Obsah článku
Analyticko-publicistická esej
Na monitoru se objeví fotografie. Je ostrá, barevná a na první pohled úplná. Forenzní program ji označuje slovem deleted. V místnosti stačí jediná věta: „Obnovili jsme smazaný snímek.“ Zní přesně. Zní definitivně. A během několika sekund vytvoří příběh, který samotný nález možná vůbec neobsahuje.
Představme si tuto scénu jako modelovou, nikoli jako popis konkrétního případu. Na obrazovce skutečně může být obraz, který už běžné uživatelské rozhraní neukazovalo. Může jít o původní soubor nalezený díky zachovaným metadatům. Může to ale být také část souboru vyřezaná podle typické hlavičky JPEG, náhled vytvořený operačním systémem, kopie z mezipaměti, příloha uložená jinou aplikací, záznam ze zálohy nebo směs bloků, které k sobě nástroj připojil podle technického pravidla.
Všechny tyto výsledky mohou být v běžné řeči nazvány „obnovenou fotografií“. Forenzně však nejsou zaměnitelné. Liší se původem, úplností, metadaty, vazbou na konkrétní aplikaci i tím, zda vůbec dokážeme spojit jejich přítomnost s jednáním určitého člověka.
Digitální forenzika nevrací minulost. Vytváří technicky podložený model minulosti z toho, co po ní zůstalo.
NIST ve své rozsáhlé vědecké revizi digitálních vyšetřovacích metod shrnuje dvě věci, které se veřejné představě obtížně vejdou do jedné věty: používané techniky mají pevný základ v informatice, pokud jsou správně aplikovány, a zároveň mají známé limity. Ne všechny stopy lze nalézt. Obnova smazaných dat může vrátit jen část souboru, přidat cizí materiál nebo spojit nesouvisející fragmenty. Význam artefaktu se navíc může měnit s verzí systému, aplikace i parseru.[1]
A právě tady začíná jiný kontext. Skutečná odborná otázka nezní: „Dokázali jsme něco obnovit?“ Zní: „Jaký objekt jsme nalezli, jak vznikl, které jeho vlastnosti jsme přímo pozorovali a kde už začíná inference?“
01 / Vrstevnatý dějSmazání není jediná událost
Když člověk stiskne Delete, vidí jednoduchou změnu: položka zmizí. Počítač však nemusí provést jediný fyzický akt, který by bylo možné označit za zničení dat. Uživatelská akce se propadá několika vrstvami systému a každá z nich může zachovat jinou stopu.
Na nejvyšší vrstvě může aplikace pouze odstranit položku ze seznamu. Databáze může označit řádek jako smazaný, přesunout jeho obsah do volného prostoru nebo zapsat změnu do žurnálu. Souborový systém může zrušit vazbu mezi názvem souboru a bloky, které nesly jeho obsah, a označit prostor jako použitelný pro další zápis. Řadič úložiště může logické adresy přemapovat na jiné fyzické buňky. A mimo zařízení mohou dál existovat synchronizované kopie, zálohy, náhledy či data v cloudu.
U klasického souborového systému často není prvním krokem přepis obsahu, ale změna evidence: záznam přestane být aktivní a jeho prostor se stane dostupným pro další použití. Dokud není přepsán, může se zachovat celý obsah nebo jeho část. Záleží však na konkrétním systému, způsobu smazání, fragmentaci, následné aktivitě a typu média. Proto odborné postupy výslovně počítají s hledáním relevantních smazaných dat v nealokovaném prostoru i v různých druzích slack prostoru — nikoli proto, že by tam musela být, ale protože tam být mohou.[1][2]
Jiný případ je koš. Přesun do koše může být jen změnou umístění a doplněním pomocných metadat. Jiný je „trvalý“ výmaz z rozhraní. Jiný je odstranění z databáze aplikace. A ještě jiný je bezpečná sanitizace média, jejímž cílem je znemožnit přístup k cílovým datům při předem uvažované úrovni úsilí. NIST právě tak sanitizaci definuje: nikoli jako metafyzickou nepřítomnost každého bitu, ale jako stav, kdy je získání dat prakticky neproveditelné pro daný model útoku.[4]
„Smazané“ popisuje stav v určité vrstvě systému. Neříká samo o sobě, co se stalo ve všech ostatních.
To má jeden nepříjemný důsledek: nelze vytvořit univerzální pravidlo typu „smazaný soubor je obnovitelný sedm dní“ ani „po vyprázdnění koše je nenávratně pryč“. V obou větách chybí téměř celý technický kontext.
02 / Fyzické médiumSSD změnil pravidla — ale ne jedním směrem
Oblíbená analogie říká, že smazání je jako vytržení položky z obsahu knihy: kapitola zůstane na stránkách, jen se ztratí ukazatel. Pro některé situace na magnetickém disku je to užitečná pomůcka. U moderního flashového úložiště však začíná klamat.
SSD nevystavuje operačnímu systému jednoduchou mapu „tento logický blok leží právě v této fyzické buňce“. Mezi nimi pracuje řadič s vrstvou překladu adres. Kvůli omezením NAND flash používá přemapování, zápis na nové místo, vyrovnávání opotřebení a úklid bloků. Část fyzické kapacity navíc nemusí být běžnými příkazy uživatelsky adresovatelná. NIST proto u moderních médií výslovně upozorňuje, že fyzická kapacita může přesahovat kapacitu viditelnou uživateli a že data se mohou propagovat do více míst.[4]
Příkaz TRIM umožňuje operačnímu systému oznámit SSD, že určité logické bloky už nejsou potřebné. To ale není totéž jako přesně načasovaný fyzický výmaz. Řadič může data později zahrnout do garbage collection; z pohledu běžného čtení mohou bloky začít vracet nuly nebo přestat být dostupné. Co zůstává ve fyzické vrstvě a co lze reálně získat konkrétní metodou, závisí na zařízení, firmwaru, šifrování, stavu napájení i cestě akvizice.
Historická studie Weiho a kolegů z roku 2011 ukázala, proč se postupy převzaté z pevných disků nedaly automaticky přenést na tehdejší SSD: kvůli internímu mapování mohly mimo logický pohled zůstávat starší kopie a některé implementace mazacích příkazů se nechovaly podle očekávání.[3] Tato práce je důležitá jako demonstrace architektonického problému, nikoli jako tabulka pro odhad dnešních zařízení. Konkrétní počty z testovaných disků starých patnáct let nelze vydávat za vlastnost současného telefonu či SSD.
Moderní šifrování přidává další paradox. Bajty mohou ve fyzickém médiu stále existovat, ale bez příslušného klíče jsou prakticky nepřístupné. Na zařízeních Apple s Data Protection je každý soubor nebo jeho rozsah chráněn vlastním klíčem zabaleným do další hierarchie klíčů; rychlé odstranění vyššího klíče může učinit soubory kryptograficky nedostupnými bez nutnosti postupně přepisovat celý flash.[8]
To obrací původní intuici. U starého disku jsme se ptali hlavně, zda se obsah přepsal. U moderního zařízení se musíme ptát také, zda existuje cesta od fyzických buněk přes řadič, souborový systém a klíče až k čitelnému artefaktu. Přítomnost, adresovatelnost a čitelnost jsou tři různé vlastnosti.
03 / Mobilní ekosystémTelefon není malý pevný disk
Na telefonu se podstatná část významných dat nenachází jako samostatné dokumenty s názvem, cestou a ikonou. Je uložena v aplikačních databázích, konfiguračních souborech, protokolech, mezipamětech, databázových žurnálech a úložištích spravovaných operačním systémem. „Smazaná zpráva“ proto nemusí být soubor. Může to být řádek, několik propojených tabulek, záznam ve WAL souboru, příloha v jiné cestě a náhled v cache.
SQLite, používané v nespočtu aplikací, samo dokumentuje, že běžné odstranění obsahu obvykle neznamená okamžité vymazání původních bajtů; prostor se označí pro další použití. Příkaz VACUUM databázi znovu sestaví a může z ní odstranit stopy smazaného obsahu, zatímco režim secure_delete mění způsob, jakým se uvolněný obsah přepisuje. Současně mohou existovat rollback journal nebo WAL, v němž se ukládají další verze databázových stránek.[5]
Ani věta „VACUUM odstraní stopy“ proto neznamená „na celém telefonu už žádná související stopa neexistuje“. Popisuje chování konkrétní databáze. Kopie stejného obsahu může přežít v souborovém systému, v jiné databázi, záloze, notifikaci, vyhledávacím indexu, příloze nebo synchronizovaném účtu.
Do toho vstupuje šifrování. Android od verze 7 podporuje file-based encryption a zařízení uvedená s Androidem 10 a vyšším ji musí používat; soubory mohou být chráněny různými klíči a uživatelská data se dělí mimo jiné na úložiště dostupné před a až po odemčení uživatele.[7] U iOS a iPadOS je přístup k obsahu provázán s hierarchií per-file klíčů, tříd ochrany, Secure Enclave a stavem zařízení.[8] Výsledek akvizice proto může dramaticky záviset na tom, zda je telefon právě zapnutý, odemčený, po restartu, jaká metoda je dostupná a co dovoluje konkrétní kombinace hardwaru a systému.
Nález v telefonu nemusí vzniknout v telefonu
Synchronizace rozbíjí intuitivní rovnici „je to v zařízení, tedy to na zařízení vytvořil jeho uživatel“. Návrh aktualizovaných doporučení SWGDE z června 2026 výslovně upozorňuje, že artefakt nalezený na Androidu mohl pocházet z jiného zařízení přihlášeného ke stejnému účtu Google. Dokument je v době vydání tohoto článku návrhem zveřejněným k připomínkám, nikoli finální normou; popsaný problém provenience je však technicky zásadní.[6]
Stejný princip platí šířeji. Fotografie mohla být automaticky stažena, zpráva obnovena ze zálohy, historie prohlížeče synchronizována, miniatura vytvořena při procházení vzdáleného alba a kontakt přenesen při migraci. Fyzické umístění artefaktu odpovídá místu, kde byl nalezen. Nemusí samo o sobě odpovídat místu, kde vznikl, ani člověku, který jej inicioval.
04 / Jazyk výsledkuČtyři významy slova „obnovené“
Slovo „obnova“ zakrývá rozdíly, které by v laboratoři měly zůstat viditelné. NIST popisuje tři běžné technické rodiny: obnovu opřenou o metadata souborového systému, carving podle charakteristických struktur souboru a obnovu smazaných záznamů uvnitř aplikačních formátů, například databází.[1] V praxi je užitečné přidat ještě čtvrtou kategorii: odvozenou kopii, která není původním objektem, ale jeho technickým potomkem.
1. Soubor obnovený podle metadat
Pokud zůstaly použitelné struktury souborového systému, lze někdy propojit obsah s původním názvem, cestou a dalšími údaji. To je kontextově bohatší než samotný carving. Ani zde ale název účtu nebo adresáře automaticky neprokazuje autora obsahu, vědomost o souboru ani přesný okamžik smazání. Časová razítka mohou mít různé významy, měnit se kopírováním a být ovlivněna časovým pásmem či chováním aplikace.
2. Soubor vyřezaný z nealokovaného prostoru
File carving hledá typické hlavičky, patičky nebo vnitřní strukturu známého formátu bez spoléhání na původní souborová metadata. Dokáže najít hodnotný obsah, ale často ztrácí jeho jméno, cestu a vztah k ostatním objektům. Je-li soubor fragmentovaný nebo částečně přepsaný, výsledek může být neúplný; v krajním případě může obsahovat části různých původních objektů. NIST uvádí právě riziko chybějících dat a spojení nesouvisejícího materiálu jako známé omezení obnovy.[1]
3. Smazaný databázový záznam
Záznam může nést identifikátor kontaktu, text zprávy, příznak smazání nebo časovou hodnotu. Jeho význam však závisí na správném rozpoznání schématu konkrétní verze aplikace. Číslo může být čas v sekundách, milisekundách, lokálním čase nebo interní pořadí. Hodnota může patřit k jinému řádku po částečném přepsání. Parser, který kdysi odpovídal verzi aplikace, může po aktualizaci interpretovat stejné pole chybně.
4. Náhled, cache nebo synchronizovaná kopie
Miniatura může přežít originál a přitom vypadat jako jeho menší, přesvědčivá verze. Cache může vzniknout automatickým načtením, přednačtením nebo synchronizací. Takový nález může dokazovat, že určitá komponenta systému obsah zpracovala. Nemusí dokazovat, že jej člověk vědomě otevřel, vytvořil nebo dokonce viděl. To závisí na mechanismu konkrétní aplikace a na podpůrných stopách.
Rozdíl nevytvořila fotografie. Vytvořila ho cesta, kterou se na obrazovku dostala.
05 / Epistemická hraniceOd bajtů k člověku vede několik mostů
Digitální nález začíná poměrně nízko: určitá sekvence bajtů existuje v konkrétním zdroji akvizice. Software z ní může rozpoznat strukturu JPEG, SQLite záznam, plist, protokol nebo časovou hodnotu. Teprve potom přichází otázka, co tento artefakt znamená jako událost — a až nakonec, zda lze událost spojit s člověkem, vědomostí a úmyslem.
Tyto úrovně se v běžném vyprávění snadno sloučí. „V cache prohlížeče byl obrázek“ se změní na „uživatel navštívil stránku“. „V databázi byl záznam zprávy“ se změní na „majitel telefonu zprávu napsal“. „Soubor byl v adresáři účtu“ se změní na „majitel účtu ho tam uložil“. Každý z těchto závěrů může být správný. Žádný však není obsažen pouze v první větě.
U fotografie lze například přímo popsat, že určitá posloupnost bajtů odpovídá dekódovatelnému JPEG a byla nalezena na daném offsetu. Lze uvést rozměry, případná interní metadata a míru úplnosti. Pokud chybí souborový záznam, není poctivé automaticky doplnit původní název či cestu. Pokud je uvnitř EXIF uveden model fotoaparátu, jde o údaj uložený v souboru — nikoli nezpochybnitelné potvrzení, že právě tímto přístrojem a konkrétní osobou byl snímek pořízen. Metadata lze měnit, odstranit i přenést kopírováním.
U času je hranice ještě ostřejší. Jedno číslo může vyjadřovat vytvoření objektu v aplikaci, modifikaci souboru, synchronizaci, import, čas serveru nebo okamžik, kdy systém vytvořil náhled. Teprve dokumentace, testování stejné verze aplikace a porovnání s dalšími stopami dovolují určit, co dané pole skutečně reprezentuje.
Jak udržet pozorování a závěr od sebe
Tato zdrženlivost neoslabuje důkaz. Naopak ukazuje, kde je silný. Nález může velmi přesvědčivě dokládat existenci určitého obsahu v konkrétní vrstvě systému, i když neprokazuje autora. Jindy může kombinace databázového záznamu, aplikačního logu, síťové komunikace, systémové události a uživatelské interakce vytvořit mnohem silnější závěr. Rozhodující není počet barevných položek v reportu, ale to, zda společně vysvětlují tentýž mechanismus a zda existují rozumné alternativy.
06 / AutomatizaceNástroj není svědek. Je to překladatel.
Forenzní software dokáže během hodin zpracovat objem dat, který by člověk ručně procházel měsíce. Rozpoznává formáty, rekonstruuje databáze, seskupuje komunikaci, normalizuje časy a skládá časové osy. Právě tato síla ale vytváří iluzi, že položka v grafickém rozhraní je přímým otiskem reality.
Není. Je výsledkem algoritmu, pravidla parseru, databáze signatur, nastavení a verze nástroje. Dva programy mohou stejné bajty pojmenovat odlišně, jeden může artefakt přehlédnout a druhý jej načíst, třetí může špatně interpretovat změněné schéma aplikace. Aktualizace nástroje může z téže akvizice získat další položky; nový výsledek přitom neznamená, že se v důkazním obrazu mezitím objevila nová data. Změnila se schopnost je rozpoznat.
SWGDE proto doporučuje významné artefakty, kdykoli je to proveditelné, ověřovat: porovnat vzorek mezi více nástroji, dohledat surové umístění a ručně zkontrolovat, zda je obsah správně dekódován. Rozpory se nemají schovat, ale vysvětlit a dokumentovat. Stejný dokument upozorňuje, že nástrojem vytvořená časová osa je obvykle jen výřez z rozpoznaných a parsovaných dat, nikoli úplný seznam všeho, co se na zařízení stalo.[6]
Samostatnou roli má hash. Kryptografický otisk je výborný pro ověření, že analyzovaná kopie zůstala bitově stejná, případně že dva objekty mají totožný obsah. NIST jej řadí k základním mechanismům integrity a uchování digitálního důkazu.[10] Hash ale neříká, že akvizice zachytila všechno, co bylo technicky dostupné. Neověřuje správnost parseru. Neprokazuje význam časového pole. A už vůbec neautorizuje skok od souboru k úmyslu člověka.
Můžeme dokonale prokázat, že jsme nezměnili kopii — a přesto se mýlit v tom, co její obsah znamená.
Digitální chyby navíc často nejsou náhodné. Pokud parser zaměňuje význam určitého pole, může stejnou chybu opakovat konzistentně ve stovkách položek. Výsledek pak působí systematicky, přehledně a přesvědčivě. SWGDE proto staví důvěru na zmírňování chyb: ověřených metodách, testování, znalosti omezení, lidské kontrole a správné interpretaci — nikoli pouze na pověsti nástroje nebo na skutečnosti, že „report se vygeneroval bez chyby“.[9]
07 / Jazyk jistotyJak zní poctivý forenzní závěr
Rozdíl mezi přesným a přehnaným tvrzením často nevypadá dramaticky. Tvoří ho několik slov, která oddělí pozorování od inference. Právě tato slova však určují, zda zpráva popisuje data, nebo doplňuje příběh, který data sama nenesou.
„Uživatel dne 12. května ve 22:14 smazal fotografii.“
„V nealokovaném prostoru akvizice byl pomocí file carvingu identifikován dekódovatelný JPEG. Původní záznam souborového systému, název a cesta nebyly nalezeny. Čas obsažený v interních metadatech souboru nelze bez další koroborace ztotožnit s okamžikem smazání ani z něj určit osobu, která operaci provedla.“
Druhá věta není „opatrnická“. Je informačně bohatší. Říká, jakou metodou byl objekt nalezen, kde se nacházel, co chybí a který závěr není podložen. Zároveň nijak nepopírá, že samotný obraz může být pro případ významný.
| Tvrzení | Co je může podpořit | Co samo nestačí |
|---|---|---|
| Obsah byl v akvizici | Umístění, surová data, reprodukovatelná extrakce, hash. | Pouhý screenshot nástroje bez vazby na zdroj. |
| Artefakt patří aplikaci | Cesta, schéma, identifikátory, test stejné verze, dokumentace. | Podobný vzhled nebo obecný název kategorie. |
| Událost nastala v určitý čas | Význam pole, časové pásmo, více nezávislých časových stop. | Jedno neověřené timestamp pole. |
| Jednal konkrétní člověk | Kontext účtu a zařízení, autentizace, interakce, další důkazy. | Samotná přítomnost souboru v zařízení nebo cloudu. |
| Data byla úmyslně zničena | Mechanismus výmazu, logy, časová posloupnost, okolnosti a alternativy. | To, že se data nepodařilo obnovit. |
Poslední řádek je obzvlášť důležitý. Nepřítomnost nálezu není automaticky důkazem zničení. Data mohla být přepsána běžným provozem, zůstat mimo rozsah akvizice, být šifrovaná, uložená vzdáleně, nepodporovaná parserem nebo nikdy v daném zařízení neexistovat. Stejně tak přítomnost artefaktu není automaticky důkazem vědomého jednání. Mohl vzniknout automaticky, synchronizací, obnovou zálohy nebo činností jiné komponenty.
Obě věty mají stejnou strukturu: technický stav není totéž co lidský příběh.
- Pojmenuj objekt. Celý soubor, fragment, databázový řádek, náhled, cache, záloha nebo log nejsou synonyma.
- Pojmenuj zdroj. Aktivní souborový systém, nealokovaný prostor, WAL, cloudový export a synchronizovaná kopie mají odlišnou provenienci.
- Pojmenuj metodu. Logická extrakce, full-file-system akvizice, carving a ruční parsing poskytují odlišný pohled.
- Pojmenuj mezeru. Chybějící cesta, neznámý význam času, neověřená verze aplikace nebo nemožnost určit původ jsou součástí výsledku.
Forenzní přesnost není soutěž o nejtvrdší větu. Je to schopnost přiřadit každému tvrzení právě takovou míru jistoty, jakou dovolují jeho opory.
08 / Návrat k obrazuStejná fotografie. Jiná věta.
Vraťme se do místnosti z úvodu. Na monitoru je pořád stejný snímek. Je stejně ostrý, stejně barevný a pro lidské oko stejně přesvědčivý. Změnil se pouze popis pod ním.
Na začátku zněl: „Obnovili jsme smazanou fotografii.“ Po přidání kontextu může znít jinak: „V nealokovaném prostoru byla rozpoznána obrazová data odpovídající JPEG. Soubor lze vykreslit, ale nebyla nalezena jeho původní adresářová položka. Neznáme původní název ani cestu. Nález může být původní soubor, jeho kopie nebo odvozený objekt; dostupná data sama neurčují, kdo jej vytvořil, kdo jej viděl ani kdo způsobil zánik původního odkazu.“
Druhá formulace je méně filmová. Neobsahuje okamžik triumfálního „návratu pravdy“. Obsahuje však něco cennějšího: hranici mezi tím, co bylo nalezeno, a tím, co si o nálezu teprve myslíme.
To neznamená, že digitálním stopám nemáme věřit. Znamená to věřit jim přesně. Celý soubor s ověřenou cestou, konzistentními metadaty, aplikačními záznamy a podpůrnými logy dovoluje jiný závěr než anonymní fragment. Jedna stopa může být slabá pro určení autora a současně silná pro prokázání existence obsahu. Nejistota není vypínač, který důkaz znehodnotí. Je to údaj o dosahu konkrétního tvrzení.
Veřejnost má ráda představu, že technika buď data obnoví, nebo neobnoví. Realita je méně čistá. Něco může přežít bez názvu. Název může přežít bez obsahu. Databázový záznam může přežít bez přílohy. Náhled může přežít bez originálu. Bajty mohou přežít bez klíče. A několik neúplných stop může společně vytvořit spolehlivější obraz než jediný dokonale vypadající soubor.
Nejtěžší část digitální forenziky nezačíná ve chvíli, kdy data chybějí. Začíná ve chvíli, kdy něco najdeme a musíme odolat nutkání doplnit zbytek.
Na monitoru tedy není minulost. Je tam její technický pozůstatek: někdy téměř celý, jindy deformovaný, odvozený nebo vytržený ze souvislostí. Hodnota analýzy nevzniká tím, že z něj udělá působivý příběh. Vzniká tím, že přesně ukáže, které části příběhu unesou data — a které už ne.
Forenzní poctivost nezačíná tím, co jsme dokázali obnovit. Začíná tím, co jsme odmítli domyslet.
Zdroje k dalšímu čtení
- John R. Lyle, Barbara Guttman, James Butler, Kelly Sauerwein, Christina Reed, Chris Lloyd — Digital Investigation Techniques: A NIST Scientific Foundation Review, NIST IR 8354 (2022).
Základní vědecká revize metod digitální forenziky; podporuje popis metadatové obnovy, file carvingu, obnovy aplikačních záznamů a známých limitů, včetně neúplných či chybně spojených dat.
https://doi.org/10.6028/NIST.IR.8354 - Scientific Working Group on Digital Evidence — Best Practices for Computer Forensic Examinations, SWGDE 18-F-001-2.0 (2025).
Podporuje požadavek zvažovat relevantní smazaná data v nealokovaném prostoru, file slacku, partition slacku a disk slacku a dokumentovat další kontext systému.
https://www.swgde.org/documents/published-complete-listing/18-f-001-2/ - Michael Wei, Laura Grupp, Frederick E. Spada, Steven Swanson — Reliably Erasing Data from Flash-Based Solid State Drives, FAST ’11 (2011).
Historická experimentální práce demonstrující, proč interní mapování flashových úložišť narušuje jednoduchý přenos mazacích postupů z HDD na SSD. Konkrétní naměřené hodnoty nejsou v článku zobecňovány na současná zařízení.
https://www.usenix.org/conference/fast11/reliably-erasing-data-flash-based-solid-state-drives - Ramaswamy Chandramouli, Eric Hibbard — Guidelines for Media Sanitization, NIST SP 800-88 Rev. 2 (2025).
Aktuální doporučení NIST k sanitizaci médií; podporuje definici sanitizace podle praktické neproveditelnosti přístupu a upozorňuje na moderní úložiště, jejich skrytou fyzickou kapacitu a propagaci dat.
https://doi.org/10.6028/NIST.SP.800-88r2 - SQLite Documentation — VACUUM, PRAGMA secure_delete a Write-Ahead Logging (průběžně aktualizovaná oficiální dokumentace).
Podporuje vysvětlení, že běžně smazaný obsah může zůstat v uvolněném prostoru databáze, jak se chová VACUUM a secure_delete a proč mohou vedle hlavního databázového souboru existovat journal či WAL data.
https://www.sqlite.org/lang_vacuum.html
https://www.sqlite.org/pragma.html#pragma_secure_delete
https://www.sqlite.org/wal.html - Scientific Working Group on Digital Evidence — Best Practices for Mobile Device Forensic Analysis, SWGDE 20-F-005-2.0, návrh verze 2.0 zveřejněný k připomínkám (23. června 2026).
Podporuje pasáže o rozdílných schopnostech nástrojů, nutnosti verifikace, neúplnosti automatických časových os, původu artefaktů ze synchronizovaných zařízení a vlivu stavu mobilního zařízení. V článku je výslovně uveden návrhový status dokumentu.
https://www.swgde.org/wp-content/uploads/2026/06/2026-06-23-Best-Practices-for-Mobile-Device-Forensic-Analysis-20-F-005-2.0.pdf - Android Open Source Project — File-based encryption (oficiální dokumentace, přístup 15. srpna 2026).
Podporuje popis file-based encryption v Androidu, oddělených klíčů a úložišť Device Encrypted a Credential Encrypted.
https://source.android.com/docs/security/features/encryption/file-based - Apple Platform Security — Data Protection in Apple devices (oficiální dokumentace).
Podporuje popis per-file/per-extent klíčů, hierarchie tříd ochrany, role Secure Enclave a kryptografického znepřístupnění dat odstraněním klíče.
https://support.apple.com/guide/security/data-protection-sece8608431d/web - Scientific Working Group on Digital Evidence — Establishing Confidence in Digital and Multimedia Evidence Forensic Results by Error Mitigation Analysis, SWGDE 12-Q-001-2.0 (2018).
Podporuje pasáže o zdrojích systematických chyb, validovaných metodách, testování, lidském dohledu a nutnosti správné interpretace výsledků automatizovaných nástrojů.
https://www.swgde.org/documents/published-complete-listing/12-q-001-swgde-establishing-confidence-in-digital-and-multimedia-evidence-forensic-results-by-error-mitigation-analysis/ - Barbara Guttman a kol. — Digital Evidence Preservation, NIST IR 8387 (2022).
Podporuje roli hashování, forenzních kopií, integrity a dlouhodobého uchování digitálních důkazů. Rozlišení mezi integritou kopie a správností její interpretace je v článku redakční analytický závěr.
https://doi.org/10.6028/NIST.IR.8387
Komentáře
Máte názor nebo doplňující zdroj? Přidejte komentář.
Diskuze zatím neaktivní. Na této stránce čekáme na nastavení Giscus proměnných PUBLIC_GISCUS_REPO, PUBLIC_GISCUS_REPOSITORY_ID, PUBLIC_GISCUS_CATEGORY a PUBLIC_GISCUS_CATEGORY_ID.