基于數字取證技術的安全可靠電子文件管理系統

宋 輝 張怡靜

（ 1.鄭州航空工業管理學院，河南 鄭州 450015； 2.湖南省建筑工程集團總公司中原工程分公司，河南 鄭州 450053）

隨著電子文件的大量產生，電子文件逐漸取代紙質文件成為主要的社會記錄形式，電子文件管理工作成為檔案管理工作的重要組成部分。然而信息技術的發展已經改變了檔案產生、真偽性識別和保存的方式。電子文件不同于紙質文件，由于電子文件依賴于硬件系統和軟件系統，所以需要不斷地維護，這就造成了想要保存完整和真實的電子文件是具有挑戰的。如果用戶利用現有的軟件和硬件能夠成功地讀出電子文件，我們才可以認為電子文件是可訪問的。檔案工作者有責任保持電子文件的長期可讀性，使其完整性、真實性和可訪問性不被破壞。類似地，數字取證專家利用數字設備保存、收集、驗證、識別、分析、解釋和記錄來源于數字環境的數字證據。然而當這些電子文件不在電子文件管理系統中時，收集、識別、驗證、保存這些電子文件就非常困難了。本文將提出一個能夠被檔案工作者用來收集電子文件和生成歸檔電子文件有關的元數據的一個數字檔案管理系統，數字檔案管理系統的主要目的是提供數字取證技術和用于獲取、識別、分析、管理檔案館的電子文件。

1 數字取證

1.1 數字取證定義

數字取證研究工作組給出的定義，其具體內容是：為了重建數字犯罪過程，或者預測并杜絕有預謀的破壞性未授權行為，通過使用科學的、已證實的理論和方法，對源于數字設備等資源的數字證據進行保存、收集、確認、識別、分析、解釋、歸檔和陳述等活動過程［1］。

1.2 數字取證與電子文件

正如數字取證的定義，數字法醫專家從事數字數據的識別和保存。檔案工作者也在從事類似的工作。然而，兩者的工作在數字取證和數字歸檔方面有不同的角色。

文件的哈希值（摘要）可以用來檢查電子文件數字檔案的完整性。在存儲電子文件之前，可以生成電子文件的散列值。每當出現問題時，這個散列值可以用于檢查檔案的完整性。

1.3 可信電子文件的屬性

可信的電子文件是指真實性、完整性與長期可用性得到確認的電子文件［2］。“確認”不僅表明電子文件真實性得到了保障，還能對其真實性提供證明，從而滿足社會對電子文件真實性要求的主觀認知，電子文件是可信的，也就具有了法律效力，因此，可信電子文件是真實性、完整性、長期可用性得到保障并能進行真實性證明的電子文件［3］。

電子文件至少要明確由誰何時創造才可以認為其是可信的電子文件。此外，電子文件生成后，一旦被修改，這種修改行為能夠被正確地記錄。可信電子文件主要的屬性有以下幾點：完整性（保持電子文件是完整的和不變的。這并不意味著，電子文件不會遇到任何改變，而是意味著電子文件必須受到保護，免遭篡改或損壞）；真實性（如果確定是某人發送的或者生成的，那么就認為此電子文件是真實的）；證明存在性（可以用具體技術來證明電子文件存在于過去的某一時間）。

電子文件的這些基本屬性可以用電子文件的比特流、時間戳和哈希函數來驗證。散列函數接受二進制數據的一個任意字符串，在預定的范圍內產生一個數，通常稱為一個摘要。理想情況下，給定一組不同的輸入，散列函數將它們映射到不同輸出。電子文件創建后，它的摘要是通過電子文件比特流計算出來的。這個號碼可以用于三個目的。首先，它被用作完整性驗證機制。如果電子文件在其摘要被計算后修改，它的比特流將被改變，所以摘要也將改變。因此，使用摘要可以很容易地檢查出電子文件的完整性。其次，電子文件的真實性可以使用其摘要和創造者的數字簽名來確定。第三，可以通過摘要和從可信時間戳機構獲得的時間戳來證明電子文件在過去某個時間存在。上述三種技術可以用來證明可信電子文件，并且它們依賴于電子文件的比特流。

2 電子文件面臨的挑戰

2.1 長期可用性挑戰

有用的電子文件，它應該是可訪問的。然而，隨著技術不斷地進步，面臨的主要挑戰是：媒介過時（由于缺乏硬件訪問媒介，電子文件變得不可讀）；文件格式過時（由于創建電子文件的原始軟件不再可用，這些重要的電子文件無法訪問）。

2.2 完整性的缺失

電子文件由于其數字特性可以輕易地操縱和更改。用散列算法可以證明電子文件的完整性。然而，如果散列算法的強度是可以接受的，并且在一些級別，電子文件仍然保持完好無損，這是可能的。給定的電子文件的比特流因為很多原因被修改，例如，當使用不當的復制工具使電子文件從一個存儲媒介轉移到另一個存儲媒介時。

2.3 證明存在性的缺失

時間戳可以用來證明電子文件在過去某個時間的存在。只有時間戳源于一個值得信賴的來源時，與電子文件相關聯的時間戳才是可被接受的。

3 數字檔案管理系統

開源的軟件數字取證工具在目前形勢下并不適合檔案工作者使用，需要設計開發出對檔案工作者來說使用便捷的數字檔案管理系統。

3.1 設計標準

為了消除對任何操作系統的依賴性，應該使用可以供不同用戶使用的跨平臺的軟件應用，這是非常重要的。因為在日常工作中，大多數非計算機專業人士只使用一個特定的操作系統。檔案工作者基于他們的技能和工作環境使用著不同的操作系統。為了沒有平臺的限制障礙，數字檔案管理系統應支持通用的操作系統。

3.1.1 可用性

數字取證工具是應數字取證調查專家的使用而開發出來的，這導致了數字取證工具具有復雜的功能，為了熟練使用這些工具，必須額外地加以練習。數字檔案管理系統應該有一個直觀的界面和功能，使得檔案工作者在很短的時間內容易地理解電子文件。

3.1.2 在單一環境下提供多重功能

數字檔案管理系統應具有以下模塊：磁盤鏡像模塊；磁盤鏡像安裝模塊；檔案元數據生成模塊；檔案元數據數據庫模塊。如果檔案工作者可以在單一的軟件源中發現這些功能，可以有效地安裝、使用和維護系統。

3.1.3 基于源代碼開放的軟件

開發數字檔案管理系統的主要目的是為檔案工作者提供可用于有效和便捷地收集電子文件的數字取證技術。為了實現這一目標，數字檔案管理系統應被開發成開源軟件資源。因此數字檔案管理系統和源代碼將免費提供給檔案工作者。

3.2 數字檔案管理系統架構概述

數字檔案管理系統是由提供以下服務的不同組件組成（圖1）。

3.2.1 數字檔案管理系統工作站

創建一個包含數字檔案的存儲介質的磁盤映像是很有必要的。一旦磁盤映像創建，檔案工作者可以掛載磁盤映像，并使用該磁盤安裝模塊訪問數字檔案的內容。此外，檔案工作者可以使用數字對象分析模塊來分析，以確定和選擇重要的電子文件。檔案元數據生成器模塊是用于為每個已收集的電子文件創建元數據。該元數據可以被用來唯一地標識每個電子文件，以驗證電子文件和其他相關信息的完整性。

圖1 數字檔案管理系統架構

3.2.2 時間戳服務器

電子文件簽署的日期和簽名均是十分重要的防止電子文件被偽造和篡改的關鍵性內容，時間戳能夠唯一地標識某一刻的時間。數字時間戳服務能提供電子文件的日期和時間信息的安全保護。可信時間戳即由國家法定時間源來負責保障時間的授時和守時監測，任何機構包括時間戳中心自己不能對時間進行修改以保障時間的權威，只有這樣產生的時間戳才具有法律效力。數字檔案管理系統中的可信時間戳服務器是作為時間戳的來源。在電子文件長期保存之前，要給每一個電子文件一個時間戳，此時間戳是用來證明存在的電子文件沒有進行過修改。

3.2.3 數據存儲器

為了使電子文件避免遭篡改而影響其可信性，由檔案工作者創建的每個磁盤映像都應在電子文件收集完之后存儲在專用的數據存儲器中，這是非常重要的。

3.2.4 數據庫

數據庫用于存儲存檔的元數據，這對于有效地收集電子文件是非常重要的。

3.3 數字檔案管理系統功能

3.3.1 創建磁盤鏡像

簡單地說，磁盤鏡像可以被定義為一種為了在較長時期保存數據而制作的安全可靠的副本。對檔案工作者來說，制造存儲設備的副本具有許多益處。首先，它使檔案工作者在分析電子文件時不用擔心會修改原始數據的風險。其次，由于技術的廢棄或者存儲媒介隨著時間的衰變，原始的電子文件的存儲設備很可能無法讀出，創建合適的磁盤鏡像可以有助于電子文件長期保存。

3.3.2 數字對象分析

對檔案工作者來說，需要識別以下文件信息：文件名稱；文件格式；生成時間；更改時間；加密或密碼保護；存儲地址。

3.3.3 創建歸檔信息

在電子文件捕獲之后，為了電子文件的長期保存，有必要創建電子文件相聯系的元數據，這樣有助于確保電子文件的完整性和真實性。這些元數據包括：文件名稱；對象標識符；哈希值；文件格式；創建者名稱；捕獲電子文件者名稱；存儲位置；時間戳。

3.3.4 存儲歸檔信息

把可信的電子文件收集歸檔是一項具有挑戰的任務。不同于紙質檔案，電子文件很容易被篡改。因此，如果失去可信機制很難長久保存電子文件。然而我們可以通過創建和存儲元數據來應對這種挑戰，比如使用與電子文件關聯的哈希值和時間戳。檔案人員創建電子文件關聯的元數據之后，需要把它們存儲到關系型數據庫中。一旦檔案元數據被存儲在數據庫中，為了避免未授權的篡改，對元數據的進一步訪問將被嚴格限制。

4 結論

個人或者組織每天使用各種類型的數字設備產生了大量電子文件，我們有必要在對電子文件進行長期保存歸檔之前對其進行識別、收集、分析，本文提出了一個基于數字取證技術可用于加強電子文件收集工作的數字檔案管理系統。

［1］李炳龍，王魯，陳性元.數字取證技術及其發展趨勢［J］.信息網絡安全，2011（1）：20-21.

［2］李澤鋒.基于OAIS的可信電子文件管理系統的體系構建［J］.情報雜志，2010（8）：33-35.

［3］張雅君.可信電子文件與電子文件可信管理［J］.蘭臺世界，2015（4）：50-52.