается распределенной по времени. Цри этом, если осуществлена дешифращ1Я одной подпро1раммой, то ее будет легко вычислить и отклю чить. Также могут быть затертыми те участки программы, которые уже не нужны в конечном коде. Шифрование исполняемого кода протршммы с целью заищты от дизассемблера является наиболее простым средством, как в смысле его реализащт, так и в смысле снятия. Шифрование может быть использовано лишь как часть защиты от дизассемблера и поэтому необязательно должно быть сложным;
-модификация кода непосредственно самой про1раммой;
-скрытие команд передачи управления приводит к тому, что ди зассемблер не может построить граф передачи управления:
-косвенная nep<^zia4a управления;
-модификация адреса перехода в коде программы.
-пере1фывающийся код;
-дизассемблер сбивает нестандартный формат зафужаемого мо дуля (например, пере1фыть весь сегмент жхщл стеком);
-переустанов!» векторов (пЛ 2ih -> int 60h). В итоге в 1ф01рамме не будет ни одного int 21h;
-может быть использовш{а пропшмма жщиты в качестве ключа для расшифровки основного тела профаммы;
-программа может использовать для обращения к одной и той же области памяти разные сегментные адреса;
-записывается адрес процедуры расшифровки в какой-либо век тор. При необходимости вызывается int <# вектора>.
Все эти приемы защиты имеют значение в противодайствии дизас
семблерам, которые работают без взаимодействия с пользователем - на пример, программе Sourcer. Для их 1феодоления лучше всего использовать дизассемблер ША. В нем пользователь может в процессе дизассемблирования указать прог{шмме, что и как делать. Также в нее встроен Си-
133 подобный язык, на котором можно писать скрипты для расшифровки за щищенных программ. Поэтому изучение дополнительных воэт^южиостей дизассемблера ША может значительно повысить профессиональный уро вень эксперта СПКЭ.
Рассмотрим типичный пример судебно-экспертного исследования щюграммного средства, в котором был использован Reverse ei^ii^ering. Так, по факту мошенничества в отноиюнни орт»1ЯЭОваиш>й грутш подо^фемюмых было возбуждено уголовное дело, обстоятельства которого были связаны с проведением компьютерного аттракциона на одном из городских рынков'^^. После проведения соответствующих оперативно-розыскных мероприятий, следствие заинтересовал вопрос: «Им^ггся ли в алгоритмах работы программ компьютеров, изъятых при проведении электронного аттракциона, возмож ность получения заведомо определенного ре:^льтата в ^Ш1Симостн от на чальных условий?». При производстве экспертизы программисипо средства использовался метод дизассемблировгшия исполняемого кода прогршиЕмы и пошагового ее исполнения в среде програк»шого отладчика. Диагностиче скими признаками являлись различные профаммные пр^ывания, o|:etuffiзующие интерфе!^ работы с кшисретными устройствами и портами ^ю- да/вывода, использование определенных диапакжов адресов и т.п. Методе»! анализа листинга программы и пошаговой ее трассировки был выделен фрагмент программного кода, отвечакнций за обработку нажатия на клавиа туру и задания начальных условий для зш1уска процедуры «соревнования иг роков». Таким образом, было установлено, что хотя новому игроку и дава лось в начале щелкнуть компьютерной мышкой, якобы для запуска npoipaMмы аттракциона, реальный же ст^уг осуществлялся с клавиатуры оператором.
В зависимости от нажатия им на клвтттуре кяа^ш «!фс6ея» или «ввод» побеждал или проигрывал указанный участите «забега»^.
"' Электронн1^й «лохотрш1»У JFfonbw известия, 3.04.1999 г.
134 Рассматривая вопросы, связанные с аналитаческим этапом судебной программно-компьютерной экспертизы, нельзя обойти внимашюм 1фоблему
исследования программного продукта на признаки контрафактносга.
В условиях широкомасштабной информатизации общества сов^пюнно очевидным оказался рост потребительского спроса на разнообразные инфсф- мационно-программные продукты, иначе говоря, программное обеспечение. Это, в свою очередь, при1№^ к появлению на рынке не только легальной, но и нелегальной - «пиратской» продукции такого рода.
Чаще всего, рассматриваемое про1раммное обеспечение бывает щ)едставлено в виде пакетов системных программ и утилит, про1рамм бухгалтер ского назначения, компьютерных Hip, мультимедийной продукции, деловой графики, обучающих систем, различных энциклопедий и т.п.
Следует отметить, что одним из основных понятий, фигуртфующих в законодательстве об интеллектуальной собственности в аспекте защиты прав на информационно-программную продукцию, является понятие ее контра фактных экземпляров'^.
В соответствии с российским законодательством: контрафактной — является та продукция, изготовление или использование которой влечет за собой нарушен1К авторских щюв, а тшоке экземпляры 01сраияемык в РФ про грамм для ЭВМ или баз данных, ввозимых в Российскую Федерацию из го сударств, в котс^ых эти программы для ЭВМ или базы данных никогда не охранялись или перестали охраняться згисоном.
Представленное выше определение частной к^идической категории является производным от общепринятого определения контрафакции — ли тературной подделки, перепечатки, переиздания чужого произведения без согласия автора; незаконного использования фи1шами для -своей лрсщукции товарных знаков ;фугих ф|фм и компаний - извест»1х нэготовтелей анало-
'^ Ст. 17 Закона Российской Федерации о правовой охране прсярамм для электршшык ^лт1с;вггеяы1ых ьаашт ибаз данн^.
135
гичных товаров*^'.
Таким образом, под терминсш «контрафакптость» мы понимаем не легальность объектов (изделий, в том числе информационно-протраммных продуктов), полученных (произведенных, приобретенных, ввезенных в стра ну и т.п.) с нарушением действующего законодательства. Следовательно, признаки контрафактности с^ъектов (изделий) можно определить как призшиш (характеристики), св1щетельствук>щие с^ VBL нелегальном изготовле нии.
После определения основных понятий следует рассмотреть проблемы, связанные с выявлением контрафшстной продукции. Для того, чтобы отли чить ее от легальных изделий, необходимо определиться с признаками кон трафактности, а также процедурами (методиками) их выявления в том или инсш рассматриваемом объекте. Для полного объективного исследования та кого рода совершенно очевидна необходимость использования специальных познаний из ряда областей науки и техники'^^. В соответствии с УПК РФ в этих случаях должно назначаться :нссперт11ое исследование информационнопрограммных продуктов. Однако при назначении и проведении экспертиз носителей информации (чаще всего компакт-дисков) уже сегодня возникают противоречия процессуального характера, вызванные различной «щенкой по лученных результатов.
Следует отметить, что в настоящее время большинство эксп^>тиз ин формационно-программных продуктов назначается 1Югосуд|цхггвенным орга низациям. Одной из них является «антишфатская» ассоциация АБКП («Ассо циация по борьбе с компьютерным пиратством»). К большому сожа^юиию, приходится констатировать, что АБКП допускается проведение пов^хностных исследований, результаты KOTOJAIX «юобоснованы. В рзще случаю выводы
'^^ Современный слов{^ иностранных слов. - М.: «РуескнИ языю», 1999. - 742 с; Тихомирова Л.В., Тихомиров М. Ю. К^эдцическая Эициююпедия /Под ред. М.Ю. Тихо мирова. - М.: №дание г-на Тихомирова М.Ю., 1999. - 526 с.
^^ См. §1.3.даннойработы.
136 специалистов выходят за рамки их ксшпетешщи. Так, шопртлер, axcnqpfbi АБКП, отвечая на вопрос: «Являются ли программные щюдукгы, записанные на машинных носителях типа компакт-д1юков, контрафактными?», ограничи ваются визуальной проверкой лишь нескольких признаков, KOTOi»iie у них Ю1ражены в виде системы критериев: «...несоответствие лицензионной упаковки или её отсутствие (А), отсутствие лицензионного соглашения или регистраци-
01шс^ карточки (Б\ шесо&твстстшяе т9&шякх> вида тоФшяжт-щяскл ор»и1шал (В), отсутствие знака охраны авторского права правообладателя (Г), размеще ние более одного программного продукта на компакт-диске (Д)*'^». Очевидно, что результаты исследований носят субъектиш1ый характер и являются нена дежными. Используемая специалистами АБКП методика игнор1фует извест ные положения частных криминалистических теорий: теории криминалисти ческой идентификации, тес^и ]фиминалистической диагностики, 1фиминалистического учения о признаках. Кроме того, выводы эксперта о том, что «...исследованные мшпинные носители типа CD-ROM являются контрафакт
ными...» и «...компаниям-издателям нанесён материальный ущ^зб...», сфсфмулированы неграмотно и являются неправомерными, т.к. ноет правовую оценку преступногодазшияи не входят в его компетенцию.
Эксп^)тное исследование контрафактной инфсфмпционнопрограммной продукции, как это указывалось в ^ 1.3, требует 1ф41менения специальных познаний в различных областях науки и техники и должно но сить комплексный характер. При этом для получения объективного заключе ния эксперта Иследование может состоять из следующих:
-выявление внешних признаков контрафгисгных изделий;
-выявление признаков контрафактности в структ>ре, содержании, потребительских свойствах информационно-профаммных продуктов.
Представляется целесоо(бразным подробно рассмотреть эти стадии.
Выявление внеыших шзизнаюов конту^акшости информашюнно-
137 Скакун Ю. CMqm> шфспсгву. - М.: К««тыоФ^)ра, 2000. - №17 <340).
137 Программных продуктов. На данной стадии исследования применяются спе циальные познания экспертов-товароведов, экспертов техникокриминалистического исследования документов (ТЭД) и э1а:п^товтрасологов.
Прежде всего, выявление признаков контрафактности информационнопрограммной продукции требует проведения товароведческого исследования ее упаковки и внешнего вцда (с целью устшшвления ик соответстюЕя опреде ленным стандартам, принятым фирмами-производителями), а также сопро водительной документации (на предмет установления ее комплектности и правильности оформления). Особое внимсшие при этом следует уделять идентификшдионным признакам производителей компакт-дисков {в послед нее время всё большее распространение получает так называемая система идентификации места подготовки мйтршц компакт-дисков и места кх гарсшзводства - «SID Code»"*), отсутствие которых может являться одним из 1физнаков контрафактности изделий. Решить эти задачи, по нашему мнению, может именно эксперт-товаровед, спещ1али»ирующийся в области исследо вания контрафактной продукции. Только в его компетенции находится уста новление соответствия (или несоответстюм) сопр<юодительной до1^1^1ентации на товар определенным требованиям, установление вит и способа изго товления това]», требований по его т(жнспортировке, хранению и реализа ции, фактических товарных свойств изделий, качественных по1»зателей и пр.
Определенная группа признаков, свцдетельствующая о контрафактно сти информационно-программных продуктов, а именно: нестанд£фтное каче ство упаковки (например, низкое качество полиграфического оформления буклетов и инлеев, нестандартный внешний внщ самой упаковки, плохое ка чество используемой бумаги); наличие специальных «пиратских» фирмен ных знаков или неверное, нечеткое, с явно увеличенным или уменьшенным размером воспроизведение легальных тов1^ных знаков; полное отсутствие
138 S!D Code -Source Identification Code - кодвденгификацииисточника.
138 ИЛИ признаки копирования мгфкировочных обозначений изделий, используе мых официальными производителями продукции; нестандартное отобраикение штрих-кодов; отсутствие каталожных ном^юв или их несоответств1Ю наименованию программных продуктов - выявляется и исследуется специа листами ТЭД. В настоящее время ими разргкботаны специальные методики экспертного исследования полиграфической продукции'^.
В выяв^шии nf^HOKos 1«>шрафа]стности информацнокнопрограммной продукции могут применяться специальные познания экспер тов-трасологов, исследующих следы технологического об<фудования на ее носителях. Так, напри»№р, об использовании иного обсфудования для изго товления компакт-дисков могут свидетельствовать признаки от вырубного инструмента, следы которого локализуются вокруг центрального отверстия, а также прт1энакн уничтожения (изменения) ма{жи|ювочиых обо^1а^»]ий на матрице компакт-диска, отображающиеся на его поверхности в специфиче-
140
ском виде Данные признаки выявляются в ходе ср^нительного исследования с
легитимными образцами компакт-дисков, котор>ые могут находиться в специализиро1юнной коллекции.
Выявление признаков контрафактности в самом информационнопрограммном продукте. На этс^ стадаш должно п|юводитъся аяашгпрюское исследование содержания информаци(шно-прог(шммного продукта, представ ленного как на компакт-дисках, магнитоотических или магнитных дискетах, так и на жестком диске самого компыотд». Характ^истиками контрафакт-
'^ Методология проведения исследован!^ и эюспергаз аудиовнз^льных прснгаюдений/Материалы семин|фв по Интел;№ктуальн1хй Собственности для сотрудников МВД России. - М.: ЭКЦ МВД России, 1999. - 36 с; Злотя В.П. и щр. К№»одическне рюБЮвенущ»- ции по выявлению и рвофытию нарушений етторсюик и олежввых прав на аудшяязуаяь- шк произведения. - М: ВНИИ МВД Росст, 1999. - 40 е.; Куткош Д^., ШЗЮАЮ» А.В. Особенности наз1шчеш1я эксакртизи (исследошошя) шмгагра^пеской ушпоюки луткят-
зушв>ж)й щюяующя//Сжаоткпяк. - М.: Юртщп, 2Ш0. - С. 13-15.
'^ Тимофее И.Н. и др. Прсюедеиие жриаашаляегичеекик шоежщзтшяй для оарс-
деления прюнаков контра^ипгности комшаа-тяжо» и ктшакт-юссет. - М.: Вестник гаВД России, 1998. - /юге S, 6.
139 ных информационно-1ф01раммнык 1фодуктов могут быть: неполный 1цюграммный пакет (по структуре и содержанию), сборник paзнqpoдныx про- граммных продуктов, наличие файлов с текстовым содержанием номера щхь граммного продукта или информацией о том, как его «вск1»1ть» для установки на компьютер, наличие номера в установленных программах, несоответст вующего номерам, принятым производителем данного программного продук та и др. К сожалению, система крим^1шшстически SRs^fflibDc призшжов кон трафактных изделий в этой области пока не разработана, поскольку судебная программно-компьютерная эксп^угиза, которая может и должна заниматься решением рассматриваемых задач, находится только на начальном этапе сво его развития. Данное исследование требует применения специальных позна ний в области современных информационных технологий, так как навыков квали^ц1фованн(нх> пользователя для этого явш> недостаточно. В щюцессе экспертного исследования объектов неотъемлемым условием является выпол нение процедуры просмотра содержания перезаписываемого носителя инфсфмации без какого-либо внесения изменений, которые могут произойти в ре зультате работы сервисной или заищтной программы, не1ч:»юильного о^>ащения с базами данных или иных действий, не учитывающих работу систем та кого рода. В работе могут также возникать трудности, связанные с поиском нужной информации, а при необходимости и ее восстановлением.
Кроме того, требуется выполнение большого объема работ, связанных с выявлением и анализом совокупности диагностических и ццентификацнонных признаков кгас уже инсталлированного контрафактного про1раммного продук та, так и самой контрафактной инсталляционной копии, щзедставленной в том или ином виде. Уже только перечень общих задач, которые предстоит решить эксп^лу, исследующему информационно-программш1й продукт на Kosnpaфактность, позволяет сделать вывод о том, что он должен обладать специаль ными познаниями в области информацнонно-вышислител&ных технологий. Такими специалистами являются сотрудники государственных экспертных учреждений, работающие в области судебной компьют^шо-техкической экс-
140 пертизы, сотрудники учебных и научно-исследователы;ких заведений соответ ствующих специальностей (программисты, системотехники и рр.% работники организаций-производителей прогрШк1мной продукции и пр.
Аналитическое исследование содержания информационнопрограммных продуктов в настоящее время вызывает у экспертов большие трудности. Во-первых, необходимые методики нового рода судебной про- П^ммио-компьютериой экспертизы в данный мом^пг находятся только в процессе разработки. Во-вторых, на сегодняшний день в государственных экспертных учреждениях существует острая нехватка специалистов, обла дающих помимо познаний в области информационно-вычислительной техни ки развитыми практическими навыками. В-третьих, недостаточно развито взаимодействие экспертов с производителями той программной продукции, которая наиболее часто ш>1пускается «пиратским» способом. Огсутстю1е дан ных о легальных информационно-программных продуктах затрудняет объек тивную оценку результатов экcпq)тныx исследований.
Представленные выше стадии характеры для методики эксп^этного исследования информационно-программной продукции, подозреваемой в контрафактности. Эта методи!» развивается в рамках судебной программнокомпьютерной экспертюы, исходя из соответствующих потребностей след ственной и судебной практики в раскрытии и расследоюнии преступных по сягательств на интеллектуальную собственность.
Следует отметить, что в настоящее время при назначении эксп^пиз и исследований информационно-программной продукции перед экспертами ставятся вопросы, касающиеся установления правообладателя, авторские права которого нарушены, а также оценки разм^)а ущерба, нанесенного ему противоправными деяниями. По нашему мнению, их решение не входит в компетенцию экспертов, специализ1фующихся в суде^юй 1фограммнокомпьют^ной экспертизе.
Установление лиц, авторские права которых нарушены, осуществляется после выявления признаков контрафактности информационно-1фограммных