電子證據鑒定技術和規范研究

何 月 ，韓索華 ，劉樹金 ，趙 磊

（1.中國石油大學計算機科學與技術系 北京 102200；2.北京市昌平區人民檢察院 北京 102200）

1 引言

進入21世紀，人類進入了信息化、網絡化的時代，互聯網的誕生和發展是現代社會的一場深刻革命，借助互聯網這一平臺，信息一體化給全球帶來了前所未有的變化，各種各樣的電子產品已經進入千家萬戶，成為人們參與社會活動時不可缺少的生活、工作、學習工具。電子產品在使大家深受裨益的同時，也伴隨產生了利用各種電子設備和工具進行的各種違法犯罪活動。各類智能型犯罪，以計算機犯罪為代表，其中大多證據信息都以數字形式通過電子與通信產品、計算機或網絡進行存儲、傳輸和傳播，從而出現了“數字證據”的概念。近年來，電子證據這一以高科技電子介質為載體的證據形式逐步進入了司法領域，司法實踐中涉及電子證據（計算機證據、電子物證）的案件層出不窮，數量呈現大幅上升趨勢，因此，面對種類繁多的電子數據載體，能為案件提供偵察方向和證據的情況將越來越多，作為為辦案部門提供技術支持的技術部門，面臨新的任務和挑戰。筆者主要結合電子證據的載體種類繁多及其自身的顯著特征，針對電子證據的檢驗鑒定的發展狀況，從開展電子證據檢驗及專業建設及電子證據檢驗材料的提取與保存、電子證據檢驗的要求和作用、電子證據檢驗技術方法等方面入手，對電子證據的取證及檢驗方法進行深入探討。

2 電子證據鑒定技術的發展狀況

證據制度作為國家司法制度的組成部分，同國家和法律制度的整體一樣，是隨著社會經濟基礎的變化而變化的，同時也是與人類認識客觀世界的能力的提高密切相關。

2.1 電子證據檢驗鑒定的國外研究現狀

英美法系學者對電子證據的研究已有相當長的歷史，其對電子證據的可采性與證明力以及收集、保全、出示、質疑與認定電子證據的規則已經形成了較為成熟的看法。在大陸法系國家，基于證據法不具有獨立的地位等緣故，電子證據的研究尚未受到應有的重視。

2.2 電子證據檢驗鑒定的國內研究現狀

我國情況與大陸法系國家相似，對電子證據的研究仍然相當膚淺，并且存在大量誤區和混亂。然而，電子證據走進司法領域是不以人的意志為轉移的必然趨勢。因而，我們對電子證據進行研究，不僅為立法機關、司法機關提供了理論支持，而且拓展了我國證據法學研究領域，具有重大的理論意義和實踐價值。

2.3 相關法律的制定情況

許多國家和地區對電子證據已制定出了一些相關的法律、法規和條例，提供了運用電子證據來證明客觀事實的法律依據，如聯合國貿法會于1996年通過的《電子商務示范法》，菲律賓《電子證據規則》，加拿大《1998年統一電子證據法》，印度《1999年信息技術法》，新加波《1998年電子交易法》，英國《1968年證據法》之電子證據部分，《1984年警察與刑事證據法》之電子證據部分，美國《1999年統一證據規則》之電子證據部分，美國《統一電子交易法》之電子證據部分，美國《統一計算機信息交易法》之電子證據部分，南非《1983年計算機證據法》等。

在我國司法實踐中，許多法律法規增加了關于電子證據的條款：

· 《中華人民共和國合同法》的電子證據部分；

· 最高人民法院 《關于民事訴訟證據的若干規定》的電子證據部分；

· 最高人民檢察院《人民檢察院刑事訴訟規則》的電子證據部分；

· 最高人民檢察院《關于檢察機關偵查工作貫徹刑訴法若干問題的意見》的電子證據部分；

· 公安部《公安機關辦理刑事案件程序規定》的電子證據部分；

· 上海市《國際貿易電子數據交換管理規定》；

· 上海市《電子商務價格管理暫行辦法》（數字證書部分）；

· 香港地區《電子交易條例》的電子證據部分等。

這些法規和條例為當前的各類案件的辦理和訴訟工作提供了運用電子證據來證明客觀事實的法律依據。

3 電子證據檢驗鑒定的概念、特點及檢驗對象

司法鑒定是指在訴訟活動中，鑒定人運用科學技術或者專門知識對訴訟涉及的專門性問題進行鑒別和判斷，并提供鑒定意見的活動。

電子證據檢驗鑒定是指鑒定人運用計算機技術、物理學以及電子技術的原理和技術手段，對訴訟涉及到的電子數據進行恢復、鑒別和判斷，并提供鑒定意見，以取得最具證明力的電子數據證據作為認定事實的依據。

電子證據檢驗鑒定的特點有：（1）需要檢驗鑒定的客體發展變化快，電子證據是以存儲介質記錄的內容來為案件提供相關的證據，但從物理性質上講，隨著科技的發展，涉及的存儲介質也越來越多，這樣，為圍繞該類證據的提取，檢驗鑒定也在不斷提出新的要求。（2）電子證據所涉及的物證與傳統物證相比，具有形式多樣、介質依賴、易破壞、時限性強的特點，鑒于電子證據的特點，電子證據檢驗鑒定不僅僅要重視結果的準確性和正確性，更加重要的因素是檢驗鑒定的程序必須符合相關的程序。（3）電子證據的檢驗鑒定必須由具有鑒定資格的專門技術人員進行，電子證據檢驗鑒定是司法鑒定的技術種類中一種，因此，圍繞司法鑒定開展的全部活動應該遵循國家關于司法鑒定的相關規定。（4）電子證據的檢驗鑒定必須使用具有科學依據的專門儀器和技術手段進行。根據電子證據的特點，檢驗鑒定工作離不開專門的技術設備，而且，這樣的設備必須具備相關資質和資證，否則，所開展的檢驗鑒定工作也是沒有根據的。

電子證據是由電子信息技術應用而出現的各種能夠證明案件真實情況的材料及其派生物。這里所述的“材料及其派生物”就是勘驗和檢查的對象，常見表現形式有：電子郵件、電子數據交換、網上聊天記錄、網絡博客、手機短信、電子簽名、域名等。有學者根據電子證據在證明案件事實上作用的大小將其分為電子數據本身、附屬信息證據和系統環境證據，從這個角度能夠對檢驗對象有更清晰的把握。

目前，在社會上應用的計算機的存儲介質多達40種（如圖 1所示），主要包括：軟盤、硬盤、光盤、磁帶、流式帶、不同類型和容量的活動硬盤、活動軟盤等。主要為：3.5寸、2.5 寸、1.8 寸、IDE、SATA、SCSI等 7 種 不同規格硬盤；2種規格軟盤；CD-ROM/CD-R/CD-RW/DVD/DVD-R/DVD-RW 6種類型光盤；128/230/640/1300 MB 4種規格MO光盤；ZIP 100/250/750 MB 3種規格大容量軟盤；JAZ 1000/2000 MB 2種規格可擴充硬盤；CF/SM/MMC/SD等10種類型閃存卡；USB接口移動硬盤、FIREWARE 400/800接口移動硬盤、SCSI接口移動硬盤等。

其他類型的設備，包括手機機身、SIM卡、掌上電腦（PDA）、打印機、復印機、數碼照相機、數字攝像機、傳真機等。

4 電子證據檢驗材料的提取與保存

4.1 電子證據取證的基本過程

圖1 存儲介質種類

電子取證的基本過程是：到達現場后，檢查機器當時的狀態是否安全，是否有需要獲取的實時證據，如正在運行的進程等。檢查和獲取實時證據之后關掉機器，然后，判斷可否制作磁盤鏡像。可以則制作鏡像并回實驗室繼續取證直至提交證據為止；否則，檢查不能制作鏡像的原因（例如磁盤故障）。

（1）保護現場和現場勘查

封存目標計算機系統并避免發生任何的數據破壞或病毒感染，繪制計算機犯罪現場圖、網絡拓撲圖等。在移動或拆卸任何設備之前都要拍照存檔，為今后模擬和還原犯罪現場提供直接證據。

整個檢查、取證過程必須是受到監督的，公安部《計算機犯罪現場勘驗與電子證據檢查規則》第9條規定：“對計算機犯罪現場進行勘驗和對電子證據進行檢查不得少于二人。現場勘驗檢查，應當邀請一至兩名與案件無關的公民作見證人。公安司法人員不能充當見證人。”該規則第16條、第23條分別對現場勘驗時提取數據、封存物品文件的過程、在線分析的關鍵步驟以及遠程勘驗過程中提取、生成電子證據等關鍵步驟規定了錄像的要求。《人民檢察院檢察技術部門電子證據勘驗程序規則 （試行）》（征求意見稿）第16條也規定：“數據內容勘驗重要步驟應當全程錄像，錄像資料應當編號保存。”

要特別注意保證“證據的連續性”，即在證據被正式提交法庭時，必須能夠說明在證據從最初的獲取狀態到在法庭上出現的狀態之間的任何變化。

（2）獲取證據

證據的獲取很難有固定的、一成不變的方法和模式。在理想狀態下，任何一臺需要分析的計算機都可以關掉電源，重新啟動，做一個完整的鏡像。這時，取證人員只需取下硬盤，進行各種操作即可。但是，這僅僅是個理想狀態而已。電子取證領域最具爭議的話題之一就是：在取證時究竟是讓一臺計算機繼續運行還是立即拔掉電源，或者進行正常的管理關機過程。大多數取證人員為了使計算機停留在當前狀態，采取立即拔掉電源的做法，但是這一做法會毀掉處于入侵過程中的相關數據，并且可能毀壞硬盤上的數據。這也正是事后取證難以解決的問題。最好的方法應該是針對現場的具體情況迅速做出判斷，采取合適的方法獲取數據。

4.2 取證工作面臨的難題

第一，多數情況下，系統管理員發現網絡遭到攻擊和破壞后，由于急于確認攻擊怎樣出現并重建系統，往往破壞了證據。另外，用戶也要克服對犯罪行為進行報告時的猶豫心態，不要因為擔心損害企業聲譽而對受到的網絡攻擊隱瞞不報。

第二，面對復雜、海量的數據，如何審查判斷出與案件關聯的、反映案件客觀事實的電子證據。任何對應用系統或數據庫的增刪、收發電子郵件等行為所產生的數據都存儲在數據庫、緩存區或臨時文件中，并和海量的其他數據混雜在一起。而且，計算機應用系統繁多，電子證據存儲狀態復雜、表現形式多樣，所以，從海量的計算機數據中甄別出與案件有關聯的、反映案件客觀事實的證據是很有難度的。

第三，如何依照科學、規范的程序進行收集取證。很多組織和機構投入了大量的人力開發取證工具，例如FTK、EnCase等，但是這些取證工具沒有統一的標準和規范，因而軟件的使用者很難對工具的有效性和可靠性進行比較。要證明一種工具是精確可靠的并不是件簡單的事。只有當有資質的機構認定這些工具是準確和可靠的，它們才能用來進行取證。

5 電子證據取證的發展與規范

5.1 電子證據取證的發展趨勢

電子取證技術一方面會隨著司法實踐中的應用而不斷完善；另一方面會隨著黑客技術等計算機技術的發展而相應地出現新的對策。電子取證主要有以下幾個發展趨勢。

第一，取證工具和程序向標準化方向發展。由于電子取證本身的特點，如何根據中國的實際情況，采取科學規范的手段和方法，有效保證檢驗結果的科學性和規范性，是致關重要的事情。從目前國際國內開展電子取證的情況看，國外產品在電子取證規范化的檢驗程序方面，還沒有適合中國國情的產品。

由于國外開展研發比較早，具有專門的研發隊伍，所以在電子取證檢驗工具方面成果卓越，包括主流的大型分析工具 EnCase、FTK和X-WAYS，專業的數據恢復工具EasyRecovery、R-Studio、PhotoRecovery，容易失數據獲取工具 F-Response、X-WAYS Capture，密碼破解工具 PassWare等，這些軟件工具功能強大。

第二，取證領域不斷擴大。電子取證涉及磁盤分析、加密、圖形和音頻文件的研究、日志信息發覺、數據庫技術、媒介的物理性質等多方面的知識。現在，很多工作依賴于人工實現，大大降低了取證速度和取證結果的可靠性。未來的取證軟件會加入更多的自動發現和分析的功能，以更多的代替人工操作。

第三，由事后取證向實時取證發展。將電子取證結合到入侵監測等網絡安全工具中，就像安裝了監視器，能識別可疑活動，保存現場記錄，迅速生成電子證據，減少調查的時間，降低對偵查人員的要求。

5.2 電子證據取證工作標準和規范

由加拿大、法國、德國、英國、意大利、日本、俄國和美國的相關研究人員組成的G8小組已制定了一系列有關數字取證的標準，并提出了數字取證操作過程的6條原則：

·必須應用標準的取證過程；

·捕獲電子證據后，任何舉措都不得改變證據；

·接觸原始證據的人員應該得到相關培訓；

·任何對電子證據進行捕獲、訪問、存儲或轉移的活動必須有完整記錄；

·任何個人若擁有電子證據，那么他必須對其在該證據上的任何操作活動負責；

·任何負責捕獲、訪問、存儲或轉移電子證據的機構必須遵從上述原則。

5.3 電子證據取證工具標準和規范

美國國家標準和技術研究所 （national institute of standards and technology，NIST）的計算機取證工具測試計劃（computer forensic tooLTEsting，CFTT）的目標就是通過開發通用的工具規范（Specification）、測試過程、測試標準、測試硬件和測試軟件，建立用于測試數字取證軟件的方法。該測試方法是基于一致性測試盒質量測試的國際方法，符合ISO/IEC 17025:1999（能力測試盒校準實驗室）的一般要求。

CFTT采用的工具測試流程包括2個主要步驟。

（1）制定規范過程

·信息技術實驗室（information technology laboratory，ITL）和有關法律部門制定工具類別規范，即對所選取證工具類型制定相關的要求、申明和案例測試文檔。

· 將工具類別規范在網上公布，征求同行意見和社會評論。

·將相關的評論和反饋意見融入該規范。

·為該類型工具設計一個測試環境。

（2）工具測試過程

·ITL獲得該測試工具。

·ITL審核工具文檔。

·根據工具提供的特性，ITL選擇相關的測試案例。

·ITL制定測試策略。

·ITL執行測試。

·ITL產生測試報告。

·同行審核該報告。

·其他人員審核該測試報告。

·ITL將結果發布到網上。

5.4 我國的標準化情況

目前，我國關于電子證據檢驗鑒定的行業標準有：全國刑事技術標準化技術委員會組織完成的 《電子物證數據搜索檢驗技術規范》（GA/T825-2009）、《電子物證數據恢復檢驗技術規范》(GA/T826-2009)、《電子物證文件一致性檢驗技術規范》（GA/T827-2009）、《電子物證軟件功能檢驗技術規范》（GA/T828-2009）、《電子物證軟件一致性檢驗技術規范》（GA/T829-2009）等，其公布實施可以說是我國電子證據鑒定標準化研究的階段性成果，其中對送檢的檢材和樣本進行惟一性編號，對送檢的檢材和樣本進行拍照，啟動殺毒軟件對電子物證檢驗工作站系統進行殺毒等操作步驟都是保證檢材原始性、真實性、完整性的重要操作標準。

6 電子證據檢驗的要求

6.1 電子證據檢驗應遵循的原則

電子證據具有隱蔽性、數量巨大的特點，可能與其他涉及個人隱私的數據呈交叉組合狀態，特別是當計算機被多人使用或者處在網絡系統中時。如果按照《刑事訴訟法》第114條“扣押物證、書證的范圍”的規定對計算機進行扣押，難免侵犯他人的合法權益，甚至可能觸犯刑法中關于計算機犯罪的相關規定。

一方面，為了更有效地收集證據，偵查人員應盡可能地擴大檢查范圍；另一方面，漠視公眾的合法權益與現代法治精神相違背。為了兼顧打擊犯罪與保護公眾合法權益的平衡，在搜查、扣押、勘驗、檢查時應考慮以下原則。

（1）有限原則

與傳統勘驗、檢查的物理限制不同，應從技術的角度限制檢驗范圍，如計算機用戶、制作者、登陸時段、電子郵箱、關鍵字等。

（2）必要性原則

結合以下幾個要素判斷有無扣押他人數據的必要性：犯罪嫌疑人涉嫌犯罪的內容，該電子數據作為證據的證明價值，電子數據受到篡改、刪除的可能性以及該電子數據所有人的商業秘密和隱私的保護等。

（3）保密原則

因辦案而知悉的電子數據要嚴格保密、防止外泄或者毀損等。尤其是對他人的或提供協助的網絡服務商的信息，更要嚴格遵守保密原則。

另外，有必要對檢驗范圍提出全新的規則，將檢驗電子證據的決定權限、實施方法、適用范圍等內容納入司法程序中。《人民檢察院檢察技術部門電子證據勘驗程序規則（試行）》（征求意見稿）已經有了做出了有益的嘗試：“勘驗應當持有檢察長簽發的勘查證”，這里的“勘驗”包括“場所勘驗”、“存儲介質或設備勘驗”和“數據內容勘驗”。關于檢驗活動的適用范圍，案情的巨大差異造成檢驗對象的千差萬別，因此還有待在長期的實踐中積累出具有共性的標準。

6.2 非法證據排除規則在電子證據檢驗過程中的體現

非法證據排除規則用于調整電子證據是實現非法證據排除規則本身對“E”空間的保護而不是讓非法偵查行為這一病區向無形的虛擬空間擴散的重要機制。

7 電子證據檢驗技術方法

以電子證據的來源為標準，電子取證技術可分為：單機取證技術、網絡取證技術和相關設備取證技術。而以電子取證的過程為標準，電子取證技術可分為：電子證據的發現技術、固定技術、提取技術、分析技術和表達技術等。

（1）發現技術

分析當前計算機的類型、采用的操作系統，是否為多操作系統或有隱藏的分區；有無可疑外設；有無遠程控制、木馬程序及當前計算機系統的網絡環境。注意開機、關機，避免正在運行的進程數據丟失或存在不可逆轉的刪除程序。

（2）提取技術

計算機證據的收集、提取工作對取證人員的業務素質有較高的要求，在提取過程中，要深入細致地對計算機中尚未清空的內存、殘留的打印文檔、硬盤的臨時文件的可疑痕跡等進行查找分析。

·將主要犯罪事實連同顯示器進行攝像、拍照。查找到相應證據后，應首先確定其在計算機中存放的位置并攝像、拍照，此后將證據顯示在計算機顯示器上，再進行攝像、拍照。

·將計算機證據進行文書化，用相應的應用程序打開文件，打印輸出（可只打印有代表性的內容）。打印后標明提取時間、地點、機器、提取人及見證人。

·備份計算機證據，利用同規格的軟盤、硬盤、光盤、MO盤等介質對提取的計算機證據進行復制備份，備份數目原則上應為兩套。另外須加以注意的是備份時所使用的各類介質都必須經過系統格式化，以保證所使用的備份介質是空白的。

（3）固定技術

封存物證，如非必要，需斷開網絡連接。可移動存儲介質的取證步驟可參照上述進行，但操作前注意應先進行寫保護，并打封簽字，避免可能的介質損壞或被修改，取證后封存。

（4）分析技術

采用專業搜索、動態過濾、信息排查等綜合分析手段，充分挖掘檢材中的內容證據和活動線索。對相關案件的關鍵信息進行關聯性、身份角色、活動規律等綜合分析，包括EnCase、FTK、X-WAYS等軟件是目前電子取證綜合檢驗廣泛使用的產品。

8 如何開展電子證據檢驗及專業建設

第一，基于網絡的虛擬性、隱蔽性以及電子證據的易改性等特點，證據不易收集、固定。第二，嫌疑人也極易變更，甚至毀滅證據。第三，專業偵查人員較少，一般的電子證據都是由普通偵查人員取證，也極大影響了電子證據的檢驗工作。這3個方面都是后續發展的方向。

檢察機關應加快自有的計算機人才培養的力度。其中分兩個層次：一個是應用層次的，加強偵查人員的網絡專業技術培訓，增強偵查取證能力。同時，加強檢察機關、審判機關承辦人員的網絡專業技術培訓，提高其起訴、審理網絡犯罪的能力。第二是分析層次的，要求計算機專業人員能進行有效的電子證據的取證工作，能進行相關的破譯、數據查找和數據恢復工作。

電子證據鑒定問題是由技術發展而引起的，隨著計算機技術和通信技術的迅猛發展，必須不斷地調整鑒定的方法、手段與程序才能適應技術的進步。

1 余彥峰.數字證據及其取證技術.網絡安全技術及應用，2002（2）

2 陳俊.對電子商務征稅的幾點立法思考.法制日報，2001-09-30

3 吳曉玲.論電子商務中的電子證據.科技與法律，1999（2）

4 韓鷹.對電子證據的法律研究.中國律師2000年大會論文集，2000

5 董杜驕.論電子證據的法律地位.北京：中國經濟出版社，2002

6 張嘉林.電子數據證據淺析.司法前沿，2003（2）

7 何家弘主編.電子證據法研究.北京：法律出版社，2002

8 張西安.論計算機證據的幾個問題.人民法院報，2000-11-07

9 劉品新主編.電子取證的法律規制.北京：中國法制出版社，2010