计算机取证

计算机取证概述

一、背景

计算机和网络在社会、政治、经济、文化、军事等领域的应用越来越普遍，与计算机有关的犯罪也越来越多。要打击并遏制犯罪，执法机关必须依照法律的要求获取证据，特别是法庭依据合法的证据来对犯罪事实的认定。很多犯罪的证据与计算机技术相关，计算机取证就是为打击与计算机有关的犯罪提供证据的科学方法和手段。

计算机取证的目的就是要通过分析计算机和网络活动，从而获得与犯罪有关人员的行为。计算机在相关的犯罪案例中可以为被入侵的目标、作案的工具和犯罪信息的存储等角色。无论作为那种角色，在计算机中都会留下大量与犯罪有关的数据，进而依据有关科学与技术原理和方法找到证明某个事实的证据。

由于计算机技术应用的深入，计算机取证逐步发展为数字取证。

（一）数字取证的定义

数字取证是从计算机取证逐步发展而来。

Lee Ｇarber在IEEE Security发表的文章中认为，计算机取证就是分析硬盘、光盘、软盘、zip盘、Jazz盘、内存缓冲以及其他存储形式的存储介质以发现犯罪证据的过

程。

计算机取证资深专家Judd Robbins给出如下定义，计算机取证是将计算机调查和分析技术应用于对潜在的、有法律效力的证据的确定与获取。

计算机紧急事件响应组CERT和取证咨询公司NTI进一步扩展了该定义，计算机取证包括了对以磁介质编码信息方式存储的计算机证据的保护、确认、提取和归档。

SANS公司认为，计算机取证是使用软件和工具，按照一些预定的程序，全面地检查计算机系统，以提取和保护有关计算机犯罪的证据。

我国的陈龙等人认为，计算机取证是运用计算机及其相关科学和技术的原理和方法获取与计算机相关证据以证明某个客观事实的过程。它包括计算机证据的确定、收集、保护、分析、归档以及法庭出示。

（二）计算机司法鉴定的定义

司法鉴定是鉴定人运用科学技术或专门知识对涉及诉讼的专门性问题进行检验、鉴别和判断并提供鉴定结论的活动。司法鉴定是鉴定人向委托人提供鉴定结论的一种服务。计算机司法鉴定的检验、鉴别和判断等活动是计算机取证的一部分，而计算机取证的概念要丰富，除计算机司法鉴定的内容外，还要包括对犯罪现场的勘查，如证据的发现、提取、保存、运输等。

（三）数字证据

在司法活动中，证据是法官判定罪与非罪的依据。人类司法活动中，证明方法和手段经历了两次重大转变。第一次是从以“神证”为主的证明向以“人证”为主的证明转变。第二次是从以“人证”为主的证明向以“物证”或“科学证据”为主证明的转变。

在很长的历史时期，物证在司法活动中运用一直处于随机和分散发展的状态。直到18世纪以后，与物证有关的科学技术才逐渐形成体系和规模，物证在司法证明中的作用也越来越重要。随着科学技术的发展，各种以人身识别为核心的物证技术层出不穷，继笔记鉴定法、人体测量法和指纹鉴定法之后，足迹鉴定、牙痕鉴定、声纹鉴定、唇纹鉴定等技术不断地扩充司法证明的“武器库”。特别是，20世纪80年代以来的DNA遗传基因鉴定技术更带来司法证明方法的一次飞跃。计算机证据的出现也为司法证明方法带来新的进步。

计算机证据是指以计算机形式存在的、用作证据使用的一切材料及其派生物，或者说是借助计算机生成的一切证据。相关的术语有电子证据、网络证据、数字证据等。

计算机证据和电子证据的区别：两者有千丝万缕的联系，却不尽相同。有时候，计算机证据的外延要大于电子证据，因为以机械式计算机、光学计算机、生物计算机为基础的证据只能从“功能”上等同的角度临时到桌电子证据处理，

显然不是典型的计算机证据。有时候，电子证据在外延上也可能大于计算机证据，如固定电话机是基于模拟电子技术而制成的通信工具，它所录制的电话资料就属于电子证据而不属于计算机证据。

国外在计算机取证的基础上提出了数字取证，相应地也有数字证据，这一术语也得到比较普遍的人可。

一般来讲，以计算机科学为背景的人多使用计算机证据或数字证据，而法律界多使用电子证据。虽然计算机证据、电子证据在概念和外延上有一定的差异，但一般而言可以不严格区分。因此，在本文中计算机证据、数字证据和电子证据不加区分。

任何材料要成为证据，均需具备三个特性：客观性、关联性、合法性。因此，计算机证据与传统证据一样，必须是可信的、准确地、完整的，使法官信服，符合法律规定，为法庭所认可。

计算机证据与传统证据相比的新特性有：

1．计算机证据同时具有较高的精密性和脆弱易逝性。一方面计算机证据以技术为依托，很少受主观因素的影响，能够避免其他证据的一些弊端，如证言的误传，书证的误记等。另一方面计算机信息是二进制表示的，以数字信号的方式存在，而数字信号是非连续的，故意或因为差错对计算机进行的变更、删除、剪接、监听等，从技术上讲很难查清。

2．计算机证据具有较强的隐蔽性。计算机证据在计算机系统中可存在的范围很广，使证据很容易被隐藏。同时，计算机证据以二进制形式编码，无法直接阅读。一切信息都由编码表示并传递、存储，使计算机证据与特定主体之间的关联使用常规手段难以确定。因此，计算机证据使用肉眼无法直接解读，必须借助适当的工具。

3．计算机证据具有多媒体性。计算机证据的形式是多样的，它综合了文本、图形、图像、动画、音频、视频等多媒体信息，几乎涵盖了几乎所有的传统证据类型。

二、计算机取证的历史

计算机取证科学主要是在执法机关的实践需求中应用而生的，1984年，美国FBI实验室就开始研究计算机取证，为有组织有计划地解决对刑侦人员不断增长的需求，成立了计算机分析响应组CART（THE COMPUTER ANALYSIS AND REPOSE TEAM）。20世纪90年代，美国联邦犯罪调查实验室的主任每年在华盛顿举行2次研讨，创建了目前数字取证领域享有盛誉的“数字取证科学组”（SWGDE）。

计算机取证发展中影响较大的事件有：

1984年，美国FBI建立的计算机分析与响应组CART。

1993年，举办第一届计算机取证国际会议，First International Conference on Computer Evidence held。

1995年，建立计算机证据的国际组织IOCE，International Organization on Computer Evidence。

1997年，八国集团在莫斯科宣布：司法部的职员应得到新的培训、新装备以应对高技术犯罪。

1998年，八国集团指定IOCE组织处理数字证据的国际准则。

2000年，美国FBI建立正式的区域性计算机取证实验室。

在我国，2001年将计算机取证技术概念引入国内，从入侵取证、反黑客开始，逐步形成。

三、计算机取证是交叉科学

计算机取证涉及计算机科学、法学、刑事侦查学等。

（一）计算机取证的目标

计算机取证的目标随所调查案件的目标相关联。

计算机取证要解决的问题是：试图找出是谁（WHO），在什么时间（When），在哪里（Where），怎样地（How）进行了什么（What）活动。

（二）计算机取证的主体

计算机取证不仅仅可应用于刑事犯罪侦查、鉴定之中，也可用于民事案件的调查、鉴定，也可应用于信息安全事件的调查，虽然计算机取证应用的领域不同，但计算机取证的技术从本质上讲是一致的。因此，与计算机取证技术相关的人员不只是警察、检察官、法官、律师、司法鉴定人、专家

证人等，也包括研究人员、信息安全人员等。

（三）计算机证据的来源。主要为存储介质和网络数据流。

（四）计算机取证的原则

基本原则：合法性、及时性、准确性。

证据必须保证“证据的连续性”，即在证据被正式提交法庭时，必须能够说明证据从最初获取状态到法庭上出示状态之间的任何变化，最好是没有变化。Chain of custody，证据链。

取证过程必须受到监督，如原告委派的专家所做的所有调查取证过程最好受到其他方委派专家的监督。

含有计算机证据的媒体至少做两个副本，原始媒体应存放在专门的房间由专人保管，副本可用于计算机取证人员进行证据的提取和分析。

计算机证据应妥善保存，以备随时重组、试验或展示。

含计算机证据的媒体的移交、保管、开封、拆卸的过程必须由侦查人员和保管人员共同完成，每个环节都必须检查真实性和完整性，并拍照和制作详细的笔录，由行为人共同签名。

（五）计算机取证的工作内容

（六）计算机取证技术

数据获取技术

数据分析技术

计算机犯罪分析，犯罪一般涉及四个方面：一是犯罪的主体分析。对犯罪主体进行认定，通过分析重构犯罪嫌疑人的特征，通常称为犯罪嫌疑人画像（Criminal Profiling）。如通过分析描绘嫌疑人的技术水平、爱好，推测其年龄等特征。二是犯罪的客体分析。对犯罪的客体进行认定，如对于通过大规模传播恶意代码来入侵的案件，通常要对攻击的范围、规模进行认定，以认定攻击造成的破坏程度，受害者遭受的损失。三是犯罪的主观方面。认定嫌疑人的犯罪行为是故意还是过失，具有何种犯罪动机等。如国外有学者研究相关技术，来认定嫌疑人主机上的色情照片是故意下载的，还是不慎下载的，以帮助是否构成犯罪。四是犯罪的客观方面。通过分析认定什么人在什么事件中实施了什么行为。如认定某个特定的嫌疑人在特定的事件中对特定的目标实施了网络攻击。

数据解密技术

证据保管、证据完整性技术

反取证技术

四、计算机取证的模型、过程

提出计算机取证模型的目的是指导计算机取证更加规范，应具有一定的实践指导意义。

（一）法律执行过程模型Law Enforcement Process

是美国司法部“电子犯罪现场调查指南”中提出，基于标准的物理犯罪（Physical Crime）现场调查过程模型，分为以下五个阶段：

1．准备阶段（Preparation）。在调查之前，准备好所需设备和工具。

2．收集阶段（Collection）。搜索和定位计算机证据；保护和评估现场：保护现场人员的安全，以及保证证据的完整性，识别潜在的证据；对现场记录、归档：记录现场的计算机等物证；证据提取：提取计算机系统中的证据或对计算机系统全部拷贝。

3．检验（Examination）。对可能存在的证据进行校验和分析。

4．分析（Analysis）。对检验分析的结果进行复审和再分析，提取对案件有价值的信息。

5．报告（reporting）。对分析检验结果汇总、提交、证据出示。

（二）过程抽象模型，An Abstract Process Model

美国空军研究院对计算机取证的基本方法和理论进行研究后，提出的模型。

1．识别（Identification）：侦测安全事件或犯罪。

2．准备（Preparation）：准备工具、技术及所需的许

3．策略制定（Approach Strategy）：制定策略来最大限度地收集证据和减少对受害者的影响。

4．保存（Preservation）：隔离并保护物理和数字证据。

5．收集（Collection）：记录物理犯罪现场并复制数字证据。

6．检验（Examination）：查找犯罪相关证据。

7．分析（Analysis）：对检验结果进行在分析，给出分析结果。并重复检验过程，直到分析结果有充分的证据及理论的支持。

8．提交（Presentation）：总结并对结论及所用理论提供合理的解释。

（三）计算机取证新模型

第19次计算机安全技术交流会上提出计算机取证的层次模型，将计算机取证分为证据发现层、证据固定层、证据提取层、证据分析层和证据表达层等五个层次。

多维计算机取证模型MDFM（Multi Dimension Forensics Model）,增加了时间约束和对计算机取证过程的监督，较好地解决了取证策略随犯罪手段更新变化的问题和所提交的证据的可靠性、关联性和合法性的问题。

五、计算机取证基础

（一）存储介质。

1．存储介质基础：硬盘、磁盘阵列、网络存储系统、2．文件系统：微软的文件系统、Linux的文件系统、光盘文件系统、其他文件系统。

3．数据加密。

4．数据隐藏。

5．数据恢复。

6．入侵技术。

六、计算机取证的法学问题

（一）法律依据

（二）电子数据和计算机证据

1．电子数据

是指以电子形式存储、处理、传输、表达的信息及其派生物。

电子证据是指具有侦查作用或证据价值的电子数据。我国司法实践中广泛地使用电子证据这一概念，其涵盖的范畴包括任何以电子形式存储、处理、传输的证据。

电子数据的特性：

（1）电子性。电子数据的物质载体是电子元件和磁性材料等。所有的操作、改变数据或程序从物理上表示，只是集成电路的电子矩阵正负电平或磁性材料磁体发生了变化。获取这些行为的证据需要特殊的手段，这与其他证据的获取是完全不同的。

（2）技术性。电子证据的产生、存储和传输及其采集、分析和判断都必须借助计算机科学中的计算机技术、存储技术、网络通信技术等。

（3）脆弱性。由于电子数据容易被修改，并且修改后可以达到不留痕迹，这使电子数据具有脆弱、不可靠的特性。

（4）多态性。电子证据的表现形式是多种多样的，即不同形态的输出材料的证明力都来源于同一计算机存储的信息本身。虽然不同的证据表现形式并不能说明其在审察判断上有根本区别，但是不同形态的证据材料的审查规则是不同的。

（5）交互性。电子证据形成过程中，不同环节上有不同的计算机操作人员的参与，他们在不同程度上都可能影响计算机系统的运行，这种影响的层次和程度与这些人员的工作性质有关。即计算机管理员、网络管理员、程序员、系统分析人员以及一般计算机操作人员对电子数据的影响是不同的。因此，可能出现的问题存在于人、机两个方面。为此，在获取电子证据时应注意区分人和机器两个方面。

（6）复合性。指当证据以某种形式表现时，往往就具有了这种表现形式的证据特性。电子证据的表现形式是多种多样的，可以打印在纸上，可以是显示器上的文字、图形、视频，可以是声音设备输出的声音。所以在诉讼活动中，采纳某一证据形式时，应既考虑证据生成过程的可靠程度，又

要考虑证据的表现形式是否被伪造、编造、被剪辑、删改过。

电子证据鉴定是指在法令规范下，利用科学验证的方式来调查电子证据，针对电子证据的还原、获取、分析的过程，将与案件有关的证据完整的记录，以利于案件的侦查及作为法庭起诉的依据。

2．电子数据的证据效力和法律地位

在实际案件中，电子数据一般需要经过鉴定才能成为诉讼的直接证据。如在办理涉及电子数据的案件时，需要对电子数据进行检验分析，找出电子数据与案件事实的客观联系，从而确定电子数据的真实性和可信性。

电子数据的认定和采信。电子数据的采信涉及到何种证据能够进入诉讼程序或其他证明活动的问题。法学界认为，电子数据必须经过关联性、合法性和真实性的检验，才能作为定案的根据。

为保证电子数据的证据能力，首先将电子数据转化为法定证据形式。实际应用中，通常将电子数据转换为书证、鉴定结论、勘验报告和视听材料。在转换过程中应遵循以下原则。

（1）需要认定信息的存在性时应当以勘验报告的形式提供数字化证据。如存储介质中存有淫秽电影，可通过现场勘验、检查生成勘验报告。在勘验报告中，指明通过勘验证实该存储介质中存储有多少数量的电影。简而言之，勘验报

告在取证过程中发挥的作用主要是证实嫌疑人的计算机中存有何种内容。

（2）通过分析才能形成结论时应当以鉴定结论的形式提供数字化证据。如需要通过证据分析证明系统入侵案的攻击者是谁，或需要通过证据分析证明嫌疑人编辑过某个文档，或需要通过跟踪分析证实某个木马的功能或来源，这些需要通过分析才能够得到结论，一般要以鉴定结论的形式提供数字化证据，此时，电子数据本身可以作为鉴定结论的附件形式提交。

（3）需要展示电子数据表达的内容时应当将这些内容转换位书证和视听材料。如需要展示电子文档中的内容时可以将内容打印出来，由证人或嫌疑人在这些内容上签字形成书证材料。又如以电子文件形式存储的视听材料也应当直接以视听材料的形式提供作为证据。又如用户在网站上登陆的日志也可以转换为书证。

电子数据的合法性。要求证据提取、形成过程遵循规定的程序。取证人员在实际工作中，应依照规则实施调查取证，以保证数字化证据的合法性，确保电子数据的合法性应从以下几个方面保证：

（1）电子证据的原始性。原始性的证明可通过自认方式、证人具结方式、推定方式、鉴定方式。

（2）电子数据的完整性。一是电子数据本身的完整性，

二是电子数据所依赖的计算机系统的完整性。电子数据完整性指在现场采集获得的数据没有被篡改，可通过对数据计算完整性校验或对原始证物封存加以保证。

（3）技术手段的科学性。在实施电子数据勘验、检查时使用的软硬件以及相应得勘验、检查流程符合科学原理。这就要求取证时使用的软硬件应当经过科学方法的检测，也要求勘验、检查流程能够经得起现实的考验。

（4）勘验、检查人员操作的可再现特性。为保证数字化证据的真实性和完整性，要求勘验、检查人员对数字化证据实施的操作应当是可再现的，也就是应当对勘验、检查人员对数字化证据的提取、处理、存储、运输过程有详细的审计记录。

电子数据的证明力。证明力就是要保证证据与待证事实之间的关联性。也就是，证据与结论之间是否符合逻辑。

（1）证据分析原理的科学性和逻辑性。即对电子数据事实分析所依赖的软硬件、技术原理符合科学原理，能够经受事实的考验。同时，也要求从证据到结论这一过程符合逻辑，“任何科学都是应用逻辑”，是否符合形式逻辑的一般准则，是推断证据运用是否科学的重要依据。

（2）分析过程可再现。根据相同的分析原理，在相同的数字化证据集合上进行分析，不管任何人只要遵循相同的分析规则都能够得到相同的结论。在实际操作中，一方面要

求取证人员对直接分析过程提供详细的审计记录，另一方面要求任何其他人根据其提供的审计记录实施相同的操作能够得到相同的分析结论。

总之，科学的证据必须尊重事物之间的内在联系，强调对事物本质特征的认识与发掘，强调对客观规律的解释与说明。强调证据的科学立场，首先应当重视证据的试验性。能够通过试验来检验证据，检验的结果是否具有稳定不变的特性，是科学证据的首要原则，因此，要求电子数据分析过程的可再现特性本事也是分析原理科学性的一个必然要求。

3．Casey确定性级别

4．数字时间的不确定性

时间因素是取证分析、案件审理过程中判定事件、犯罪行为发生情况的重要依据。通常的做法是根据证据的事件建立事件时间表，将证据按照其在时间上的先后顺序排列，由此分析出证据之间的关系，从而做出正确的判断。同时，在涉及计算机犯罪的案件中，不仅需要发掘物理证据之间的联系，而且需要将计算机证据同物理证据联系起来。

时间是计算机证据的重要组成部分，计算机所做的每项工作都会有相关时间的记录，但是这个时间通常是不准确的。导致证据时间不准确的因素很多，系统时间的偏移（计算机系统本身时钟系统具有不稳定性）、计算机所处时区的不同、人为错误、计算机病毒等都会影响计算机证据时间的

准确性。多数情况下，细微的时间误差不会影响最终的判决结果，但是当我们需要根据证据的准确时间建立证据的时间链时，时间误差就会影响到时间链的建立，从而影响到最终的审判结果，因此，分析判断时间的准确程度非常重要。

Casey在一篇论文中，统计了300多台计算机时间，得出某一时刻计算机系统时间与本地标准时间的时间差服从正态分布的结论，这一结论使人们对时间的可信度感到悲观（也就是说要保证95%的可信性，只能说偏差在10多个小时内）。

（三）计算机取证的主体

我国刑事诉讼法第四十三条规定：“审判人员、检察人员、侦查人员必须依照法定程序，收集能够证实犯罪嫌疑人、被告人有罪或者无罪、犯罪情节轻重的各种证据。”按照我国法律，只有审判人员、检察人员、侦查人员有取证的权利。但是，由于与传统证据相比，电子证据具有高科技的特征，需要较高的专业技术知识和技能，因此，在司法实践中，电子证据的取证，司法人员往往需要电子技术专家（如学者、教授等）的协助或参与，如制定电子证据提取得计划、步骤，协助搜查、扣押计算机软件和硬件，协助保管电子证据等，但专家参与取证与我国现有法律相悖，容易出现取证的不合法性。目前，在我国司法机关电子证据取证能力不强的情况下，默认了依靠社会力量调查收集的证据。

可参考欧美的一些做法，设立专门的计算机取证实验室。

（四）计算机取证原则

1．关联性原则。分析计算机数据与案件事实有无关联，关联程度如何，是否实质性关联，其中附属信息与系统环境往往要相互结合，才能与案件事实发生实质性关联。

2．合法性原则。违法法定程序取得的证据应予排除。

3．客观性原则。在诉讼活动中，采纳某一证据时，应当考虑该证据生成过程的可靠性程度，证据是否被伪造、变造或剪辑、修改过，还要考虑证据与持有人的关系。

（五）计算机取证手段

主要与现场勘查、搜查与扣押。涉及计算机的犯罪涉及现实空间和虚拟空间，现实空间主要指犯罪嫌疑人利用计算机进行犯罪活动的场所，如机房、网吧等。虚拟空间主要指犯罪嫌疑人进行犯罪活动的网络空间，无法直接为人的感官所感知。

在现实空间中，取证人员运用传统证据的取证手段进行取证。

在虚拟空间中，考虑到犯罪活动的隐蔽性、广域性、快速性及证据的易修改性等因素，很多情况下采取秘密侦查的手段收集电子证据，如电子邮件检查、网络监控、电子跟踪、卫星定位等，这对收集到有效证据，侦破案件是否有利。但

这对公民的个人隐私权带来挑战。在实际司法实践中，需要经过证据转化。

（六）计算机取证与计算机司法鉴定

电子数据鉴定是基于科学原理，运用经过科学实践检验的方法，发现、收集、固定、提取、分析、解释、证实、记录和描述电子设备中存储的电子数据，以发现案件线索，认定案件事实的科学。其内涵包括以下几个方面：

1．电子数据鉴定是一门科学。2001年,数字化取证研究工作组（Digital Forensic Research WorkShop,DFRW）开始了计算机证据学的研究，将电子证据作为一门科学进行研究，而不是“工具式”研究。

2．电子数据鉴定必须依托科学原理和经过科学实践检验方法。这要求我们使用的工具、分析原理是科学的、经过实践检验的。

3．电子数据鉴定包括发现、收集、固定、提取、分析、解释、证实、记录和描述电子设备中存储的电子数据等多个步骤，构成技术体系。

4．电子数据鉴定的目的是发现案件线索、认定案件事实。发现案件线索是指通过分析电子数据，发现有助于确定和拓展侦查方向的数据。认定案件事实指通过电子数据分析，出具案件主体、客体、主观方面、客观方面的分析结论。

鉴定的目的是认定案件事实和重构犯罪。

（七）电子数据鉴定的业务类型。

1．认定信息的存在性。也就是指在特定的存储介质上存有特定的信息，如对有害信息案件，通常需要对存储介质进行分析，认定其中存有某信息。

2．认定信息的量。如制作传播淫秽物品案件，通常需要对存储介质进行分析，认定其中淫秽信息的数量。

3．认定信息的同一性和相似性。通过信息的比对、统计分析，认定两个信息具有同一性或相似性。如在传播电子物品导致侵犯知识产权案件中，需要对有关的电子信息进行比对分析。

4．认定信息的来源。通过分析信息的生成方法、传播渠道、时间信息等来认定信息的最初源头。如认定网上某个帖子是否为某个特定的嫌疑人张贴，认定某个图片是否由某台数码相机拍摄。又如认定某个源代码和计算机程序的作者。

5．认定程序的功能。通过对程序进行静态分析和动态分析，认定程序具有特定的功能。如对恶意代码和木马进行分析，认定其具有盗窃信息、远程控制功能。又如对病毒代码进行分析，认定具有自我复制功能。又如对在电子设备或软件中植入逻辑炸弹案件，需要通过分析认定该程序满足特定的条件下具备特定的破坏功能。

6．认定程序的同一性和相似性。如对于假设游戏是否