Актуальность темы исследования.

Стремительное развитие микропроцессорной техники, а также обусловленное ей повсеместное внедрение современных информационных технологий во все жизненные сферы человека, в частности, породило новую форму криминалистической деятельности — компьютерные преступления.
Анализ судебно-следственной практики показывает, что получение криминалистически значимой информации по делам, сопряженным с применением компьютерных средств, невозможно без использования специальных познаний, основной процессуальной формой применения которых является компьютерно-техническая экспертиза.
Настоящая методика разработана на основе действующего законодательства, сложившейся судебно-следственной практике, научных трудов и нормативно-технической документации, основываясь при этом на специальных познаниях в области микропроцессорной техники и оценочной деятельности, ранее проведенных экспертизах, в целях повышения качества производства экспертиз.

Цели и задачи экспертного исследования.

Целью методики является разработка модели решения задачи по определению признаков контрафактного программного обеспечения и критериев определения стоимости ущерба от его использования.
В соответствии с поставленной целью необходимо решить следующие задачи:

• разработать общие принципы решения задачи по определению признаков контрафактного программного обеспечения;
• сформулировать критерии наличия у объектов экспертного исследования признаков контрафактного продукта;
• разработать общие принципы решения задачи по определению стоимости ущерба, причиненного использованием контрафактного программного обеспечения.

Объекты исследования.

Объектами исследования при установлении признаков контрафактного программного обеспечения являются:

Аппаратные средства: персональные компьютеры (настольные, портативные); запоминающие устройства и носители информации (накопители на жестких магнитных дисках (НЖМД), оптические (CD/DVD) диски, дискеты, флэш накопители, карты памяти и другие устройства).

Программное обеспечение различных видов: системное программное обеспечение; прикладное программное обеспечение; приложения специального назначения - для решения задач в определенной области науки, техники, экономики и т.д. (в т.ч. разработанные заказчиком либо по его заданию).

Используемые научные методы.

При производстве экспертиз данного вида необходимо применять следующие научные методы:

• органолептический;
• экспериментально-относительный;
• расчетный;
• синтезирующий;
• идентификационный;
• классификационный;
• атрибутивный (в целях установления свойств объекта);
• оценочный;
• метод сопоставления.

Нормативная, техническая, справочная, методическая литература, используемая при проведении исследования.

• Гражданский кодекс РФ;
• Уголовный кодекс РФ;
• Федеральный закон от 31.05.2001г. №73-ФЗ «О государственной судебно-экспертной деятельности в Российской Федерации»;
• Закон «Об оценочной деятельности»;
• ФСО №1, №2, №3, №4, №5;
• Постановление от 19.06.2006г. №15 Верховного суда РФ «О вопросах, возникающих у судов при рассмотрении гражданских дел, связанных с применением законодательства об авторском праве и смежных правах»;
• Постановление от 26.04.2007г. №14 Верховного суда РФ «О практике рассмотрения судами уголовных дел о нарушении авторских, смежных, изобретательных и патентных прав, а также о незаконном использовании товарного знака»;
• А.И. Усов. Судебно-экспертное исследование компьютерных средств и систем. М. 2003.

Используемые оборудование, инструмент и материал.

• Стендовый компьютер эксперта;
• Устройства чтения карт памяти различных форматов;
• Цифровая фотокамера.

Вопросы, выносимые на разрешение экспертов.

В соответствии со специальными знаниям эксперта, существа поставленных вопросов и удобства их разрешения, очередность и редакция вопросов изменена:

• Какова общая характеристика представленного программного обеспечения, из каких компонентов (программных средств) оно состоит?
• Каково наименование, тип, версия, вид представления (явный, скрытный, удаленный) программного средства?
• Каковы реквизиты разработчика и владельца программного средства?
• Каков состав соответствующих файлов программного обеспечения, каковы их параметры (размеры, даты создания, атрибуты)?
• Имеются ли на носителях информации программные средства для реализации определенной функциональной задачи?
• Каково фактическое состояние программного средства, его работоспособность по реализации отдельных (конкретных) функций?
• Каким образом организованы защитные возможности программного средства?
• Какова хронология внесения изменений в программное средство на преодоление его защиты?
• Какие данные о собственнике (пользователе) компьютерной системы (в том числе имена, пароли, права доступа и проч.) имеются на носителе информации?

Общие принципы методики.

Процесс экспертного исследования (последовательность действий эксперта).

Проведение экспертного исследования предполагает следующие, взаимосвязанные между собой, этапы:

1. Органолептическое исследование.

В ходе органолептического исследования производятся следующие виды осмотров:

1.1 Общий осмотр проводится путем:

• изучения целостности упаковки, наличия и состояния печатей, подписей следователя и понятых;
• установление соответствия представленных материалов постановлению о назначении экспертизы и перечню приложений сопроводительного письма;
• изучения (при их наличии) содержания протоколов осмотра, обыска, выемки с целью учета в дальнейшем исследовании особенностей выполнявшихся ранее действий.

1.2 Осмотр вложений проводится путем:

• фиксации целостности упаковки вложений и признаков механических повреждений;
• вскрытия упаковки и сверки содержимого вложений с внутренней описью вложений;
• сопоставление описи объектов исследования по факту;

1.3 Внешний осмотр компьютерных средств проводится путем:

• фиксации серийных и инвентарных номеров объектов исследования;
• установления механических параметров системного блока;
• установления технических параметров объектов периферии (клавиатур, мониторов, шнуров питания и пр.);
• определение типа носителей информации.

Проведение внешнего осмотра может сопровождаться фиксацией внешнего вида с помощью цифровой фотокамеры. Полученные изображения могут быть оформлены как в виде фототаблицы – приложения к заключению эксперта, так и содержаться в самом заключении эксперта.

2. Исследование носителя информации.

В общем случае может осуществляться как раздельное (аналитическое), так и сравнительное исследования носителя информации. Сущность аналитического исследования заключается в выявлении общих и частных признаков, необходимых для решения поставленных задач. При сравнительном же исследование осуществляется обнаружение совпадений или различий, отобразившихся в следах признаков, анализ свойств объектов исследования, отклонение от норм, стандартов, типовых вариантов использования и распространения рассматриваемых программных продуктов.

2.1 Исследование системного блока персонального компьютера проводится путем:

• визуального осмотра внутренних аппаратных компонентов системного блока;
• извлечения из системного блока жесткого диска;
• запуска системы в режиме BIOS и определение системной даты, времени компьютера и других конфигурационных установок;
• определения аппаратных характеристик системного блока;

2.2 Исследование носителей информации (оптических дисков, дискет, флэш накопителей, карт памяти, жестких дисков) проводится путем:

• определения класса, вида и назначения носителя(например, для компакт-диска форматы могут быть CD-R, DVD-R и т.п.);
• подключения к стендовому компьютеру исследуемый носитель информации (жесткий диск – в качестве дополнительного);
• определения основных технических параметров носителя информации (для жесткого диска – номера цилиндров, секторов, количество секторов, емкость, имеющиеся разделы, тип файловой системы, идентификаторы и метки разделов и т.д.);
• поиска признаков повреждения целостности структуры данных (несоответствие заявленных параметров фактическим, наличие потерянных кластеров, некорректно сохраненные имена каталогов и файлов и т.д.).

2.3 Диагностическое исследование проводится путем:

• создания копии всего содержимого носителя информации на вспомогательном носителе (посекторное копирование с фиксацией технических параметров формата носителя);
• при невозможности создания копии носителя информации необходимо его исследовать на стендовом компьютере в качестве дополнительного устройства, при этом отключив все программы, способные внести изменения в подключенное устройство. Все файлы с исследуемого объекта копируются на стендовый компьютер, а затем носитель информации отключается и проводится исследования скопированных файлов;
• определения основных параметров каталогов и файлов, содержащихся на диске (с разбиением по логическим дискам);
• определения основных параметров и временных атрибутов каталогов и файлов, дат создания и редактирования файлов по системному времени исследуемого компьютера;
• определения программного обеспечения, установленного или хранящегося на носителе информации с указанием названия, назначения, типовых расширений, места расположения;
• выделения защищенной от несанкционированного доступа информации (зашифрованные диски и файлы, защищенные паролем архивы и т.д.) с указанием места их размещения;
• поиска удаленных файлов и остаточной информации;
• определения информации, характеризующей работу пользователя в операционной системе, в локальных и глобальных сетях;
• поиска программ(файлов), содержащих признаки заражения компьютерным вирусом;
• поиска программ, предназначенных для подбора паролей и результатов их работы;
• поиска программ с признаками вредоносных функций и их экспериментального исследования на стендовом компьютере в условиях, моделирующих предполагаемые условия их использования;
• поиска текстовых, графических файлов, содержащих ключи и пароли к программным продуктам;
• исследования защищенных паролями файлов;
• выявления и определения назначения программ, которые не содержат пояснительных указаний и комментариев (с установкой относящихся к этим программам файлов);
• сравнительного исследования нескольких версий программ с различными настройками и файлами данных;
• изучения протоколов действия пользователя;
• выявления и уточнения фактически выполняемых функций программ.

Общая методика включает в себя целый ряд частных методик, предназначенных для решения конкретных задач судебно-экспертного исследования компьютерных средств и систем.

3. Оценка, обоснование и формулирование выводов по поставленным вопросам.

Данный этап экспертного исследования можно разбить на две стадии: стадия по определению признаков контрафактности объекта исследования и стадия определения стоимости ущерба, причиненного использованием контрафактной продукции.

3.1 Определение признаков контрафактности программного обеспечения.

Алгоритм решения экспертной задачи предполагает рассмотрение его с понятийным аппаратом, выработки критериев (признаков) контрафактного программного обеспечения.

Программное обеспечение – это группа взаимодействующих друг с другом программ, заставляющих работать микропроцессор (компьютер).

Контрафактная продукция – экземпляры программы для ЭВМ или базы данных, изготовление или использование которых влечет за собой нарушение авторских прав.

Правообладатель – автор, его наследник, а также любое физическое или юридическое лицо, которое обладает исключительным правом для ЭВМ или баз данных в силу закона или договора.

Программа для ЭВМ – это объективная форма представления совокупности данных и команд, предназначенных для функционирования электронных вычислительных машин (ЭВМ) и других компьютерных устройств с целью получения определенного результата. Под программой для ЭВМ подразумеваются также подготовительные материалы, полученные в ходе ее разработки, и порождаемые ею аудиовизуальные отображения.

База данных – это объективная форма представления и организации совокупности данных (например: статей, расчетов), систематизированных таким образом, чтобы эти данные могли быть найдены и обработаны с помощью ЭВМ.

Адаптация программ для ЭВМ или базы данных – это внесение изменений, осуществляемых исключительно в целях обеспечения функционирования программы для ЭВМ или базы данных на конкретных технических средствах пользователя или под управлением конкретных программ пользователя.

Модификация (переработка) программы для ЭВМ или базы данных – это любые их изменения, не являющиеся адаптацией.

Декомпилирование программы для ЭВМ – это технический прием, включающий преобразование объектного кода в исходный текст в целях изучения структуры и кодирования программы для ЭВМ.

Воспроизведение программы для ЭВМ или базы данных – это изготовление одного или более экземпляров программы для ЭВМ или базы данных в любой материальной форме, а также их запись в память ЭВМ.

Распространение программы для ЭВМ или базы данных – это предоставление доступа к воспроизведенной в любой материальной форме программе для ЭВМ или базе данных, в том числе сетевыми и иными способами, а также путем продажи, проката, сдачи внаем, предоставления взаймы, включая импорт для любой из этих целей.

Выпуск в свет (опубликование) программы для ЭВМ или базы данных – это предоставление экземпляров программы для ЭВМ или базы данных с согласия автора неопределенному кругу лиц (в том числе путем записи в память ЭВМ и выпуска печатного текста), при условии, что количество таких экземпляров должно удовлетворять потребности этого круга лиц, принимая во внимание характер указанных произведений.

Использование программы для ЭВМ или базы данных – это выпуск в свет, воспроизведение, распространение и иные действия по их ведению в хозяйственный оборот (в том числе в модифицированной форме). Не признается использованием программы для ЭВМ или базы данных передача средствами массовой информации сообщений о выпущенной в свет программе для ЭВМ или базе данных.

Объекты авторского права – это произведения науки, литературы и искусства, являющиеся результатом творческой деятельности независимо от их назначения и достоинства произведений, так как по своей природе они являются составными произведения.

Программы для электронных вычислительных машин (ЭВМ) относятся к литературным произведениям, а базы данных – к сборникам, так как по своей природе они являются составными произведения.

Можно выделить два подхода к установлению признаков контрафактности программного обеспечения.

Первый способ достаточно простой, но при этом дает достоверный результат — исследование происходит методом сопоставления индивидуально-определенных признаков, свойственных соответствующей лицензионной программы для ЭВМ с программой для ЭВМ, содержащейся в объекте исследования. Однако у этого подхода есть серьезный недостаток - не всегда есть возможность получить лицензионную версию программы, аналогичную исследуемой.

Второй способ — анализ исследуемых программных продуктов на наличие определенного (фиксированного) набора признаков контрафактности в соответствии с требованиями, изложенными в различных нормативно-технических и правовых источниках. Официальные Интернет страницы производителей могут предоставить полную информацию о характеристиках лицензионного продукта (способ распространения, способ активации программного продукта, наличие электронных ключей и т.д.).

Если объектом исследования является программное обеспечение на компакт-диске, то необходимо обратить внимание на способ оформления компакт-диска и его компонент (если имеются).

Оформление носителя и упаковки

На лицевую (нерабочую) поверхность лицензионных компакт-дисков, а также и на элементы упаковки, промышленным способом наносится изображение высокого полиграфического качества в соответствии с корпоративными стандартами, присутствует информация о наименовании программного продукта, сведения о защите авторских прав (знак охраны авторского права в виде латинской буквы «С» в окружности). Контрафактный продукт может быть записан на одноразовом компакт-диске, нерабочая поверхность которого не содержит оформления или оно низкого качества.

Элементы упаковки (упаковочные компоненты).

Лицензионные программы делового назначения, упаковываются в картонную коробку, размеры коробки варьируются в соответствии с корпоративными стандартами; коробка выполнена типографским способом, в цветовых гаммах коробки присутствуют цвета, выбранные правообладателем; на коробке содержатся: название программного продукта, серийный номер продукта, сведения о правообладателе продукта; в комплект поставки входят: носитель с дистрибутивом системы программного продукта, информация о правообладателе, руководство пользователя, выполненное типографским способом, регистрационная карточка. Контрафактный продукт может частично или полностью не удовлетворять указанным выше требованиям.

Содержимое диска.

На лицензионном диске записывается только одна версия программы.

Признаками контрафактности программного обеспечения на носителе информации являются:

наличие вредоносных программ в каталогах программного обеспечения;

наличие следов взлома систем защиты от несанкционированного копирования/использования (наличие программ-генераторов ключей защиты, текстовых файлов с серийными номерами, программ-эмуляторов компакт-дисков, признаков вмешательства в процедуру установки, программный код либо учетную информацию и т.п.); отсутствие информации о правообладателях и предупреждений о защите авторских прав (лицензионных соглашений) в файлах на диске и в процессе установки программ при условии наличия такой информации в текстовых файлах после установки программ на ПЭВМ; полное отсутствие процедуры установки (программа устанавливается копированием либо разархивированием и т.п.);

несоответствие средств защиты от копирования носителей средствам защиты лицензионных дисков (устанавливается сравнением с лицензионными образцами либо с информацией в файлах справки, на упаковке, Интернет странице программного обеспечения). Например, контрафактная версия программы может запускаться без наличия электронного ключа (hasp-а) ;

несоответствие файловой структуры дистрибутивов программ либо процедуры их установки информации из файлов справки (если таковые имеются) на диске, отсутствие файлов с описанием процесса установки программных продуктов на дисках при условии наличия такой информации в текстовых файлах после установки программ на ПЭВМ.

Данные признаки наиболее значимы и свидетельствуют о существенном несоответствии содержимого носителей обозначениям на упаковках либо о нарушении средств защиты информации, предусмотренных правообладателем (изготовителем):.

Таким образом, можно сформировать оптимальный алгоритм исследования продукции для отнесения ее к контрафактной:

А. Исследование представленных носителей начинается с внешнего осмотра, в процессе которого выявляются признаки, связанные с их оформлением (компакт-диски). Полное несоответствие в оформлении представленного на исследование диска его лицензионному аналогу позволяет сказать, что данный объект обладает признаками контрафактности.

Б. Исследование признаков контрафактности программного обеспечения производится на стендовом компьютере:

производится проверка исследуемого объекта антивирусной программой;

устанавливается перечень программных продуктов, содержащихся на исследуемом объекте;

структура файлов и папок сравнивается с информацией, содержащейся в файлах справки на дисках (если таковые имеются), при этом устанавливается наличие следов взлома защиты ПО (наличие папок «CRACK», файлов «keygen», «crack», «serial», файлов с ключами реестра, файлов для замены официальных после их установки, иных текстовых файлов с описанием процедуры нарушения защиты и т.п.);

осуществляется установка ПО, в процессе которой могут быть выявлены следы вмешательства в процедуру установки, путем сравнения с информацией об установке в файлах справки (если таковые имеются) либо по характерным признакам (имеется пустое окно лицензионного соглашения, процесс установки сводится к простому разархивированию и т.п.), также может быть выявлено нарушение системы защиты в виде загрузки прогаммы-эмулятора диска;

анализируется наличие информации о правообладателях, предупреждений о защите авторских прав (лицензионных соглашений), описаний процедуры установки в папках установленных на ПЭВМ программ при условии отсутствия данной информации в дистрибутивных комплектах файлов на дисках и в процессе установки программ;

делаются выводы по каждому исследуемому программному продукту на предмет наличия или отсутствия признаков контрафактности.

При представлении для сравнительного исследования заведомо лицензионных дисков указанные выше стадии исследования проводятся и с ними, после чего осуществляется сравнительное исследование выявленных признаков у исследуемых дисков и образцов. При этом вывод дается в форме: «Представленные диски не соответствуют оригинальным по следующим признакам.».

В случае представления правообладателям параметров оригинальных дисков в электронном виде либо на бумажном носителе исследование проводится только по перечисленным правообладателем признакам.

3.2 Определение стоимости ущерба, причиненного использованием контрафактной продукции.

Убытки правообладателей есть выраженный в денежной форме ущерб, причиненный им противоправной деятельностью распространителя контрафактной продукции.

Убытки обладателя исключительных прав на программу для ЭВМ определяются как упущенная выгода (неполученные им доходы) вследствие продажи контрафактных копий программ.

Предлагаемая Методика оценки стоимости убытков (упущенной выгоды), базируется на предположении «если бы не нарушение», и привязана к ценообразованию легального Производителя.

В Методике учтены результаты исследований в области оценки ущерба от распространения контрафактных программных продуктов известных ученых Яскевича Е.Е., Ефимова А.В., Костина А.В., Эрделевского А.М., Середы С.А. и др.

В соответствии с данной методикой оценка «упущенной выгоды» проводится на основе доходного подхода и предположения, что обладателем имущественных прав может быть продано такое же количество продукции, как и производителем контрафактной продукции.

Расчет величины «упущенной выгоды» рекомендуется определять по действующим ценам легального Производителя с учетом потребностей и возможностей рынка программ для ЭВМ по следующей формуле:

У = n × Ц × k1 × k2× k3

где

n - количество реализованных контрафактных копий программы;

Ц - лицензионная цена (цена Производителя) копии программы;

k1 - коэффициент, учитывающий уровень социально-экономической значимости программы, область ее применения;

k2 - коэффициент, учитывающий тип сегмента рынка и масштабы незаконного использования копий программ;

k3 - коэффициент, учитывающий влияние низкого качества контрафактной продукции и других факторов на репутацию обладателя исключительных прав.

Рекомендации по расчету рыночных коэффициентов k1, k2, k3

Коэффициенты устанавливаются экспертно. Выбор значений коэффициентов должен основываться на знаниях эксперта о сегментах рынка оцениваемой программной продукции, которые должны быть получены в результате маркетинговых исследований рынка этих товаров и анализа факторов, оказывающих влияние на размер убытков обладателя исключительных прав.

КОЭФФИЦИЕНТ "k1" учитывает уровень социально-экономической значимости программы, область ее применения и определяется стратегическим положением программного продукта на рынке.

Применение многих контрафактных программных продуктов приводит к негативным последствиям, не только для фирмы, применяющей этот продукт, но и для ее потребителей (например, в проектировании жилья, в медицинском диагностировании, в бухучете и планировании финансов и др).

Разная социально-экономическая значимость программных продуктов может учитываться с помощью введения k1. Шкала возможных значений коэффициента k1 приведена в табл.1.

Таблица 1. Шкала возможных значений коэффициента k1

КОЭФФИЦИЕНТ "k2", учитывает тип сегмента рынка нарушителя прав и масштабы незаконного использования копий программ. С помощью введения коэффициента k2 можно дифференцировать нарушителей с точки зрения их статуса, их материальной обеспеченности, а также многократности нарушения закона (объемов их преступной деятельности). Шкала возможных значений коэффициента k2 приведена в табл.2.1.и в табл.2.2.

Таблица 2.1. Шкала возможных значений коэффициента k2

(при приобретении и незаконной установке контрафактных программ)

Таблица 2.2. Шкала возможных значений коэффициента k2

(при производстве и реализации копий контрафактных программ)

КОЭФФИЦИЕНТ «k3», учитывает влияние низкого качества контрафактной продукции и других факторов на репутацию обладателя исключительных прав. Некачественная программная продукция может наносить (финансовый, материальный, социальный, моральный) вред потребителям, а следовательно, влияет на отрицательную деловую репутацию фирмы легального Производителя. Однако степень ущерба и необходимость восстановления деловой репутации фирмы легального Производителя в каждом отдельном случае должна анализироваться индивидуально. Шкала возможных значений коэффициента k3 приведена в табл.3.

Таблица 3. Шкала возможных значений коэффициента k3

(при производстве и реализации копий контрафактных программ)

Учет фактора времени

Расчет размера упущенной выгоды при производстве (реализации) контрафактных копий программ осуществляется с учетом фактора времени, то есть путем дисконтирования будущих неполученных за период восстановления нарушенного производства доходов, которые собственник получил бы при обычных условиях гражданского оборота, если бы его права не были нарушены.

При этом под дисконтированием понимается процесс приведения всех будущих доходов к дате проведения расчета убытков по соответствующей ставке дисконтирования. В качестве ставки дисконта при расчете убытков рекомендуется использовать среднюю величину ставки банковского процента, или процента по депозиту, а также уровень доходности ГКО.

Коэффициент дисконтирования рекомендуется считать по формуле:

(1 + dn)T-t .

Общая формула расчета убытков с учетом фактора времени будет иметь вид:

Т

У = ∑ (n t × Ц t × k1 × k2 × k3 ) × (1 + dn)T-t

t=1

где:

Ц t – лицензионная цена (цена Производителя) копии программы (уже с учетом инфляции);

n t – количество реализованных контрафактных копий программы;

k1 – коэффициент, учитывающий уровень социально-экономической значимости программы, область ее применения;

k2 – коэффициент, учитывающий тип сегмента рынка и масштабы незаконного использования копий программ;

k3 – коэффициент, учитывающий влияние низкого качества контрафактной продукции и других факторов на репутацию обладателя исключительных прав.

T – текущий период (год);

Т – расчетный период вычисления интегральных убытков (момент приведения убытков);

Уt – убытки в периоде t;

dn – ставка дисконта .

В табл.4. и табл.5. представлены примеры расчета убытков по указанным формулам (с учетом условно выбранных ставки дисконтирования =8% и временного периода использования контрафакта =3 года).

Таблица 4

Схема формирования убытков при производстве и реализации

контрафактных копий программ для ЭВМ

Таблица 5

Схема формирования убытков при приобретении и незаконной установке

контрафактных копий программ для ЭВМ

4. Составление письменного заключения эксперта, по форме и содержанию установленному ст. 25 ФЗ от 31.05.2001г. №73-ФЗ «О государственной судебно-экспертной деятельности в Российской федерации».

Приложение к методике.Классификатор ОКП