FileVisorの実行履歴？

朝日新聞の記事、「ＦＤ改ざん「あまりに稚拙」　矛盾ない書き換えは困難」の最後、

タイムスタンプ変更機能がある別のソフトを製作した男性（４３）は「検察官がこのソフトの存在を知っていたことに驚いた。日時を変えなければ、使う必要がなく、捜査で使うなど考えられない」と語った。

日経新聞の記事、「改ざん利用のソフト4年以上前に導入」によると、

改ざんに用いたソフトを最高検が解析したところ、ソフトは少なくとも４年以上前に前田検事の私用パソコンに導入されたが、今回の事件以外の使用履歴はないことが８日、検察関係者の話で分かった。

まず、朝日の記事、FileVisorって高機能ファイル管理ソフトだよね。日時を変えなければ、使う必要がなく、捜査で使うなど考えられない」と言い切れるものなんだろうか。

FileVisorには、高度なファイルビューワー機能が付いていて、メディア内のファイルの状態や、ツリー構造、各ファイルのタイムスタンプとサイズ、ファイルの属性などが一目で分かり、ファイル管理という点ではエクスプローラよりもはるかに優れているのは当たり前であり、またたとえば、意図的に拡張子をリネームしてファイルを隠そうとしていたりしても「Enterキー」一つたたくだけでファイルの中身が見えて、そのヘッダー情報から拡張子偽装が見抜けたりもする。またWindowsは実フォルダの他にエクスプローラ上から見えるフォルダ構造と現実のディレクトリ構造とが異なっている仮想フォルダなどもあり、何かとこういう場面でコンピュータを調べたりするのにはエクスプローラより高機能なファイル管理ソフトの方が適していると思うのだけど・・・

ちなみに自分はFileVisorではなく、WinFDを愛用しているが、ファイルの操作でエクスプローラを使うことは皆無。なんと言っても、いちいちマウスを使わなくともキーボード操作のみでたいていのファイル操作ができてしまうことと、動作が軽いこと。更に誤操作のおそれがほとんど無いことなどが利点だと思う。

捜査でも十分に使えるんじゃないのかなぁと思うけど。

なんかこの記事読んでると、日付改ざんするためだけの悪いことをするソフトみたいな印象を持たれてしまうんじゃないのかなぁ。ファイルのコピーや移動、削除はもちろん画像の閲覧、音楽ファイルの再生等々、いつでもWinFDを使ってる自分は大悪人ですか。

で、それから日経の記事にあるFileVisorの実行履歴。

FileVisorはプリインストールされているわけでもなく、わざわざシェアウェアとして配布されているファイル管理ソフトをダウンロードしてインストールしているわけでしょ。配布されている圧縮ファイルのまま置いていたのならまだわかるけど、4年も前にインストールして、今年の7月13日まで一度も起動させていないなんて、普通はあり得ないんじゃないのかなぁ。だってファイル管理ソフトをわざわざダウンロードしてインストールまでするってのは、絶対に己の意志として実行しているわけでしょ。日付を変更するためじゃなくて本来の使い方をするためにインストールしたんじゃないのかなぁ。

普通、インストールしたら直後に確認のために一度起動させない？

ちなみにプログラムの実行履歴は、レジストリファイル内2カ所にrot13で暗号化されてプログラムの実行回数と実行履歴が保存されているし、Windowsのシステムフォルダ内の\Prefetchフォルダやプログラムファイルのタイムスタンプを見れば最後に実行された日時が特定できる。おそらくこれから出てきたんだろうと思う。Prefetchファイルの作成日時とかはどうだったんだろ？Prefetch内のファイルって、確か一度実行したらずっとあるわけでもなく、フォルダ内のファイル数だったか何かで勝手に削除されるはずなので、ここのファイル作成日時=一番最初にファイルを実行した日時と言い切ることはできないようだ。まぁレジストリ内の実行回数が1ならば、Prefetch内のファイルのタイムスタンプや実行ファイルのあるフォルダやスタートメニューへのショートカットの作成日時等で特定できそうだけど。

ちなみにこのレジストリの記録は、プログラムの実行ファイル名だけを記録しているので、仮にFileVisorをExcelという名前にリネームしていたり、ExcelをWinnyという名前にリネームしていたりすると、とんでもない実行履歴が出てきてしまう。

またこのレジストリに実行記録を残すユーザー操作追跡機能ってのは、XPのスタートメニューをクラシック表示にしている人には全く不要な機能なので、パフォーマンス改善のためのTipsとして無効にするという方法がネット上や雑誌等で数多く紹介されている。そのために必ず記録されているという情報ではなく、この調査が使えない場合もある。