如今刑事訴訟中涉及電子數(shù)據(jù)恢復(fù)的案子十分普遍，通說認(rèn)為，電子數(shù)據(jù)恢復(fù)是技能與法令高度結(jié)合的產(chǎn)品，假如不能在技能和法令兩個層面上完結(jié)心里確認(rèn)，則很難做到尋求案子實體公正與確保程序合法的有機(jī)一致。筆者結(jié)合實踐事例，總結(jié)了一些狀況，希望能夠引起各級辦案人員的高度關(guān)注。
一、司法鑒別要做實踐判別，還是價值判別、法令判別？
司法鑒別本質(zhì)上是一種判別定見。此處的判別只能定位為“實踐判別”，這兒的“實踐”指的是鑒別人運(yùn)用科學(xué)技能或許專門知識能夠認(rèn)識的客觀狀況。
事例一：某司法鑒別安排根據(jù)托付部分要求，在檢材（移動硬盤）中提取淫穢視頻83個、淫穢圖片10332個。
事例二：某司法鑒別安排根據(jù)托付部分要求，在檢材（移動硬盤）中提取公民個人信息100000條。
事例三：某司法鑒別安排根據(jù)托付部分要求，作出被損壞的計算機(jī)體系達(dá)到了特別嚴(yán)峻程度的定見。
“淫穢視頻”“淫穢圖片”“淫穢音頻”在大眾的認(rèn)知范圍上邊界并不顯著?！缎谭ā返谌倭邨l規(guī)定，淫穢物品是指詳細(xì)描繪性行為或許顯露宣傳色情的誨淫性的書刊、影片、錄像帶、錄音帶、圖片及其他淫穢物品。國內(nèi)對淫穢色情音視頻的鑒別并沒有一套通行的規(guī)范，通常經(jīng)過行政確認(rèn)的辦法進(jìn)行。經(jīng)過司法鑒別安排給出“淫穢物品”的數(shù)量確認(rèn)，帶有不適當(dāng)?shù)膬r值傾向。
相同，根據(jù)“兩高”《關(guān)于處理侵略公民個人信息刑事案子適用法令若干問題的解說》，“公民個人信息”是指以電子或許其他辦法記載的能夠獨(dú)自或許與其他信息結(jié)合辨認(rèn)特定自然人身份或許反映特定自然人活動狀況的各種信息，包含名字、身份證件號碼、通信通訊聯(lián)系辦法、住址、賬號暗碼、財產(chǎn)狀況、行蹤軌跡等。能否被評價為“公民個人信息”，要結(jié)合信息的實踐狀況進(jìn)行確認(rèn)，嚴(yán)厲來講這歸于法令判別的范疇。而“情節(jié)嚴(yán)峻”“情節(jié)特別嚴(yán)峻”更是典型的法令判別用語。
上面三個事例的處理辦法，一定程度上看似便利了辦案，實則后患無窮。在以審判為中心的刑事訴訟制度下，這樣的司法鑒別定見極有或許被作為非法依據(jù)予以排除。
二、留意差異電子數(shù)據(jù)“本體”與“出現(xiàn)”之間的關(guān)系
電子數(shù)據(jù)是以“0”“1”碼存儲的數(shù)字序列調(diào)集，不或許被人們直接感知，這兒面存在一個當(dāng)然的解說進(jìn)程。挑選運(yùn)用適當(dāng)?shù)慕庹f東西成為必定。舉例而言，關(guān)于二進(jìn)制數(shù)0x3132，運(yùn)用不同的字節(jié)序，能夠得出徹底不同的成果。當(dāng)然，這還只是微觀層面的解說。
在微觀層面上，也需求留意電子數(shù)據(jù)“本體”與“出現(xiàn)”之間的關(guān)系問題。
事例：在一同運(yùn)用互聯(lián)網(wǎng)傳達(dá)淫穢物品案子中，某司法鑒別安排根據(jù)辦案部分托付要求，提取了服務(wù)器硬盤上存儲的視頻文件數(shù)量。有關(guān)部分以此作為定案根據(jù)。
經(jīng)過互聯(lián)網(wǎng)等揭露前言傳達(dá)淫穢物品，其實存在一個預(yù)設(shè)的條件。那就是，寬廣網(wǎng)民必定要經(jīng)過一個入口（網(wǎng)站、論壇、云盤等）拜訪這些資源。那么，關(guān)于刑事訴訟來講，就存在一個確認(rèn)的問題，以存儲在服務(wù)器硬盤上存儲的全部視頻文件作為定案根據(jù)，還是以大眾能夠拜訪到的存儲在服務(wù)器上的視頻文件作為定案根據(jù)呢？
兩者顯然是不同的，差異在哪里呢？一方面，經(jīng)過網(wǎng)站拜訪這些視頻文件，是需求權(quán)限的；另一方面，服務(wù)器上的有些視頻文件或許并未列入網(wǎng)站管理程序，因而歸于“肯定不或許”被大眾拜訪到的。
筆者認(rèn)為，根據(jù)兩高《關(guān)于處理運(yùn)用互聯(lián)網(wǎng)、移動通訊終端、聲訊臺制造、仿制、出書、販賣、傳達(dá)淫穢電子信息刑事案子詳細(xì)運(yùn)用法令若干問題的解說（二）》有關(guān)規(guī)定，這兒的“數(shù)量”應(yīng)當(dāng)理解為“傳達(dá)”（至少是“能夠傳達(dá)”）的數(shù)量，而不應(yīng)當(dāng)把存儲在服務(wù)器上的一切視頻文件都列為“數(shù)量”構(gòu)成。
三、鑒別對象與鑒別東西存在混同危險
手機(jī)中的電子數(shù)據(jù)現(xiàn)已成為偵破和指控違法的“依據(jù)之王”。因而，針對手機(jī)電子數(shù)據(jù)的提取和鑒別是當(dāng)時電子數(shù)據(jù)司法鑒別范疇最為重要的內(nèi)容之一。當(dāng)時市場干流的手機(jī)取證東西都能夠規(guī)范化的提取手機(jī)中保存的各類數(shù)據(jù)信息，但關(guān)于保存在云端的手機(jī)app數(shù)據(jù)的處理，還存在一些需求理清的觀念。
根據(jù)《法庭科學(xué)電子依據(jù)手機(jī)經(jīng)驗技能規(guī)范》5.3.1.3規(guī)定，“若需經(jīng)過搜集提取手機(jī)云端數(shù)據(jù)等網(wǎng)絡(luò)數(shù)據(jù)時，能夠在手機(jī)數(shù)據(jù)已固定的條件下銜接互聯(lián)網(wǎng)，運(yùn)用相關(guān)查驗軟件下載相關(guān)數(shù)據(jù)，或選用照相、錄像辦法固定相關(guān)數(shù)據(jù)，生成查驗陳述”，這兒明確指出手機(jī)取證其實存在著兩個進(jìn)程，當(dāng)針對手機(jī)機(jī)身進(jìn)行數(shù)據(jù)提取時，手機(jī)充當(dāng)了鑒別對象（即檢材）的人物，當(dāng)針對云端數(shù)據(jù)進(jìn)行數(shù)據(jù)獲取時，手機(jī)此時充當(dāng)了鑒別東西的人物。
遺憾的是，許多鑒別人員在實踐操作時，往往運(yùn)用軟件一同執(zhí)行機(jī)身數(shù)據(jù)提取和云端數(shù)據(jù)下載，而忽視了《規(guī)范》中一個重要的限定詞——若需。
四、電子數(shù)據(jù)送檢、保管環(huán)節(jié)存在不一致危險
筆者在輔佐檢察官查看電子數(shù)據(jù)作業(yè)中，常常發(fā)現(xiàn)一些的程度不同的問題，其間在電子數(shù)據(jù)保管、送檢環(huán)節(jié)發(fā)生的危險需求引起高度關(guān)注。
事例一：某地偵辦機(jī)關(guān)托付司法鑒別安排對一同“黑客”案子的涉案筆記本電腦進(jìn)行鑒別，托付書登記的筆記本電腦序列號與扣押清單中的序列號不一致。
事例二：某地偵辦機(jī)關(guān)經(jīng)過勘驗的辦法，固定了一同網(wǎng)絡(luò)傳銷安排的電子數(shù)據(jù)。托付司法鑒別安排鑒別時，勘驗得到的電子數(shù)據(jù)與送檢電子數(shù)據(jù)的哈希值不同。
事例三：某地偵辦機(jī)關(guān)處理一同強(qiáng)奸案子，移送查看起訴后，能夠證明嫌疑人與被害人之間具有親密關(guān)系的手機(jī)中，存儲芯片不知去向。
事例四：某地偵辦機(jī)關(guān)處理一同非法吸納大眾存款案子，在移送查看的材猜中，查看發(fā)現(xiàn)扣押的物品相片顏色差異巨大。經(jīng)核實，一個重要的依據(jù)優(yōu)盤在保管進(jìn)程中丟失，有關(guān)人員為逃避責(zé)任，新購一個同品牌類型的優(yōu)盤替代了原始依據(jù)優(yōu)盤。
堅持依據(jù)的原始性是刑事訴訟中很重要的一項使命。上述事例一和事例二決議了該依據(jù)能否進(jìn)入該案子的依據(jù)門檻，事例三和事例四則潛藏著有關(guān)人員成心違法或許重大過失行為。上述四個事例均存在依據(jù)開裂的實踐危險，那么接下來的法庭審理中，檢察機(jī)關(guān)將不可避免的面臨被迫。假如律師聘請了資深專家團(tuán)隊并提出合理置疑，輕則帶來案子反復(fù)，重則作出無罪判決，那將是司法難以承受之重。
五、重鑒別輕取證的司法辦案理念急需改變
2013年修訂后刑訴法實施以來，電子數(shù)據(jù)成了法定依據(jù)辦法。此次修法還有一個更大的變化，“鑒別結(jié)論”改為了“鑒別定見”，這是司法實踐范疇的一次重要調(diào)整。
可是，寬廣司法人員希望經(jīng)過鑒別確認(rèn)某些專門問題，乃至達(dá)到一錘定音的主意還沒有得到有效消除，換句話說，司法人員對“鑒別結(jié)論”的依靠并沒有及時得到調(diào)整。在電子數(shù)據(jù)的問題上，這一點尤其顯著。偵辦機(jī)關(guān)經(jīng)過現(xiàn)場勘驗獲取的電子數(shù)據(jù)、經(jīng)過第三方調(diào)取的電子數(shù)據(jù)、經(jīng)過實施查看等技能手法得到的電子數(shù)據(jù)……，這些都是電子數(shù)據(jù)，都現(xiàn)已是法定的依據(jù)辦法。但有些檢察人員對偵辦部分不辭辛苦獲取的電子數(shù)據(jù)不做詳查、不做剖析，有的聽之任之，有的乃至要求辦案部分去做個鑒別。在所謂“舊理念”的指導(dǎo)下，有些鑒別定見不三不四。
事例：某地偵辦機(jī)關(guān)處理一同網(wǎng)絡(luò)傳銷案子，根據(jù)有關(guān)辦案人員的要求，鑒別安排出具了“該安排運(yùn)行辦法符合傳銷安排特征”的鑒別定見。
在這個事例中，司法鑒別安排仍然越權(quán)做出了“法令判別”，但清楚明了，這兒面包含著一種錯誤的傾向，有關(guān)辦案人員仍然希望經(jīng)過司法鑒別的辦法對有關(guān)法令問題進(jìn)行確認(rèn)。
六、信息加密成為約束電子數(shù)據(jù)取證和鑒別的一道門檻
暗碼破解一直是電子數(shù)據(jù)恢復(fù)取證和鑒別中需求面臨的問題。信息加密技能在為用戶供給數(shù)據(jù)安全的一同，也對電子數(shù)據(jù)取證人員提出了更高的要求。從BIOS暗碼、操作體系用戶暗碼到Android全盤加密、文件級加密再到iOS加密，電子數(shù)據(jù)取證面臨著越來越高的取證門檻。下面臨當(dāng)時常見的信息加密辦法進(jìn)行介紹，并將其對電子數(shù)據(jù)取證的影響進(jìn)行闡明。
難點一：BitLocker是內(nèi)置于WindowsVista及其之后體系的全盤加密功用，經(jīng)過對磁盤卷進(jìn)行加密來維護(hù)數(shù)據(jù)。它運(yùn)用128位或256位密鑰的AES加密算法加密數(shù)據(jù)，加密強(qiáng)度很高。
當(dāng)時破解Bitlocker的技能除了經(jīng)過社會工程學(xué)等手法直接獲取暗碼外，主要有以下辦法：一是經(jīng)過對BitLocker加密設(shè)備的內(nèi)存或Windows休眠文件進(jìn)行提取，在其間查找Bitlocker密鑰，二是在獲取用戶的微軟賬戶和暗碼后經(jīng)過微軟賬戶查詢BitLocker恢復(fù)密鑰，三是運(yùn)用Bitlocker運(yùn)用固態(tài)硬盤進(jìn)行硬件加密的漏洞，從固態(tài)硬盤中獲取Bitlocker密鑰。上述辦法在實踐中都有一定的局限性，導(dǎo)致對Bitlocker加密卷的破解成功率無法保證。
難點二：Android在4.4版中引入了全盤加密（FDE），并在5.0中對全盤加密功用進(jìn)行了優(yōu)化。全盤加密是運(yùn)用密鑰（密鑰本身也經(jīng)過加密）對Android設(shè)備上的一切用戶數(shù)據(jù)進(jìn)行編碼的進(jìn)程。設(shè)備經(jīng)過加密后，一切由用戶創(chuàng)立的數(shù)據(jù)在存入磁盤之前都會主動加密，并且一切讀取操作都會在將數(shù)據(jù)返回給調(diào)用進(jìn)程之前主動解密數(shù)據(jù)。
Android7.0及更高版本支撐文件級加密（FBE）。選用文件級加密時，能夠運(yùn)用不同的密鑰對不同的文件進(jìn)行加密，并且能夠?qū)用芪募M(jìn)行獨(dú)自解密。文件級加密會對文件名和文件內(nèi)容進(jìn)行加密。
關(guān)于Android體系加密，除了獲取暗碼或運(yùn)用指紋、人臉辨認(rèn)解鎖外，主要是經(jīng)過屏蔽鎖屏暗碼和暴力破解的辦法進(jìn)行解密。其間暴力破解的辦法由于速度約束（體系運(yùn)算能力和Gatekeeper請求次數(shù)約束），導(dǎo)致不知道原暗碼狀況下破解時長無法控制。
難點三：從iPhone3GS開端，蘋果運(yùn)用硬件對iOS設(shè)備進(jìn)行數(shù)據(jù)加密，這被稱為數(shù)據(jù)維護(hù)（DataProtection）。重要的iOS體系運(yùn)用，比方信息、郵件、日歷、通訊錄、相片和健康數(shù)據(jù)會默許被數(shù)據(jù)維護(hù)加密。而從iOS7開端，第三方運(yùn)用數(shù)據(jù)也會主動被數(shù)據(jù)維護(hù)加密。iOS設(shè)備的硬件加密辦法導(dǎo)致直接對芯片進(jìn)行提取數(shù)據(jù)后無法進(jìn)行解密。
當(dāng)時可行的iOS提取辦法只要經(jīng)過獲取或破解iOS鎖屏暗碼來處理，主要辦法包含：經(jīng)過Lockdown文件繞過鎖屏暗碼進(jìn)行提?。唤?jīng)過硬件對暗碼進(jìn)行暴力破解；經(jīng)過指紋或人臉辨認(rèn)解鎖。上述辦法在實踐查驗中有著各種約束，Lockdown文件不一定能夠找到，即便找到也有或許現(xiàn)已過期無法運(yùn)用；暴力破解或許有iOS版本約束，或許為商業(yè)技能，成本高昂。
七、數(shù)據(jù)恢復(fù)實踐面臨應(yīng)戰(zhàn)
電子數(shù)據(jù)取證和司法鑒別中的數(shù)據(jù)恢復(fù)，是指經(jīng)過軟件東西對檢材（樣本）進(jìn)行數(shù)據(jù)恢復(fù)操作的進(jìn)程。刪去電子數(shù)據(jù)文件時，操作體系只對文件體系中被刪去文件的記載項進(jìn)行修正，其真正的數(shù)據(jù)區(qū)域并不會被直接修正，而是做為未分配空間供后續(xù)運(yùn)用。換句話說，數(shù)據(jù)恢復(fù)的條件是，刪去的數(shù)據(jù)未被修正。
跟著存儲技能的發(fā)展，新型存儲設(shè)備開端出現(xiàn)。固態(tài)硬盤因其低功耗、高讀寫速度、無噪音、體積小等長處，跟著價格的下降運(yùn)用者越來越多。但固態(tài)硬盤與傳統(tǒng)機(jī)械硬盤在存儲原理、辦法上有著底子不同，對電子數(shù)據(jù)取證中的電子數(shù)據(jù)恢復(fù)作業(yè)造成了很大影響。與機(jī)械硬盤次序?qū)懭胧艿綁K碎片和壞扇區(qū)的影響，機(jī)械硬盤并不徹底是次序存儲。不同，固態(tài)硬盤不運(yùn)用次序?qū)懭?。在固態(tài)硬盤中，數(shù)據(jù)會被分成不同的數(shù)據(jù)塊，一同寫入到不同的NAND存儲芯片中，這種平行寫入的辦法使固態(tài)硬盤的寫入速度遠(yuǎn)高于機(jī)械硬盤。
即便是單NAND存儲芯片的固態(tài)硬盤也不會運(yùn)用次序?qū)懭氲霓k法存儲數(shù)據(jù)[或許只要全新的，從未寫入過數(shù)據(jù)的固態(tài)硬盤會運(yùn)用次序存儲的辦法]。存儲芯片中每個塊對應(yīng)的邏輯地址LBA都是動態(tài)分配的，便于主控進(jìn)行損耗平衡。這導(dǎo)致了從NAND存儲芯片中直接讀取到的數(shù)據(jù)就好像拼圖相同，將數(shù)據(jù)打散成碎片后隨意的組合在一同。假如沒有固態(tài)硬盤主控的協(xié)助，想要經(jīng)過芯片提取的辦法恢復(fù)一個文件是好不容易的。
除了數(shù)據(jù)存儲辦法的不同之外，固態(tài)硬盤還設(shè)置了后臺廢物收回機(jī)制。當(dāng)刪去存儲在固態(tài)硬盤上的文件時，操作體系會執(zhí)行trim指令，以告知固態(tài)硬盤該文件將不會再被運(yùn)用。只要處于通電狀況，固態(tài)硬盤就會發(fā)動后臺的廢物收回機(jī)制，擦除現(xiàn)已trim的數(shù)據(jù)塊。即便運(yùn)用只讀接口銜接固態(tài)硬盤也無法阻撓這一進(jìn)程，這導(dǎo)致了固態(tài)硬盤上刪去數(shù)據(jù)的恢復(fù)變得好不容易。
當(dāng)然實踐狀況或許會有所不同。假如操作體系、固態(tài)硬盤（或許閃存存儲器）以及它們之間的傳輸協(xié)議中有不支撐trim的部分，那么trim以及后續(xù)的廢物收回機(jī)制將無法運(yùn)作，使得狀況或許有所好轉(zhuǎn)。但由于NAND存儲芯片寫入和擦除大小不同等問題，使得trim成為了固態(tài)硬盤所有必要的一部分，因而未來關(guān)于固態(tài)硬盤的數(shù)據(jù)恢復(fù)形勢仍然并不達(dá)觀。
機(jī)械硬盤數(shù)據(jù)恢復(fù)未來的狀況也并非一片光亮。跟著疊瓦式磁記載技能（ShingledMagneticRecording）的運(yùn)用，機(jī)械硬盤也面臨著和NAND存儲芯片相同的問題。當(dāng)時市場上現(xiàn)已出現(xiàn)了支撐trim指令的運(yùn)用疊瓦式磁記載技能的機(jī)械硬盤，關(guān)于這種硬盤進(jìn)行數(shù)據(jù)恢復(fù)也將會面臨著固態(tài)硬盤相同的問題。
八、海量電子數(shù)據(jù)的處理陷入困境
海量電子數(shù)據(jù)的運(yùn)用，是當(dāng)時司法實踐中不得不考慮的重要問題。涉案電子數(shù)據(jù)載體數(shù)量爆發(fā)式增長，單個載體的數(shù)據(jù)容量爆發(fā)式增長，這兩個要素導(dǎo)致在任何一個案子中，都或許搜集到海量的電子數(shù)據(jù)恢復(fù)。
事例一：某地偵辦機(jī)關(guān)在處理一同非法集資案子中，查封扣押涉案電腦200余臺，從阿里云空間勘驗數(shù)據(jù)40TB。如此規(guī)模的電子數(shù)據(jù)，給有關(guān)部分運(yùn)用依據(jù)帶來巨大壓力。
事例二：某地偵辦機(jī)關(guān)處理一同網(wǎng)絡(luò)電信詐騙案子，經(jīng)核實僅確認(rèn)了1名受害者。移送查看起訴后，在技能人員的輔佐下，從100余萬條微信記載中，追加確認(rèn)了70余名受害者以及相應(yīng)的轉(zhuǎn)賬記載。其間的排查作業(yè)量相當(dāng)大。
海量電子數(shù)據(jù)是一個比較完整的虛擬空間，是另一種辦法的“違法現(xiàn)場”。該“違法現(xiàn)場”給深挖違法供給了寬廣空間，卻也帶來了許多技能處理上的應(yīng)戰(zhàn)。假如說事例一僅僅是技能人員數(shù)量上的綽綽有余，事例二則對海量數(shù)據(jù)的剖析作業(yè)提出了更高的要求。實踐上，公檢法機(jī)關(guān)現(xiàn)有的技能力量底子無法應(yīng)對海量電子數(shù)據(jù)，具有老練數(shù)據(jù)剖析技能的人員更是嚴(yán)峻短少。此外，符合實踐的海量數(shù)據(jù)處理東西也是一個嚴(yán)峻的短板。
截至現(xiàn)在，針對海量電子數(shù)據(jù)恢復(fù)的處理，仍然沒有很好的處理辦法。
關(guān)注神州，了解更多