法律執(zhí)行過(guò)程模型研究

摘要：計(jì)算機(jī)取證必須遵循嚴(yán)格的過(guò)程和程序，否則，所獲取的證據(jù)缺乏可靠性和真實(shí)性。建立一個(gè)實(shí)用的計(jì)算機(jī)取證模型很重要，因?yàn)樗懿灰蕾?lài)任何一種特殊的技術(shù)或組織環(huán)境，為研究支撐調(diào)查工作的技術(shù)提供一種抽象的參考構(gòu)架。文章針對(duì)法律執(zhí)行過(guò)程模型這一數(shù)字取證模型進(jìn)行了簡(jiǎn)單的分析。

關(guān)鍵詞：電子證據(jù)；計(jì)算機(jī)取證：數(shù)字取證：法律執(zhí)行過(guò)程模型

0 引言

隨著網(wǎng)絡(luò)技術(shù)的發(fā)展、互聯(lián)網(wǎng)普及程度的逐漸提高以及電子政務(wù)、電子商務(wù)的不斷拓展，計(jì)算機(jī)與網(wǎng)絡(luò)已成為社會(huì)經(jīng)濟(jì)生活中的組成部分。與此同時(shí)，針對(duì)計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)的犯罪活動(dòng)以及利用計(jì)算機(jī)和網(wǎng)絡(luò)從事各種犯罪活動(dòng)的人越來(lái)越多，由此造成的經(jīng)濟(jì)損失令人觸目驚心，引發(fā)的社會(huì)問(wèn)題也越來(lái)越突出。因此，一種涉及到法學(xué)、刑事偵查學(xué)和計(jì)算機(jī)科學(xué)等學(xué)科的新興學(xué)科——數(shù)字取證(Digital Forensics)受到了越來(lái)越多的關(guān)注。它作為網(wǎng)絡(luò)安全和網(wǎng)絡(luò)犯罪發(fā)展的產(chǎn)物，是法律救濟(jì)的必要手段，對(duì)于起訴計(jì)算機(jī)犯罪行為至關(guān)重要。

數(shù)字取證，從研究范圍來(lái)講，既包括計(jì)算機(jī)取證又包括網(wǎng)絡(luò)取證；從其內(nèi)涵來(lái)說(shuō)，是對(duì)數(shù)字資源的提取、存儲(chǔ)、分析和利用，它與網(wǎng)絡(luò)取證和計(jì)算機(jī)取證的本質(zhì)是一致的。因而，數(shù)字取證是指為了揭示與數(shù)字產(chǎn)品相關(guān)的犯罪或過(guò)失行為，以及由其他原因?qū)е碌氖瓜到y(tǒng)發(fā)生故障的現(xiàn)象，利用一切科學(xué)且合法的方法和工具、對(duì)以O(shè)／I二進(jìn)制表示的數(shù)據(jù)電文進(jìn)行識(shí)別、保存、收集、檢查、分析和呈堂等活動(dòng)的過(guò)程。利用計(jì)算機(jī)和其他數(shù)字產(chǎn)品進(jìn)行犯罪的諸多證據(jù)都以數(shù)字形式通過(guò)計(jì)算機(jī)或網(wǎng)絡(luò)進(jìn)行存儲(chǔ)和傳輸，從而出現(xiàn)了電子證據(jù)，數(shù)字取證就是對(duì)電子證據(jù)的各種處理。為了獲取合法有效的電子證據(jù)作為呈堂證供，法律執(zhí)行部門(mén)就不可避免會(huì)接觸到各種各樣的電子設(shè)備并從中收集證據(jù)。但由于電子證據(jù)的特殊性，其獲取、存儲(chǔ)、傳輸和分析都需要特殊的技術(shù)手段和嚴(yán)格的程序并受相關(guān)法律法規(guī)的約束，否則，就會(huì)導(dǎo)致所獲取的證據(jù)缺乏可靠性和合法性，從而不被采用。自上個(gè)世紀(jì)90年代以來(lái)，人們相繼提出了很多數(shù)字取證的過(guò)程模型，其中早期提出的較為典型幾個(gè)模型包括：基本過(guò)程模型(Basic Process Model)、事件響應(yīng)過(guò)程模型(Incident Response Process Model)、法律執(zhí)行過(guò)程模型(Law Enforcement Process Model)、過(guò)程抽象模型(Abstract Process Model)。

1 法律執(zhí)行過(guò)程模型

法律執(zhí)行過(guò)程模型是2001年美國(guó)司法部(DOJ)在“電子犯罪現(xiàn)場(chǎng)調(diào)查指南”中提出的模型。該指南對(duì)不同類(lèi)型的電子證據(jù)以及對(duì)安全處理的不同的方法都進(jìn)行了說(shuō)明。同時(shí)也指出了在處理電子證據(jù)進(jìn)行取證時(shí)須遵守的原則：

(1)收集、保護(hù)和轉(zhuǎn)移電子證據(jù)的過(guò)程不應(yīng)該改變證據(jù)；

(2)電子證據(jù)只能由那些訓(xùn)練有素的專(zhuān)門(mén)取證人員審查：

(3)在封存、轉(zhuǎn)移、儲(chǔ)存電子證據(jù)期間的一切行為都要記錄歸檔以供審查。

該過(guò)程模型的內(nèi)容是：

(1)準(zhǔn)備(Preparation)

在調(diào)查前，準(zhǔn)備好調(diào)查期間所需要的設(shè)備和工具，對(duì)計(jì)算機(jī)犯罪的計(jì)算機(jī)調(diào)查人員進(jìn)行培訓(xùn)。由于電子證據(jù)易丟失，在對(duì)電子證據(jù)進(jìn)行收集、封存、儲(chǔ)存和運(yùn)輸?shù)倪^(guò)程中，對(duì)所用到的設(shè)備和工具要特別注意，那些會(huì)產(chǎn)生靜電、磁場(chǎng)的工具非常容易破壞電子證據(jù)。

(2)收集(Collection)

①保護(hù)與評(píng)估現(xiàn)場(chǎng)(Secure and Evaluate the Scene)：為了確定后面的具體行動(dòng)，對(duì)計(jì)算機(jī)取證的現(xiàn)場(chǎng)范圍進(jìn)行徹底的評(píng)估。通過(guò)回顧搜查令或其他授權(quán)，根據(jù)案件的細(xì)節(jié)，硬件和軟件的性質(zhì)，識(shí)別潛在的證據(jù)并通過(guò)獲取證據(jù)現(xiàn)場(chǎng)的環(huán)境來(lái)確定哪些證據(jù)要進(jìn)行重點(diǎn)檢查，同時(shí)要確保電子證據(jù)與傳統(tǒng)證據(jù)的完整性以及保護(hù)現(xiàn)場(chǎng)人員的安全。

②對(duì)現(xiàn)場(chǎng)記錄歸檔(Document the Scene)：及時(shí)記錄和歸檔現(xiàn)場(chǎng)有關(guān)情況，如現(xiàn)場(chǎng)取證位置、電源狀態(tài)、計(jì)算機(jī)設(shè)備、存儲(chǔ)介質(zhì)、網(wǎng)絡(luò)設(shè)備等等。

③證據(jù)提取(Evidence Collection)：計(jì)算機(jī)證據(jù)的提取是在收集到大量數(shù)據(jù)中找到犯罪證據(jù)，所以根據(jù)計(jì)算機(jī)活動(dòng)狀態(tài)的記錄和犯罪現(xiàn)場(chǎng)的環(huán)境，需選擇合法有效的程序來(lái)收集系統(tǒng)的數(shù)據(jù)副本。在證據(jù)的提取中主要會(huì)遇到兩個(gè)問(wèn)題：一是犯罪嫌疑人會(huì)對(duì)重要文件進(jìn)行加密，二是犯罪嫌疑人作案后會(huì)刪除、銷(xiāo)毀證據(jù)，這就需要使用到相應(yīng)的密碼破解技術(shù)和數(shù)據(jù)恢復(fù)技術(shù)。

(3)檢驗(yàn)(Examination)

對(duì)可能存在于系統(tǒng)中的證據(jù)進(jìn)行校驗(yàn)，特別是對(duì)那些隱藏的證據(jù)進(jìn)行檢查，要構(gòu)建一份詳細(xì)的文檔以便查找證據(jù)。

(4)分析(Analysis)

該階段是對(duì)對(duì)檢驗(yàn)分析的結(jié)果進(jìn)行復(fù)審和再分析，提取對(duì)案件偵破有價(jià)值的信息，從原始數(shù)字證據(jù)中找出計(jì)算機(jī)犯罪活動(dòng)遺存的痕跡，還原計(jì)算機(jī)犯罪過(guò)程，鎖定計(jì)算機(jī)犯罪嫌疑人，并證明計(jì)算機(jī)犯罪嫌疑人和計(jì)算機(jī)犯罪活動(dòng)之間的關(guān)聯(lián)。

(5)報(bào)告(Reporting)

匯總對(duì)案件的分析檢驗(yàn)結(jié)果，提交和陳述證據(jù)。在法庭上最困難的問(wèn)題是將計(jì)算機(jī)證據(jù)獲取過(guò)程向沒(méi)有技術(shù)背景的人陳述。證據(jù)的價(jià)值最終依賴(lài)于如何將它呈現(xiàn)在法庭上。因?yàn)?，即使是?duì)證據(jù)微小的質(zhì)疑都將使證據(jù)失去證實(shí)任何犯罪的可能。所以取證結(jié)果的報(bào)告必須可以使沒(méi)有技術(shù)的或沒(méi)有計(jì)算機(jī)背景知識(shí)的人(包括法官、律師等)能夠理解。計(jì)算機(jī)證據(jù)必須以很簡(jiǎn)單并且很精確的方式呈現(xiàn)，這樣才能使法庭上的所有人理解證據(jù)。

該模型是美國(guó)司法部(DOJ)從具體技術(shù)角度抽象出的模型，用來(lái)描述計(jì)算機(jī)取證的過(guò)程。由于該模型參考了標(biāo)準(zhǔn)的物理現(xiàn)場(chǎng)調(diào)查模型，使數(shù)字取證更貼近司法實(shí)踐，因此對(duì)電子證據(jù)的收集有時(shí)也可以利用傳統(tǒng)的物理取證手段。但在這個(gè)指南中并沒(méi)有對(duì)計(jì)算機(jī)或其他電子設(shè)備的取證區(qū)別對(duì)待，而是對(duì)大多數(shù)電子設(shè)備建立了一個(gè)通用的取證過(guò)程。該指南詳細(xì)地列舉了從電子設(shè)備以及犯罪現(xiàn)場(chǎng)環(huán)境中可以取到哪些類(lèi)型的證據(jù)和一些潛在的證據(jù)，并列舉了與這些證據(jù)相關(guān)聯(lián)的犯罪類(lèi)型。該模型也有優(yōu)缺點(diǎn)。

優(yōu)點(diǎn)：

①對(duì)不同類(lèi)型的電子證據(jù)以及對(duì)安全處理的各種方法都進(jìn)行了說(shuō)明；

②取證過(guò)程滿(mǎn)足法律約束，保證了取證的合法性，以及證據(jù)的有效性；

③能指導(dǎo)司法人員對(duì)計(jì)算機(jī)犯罪進(jìn)行現(xiàn)場(chǎng)調(diào)查。

缺點(diǎn)：

①過(guò)分依賴(lài)于物理過(guò)程；

②對(duì)系統(tǒng)的分析涉及較少，沒(méi)有考慮到計(jì)算機(jī)的特性；

③缺乏詳細(xì)的檢查與分析過(guò)程的說(shuō)明，通用性不強(qiáng)。

2 結(jié)束語(yǔ)

面對(duì)日益增多的計(jì)算機(jī)犯罪，數(shù)字取證變得非常重要，而數(shù)字取證程序又是數(shù)字取證工作中的重要環(huán)節(jié)，因此它的制定應(yīng)確保具有法律效力和普遍適合原則。取證程序的正確制定是取證工作的關(guān)鍵，一個(gè)合理、正確且合法的數(shù)字取證程序?qū)θ∽C工作起著指導(dǎo)作用，它能確保取證工作各個(gè)環(huán)節(jié)的正確進(jìn)行。只有保證取證工作各個(gè)環(huán)節(jié)的程序化，才能使得取證結(jié)果具有可信性，在法庭上才具有說(shuō)服力。