如今刑事訴訟中涉及電子數據恢復的案子十分普遍，通說(shuō)認為，電子數據恢復是技能與法令高度結合的產(chǎn)品，假如不能在技能和法令兩個(gè)層面上完結心里確認，則很難做到尋求案子實(shí)體公正與確保程序合法的有機一致。筆者結合實(shí)踐事例，總結了一些狀況，希望能夠引起各級辦案人員的高度關(guān)注。
一、司法鑒別要做實(shí)踐判別，還是價(jià)值判別、法令判別？
司法鑒別本質(zhì)上是一種判別定見(jiàn)。此處的判別只能定位為“實(shí)踐判別”，這兒的“實(shí)踐”指的是鑒別人運用科學(xué)技能或許專(zhuān)門(mén)知識能夠認識的客觀(guān)狀況。
事例一：某司法鑒別安排根據托付部分要求，在檢材（移動(dòng)硬盤(pán)）中提取淫穢視頻83個(gè)、淫穢圖片10332個(gè)。
事例二：某司法鑒別安排根據托付部分要求，在檢材（移動(dòng)硬盤(pán)）中提取公民個(gè)人信息100000條。
事例三：某司法鑒別安排根據托付部分要求，作出被損壞的計算機體系達到了特別嚴峻程度的定見(jiàn)。
“淫穢視頻”“淫穢圖片”“淫穢音頻”在大眾的認知范圍上邊界并不顯著(zhù)?！缎谭ā返谌倭邨l規定，淫穢物品是指詳細描繪性行為或許顯露宣傳色情的誨淫性的書(shū)刊、影片、錄像帶、錄音帶、圖片及其他淫穢物品。國內對淫穢色情音視頻的鑒別并沒(méi)有一套通行的規范，通常經(jīng)過(guò)行政確認的辦法進(jìn)行。經(jīng)過(guò)司法鑒別安排給出“淫穢物品”的數量確認，帶有不適當的價(jià)值傾向。
相同，根據“兩高”《關(guān)于處理侵略公民個(gè)人信息刑事案子適用法令若干問(wèn)題的解說(shuō)》，“公民個(gè)人信息”是指以電子或許其他辦法記載的能夠獨自或許與其他信息結合辨認特定自然人身份或許反映特定自然人活動(dòng)狀況的各種信息，包含名字、身份證件號碼、通信通訊聯(lián)系辦法、住址、賬號暗碼、財產(chǎn)狀況、行蹤軌跡等。能否被評價(jià)為“公民個(gè)人信息”，要結合信息的實(shí)踐狀況進(jìn)行確認，嚴厲來(lái)講這歸于法令判別的范疇。而“情節嚴峻”“情節特別嚴峻”更是典型的法令判別用語(yǔ)。
上面三個(gè)事例的處理辦法，一定程度上看似便利了辦案，實(shí)則后患無(wú)窮。在以審判為中心的刑事訴訟制度下，這樣的司法鑒別定見(jiàn)極有或許被作為非法依據予以排除。
二、留意差異電子數據“本體”與“出現”之間的關(guān)系
電子數據是以“0”“1”碼存儲的數字序列調集，不或許被人們直接感知，這兒面存在一個(gè)當然的解說(shuō)進(jìn)程。挑選運用適當的解說(shuō)東西成為必定。舉例而言，關(guān)于二進(jìn)制數0x3132，運用不同的字節序，能夠得出徹底不同的成果。當然，這還只是微觀(guān)層面的解說(shuō)。
在微觀(guān)層面上，也需求留意電子數據“本體”與“出現”之間的關(guān)系問(wèn)題。
事例：在一同運用互聯(lián)網(wǎng)傳達淫穢物品案子中，某司法鑒別安排根據辦案部分托付要求，提取了服務(wù)器硬盤(pán)上存儲的視頻文件數量。有關(guān)部分以此作為定案根據。
經(jīng)過(guò)互聯(lián)網(wǎng)等揭露前言傳達淫穢物品，其實(shí)存在一個(gè)預設的條件。那就是，寬廣網(wǎng)民必定要經(jīng)過(guò)一個(gè)入口（網(wǎng)站、論壇、云盤(pán)等）拜訪(fǎng)這些資源。那么，關(guān)于刑事訴訟來(lái)講，就存在一個(gè)確認的問(wèn)題，以存儲在服務(wù)器硬盤(pán)上存儲的全部視頻文件作為定案根據，還是以大眾能夠拜訪(fǎng)到的存儲在服務(wù)器上的視頻文件作為定案根據呢？
兩者顯然是不同的，差異在哪里呢？一方面，經(jīng)過(guò)網(wǎng)站拜訪(fǎng)這些視頻文件，是需求權限的；另一方面，服務(wù)器上的有些視頻文件或許并未列入網(wǎng)站管理程序，因而歸于“肯定不或許”被大眾拜訪(fǎng)到的。
筆者認為，根據兩高《關(guān)于處理運用互聯(lián)網(wǎng)、移動(dòng)通訊終端、聲訊臺制造、仿制、出書(shū)、販賣(mài)、傳達淫穢電子信息刑事案子詳細運用法令若干問(wèn)題的解說(shuō)（二）》有關(guān)規定，這兒的“數量”應當理解為“傳達”（至少是“能夠傳達”）的數量，而不應當把存儲在服務(wù)器上的一切視頻文件都列為“數量”構成。
三、鑒別對象與鑒別東西存在混同危險
手機中的電子數據現已成為偵破和指控違法的“依據之王”。因而，針對手機電子數據的提取和鑒別是當時(shí)電子數據司法鑒別范疇最為重要的內容之一。當時(shí)市場(chǎng)干流的手機取證東西都能夠規范化的提取手機中保存的各類(lèi)數據信息，但關(guān)于保存在云端的手機app數據的處理，還存在一些需求理清的觀(guān)念。
根據《法庭科學(xué)電子依據手機經(jīng)驗技能規范》5.3.1.3規定，“若需經(jīng)過(guò)搜集提取手機云端數據等網(wǎng)絡(luò )數據時(shí)，能夠在手機數據已固定的條件下銜接互聯(lián)網(wǎng)，運用相關(guān)查驗軟件下載相關(guān)數據，或選用照相、錄像辦法固定相關(guān)數據，生成查驗陳述”，這兒明確指出手機取證其實(shí)存在著(zhù)兩個(gè)進(jìn)程，當針對手機機身進(jìn)行數據提取時(shí)，手機充當了鑒別對象（即檢材）的人物，當針對云端數據進(jìn)行數據獲取時(shí)，手機此時(shí)充當了鑒別東西的人物。
遺憾的是，許多鑒別人員在實(shí)踐操作時(shí)，往往運用軟件一同執行機身數據提取和云端數據下載，而忽視了《規范》中一個(gè)重要的限定詞——若需。
四、電子數據送檢、保管環(huán)節存在不一致危險
筆者在輔佐檢察官查看電子數據作業(yè)中，常常發(fā)現一些的程度不同的問(wèn)題，其間在電子數據保管、送檢環(huán)節發(fā)生的危險需求引起高度關(guān)注。
事例一：某地偵辦機關(guān)托付司法鑒別安排對一同“黑客”案子的涉案筆記本電腦進(jìn)行鑒別，托付書(shū)登記的筆記本電腦序列號與扣押清單中的序列號不一致。
事例二：某地偵辦機關(guān)經(jīng)過(guò)勘驗的辦法，固定了一同網(wǎng)絡(luò )傳銷(xiāo)安排的電子數據。托付司法鑒別安排鑒別時(shí)，勘驗得到的電子數據與送檢電子數據的哈希值不同。
事例三：某地偵辦機關(guān)處理一同強奸案子，移送查看起訴后，能夠證明嫌疑人與被害人之間具有親密關(guān)系的手機中，存儲芯片不知去向。
事例四：某地偵辦機關(guān)處理一同非法吸納大眾存款案子，在移送查看的材猜中，查看發(fā)現扣押的物品相片顏色差異巨大。經(jīng)核實(shí)，一個(gè)重要的依據優(yōu)盤(pán)在保管進(jìn)程中丟失，有關(guān)人員為逃避責任，新購一個(gè)同品牌類(lèi)型的優(yōu)盤(pán)替代了原始依據優(yōu)盤(pán)。
堅持依據的原始性是刑事訴訟中很重要的一項使命。上述事例一和事例二決議了該依據能否進(jìn)入該案子的依據門(mén)檻，事例三和事例四則潛藏著(zhù)有關(guān)人員成心違法或許重大過(guò)失行為。上述四個(gè)事例均存在依據開(kāi)裂的實(shí)踐危險，那么接下來(lái)的法庭審理中，檢察機關(guān)將不可避免的面臨被迫。假如律師聘請了資深專(zhuān)家團隊并提出合理置疑，輕則帶來(lái)案子反復，重則作出無(wú)罪判決，那將是司法難以承受之重。
五、重鑒別輕取證的司法辦案理念急需改變
2013年修訂后刑訴法實(shí)施以來(lái)，電子數據成了法定依據辦法。此次修法還有一個(gè)更大的變化，“鑒別結論”改為了“鑒別定見(jiàn)”，這是司法實(shí)踐范疇的一次重要調整。
可是，寬廣司法人員希望經(jīng)過(guò)鑒別確認某些專(zhuān)門(mén)問(wèn)題，乃至達到一錘定音的主意還沒(méi)有得到有效消除，換句話(huà)說(shuō)，司法人員對“鑒別結論”的依靠并沒(méi)有及時(shí)得到調整。在電子數據的問(wèn)題上，這一點(diǎn)尤其顯著(zhù)。偵辦機關(guān)經(jīng)過(guò)現場(chǎng)勘驗獲取的電子數據、經(jīng)過(guò)第三方調取的電子數據、經(jīng)過(guò)實(shí)施查看等技能手法得到的電子數據……，這些都是電子數據，都現已是法定的依據辦法。但有些檢察人員對偵辦部分不辭辛苦獲取的電子數據不做詳查、不做剖析，有的聽(tīng)之任之，有的乃至要求辦案部分去做個(gè)鑒別。在所謂“舊理念”的指導下，有些鑒別定見(jiàn)不三不四。
事例：某地偵辦機關(guān)處理一同網(wǎng)絡(luò )傳銷(xiāo)案子，根據有關(guān)辦案人員的要求，鑒別安排出具了“該安排運行辦法符合傳銷(xiāo)安排特征”的鑒別定見(jiàn)。
在這個(gè)事例中，司法鑒別安排仍然越權做出了“法令判別”，但清楚明了，這兒面包含著(zhù)一種錯誤的傾向，有關(guān)辦案人員仍然希望經(jīng)過(guò)司法鑒別的辦法對有關(guān)法令問(wèn)題進(jìn)行確認。
六、信息加密成為約束電子數據取證和鑒別的一道門(mén)檻
暗碼破解一直是電子數據恢復取證和鑒別中需求面臨的問(wèn)題。信息加密技能在為用戶(hù)供給數據安全的一同，也對電子數據取證人員提出了更高的要求。從BIOS暗碼、操作體系用戶(hù)暗碼到Android全盤(pán)加密、文件級加密再到iOS加密，電子數據取證面臨著(zhù)越來(lái)越高的取證門(mén)檻。下面臨當時(shí)常見(jiàn)的信息加密辦法進(jìn)行介紹，并將其對電子數據取證的影響進(jìn)行闡明。
難點(diǎn)一：BitLocker是內置于WindowsVista及其之后體系的全盤(pán)加密功用，經(jīng)過(guò)對磁盤(pán)卷進(jìn)行加密來(lái)維護數據。它運用128位或256位密鑰的AES加密算法加密數據，加密強度很高。
當時(shí)破解Bitlocker的技能除了經(jīng)過(guò)社會(huì )工程學(xué)等手法直接獲取暗碼外，主要有以下辦法：一是經(jīng)過(guò)對BitLocker加密設備的內存或Windows休眠文件進(jìn)行提取，在其間查找Bitlocker密鑰，二是在獲取用戶(hù)的微軟賬戶(hù)和暗碼后經(jīng)過(guò)微軟賬戶(hù)查詢(xún)BitLocker恢復密鑰，三是運用Bitlocker運用固態(tài)硬盤(pán)進(jìn)行硬件加密的漏洞，從固態(tài)硬盤(pán)中獲取Bitlocker密鑰。上述辦法在實(shí)踐中都有一定的局限性，導致對Bitlocker加密卷的破解成功率無(wú)法保證。
難點(diǎn)二：Android在4.4版中引入了全盤(pán)加密（FDE），并在5.0中對全盤(pán)加密功用進(jìn)行了優(yōu)化。全盤(pán)加密是運用密鑰（密鑰本身也經(jīng)過(guò)加密）對Android設備上的一切用戶(hù)數據進(jìn)行編碼的進(jìn)程。設備經(jīng)過(guò)加密后，一切由用戶(hù)創(chuàng )立的數據在存入磁盤(pán)之前都會(huì )主動(dòng)加密，并且一切讀取操作都會(huì )在將數據返回給調用進(jìn)程之前主動(dòng)解密數據。
Android7.0及更高版本支撐文件級加密（FBE）。選用文件級加密時(shí)，能夠運用不同的密鑰對不同的文件進(jìn)行加密，并且能夠對加密文件進(jìn)行獨自解密。文件級加密會(huì )對文件名和文件內容進(jìn)行加密。
關(guān)于Android體系加密，除了獲取暗碼或運用指紋、人臉辨認解鎖外，主要是經(jīng)過(guò)屏蔽鎖屏暗碼和暴力破解的辦法進(jìn)行解密。其間暴力破解的辦法由于速度約束（體系運算能力和Gatekeeper請求次數約束），導致不知道原暗碼狀況下破解時(shí)長(cháng)無(wú)法控制。
難點(diǎn)三：從iPhone3GS開(kāi)端，蘋(píng)果運用硬件對iOS設備進(jìn)行數據加密，這被稱(chēng)為數據維護（DataProtection）。重要的iOS體系運用，比方信息、郵件、日歷、通訊錄、相片和健康數據會(huì )默許被數據維護加密。而從iOS7開(kāi)端，第三方運用數據也會(huì )主動(dòng)被數據維護加密。iOS設備的硬件加密辦法導致直接對芯片進(jìn)行提取數據后無(wú)法進(jìn)行解密。
當時(shí)可行的iOS提取辦法只要經(jīng)過(guò)獲取或破解iOS鎖屏暗碼來(lái)處理，主要辦法包含：經(jīng)過(guò)Lockdown文件繞過(guò)鎖屏暗碼進(jìn)行提??；經(jīng)過(guò)硬件對暗碼進(jìn)行暴力破解；經(jīng)過(guò)指紋或人臉辨認解鎖。上述辦法在實(shí)踐查驗中有著(zhù)各種約束，Lockdown文件不一定能夠找到，即便找到也有或許現已過(guò)期無(wú)法運用；暴力破解或許有iOS版本約束，或許為商業(yè)技能，成本高昂。
七、數據恢復實(shí)踐面臨應戰
電子數據取證和司法鑒別中的數據恢復，是指經(jīng)過(guò)軟件東西對檢材（樣本）進(jìn)行數據恢復操作的進(jìn)程。刪去電子數據文件時(shí)，操作體系只對文件體系中被刪去文件的記載項進(jìn)行修正，其真正的數據區域并不會(huì )被直接修正，而是做為未分配空間供后續運用。換句話(huà)說(shuō)，數據恢復的條件是，刪去的數據未被修正。
跟著(zhù)存儲技能的發(fā)展，新型存儲設備開(kāi)端出現。固態(tài)硬盤(pán)因其低功耗、高讀寫(xiě)速度、無(wú)噪音、體積小等長(cháng)處，跟著(zhù)價(jià)格的下降運用者越來(lái)越多。但固態(tài)硬盤(pán)與傳統機械硬盤(pán)在存儲原理、辦法上有著(zhù)底子不同，對電子數據取證中的電子數據恢復作業(yè)造成了很大影響。與機械硬盤(pán)次序寫(xiě)入受到塊碎片和壞扇區的影響，機械硬盤(pán)并不徹底是次序存儲。不同，固態(tài)硬盤(pán)不運用次序寫(xiě)入。在固態(tài)硬盤(pán)中，數據會(huì )被分成不同的數據塊，一同寫(xiě)入到不同的NAND存儲芯片中，這種平行寫(xiě)入的辦法使固態(tài)硬盤(pán)的寫(xiě)入速度遠高于機械硬盤(pán)。
即便是單NAND存儲芯片的固態(tài)硬盤(pán)也不會(huì )運用次序寫(xiě)入的辦法存儲數據[或許只要全新的，從未寫(xiě)入過(guò)數據的固態(tài)硬盤(pán)會(huì )運用次序存儲的辦法]。存儲芯片中每個(gè)塊對應的邏輯地址LBA都是動(dòng)態(tài)分配的，便于主控進(jìn)行損耗平衡。這導致了從NAND存儲芯片中直接讀取到的數據就好像拼圖相同，將數據打散成碎片后隨意的組合在一同。假如沒(méi)有固態(tài)硬盤(pán)主控的協(xié)助，想要經(jīng)過(guò)芯片提取的辦法恢復一個(gè)文件是好不容易的。
除了數據存儲辦法的不同之外，固態(tài)硬盤(pán)還設置了后臺廢物收回機制。當刪去存儲在固態(tài)硬盤(pán)上的文件時(shí)，操作體系會(huì )執行trim指令，以告知固態(tài)硬盤(pán)該文件將不會(huì )再被運用。只要處于通電狀況，固態(tài)硬盤(pán)就會(huì )發(fā)動(dòng)后臺的廢物收回機制，擦除現已trim的數據塊。即便運用只讀接口銜接固態(tài)硬盤(pán)也無(wú)法阻撓這一進(jìn)程，這導致了固態(tài)硬盤(pán)上刪去數據的恢復變得好不容易。
當然實(shí)踐狀況或許會(huì )有所不同。假如操作體系、固態(tài)硬盤(pán)（或許閃存存儲器）以及它們之間的傳輸協(xié)議中有不支撐trim的部分，那么trim以及后續的廢物收回機制將無(wú)法運作，使得狀況或許有所好轉。但由于NAND存儲芯片寫(xiě)入和擦除大小不同等問(wèn)題，使得trim成為了固態(tài)硬盤(pán)所有必要的一部分，因而未來(lái)關(guān)于固態(tài)硬盤(pán)的數據恢復形勢仍然并不達觀(guān)。
機械硬盤(pán)數據恢復未來(lái)的狀況也并非一片光亮。跟著(zhù)疊瓦式磁記載技能（ShingledMagneticRecording）的運用，機械硬盤(pán)也面臨著(zhù)和NAND存儲芯片相同的問(wèn)題。當時(shí)市場(chǎng)上現已出現了支撐trim指令的運用疊瓦式磁記載技能的機械硬盤(pán)，關(guān)于這種硬盤(pán)進(jìn)行數據恢復也將會(huì )面臨著(zhù)固態(tài)硬盤(pán)相同的問(wèn)題。
八、海量電子數據的處理陷入困境
海量電子數據的運用，是當時(shí)司法實(shí)踐中不得不考慮的重要問(wèn)題。涉案電子數據載體數量爆發(fā)式增長(cháng)，單個(gè)載體的數據容量爆發(fā)式增長(cháng)，這兩個(gè)要素導致在任何一個(gè)案子中，都或許搜集到海量的電子數據恢復。
事例一：某地偵辦機關(guān)在處理一同非法集資案子中，查封扣押涉案電腦200余臺，從阿里云空間勘驗數據40TB。如此規模的電子數據，給有關(guān)部分運用依據帶來(lái)巨大壓力。
事例二：某地偵辦機關(guān)處理一同網(wǎng)絡(luò )電信詐騙案子，經(jīng)核實(shí)僅確認了1名受害者。移送查看起訴后，在技能人員的輔佐下，從100余萬(wàn)條微信記載中，追加確認了70余名受害者以及相應的轉賬記載。其間的排查作業(yè)量相當大。
海量電子數據是一個(gè)比較完整的虛擬空間，是另一種辦法的“違法現場(chǎng)”。該“違法現場(chǎng)”給深挖違法供給了寬廣空間，卻也帶來(lái)了許多技能處理上的應戰。假如說(shuō)事例一僅僅是技能人員數量上的綽綽有余，事例二則對海量數據的剖析作業(yè)提出了更高的要求。實(shí)踐上，公檢法機關(guān)現有的技能力量底子無(wú)法應對海量電子數據，具有老練數據剖析技能的人員更是嚴峻短少。此外，符合實(shí)踐的海量數據處理東西也是一個(gè)嚴峻的短板。
截至現在，針對海量電子數據恢復的處理，仍然沒(méi)有很好的處理辦法。
關(guān)注神州，了解更多