在辞职之前，有人窃取了我们的一些文件，最终导致了诉讼。现在我收到了一张文件 CD，我必须通过将它们与我们自己的文件服务器上的文件进行匹配来“证明”它们是我们的文件。
我不知道这是否只是为了我们的律师或法庭的证据或两者兼而有之。我也意识到我不是公正的第三方。
在思考如何“证明”这些文件来自我们的服务器时，我们意识到我还必须证明我们在收到 CD 之前就拥有这些文件。我的老板在我们收到 CD 的前一天截取了有问题文件的资源管理器窗口的屏幕截图，并显示了创建日期和文件名，然后通过电子邮件将它们发送给了我们的律师。我本来想提供 md5sum，但我没有参与该过程的这一部分。
我的第一个想法是使用 unix diff 程序并提供控制台 shell 输出。我还认为我可以将它与我们的文件及其文件的 md5 总和结合起来。这两者都很容易被伪造。
我不知道我实际上应该提供什么，然后又不知道如何提供可审计的线索来重现我的发现，所以如果确实需要第三方证明的话，那是可以的。
有人对这个有经验么？
案件事实：
- 这些文件来自 Windows 2003 文件服务器
- 该事件发生于一年多前，自事件发生以来文件一直未被修改过。
答案1
技术问题很简单。在取证行业中，使用 SHA 和 MD5 哈希的组合非常常见。
如果您谈论的是可能已被修改的文本文件（例如源代码文件等），那么执行某种类型的结构化“差异”将非常常见。我无法举出案例，但肯定有先例：“被盗”文件是“原始”文件的衍生作品。
监管链问题是一个很多对你来说，这比证明文件匹配更令人担心。我会和你的律师谈谈他们在寻找什么，并强烈考虑联系一位有此类诉讼经验的律师或计算机取证专业人士，听取他们的建议，了解最佳的处理方式，这样你就不会搞砸你的案子。
如果您确实收到了这些文件的副本，我希望您能很好地维护保管链。如果我是对方律师，我会辩称您收到了 CD，并将其用作源材料来制作被“盗”的“原始”文件。我会将这张“复制”文件的 CD 放在离“原始”文件很远的地方，并让独立方对文件进行“差异化”。
答案2
通常您的律师应该已经掌握了其中的大部分内容。
要证明文件相同，应使用 md5。但更重要的是，您需要使用可审计的线索来证明保管链。如果其他人保管了这些文件，那么您将很难在法庭上证明证据不是“栽赃”。
有专门处理此问题的电子证据和取证公司。根据贵公司对此案的重视程度，您需要聘请一位在这方面有知识的律师，并可以向您推荐一家可以协助您完成此过程的公司。
答案3
一个重要的问题是您如何记录对公司文件的访问权限，以及如何管理对公司文件的版本控制。
就文件本身而言，您需要使用 diff 之类的工具而不是 md5 之类的工具，因为您想要证明这些文件是“相同的”，只是一个文件在开头有一个版权声明，而另一个文件在文件开头有不同的版权声明。
理想情况下，您可以准确地证明相关文件的来源、何时从您的环境中复制这些文件、当时谁有权访问这些文件以及谁复制了这些文件。
答案4
我会使用 diff，我认为你走在正确的轨道上。