電子數(shù)據(jù)司法鑒定室負(fù)責(zé)人李本富說(shuō)：“所有委托方提供的電子檢材，在經(jīng)過(guò)專(zhuān)門(mén)的固定后，我們能很快取得該檢材的“指紋”，具有唯一性的電子信息檔案。隨后對(duì)涉及的內(nèi)容，經(jīng)過(guò)數(shù)據(jù)恢復(fù)、搜索查找、取證分析等，我們總能找到其中的蛛絲馬跡，作為證據(jù)提供給法庭采納。”

    雁過(guò)留聲，即便在號(hào)稱(chēng)隱匿性很強(qiáng)的虛擬網(wǎng)絡(luò)世界里，一個(gè)網(wǎng)民做過(guò)些什么，都會(huì)留下這樣那樣的痕跡。2013年1月1日起實(shí)施的新《中華人民共和國(guó)刑事訴訟法》將“電子證據(jù)”作為法定證據(jù)種類(lèi)之一加以明文規(guī)定。第三方的電子數(shù)據(jù)司法鑒定中心出具的鑒定報(bào)告，就顯得尤為重要。類(lèi)似的鑒定如何進(jìn)行？讓我們一起窺探南方醫(yī)科大學(xué)司法鑒定中心電子數(shù)據(jù)司法鑒定室，一窺其中奧妙。

    服務(wù)器電腦手機(jī)U盤(pán)里都有證據(jù)

    人類(lèi)日益依賴(lài)電子設(shè)備，可它們?cè)谔峁┥畋憷耐瑫r(shí)，也能為一些不法分子，尤其是高科技犯罪分子提供先進(jìn)的設(shè)備工具。而電子數(shù)據(jù)司法鑒定就是指采用技術(shù)鑒定的手段，取得最具證明力的電子證據(jù)作為認(rèn)定事實(shí)的依據(jù)。

    電子數(shù)據(jù)司法鑒定室負(fù)責(zé)人李本富介紹，比如網(wǎng)絡(luò)賭博的查處，網(wǎng)絡(luò)警察能夠通過(guò)sniffer等諸多網(wǎng)監(jiān)軟件，來(lái)監(jiān)控某一個(gè)監(jiān)控范圍、某時(shí)段流量的變化，來(lái)定位一臺(tái)網(wǎng)絡(luò)終端(電腦、具有上網(wǎng)功能的智能手機(jī)或平板)，當(dāng)監(jiān)控對(duì)象有訪(fǎng)問(wèn)不可信任站點(diǎn)時(shí)(服務(wù)器設(shè)置于境外的賭博網(wǎng)站)，那么網(wǎng)警首先就能確定你是否為嫌疑人。一旦確定你為嫌疑人，可以進(jìn)行相應(yīng)的法律處置時(shí)，你的硬盤(pán)、上網(wǎng)工具，能確定、清晰地記錄你的上網(wǎng)記錄。

    “有人可能會(huì)覺(jué)得，在電腦(含其他終端，下同)上刪除掉上網(wǎng)記錄，就會(huì)無(wú)跡可循”，這顯然很傻很天真，即便是刪除、格式化，在電腦、服務(wù)器上的操作總會(huì)留下或多或少的痕跡，而這些痕跡，往往是可以溯源的。“比如Q Q聊天記錄，原告一方提供了電腦，另一方則刪除了記錄。通過(guò)相應(yīng)的法律程序及科技手段，就可以還原當(dāng)時(shí)的聊天記錄原文。當(dāng)然，網(wǎng)絡(luò)運(yùn)營(yíng)商、聊天軟件維護(hù)商那里都有可能要給予配合。”

    證據(jù)固定：獲取電子設(shè)備的“指紋”

    如何確保“電子證據(jù)”的科學(xué)性？這決定了類(lèi)似的鑒定，需要經(jīng)過(guò)一套嚴(yán)謹(jǐn)、科學(xué)的流程。

    “既然電子設(shè)備里面的數(shù)據(jù)極易發(fā)生變化，稍微在電腦上添加一個(gè)符號(hào)，都會(huì)讓設(shè)備信息出現(xiàn)巨大的不同。那么鑒定工作的第一步，就是對(duì)現(xiàn)有設(shè)備及數(shù)據(jù)進(jìn)行固定，讓設(shè)備‘定格’。”李本富表示，在進(jìn)行類(lèi)似的定格后，專(zhuān)家會(huì)根據(jù)固定的檢材，進(jìn)行技術(shù)處理，找到這個(gè)材料的M D 5值。“這個(gè)就是電子設(shè)備及數(shù)據(jù)區(qū)別其他設(shè)備及數(shù)據(jù)的電子指紋，也可叫電子D N A。”

    此時(shí)，鑒定人員會(huì)要求委托人簽名，與此同時(shí)，有攝像、拍照等證據(jù)證明全部流程。

    隨后，鑒定人員將立即對(duì)固定的設(shè)備，進(jìn)行“克隆”。“你交給我一個(gè)500G硬盤(pán)，我就用一個(gè)500G的硬盤(pán)制作成一個(gè)克隆副本。你給一個(gè)4G的U盤(pán)，我就克隆一個(gè)4G的U盤(pán)”，此時(shí)的克隆體，保留了原件的全部信息及痕跡，鑒定工作隨后就在這個(gè)克隆體上進(jìn)行了。

    “要感謝電子克隆中位對(duì)位的技術(shù)特點(diǎn)。原件中每一個(gè)痕跡變化，在副本里都能真實(shí)地記錄。”李本富說(shuō)。

    送檢樣品獲得渠道必須合法

    早在2007年毒王“熊貓燒香”始作俑者被抓時(shí)，公安機(jī)關(guān)便通過(guò)專(zhuān)家的幫忙，在嫌疑犯使用的存儲(chǔ)介質(zhì)(硬盤(pán)、U盤(pán))中找到制作傳播木馬、病毒的證據(jù)。鑒定專(zhuān)家的溯源，甚至確定了病毒編寫(xiě)時(shí)間段，修改時(shí)間，升級(jí)時(shí)間，甚至所使用的計(jì)算機(jī)語(yǔ)言。為案犯的最終量刑、定性提供了重要證據(jù)。

    據(jù)悉，李本富所在的鑒定中心，正式成立于去年10月。除受理單位委托外，也受理私人委托的數(shù)據(jù)恢復(fù)與鑒定案例。收費(fèi)嚴(yán)格按司法廳、物價(jià)局確定的標(biāo)準(zhǔn)來(lái)進(jìn)行收費(fèi)。“具體到每個(gè)案例，將按數(shù)據(jù)量和恢復(fù)的難易程度進(jìn)行收費(fèi)，次均收費(fèi)4000元左右，但有的只是簡(jiǎn)單的數(shù)據(jù)恢復(fù)委托，按80元/G收費(fèi)”。

    據(jù)悉，在信息社會(huì)，電子數(shù)據(jù)司法鑒定能做的事情很多。可被鑒定設(shè)備包括：電腦、服務(wù)器、平板電腦、手機(jī)等信息處理設(shè)備，鑒定內(nèi)容如電子郵件鑒定、軟件(程序)版權(quán)鑒定、網(wǎng)頁(yè)內(nèi)容鑒定、文檔資料一致性鑒定、聊天記錄鑒定等等。“當(dāng)然，委托人要保證送檢樣品獲得渠道的合法性，我們則保證為委托人進(jìn)行保密、提供準(zhǔn)確的數(shù)據(jù)還原等工作。”這一切，都將以委托合同的形式予以明確。

    技術(shù)P K

    電子取證與駭客的“貓鼠游戲”

    目前，該中心所采用的數(shù)據(jù)恢復(fù)與鑒定技術(shù)，均為在國(guó)際、國(guó)內(nèi)公認(rèn)的電子數(shù)據(jù)恢復(fù)與鑒定軟件。比如單個(gè)軟件單價(jià)7萬(wàn)元的E ncase，國(guó)產(chǎn)的取證大師、手機(jī)取證系統(tǒng)(單價(jià)6萬(wàn))。“為確保安全性，這些系統(tǒng)、軟件只會(huì)售賣(mài)給有資質(zhì)的司法鑒定機(jī)構(gòu)，并周期性維護(hù)升級(jí)。”

    在軟件運(yùn)用上，也需專(zhuān)業(yè)的有經(jīng)驗(yàn)專(zhuān)家來(lái)進(jìn)行操作，才能更全面、準(zhǔn)確地開(kāi)展深度恢復(fù)數(shù)據(jù)記錄，或密碼破解。

    “在網(wǎng)絡(luò)領(lǐng)域，也有一些駭客常常制作一些反取證技術(shù)、軟件，來(lái)規(guī)避這些經(jīng)典工具、系統(tǒng)的恢復(fù)破解功能”。李本富表示，針對(duì)反取證技術(shù)，現(xiàn)有經(jīng)典軟件往往要通過(guò)周期性的升級(jí)來(lái)予以破解。

    “在電子數(shù)據(jù)鑒定領(lǐng)域，也存在著破解-反破解的貓鼠游戲。目前看來(lái)，這些經(jīng)典的軟件、系統(tǒng)，還是在這場(chǎng)游戲中處于上風(fēng)。”

    案例

    市民狀告政府部門(mén)不作為

    機(jī)關(guān)內(nèi)部O A鑒定證明“很無(wú)辜”

    去年，一市民對(duì)廣州某市屬局委辦的辦事進(jìn)程不滿(mǎn)。以行政不作為為由，將該政府部門(mén)告上了法庭。“當(dāng)時(shí)這個(gè)機(jī)關(guān)感覺(jué)很無(wú)辜，因?yàn)樗麄兪且勒辙k事流程，在內(nèi)部的辦公信息系統(tǒng)上及時(shí)進(jìn)行了處理。對(duì)于市民反映的內(nèi)容，也進(jìn)行了上傳下達(dá)，以及和其他部門(mén)的協(xié)查請(qǐng)求。”

    但在具體出庭時(shí)，該部門(mén)只能將辦公系統(tǒng)中的流程打印成紙質(zhì)文件，作為呈堂證據(jù)。結(jié)局顯而易見(jiàn)，因?yàn)檫@些打印紙質(zhì)文件的法律效力過(guò)于低下，雖然它可能真的就是該部門(mén)內(nèi)部辦理流程的紙質(zhì)CO PY。

    在此情況下，鑒定中心專(zhuān)家出馬了。首先對(duì)其相應(yīng)的內(nèi)部辦公頁(yè)面進(jìn)行了拍照、錄像，隨后在見(jiàn)證下，從該局的計(jì)算機(jī)、服務(wù)器、后臺(tái)數(shù)據(jù)庫(kù)提取了該業(yè)務(wù)處理過(guò)程中的所有痕跡信息及事務(wù)日志等相關(guān)證據(jù)。形成了一個(gè)從電腦終端到服務(wù)器、繼而到數(shù)據(jù)庫(kù)日志的取證鏈條。最終形成了司法鑒定報(bào)告，以供其上訴時(shí)使用。

    員工聲稱(chēng)經(jīng)常超時(shí)加班

    指紋考勤機(jī)還原出真實(shí)信息

    委托單位與某員工發(fā)生勞動(dòng)爭(zhēng)議，根據(jù)勞動(dòng)仲裁，該員工要求原單位補(bǔ)償自己在職時(shí)加班工資12萬(wàn)多元。原單位感覺(jué)“很委屈”，往中心送來(lái)了該公司使用的兩臺(tái)指紋考勤機(jī)，委托鑒定中心對(duì)該員工的考勤記錄進(jìn)行司法鑒定。中心按照法定的程序，對(duì)考勤機(jī)中該員工的相關(guān)信息及其考勤記錄進(jìn)行信息查找及證據(jù)固定，隨后進(jìn)行證據(jù)分析。

    鑒定報(bào)告書(shū)為委托單位在隨后的法院訴訟提供了電子證據(jù)。該單位最后贏了官司。

    電子數(shù)據(jù)司法鑒定是建立在數(shù)據(jù)恢復(fù)技術(shù)之上的，筆者作為一名數(shù)據(jù)恢復(fù)工作者，在此提出自己的一點(diǎn)建議，所謂存儲(chǔ)介質(zhì)，文件記錄等等，是可以經(jīng)過(guò)篡改的，希望國(guó)家相關(guān)部門(mén)能出臺(tái)相關(guān)政策來(lái)規(guī)范市場(chǎng)，而電子數(shù)據(jù)司法鑒定應(yīng)該向更加透明、公正的方向發(fā)展。