Питання визначення часових міток файлів у файлових системах "FAT" і "NTFS"

у файлових системах «FAT» і «NTFS»

А.М. Гаркуша, начальник сектору Науково-дослідного експертно-криміналістичного центру при УМВСУкраїни в Херсонській області

Розглянуто загальні положення формування шкали часу, визначено особливості роботи операційних систем із файловими системами «FAT» і «NTFS» при виконанні дій з файлами в частині фіксації хронометричних даних.

Ключові слова: мітка часу, файлова система, NTFS, FAT.

Рассмотрены общие положения формирования шкалы времени, определены особенности работы операционных систем с файловыми системами «FAT» и «NTFS» при выполнении действий с файлами в части фиксации хронометрических данных.

The paper gives outline of formation of the time scale. It studies the specific features of work of operation systems with «FAT» and «NTFS» in terms of time stamping.

Відповідно до положень частини першої ст. 91 Кримінального процесуального кодексу України у кримінальному провадженні серед інших обставин підлягає доказуванню подія кримінального правопорушення: час, місце, спосіб, інші обставини вчинення кримінального правопорушення.

Розслідування кримінальних правопорушень часто потребує дослідження носіїв цифрових даних, для чого призначають судову комп'ютерно-технічну експертизу. Одним із важливих питань при цьому є визначення часу вчинення певних дій користувачами або часу настання подій в інформаційній системі. Вирішення цих питань часто потребує від експерта встановлення фактів створення та зміни певних файлів, а також доступу до них, що неможливо без відповідної фахової його обізнаності щодо порядку інтерпретації отриманих даних про час. З огляду на широке розповсюдження операційних систем, які використовують для зберігання файлів файлові системи «FAT» і «NTFS», у цій статті запропоновано розглянути, крім загальних положень формування часу, особливості функціонування цих операційних систем з файловими системами при виконанні дій з файлами.

Насамперед слід нагадати, що з 1964 року використовують систему всесвітнього координованого часу UTC (від англ. «Coordinated Universal Time») [1].

З метою подолання однієї з перешкод на шляху до міжнародного співробітництва у 1884 році на підставі рішення Міжнародної меридіанної конференції у Вашингтоні про всесвітній час, за який мав правити середній сонячний час на меридіані Гринвіча, було прийнято поясну систему обліку часу [2; 3]. Згідно з такою системою обліку земну кулю було поділено на 24 пояси, кожний приблизно по 15° [4] з проходженням початкового меридіана нульового пояса через обсерваторію м. Гринвіча (Великобританія). Час першого пояса відрізняється від часу нульового пояса рівно на 1 год. Різність поясних часів дорівнює різності номерів їх часових поясів (за винятком окремих країн).

Згідно з відповідними нормативно-правовими актами на території України запроваджено час другого часового пояса (київський час) [5]. Алгоритм визначення часу на території України виглядає так: UTC(UA)= UTC + 2.

Багато держав Європи та Америки, у тому числі й Україна, запроваджують так званий «літній час», тобто місцевий час, який встановлюють на певній території на літній період року. Зазвичай такий час різниться на годину від стандартного часу, прийнятого на цій території (наприклад, для України літній час визначають за формулою «поясний час + 1 год.» -- (UTC+2) + 1 = UTC+3).

Національна шкала координованого часу UTC(UA) формується з використанням Державного первинного еталону одиниць часу та частоти України. Забезпечення безперервного функціонування державного первинного еталона одиниці часу і національної шкали координованого часу України UTC(UA) покладено на Український метрологічний центр Державної служби єдиного часу і еталонних частот (далі -- ДСЧЧ), який діє на базі Національного наукового центру «Інститут метрології» (м. Харків).

Як відомо, з метою обліку часу сучасні електронні пристрої оснащено годинниками. Кожний комп'ютер має у своєму складі годинник реального часу RTC (від англ. «real-time clock»), представлений електронною схемою, призначеною для обліку хронометричних даних (час, дата, день тижня тощо). До схеми входять автономне джерело живлення та обліковий пристрій. Вперше RTC було представлено у складі IBM PC/AT у 1984 році [6].

Більшість RTC використовують кварцовий резонатор на частоті 32768 Гц (таку саму частоту використовують у кварцових годинниках; вони не відрізняються особливою точністю, тому потребують періодичного контролю).

Контроль часу здійснюють особисто користувачі під час звіряння зі сторонніми годинниками або «службою часу Windows» в автоматичному чи ручному режимах шляхом синхронізації по мережі з одним із серверів часу (локальним або в мережі Інтернет), який може бути заданий користувачем. Факт успішної або неуспішної синхронізації відображається у журналі «Система» операційної систе-ми. Для отримання значень точного часу слід рекомендувати користуватися національним сервером Державної служби єдиного часу і еталонних частот -- ntpd.metrology.kharkov.ua.

У кожному випадку порядок фіксації або відображення інформації про час комп'ютер здійснює індивідуально залежно від конкретної версії операційної системи, від файлової системи тощо.

Файлові системи «FAT» і «NTFS» передбачають зберігання часових міток (time stamp) відносно файлів і каталогів (у спеціалізованій літературі мітки розглядають як частину метаданих файлових систем [7]).

За загальним правилом файлова система «FAT» зберігає часові мітки, базуючись на локальному часі комп'ютера, а файлова система «NTFS», зберігаючи часові мітки в UTC-форматі, враховує не тільки локальний час, а й поправку на часовий пояс і літній час. Наприклад, якщо упродовж однієї хвилини зберегти той самий файл на флеш-накопичувачі (FAT32) та жорсткому диску (NTFS), то значення часових міток буде різним. Так, у файловій системі «FAT32» дата створення файлу фіксується як 23.02.2012 10:00, а у файловій системі «NTFS» -- як 23.02.2012 08:00 у випадку налаштувань часового пояса «UTC+02:00 Київ».

Крім формату зберігання, файлові системи також мають відмінності в обсязі та кількості міток часу, які характеризують файл. Особливості файлових систем щодо фіксації часових міток наведено в таблиці.