Lukituksen foreniikka - SecMeter

Syy siihen, miksi lukot pitävät vain rehelliset ihmiset ulkona, on resurssien ja ajan epäsuhta. Tavallinen murtovaras etsii nopeinta reittiä ja käyttää sorkkarautaa, mikä jättää jälkiä. Asiantuntijalle tai tiedustelupalvelulle lukko on vain mekaaninen tai digitaalinen pulma, jonka ratkaisemiseen heillä on oikeat työkalut, rajaton kärsivällisyys ja tarkasti analysoitu tieto järjestelmän heikkouksista.

Mekaanisten lukkojen manipulointi (Lockpicking & Decoding)

Mekaaniset lukkosylinterit, mukaan lukien perinteiset haittalevylukot ja tappihaittalukot perustuvat siihen, että oikea avain nostaa lukitustapit tai kääntää haittalevyt täsmälleen oikealle korkeudelle, jolloin sylinteri pääsee pyörimään.

Asiantuntija voi hyödyntää lukkojen valmistustoleransseja. Mikään lukko ei ole mekaanisesti täydellinen, joten yksi tappeista kantaa aina muita enemmän painetta, kun sylinteriä jännitetään kevyesti. Tiirikoija etsii nämä sitovat tapit yksitellen ja nostaa ne oikealle tasolle, kunnes lukko aukeaa.

Tiedustelupalvelut käyttävät erikoistyökaluja, kuten Lishi-työkaluja tai optisia endoskooppeja, joilla mitataan sylinterin sisäisten haittojen tarkat etäisyydet ja syvyydet. Tämän tiedon perusteella voidaan paikan päällä valmistaa toimiva koodiavain, jolla ovi avataan kuin alkuperäisellä avaimella.

Lukkoon voidaan työntää myös pehmeästä metallista valmistettu avainaihio. Kun aihioita käännetään väkisin, lukon sisäiset tapit jättävät siihen mikroskooppisia jälkiä. Viilaamalla aihiota näiden jälkien kohdalta asiantuntija pystyy luomaan toimivan avaimen muutamassa minuutissa suoraan kohteessa.

Mekaaninen ohitus

Joskus lukon sylinteri on erittäin turvallinen, mutta itse lukkomekanismi tai sen asennus on haavoittuva. Ohituksessa sylinteriä ei edes yritetä avata, vaan hyökkäys kohdistuu suoraan telkeen tai vääntönuppiin.

Monissa ovissa lukon sisäinen mekanismi on suojattu heikosti. Erityisillä ohuilla työkaluilla, kuten suojalevyjen välistä ujutettavilla teräslangoilla voidaan päästä käsiksi suoraan lukkorungon avausmekanismiin, jolloin ovi aukeaa sekunneissa.

Mikäli ovessa on postiluukku, eikä takalukituksesta ole huolehdittu, tunkeutuja, kuten tiedustelupalvelu voi käyttää pitkiä, nivellettyjä työkaluja ja kameroita kääntääkseen oven sisäpuolella olevan vääntönupin tai painikkeen auki-asentoon.

Elektroniset lukot ja älylukot

Elektronisia lukkoja mainostetaan usein perinteisiä turvallisempina, mutta ne vain siirtävät haavoittuvuudet mekaniikasta digitaaliseen maailmaan. Langattomat älylukot (Bluetooth, Wi-Fi, NFC) viestivät käyttäjän älypuhelimen tai avaintunnisteen kanssa. Mikäli kryptaus on puutteellista, tunkeutuja voi kaapata lukon avausviestin ilmasta ja toistaa sen myöhemmin lukolle.

Jotkin elektroniset lukot tai moottorilukot luottavat sisäisiin solenoideihin sähkömagneettisen kentän teljen liikuttamiseksi. Voimakkaalla neodyminium-magneetilla tai kohdistetulla sähkömagneettisella pulssilla (EMP) lukon sisäinen rele voidaan pakottaa vaihtamaan tilaa ilman digitaalista tunnistautumista.

Mustan tekniikan menetelmät (Black Bag Operations)

Valtiolliset tiedustelupalvelut eivät yleensä luota pelkkään onneen kohteessa. Niiden toiminta perustuu etukäteistiedusteluun ja prosessointiin. Älypuhelimen kameralla otettu korkearesoluutioinen kuva avaimesta riittää siihen, että 3D-tulostimella tai CNC-jyrsimellä voidaan valmistaa sekunneissa toimiva kopio. Avain tarvitsee vain jättää hetkeksi valvomatta takin taskuun tai pöydälle kahvilassa.

Mekaanisen manipuloinnin estäminen (Abloy Protec2 -mekanismi)

Perinteiset tiirikointimenetelmät perustuvat lukon valmistustoleranssien hyödyntämiseen ja yksittäisten tappien lukitsemiseen vuorotellen. Suomalaisen Abloyn kehittämä pyöriviin haittalevyihin perustuva teknologia eliminoi tämän mahdollisuuden kokonaan.

AWS (Anti-Wear System) ja symmetrinen levyrakenne: Protec2-sylinterissä ei ole jousia tai tappeja, jotka voisivat jäädä jumiin tiirikointiasentoon. Haittalevyt pyörivät vapaasti, kunnes avain käännetään pohjaan saakka. Koska levyt reagoivat vasta yhteisvaikutuksesta, yksittäisen levyn asennon testaaminen (Single Pin Picking) on mekaanisesti mahdotonta.

DBS (Disc Blocking System): Tämä on lukon sisällä oleva kytkin, joka lukitsee kaikki haittalevyt paikoilleen heti, jos sylinteriä yritetään kääntää työkalulla ilman, että oikea avain on täydellisesti pohjassa. Se tekee perinteisestä tiirikoinnista ja Lishi-tyyppisestä dekoodauksesta tehdotonta.

Profiilin tunnistus ja liikkuvat osat avaimessa: Protec2-avaimen kärjessä on patentoitu liikkuva kuula tai elementti. Sylinterin sisällä oleva mekanismi tarkistaa tämän elementin olemassaolon ja liikeradan. Ilman tätä liikkuvaa osaa haittalevyt eivät suostu pyörimään, mikä estää suoran 3D-tulostuksen tai litteiden avainaihioiden käytön impressionoinnissa.

Sähkömekaaninen hybridihaarniska (Esim. Abloy Pulse tai Protec2 CLIQ)

Kun mekaaniseen lukkoon lisätään digitaalinen varmistus, luodaan kahdenkertaisen suojauksen järjestelmä. Vaikka hyökkääjä onnistuisi ohittamaan mekaanisen puolen, ovi ei aukea ilman digitaalista kättelyä.

Avain sisältää sekä mekaanisen jyrsinnän että kryptatun mikrosirun. Kun avain työnnetään lukkoon, lukko ottaa virran joko avaimen työnnöstä (kuten Abloy Pulse) tai avaimen paristosta (CLIQ) ja suorittaa sähköisen varmistuksen.

Jos digitaalinen koodi ei täsmää, lukkorungon sisällä oleva sähköinen este estää mekaanisen avausmekanismin liikkeen, vaikka mekaaniset haittalevyt olisivät oikeassa asennossa.

Digitaalisten hyökkäysten torjunta sähkölukoissa

Suojatut sähkölukot ja kulunvalvontajärjestelmät eivät luota pelkkään sähkövirran kytkemiseen, vaan ne suojaavat tiedonsiirron armeijatason salauksella (AES-128 / AES-256 -salaus ja haastetunnistus).

Lukon, avaimen tai älypuhelimen välinen viestintä on suojattu vahvalla symmetrisellä salauksella. Lukko lähettää avaimelle satunnaisen aasteen (kertakäyttöisen koodin), jonka avain salaa omalla salaisella avaimellaan ja lähettää takaisin. Tämä estää täysin toistohyökkäykset (Replay Attacks), sillä kerran ilmasta kaapattu signaali on sekunnin kuluttua täysin käyttökelvoton.

Suojattu kaapelointi ja väyläkommunikaatio (OSDP): Vanhoissa sähkölukoissa oven ulkopuolella olevan lukijapäätteen irrottaminen ja johtojen oikosulkeminen (esim. 12V virran syöttäminen suoraan lukolle) avasi oven. Nykyaikaiset järjestelmät käyttävät Open Supervised Device Protocol (OSDP) -standardia. Lukijan ja oven sisäpuolella olevan ohjausyksikön välinen liikenne on salattua. Jos lukija irrotetaan seinästä, järjestelmä tunnistaa sabotaasin ja katkaisee virrat lukolta kokonaan.

Fyysinen suojaus sähkömagneettisia hyökkäyksiä vastaan

Ammattimaisissa moottori- ja magneettilukoissa mekaaninen rakenne on suojattu siten, ettei ulkopuolinen fysiikka pääse vaikuttamaan siihen.

Lukon kriittiset elektroniset komponentit ja solenoidit on kotitoidu paksun metallikuoren sisään, joka vaimentaa sähkömagneettisia pulsseja (EMP). Lisäksi mekaaniset lukitustelat on suunniteltu siten, että ne vaativat fyysisen moottorin pyörähdyksen, jota ei voida simuloida pelkällä ulkopuolelta tuodulla voimakkaalla neodyminium-magneetilla.

Ammattilaisen aikataulu pettää

Korkean turvatason lukot eivät välttämättä tee ovesta 100 % murtovarmaa ikuisuudeksi, mutta ne nostavat vaadittavan ajan sekunneista tunteihin tai päiviin ja vaativat miljoonien eurojen arvoisia laboratorio-olosuhteita.

Kun tiedustelupalvelu huomaa kohteessa Abloy Protec2 -tasoisen lukituksen tai suojatun OSDP-väylän, se yleensä luopuu yrittämästä suoraa lukon ohitusta paikan päällä. Sen sijaan operaatio siirtyy takaisin sosiaaliseen manipulointiin, kiinteistön muihin heikkoihin rakenteisiin (kuten ikkunoihin tai seiniin) tai digitaalisen avainhallinnan murtamiseen tietoverkkojen kautta.

Forensiikka

Tutkimus alkaa tapahtumapaikasta

Yksi tärkeimmistä periaatteista on, ettei lukkoa tarkastella irrallisena esineenä liian aikaisin. Ensin dokumentoidaan koko ympäristö. Tutkija voi tarkastella esimerkiksi ovea, karmia, lukon vastarautaa, saranoita, suojakilpiä, vetimiä, ikkunoita, kiinnitysruuveja ja ympäröiviä pintoja. Samalla selvitetään, onko rakenteessa painumia, vääntymistä, irronneita osia, maalivaurioita, metallihiukkasia tai muita muutoksia.

Tavoitteena on säilyttää mahdollisimman hyvin tieto siitä, missä asennossa ja kunnossa kaikki oli löydettäessä. Ennen osien purkamista tehdään yleensä yleiskuvat, lähikuvat ja tarvittaessa mittakaavan kanssa otettavat yksityiskohtakuvat. Dokumentointiin voivat kuulua myös luonnokset, mittaukset, videot, laboratoriomuistiinpanot ja näytteen käsittelyä koskevat tiedot.

Ensin selvitetään, mikä on todella vaurioitunut

Termi ”murrettu lukko” voi tarkoittaa käytännössä hyvin erilaisia tilanteita. Varsinainen lukkomekanismi voi olla vaurioitunut, mutta toisinaan lukko on lähes ehjä ja pettänyt osa onkin esimerkiksi oven karmi, vastarauta, kiinnitys, suojakilpi tai oven rakenne. Tämä erottelu on tärkeää, koska vaurion paikka voi kertoa tapahtumamekanismista enemmän kuin itse rikkoutunut lukko. Siksi tutkimuksessa erotellaan ainakin:

• lukon ja lukkorungon vauriot
• sylinterin tai muun lukitusmekanismin sekä sitä suojaavien osien vauriot
• vastaraudan ja karmin vauriot
• oven ja kiinnikkeiden muodonmuutokset
• mahdolliset työkalujäljet
• normaalista käytöstä tai kulumisesta syntyneet jäljet
• sähkömekaanisissa lukoissa elektroniikan, toimilaitteiden ja johdotusten poikkeamat.

Makroskooppinen tutkimus

Ensimmäinen varsinainen tutkimusvaihe tehdään yleensä ilman voimakasta suurennusta. Tutkija tarkastelee esimerkiksi sitä, onko metallissa taipumia, murtumia, painaumia, naarmuja tai materiaalin irtoamista.

Myös maalipinnan tai pinnoitteen rikkoutuminen voi auttaa arvioimaan, mitkä vauriot ovat mahdollisesti tuoreita ja mitkä ovat olleet olemassa aikaisemmin. Samalla arvioidaan vaurioiden suuntaa. Esimerkiksi oven, karmin ja lukon muodonmuutosten keskinäinen sijainti voi auttaa muodostamaan käsityksen siitä, mistä suunnasta rakenteeseen on kohdistunut voimaa. Pelkkä yksittäinen naarmu ei yleensä riitä johtopäätökseen. Merkityksellisempää on useiden jälkien muodostama kokonaisuus.

Työkalujäljet lukituksessa

Murtotilanteessa metalliin, puuhun tai muuhun materiaaliin voi syntyä jälkiä työkalun ja kohteen välisestä kosketuksesta. Lukitukseen liittyvässä forensiikassa tällaisia jälkiä voidaan tarkastella esimerkiksi seuraavista näkökulmista:

• jäljen muoto ja leveys
• painaumien geometria
• pinnassa olevat uurteet
• materiaalin siirtyminen tai repeytyminen
• jälkien keskinäinen suunta
• useiden jälkien päällekkäisyys
• jäljen sijainti suhteessa lukon, oven tai karmin muuhun vaurioon.

Työkalujälkiä voidaan tutkia optisesti ja mikroskooppisesti. Tutkimuksessa voidaan hyödyntää myös pinnan kolmiulotteista mittausta, jos jäljen yksityiskohtainen vertailu sitä edellyttää. Jos tutkittavaksi saadaan mahdollinen tapahtumaan liittyvä työkalu, sen ominaisuuksia voidaan verrata tapahtumapaikan jälkiin asianmukaisella rikosteknisellä menetelmällä. Johtopäätöksen tulee perustua dokumentoituun vertailuun, eikä pelkästään siihen, että jokin työkalu ”näyttää sopivan” vaurioon.

Mikroskooppinen tutkimus

Lukon ja sen ympäristön metallipinnoissa voi olla yksityiskohtia, joita ei paljaalla silmällä nähdä. Stereomikroskoopilla tai muulla soveltuvalla tutkimusjärjestelmällä voidaan tarkastella esimerkiksi:

• naarmujen ja uurteiden rakennetta
• puristus- ja leikkausjälkiä
• materiaalinsiirtymiä
• pinnan murtumia
• sitä, sijaitseeko yksi jälki toisen päällä
• sitä, jatkuuko sama jälki useamman komponentin alueelle.

Lukon sisäisten osien tutkiminen

Jos tutkimus sitä edellyttää, lukko voidaan laboratoriossa dokumentoidusti purkaa. Ennen purkamista sen ulkoinen kunto ja mahdollinen toimintatila dokumentoidaan. Purkamisen tarkoituksena ei ole vain löytää rikkoutunutta osaa, vaan selvittää, mistä vaurio todennäköisesti johtuu. Tutkija voi tarkastella esimerkiksi:

• rikkoutuneita tai taipuneita komponentteja
• normaalista poikkeavia kosketusjälkiä
• irronneita metallihiukkasia
• osien epätyypillistä asentoa
• vaurioiden keskinäistä yhteensopivuutta
• sitä, sopivatko sisäiset ja ulkoiset vauriot samaan tapahtumamekanismiin.

Levylukkojen ja muiden mekaanisesti moniosaisten lukkojen tutkimuksessa huomio voi kohdistua myös haittalevyihin, ohjausosiin, välitysosiin ja muihin sisäisiin komponentteihin. Niistä voidaan tarkastella poikkeavia kosketusjälkiä, muodonmuutoksia, materiaalinsiirtymiä, murtumia ja jälkien keskinäistä sijaintia.

Tarkoituksena ei ole arvioida lukon avaamismenetelmää, vaan selvittää, ovatko sisäiset jäljet yhteensopivia lukon ulkoisten vaurioiden ja muun tapahtumatiedon kanssa. Erityisen tärkeää on erottaa tapahtumaan liittyvä jälki normaalista kulumisesta. Pitkään käytetyssä lukossa voi olla runsaasti vanhoja naarmuja, kiillottuneita kosketuspintoja ja muita käytön aiheuttamia muutoksia.

Vaurio ei aina tarkoita murtoa

Forensiikan kannalta yksi keskeisistä kysymyksistä on vaihtoehtoisten selitysten arviointi. Lukon poikkeava kunto voi aiheutua esimerkiksi:

• pitkäaikaisesta kulumisesta
• huollosta
• aikaisemmasta vauriosta
• oven virheellisestä säädöstä
• korroosiosta
• lämpö- tai kosteusrasituksesta
• tapahtuman jälkeen tapahtuneesta käsittelystä.

Tutkimuksen ei tulisi lähteä oletuksesta ”lukko murrettiin”, vaan kysymyksestä: Mikä havaittu tapahtumamekanismi selittää jäljet parhaiten? Jos näyttö ei riitä luotettavaan erotteluun, johtopäätökseksi voi jäädä myös se, ettei tapahtumatapaa voida määrittää.

Materiaalinsiirtymät ja muut jäljet

Murron yhteydessä eri materiaalit voivat joutua kosketuksiin keskenään. Esimerkiksi maalihiukkasia, metalliainesta, puukuituja tai muita mikroskooppisia materiaaleja voi siirtyä pinnalta toiselle. Niiden tutkiminen voi täydentää työkalujälkitutkimusta. Tällaisten jälkien arvo riippuu voimakkaasti niiden säilymisestä ja näytteenoton laadusta. Lukon tarpeeton puhdistaminen, öljyäminen, testaaminen tai toistuva käsittely voi hävittää tai muuttaa alkuperäistä näyttöä.

Sormenjäljet ja DNA

Lukon ympäristöstä voidaan tapauksesta riippuen etsiä myös henkilöön yhdistettävää biologista tai daktyloskooppista näyttöä. Daktyloskooppinen näyttö tarkoittaa käytännössä sormenjälkiin, kämmenenjälkiin tai muihin ihon uurrekuvioihin perustuvaa rikosteknistä näyttöä. Lukituksen forensiikassa sillä voidaan tarkoittaa esimerkiksi ovenkahvasta, lukon pinnasta, irrotetusta osasta tai muusta käsitellystä pinnasta löytynyttä sormenjälkeä, jota voidaan verrata henkilön vertailujälkeen.

Mahdollisia tutkimuskohteita voivat olla esimerkiksi oven ympäristö, ovenkahvat, irrotetut osat tai muut pinnat, joita tapahtuman aikana on voitu käsitellä. Näiden tutkiminen kuuluu omiin rikosteknisiin menetelmiin. Lukon työkalujälkitutkimuksesta ei itsessään voida päätellä, kuka vaurion aiheutti.

Elektronisten ja sähkömekaanisten lukkojen forensiikka

Elektronisessa tai sähkömekaanisessa lukitusjärjestelmässä tutkimuskohde on laajempi kuin itse mekaaninen lukkorakenne. Tutkimuksessa on hyödyllistä erottaa kolme toisiaan täydentävää kokonaisuutta:

1. mekaaninen lukitus ja fyysiset vauriot
2. sähkömekaaninen lukko, sen elektroniikka ja toimilaitteet
3. kulunhallinta- ja valvontajärjestelmien digitaalinen tapahtumatieto.

Mekaaninen osa

Mekaanisen osan tutkimuksessa tarkastellaan samoja asioita kuin perinteisessä lukossa, lukkorungon, sylinterin tai muun lukitusmekanismin, oven, karmin, vastaraudan, kiinnikkeiden ja sisäisten komponenttien vaurioita. Levylukossa tämä voi tarkoittaa esimerkiksi haittalevyjen ja muiden sisäisten osien poikkeavien kosketusjälkien tai muodonmuutosten dokumentointia.

Sähkömekaaninen osa

Sähkömekaanisessa osassa voidaan tarkastella esimerkiksi:

• toimilaitteita
• antureita
• liittimiä ja johdotuksia
• piirilevyjä
• virtalähdettä tai paristoja
• kotelointia
• mekaanisen ja elektronisen osan rajapintaa.

Tutkimuksessa arvioidaan, näkyykö osissa fyysisiä vaurioita, irtoamista, lämpövaikutuksia, kosteutta, epätyypillisiä liitäntöjä tai muita poikkeamia. Havainnot dokumentoidaan ennen osien muuttamista tai purkamista.

Digitaalinen tapahtumatieto

Digitaalisen tapahtumatiedon puolella tarkasteltavia tietoja voivat olla esimerkiksi:

• kulunvalvonnan tapahtumalokit
• käyttäjätunnisteiden käyttö
• oven tilatiedot
• hälytykset
• hallintajärjestelmän lokit
• konfiguraatiomuutokset
• ylläpitotoimet
• muiden järjestelmien tapahtumatiedot.

Fyysisiä jälkiä ja digitaalista tapahtumatietoa tulisi tarkastella yhdessä.

Esimerkiksi järjestelmäloki voi kertoa, että ovi avattiin hyväksytyllä tunnisteella, mutta fyysisen tutkimuksen perusteella oven rakenteeseen on samalla kohdistunut poikkeuksellista voimaa. Vastaavasti fyysisesti ehjä lukko ei yksin osoita, että käyttö olisi ollut asianmukaista, jos digitaalisessa tapahtumaketjussa näkyy poikkeavia tunniste-, hallinta- tai konfiguraatiotapahtumia.

Lokien aikaleimojen oikeellisuus, järjestelmien kellonaikojen synkronointi, lokien eheys ja lokien säilytysketju on varmistettava ennen vahvoja johtopäätöksiä. On myös huomioitava, että kaikki lukitusjärjestelmät eivät tallenna samoja tapahtumia tai samalla tarkkuudella. Digitaalisen näytön puuttuminen ei siten automaattisesti tarkoita, ettei tapahtumaa olisi tapahtunut.

Tapahtumajärjestyksen rekonstruointi

Lopullisessa analyysissä yksittäisiä havaintoja yhdistetään tapahtumaketjuksi. Rekonstruktio ei ole kertomuksen rakentamista oletusten varaan. Jokaisen vaiheen tulisi perustua havaittuun näyttöön tai selvästi ilmoitettuun tutkimukselliseen tulkintaan. Tutkimuksessa voidaan yrittää selvittää esimerkiksi:

• mikä osa rakenteesta vaurioitui ensimmäisenä
• mihin kohtaan voimaa kohdistui
• missä suunnassa osat liikkuivat
• syntyivätkö jäljet ennen oven avautumista vai sen jälkeen
• ovatko kaikki vauriot peräisin samasta tapahtumasta
• sopiiko fyysinen näyttö yhteen kulunvalvonta-, kamera- tai hälytystietojen kanssa.

Ketju näytteen haltuunotosta analyysiin

Todistusarvon kannalta olennaista on näytteen käsittelyketju. Forensiikan kannalta tämä on yhtä tärkeää kuin mikroskooppinen tutkimus. Jälki, jonka alkuperää tai käsittelyhistoriaa ei pystytä osoittamaan, voi menettää suuren osan todistusarvostaan. Lukko ja siihen liittyvät osat tulisi yksilöidä, pakata ja säilyttää siten, ettei tutkimuksen kannalta olennaisia pintoja tarpeettomasti kosketeta tai vahingoiteta. Dokumentoinnista pitäisi selvitä ainakin:

• missä esine oli
• kuka sen otti haltuun
• milloin se otettiin haltuun
• missä kunnossa se oli
• miten se pakattiin
• kuka sitä käsitteli
• mitä tutkimuksia sille tehtiin
• muuttuiko esine tutkimuksen aikana.

Miten asiantuntijan pitäisi raportoida havainnot?

Hyvässä raportissa erotetaan toisistaan havainto ja johtopäätös. Esimerkiksi: ”Vastaraudan vasemmalla puolella havaittiin kolme samansuuntaista painaumaa”, on havainto. Sen sijaan:

”Jäljet ovat yhteensopivia tilanteen kanssa, jossa kyseiseen kohtaan on kohdistunut ulkopuolinen mekaaninen voima”, on tulkinta. Mitä pidemmälle mennään tulkintaan, sitä tärkeämpää on tuoda esiin myös vaihtoehtoiset selitykset ja tutkimuksen rajoitukset.

Mitä murretusta lukosta voidaan lopulta päätellä?

Yksittäinen vaurio ei yleensä yksin kerro tekijää, tarkkaa tapahtuma-aikaa tai koko tapahtumaketjua. Hyvin säilyneestä ja asianmukaisesti tutkitusta kokonaisuudesta voidaan joissakin tapauksissa arvioida:

• onko rakenteeseen kohdistunut ulkopuolista mekaanista vaikutusta
• mihin osiin vaikutus on kohdistunut
• minkä tyyppinen tapahtumamekanismi sopii jälkiin
• missä järjestyksessä osa jäljistä on syntynyt
• ovatko vauriot yhteensopivia jonkin tutkitun työkalun tai työkalutyypin kanssa
• sopivatko fyysiset löydökset yhteen muun tapahtumatiedon kanssa.

Sähkömekaanisessa lukituksessa luotettavin kokonaiskuva syntyy silloin, kun mekaaniset vauriot, sisäisten komponenttien jäljet, elektroniikan kunto sekä kulunhallinnan ja valvonnan tapahtumatiedot tukevat toisiaan. Jos eri tietolähteet ovat ristiriidassa, ristiriita itsessään on tutkimuksessa merkittävä havainto ja se tulee dokumentoida erikseen.

Lukitukseen liittyvä forensiikka on parhaimmillaan kokonaisuuden tutkimista. Lukko, ovi, karmi, kiinnikkeet, ympäristö, mikroskooppiset jäljet, sähkömekaaniset komponentit ja mahdollinen digitaalinen tapahtumatieto muodostavat yhdessä aineiston, jonka perusteella tapahtumia voidaan rekonstruoida.