FD改ざん事件、一太郎のメタ情報について疑問点解決

9月22日以降、このブログでもいろいろとFD改ざんに関していろいろと書き込んでいて、すきまっ風さんからいろいろと調べていただいてコメントをいただいていた。

その中で一太郎自身がどこで使っているのかよくわからない更新日時らしきデータがファイル内に存在するということがわかってきたのは、ここの過去の記事を読んでもらったらおわかりになると思う。

最近、ゆっくりとした時間が取れなかったので、自分自身で検証できていなかったのだが、とりあえず何も文字が入っていない一太郎文書ファイルを作成し、一旦保存。そのファイルを開いて、何もせずに上書き保存。さらにもう一度上書き保存。

この3つのファイルをそれぞれ比較した際に1つ目と2つ目では新たなメタ情報が追加されファイルサイズが増加、2つ目と3つ目はファイルサイズは変化しないものの、バイナリレベルで調べるといろいろと変化が生じていることがわかった。

この辺のところが、いろいろと今回の件でネット上を調べていても、あまり触れられておらず、FD改ざんを扱ったブログを見ていてもそこまで技術的に書いている人も発見できず、今度じっくりと調べようと思っていたところ、ネットエージェントさんのブログFD改ざん事件についての技術的考察で、詳しい解説がなされた。

この記事を読めば、デジタルフォレンジック的な観点から、今までこのブログで書いてきた疑問点がほとんど解決してしまう。

先を越された。というか、まだまだ勉強不足だなということを痛感。ひょっとしたらEncaseとかFTKといったツールを使えば簡単にわかるようなことなのかな？

で、このブログの技術的考察を読んでみると、やっぱりタイムスタンプを変更しただけでなく7月13日にファイルの上書き保存を行っていたみたいで、すきまっ風さんの仮説が的を射ていたようだ。

って事は、タイムスタンプを変更するなんかよりも、当該一太郎の文書ファイルの内容そのものも変わっているかもしれないってことにならない？ファイルのタイムスタンプ改ざんよりももっと大きな問題にならないの？

これは騒がないでいいんだろうか？

ちなみに電磁的記録を証拠として扱う際の注意みたいな内容は、2006年3月1日にメールを照明するためにはという、当時の政界を騒がした偽装メール問題に関しての記事で扱っている。

最近では特定非営利活動法人デジタル・フォレンジック研究会の「証拠保全ガイドライン　第１版」が非常にわかりやすくまとめられているので、興味のある人はどうぞ。