文森

摘要：隨著現(xiàn)代信息技術(shù)的快速發(fā)展，電子取證技術(shù)在打擊毒品犯罪活動中的作用日益凸顯，該文分析毒品案件電子證據(jù)的定義、種類、取證原則，并重點研究取證技術(shù)的實現(xiàn)。

關(guān)鍵詞：電子證據(jù)；取證技術(shù)；毒品犯罪

中圖分類號：TP311 文獻標識碼：A 文章編號：1009-3044（2014）01-0041-03

1 概述

毒品犯罪活動，嚴重影響社會穩(wěn)定和經(jīng)濟發(fā)展。截至今年5月底，我國的吸毒人數(shù)達到222萬人[1]，嚴厲打擊毒品犯罪活動刻不容緩。收集、固定犯罪證據(jù)，是揭露、證實和打擊毒品犯罪的關(guān)鍵環(huán)節(jié)。從一定意義上講，毒品犯罪案件的偵查過程，就是毒品犯罪證據(jù)的發(fā)現(xiàn)、收集、保全和運用的過程[2]。由于毒品案件的特殊性，毒品案件證據(jù)相對單一、即時性強、易毀壞、推定力虛弱[3]，導致毒品案件證據(jù)發(fā)現(xiàn)難、收集難。2013年1月1日， 修正后的《刑事訴訟法》正式實施，明確將“視聽資料、電子數(shù)據(jù)”作為獨立的證據(jù)種類納入其中，我國已正式確定了電子證據(jù)的法律地位。因此，在當前的信息化社會環(huán)境下，開展毒品案件電子證據(jù)的取證技術(shù)研究，拓展證據(jù)發(fā)現(xiàn)、收集手段，豐富證據(jù)類型和內(nèi)容，解決毒品案件證據(jù)來源少、取證困難的實際問題，對提高打擊成效、遏制毒品犯罪活動的蔓延勢頭具有非常重要的現(xiàn)實意義。

2 毒品案件中電子證據(jù)概述

2.1 毒品案件電子證據(jù)的定義

犯罪嫌疑人在實施制造、販賣、走私、運輸毒品等犯罪活動過程中，其行為“電磁痕跡”直接或間接地遺留、存儲在某種電子設備中， 利用取證技術(shù)分析“電磁痕跡”，并以合法方式收集、固定，證明犯罪的證據(jù)形式就是毒品案件的電子證據(jù)，其存在形式不僅僅限于計算機作為產(chǎn)生載體的電子數(shù)據(jù)信息，還包括手機、傳真、數(shù)碼相機等電子設備中存儲的電子數(shù)據(jù)信息，是一種依靠電子記錄方式而發(fā)生和產(chǎn)生的數(shù)據(jù)內(nèi)容。因此，筆者認為，毒品案件電子證據(jù)是指在毒品犯罪過程中遺留的以電磁、光信號或具有類似性能為存在形式，能夠證明案件真實情況的電子數(shù)據(jù)證明材料。

2.2 毒品案件電子證據(jù)的本質(zhì)和特點

2.2.1 電子證據(jù)的本質(zhì)

電子證據(jù)是信息技術(shù)的產(chǎn)物，其本質(zhì)上是一組數(shù)字化的信息，按編碼規(guī)則通過“0”或“1”這兩個數(shù)字的不同編碼記錄于磁性介質(zhì)中的客觀存在。毒品案件電子證據(jù)是毒品犯罪行為遺留在計算機、手機等各種電子設備中的客觀反映。

2.2.2 電子證據(jù)的特點

與物證、書證等傳統(tǒng)證據(jù)相比，毒品案件電子證據(jù)不僅同樣具備客觀性、關(guān)聯(lián)性、合法性特征，還具有三個突出特點[4]：

1）數(shù)字化。電子證據(jù)中的文檔、圖像、動畫、音視頻等多種信息形式均是以二進制數(shù)據(jù)格式存儲在硬盤、軟盤、光盤等電子設備及介質(zhì)中。

2）多樣化。電子證據(jù)的表現(xiàn)形式是多種多樣的，既可以是文本，又可以是圖像、音視頻資料。

3）脆弱性。電子數(shù)據(jù)或信息是非連續(xù)的數(shù)據(jù)或信息，易被改變、損壞或銷毀，無論是故意刪除還是誤操作、病毒感染、硬件故障、斷電、電磁干擾等原因，都很可能破環(huán)電子證據(jù)，甚至使電子證據(jù)永久消失。

另外，電子證據(jù)同傳統(tǒng)證據(jù)形式相比，具有以下優(yōu)點：

1）可以被精確復制，用復件代替原件進行檢查分析，避免損壞原始證據(jù)。

2）容易鑒別當前的數(shù)字證據(jù)是否被改變。采用安全技術(shù)措施如MD5算法可以認證數(shù)據(jù)的完整性。

3）收集迅速、易于保存、占用空間小、容量大、傳輸方便，可以反復重現(xiàn)、便于操作。

2.3 毒品案件電子證據(jù)種類

由于毒品案件自身的特殊性，毒品案件電子證據(jù)的種類相對固定，按照毒品犯罪行為過程，常見的電子證據(jù)類型包括：

1）手機證據(jù)。是犯罪嫌疑人在使用手機聯(lián)系、組織策劃毒品、易制毒化學品活動過程中，儲存在嫌疑人手機中的通話記錄、通信錄、短信息、微信、音視頻、圖片等信息。

2）上網(wǎng)記錄證據(jù)。主要是指犯罪嫌疑人在使用計算機網(wǎng)絡發(fā)布制毒配方和生產(chǎn)工藝、銷售毒品和易制毒化學品時的網(wǎng)頁信息、IP地址、注冊登陸信息、cookie、歷史記錄等信息。

3）電子郵件證據(jù)。是犯罪嫌疑人聯(lián)系、組織策劃、指揮毒品、易制毒化學品犯罪活動、傳授制毒方法發(fā)送或接收的電子郵件信息和郵件內(nèi)容。

4）網(wǎng)絡交易證據(jù)。是指毒品犯罪分子利用電子商務平臺從事毒品、易制毒化學品交易的交易時間、交易雙方身份、登錄IP地址、MAC地址等信息。

5）即時通信證據(jù)。犯罪嫌疑人利用QQ、MSN等即時通信工具，從事聚眾吸食毒品、傳播制毒方法、販賣毒品和易制毒化學品的各種信息。

6）其他電子設備中存儲的證據(jù)。主要是指其他存儲介質(zhì)中保存的各種信息。

① 具備存儲功能的電話機、打印機、傳真機、掃描儀、復印機、錄音筆、數(shù)碼（錄）相機等設備中存儲的信息。

② 移動存儲介質(zhì)中存儲的信息。如移動硬盤、U 盤、各類軟盤、磁帶、光盤等、記憶卡（ Memory Cards） 、各類擴展存儲卡等電子設備中存儲的電子證據(jù)，包括電子文檔、硬盤上的壞簇、Slack 空間、被刪除的文件、隱藏分區(qū)、系統(tǒng)數(shù)據(jù)區(qū)、丟失簇、未分配空間等數(shù)據(jù)區(qū)中可能存在的數(shù)據(jù)。

③ 連網(wǎng)設備信息。調(diào)制解調(diào)器、網(wǎng)卡、路由器、集線器、交換機、網(wǎng)線與接口等網(wǎng)絡設備中存儲的數(shù)據(jù)。

④ 應用系統(tǒng)記錄。如道路及城市視頻監(jiān)控系統(tǒng)、治安卡口系統(tǒng)、車輛導航軌跡系統(tǒng)（GPS、北斗定位導航提供行程方位、地點定位及名稱、出發(fā)點及預定目的位置、行程日志）、票務系統(tǒng)（飛機、火車、汽車票）等信息應用系統(tǒng)存儲的數(shù)據(jù)記錄。

3 毒品案件中電子證據(jù)的取證技術(shù)

3.1電子證據(jù)取證原則

1）及時性原則。由于電子證據(jù)的易損性，要求計算機證據(jù)的獲取有一定的時效性。

2）完整性原則。由于電子證據(jù)的易改變性，在提取、分析和傳輸過程中，要采取措施確保數(shù)據(jù)完整。

3）合法性原則。電子證據(jù)的實質(zhì)是二進制編碼，只能通過機器語言識別，要作為證據(jù)使用，像指紋、DNA 一樣，電子證據(jù)的產(chǎn)生、儲存和傳輸及其采集、分析和判斷，都必須按照法律規(guī)定，由專門人員采用專用設備和科學方法獲取。

3.2 取證技術(shù)實現(xiàn)

由于電子證據(jù)的種類相對固定，因此取證技術(shù)有較強的針對性，一般不涉及入侵檢測、黑客攻擊、蜜罐蜜網(wǎng)等技術(shù)。該文對主要是對毒品案件中常見的手機信息、電子郵件、即時通信、上網(wǎng)記錄、網(wǎng)上交易等電子證據(jù)的取證技術(shù)進行研究探討。

3.2.1 手機信息取證

1）證據(jù)來源。隨著手機功能的不斷增強，手機中存儲著大量的信息，這些信息就成了潛在的電子證據(jù)，手機電子證據(jù)主要來自手機內(nèi)存、SIM卡和外置存儲卡，主要包括手機識別碼、移動臺識別碼、個人用戶識別碼 （PIN碼）、解鎖碼（PUK）、短信息、微信、通訊錄、通話記錄、上網(wǎng)記錄、圖片、視頻和聲音以及存儲的各種文件。

2）取證方法。我國使用的手機種類繁多，不同的生產(chǎn)廠家使用不同的手機操作系統(tǒng)，目前，手機操作系統(tǒng)主要有 Palm OS、Symbian、Windows mobile、Linux、Android、iphone OS、Blackberry 等，由于不同的操作系統(tǒng)文件管理、數(shù)據(jù)存儲原理和方式各不相同，提取手機內(nèi)存中的電子信息、恢復被刪除、被加密、被隱藏的文件或數(shù)據(jù)的方法也不相同。

目前獲取手機數(shù)據(jù)的物理途徑有兩種[5]，一種是通過拆解手機，得到其內(nèi)存芯片后，使用專門的芯片讀取設備來獲得，這種方法很可能破壞取證對象的原始性，不符合法律規(guī)定。另一種是使用特定的數(shù)據(jù)纜線與手機主板連接，然后從中讀取內(nèi)存芯片的數(shù)據(jù)信息。國內(nèi)外許多機構(gòu)研發(fā)出了采用第二種方法的手機取證軟件，如Cellebrite UFED手機取證分析系統(tǒng)、Deviee Seizur取證工具、Final Mobile Forensies手機取證分析工具、Forensic Suite手機取證分析軟件、CellXtract手機取證器、狼蛛6000/5000手機檢驗系統(tǒng)、效率源SD Mobile系列手機恢復取證系統(tǒng)等，利用這些取證工具可以方便地提取到手機電子證據(jù)。

3.2.2電子郵件取證

電子郵件，即E-mail，是通過電子郵件程序進行書寫、發(fā)送和接收的信件[6]。隨著互聯(lián)網(wǎng)的快速普及，在毒品犯罪活動中，犯罪嫌疑人利用電子郵件聯(lián)系毒品交易、傳授毒品制造配方的現(xiàn)象時有發(fā)生，因此，電子郵件的內(nèi)容和電子郵件的發(fā)送地址、郵件名等附屬信息可作為毒品案件的重要線索和證據(jù)來源。

如果郵件已經(jīng)從郵件服務器下載保存在本地計算機，可將嫌疑主機的硬盤資料拷貝獲得，如果郵件未下載到本地計算機， 可按照法律規(guī)定，從郵件服務器調(diào)取相關(guān)數(shù)據(jù)。對獲取的數(shù)據(jù)通過取證軟件（如Encase），分析郵件內(nèi)容和郵件附屬信息，從而提取電子證據(jù)。

3.2.3 網(wǎng)上交易電子證據(jù)取證

由于網(wǎng)絡商品交易的虛擬性和隱蔽性，在互聯(lián)網(wǎng)上進行毒品和制毒原料交易活動，不僅方便、快捷，而且交易雙方互不見面，大大降低了犯罪風險?？梢灶A見，利用互聯(lián)網(wǎng)訂購、銷售毒品和易制毒化學品，會成為一種日益突出毒品犯罪方式。此類案件中涉及的電子證據(jù)主要來源于兩個方面，一是交易平臺系統(tǒng)所儲存的記錄，包括供貨方發(fā)布的商品信息、商品說明、支付金額、交易時間以及雙方登陸系統(tǒng)的用戶名、IP地址等信息。二是交易雙方使用計算機上網(wǎng)操作時保存的信息，主要是登陸網(wǎng)絡商城的網(wǎng)址、時間等歷史記錄。交易平臺提供商作為獨立第三方，依照法律規(guī)定，會在較長時期內(nèi)保存交易信息，所以在系統(tǒng)數(shù)據(jù)庫保存的相關(guān)信息，司法機關(guān)可依法從系統(tǒng)調(diào)取。對本地主機中遺留的網(wǎng)上交易歷史記錄可利用專用工具如日志查看器和綜合取證軟件來取證。

3.2.4 網(wǎng)絡聊天取證

隨著互聯(lián)網(wǎng)的應用越來越廣泛，網(wǎng)絡虛擬空間拓展了人們的交友、聊天方式，在方便交流的同時，也為犯罪分子提供了新的犯罪方式和手段。例如，利用即時通信工具（主要是騰訊QQ）進行聯(lián)系、指揮販賣毒品活動、傳授制毒方法，在視頻聊天室收看、上傳吸毒視頻等。目前對新版本的即時通信工具還沒有一種有效手段可以完全獲得QQ密碼、傳輸?shù)膬?nèi)容和本地保存的數(shù)據(jù)庫文件[7]。收集此類電子證據(jù)，現(xiàn)實中有效的做法是盡可能取得賬號和密碼，通過在線操作的方式獲取證據(jù)。對于視頻聊天形式電子證據(jù)，由于實時性強，因此取證時要使用專門的屏幕錄像軟件， 把整個聊天過程拍攝記錄下來作為證據(jù)。

4 結(jié)束語

我國對電子證據(jù)取證技術(shù)在打擊毒品犯罪活動中的應用研究尚處在起步階段，采用的技術(shù)多屬于靜態(tài)取證，隨著信息技術(shù)的不斷發(fā)展，針對毒品案件特點的取證技術(shù)會向動態(tài)、主動取證方向發(fā)展，也是今后研究的重點和難點。隨著電子證據(jù)法律地位在我國的正式確立，電子取證技術(shù)的研究會得到更多地重視，將對打擊毒品犯罪、維護社會和諧穩(wěn)定起到積極作用。

參考文獻：

[1] 國家禁毒委員會辦公室《2012中國禁毒報告》[EB/OL].（2013-11-17）.http：//news.163.com/12/0517/05/81MCHGV300014AED.html.

[2] 李卓瑞.偵查視角下毒品犯罪證據(jù)問題研究[D].長沙：湖南大學，2011.

[3] 朱飛.毒品案件證據(jù)特點分析[J].遼寧警專學報，2005（4）：39-42.

[4] 黃璞琳.電子數(shù)據(jù)證據(jù)取證策略初探[N].中國工商報，2013-07-18.

[5] 戴吉明.手機取證及其電子證據(jù)獲取研究[J].計算機與現(xiàn)代化，2007（5）：100-102.

[6] 常艷.偵查與電子技術(shù)取證[M].北京：群眾出版社，中國人民公安大學出版社，2010：331.

[7] 隆波，肖揚，麥永浩.QQ取證及其司法鑒定方法研究[J].中國司法鑒定，2012（2）：43.