试论电子证据取证技术的相关问题

试论电子证据取证技术的相关问题

高鹏

关键词：电子证据取证技术

计算机技术的产生极大的方便了人民生活，但是计算机诈骗，攻击政府、军事部门网站，色情信息、网站的泛滥等等网络犯罪也随之而来。侦破这些案件必须要用到计算机取证技术，搜寻确认罪犯及其犯罪证据，并据此提起诉讼。电子证据本身和取证过程有许多不同于传统物证和取证的特点，给司法工作和计算机科学领域都提出了新的挑战。

一、计算机取证的概念、特点、发展

电子证据也称为计算机证据，是指在计算机或计算机系统运行过程中产生的，以其记录的内容来证明案件事实的电磁记录物。电子证据的表现形式是多样的，尤其是多媒体技术的出现，更使电子证据综合了文本、图形、图像、动画、音频及视频等多种媒体信息，这种以多媒体形式存在的计算机证据几乎涵盖了所有传统证据类型。与传统证据一样，电子证据必须是：可信的、准确的、完整的、符合法律法规的，即可为法庭所接受的。同时我们不难发现，电子证据还具有与传统证据有别的其它特点：①磁介质数据的脆弱性；②电子证据的无形性；③高科技性；④人机交互性；⑤电子证据是由计算机和电信技术引起的，由于其它技术的不断发展，所以取证步骤和程序必须不断调整以适应技术的进步。

计算机取证是伴随着计算机犯罪事件的出现而发展起来的，在我国计算机证据出现在法庭上只是近10年的事情，在信息技术较发达的美国已有了30年左右的历史。最初的电子证据是从计算机中获得的正式输出，法庭不认为它与普通的传统物证有什么不同。但随着计算机技术的发展，以及随着与计算机相关的法庭案例的复杂性的增加，电子证据与传统证据之间的类似性逐渐减弱。于是90年代中后期，对计算机取证的技术研究、专门的工具软件的开发以及相关商业服务陆续出现并发展起来。

二、计算机取证的过程

计算机取证包括物理证据获取和信息发现两个阶段。物理证据获取是指调查人员到计算机（或网络终端）犯罪或入侵的现场，寻找并扣留相关的硬件设备；信息发现是指从原始数据(包括文件，日志等)中寻找可以用来证明或者反驳的证据，即电子证据。

1．物理证据的获取。物理证据的获取是全部取证工作的基础。获取物理证据是最重要的工作，保证原始数据不受任何破坏。无论在任何情况下，调查者都应牢记：①不要改变原始记录；②不要在作为证据的计算机上执行无关的操作；③不要给犯罪者销毁证据的机会；④详细记录所有的取证活动；⑤妥善保存得到的物证。由于犯罪的证据可能存在于系统日志、数据文件、寄存器、交换区、隐藏文件、空闲的磁盘空间、打印机缓存、网络数据区和计数器、用户进程存储器、文件缓存区等不同的位置。要收集到所有的资料是非常困难的。关键的时候要有所取舍。所以在物理证据获取时，面对调查队伍自身的素质问题和设备时，还要注意以下两个问题：①取证设备要具有高速磁盘复制能力；②技术复杂度高是取证中另一十分突出的问题。

2．信息发现。在任何犯罪案件中，犯罪分子或多或少都会留下蛛丝马迹，前面所说的电子证据就是这些高科技犯罪分子留下的蛛丝马迹。这些电子证据的物理存在构成了我们取证的物质基础，但是如果不把它提炼出来，它只是一堆无意义的数据。我们研究计算机犯罪取证就是将这些看似无意义的数据变成与犯罪分子斗争的利器，将犯罪者留在计算机中的“痕迹”作为有效的诉讼证据提供给法庭，以便将犯罪者绳之以法。不同的案件对信息发现的要求是不一样的。有些情况下要找到关键的文件、邮件或图片，而有些时候则可能要求计算机重现过去的工作细节(比如入侵取证)。为了保护原始数据，除非与特殊的需要，所有的信息发现工作都是对原始证据的物理拷贝进行的。由于包含着犯罪证据的文件可能已经被删除了，所以要通过数据恢复找回关键的文件、通信记录和其它的线索。数据恢复以后，取证专家还要进行关键字的查询、分析文件属性和数字摘要、搜寻系统日志、解密文件等工作。

三、计算机取证技术的局限性

计算机取证技术的发展是近年来计算机安全领域内取得的重大成果。然而，在实际取证过程中计算机取证技术还存在着很大的局限性。我们所讨论的技术都是在理想条件下实施的：①有关犯罪的电子证据必须没有被覆盖；②取证软件必须能够找到这些数据。并能知道它代表的内容。但从当前阶段的实施效果来看，不甚理想。在取证技术迅速发展的同时，一种叫做反取证的技术也悄悄出现了。反取证技术就是删除或隐藏证据，使取证调查无效。现在反取证技术主要分为三类：数据擦除、数据隐藏、数据加密。这些技术还可结合使用，使取证工作变得很困难。数据擦除是阻止取证调查人员获取、分析犯罪证据的最有效的方法，一般情况下是用一些毫无意义的、随机产生的“0”、“1”字符串序列来覆盖介质上面的数据，使取证调查人员无法获取有用的信息。数据隐藏是指入侵者将暂时还不能被删除的文件伪装成其他类型或者将它们隐藏在图形或音乐文件中，也有人将数据文件隐藏在磁盘上的Slack空间、交换空间或者未分配空间中，这类技术统称为数据隐藏。数据加密是用一定的加密算法对数据进行加密，使明文变为密文。

参考文献：

[1]赵小敏等.计算机取证的研究现状和展望.计算机安全.2003.10.

[2]钟秀玉.计算机取证问题分析与对策.电脑开发与应用.2005.03.