01Soru
Sunulan .docx'in oluşturma üst verisi, belgede yazılı tarihle tutarlı mı, yoksa dosyanın sonradan oluşturulduğunu ya da düzenlendiğini mi gösteriyor?
02Arka plan
Delta Lojistik'teki kurgusal bir anlaşmazlık, bir sözleşmenin taşıdığı tarihte var olup olmadığına dayanır. .docx dosyası ve bulunduğu iş istasyonu imajı sağlandı. İnceleme, dosyanın içindeki ve çevresindeki bağımsız zaman kaynaklarını karşılaştırır.
03Sınırlar
- Belge üst verisi uygulama tarafından ayarlanır ve düzenlenebilir; birçok kaynaktan biridir, tek başına belirleyici değildir.
- Sistemler arasında kopyalanan bir dosya yeni dosya sistemi oluşturma zamanları alır; bunlar bu göz önünde tutularak yorumlandı.
04Alınan delil
05İnceleme yöntemi
OOXML çekirdek ve uygulama özelliklerini okuyun
.docx, bir ZIP paketi olarak açıldı. docProps/core.xml, dcterms:created ve dcterms:modified ile düzeltme sayısını verdi; docProps/app.xml, düzenleme süresi toplamını ve uygulama sürümünü verdi. Bunlar tam XML değerleriyle kaydedildi.
OOXML core.xml ve app.xmlHex görüntüleyici ve veri denetçisi
Paketin iç giriş zamanlarını inceleyin
ZIP içindeki her dosya, dizin girişinde yerel bir değiştirme zamanı taşır. Bunlar core.xml ile karşılaştırıldı; iç girişlerinin tümü iddia edilen oluşturma tarihinden daha yeni olan bir paket, sonradan yazmayı ya da yeniden kaydetmeyi gösterir. Uygulama sürüm dizesi, iddia edilen tarihte mevcut olan sürümlerle karşılaştırıldı.
OOXML core.xml ve app.xmlHex görüntüleyici ve veri denetçisiZaman damgası çözücü
Ana makinedeki dosya sistemi zamanlarıyla karşılaştırın
İş istasyonu imajında, dosya için $MFT $STANDARD_INFORMATION ve $FILE_NAME zamanları okundu ve birbirleriyle ve belge üst verisiyle karşılaştırıldı. İddia edilen tarihten daha geç bir $FILE_NAME oluşturma zamanı ve o tarihte henüz yayımlanmamış bir uygulama sürümü, belgenin düzenlenebilir üst verisinden bağımsızdır.
$MFT (NTFS Ana Dosya Tablosu)NTFS $STANDARD_INFORMATION ve $FILE_NAMEZaman damgası çözücü
Bağımsız kaynakları birlikte tartın
Hiçbir tek zaman belirleyici sayılmadı. Sonuç, bir düzenleyicinin kolayca hizalayamayacağı kaynaklara dayandı: uygulama sürüm dizesi, ZIP giriş zamanları ve ana makine $FILE_NAME zamanları; hepsi UTC'ye normalleştirildi.
OOXML core.xml ve app.xmlNTFS $STANDARD_INFORMATION ve $FILE_NAMEYerel saatten UTC'yetimebases
06Bulgular
Sağlam
Belge, taşıdığı tarihten daha sonra oluşturuldu.
Dayanakapp.xml'de adı geçen uygulama sürümü iddia edilen tarihten sonrasına kadar yayımlanmamıştı, ZIP iç giriş zamanlarının tümü daha geç ve ana makine $FILE_NAME oluşturma zamanı uyuşuyor.
Olası
core.xml oluşturma tarihi, gerçek yazma zamanından daha erken bir değere ayarlanmıştı.
DayanakOluşturma tarihi, uygulama sürümüyle ve paket giriş zamanlarıyla çelişir; alanı düzenlemek en basit açıklamadır.
07Sınırlılıklar
- İnceleme dosyayı tarihler, anlaşmayı değil; daha geç bir dosya, daha erken gerçek bir anlaşmayı yine de kaydedebilir.
- Dosya sistemi oluşturma zamanı, dosyanın o birime ne zaman ulaştığını yansıtır; bu, yazma zamanından farklı olabilir.
- Bulgu bu dosyayla ilgilidir; başka bir kopya farklı üst veri taşıyabilir.
08Rapor alıntısı
docProps/app.xml, sözleşmedeki tarihten sonra ilk kez yayımlanan bir uygulama yapısını adlandırıyor. .docx ZIP içindeki her girişin değiştirme zamanı o tarihten daha geç ve ana makine $FILE_NAME oluşturma zamanı uyuşuyor. Dosyanın taşıdığı tarihten daha sonra oluşturulduğunu buluyoruz (sağlam); daha erken core.xml oluşturma değeri elle ayarlanmış görünüyor (olası).
09Çıkarımlar
- Uygulama sürüm dizesini tutarlı biçimde taklit etmek zordur; bir geriye tarihleme sorusunu çoğu zaman çözer.
- Yalnızca düzenlenebilir oluşturma alanı yerine, bir düzenleyicinin kolayca hizalayamayacağı kaynakları (ZIP giriş zamanları, sürüm dizeleri, $FILE_NAME) kullanın.
- Dosyayı tarihleyin ve dosyayı tarihlemenin anlaşmayı tarihlemek olmadığını açıkça söyleyin.