關(guān)于當(dāng)前電子物證取證工作的探討

胡丹

衡水市人民檢察院

關(guān)于當(dāng)前電子物證取證工作的探討

胡丹

衡水市人民檢察院

依照法律程序，運(yùn)用科學(xué)的技術(shù)手段，準(zhǔn)確及時(shí)地發(fā)現(xiàn)、提取以及分析有關(guān)電子物證，是當(dāng)前案件偵查部門所面臨的一個(gè)全新的課題。

電子物證；取證；恢復(fù)

現(xiàn)代社會(huì)是一個(gè)電子信息時(shí)代，伴隨著電子信息技術(shù)以及網(wǎng)絡(luò)技術(shù)的迅猛發(fā)展，在眾多犯罪作案中會(huì)經(jīng)常出現(xiàn)各種電子物證，因此電子物證檢驗(yàn)工作顯得尤為重要。電子物證檢驗(yàn)是關(guān)于發(fā)現(xiàn)、識(shí)別、提取、保存、恢復(fù)、顯示、分析和鑒定電子設(shè)備中存在的電子信息（電子證據(jù)）的科學(xué)技術(shù)。在犯罪案件偵查工作過程中，只要根據(jù)正規(guī)的程序，通過科學(xué)技術(shù)手段獲得的合法電子證據(jù)，完全能夠被法庭所采信。所以，如何依照法律程序，運(yùn)用科學(xué)的技術(shù)手段，準(zhǔn)確及時(shí)地發(fā)現(xiàn)、提取以及分析有關(guān)電子物證，是當(dāng)前案件偵查部門所面臨的一個(gè)全新的課題。

電子證據(jù)的取證方式、取證規(guī)則都是不同于傳統(tǒng)證據(jù)的，對(duì)于傳統(tǒng)證據(jù)的收集手段、認(rèn)證就不能完全照搬使用了，因此，電子證據(jù)的提取、固定是有一定難度的。盡管如此，根據(jù)案件的具體情況，利用電子證據(jù)自身的特點(diǎn)，并對(duì)其進(jìn)行取證，可以為案件的偵破提供幫助。

一、電子證據(jù)的一般取證方式一般取證

電子證據(jù)的一般取證是指電子證據(jù)在未經(jīng)偽飾、修改、破壞等情形下進(jìn)行的取證。主要的方式有：

1、打印。在文字內(nèi)容上有證明意義的網(wǎng)絡(luò)犯罪案件，可以直接把有關(guān)內(nèi)容直接打印出來進(jìn)行取證。打印后，可以按照提取書證的方法予以保管、固定，并注明打印的時(shí)間、數(shù)據(jù)信息在計(jì)算機(jī)中的位置（如存放于那個(gè)文件夾中等）、取證人員等。如果是普通操作人員進(jìn)行的打印，應(yīng)當(dāng)監(jiān)督打印過程，防止原內(nèi)容被修改、刪除等。

2、拷貝。是將對(duì)偵辦案件有價(jià)值的計(jì)算機(jī)文件拷貝到U盤、光盤或活動(dòng)硬盤中。在拷貝之前，取證人員要檢驗(yàn)所準(zhǔn)備的u盤、光盤或活動(dòng)硬盤，確認(rèn)沒有感染病毒。拷貝之后，也要及時(shí)對(duì)拷貝的質(zhì)量進(jìn)行檢查，防止因保存方式不當(dāng)?shù)仍蚨鴮?dǎo)致拷貝不成功等。取證后，同樣要注明提取的時(shí)間并封閉取回。

3、拍照、攝像。如果該證據(jù)是視聽資料，可以采用拍照、攝像的方法進(jìn)行證據(jù)的提取和固定，以便充分、全面地體現(xiàn)證據(jù)的證明作用。同時(shí)對(duì)取證全程進(jìn)行拍照、攝像，起到防止翻供和增加證明力的作用。

4、制作司法文書。一般包括檢查筆錄與鑒定。檢查筆錄是指對(duì)于取證證據(jù)方式、種類、內(nèi)容、過程等在取證中的全部情況進(jìn)行的記錄。鑒定是專業(yè)人員就取證中的專門問題進(jìn)行的認(rèn)定，也是一種固定證據(jù)的方式。

5、查封、扣押。對(duì)于涉及案件的證據(jù)材料、物件，可以采取查封、扣押的方式來防止其被損毀或破壞，并由司法機(jī)關(guān)進(jìn)行保管、查封、扣押。由于措施得當(dāng)，證據(jù)提取及時(shí)，既有效地證明犯罪，也防止了商業(yè)秘密的泄露。對(duì)于已經(jīng)加密的數(shù)據(jù)文件進(jìn)行查封、扣押，往往需要將整個(gè)存儲(chǔ)器從機(jī)器中拆卸出來并聘請(qǐng)專門人員對(duì)數(shù)據(jù)進(jìn)行還原處理，這種情況下進(jìn)行的查封、扣押措施必須相當(dāng)審慎，以免對(duì)原用戶、或其他合法客戶的正常工作造成侵害，一旦硬件損壞或誤操作導(dǎo)致數(shù)據(jù)不能讀取或數(shù)據(jù)毀壞，其帶來的損失將是不可估量的。

二、電子證據(jù)的復(fù)雜取證方式復(fù)雜取證

電子證據(jù)的復(fù)雜取證方式復(fù)雜取證是指需要專業(yè)技術(shù)人員協(xié)助進(jìn)行的電子證據(jù)的收集和固定工作。多使用于電子證據(jù)不能順利獲取，如被人為的破壞、刪改或被加密、計(jì)算機(jī)病毒、黑客的襲擾等。這種情況下常用的取證方式包括：

1、恢復(fù)。當(dāng)存儲(chǔ)介質(zhì)出現(xiàn)損傷或由于人員誤操作、操作系統(tǒng)本身故障所造成的數(shù)據(jù)看不見、無法讀取、丟失。數(shù)據(jù)恢復(fù)(Data recovery)是指通過技術(shù)手段，將保存在臺(tái)式機(jī)硬盤、筆記本硬盤、服務(wù)器硬盤、存儲(chǔ)磁帶庫、移動(dòng)硬盤、U盤、數(shù)碼存儲(chǔ)卡、Mp3等等設(shè)備上丟失的電子數(shù)據(jù)進(jìn)行搶救和恢復(fù)的技術(shù)。文件恢復(fù)軟件是指把從硬盤或U盤等存儲(chǔ)設(shè)備上永久刪除（即從回收站里永久刪除或按shift+del永久刪除）的文件恢復(fù)過來的軟件。由于NTFS、FAT等文件系統(tǒng)在文件刪除時(shí)并不是立即把文件所有內(nèi)容從存儲(chǔ)設(shè)備上清掉，因此利用一些工具軟件可以把這些文件恢復(fù)過來。常用的數(shù)據(jù)恢復(fù)軟件有：頂尖數(shù)據(jù)恢復(fù)軟件、迅龍數(shù)據(jù)恢復(fù)軟件、安易硬盤數(shù)據(jù)恢復(fù)軟件、Recuva(硬盤數(shù)據(jù)恢復(fù)軟件)、RecoverNT EXPD等等。

2、解密。所需要的證據(jù)已經(jīng)被行為人設(shè)置了密碼，隱藏在文件中時(shí)，這就需要對(duì)密碼進(jìn)行解譯。在找到相應(yīng)的密碼文件后，請(qǐng)專業(yè)人員選用相應(yīng)的解除密碼口令軟件。如：用Word軟件制作的密碼文件，選用Word軟件解譯；解密后，將對(duì)案件有價(jià)值的文件，即可進(jìn)行一般取證；在解密的過程中，必要的話，可以采取錄象的方式。同時(shí)應(yīng)當(dāng)將被解密文件備份，以防止因解密中的操作使文件丟失或因病毒損壞。如：在辦理一起某國際投資公司的職務(wù)犯罪案件中，偵查人員在搜查辦公室時(shí)發(fā)現(xiàn)，其使用辦公桌的抽屜和文件櫥內(nèi)有11張微機(jī)軟盤，懷疑盤內(nèi)存有其犯罪的重要證據(jù)，取回后立即送技術(shù)科進(jìn)行檢驗(yàn)，我技術(shù)人員按要求，進(jìn)行了詳細(xì)檢驗(yàn)，無病毒，并查清了這些軟盤中用Word軟件所制作的文件，并加入了密碼，即針對(duì)所用軟件采用了Advanced Word 97 Password Recovery 1.23軟件成功的破譯了其中的密碼，解出了108份文件，從而掌握了其犯罪的重要書證，又?jǐn)U大了辦案線索，使案件深入發(fā)展。

3、測(cè)試。電子證據(jù)內(nèi)容涉及電算化資料的，應(yīng)當(dāng)由司法會(huì)計(jì)專家對(duì)提取的資料進(jìn)行現(xiàn)場(chǎng)驗(yàn)證。驗(yàn)證中如發(fā)現(xiàn)可能與軟件設(shè)計(jì)或軟件使用有關(guān)的問題時(shí)，應(yīng)當(dāng)由司法會(huì)計(jì)專家現(xiàn)場(chǎng)對(duì)電算化軟件進(jìn)行數(shù)據(jù)測(cè)試（偵查實(shí)驗(yàn)）。主要是使用事先制作的測(cè)試文件，經(jīng)測(cè)試確認(rèn)軟件有問題時(shí)，則由計(jì)算機(jī)專家對(duì)軟件進(jìn)行檢查或提取固定。

三、與電子證據(jù)相關(guān)的幾項(xiàng)工作

1.制定電子證據(jù)的取證制度。

電子證據(jù)的特點(diǎn)，決定了電子證據(jù)的收集、固定和使用工作的特殊性。因此，檢察機(jī)關(guān)有必要建立電子證據(jù)的取證制度，以規(guī)范電子證據(jù)的收集、固定活動(dòng)，使辦案人員能夠及時(shí)有效的收集到電子證據(jù)，也為電子證據(jù)的在法庭上的合法使用提供依據(jù)。

2.注重對(duì)電子證據(jù)專家的培養(yǎng)。

一則，電子證據(jù)所涉及的技術(shù)是不斷發(fā)展的，相關(guān)取證人員都需要不斷學(xué)習(xí)、研究和掌握新的技術(shù)方法；二則，雖然電子證據(jù)專家各有所長(zhǎng)，但為了方便證據(jù)的收集與固定，計(jì)算機(jī)專家需要熟悉訴訟程序、證據(jù)規(guī)格和電算化等業(yè)務(wù)，司法會(huì)計(jì)專家和偵查人員也需要了解計(jì)算機(jī)知識(shí)。因此，檢察機(jī)關(guān)應(yīng)當(dāng)注意對(duì)電子證據(jù)專家的業(yè)務(wù)培訓(xùn)，不斷提高他們的專業(yè)機(jī)能，使之在工作中能夠得心應(yīng)手。

隨著信息化程度的提高，電子證據(jù)取證將成為偵查取證工作的重點(diǎn)環(huán)節(jié)。加強(qiáng)對(duì)偵查人員和技術(shù)人員的相關(guān)培訓(xùn)，加強(qiáng)和提高對(duì)偵查工作中電子證據(jù)取證問題的認(rèn)識(shí)和重視，加強(qiáng)對(duì)電子證據(jù)以及取證過程所涉及的法律問題的研究，逐步建立和完善電子證據(jù)取證體系。