第三方鑒定機構電子數據司法鑒定取證的探討

趙巖培 李小愷

1.北京民生物證科學司法鑒定所，北京 100079；2.中國政法大學，北京 100088

隨著數字技術的發(fā)展，移動支付、電子合同等廣泛進入人民生活，使得大量電子數據涌現，因此電子數據的鑒定在司法活動中發(fā)揮著越來越多的作用。2012 年《中華人民共和國民事訴訟法》（以下簡稱《民事訴訟法》）和《中華人民共和國刑事訴訟法》（以下簡稱《刑事訴訟法》）第一次修正時，將電子數據規(guī)定為法定證據種類之一，電子數據司法鑒定也迎來了新的發(fā)展。根據司法部2020 年6 月印發(fā)的《聲像資料司法鑒定執(zhí)業(yè)分類規(guī)定》，電子數據鑒定主要分為四個項目領域：電子數據存在性鑒定、電子數據真實性鑒定、電子數據功能性鑒定、電子數據相似性鑒定。委托人主體為公安機關、檢察機關、人民法院等。目前，筆者所在鑒定機構受理的鑒定案件中，委托人主要是公安機關，在所受理的案件中大部分鑒定項目屬于電子數據存在性鑒定。筆者通過在電子數據司法鑒定活動中的學習和積累，對取證原則和要點進行闡述，并提出一些觀點，以期為廣大同仁提供參考。

一、電子數據取證適用的標準方法

為了規(guī)范電子數據取證的過程，國際標準化組織（ISO）及國際電工委員會（IEC）編制了一系列電子數據取證相關標準，在2012 年發(fā)布了《Guidelines for the Identification，Collection，Acquisition and Preservation of Digital Evidence》（ISO/IEC 27037）、《Guidance on Assuring the Suitability and Adequacy of Investigative Methods》（ISO/IEC 27041）、《Guidelines for the Analysis and Interpretation of Digital Evidence》（ISO/IEC 27042）等ISO/IEC 27000 系列標準。此外，Internet工程任務組（IETF）和國際電信聯盟（ITU）等組織出臺的信息安全相關標準中，均有針對電子證據的規(guī)定。

與國外的標準制定相比，我國電子證據的標準化工作起步較晚。目前電子數據鑒定取證適用的標準方法包括：國家標準、公共安全行業(yè)標準和司法鑒定行業(yè)標準。國家標準包括：《法庭科學 電子數據搜索檢驗規(guī)程》（GB/T 29362-2023）和《 法庭科學 電子數據恢復檢驗規(guī)程》（GB/T 29360-2023）等；公共安全行業(yè)標準包括：《電子證據數據現場獲取通用方法》（GA/T 1174-2014）等；司法鑒定行業(yè)標準包括：《 電子證據數據現場獲取通用規(guī)范》（SF/Z JD0400002-2015）等。上述標準方法基本涵蓋了電子數據鑒定四個項目領域的取證技術方法，可以保障司法鑒定工作的正常實施。上述標準方法內容不一致時，應根據《司法鑒定程序通則》第二十二條之規(guī)定，優(yōu)先適用國家標準。鑒于公共安全行業(yè)標準（GA）與司法鑒定行業(yè)標準（SF）均為行業(yè)標準范疇。根據《司法鑒定人登記管理辦法》第二十四條規(guī)定，司法行政機關有權力和義務對司法鑒定人遵守司法鑒定程序、技術標準和技術操作規(guī)范的情況進行監(jiān)督、檢查。因此，當公共安全行業(yè)標準（GA）與司法鑒定行業(yè)標準（SF）兩者內容不一致時，筆者認為應當優(yōu)先適用司法鑒定行業(yè)標準。

二、第三方鑒定機構取證的法律性質

《民事訴訟法》和《刑事訴訟法》將電子數據規(guī)定為法定證據種類之一，給偵查取證工作也帶來了深遠的影響。電子數據作為證據類型的一種，在對其取證時應遵循證據收集、審查、判斷的一般規(guī)則，同時其易于修改、毀損，專業(yè)性強的特點，又決定了取證、認證需采取不同于傳統(tǒng)證據的方法和原則。

目前公安機關、檢察機關、人民法院在電子數據取證問題上，如由其工作人員完成全部取證環(huán)節(jié)仍有很大困難。特別是在新型網絡犯罪問題上，面對不斷爆炸式增長的數據密度和新型模式，公安機關的當前技術力量仍難以獨自應對。第三方鑒定機構電子數據鑒定人是協助公安機關完成這項工作的技術力量支持，目前各地公安機關已將大部分案件委托至第三方鑒定機構。

根據《公安機關辦理刑事案件電子數據取證規(guī)則》（以下簡稱《取證規(guī)則》）第六條，公安機關可以指派或聘請專業(yè)技術人員在偵查人員主持下進行收集、提取電子數據。因此，作為第三方司法鑒定機構的司法鑒定人配合公安機關到現場取證，符合相關法律要求。

三、第三方鑒定機構的合法取證

電子證據的合法取證包含兩方面內容：一是取證程序合法，電子證據從搜查、扣押、收集，一直到鑒定等整個流程，都必須由法定主體按照法定程序進行，避免和防范將來對電子證據進行審查時可能出現效力上的質疑或者難以認定的問題；二是證據形式合法，電子數據外在形式多樣且不斷更新，但并不是每一種數據形式都可以作為證據加以認定。因此，對于各式各樣存儲有電子數據的相關載體形式，要進行轉換后加以固定，以滿足審查起訴的要求。

根據《聲像資料司法鑒定執(zhí)業(yè)分類規(guī)定》第十八條規(guī)定，對于電子數據的提取、固定與恢復等，屬于電子數據存在性鑒定的執(zhí)業(yè)領域，包括對存儲介質、電子設備、網絡數據等等，實施取證行為的司法鑒定人應當具備電子數據存在性鑒定的執(zhí)業(yè)資格。

第三方鑒定機構開展電子數據現場取證服務，主要面向公安機關。根據《司法鑒定程序通則》（以下簡稱《通則》）第二十四條，經委托人同意，司法鑒定機構可以派員到現場提取鑒定材料。然而《取證規(guī)則》規(guī)定電子數據取證是偵查行為，理論上應由偵查人員進行，無論偵查人員是否具備專業(yè)技術能力，取證行為都應在其主持下進行。《通則》中要求，現場提取鑒定材料的，應由委托人指派或者委托的人員在場并在提取記錄上簽名。在庭審中，被告辯護人經常對取證程序有異議，如提出誰決定的取證內容，誰對取證真實性、合法性負責等問題。

筆者認為，可從以下角度出發(fā)，向法庭闡明過程：第一，取證的主持人是公安機關偵查人員；第二，鑒定人是取證的專業(yè)人員，受主持人監(jiān)督、領導；第三，取證過程有完整記錄；第四，取證過程依法、客觀、規(guī)范。當然，取證前鑒定人應當了解案情，并同偵查人員制定取證計劃方案，明確各方職責，鑒定人制定詳細的取證過程記錄，取證前和取證后均應有偵查人員在取證記錄上確認簽字，將取證的檢材作好標識并拍照。

四、電子數據鑒定的取證及原則要點

（一）取證的準備

對于存儲介質、電子設備等進行扣押、封存的傳統(tǒng)取證方式，公安機關一般不會聘請鑒定人到場參與。對于通過提取、復制、破解、恢復、凍結等方式取證的活動，有時會聘請鑒定人到場，鑒定機構應與委托方協商好到場時間，指派至少兩名工作人員且其中一人應當為本案鑒定人配合委托人，由受指派的鑒定人與委托人指派的偵查人員溝通協商取證方案，方案中需要對人員、時間、設備、地點等進行考慮。到場后聽從委托人指揮，就取證內容及時與主持人匯報。

（二）取證工具

取證方法主要包括在線取證、離線取證、芯片級取證、云取證［1-2］。在公安機關委托的案件中，大部分是要求對電子數據存在性的鑒定，取證過程尤為重要。常見的取證工具，如鏡像工具Access Data FTK Imager、Logicube Forensic Talon E 硬盤復制機，以及兼有取證和分析功能的X-Ways forensics 等。無論何種取證都應當首先考慮無損、全面的原則性要求，保持數據不被丟失。針對一些需要在原檢材上進行取證的行為，以及一些如瀏覽痕跡等易失性證據，在取證時可能會導致證據的原始狀態(tài)改變，鑒定人在制定鑒定方案時應當予以考慮，并及時與委托人溝通。

（三）現場取證

到達現場后，可協助取證主持人辨識儲存介質，不要輕易改變計算機狀態(tài)，如開機的計算機不要輕易關機，關機的不要輕易開機，通過“只讀鎖”功能保護原證據介質不被修改，協助利用專門的介質復制設備將原始存儲介質中的電子數據完全復制下來，或通過“取證魔方”“取證大師”進行電子數據取證。原則上，提取、固定由偵查人員直接進行。

電子數據取證、移交、存儲操作中時應遵循以下要點：第一，取證全程在只讀環(huán)境下進行，避免原始數據損壞；第二，對使用克隆盤取證；第三，計算哈希值，確保唯一性；第四，機械硬盤高速運轉過程中不要移動；第五，使儲存介質遠離強磁場。

（四）取證技術

電子數據取證技術［3］是一門綜合學科，主要包括：基礎技術、靜態(tài)取證技術、動態(tài)取證技術。基礎取證技術由只讀技術、鏡像與克隆、Hash 校驗、時間戳四個部分組成；靜態(tài)取證技術又稱被動取證技術，主要包括：關鍵字搜索、數據恢復、注冊表分析、日志分析、密碼破解、隱寫檢測、惡意程序分析等技術，是電子數據司法鑒定常用的取證技術方法；動態(tài)取證技術是靜態(tài)取證技術的補充，又稱為主動取證技術，包括：單機動態(tài)取證、網絡動態(tài)取證等。主動取證與被動取證，二者并無明顯界限。

（五）傳統(tǒng)電子數據的取證

對于傳統(tǒng)的Windows、Unix、Linux、Mac OS、IOS 計算機操作系統(tǒng)，以及IPhone、Android 等移動設備系統(tǒng)的取證，目前已有較多文獻資料，筆者不再對取證要點贅述。對于設有密碼的移動設備的數據提取，如Android 設備可通過“ROOT”獲取管理員權限，也可通過進入“Recovery 模式”繞過鎖屏密碼，iOS 設備可通過Jailbreak（越獄）獲取管理員權限，但隨著iOS 設備升級，破解難度越來越高。當然，也可能通過芯片級的數據技術提取電子數據。但對于這些可能因為繞過鎖屏密碼取證而導致移動設備硬件或數據改變的電子數據提取方式，應當向委托方進行告知。而對于需要轉換算法的逆向芯片固件，以及需要破解全盤加密的檢材，鑒定人應當結合鑒定機構當前的技術能力，決定是否嘗試提取，不能提取的應告知委托方建議其去高資質的鑒定機構。

（六）新興電子數據的取證

網絡電子證據的存在形式依賴于網絡傳輸協議，與傳統(tǒng)電子數據不同，后者缺乏可見的實體檢材，且具有多樣性、脆弱性、海量性、廣域性等特點。一般通過：ARP 協議的抓包、IP、UDP、TCP、ICMP、HTTP、HTTPS、FTP 等協議的數據包抓取方式獲取數據，而后通過Wireshark導出DICOM、HTTP、SMP、TFTP 對象內容，再通過NetworkMiner 等對數據進行分析。目前在實踐中，我國現有辦案人員缺乏計算機網絡知識，導致網絡電子數據取證工作在偵查和取證方面，都存在著一定的困難。

云取證較傳統(tǒng)取證不同，云取證具有設備集中、介質破壞低、取證效率高、多人多任務、錯誤率低等優(yōu)點［4］，如通過用戶登錄云儲存空間讀取多個數據塊信息，從而縮短了提取時間。目前公安機關主要針對的是互聯網云計算平臺，通過對云計算平臺數據痕跡和數據分析的提取，偵破“黑客”攻擊等違法犯罪案件。

基于互聯網協議的信號傳輸（GoIP）的取證［5］，是當前辦理網絡詐騙案件的熱門取證方式，包括網頁登記模式數據、TTL 模式取證、芯片焊接方式取證等。由于網關設備存在系統(tǒng)更新問題，司法鑒定的取證難度巨大，除了要保證公安機關偵查的需要，還要盡可能地保證后期在庭審程序中的質證和采信過程。

（七）取證原則

電子數據取證應當遵循以下規(guī)則：第一，依法原則，包括法律法規(guī)、技術標準方法；第二，完整記錄，必須記錄檢材證據最初狀態(tài)至出具鑒定意見的過程，保證將來庭審活動；第三，保證無損，不要改變儲存介質中的原始數據；第四，避免使用原始數據，不要直接對原始數據進行分析。

綜上所述，電子數據司法鑒定人在取證時除應秉持依法、客觀、科學、獨立、公正的基本原則外，還應當完整、及時、連續(xù)地獲取電子數據，同時應當盡可能保障電子數據取證無損、可復檢。由于電子信息技術仍呈不斷發(fā)展趨勢，電子數據司法鑒定標準方法相較訴訟活動中涉及的技術問題仍顯滯后，特別是相較于利用信息技術進行犯罪活動，無論是應對犯罪的技術還是鑒定標準，都依賴于廣大同仁通過及時共享技術方法、研究制定標準，共同推動電子數據司法鑒定工作的進一步發(fā)展。