电子证据司法解释 基于手机的电子证据获取技术研究
时间：2019-04-18 03:33:29 来源：柠檬阅读网 本文已影响 人 
摘要：随着通信技术以及其服务功能的不断增加，新功能手机的使用越来越多，同时手机渐渐成为了一种新式的高技术犯罪工具。利用手机从事的诈骗、售假、造谣等违法犯罪活动越来越多，为打击犯罪，手机取证也就显得更重要。该文主要从手机证据的来源和获取方法等几个方面对手机取证技术进行了研究，同时介绍了一些常见的手机取证软件，并且指出了目前在此领域中尚存的一些主要问题及手机取证的研究发展方向。
关键词：手机取证；电子证据；工具
中图分类号：TP393文献标识码：A文章编号：1009-3044(2012)13-3093-03
Research on Access to Electronic Evidence Based on Mobile Phone
ZHANG Ming-wang
(Sichuan Police College, Luzhou 646000,China)
Abstract：With the mobile communication technology to provide the types of services constantly improved function of the growing mobile phone is increasingly important in people’s daily lives, but at the same time gradually become a new high-tech instruments of crime. Using mobile phones to engage in fraud, and selling, disinformation, illegal and criminal activities are more and more cell phone forensics to fight crime, it appears more important. In this paper, several aspects of the mobile phone evidence sources and methods of mobile phone forensics research, while some common cell phone forensic software and pointed out that surviving in this area, some of the major problems and cell phone forensics research and development direction.
Key words: mobile phone forensics; electronic evidence; tools
1概述
在通信技术迅猛发展的今天，手机作为现代社会最主要的通信工具之一，其使用越来越广泛，同时，随着手机网络信息技术的不断升级，手机的功能也日渐增多，在手机功能日益增强的同时，也成为了犯罪分子的一种新型作案工具。
手机取证是数字取证中的一种，所谓手机取证就是指在健全的取证环境中，使用恰当的方法从手机及相关设备中恢复数字证据的科学。即从手机SIM卡、手机内存、外置存储卡、短信服务提供商系统和移动网络运营商保存的数据中提取有关的数字犯罪证据，并从中分析提取出具备法律效力、能作为证据被法庭采纳的过程。[6]
2手机取证技术的现状和难点
当前，手机取证方法和技术的研究成果较多，为打击手机违法犯罪提供了有力的证据。但是，由于手机及其附属设备的复杂性，也给手机取证的完整性和精确性带来了很大的难度，一般变现为：
1）手机的品牌和型号很多，但手机取证方法和工具只能应用于特定品牌和型号的手机，新品牌和型号的手机推出的又非常快，因此开发适合于每种型号手机的取证工具的任务巨大。
2）为保证手机中的证据完整，不能随意更改手机的原始状态。如在手机正常开机时，可能会因为电话、短信等的接收而无意中破坏了手机的完整性，因此必须在信号屏蔽的环境中对手机进行检查。
3）取证涉及知识范围很广，坚定工作范围也很广。因为手机功能强大，如可以拍照、录像、录音和上网等功能，所以，对数字图像、数字声音和网络数据的鉴定等都是手机取证的知识范围。
4）取证过程的规范性不明确，所以很可能会使辛苦提取的证据不能具有法律效力，或证据效力较低。
3证据的来源
对手机进行取证就是从证据源中提取出有价值的数字证据，手机的内存、SIM卡、移动运营商数据和外置存储卡的都是手机的重要证据来源。
3.1 SIM卡
SIM（Subscriber Identity Model客户识别模块），即用户身份识别卡，SIM卡表面上印着网络服务商名称以及惟一识别号，可以从服务商那里通过识别号获取SIM卡用户的注册信息，包括IMEI、密钥、PIN码和客户姓名及身份证号码等信息，SIM卡还存储着与网络和客户有关的数据。
SIM卡中的数据可以概括为：①出厂前SIM卡系统设置的原始数据；②网络方面的数据；③用户自己存入的数据，如短信、电话号码及参数设置等；④相关的业务代码。
3.2手机内存
手机从硬件上看，主要由专用集成电路组成，在中央处理器的控制下，按照GSM系统的要求并按照各种存储器中的程序进行工作。手机的大多数信息存储在主板存储器中，因此，其中的数字证据对取证来说是最重要的，一般都有证据价值，比较重要的是：电话号码簿、来电去电号码、发送接收的短消息、设置的参数、日志、录音、影像、可执行程序、GPRS、WAP设置等信息。通过相关技术，还可以把删除了的信息恢复，从而获得大量的己被删除的证据信息。
3.3外置存储卡
由于手机的功能增强，很多手机都可以插入外置存储卡，存储大量的视频、相片、MP3和其他的文件，对这些数据进行分析，也可获得潜在的电子证据。常用的外置存储卡有SD、Mini SD和Memory Stick等。
3.4移动运营商
GSM网络是当前应用最广泛的移动通信标准，由大量标准和协议构成，在GSM网络中含有了大量有价值的信息，包含以下几个方面：
1）用户的相关数据：如姓名、身份证号码、手机号码、IMSI号、SIM卡系列号、PIN码、PUK码和启动的服务等。
2）通讯记录：用户每次接打电话或收发短信息，都会产生数据，这些数据存储在中央数据库中，每条通讯记录都包含了主叫用户号码、被叫用户号码、主叫和被叫手机的IMEI号、长度、服务类型和服务基站等信息。取证时可以获得这些数据，当用户更换SIM卡后，只要使用的手机没变，仍然可以查出此号码的相关信息。
3）用户位置：只要用户登录了GSM网络，通过启动网络的用户追踪，精确确定任意过去时间内用户所在的蜂窝位置，从而大致确定其所在方位。
4手机证据的获取方法
研究这些证据源，可以使用不同的取证方法进行取证：
4.1对SIM卡的取证
一般对SIM卡进行取证的常用方法有两种：
1）通过智能读卡器来对SIM卡中的数据进行提取，即将SIM卡插到读卡器中，读卡器使用符合欧洲电信标准协会标准的数据访问指令集就可访问、控制和获取SIM卡中的数据。
2）使用手机读取，即通过GSM手机TS27. 007标准中已定义好的指令集，该命令集包括了一种命令，将SIM卡命令内嵌并传输命令给SIM卡，SIM卡的应答也以相同的方式返回，支持该命令的手机可以在不将SIM卡取出的情况下直接通过手机读取SIM卡中的数据。
同时，对SIM卡进行证据获取中，尤其要主要以下几个方面的证据：
1）短信息
一般，手机都是默认使用SIM卡上的存储器存储短信息。而在删除短信息时，有些只是把短信存储区的状态字节的值进行更改，此时，删除的信息如果没有被新的短消息所覆盖，就可以恢复除状态字节外的部分；另外一些手机除了将短信存储区的状态字节的值进行更改外，还会把存储信息内容状态字节的值也全部被更改，这样，短信的实际内容就不存在了，想要恢复基本不可能。
2）电话号码簿
SIM卡中的电话号码被删除后，如果存储空间的信息在没有被覆盖的或，一般也是可以恢复出来的。但要是存储空间的信息被覆盖了，那么想要恢复被删除的号码几乎是不可能的。
3）来电去电号码
SIM卡可以存储时间最近的来电去电号码，如果SIM卡没有被更换到其他手机中使用，一般最近的10个来电去电号码是可以恢复显示出来的。
4.2手机内存中证据的获取
通过手机操作系统或手机制造商提供的接口软件可以读取手机内存中的数据，但这样可能会破坏内存中的原始数据，也不能把删除的数据恢复出来。所以，最好是镜像备份手机内存的数据，然后进行数据提取与分析。可以使用两种方法来对手机内存进行镜像备份：一是将手机拆开得到芯片，然后使用专用读取工具来获得其数据镜像。另一种是使用特定的数据线与手机主板连接，然后读取内存芯片的数据信息。
镜像备份手机内存数据可以减少外界因素对取证数据的污染，但对取证人员的技术要求很高。因此对手机内存中的证据获取一般采取指令集和软件两种方法。
1）AT指令集：用以控制调制解调器。通过AT指令集可获取：手机生产厂商、手机型号、操作系统、软件信息、IMSI号、IMEI号、短信息、电话号码和来电去电号码等手机数据信息。
2）OBEX(Object Exchange，对象交换协议)：可使用“PUT”和“GET”指令方法对手机中的数据进行远程访问，以获取手机中保存的图片、音频、视频等数据以及应用程序等。
3）JTAG(Joint Test Action Group，联合测试行动小组)：主要对芯片进行调试及测试。多数手机都是由存储控制器来处理对其存储卡的访问，通过JTAG对存储控制器进行调试及测试，所以在测试过程中就可以获取存储卡中保存的数据信息。
4）手机生产商提供的软件包：这些软件可得到手机中一些存储数据的镜像。如电话簿、接听/呼叫电话记录及接收/发送短消息记录等信息。
4.3手机存储卡的证据获取
外置存储卡容量大、可以更换、携带方便，因此，绝大多数手机都支持外置存储卡，很多数据也被放入外置存储卡中，其中就可能包含了犯罪证据。外置存储卡通常使用FAT文件系统，因此存储卡中证据的获取方法与传统取证方法相同。
4.4移动运营商的证据获取
通过对SIM卡所注册的手机号码的所有数据进行查找分析，可得到所有的通话记录和短消息等数据，还可以通过手机IMEI号来查找用户的注册信息数据，对注册信息中用户的身份证进行调查，可以得到用户更详细的信息。但是，网络运营商的数据更新很快，所以必须尽快地对网络运营商数据的证据进行提取，以免相关数据被删除。
5常用手机取证工具
当前，手机取证工具很多，绝大多数都是国外公司的产品，由于手机的硬件和软件系统都不尽相同，因此，这些取证工具无法应用在所有手机上。同时，对同一部手机，不同的取证工具提取出来的内容可能不尽相同，所以，可以讲多种取证工具同时使用以便得到更多信息。一般，手机取证软件可分为两类：一种是专门的手机存储卡取证软件：另一种是专门处理手机SIM卡的取证软件。常用的手机取证软件有以下几种：
1）CellDEK：它是一款手机取证的便携式智能工具，可以用于从手机、PDA、SIM卡和闪存卡中提取数据。在取证中，它并不是提取手机中的每一条信息，而是提取关键信息。
2）SIMcon：通过读卡器显示SIM卡上的信息并生成最后分析报告，并通过计算取证数据的Hash值来确保取证前后数据的一致性。
3）Oxygen Forensic Suite：是一款性能出众的手机取证分析软件，采用底层的通讯协议，支持对手机基本信息、SIM卡信息、联系人列表、快速拨号、通话纪录、短消息、日历、待办事项、照片、视频、音频、Java程序、手机内存和闪存卡中的文件系统数据、GPRS和Wi-Fi使用纪录、录音文件等信息的获取与恢复。
4）Cell Seizure：用来提取手机存储卡中的电话号码、来电去电号码记录和短信息等数据，还可用来检验手机数据的完整性并生成分析报告。
6总结
本文介绍了一些常用的取证方法和常见的手机取证软件，在打击手机犯罪，提供犯罪证据方面做出了很大贡献，但是，当前的取证软件很难确保取证数据的完整一致性，至今也没有完全统一、有效的手机取证技术标准和规范来对不同品牌、型号和操作系统的手机进行取证。
未来的手机取证发展方向：一是取证专家和手机生产商一起制定出统一的手机取证技术规范和标准；二是加强对高效率、高准确度的手机取证工具和软件的开发。三是加强手机犯罪立法工作，大力宣传手机犯罪活动的危害。
参考文献：
[1]吴叶科,宋如顺,陈波.基于手机的取证调查模型研究[J].计算机时代,2010(12):24-26.
[2]戴吉明.手机取证及其电子证据获取研究[J].计算机与现代化,2007(5):100-102,113.
[3]刘洋洋.手机取证技术研究[J].网络安全技术与应用,2011(5):31-33.
[4]赵小敏.手机取证概述[J].网络安全技术与应用,2005(12):79-81.
[5]王奕.手机取证规范化研究[J].电信科学,2010(11A):65-68.
[6]麦永浩.计算机取证与司法鉴定[M].北京:清华大学出版社,2009.
