APLICAIILE CRITERIULUI ENF N ANALIZA CRIMINALISTIC AUDIO, VIDEO, IT I TELECOMUNICAII Ctlin GRIGORAS, PhD, Expert criminalist

Institutul National de Expertiza Criminalista, Bucuresti, Romania

Abstract Acest articol prezinta metodologia de aplicare a Criteriului ENF in expertiza inregistrarilor audio, video, a tehnicii de calcul si mijloacelor de telecomunicatii. Sunt prezentate fenomenele care determina variatiile ENF. In cele mai multe situatii, pentru a stabili o opinie de neautenticitate, sunt suficiente analiza vizuala a spectrogramelor si analiza comparativa a acestora cu o baza de date. O investigare mai detaliata in domeniul timp necesita masuratori si analize pe ferestre scurte de timp. Sunt prezentate rezultatele obtinute in diferite orase din aceeasi retea electrica, precum si doua cazuri in care Criteriul ENF a fost utilizat in expertiza inregistrarilor digitale audio si video. Prin aplicarea Criteriului ENF in expertiza inregistrarilor audio, video, a tehnicii de calcul si mijloacelor de telecomunicatii se poate stabili autenticitatea probelor audio si video digitale ce contin ENF. CUVINTE CHEIE criteriul ENF (Electrical Network Frequency - Frecventa retelei electrice), autentificari criminalistice audio, video, autentificari audio, autentificari video, inregistrari audio/video. Introducere In ultimii ani am asistat la o crestere semnificativa a numarului de incercari de a folosi probe digitale audio/video in fiecare sector de litigii si justitie penala. Si, in vreme ce exista proceduri bine stabilite si eficiente pentru evaluarea autenticitatii inregistrarilor analoge (vezi Dean 1991, French 1993, Koenig 1990, Molero 2001 si Owen 2003 asupra analizei tranzientilor alternanti si a modelelor magnetice), este binecunoscut faptul ca inregistrarile digitale pot fi editate sau falsificate in moduri care provoaca atentia examinatorului criminalist (vezi Cooper 2005). Prezentul articol propune o noua metoda de analiza a inregistrarilor digitale. Este o metoda care va dezvalui inregistrarile ca fiind falsuri in cazurile in care ar putea altfel sa treaca testul ca inregistrari autentice de evenimente. Frecvena reelei electrice Atunci cand echipamentul digital (computer, inregistrator minidisc, inregistrator digital audio, camera video digitala, sistem secret de supraveghere etc.) este folosit pentru a inregistra o conversatie sau un eveniment, capteaza nu numai discutia intentionata si ci frecventa de retea electrica de 50/60 Hz (ENF). Acest lucru se intampla daca instrumentul de inregistrare este conectat la reteaua principala si folosit in absenta unui regulator ideal de voltaj. Cu toate acestea, echipamentul s-ar putea sa capteze ENF si daca este alimentat cu baterii si folosit intr-un mediu construit sau in apropierea altor echipamente alimentate la reteaua principala sau cabluri de transmisie.

111

Figura 1 infatiseaza forma de unda, spectrul, cascada si spectrograma unui semnal ideal de 50 de Hz.

a) Forma de unda

b) Spectrul Figura 1 Forma de unda a), spectrul b), cascada c) si spectrograma d) unui semnal ideal de 50 Hz.

112

c) Cascada

d) Spectrograma

a) Forma de unda

113

b) Spectrul (FFT) Figura 2 Forma de unda a), spectrul b) , cascada c) si spectrograma d) unui semnal real de 50 Hz.

c) Cascada

d) Spectrograma Intr-o retea electrica reala ENF nu este fixat precis la 50 Hz. Cu timpul, variatiile de frecventa apar inevitabil, in principal din cauza diferentelor intre energia produsa si cea consumata. In Figura 2 este prezentata o analiza ENF reala. Desi forma de unda si FFT pot fi folosite pentru a examina periodicitatea semnalului in ferestre scurte de timp, mai multe informatii cu privire la variatia in timp pot fi derivate din spectrograma 3D (asanumita cascada) si spectrograma 2D. Aici se poate observa o istorie in mod continuu adusa la zi a valorilor de varf de-a lungul timpului, adica o reprezentare curgatoare a variatiei temporale in cadrul ENF. Dupa ce am analizat variatia ENF de-a lungul unei perioade de sase luni, este clar ca nu exista un model previzibil; fluctuatia in timp in jurul a 50 Hz este pur aleatorie. Ca exceptii la aceasta pot fi considerate anumite evenimente care au loc in timpul
114

operatiunilor de intretinere sau punerii in functiune/scoaterii din functiune a componentelor retelei seara (dupa 11:00 PM GMT) si dimineata (inainte de 7:00 AM GMT). Chiar si asa, forma lor sau valorile nu pot fi prevazute. In aceste situatii numai prezenta lor poate fi prevazuta, in timpul zilelor lucratoare. Grila de electricitate poate avea o variatie de frecventa instantanee de pana la +/0,6 Hz pentru un interval de pana la 10 secunde. Atunci cand este masurata intr-un interval de 8- sau chiar 24 de ore, toleranta de frecventa este mult mai stransa. La orice moment, forma matematica a ENF poate fi reprezentata ca: f = [50f]Hz unde f reprezinta deviatia intre frecventa instantanee si frecventa de punct setata. Datorita propagarii undelor electromagnetice, intreaga retea electrica formata din sisteme interconectate, inclusiv toate sursele (statiile de curent) si incarcaturile (magazine, birouri, case, fabrici) , vor avea aceeasi frecventa, indiferent de punctul din retea in care aceasta este masurata. Dintr-un punct de vedere criminalistic, tocmai variatia continua a frecventei in timp impreuna cu stabilitatea sa in raport cu distanta furnizeaza o resursa puternica pentru efectuarea examinarilor de autenticitate ale inregistrarilor digitale. Conform recomandarilor Uniunii pentru producerea energiei electrice si coordonarea transporturilor (vezi UCPTE 1998), in conditii normale ENF este mentinuta in limite stricte iar frecventa de punct setat este in jur de 50 Hz. Exista trei tipuri de conditii de operare, bazate pe f. Daca f 50 mHz, conditiile sunt considerate normale. Daca f este intre 50 mHz si 150 mHz conditiile de operare sunt considerate defectuoase dar fara riscuri majore. Daca f > 150 mHz, conditiile de operare sunt considerate ca fiind grav defectuoase si exista riscuri semnificative de avarii de functionare a retelei electrice. Din punctul de vedere al instrumentatiei ingineresti, toate sistemele electrice si electronice contin surse de zgomot. Pentru a analiza ENF, sunt recomandate numai instrumente de probare cu nivele foarte reduse de zgomot si distorsionare. In practica, o placa de sunet cu un raport semnal/zgomot mai putin de -94 dB si distorsiune totala armonica de mai putin de 0,003 la suta va permite examinatorului sa capteze ENF fara erori si distorsionari semnificative. Semnalul poate fi captat prin intermediul unui filtru cu trecere de banda cu frecventele de intrerupere sub 49 Hz si mai sus de 51 Hz. Acest filtru elimina celelalte semnale, nerelevante, dar lasa componentul ENF nemodificat si intact pentru analiza (vezi Grigoras 2001, 2002, 2005). Experimente: stabilitatea intra-retea a variatiei ENF Primul set de teste a fost efectuat intre vara lui 1998 si toamna lui 2000 la diferite locatii din reteaua electrica a Romaniei (in laboratorul autorului, in alta parte in aceeasi cladire, in alta parte in acelasi oras si in diferite alte orase). Rezultatele au aratat ca pentru toti consumatorii, la orice moment in timp, valoarea ENF este aceeasi. Un dispozitiv electronic bazat pe un transformator cu un voltaj maxim varf-la-varf de 100 mV a fost conectat la o placa de sunet pe un computer personal. Pentru a inregistra si analiza semnalul audio s-a folosit pachetul software DCLive Forensics. Relatia spatiala intre cele trei orase testate este reprezentata in Figura 3. Distantele intre orase sunt de mai mult de 300 km. In ciuda acestui fapt, rezultatele obtinute au aratat un grad inalt de corelare. Un exemplu este oferit in Fig. 4. Formele generale ale spectrogramelor (CJ, IS si B) sunt foarte similare. Chiar daca o analiza mai detaliata a ENF in timp si domeniile spectrale au dezvaluit mici diferente, acestea au fost considerate ca fiind cauzate de zgomot exterior ENF si de diferente intre bordurile de testare utilizate la cele trei computere de testare (vezi Grigoras 2003).
115

Figura 3

Relatiile spatiale ale celor trei orase testate (B = Bucuresti, CJ = Cluj-Napoca, IS = Iasi)

Figura 4 Comparatia spectrografica a esantioanelor co-extensive temporal din trei orase: Cluj-Napoca, Iasi, Bucuresti Romania Al doilea set de teste a fost efectuat intre vara lui 2000 si primavara lui 2006 la diferite locatii din cadrul retelei electrice europene, inclusiv: Viena Austria, Paris Franta, Nisa Franta, Muenchen Germania, Saarbrucken Germania, Wiesbaden Germania, Atena Grecia, Budapesta Ungaria, Milano Italia, Roma Italia, Haga Olanda, Cracovia Polonia, Madrid Spania. Formele generale ale spectrogramelor sunt de asemenea foarte similare iar relatiile spatiale intre Bucuresti si trei orase sunt reprezentate in figurile 5-7. Aceste rezultate grafice sunt de la testele de validare inter-laboratoare Criteriul ENF efectuate de catre autor.

Figura 5

Comparatia spectrografica a esantioanelor temporal coextensive din Bucuresti si Madrid, la data de 23 ianuarie 2006, 12:29:-13:35 GMT
116

Figura 6

Comparatia spectrografica a esantioanelor temporal coextensive din Bucuresti si Roma, la data de 15 ianuarie 2006, 14:22:-15:22 GMT

Figura 7

Comparatia spectrografica a esantioanelor temporal coextensive din Bucuresti si Haga, la data de 1 decembrie 2005, 10:00:-14:00 GMT

Exemplu studiu de caz 1 Intr-un caz criminalistic autorului i s-a cerut sa analizeze o inregistrare digitala pentru a-i stabili autenticitatea si originalitatea. Inregistrarea consta intr-un fisier audio pe un CD in format WAV PCM la 8 KHz cu adancime de 16 biti. Continea mai bine de trei ore de conversatie intre doua persoane (vorbitorii A si B) si fusese facuta folosind un sistem de inregistrare instalat intr-o camera intr-o cladire de birouri. Sistemul permitea semnalului audio sa fie captat printr-un mic microfon electret. Semnalul era apoi amplificat si stocat pe hard discul unei agende PC. Vorbitorul A, care fusese anterior inregistrat de vorbitorul B prin acelasi sistem, a afirmat ca inregistrarea era alterata si ca data pretinsa a inregistrarii era incorecta; a indicat o alta data. Ambele date posibile au fost date autorului pentru investigatie. S-au facut verificari pentru a stabili ca furnizarea energiei electrice in reteaua principala fusese continua in perioada respectiva de timp, iar semnalul ENF prezent in inregistrare a fost comparat cu baza de date ENF pentru a determina daca exista vreo potrivire. Fisierul audio a fost analizat prin folosirea softului DCLive Forensics v5.03. A fost trecut la 120 Hz si filtrat prin trecere de banda (frecventa joasa=49 Hz, frecventa inalta = 51 Hz, panta = 24 dB/Octava, Butterworth). S-a computat o spectrograma (4096 puncte FFT) si s-a inspectat folosindu-se zoom vertical in jurul a 50 Hz. Spectrogramele 2D rezultate sunt prezente in figurile 5,6 si 7. Concluzia este ca proba nu fusese inregistrata la data pretinsa de vorbitorul B si ca existau potriviri semnificative cu data afirmata de vorbitorul A. Atunci cand s-a verificat continuitatea ENF raportat la materialul de referinta s-au revelat mai mult de zece discontinuitati majore. Vorbitorului A i s-a cerut sa asculte inregistrarea si sa indice intr-o transcriere insotitoare unde considera ca exista neregularitati. A indicat mai mult de douazeci de
117

stergeri ale unor cuvinte si expresii. Discontinuitatile in ENF pe care le descoperisem corespundeau punctelor pe care le-a indicat.

Figura 5 Analiza de caz real spectrograma ENF de la data afirmata de vorbitorul B

Figura 6 Analiza de caz real Inregistrare probatoare ENF

Figura 7 Analiza de caz real Spectrograma ENF de la data declarata de catre vorbitorul A

Exemplu de studiu de caz 2

118

Intr-un caz recent autorului I s-a solicitat sa analizeze o inregistrare audio/video pentru a-i stabili autenticitatea. Inregistrarea consta intr-un fisier MPG pe un CD in format MPEG2, cu rezolutie 720x576, 25 fps, audio 48 KHz, 16 biti, stereo. Cuprindea in jur de 19 minute de inregistrare audio si video efectuata intr-un sat numit Ciurea-Iasi, situat in partea de nord-est a Romaniei. Se stia ca inregistarea originala fusese efectuata cu o camera video 8 Sony si apoi digitizata in fisierul audio/video in chestiune. Se pretindea ca nu se facusera stergeri inainte, in timpul si dupa digitizare, iar proba reprezinta o copie a inregistrarii originale. Nu au fost disponibile nici o banda video analoga nici camera sau alte detalii pentru o examinare complexa. Figura 8 arata doua cadre din inregistrarea video in chestiune.

Figura 8

Doua cadre din inregistrarea audio/video in chestiune

Expertul si-a prezentat punctul de vedere cu privire la analiza video criminalistica si limitele intalnite in situatii similare iar intrebarea finala a fost stabilita ca fiind identificarea datei procesului de digitizare. Expertul a cerut data si ora inregistrarii originale si a procesului de digitizare. Ambele date posibile au fost date autorulului pentru investigare. Metodologia de examinare a probelor a fost aceeasi ca si in cazul precedent. Dupa extragerea canalelor audio s-au efectuat analizele folosind DC LIVE/Forensics v6.14 pe o platforma PC Windows XP. Pentru inregistrarea audio, analiza de faza a indicat faptul ca canalul din stanga si cel din dreapta sunt identice (figura 9) iar canalul stang a fost utilizat pentru examinari ulterioare.

Figura 9. Inregistrarea audio in chestiune: forma de unda, spectrograma si analiza de faza cu un unghi mediu de 45 de grade
119

Spectrogramele 2D rezultate sunt prezentate in figura 10 si s-au constatat potriviri semnificative cu data si ora declarate de partea care a facut inregistrarea. Atunci cand continuitatea ENF in chestiune a fost verificata fata de materialul de referinta (din baza de date a autorului) nu s-au rescoperit discontinuitati si opinia expertilor a fost ca inregistrarea in chestiune fusese digitizata la data declarata de catre parte.

Figura 10 Comparatia de spectrograma ENF: Data de baze in chestiune comparata cu cea de referinta In ambele cazuri examinatorul criminalist a respectat Principiile propuse G8 pentru procedurile referitoare la probe digitale [ 2000, Raport ] si Principiile sistemelor audio si video, Practici si proceduri [ 2000, Franta ] Analiza domeniului de timp In anumite circumstante, o analiza de domeniu de timp poate oferi detalii mai utile decat o analiza a domeniului de frecventa. Prin aplicarea unui filtru de trecere de banda cu frecvente de sectionare de 49-51 Hz fara a esantiona semnalul, se poate separa forma de unda ENF de restul inregistrarii. Dupa computarea tuturor trecerilor zero ale semnalului ENF ramas si masurarea diferentelor de timp intre valori zero consecutive, rezultatele atunci cand sunt adunate pot arata microvariatii ale ENF. Figurile 11, 12, 13 si 14 reprezinta analize detaliate ale formei de unda.

Figura 11 Trei treceri zero consecutive corespunzand la doua semiperioade diferite D6,7 si D7,8

120

Figura 12 Analiza de domeniu temporal ENF: forma de unda, histograma si variatia ZCR De asemenea, prin amplificarea semnalelor de nivel redus continand ENF este posibila analizarea nivelurilor originale de cuantificare ale semnalului. In anumite situatii, daca exista o legatura intre doua segmente audio diferite ce vin de la inregistrari digitale diferite facute pe echipamente diferite, este posibil sa se vada diferentele in nivelurile de cuantificare ca un semn al manipularii inregistrarii originale. Desi microvariatiile sunt observabile in figurile 12, 13 si 14 cel mai inalt grad de corelare se va observa intre figurile 13 si 14

Figura 13 Analiza domeniului temporal ENF: forma de unda, histograma si variatia ZCR

121

Figura 14 Analzia domeniului de timp ENF: forma de unda, histograma si variatia ZCR Aceste doua figuri reprezinta inregistrari contemporane efectuate in puncte diferite ale aceleiasi retele. Figura 12 reprezinta o inregistrare efectuata la un punct diferit din timp. Baza de date ENF In mai 2000 autorul a inceput construirea unei baze de date ENF care implica inregistrari continue pe termen lung 24 de ore din 24 ale ENF in Romania. Spatiul de stocare digital necesar pentru salvarea inregistrarilor de referinta ENF ca fisiere WAV PCM la rata de esantionare de 120 Hz rezolutie 16 biti este prezentat in tabelele 1 si 2. Pentru a salva materialul de referinta pentru o luna sunt necesari mai putin de 630 MB. Acestia pot fi salvati pe un singur CD iar pentru un an stocarea necesita deci doar 12 Cduri. O alrta solutie ar fi stocarea informatiei pe DVDuri duble, in care caz un singur disc ar fi de ajuns pentru stocarea datelor unui an. Sarcina stabilirii datei si orei cand a fost efectuata o inregistrare audio digitala implica in mod potential examinatorul in multe ore de cautare. In acest sens autorul doreste sa propuna un sistem automat, bazat pe metoda corelarii de semnal, de-a lungul liniilor prezentate in figura 15. Configurat in mod corespunzator, un asemenea sistem ar cauta si gasi semnalul de referinat ENF corelat in modul cel maia propiat pentru orice inregistrari probatorii pentru o perioada de timp incadrata de catre examinator. Tabel 1. Spatiu HDD de-a lungul a maximum o zi Ore 1 8 16 24 Secunde 3600 28800 57600 86400 Capacitate [MB] 0,843 6,744 13,488 20,232

122

Tabel 2. Spatiu HDD de-a lungul a maximum un an Zile 1 7 31 365 Secunde 86400 604800 2678400 31536000 Capacitate [MB] 20,232 141,624 627,192 7384,68

Baza de date de referinta ENF

Proba audio digitala (de analizat) Esantionare 120 Hz si filtru trecere de banda 49-51 Hz

zi/luna/an ora: minut

Forma ENF Comparati forma ENF cu evidenta din baza de adte ENF

Decizie Proba digitala a fost inregistata la data si ora declarate Proba digitala nu a fost inregistrata la data si ora declarate (optional) Incercati sa localizati data si ora reale cand a fost inregistrata proba Figura 15 inregistrare. Sistemul automat de identificare a datei si orei in momentul in care se creeaza o

Aplicabilitatea criteriului ENF la inregistrarile analoge In prezent criteriul ENF nu poate fi aplicat imediat inregistrarilor pe benzi analoge datorita prezentei variatiilor atat rezistente de termen lung cat si fluctuante de termen scurt (wow and flutter) in viteza benzii de transport. In timp ce problema variatiilor relativ stabile pe termen lung s-ar putea sa fie depasita printr-o schimbare generala in sus sau in jos a setarilor de frecventa a spectrogramei pentru analiza, variatiile wow and flutter prezinta o problema mult mai mare si una care poate avea drept rezultat distorsionari grave si pana in prezent iremediabile ale semnalului ENF original.

123

Concluzii Criteriul de Frecventa al Retelei Electrice este un instrument care poate fi folosit la analizarea inregistrarilor digitale audio si video, la verificarea integritatii acestora si verificarea sau determinarea momentului in timp cand au fost create. Acest lucru este realizat prin folosirea unei baze de date de frecventa de referinta inregistrata intr-un laborator (sau obtinuta de la societatea de retea electrica). O atentie speciala trebuie sa fie acordata calitatii referintei care este critica din punct de vedere al permiterii unei comparatii corecte, ca si intregii metodologii de analiza si evaluare a rezultatelor. Se recomanda ca Criteriul ENF sa fie folosit in conjunctie cu alte metode, cum ar fi tehnicile audio si video criminalistice clasice, si/sau raspunsul de impuls al unei camere (vezi Grigoras, 2002) si investigarile IT, care trebuie sa fie imbunatatite si incorporate intr-un protocol de analiza standardizat pentru examinatorii criminalisti audio/video. Criteriul ENF reprezinta un pas important inainte in cautarea unei tehnici criminalistice care sa infranga eforturile falsificatorilor audio/video operand in domeniul digital. Mulumiri Autorul ar dori sa multumeasca lui Jos Bouten, Institutul Criminalistic Olandez, Ministerul Justitiei, si lui Peter French, J.P. French Associates, Regatul Unit, pentru comentariile si sugestiile utile referitoare la acest articol. Recunosc sprijinul pe care l-am primit de la Prof. Brandusa Pantelimon, Departamentul Electric, Universitatea Politehnica din Bucuretsi, Romania. As dori de asemenea sa multumesc lui: Andrea Paoloni, fondazione Ugo Bordoni, Roma, Italia; Joaquin Gonzalez Rodriguez si Francisco Javier Simon del Monte, Universidad Autonoma de Madrid, Spania; Jose Juan Molina, Guardia Civil, Madrid, Spania; Carlos Delgado, Comisaria General de Policia Cientifica, Madrid, Spania; John D. Makris, Politia Elena, Divizia Criminalistica, Atena, Grecia; Mateusz Kajstura, Institutul de Cercetare Criminalistica, Cracovia, Polonia, pentru efectuarea testelor de validare inter-laboratoare ale Criteriului ENF. Discutiile cu Alan Cooper, Metropolitan Police Service, Department of Information, Londra, Regatul Unit; Tom Owen, The New York Institute of Forensic Audio, SUA si Curtis Crowe, Tracer Technologies, Inc., SUA sunt de asemenea apreciate. Acest manucris nu ar fi fost terminat fara ajutorul lor.

124

Referine
1.

2.

3. 4. 5. 6.

7.

8. 9.

10. 11. 12. 13.

Cooper, AJ (2005) The Significance of the Serial Copy Management System (SCMS) in the Forensic Analysis of Digital Audio Recordings, International Journal of Speech, Language and the Law, 12(1): 49-62. Dean, D.J. (1991) The Relevance of Replay Transients in the Forensic Examination of Analogue Magnetic Tape Recordings, Publication No.16, Londra: Police Scientific Research and Development Branch, Home Office. French, J.P. (1993) Authenticity examinations of audio recordings, Proceedings of Institute of Acoustics, Vol.15, Part 7, Liverpool:Rayross. Grigoras, C. (2001) Digital Audio Evidence Analysis, lucrare prezentata in Advanced Topics in Electrical Engineering Symposium, Bucuresti Grigoras, C. (2002) Forensic Audio systems, lucrare prezentata in IAFP Annual Conference, Moscova Grigoras, C. (2003) Forensic Analysis of Digital Audio Recordings - The Electric Network Frequency Criterion, Forensic Science International, 136 (Supp.[1]), 368-9 Grigoras C. (2005) Digital audio recording analysis: the Electric Network Frequency Criterion, International Journal of Speech, Language and the Law, 12 (1): 63-76. Koenig, B.E. (1990) Authentication of Forensic Audio Recordings, Journal of the Audio Engineering Society, 38 (1/2) Molero, S. (2001) Establishment of the Individual Characteristics of Magnetic Recording Systems for Identification Purposes Problems of Forensic Sciences, Second EAFS meeting, Vol.XLVII, Cracovia Owen, T. (2003) Voice Identification & Forensic Audio & Video Analysis, The Forensic Examiner, 12(9&10), 15-21 UCPTE (1998) Summary of the current operating principles of the UCPTE, text aprobat de Comitetul de Control, 28 octombrie Organizatia Internationala a probelor informatice (2000), Principiile G8 pentru procedurile referitoare la probe digitale, Raport Organizatia Internationala a probelor informatice (2000) Principiile sistemelor audio si video, Practici si proceduri, Conferinta, Rosny sous Bois, Franta

125