บทที่ 9 — ห่วงโซ่การครอบครองพยานหลักฐาน
อัยการในรัฐแมริแลนด์มีหลักฐานอยู่ในมือ: หน้าเว็บที่พิมพ์ออกมาจากโปรไฟล์ MySpace ชื่อ "Sistasouljah" ในนั้นมีคำข่มขู่ พร้อมภาพถ่ายและวันเกิดที่ตรงกับแฟนสาวของจำเลย เขาต้องการให้คณะลูกขุนเห็นว่าเธอข่มขู่พยานคนหนึ่ง
ศาลอุทธรณ์แห่งรัฐแมริแลนด์ไม่รับหลักฐานชิ้นนี้ คำพิพากษาถูกกลับ มีคำสั่งให้พิจารณาคดีใหม่ [ESTABLISHED] เหตุผลตามคำวินิจฉัย: ศาลชั้นต้นไม่ได้พิจารณาว่าคนอื่นอาจสร้างโปรไฟล์นั้นหรือเขียนโพสต์นั้นได้ หน้าเว็บเหล่านั้นจึงไม่ผ่านการรับรองความแท้อย่างถูกต้อง (Griffin v. State, 419 Md. 343 (2011) — คำวินิจฉัยฉบับเต็ม)
จากนั้นศาลทำสิ่งที่ช่วยได้มากผิดจากปกติ: บอกว่าอะไรจะเพียงพอ คำให้การจากคนที่สร้างโปรไฟล์นั้น การตรวจพิสูจน์ทางนิติวิทยาศาสตร์คอมพิวเตอร์ของคนคนนั้นเอง หรือบันทึกที่ขอตรงจากแพลตฟอร์ม ซึ่งผูกบัญชีและโพสต์เข้ากับบุคคลหนึ่งโดยเฉพาะ
นั่นคือบรรทัดฐานที่อ้างอิงได้ดีที่สุดในหนังสือเล่มนี้ สำหรับประโยคเดียวที่นักสืบสวนทุกคนต้องสลักไว้ด้านในกะโหลกของตัวเอง:
ภาพหน้าจอไม่ใช่หลักฐาน มันคือภาพถ่ายของหลักฐาน
ไม่มีสิ่งใดในภาคที่ 2 เปลี่ยนเรื่องนี้ เครื่องจักรที่อ่านข้อความนับล้านแล้วพบข้อความเดียวที่สำคัญ ผลิตได้แค่เบาะแส สิ่งที่ทำให้ข้อความนั้นรับฟังเป็นพยานหลักฐานได้ คือกลไกน่าเบื่อที่บทนี้อธิบายไว้ทั้งหมด กลไกขาดไป ข้อค้นพบก็ไร้ค่า ต่อให้ถูกต้องเพียงใดก็ตาม
ห่วงโซ่การครอบครองพยานหลักฐานมีไว้เพื่ออะไร
หน้าที่ของมันแคบและเจาะจง: สร้างบันทึกที่ไม่ขาดตอนและมีเอกสารรองรับว่าใครครอบครองพยานหลักฐานชิ้นนั้นในทุกจุด ตั้งแต่ยึดจนถึงชั้นศาล ข้อโต้แย้งเรื่องปนเปื้อนหรือปลอมแปลงจึงถูกปิดประตูไปเลย ไม่ต้องมาเถียงกัน
สำหรับวัตถุดิจิทัล ข้อกำหนดเข้มกว่าวัตถุทางกายภาพ ด้วยเหตุผลเดียว: ไฟล์ถูกคัดลอก แก้ไข หรือย้ายได้โดยไม่ทิ้งร่องรอยที่มองเห็นได้เลย เอกสารที่ถูกปลอมแปลงหน้าตาเหมือนเอกสารที่ไม่ถูกปลอมแปลงทุกประการ บันทึกคือสิ่งเดียวที่คั่นระหว่างสองสิ่งนั้น [ESTABLISHED] (การวิเคราะห์โดยผู้ปฏิบัติงาน)
ในทางปฏิบัติ ห่วงโซ่ขาดด้วยเรื่องเหล่านี้: ส่งต่อระหว่างคนโดยไม่ลงบันทึก ไม่ตรวจค่าแฮชที่จุดส่งมอบ คัดลอกหรือเปิดพยานหลักฐานบนอุปกรณ์ที่ไม่มีการป้องกันการเขียน และไม่มีบันทึกว่าใครเข้าถึงไฟล์เมื่อใด ข้อเดียวในนี้ก็พอให้ศาลไม่รับพยานหลักฐานชิ้นนั้นทั้งชิ้น — โดยไม่เกี่ยวเลยว่าพยานหลักฐานนั้นจะแสดงอะไร [ESTABLISHED]
หยุดอยู่กับประโยคนั้นสักครู่ พยานหลักฐานอาจไร้ที่ติทางวิทยาศาสตร์ ถูกต้องตามข้อเท็จจริง และชี้ขาดคดีได้ แต่ก็ยังไร้ค่าเพราะช่องว่างเดียวในบันทึก ปี 1971 คำพิพากษาคดีข่มขืนถูกกลับเพราะห่วงโซ่การครอบครองพยานหลักฐานขาดตอน หลักการนี้ไม่เคยผ่อนลงนับแต่นั้น [ESTABLISHED] (สิ่งพิมพ์ของคณะนิติศาสตร์ Case Western)
บทที่ 3 ใช้ทั้งบทไปกับคำถามว่าสาขานิติวิทยาศาสตร์ใดใช้ได้จริงในทางวิทยาศาสตร์ บทนี้เถียงว่าคำถามนั้นอยู่ปลายน้ำของคำถามที่พื้นฐานกว่า และคำถามพื้นฐานกว่านั้นตอบด้วยงานเอกสาร
กลไก
การทำแฮช คือห่วงโซ่การครอบครองพยานหลักฐานทั้งเส้นบีบลงเหลือตัวเลขเดียว และเป็นการป้องกันที่ถูกที่สุดในสายงานนี้ คำนวณค่าแฮชเชิงเข้ารหัสของพยานหลักฐานตอนได้มา บันทึกไว้ แล้วคำนวณใหม่ทุกจุดส่งมอบ ค่าตรงกัน วัตถุนั้นเหมือนของที่ยึดมาทุกบิต ค่าไม่ตรง คุณรู้แม่นยำว่ามันเปลี่ยนเมื่อใด
ตัวกันเขียน (write blocker) เชื่อถือได้เท่ากับการตรวจสอบความถูกต้องของตัวมันเองเท่านั้น — นั่นคือจุดอ่อนที่ผู้ปฏิบัติงานระบุไว้และควรพูดซ้ำ ตัวมันคืออุปกรณ์ฮาร์ดแวร์หรือซอฟต์แวร์ที่กันคำสั่งเขียนไม่ให้ไปถึงสื่อต้นฉบับระหว่างทำสำเนาภาพ กลไกนี้เองที่ให้ผู้ตรวจพิสูจน์ยืนยันได้ว่าสำเนาเหมือนต้นฉบับทุกประการ ตัวกันเขียนที่ไม่ได้รับการรับรองและไม่ผ่านการตรวจสอบจึงไม่ใช่หลักประกัน มันคือข้อต่ออีกข้อในห่วงโซ่ที่ไม่มีใครตรวจ [ESTABLISHED] (ElcomSoft)
มาตรฐานที่กำกับดูแล NIST Special Publication 800-101 Revision 1 ครอบคลุมนิติวิทยาศาสตร์อุปกรณ์เคลื่อนที่: การตรวจสอบความถูกต้อง การเก็บรักษา การได้มา การตรวจสอบ การวิเคราะห์ การรายงาน รวมถึงวิธีทางกายภาพอย่าง chip-off และ JTAG ส่วน NIST SP 800-86 ครอบคลุมการผนวกเทคนิคนิติวิทยาศาสตร์เข้ากับการตอบสนองต่อเหตุการณ์ แบ่งเป็นสี่ขั้นตอน
ขอบเขตของเอกสารคือจุดที่คนอ่านพลาดบ่อยที่สุด: SP 800-86 เขียนขึ้นสำหรับการตอบสนองต่อเหตุการณ์ด้าน IT ไม่ใช่สำหรับพยานหลักฐานทางอาญา จะยกมันขึ้นเป็นมาตรฐานในชั้นศาลได้ ต้องเสริมด้วยแนวปฏิบัติห่วงโซ่การครอบครองพยานหลักฐานทางกฎหมายจริง ไม่ใช่ตัวเอกสารเดี่ยวๆ อีกข้อหนึ่ง Revision 1 ของ 800-101 มาแทนที่เอกสารฉบับก่อนหน้าที่ครอบคลุมเฉพาะโทรศัพท์มือถือ — แนวทางทางนิติวิทยาศาสตร์ล้าสมัยเร็วเท่าที่อุปกรณ์เปลี่ยน [ESTABLISHED] (SP 800-101r1; SP 800-86)
เครื่องมือเหล่านี้ไม่ใช่เวทมนตร์ และขีดจำกัดของมันคือส่วนที่น่าสนใจ
ผลิตภัณฑ์เชิงพาณิชย์สองตัวครองการดึงข้อมูลจากอุปกรณ์เคลื่อนที่: UFED ของ Cellebrite และ GrayKey คนมักพูดถึงทั้งสองราวกับเปิดอะไรก็ได้ ไม่มีตัวไหนทำได้
GrayKey ทำงานแบบขึ้นอยู่กับช่องโหว่ — นั่นคือประเด็นทั้งหมดของสถาปัตยกรรมมัน มันข้ามรหัสผ่านบนอุปกรณ์ที่ล็อกอยู่ และดึงข้อมูล keychain ได้ในบางการตั้งค่าที่รองรับ วิธีทำงานคืออาศัยข้อบกพร่องที่ไม่เปิดเผย และการอัปเดตความปลอดภัยของ Apple แต่ละครั้งปิดช่องที่กำลังใช้อยู่ — เกิดช่วงเวลาที่ iPhone รุ่นใหม่เข้าไม่ได้เลยจนกว่าจะพบช่องโหว่ใหม่ บันทึกของศาลบันทึกความล้มเหลวต่อ iOS ที่อัปเดตแล้ว [ESTABLISHED] (การวิเคราะห์ทางกฎหมายเรื่องประสิทธิผลของ GrayKey)
Cellebrite รองรับอุปกรณ์กว้าง ทั้งการดึงข้อมูลเชิงตรรกะ เชิงกายภาพ และจากคลาวด์ แต่ประสิทธิผลต่อ iOS สมัยใหม่ก็ตกลงเช่นกันตลอดปี 2025–2026 มีรายงานว่าส่วนแบ่งการรับรู้ในตลาดลดลงทุกปีเมื่อการเข้ารหัสแข็งขึ้น [CONTESTED] — ตัวเลขด้านตลาดมาจากเว็บไซต์เปรียบเทียบ ไม่ใช่แหล่งที่ผ่านการตรวจสอบ
ข้อเท็จจริงที่ใช้งานได้จริงที่สุดของเครื่องมือทั้งสองมีอยู่ข้อเดียว: สถานะของอุปกรณ์เป็นตัวตัดสินทุกอย่าง โทรศัพท์ที่ถูกยึดในสถานะ Before First Unlock (BFU — ยังไม่เคยถูกปลดล็อกนับตั้งแต่เปิดเครื่อง) คือเครื่องที่ปิดอยู่ เข้าถึงยากกว่ามากเมื่อเทียบกับสถานะ After First Unlock (AFU) ที่กุญแจถอดรหัสยังค้างอยู่ในหน่วยความจำ การปิดเครื่องจึงถูกอธิบายว่าเป็นมาตรการตอบโต้ที่มีประสิทธิภาพสูง [ESTABLISHED]
เรื่องนี้บาดทั้งสองด้าน และคุณต้องถือไว้ทั้งสอง ทีมจับกุมจึงต้องการโทรศัพท์ที่ปลดล็อกแล้วและอยู่ในมือ อาชญากรที่รีสตาร์ทโทรศัพท์ของตัวเองจึงเอาชนะเครื่องมือราคาหลายหมื่นดอลลาร์ของกองกำลังตำรวจไปได้เป็นส่วนใหญ่
บรรทัดฐานที่ไม่เคยเกิดขึ้น
เดือนกุมภาพันธ์ 2016 กระทรวงยุติธรรมสหรัฐฯ ได้คำสั่งศาลให้ Apple สร้างซอฟต์แวร์ข้ามระบบความปลอดภัยของ iPhone 5C ที่หนึ่งในผู้ก่อเหตุ San Bernardino ใช้ Apple ปฏิเสธ ด้วยข้อโต้แย้งว่าการสร้างความสามารถเช่นนั้นขึ้นมาก็คือความเสียหายในตัวมันเองแล้ว
คดีนี้ไม่ได้ผลิตกฎหมายใดออกมาเลย แม้ทุกคนจะจำมันในฐานะคดีสำคัญ วันที่ 30 มีนาคม 2016 FBI ประกาศว่าเข้าถึงโทรศัพท์เครื่องนั้นได้แล้วด้วยเครื่องมือจากบุคคลที่สาม — มีรายงานว่าราคาราวหนึ่งล้านดอลลาร์ — แล้วถอนคำร้องของตน ไม่เคยมีคำวินิจฉัยใดเกิดขึ้นเลยว่า Apple สามารถถูกบังคับได้หรือไม่ คำถามนี้ยังเปิดอยู่ [ESTABLISHED] (NPR)
เรื่องนี้สำคัญในทางปฏิบัติ ไม่ใช่แค่ทางประวัติศาสตร์ กฎหมายเรื่องบังคับให้ช่วยถอดรหัสยังไม่นิ่งในเขตอำนาจศาลส่วนใหญ่ ใครวางแผนสืบสวนบนสมมติฐานว่าอุปกรณ์ที่ล็อกจะถูกเปิดได้ในที่สุด จึงกำลังวางแผนอยู่บนความหวัง
สิ่งนี้หมายความว่าอย่างไรสำหรับการสืบสวนที่ใช้เครื่องจักรช่วย
ทุกสิ่งในภาคที่ 2 ทำงานบนสำเนา บทนี้บอกว่าสำเนานั้นต้องเป็นอย่างไร
กลุ่มเรื่องร้องเรียนฉ้อโกงสามร้อยเรื่องคือข้อค้นพบเชิงวิจัย พยานหลักฐานคือเรื่องร้องเรียนสามร้อยเรื่องนั้นเอง แต่ละเรื่องต้องมีอยู่ในฐานะวัตถุพยานที่ถูกจัดเก็บ ทำแฮช และลงบันทึก และท่องไล่ที่มาที่ตรวจสอบได้ของมันได้ — ไม่อย่างนั้นกลุ่มนั้นก็ชี้ไปที่สิ่งที่คุณใช้อะไรไม่ได้เลย
กระบวนการนี้จึงมีลำดับ และไม่ใช่ลำดับที่คนทำงานกันตามธรรมชาติ:
- จัดเก็บและทำแฮช ก่อนการวิเคราะห์ ไม่ใช่หลังจากที่คุณพบสิ่งที่น่าสนใจแล้ว
- วิเคราะห์สำเนา ไม่ใช่ต้นฉบับเด็ดขาด และบันทึกไว้ว่าเป็นสำเนาชุดใด
- ผลลัพธ์ทุกชิ้นจากเครื่องจักรต้องย้อนกลับไปหาวัตถุต้นทางที่ผ่านการทำแฮชได้ — กฎการอ้างอิงจากบทที่ 4 ตอนนี้มีข้อกำหนดเพิ่มเติมว่าเอกสารที่ถูกอ้างถึงนั้นต้องถูกเก็บรักษาไว้ด้วย
- บันทึกการส่งต่อทุกครั้ง รวมถึงการส่งเข้าและออกจากระบบ AI ใด ๆ เพราะนั่นคือเหตุการณ์ด้านการครอบครองพยานหลักฐานเช่นเดียวกับเหตุการณ์อื่น และเป็นเหตุการณ์เดียวที่ไม่มีใครบันทึกไว้ในปัจจุบัน
ข้อสี่คือจุดที่แนวปฏิบัติปัจจุบันอ่อนที่สุด และเป็นจุดที่ผมคาดว่าการท้าทายจริงจังครั้งแรกต่อการสืบสวนที่ใช้เครื่องจักรช่วยจะลงมา ทนายจำเลยถามว่าโมเดลรุ่นใดประมวลผลพยานหลักฐาน อินพุตของมันคืออะไร วัตถุออกนอกเขตอำนาจศาลหรือไม่ และใครแก้ไขมันระหว่างส่งต่อได้บ้าง องค์กรส่วนใหญ่วันนี้ไม่มีคำตอบ สร้างบันทึกก่อนใครถามนั้นถูก สร้างมันขึ้นใหม่ระหว่างถูกซักค้านนั้นเป็นไปไม่ได้
ท่าประจำบท — ทำแฮชตั้งแต่ตอนได้มา เสมอ ก่อนที่คุณจะดูมัน วินาทีที่วัตถุใดเข้ามาอยู่ในความครอบครองของคุณ คำนวณและบันทึกค่าแฮชเชิงเข้ารหัสของมัน พร้อมวันที่ แหล่งที่มา และวิธีที่ได้มา — ก่อนอ่าน ก่อนสนใจ ก่อนรู้ด้วยซ้ำว่ามันสำคัญหรือไม่ วัตถุจะน่าสนใจหลังจากคุณเริ่มทำงานกับมันแล้ว และถึงตอนนั้นบันทึกการได้มาก็สร้างอย่างซื่อสัตย์ไม่ได้อีก นิสัยสามสิบวินาทีนี้ตัดสินว่างานหลายเดือนจะใช้ได้หรือไม่
อะไรจะทำให้ผมเปลี่ยนใจ: ศาลเริ่มรับข้อค้นพบจากเครื่องจักรเป็นประจำโดยไม่ต้องการวัตถุต้นทางและที่มาที่ตรวจสอบได้ของมัน เมื่อนั้นความเข้มงวดที่เถียงไว้ตรงนี้ก็เป็นการออกแบบเกินจำเป็น แต่แนวโน้มเท่าที่บันทึกแสดงวิ่งไปทางตรงข้าม — Griffin อายุสิบห้าปีแล้ว และข้อกำหนดด้านการรับรองความแท้สำหรับวัตถุดิจิทัลเข้มขึ้นนับแต่นั้น ไม่ใช่ผ่อนลง
บทถัดไป · 11 / 19บทที่ 10 — การปลอมแปลง