手機取證及其電子證據獲取研究

方劍鋒

廈門美圖之家科技有限公司 福建廈門 361005

手機取證及其電子證據獲取研究

方劍鋒

廈門美圖之家科技有限公司 福建廈門 361005

為了有效打擊犯罪，手機取證逐漸得到了應用。通過手機取證的手段收集的信息就是電子證據，此類證據同樣具有法律效力，可以作為定罪的參考依據。因此，從這方面來講，手機取證的應用是新時期打擊犯罪的有效手段，對于維護社會穩定秩序有著重要意義。本文對手機取證及電子證據獲取中涉及的一些重要問題進行了探討。

手機取證；電子證據；取證源

1、前言

當前，利用手機從事犯罪活動的形式多種多樣，但從大的方面來講，手機在此類案件中充當的角色主要有三種，即通信工具、存儲媒質、實施犯罪的工具[1]。在這樣的情況下，傳統的取證方式，已經無法有效獲得有力證據，而手機取證作為一種新興的取證方式，逐漸推廣開來。

2、取證源

2.1 SIM卡

對于通信網絡來講，終端設備由SIM卡和手機構成。前者是SubscriberIdentityModule的縮寫，主要功能在于識別用戶。利用這個識別卡，移動網絡能夠鑒別用戶身份、加密通話。以存儲內容為依據，該卡中的信息可細分為下述幾種：一、原始數據，此類數據由廠家存儲進去，屬于其中最基本的信息。二、固有信息，此類信息由手機存儲，通常包括MIN碼、加密信息、IMSI碼等。三、個人數據，此類信息是手機使用過程中由用戶存儲進去的，主要包括通話記錄、短信等。四、網絡數據，此類信息主要是服務更新信息以及用戶數據、自動保存的信息等，主要是由用戶自身設置以及系統更新而來。五、參數信息，此類信息包括很多種，比如身份識別號、解鎖號等。

2.2 存儲卡

這里所說的存儲卡實際上包含兩種：內置卡、外置卡[2]。手機的更新換代速度非常快，不僅功能在不斷擴充，存儲空間也在持續增大。以數據差異為依據，可將手機存儲區細化為動態、靜態兩個部分。其中，前者存儲的主要是臨時數據（臨時數據源于手機執行系統命令的過程和手機程序應用的過程），后者存儲的則主要是用戶數據以及相關的配置數據等。所以，對于手機取證來講，后者顯然更具證據價值。手機識別號、短信和通話記錄等均可作為電子證據，而這些信息都存在靜態區。盡管手機不一樣或者網絡不一樣，讀取上述信息的形式會存在一些差異，內容格式也可能因此不同，但并不妨礙這些數據的證據功能。

在現實中，手機與人們生活的聯系越來越密切，甚至正在不知不覺改變現代人的生活方式。在這樣的情況下，人們對手機的依賴性越來越強[3]，不少商家為了進一步擴充手機功能，滿足消費者心理需求，都開始在存儲容量上下功夫。外置卡可以根據消費者的需求，將手機容量擴充至消費者滿意為止，所以，此種卡比較受歡迎。比如SD卡，已經成為了很多手機的“標配”。在版權處理案件中，外置卡可作為有效取證源，對保證判定結果的公正性具有重要意義。

2.3 運營商

運營商有兩個對手機取證而言非常重要的數據庫，一個存儲的是用戶注冊的相關信息，另一個存儲的則是用戶使用手機過程中的個人信息（比如通話記錄等）。這些數據和信息在犯罪調查中均屬于非常重要的潛在證據，尤其是后者，有效性更為突出。而前者盡管目前在犯罪調查中應用的比較少，但是，考慮到其中涉及用戶身份信息和位置信息，在實名制落實后，這些信息就能夠幫助有關部門盡早破案，可顯著提高破案效率。

3、獲取電子證據的方法

3.1 從SIM卡中獲取有用證據的方法

SIM卡存儲器實際上是三層樹結構，節點由主文件、專用文件、基本文件構成。其中，主文件屬于根節點，基本文件以及專用文件均包含在內。在GSM移動網絡標準中定義GSM專用文件、DCS1800專用文件和Telecom專用文件等為主文件的子節點，這個標準還定義了與這些專用文件相對應的基本文件。標準定義的嚴格性，是導致SIM卡具有通用系統架構的主要原因之一。但此種通用性只是在某種程度上而言，發行商不同，SIM卡的系統架構依舊存在細微的差異。目前，從SIM卡中獲得電子證據的方式主要包括兩種：一、借助讀卡器將卡中的有用信息、數據提取出來。二、借助操作指令獲取有用信息。

3.2 從存儲卡中獲取有用證據的方法

存儲卡有內置卡與外置卡兩種，取證方式也各不相同。對于后者，取證時可借助相應的軟件（比如Encase）獲取信息和數據，比較簡單。前者的取證則相對復雜一些，具體實施中，有效途徑包括兩種：一、拆解法。此種方法實施步驟包括兩步，第一步是將手機拆解開來以獲得芯片，第二步是借助相應的讀取工具，將芯片中存儲的數據提取出來。二、直接法。此種方式無需拆解手機，可直接通過數據纜線連接主板的方式，獲得所需要的存儲信息。以上方法均屬于物理途徑，在現實中已經多次實踐，較為有效。但這些方法依舊存在一些局限性，比如，上述方法盡管能夠將數據受到的外力干擾有效降低，但是執行取證的人員必須具有專業水準。所以，此種方法應用效果尚可，但應用范圍比較有限。在實際的犯罪調查取證中，通常采取的取證方式還是以指令集法以及軟件法為主。

常用的取證軟件除了專門軟件之外，還有SIMcon、ForensicSIM、CellSeizure、XRY等。每一種軟件都有其自身的特點，以CellSeizure為例，其能夠檢驗手機數據的完整性，并以分析報告的形式展現出來。現實中，該軟件通常用于獲取存儲卡內的信息，其可從用戶刪除過的文檔以及保存的通話記錄等信息中獲取電子證據。當前，可用于手機取證的指令集包括AT、OBEX、JTAG等。另外，利用廠商軟件包也能夠達到取證目的。

3.3 從運營商處獲得有效證據的方法

從運營商處獲得所需證據，是一種比較有效的取證方式。具體實施中，方法有兩種：一、取證人員只需明確SIM卡注冊的手機號，就可以通過搜索運營商的通話記錄數據庫獲得所需信息。此種方式能夠獲得的信息包括短信與通話記錄。二、將IMEI號作為依據對運營商的注冊信息數據庫進行搜索，獲得手機持有者的相關信息。手機實名制如果得到落實，運營商取證的方式將會顯現出巨大優勢：只要將搜索來的信息對比居民身份證系統數據庫中的信息，就可以獲得真實、詳細的有用信息。但是，此種取證方式應用時，應注意保證取證的時效性，以免因為數據更新影響到電子證據的可靠性。

4、結語

當前，犯罪調查手機取證中，取證軟件的使用頻率已經比較高了。盡管很多軟件本身依舊存在某些不足，但是在使用過程中若能夠根據軟件缺陷進行綜合利用，還是能夠獲得有效信息的。從應用效果來看，手機取證的實行對相關部門開展打擊違法犯罪活動有很大的幫助作用，對于保證社會秩序有著重要意義。

[1]楊陽，張耀，尤志龍.基于電子證據的智能手機取證APP的合法性研究[J].黑龍江科技信息.2015，(19)：147.

[2]楊雪.Android手機取證技術研究綜述[J].計算機時代.2015，(06)：07-09.

[3]危蓉.鎖屏Android智能手機取證方法的研究[J].中國司法鑒定，2015，(01)：67-70.