電子數據司法鑒定課程實驗教學研究

亞 森·艾則孜

(新疆警察學院 信息安全工程系，新疆 烏魯木齊 830011)

據統計，我國從首例計算機犯罪(1986年利用計算機貪污案件)被發現至今，涉及數字設備的犯罪無論從犯罪類型還是從發案率來看，都在逐年大幅度上升,國外有犯罪學家預言:“未來信息化社會犯罪的形式將主要是基于數字設備的信息化犯罪”[1]。因此，在不同數字設備中可能遺留一些與相關案件有關的電子證據。 面對不斷上升的犯罪信息化現象，電子數據司法鑒定成為鑒定案件中數字證據的有力手段。2012年修訂的刑事訴訟法和民事訴訟法中都明確規定電子數據屬于證據的一種。電子數據司法鑒定，是一門新興的、發展迅速的學科，它在打擊犯罪、案件審判、維護國家安全和社會和諧穩定等方面發揮著重要的作用。

1 電子數據司法鑒定實驗課

目前，我國很多公安、政法院校的信息安全或刑事科學技術專業開設了電子數據司法鑒定課程，此課程已成為信息安全或刑事科學技術專業體系的核心課程之一。為適應信息化時代的需求，需要深入研究該課程的問題，特別是研究實驗教學模式問題，將有利于學生提高電子數據司法鑒定的能力。

電子數據司法鑒定課程是一門跨學科的理工科綜合課程，極具實踐性。在開設該課程之前,學生必須學過計算機原理、數據結構、數據庫、C語言程序設計、偵查學及法學等課程，已掌握基本理論知識和基本專業技能。同時電子數據司法鑒定課程也是實踐性很強的課程，實踐教育是創新人才培養體系的重要組成部分。實驗教學作為實踐教育的主要組成部分之一，對于提高學生的綜合素質、培養學生的創新精神與實踐能力有著不可替代的作用[2]。

1.1 實驗教學性質和存在問題

電子數據司法鑒定實驗教學是電子數據司法鑒定課程教學的重要環節，通過電子數據司法鑒定實驗教學使學生更好地理解和掌握電子數據司法鑒定的知識及技能，讓學生熟練地掌握正確的電子數據司法鑒定理念、流程及具體鑒定工具(軟件、硬件設備)的操作,提高對實際問題的分析、解決能力。很多公安院校普遍存在的實際問題如下：

(1) 實驗室的建設跟不上教育改革的步伐；

(2) 對電子數據司法鑒定課程實驗教學重視不夠，導致課程體系和內容不合理；

(3) 解決具體問題并具有綜合性的實驗偏少，個別學校該課程實驗課沒有完整的教學大綱，實驗內容缺乏針對性和實用性；

(4) 實驗教師缺乏實踐能力，業務能力參差不齊。

1.2 實驗教學要求和方法

(1) 實驗室是教師進行教學、科研的重要基地，也是學生理論聯系實際提高專業技能的重要場所，因此開設該課程的學校必須建立好充分滿足教學需要的電子數據司法鑒定實驗室。

(2) 為激發學生的學習興趣、調動學生的學習主動性，任課教師根據教學大綱及實驗室條件合理地設計好實驗大綱，實驗內容的安排循序漸進，從簡單到綜合，從模擬的小型案例到具有代表性的實際案例[3]。

(3) 任課教師必須具備豐富的實踐經驗，原則上擔任該課程實驗教學的教師必須具有國家電子數據司法鑒定資格，應具備通過有針對性的實際案例感染學生、激發學生的學習興趣和能力[4]。

2 實驗教學改革

2.1 實驗教學環境要求

對目前很多公安、政法類院校在電子數據司法鑒定教學實驗室建設方面所遇到的種種問題，我們進行了深入、細致的研究，并結合當前電子數據司法鑒定發展的現狀，有針對性地提出公安、政法類院校進行電子數據司法鑒定教學實驗室建設的出發點[5]。

(1) 電子數據司法鑒定教學實驗室所使用的設備是專門針對教學而開發的，與專業的取證設備相比，具有價格低廉、維護方便、使用簡單、適于教學等優點，不需要很大的資金投入，可解決建設資金不足的問題。由于該實驗室只能為教學服務，不需要建設類似于電子數據司法鑒定中心實驗室一樣的高端實驗室，可以在現有的計算機多媒體教室的基礎上進行升級改造，充分提高現有實驗室的利用率，降低實驗室建設成本。實驗室所需軟件和硬件設備與專業的鑒定工具相比，應具有價格合理、使用簡單、維護方便等特點[6]。

(2) 電子數據司法鑒定教學實驗室既能進行理論教學，也能進行實驗教學，真正做到邊學習邊實踐，教師不需要在理論教室和實驗室之間帶領學生來回奔波，實驗室也方便管理，解決了師資不足問題。

根據以上觀點，我院建立了電子數據司法鑒定實驗室，主要設備有FL-300實訓系統、取證魔方、效率源、手機取證設備以及各類電子數據鑒定軟件工具等。

2.2 實驗教學內容設計

2.2.1 學生能力要求

通過電子數據司法鑒定課程的實驗教學內容，使學生能夠深化對課堂教學內容的理解和掌握，熟悉和了解有關電子數據司法鑒定的相關技術方法及具體工具的使用方法和過程，初步掌握網絡犯罪與電子數據司法鑒定的基本理論、基本方法、基本技術及其在司法實踐中的應用情況。為此,實驗內容需要精心設計，要能夠增強學生對學習內容的感性認識和實踐動手能力，從而為理論聯系實際以及運用于實際工作做好基本的技能準備。電子數據司法鑒定實驗教學必須反映具體電子數據司法鑒定工作內容。目前電子數據司法鑒定業務具體內容包括網站(網頁)內容鑒定、郵件鑒定、軟件功能鑒定、軟件(電子設備)侵權問題鑒定、信息系統鑒定、文檔文本鑒定 、即時信息(聊天記錄)鑒定等。根據電子數據司法鑒定行業要求，學生通過本課程的學習，必須掌握以下基本能力:

(1) 各種不同編碼數據的分析能力；

(2) 現場勘查與電子數據的提取、固定與校驗能力；

(3) 各種存儲介質數據的恢復能力；

(4) 各類文檔結構及其文檔特征的分析能力；

(5) 用戶行為鑒定能力；

(6) 惡意程序鑒定能力；

(7) 數據庫鑒定能力；

(8) 電子文檔與數據電文鑒定能力；

(9) 電子數據相似性司法鑒定能力；

(10) 手機證據鑒定能力；

(11) 電子數據鑒定報告的書寫能力。

2.2.2 實驗教學內容

結合電子數據司法鑒定行業及電子數據司法鑒定員操作能力要求，實驗教學內容主要包括：

(1) 二進制數據分析。在電子設備中所處理的各種語言文字信息都有編碼，主要有ASCII、Unicode、UTF-8、GB2312級BIG5等。電子數據司法鑒定提取、分析與處理的是計算機存儲介質中的數據，因此，數據的機器表示是電子數據司法鑒定基礎中的基礎。通過本次實驗，學生理解字符信息在數字設備中的不同應用程序里的各種字符編碼、代碼頁，懂得文件系統邏輯結構，了解并掌握低層次的數據分析。本次實驗課所需的工具有Windows 造字程序、Debug、UltraEdit 和WinHex等。

(2) 易失性數據的收集。易失性數據是指系統運行過程在某一時刻的詳細狀態信息，包括用戶登入列表、登入日期時間、運行進程列表以及網絡連接列表等信息。因易失性數據具有隱蔽性、客觀性、脆弱易逝性等特點，獲取這些證據的緊急性最高，所以必須最先獲取，以免意外情況造成易失性數據的丟失。通過本次實驗，學生熟悉Windows等系統內可獲取易失性數據的工具的功能以及使用方法和技巧。本次實驗課所需的工具有PS Tools、cmd.exe、net stat、ipconfig、md5sum、arp等[7]。

(3) 保全備份的制作。根據規范要求，鑒定分析工作必須在原始證據的副本上進行。原始證據的副本，一般可以分為幾種形式，如鏡像硬盤、證據文件等。證據文件是原始證據的精確副本，它是位對位的復制。通過本次實驗，學生理解什么是合法的電子數據司法鑒定備份文件，了解選用備份工具的要求，學會能在只讀環境下用電子數據司法鑒定復制工具對磁盤數據進行備份、查看映像備份文件的內容、驗證數據完整性(計算hash值)等。本次實驗課所需的工具有Second Copy、File Genie 2000、Ghost、dd、EnCase、取證大師、只讀鎖、硬盤克隆工具DC-8000pro等[8]。

(4) 恢復已被刪除的數據。在對數字設備的應用過程中，病毒的破壞、黑客的入侵、人為誤操作、人為惡意破壞、系統的不穩定、存儲媒介的損壞等原因，都有可能使重要的數據丟失。為獲取原始數字證據，必要時需要進行數據恢復[9]。通過本次實驗，學生理解各種操作系統文件系統結構及文件存取原理、各類文檔文件頭信息(特征碼)等，懂得數據恢復的可能性，了解并掌握常用的數據恢復軟件的使用方法和技能。本次實驗課所需的工具有Private Disk、XY-Forensic、Final Data 和Easy Recovery等。

(5) 數據的加密與解密。在信息時代，信息可以幫助團體或個人使他們受益，同樣，信息也可以用來對他們構成威脅，造成破壞。在競爭激烈的大公司中，工業間諜經常會獲取對方的情報。用戶經常需要一種措施來保護自己的數據，防止被一些懷有不良用心的人看到或者破壞。因此，在客觀上就需要一種強有力的安全措施來保護機密數據不被竊取或篡改。在具體的電子數據司法鑒定工作過程中，鑒定人員肯定會遇到各種被加密過的文件，因此在該實驗課中必須安排數據加密與解密實驗內容。通過本次實驗，使學生理解數據機密的原理，掌握常用的密碼破解技術，學會使用加密與解密工具。本次實驗課所需的工具有：FilesCrypter、Cmospwd、AOPR、GetIP、UZPC、CRACK、L0phtCrack5、WinPE啟動光盤、ImageHide等。

(6) 電子證據分析綜合實驗。電子數據司法鑒定工作對所獲得的證據進行分析，目的是從中找出合法的、有效的電子證據，以供日后提交證據之用。通過使用合法的專用工具進行分析，如果電子證據被發現時，應將每件證據清晰、準確地記錄下來。進行此次實驗課時，教師必須設計出具有代表性的案例，要講清楚從案情分析考慮要找什么樣的證據、此證據與此案件的關聯關系、采用什么工具及技術方法、可能犯下的錯誤、注意事項、全程記錄到最終鑒定報告的出具等詳細過程[10]。通過本次實驗，使學生理解在綜合取證、分析環境中建立案例和保存證據鏈，了解并掌握電子數據司法鑒定的全過程，包括保護現場、獲取證據、保存證據、分析證據和提交證據等。本次實驗課所需的工具有FM取證大師、EnCase等。

(7) 手機取證。手機取證就是通過對存在手機內存、SIM卡、閃存卡和移動運營商網絡以及短信服務提供商系統中的電子證據提取、保護、分析，最終找出與案件有關的、法庭可接受的證據的過程。進行此次實驗課時，教師首先解釋手機信息的類型及其存儲位置、手機取證原則及流程、排除干擾信號的方法等。通過本次實驗，使學生了解在安全環境中如何進行手機取證的流程，并熟練掌握使用專用手機取證工具來進行手機取證的技術方法。本次實驗課所需的工具有DC-4500手機取證套件。

3 結束語

在信息技術飛速發展的今天，對信息的依賴程度越來越高。在不同的案件中的相關電子證據獲取也面臨巨大的挑戰，這種現象對電子數據司法鑒定技術提出新的要求，因此要改變傳統的教學理念，尤其是在實驗教學上進行改革，而且教師要不斷提高自身的專業水平和素質，加強對學生技能的有效提高，促進電子數據司法鑒定課程實驗教學質量的提高。

[1] 王永全,齊曼.信息犯罪與計算機取證[M].北京：北京大學出版社,2010:344-350.

[2] 麥永浩.電子數據司法鑒定實務[M].北京：法律出版社,2011：1-15.

[3] 田運生,劉維華,王景春.綜合性設計性實驗項目建設的探索與實踐[J].實驗技術與管理,2012,29(2):126-129.

[4] 丁美榮.虛擬實驗與真實實驗整合的計算機網絡研究性實驗教學研究[J].實驗技術與管理,2011,28(5):163-166.

[5] 馬丁,高云飛，王永全，等.電子數據勘查取證與鑒定(系列書)[M].北京:中國人民公安大學,2012:88-96.

[6] 林元乖.創新型計算機網絡實驗教學研究[J].實驗技術與管理,2010,27(12):174-177.

[7] Bill Nelson,Amelia Phillips,Fran Enfinger.計算機取證調查指南[M].重慶：重慶大學出版社,2009:218-226.

[8] 麥永浩,隆波,向大為,等.電子數據司法鑒定機構儀器設備配置標準研究[J].中國司法鑒定，2012(1):90-92.

[9] 司法部司法鑒定科學技術研究所(上海法醫學重點實驗室).2012司法鑒定能力驗證鑒定文書評析[M].上海：科學出版社，2013：492-495.

[10] 霍憲丹，杜志淳，郭華，等.司法鑒定通論[M].北京：法律出版社，2013：318-322.