當前，刑事訴訟中涉及電子數(shù)據(jù)恢復的案件非常普遍，通說認為，電子數(shù)據(jù)恢復是技術與法律高度結合的產(chǎn)物，如果不能在技術和法律兩個層面上完成內(nèi)心確認，則很難做到追求案件實體公正與確保程序合法的有機統(tǒng)一。筆者結合實際案例，總結了一些情況，希望能夠引起各級辦案人員的高度關注。
一、司法鑒定要做事實判斷，還是價值判斷、法律判斷？
司法鑒定本質(zhì)上是一種判斷意見。此處的判斷只能定位為“事實判斷”，這里的“事實”指的是鑒定人運用科學技術或者專門知識能夠認識的客觀情況。
案例一：某司法鑒定機構根據(jù)委托部門要求，在檢材（移動硬盤）中提取淫穢視頻83個、淫穢圖片10332個。
案例二：某司法鑒定機構根據(jù)委托部門要求，在檢材（移動硬盤）中提取公民個人信息100000條。
案例三：某司法鑒定機構根據(jù)委托部門要求，作出被破壞的計算機系統(tǒng)達到了特別嚴重程度的意見。
“淫穢視頻”“淫穢圖片”“淫穢音頻”在大眾的認知范圍上界限并不明顯?！缎谭ā返谌倭邨l規(guī)定，淫穢物品是指具體描繪性行為或者露骨宣揚色情的誨淫性的書刊、影片、錄像帶、錄音帶、圖片及其他淫穢物品。國內(nèi)對淫穢色情音視頻的鑒定并沒有一套通行的標準，通常通過行政認定的方式進行。通過司法鑒定機構給出“淫穢物品”的數(shù)量認定，帶有不適當?shù)膬r值傾向。
同樣，根據(jù)“兩高”《關于辦理侵犯公民個人信息刑事案件適用法律若干問題的解釋》，“公民個人信息”是指以電子或者其他方式記錄的能夠單獨或者與其他信息結合識別特定自然人身份或者反映特定自然人活動情況的各種信息，包括姓名、身份證件號碼、通信通訊聯(lián)系方式、住址、賬號密碼、財產(chǎn)狀況、行蹤軌跡等。能否被評價為“公民個人信息”，要結合信息的實際情況進行認定，嚴格來講這屬于法律判斷的范疇。而“情節(jié)嚴重”“情節(jié)特別嚴重”更是典型的法律判斷用語。
上面三個案例的處理方式，一定程度上看似便利了辦案，實則后患無窮。在以審判為中心的刑事訴訟制度下，這樣的司法鑒定意見極有可能被作為非法證據(jù)予以排除。
二、注意區(qū)分電子數(shù)據(jù)“本體”與“呈現(xiàn)”之間的關系
電子數(shù)據(jù)是以“0”“1”碼存儲的數(shù)字序列集合，不可能被人們直接感知，這里面存在一個當然的解釋過程。選擇使用適當?shù)慕忉尮ぞ叱蔀楸厝?。舉例而言，對于二進制數(shù)0x3132，使用不同的字節(jié)序，可以得出完全不同的結果。當然，這還只是微觀層面的解釋。
在宏觀層面上，也需要注意電子數(shù)據(jù)“本體”與“呈現(xiàn)”之間的關系問題。
案例：在一起利用互聯(lián)網(wǎng)傳播淫穢物品案件中，某司法鑒定機構根據(jù)辦案部門委托要求，提取了服務器硬盤上存儲的視頻文件數(shù)量。有關部門以此作為定案依據(jù)。
通過互聯(lián)網(wǎng)等公開媒介傳播淫穢物品，其實存在一個預設的前提。那就是，廣大網(wǎng)民必然要通過一個入口（網(wǎng)站、論壇、云盤等）訪問這些資源。那么，對于刑事訴訟來講，就存在一個認定的問題，以存儲在服務器硬盤上存儲的全部視頻文件作為定案依據(jù)，還是以公眾能夠訪問到的存儲在服務器上的視頻文件作為定案依據(jù)呢？
兩者顯然是不同的，區(qū)別在哪里呢？一方面，通過網(wǎng)站訪問這些視頻文件，是需要權限的；另一方面，服務器上的有些視頻文件可能并未列入網(wǎng)站管理程序，因而屬于“絕對不可能”被公眾訪問到的。
筆者認為，根據(jù)兩高《關于辦理利用互聯(lián)網(wǎng)、移動通訊終端、聲訊臺制作、復制、出版、販賣、傳播淫穢電子信息刑事案件具體應用法律若干問題的解釋（二）》有關規(guī)定，這里的“數(shù)量”應當理解為“傳播”（至少是“可以傳播”）的數(shù)量，而不應當把存儲在服務器上的所有視頻文件都列為“數(shù)量”構成。
三、鑒定對象與鑒定工具存在混同風險
手機中的電子數(shù)據(jù)已經(jīng)成為偵破和指控犯罪的“證據(jù)之王”。因此，針對手機電子數(shù)據(jù)的提取和鑒定是當前電子數(shù)據(jù)司法鑒定領域最為重要的內(nèi)容之一。當前市場主流的手機取證工具都能夠規(guī)范化的提取手機中保存的各類數(shù)據(jù)信息，但對于保存在云端的手機app數(shù)據(jù)的處理，還存在一些需要理清的觀念。
根據(jù)《法庭科學電子物證手機經(jīng)驗技術規(guī)范》5.3.1.3規(guī)定，“若需通過收集提取手機云端數(shù)據(jù)等網(wǎng)絡數(shù)據(jù)時，可以在手機數(shù)據(jù)已固定的前提下連接互聯(lián)網(wǎng)，使用相關檢驗軟件下載相關數(shù)據(jù)，或采用照相、錄像方法固定相關數(shù)據(jù)，生成檢驗報告”，這里明確指出手機取證其實存在著兩個過程，當針對手機機身進行數(shù)據(jù)提取時，手機充當了鑒定對象（即檢材）的角色，當針對云端數(shù)據(jù)進行數(shù)據(jù)獲取時，手機此時充當了鑒定工具的角色。
遺憾的是，很多鑒定人員在實際操作時，往往使用軟件同時執(zhí)行機身數(shù)據(jù)提取和云端數(shù)據(jù)下載，而忽視了《規(guī)范》中一個重要的限定詞——若需。
四、電子數(shù)據(jù)送檢、保管環(huán)節(jié)存在不一致風險
筆者在輔助檢察官審查電子數(shù)據(jù)工作中，經(jīng)常發(fā)現(xiàn)一些的程度不同的問題，其中在電子數(shù)據(jù)保管、送檢環(huán)節(jié)發(fā)生的風險需要引起高度關注。
案例一：某地偵查機關委托司法鑒定機構對一起“黑客”案件的涉案筆記本電腦進行鑒定，委托書登記的筆記本電腦序列號與扣押清單中的序列號不一致。
案例二：某地偵查機關通過勘驗的方式，固定了一起網(wǎng)絡傳銷組織的電子數(shù)據(jù)。委托司法鑒定機構鑒定時，勘驗得到的電子數(shù)據(jù)與送檢電子數(shù)據(jù)的哈希值不同。
案例三：某地偵查機關辦理一起強奸案件，移送審查起訴后，能夠證明嫌疑人與被害人之間具有親密關系的手機中，存儲芯片不翼而飛。
案例四：某地偵查機關辦理一起非法吸納公眾存款案件，在移送審查的材料中，審查發(fā)現(xiàn)扣押的物品照片顏色差異巨大。經(jīng)核實，一個重要的物證優(yōu)盤在保管過程中丟失，有關人員為逃避責任，新購一個同品牌型號的優(yōu)盤替代了原始物證優(yōu)盤。
保持物證的原始性是刑事訴訟中很重要的一項任務。上述案例一和案例二決定了該證據(jù)能否進入該案件的證據(jù)門檻，案例三和案例四則潛藏著有關人員故意違法或者重大過失行為。上述四個案例均存在證據(jù)斷裂的現(xiàn)實風險，那么接下來的法庭審理中，檢察機關將不可避免的面臨被動。如果律師聘請了資深專家團隊并提出合理懷疑，輕則帶來案件反復，重則作出無罪判決，那將是司法難以承受之重。
五、重鑒定輕取證的司法辦案理念急需轉變
2013年修訂后刑訴法實施以來，電子數(shù)據(jù)成了法定證據(jù)形式。此次修法還有一個更大的變化，“鑒定結論”改為了“鑒定意見”，這是司法實踐領域的一次重要調(diào)整。
但是，廣大司法人員希望通過鑒定確定某些專門問題，甚至達到一錘定音的想法還沒有得到有效消除，換句話說，司法人員對“鑒定結論”的依賴并沒有及時得到調(diào)整。在電子數(shù)據(jù)的問題上，這一點尤其明顯。偵查機關通過現(xiàn)場勘驗獲取的電子數(shù)據(jù)、通過第三方調(diào)取的電子數(shù)據(jù)、通過實施檢查等技術手段得到的電子數(shù)據(jù)……，這些都是電子數(shù)據(jù)，都已經(jīng)是法定的證據(jù)形式。但有些檢察人員對偵查部門不辭辛苦獲取的電子數(shù)據(jù)不做詳查、不做分析，有的聽之任之，有的甚至要求辦案部門去做個鑒定。在所謂“舊理念”的指導下，有些鑒定意見不倫不類。
案例：某地偵查機關辦理一起網(wǎng)絡傳銷案件，根據(jù)有關辦案人員的要求，鑒定機構出具了“該組織運行模式符合傳銷組織特征”的鑒定意見。
在這個案例中，司法鑒定機構仍然越權做出了“法律判斷”，但顯而易見，這里面包含著一種錯誤的傾向，有關辦案人員仍然希望通過司法鑒定的形式對有關法律問題進行認定。
六、信息加密成為制約電子數(shù)據(jù)取證和鑒定的一道門檻
密碼破解一直是電子數(shù)據(jù)恢復取證和鑒定中需要面對的問題。信息加密技術在為用戶提供數(shù)據(jù)安全的同時，也對電子數(shù)據(jù)取證人員提出了更高的要求。從BIOS密碼、操作系統(tǒng)用戶密碼到Android全盤加密、文件級加密再到iOS加密，電子數(shù)據(jù)取證面臨著越來越高的取證門檻。下面對當前常見的信息加密方式進行介紹，并將其對電子數(shù)據(jù)取證的影響進行說明。
難點一：BitLocker是內(nèi)置于WindowsVista及其之后系統(tǒng)的全盤加密功能，通過對磁盤卷進行加密來保護數(shù)據(jù)。它使用128位或256位密鑰的AES加密算法加密數(shù)據(jù)，加密強度很高。
當前破解Bitlocker的技術除了通過社會工程學等手段直接獲取密碼外，主要有以下方式：一是通過對BitLocker加密設備的內(nèi)存或Windows休眠文件進行提取，在其中搜索Bitlocker密鑰，二是在獲取用戶的微軟賬戶和密碼后通過微軟賬戶查詢BitLocker恢復密鑰，三是利用Bitlocker使用固態(tài)硬盤進行硬件加密的漏洞，從固態(tài)硬盤中獲取Bitlocker密鑰。上述方法在實踐中都有一定的局限性，導致對Bitlocker加密卷的破解成功率無法保證。
難點二：Android在4.4版中引入了全盤加密（FDE），并在5.0中對全盤加密功能進行了優(yōu)化。全盤加密是使用密鑰（密鑰本身也經(jīng)過加密）對Android設備上的所有用戶數(shù)據(jù)進行編碼的過程。設備經(jīng)過加密后，所有由用戶創(chuàng)建的數(shù)據(jù)在存入磁盤之前都會自動加密，并且所有讀取操作都會在將數(shù)據(jù)返回給調(diào)用進程之前自動解密數(shù)據(jù)。
Android7.0及更高版本支持文件級加密（FBE）。采用文件級加密時，可以使用不同的密鑰對不同的文件進行加密，并且可以對加密文件進行單獨解密。文件級加密會對文件名和文件內(nèi)容進行加密。
對于Android系統(tǒng)加密，除了獲取密碼或使用指紋、人臉識別解鎖外，主要是通過屏蔽鎖屏密碼和暴力破解的方式進行解密。其中暴力破解的方式因為速度限制（系統(tǒng)運算能力和Gatekeeper請求次數(shù)限制），導致不知道原密碼情況下破解時長無法控制。
難點三：從iPhone3GS開始，蘋果使用硬件對iOS設備進行數(shù)據(jù)加密，這被稱為數(shù)據(jù)保護（DataProtection）。重要的iOS系統(tǒng)應用，比如信息、郵件、日歷、通訊錄、照片和健康數(shù)據(jù)會默認被數(shù)據(jù)保護加密。而從iOS7開始，第三方應用數(shù)據(jù)也會自動被數(shù)據(jù)保護加密。iOS設備的硬件加密方式導致直接對芯片進行提取數(shù)據(jù)后無法進行解密。
當前可行的iOS提取方法只有通過獲取或破解iOS鎖屏密碼來解決，主要方法包括：通過Lockdown文件繞過鎖屏密碼進行提??；通過硬件對密碼進行暴力破解；通過指紋或人臉識別解鎖。上述方法在實際檢驗中有著各種限制，Lockdown文件不一定能夠找到，即使找到也有可能已經(jīng)過期無法使用；暴力破解或者有iOS版本限制，或者為商業(yè)技術，成本高昂。
七、數(shù)據(jù)恢復實踐面臨挑戰(zhàn)
電子數(shù)據(jù)取證和司法鑒定中的數(shù)據(jù)恢復，是指通過軟件工具對檢材（樣本）進行數(shù)據(jù)恢復操作的過程。刪除電子數(shù)據(jù)文件時，操作系統(tǒng)只對文件系統(tǒng)中被刪除文件的記錄項進行修改，其真正的數(shù)據(jù)區(qū)域并不會被直接修改，而是做為未分配空間供后續(xù)使用。換句話說，數(shù)據(jù)恢復的前提是，刪除的數(shù)據(jù)未被修改。
隨著存儲技術的發(fā)展，新型存儲設備開始出現(xiàn)。固態(tài)硬盤因其低功耗、高讀寫速度、無噪音、體積小等優(yōu)點，隨著價格的下降使用者越來越多。但固態(tài)硬盤與傳統(tǒng)機械硬盤在存儲原理、方式上有著根本不同，對電子數(shù)據(jù)取證中的電子數(shù)據(jù)恢復工作造成了很大影響。與機械硬盤順序寫入受到塊碎片和壞扇區(qū)的影響，機械硬盤并不完全是順序存儲。不同，固態(tài)硬盤不使用順序寫入。在固態(tài)硬盤中，數(shù)據(jù)會被分成不同的數(shù)據(jù)塊，同時寫入到不同的NAND存儲芯片中，這種平行寫入的方式使固態(tài)硬盤的寫入速度遠高于機械硬盤。
即便是單NAND存儲芯片的固態(tài)硬盤也不會使用順序寫入的方法存儲數(shù)據(jù)[可能只有全新的，從未寫入過數(shù)據(jù)的固態(tài)硬盤會使用順序存儲的方式]。存儲芯片中每個塊對應的邏輯地址LBA都是動態(tài)分配的，便于主控進行損耗平衡。這導致了從NAND存儲芯片中直接讀取到的數(shù)據(jù)就好像拼圖一樣，將數(shù)據(jù)打散成碎片后隨意的組合在一起。如果沒有固態(tài)硬盤主控的幫助，想要通過芯片提取的方式恢復一個文件是非常困難的。
除了數(shù)據(jù)存儲方式的不同之外，固態(tài)硬盤還設置了后臺垃圾回收機制。當刪除存儲在固態(tài)硬盤上的文件時，操作系統(tǒng)會執(zhí)行trim指令，以告知固態(tài)硬盤該文件將不會再被使用。只要處于通電狀態(tài)，固態(tài)硬盤就會啟動后臺的垃圾回收機制，擦除已經(jīng)trim的數(shù)據(jù)塊。即使使用只讀接口連接固態(tài)硬盤也無法阻止這一過程，這導致了固態(tài)硬盤上刪除數(shù)據(jù)的恢復變得十分困難。
當然實際情況可能會有所不同。如果操作系統(tǒng)、固態(tài)硬盤（或者閃存存儲器）以及它們之間的傳輸協(xié)議中有不支持trim的部分，那么trim以及后續(xù)的垃圾回收機制將無法運作，使得情況可能有所好轉。但因為NAND存儲芯片寫入和擦除大小不同等問題，使得trim成為了固態(tài)硬盤所必須的一部分，因此未來對于固態(tài)硬盤的數(shù)據(jù)恢復形勢仍然并不樂觀。
機械硬盤數(shù)據(jù)恢復未來的情況也并非一片光明。隨著疊瓦式磁記錄技術（ShingledMagneticRecording）的運用，機械硬盤也面臨著和NAND存儲芯片同樣的問題。當前市場上已經(jīng)出現(xiàn)了支持trim指令的使用疊瓦式磁記錄技術的機械硬盤，對于這種硬盤進行數(shù)據(jù)恢復也將會面臨著固態(tài)硬盤一樣的問題。
八、海量電子數(shù)據(jù)的處理陷入困境
海量電子數(shù)據(jù)的運用，是當前司法實踐中不得不考慮的重要問題。涉案電子數(shù)據(jù)載體數(shù)量爆發(fā)式增長，單個載體的數(shù)據(jù)容量爆發(fā)式增長，這兩個因素導致在任何一個案件中，都可能收集到海量的電子數(shù)據(jù)恢復。
案例一：某地偵查機關在辦理一起非法集資案件中，查封扣押涉案電腦200余臺，從阿里云空間勘驗數(shù)據(jù)40TB。如此規(guī)模的電子數(shù)據(jù)，給有關部門使用證據(jù)帶來巨大壓力。
案例二：某地偵查機關辦理一起網(wǎng)絡電信詐騙案件，經(jīng)核實僅確定了1名受害者。移送審查起訴后，在技術人員的輔助下，從100余萬條微信記錄中，追加確定了70余名受害者以及相應的轉賬記錄。其中的排查工作量相當大。
海量電子數(shù)據(jù)是一個比較完整的虛擬空間，是另一種形式的“犯罪現(xiàn)場”。該“犯罪現(xiàn)場”給深挖犯罪提供了廣闊空間，卻也帶來了很多技術處理上的挑戰(zhàn)。如果說案例一僅僅是技術人員數(shù)量上的捉襟見肘，案例二則對海量數(shù)據(jù)的分析工作提出了更高的要求。事實上，公檢法機關現(xiàn)有的技術力量根本無法應對海量電子數(shù)據(jù)，具有成熟數(shù)據(jù)分析技術的人員更是嚴重缺少。此外，契合實際的海量數(shù)據(jù)處理工具也是一個嚴重的短板。
截至目前，針對海量電子數(shù)據(jù)恢復的處理，依然沒有很好的解決辦法。
關注神州，了解更多