淺談電子證據(jù)取證

高洋

（伊春市人民檢察院檢察技術(shù)處 黑龍江伊春 153000）

淺談電子證據(jù)取證

高洋

（伊春市人民檢察院檢察技術(shù)處 黑龍江伊春 153000）

自97《刑法》首次對計算機(jī)犯罪作出規(guī)定以來，立法與實踐已取得很大成果，對此類犯罪的打擊也對想利用計算機(jī)手段犯罪者起到一定威懾作用。計算機(jī)取證的目的是將犯罪者留在計算機(jī)中的“痕跡”作為有效的訴訟證據(jù)提供給法庭，為此，新刑事訴訟法將電子數(shù)據(jù)單獨(dú)列為一種證據(jù)種類，賦予電子證據(jù)明確的法律地位。兩高一部最新出臺的《關(guān)于辦理刑事案件收集提取和審查判斷電子數(shù)據(jù)若干問題的規(guī)定》也進(jìn)一步明確了微信聊天記錄等可以用作證據(jù)。這是一門新興的交叉性學(xué)科，之所以稱其為交叉性，因其還涉及到法學(xué)領(lǐng)域。計算機(jī)的專業(yè)性、隱私性特點，如何以合法手段取得證據(jù)，如何證實其取得過程合法，不是僅僅懂得專業(yè)知識就能解決的。本文是筆者實際工作經(jīng)驗心得和對電子數(shù)據(jù)的一些想法。

計算機(jī)犯罪有隱蔽性、復(fù)雜性的特點，犯罪嫌疑人甚至具有專業(yè)知識的普通人就可以利用電子郵件、聊天軟件、網(wǎng)上支付平臺或手機(jī)進(jìn)行犯罪活動，而上述這些渠道的供應(yīng)商，因出于自身產(chǎn)品安全考慮，均采取加密方式對數(shù)據(jù)進(jìn)行保護(hù)，致使取證難度加大。比如，如果要查找一封電子郵件的真實來源，需要網(wǎng)絡(luò)服務(wù)商提供郵件的傳輸路徑，經(jīng)過那些服務(wù)器，其IP地址屬于哪一區(qū)域；又如，在不知道密碼的情況下查詢高版本QQ聊天記錄，如果軟件商不提供支持是不可能得到的。不久前，F(xiàn)BI希望通過合法手段查詢一個iCloud賬號，此賬號被認(rèn)為可能與性暴力犯罪有關(guān)，蘋果公司以保護(hù)用戶隱私為名不肯公布其芯片級硬件加密技術(shù)，使FBI頭疼不已。計算機(jī)產(chǎn)業(yè)公司為其自身利益當(dāng)然不可能把核心技術(shù)公布于世，不論對方是誰，其用戶是否犯罪也與其無關(guān)。我們沒法從立法上強(qiáng)行規(guī)定，產(chǎn)品供應(yīng)商必須站在正義的立場上無條件服從法律，那樣就沒隱私可言，作為個案的偵察人員，在技術(shù)力量上也無力與供應(yīng)商匹敵。

對于某些案件，由于技術(shù)壁壘的存在，我們的確無能為力，但對于大部分案件，電子數(shù)據(jù)還是有大有其用武之地的?，F(xiàn)在人們的日常生活幾乎都離不開網(wǎng)絡(luò)，購物、繳費(fèi)、轉(zhuǎn)賬，有些信息不經(jīng)意就加入到網(wǎng)絡(luò)數(shù)據(jù)的洪流中，而云技術(shù)的發(fā)展，使某些部門可以合法的收集這些信息以備查詢。比如，某人在論壇公布了QQ號碼，在一起案件中發(fā)現(xiàn)嫌疑人曾聯(lián)系過此號碼，又如手機(jī)號碼、郵箱地址也是容易獲取的，而這些往往綁定某些支付平臺，可能有資金往來。這些信息點交織在一起，就組成一幅嫌疑人的線索網(wǎng)絡(luò)。還有一些可直接操作獲得證據(jù)的案件，可以從硬盤或者手機(jī)中，直接或恢復(fù)刪除數(shù)據(jù)獲得電子證據(jù)。需要注意的是，這些過程一定要遵循合法性原則，包括取得證據(jù)合法，而且要記錄下整個過程，以證明其合法性。

取證時最好有計算機(jī)相關(guān)知識的人員進(jìn)行操作，對于較為復(fù)雜的情況可聘請專家。取證時盡量做到全程錄像，重要情節(jié)拍照，并有至少兩名與案件不相關(guān)聯(lián)的證人在場。要詳細(xì)記錄清單，做到不落細(xì)節(jié)，可能用來記錄密碼的記事本、U盤等小物件要仔細(xì)查看。現(xiàn)實中，人們記錄一些常用密碼之類的短小文字，往往隨手取材，隨意放置，U盤等移動存儲的外形也是各式各樣，這些都要注意收集；有些特殊硬件需要驅(qū)動或特制接口，計算機(jī)相關(guān)的各類配件，如光盤、電源適配器等也要收集全面。雖然大部分安卓手機(jī)都使用Micro usb接口，但數(shù)據(jù)線定義卻不一定相同，可能造成后續(xù)取證過程中只能充電不能獲取數(shù)據(jù)的情況，所以一定要盡量收集原裝配件。蘋果系列產(chǎn)品需特別注意，如有安裝iTunes同步軟件的計算機(jī)也要一并收集。需要現(xiàn)場取證的，如果是專業(yè)性較強(qiáng)的證據(jù)，例如電信公司服務(wù)器等，則在計算機(jī)專家的監(jiān)督下讓涉案的專業(yè)人員自行操作其計算機(jī)，目的是防止其以證據(jù)損壞為由進(jìn)行抵賴。取證中遇到的一些突發(fā)狀況一定要隨機(jī)應(yīng)變，如發(fā)現(xiàn)剛剛執(zhí)行格式化操作，則馬上切掉計算機(jī)電源，防止損失進(jìn)一步擴(kuò)大。采集的證據(jù)經(jīng)封裝記錄后將進(jìn)入檢驗階段。

為體現(xiàn)電子數(shù)據(jù)的證明力，檢驗過程需遵循科學(xué)性和可再現(xiàn)性原則，即對電子數(shù)據(jù)分析所依賴的軟硬件、技術(shù)原理符合科學(xué)邏輯，能夠經(jīng)受事實的考驗，并且任何人只要遵循相同的分析過程都能夠得到相同的結(jié)論。檢驗時原則上不對原始檢材進(jìn)行操作，制作的副本應(yīng)進(jìn)行哈希值校驗。傳統(tǒng)機(jī)械硬盤的恢復(fù)技術(shù)已比較成熟，可委托鑒定的機(jī)構(gòu)也不少，需注意的是新興的固態(tài)硬盤的數(shù)據(jù)恢復(fù)。因固態(tài)硬盤的數(shù)據(jù)存儲結(jié)構(gòu)不同于機(jī)械硬盤，微軟在Windows7及以上操作系統(tǒng)中加入了基于ATA命令的TRIM指令，目的是為了提高固態(tài)硬盤的性能。其基本原理是一旦有刪除文件、格式化之類的磁盤讀寫操作，系統(tǒng)就會向固態(tài)硬盤發(fā)出清空區(qū)塊中數(shù)據(jù)的命令，而不像機(jī)械硬盤只刪除索引而保留數(shù)據(jù)。某種意義上來說這時的固態(tài)硬盤相當(dāng)于全新狀態(tài)，也就不再有性能下降的問題，但也造成了對于支持TRIM指令的固態(tài)硬盤的數(shù)據(jù)恢復(fù)基本上不可能實現(xiàn)的狀況。前文所述的蘋果手機(jī)之例，對蘋果設(shè)備的取證要慎重，有時要果斷放棄，有時卻可另辟蹊徑，如利用蘋果的同步功能，查看iCloud網(wǎng)絡(luò)或本地計算機(jī)的iTunes備份，說不定會有意想不到的收獲，這也是收集安裝iTunes軟件計算機(jī)的原因。取證時遇到狀況無法進(jìn)行下去，的確非常遺憾，而這正體現(xiàn)出電子數(shù)據(jù)這類證據(jù)的特點，交叉的綜合性、極強(qiáng)的技術(shù)性。

以計算機(jī)為手段的犯罪是不同于以往任何犯罪形式的，計算機(jī)可以為我們做任何事，那么任何事都有可能被其利用。大家都熟知的蹭網(wǎng)行為是最簡單的入侵，物聯(lián)網(wǎng)的崛起，使智能家居成為可能，通過一只WIFI插座，在單位就可以遙控空調(diào)等設(shè)備的開啟，這些指令是通過產(chǎn)品商提供的服務(wù)器實現(xiàn)的，而那個小小的插座的安全性怎么來保證?如果說針對個人的計算機(jī)犯罪已經(jīng)讓人焦頭爛額，那么來自國外的威脅就更讓人防不勝防。我們基本不可能去要求一個位于國外的網(wǎng)絡(luò)運(yùn)營商來配合查詢一封電子郵件的路徑，對斯諾登那樣的黑客也束手無策。如果一個國有企業(yè)的服務(wù)器數(shù)據(jù)突然丟失，將造成無法估量的損失，一些科研機(jī)構(gòu)已經(jīng)證實CPU供應(yīng)商利用其壟斷地位在硬件設(shè)計中加入未知用途的指令，也可以稱其為后門或硬件木馬，這已經(jīng)是國家安全層面的問題了。

[1]http：//news.mydrivers.com/1/158/158349.htm.

[2]http：//news.mydrivers.com/1/489/489395.htm.

D925.2

A

1004-7344（2016）35-0311-01

2016-11-28