论文部分内容阅读
[摘 要]近年来，随着我国信息技术的快速发展以及科技成果的广泛应用，各种电子产品（如计算机、智能手机、数字多媒体播放器、录音笔等）广泛应用于人们生活、工作的各个领域。我国《刑事诉讼法》修正案也明确将电子数据列为刑事诉讼的证据之一。因此，努力提高电子物证检验鉴定的能力和水平是当前新形热下各级公安机关网络安全技术和刑事技术人员一项重要而迫切的任务。
[关键词]电子物证 检验 取证
中图分类号：D918.2 文献标识码：A 文章编号：1009-914X（2014）46-0141-01
电子物证检验（ Electronic Forensics）是关于识别、发现、提取、保存、恢复、显示、分析电子设备中产生、存储或传输的与案件相关电子数据的一门新兴法庭科学技术。是在犯罪调查中鉴别、发现、重建、检验证据的重要技术手段，由于法庭科学的技术和理论同样可以应用到电子物证检验中，可以为处理、分析电子证据提供、技术手段和技术方法，因此电子物证检验应遵循法庭科学的方法和体系。
一、电子物证检验概述
1.电子物证的特点
与传统证据相比，电子证据具有的特点包括：
（1）表现形式多样性：不仅可以用文字、图像和声音等多种方式进行传输存储，而且还可将上述多种形式综合形成“多媒体”形式。
（2）依赖介质性：需要借助一定的介质存在，如计算机硬盘、光盘等。
（3）易破坏性：特别是数字化的电子证据，容易被修改或删除，并且不易找到其改变的痕迹。
（4）易复制性：可以方便地进行多种形式的复制。
（5）时限性：如一些人为设定的“逻辑炸弹”，过了某一时限就会删除某些电子数据。
（6）易传播性：电子证据可以不受地域甚至国界限制通过网络无限地快速传播，如电子邮件可以瞬间扩散到世界的各个角落。
2.电子物证的优越性
正是由于电子物证具有一系列传统证据所没有的特点，因此电子物证检验与传统物证检验相比具有一定的难度，且其效力在法庭上的确认也面临着不一样的程序。但电子物证检验过程中，也有一些传统物证检验所不具备的可利用的优越性，具体表现在：
（1）可以将原数字证据精确复制，在对这些数字证据检验时还可对复制的证据进行检验，以避免对原证据的损坏。
（2）使用适当的工具通过与原有证据进行比较，可以方便地检测出电子证据是否已经被改变或破坏。
（3）完全消除证据相对困难，即使从磁盘上“删除，”还可能通过电子工具进行“恢复”。
（4）当完全消除电子证据时，其拷贝数据还可能保存在别的介质上。
由于电子物证检验的结果往往能够更加直接的说明犯罪案件事实或证明犯罪活动的存在，因此能够有效地提供侦查线索和法庭证据。
二、电子物证的现场取证
电子物证现场取证是指在犯罪现场即使实施勘验，识别、搜索、保存和固定现场存留的与犯罪有关的电子数据、电子设备及其它信息的过程。识别是指分析判断在计算机中或数据储存介质中存在的与案件相关的电子数据的过程；搜索是指使用专用的取证软件工具，对已被识别或认定的数据进行查找和分析的过程；保存是指用系统的方法去获取并保存与案件有关的电子数据的过程。
1.现场取证的原则
（1）尽早尽快搜集证据，并尽可能保证其没有受到任何破坏；
（2）保证“证据连续性”，即在证据被正式提交给法庭时，必须能够说明在证据从最初的获取到在法庭上出现状态之间的任何变化；
（3）保证获取证据的客观性、完整性和真实性；
（4）整个检查、取证过程必须是受到监督的法律的公正性。
（5）在取证过程中，严禁在未进行保护措施的情况下对目标计算机系统进行检查，避免发生任何的改变、数据破坏或病毒感染。
2.现场取证种类
电子物证现场取证包括电子设备、电子数据和文档资料三种。
电子设备中包括设备类和介质类。设备类包括计算机、计算机网络、手机、外围设备、数码设备以及其他有关的电子设备等；介质类包括硬盘、移动存储介质、软盘、磁带、光盘、各类存储卡等设备。
电子数据包括用户建立的文挡、数据库文件、图片、视频、程序等文件；文挡包括压缩文件、密码保护文件以及隐藏文件等；计算机创建的文件包括备份文件、日志文件，配置文件、被删除文件以及上网的历史记录、电子邮件、聊天记录、网友列表以及各类IP源地址和目标IP地址等。文档资料包括用户程序设计文档以及系统使用说明书、系统维护资料等。
三、现场取证步骤
近几年，涉及电子数据和电子设备的犯罪案件也层出不穷。且呈高发态势。公安机关在实际办案过程中，电子物证已在对提供侦查线索、打击犯罪活动发挥着越来越重要的作用。对于电子物证，要让其成为法律上的证据之媒介，必须对其进行科学的取证，其步骤包括：
1.拍摄现场
这一步骤包括现场概貌拍照和录像以及系统状态拍照和录像。现场概貌拍照并录像，内容应反映系统运行的环境和系统的运行情况，包括屏幕显示状态、设备之间各电缆的连接等情况。对重要证据（设备）的拍照和录像如各种可疑设备、存储介质等，要从不同的角度对设备上的信息如系列号、主要技术指标进行拍摄，当重点证据较多时应在拍摄前编号，并将号码标签拍入画面。
2.绘制现场图及网络结构图
这一项工作比较专业化，必须熟悉现场图中对系统中各种设备的型号、主要技术性能指标、设备之间的连线等均要做出明确的标识，以真实的反映证据的原始状态。
3.了解案件发生情景的信息
询问主要当事人，了解案件发生前后的有关信息。包括计算机运行状态、谁使用电脑，查问有关电脑的用途、软件的登入身份和密码以及数据储存于何处、做过那些操作、有什么异常现象等。
4.确定取证对象
在对案发现在进行初步了解之后，应对具体取证已经有一个大致的判断了，此时取证人员应选择适当的取证工具，进入取证阶段实施取证。在取证过程中，必须对电子物证尽可能保全，避免其受到外力的作用而破坏所携带的证据信息。
5.提交电子物证结果
经过一系列的工作完成取证后，应对证据进行封存，并将结果提交有关部门审查保存，同时有必要对物证进行备份并存于档案保存处。
四、结论
综上所述，当前随着计算机技术、网络技术和信息技术的高速发展，电子产品已逐渐成为人们不可或缺的工作、生活、娱乐工具，而这些产品在证据法上的效果也应予以重视。因此，检验这些电子产品所获取的电子信息作为证据在案件侦破中必将起到越来越重要的作用。实践证明，这些以程序、文本、声音、图像、影像等电子形式存在的电子数据既能作为法庭证据，也可为案件侦破提供侦查方法和侦查线索。所以，在当前新形势下，各级公安机关网络安全部门和刑事技术部门必须不断强化电子证据的办案意识，把电子物证的检验作为侦破案件的重要技术手段，更好的为侦查破案服务，为社会稳定服务。
参考文献：
[1] 汤艳君.电子物证检验与分析[M].清华大学出版社，2014.02.18.
[2] 梁静敏，黄国华.电子物证检验的数据分析与信息应用[J].广东公安科技，2011.04.
[3] 王桂强.电子物证检验[J].刑事技术，2003.4.
[关键词]电子物证 检验 取证
中图分类号：D918.2 文献标识码：A 文章编号：1009-914X（2014）46-0141-01
电子物证检验（ Electronic Forensics）是关于识别、发现、提取、保存、恢复、显示、分析电子设备中产生、存储或传输的与案件相关电子数据的一门新兴法庭科学技术。是在犯罪调查中鉴别、发现、重建、检验证据的重要技术手段，由于法庭科学的技术和理论同样可以应用到电子物证检验中，可以为处理、分析电子证据提供、技术手段和技术方法，因此电子物证检验应遵循法庭科学的方法和体系。
一、电子物证检验概述
1.电子物证的特点
与传统证据相比，电子证据具有的特点包括：
（1）表现形式多样性：不仅可以用文字、图像和声音等多种方式进行传输存储，而且还可将上述多种形式综合形成“多媒体”形式。
（2）依赖介质性：需要借助一定的介质存在，如计算机硬盘、光盘等。
（3）易破坏性：特别是数字化的电子证据，容易被修改或删除，并且不易找到其改变的痕迹。
（4）易复制性：可以方便地进行多种形式的复制。
（5）时限性：如一些人为设定的“逻辑炸弹”，过了某一时限就会删除某些电子数据。
（6）易传播性：电子证据可以不受地域甚至国界限制通过网络无限地快速传播，如电子邮件可以瞬间扩散到世界的各个角落。
2.电子物证的优越性
正是由于电子物证具有一系列传统证据所没有的特点，因此电子物证检验与传统物证检验相比具有一定的难度，且其效力在法庭上的确认也面临着不一样的程序。但电子物证检验过程中，也有一些传统物证检验所不具备的可利用的优越性，具体表现在：
（1）可以将原数字证据精确复制，在对这些数字证据检验时还可对复制的证据进行检验，以避免对原证据的损坏。
（2）使用适当的工具通过与原有证据进行比较，可以方便地检测出电子证据是否已经被改变或破坏。
（3）完全消除证据相对困难，即使从磁盘上“删除，”还可能通过电子工具进行“恢复”。
（4）当完全消除电子证据时，其拷贝数据还可能保存在别的介质上。
由于电子物证检验的结果往往能够更加直接的说明犯罪案件事实或证明犯罪活动的存在，因此能够有效地提供侦查线索和法庭证据。
二、电子物证的现场取证
电子物证现场取证是指在犯罪现场即使实施勘验，识别、搜索、保存和固定现场存留的与犯罪有关的电子数据、电子设备及其它信息的过程。识别是指分析判断在计算机中或数据储存介质中存在的与案件相关的电子数据的过程；搜索是指使用专用的取证软件工具，对已被识别或认定的数据进行查找和分析的过程；保存是指用系统的方法去获取并保存与案件有关的电子数据的过程。
1.现场取证的原则
（1）尽早尽快搜集证据，并尽可能保证其没有受到任何破坏；
（2）保证“证据连续性”，即在证据被正式提交给法庭时，必须能够说明在证据从最初的获取到在法庭上出现状态之间的任何变化；
（3）保证获取证据的客观性、完整性和真实性；
（4）整个检查、取证过程必须是受到监督的法律的公正性。
（5）在取证过程中，严禁在未进行保护措施的情况下对目标计算机系统进行检查，避免发生任何的改变、数据破坏或病毒感染。
2.现场取证种类
电子物证现场取证包括电子设备、电子数据和文档资料三种。
电子设备中包括设备类和介质类。设备类包括计算机、计算机网络、手机、外围设备、数码设备以及其他有关的电子设备等；介质类包括硬盘、移动存储介质、软盘、磁带、光盘、各类存储卡等设备。
电子数据包括用户建立的文挡、数据库文件、图片、视频、程序等文件；文挡包括压缩文件、密码保护文件以及隐藏文件等；计算机创建的文件包括备份文件、日志文件，配置文件、被删除文件以及上网的历史记录、电子邮件、聊天记录、网友列表以及各类IP源地址和目标IP地址等。文档资料包括用户程序设计文档以及系统使用说明书、系统维护资料等。
三、现场取证步骤
近几年，涉及电子数据和电子设备的犯罪案件也层出不穷。且呈高发态势。公安机关在实际办案过程中，电子物证已在对提供侦查线索、打击犯罪活动发挥着越来越重要的作用。对于电子物证，要让其成为法律上的证据之媒介，必须对其进行科学的取证，其步骤包括：
1.拍摄现场
这一步骤包括现场概貌拍照和录像以及系统状态拍照和录像。现场概貌拍照并录像，内容应反映系统运行的环境和系统的运行情况，包括屏幕显示状态、设备之间各电缆的连接等情况。对重要证据（设备）的拍照和录像如各种可疑设备、存储介质等，要从不同的角度对设备上的信息如系列号、主要技术指标进行拍摄，当重点证据较多时应在拍摄前编号，并将号码标签拍入画面。
2.绘制现场图及网络结构图
这一项工作比较专业化，必须熟悉现场图中对系统中各种设备的型号、主要技术性能指标、设备之间的连线等均要做出明确的标识，以真实的反映证据的原始状态。
3.了解案件发生情景的信息
询问主要当事人，了解案件发生前后的有关信息。包括计算机运行状态、谁使用电脑，查问有关电脑的用途、软件的登入身份和密码以及数据储存于何处、做过那些操作、有什么异常现象等。
4.确定取证对象
在对案发现在进行初步了解之后，应对具体取证已经有一个大致的判断了，此时取证人员应选择适当的取证工具，进入取证阶段实施取证。在取证过程中，必须对电子物证尽可能保全，避免其受到外力的作用而破坏所携带的证据信息。
5.提交电子物证结果
经过一系列的工作完成取证后，应对证据进行封存，并将结果提交有关部门审查保存，同时有必要对物证进行备份并存于档案保存处。
四、结论
综上所述，当前随着计算机技术、网络技术和信息技术的高速发展，电子产品已逐渐成为人们不可或缺的工作、生活、娱乐工具，而这些产品在证据法上的效果也应予以重视。因此，检验这些电子产品所获取的电子信息作为证据在案件侦破中必将起到越来越重要的作用。实践证明，这些以程序、文本、声音、图像、影像等电子形式存在的电子数据既能作为法庭证据，也可为案件侦破提供侦查方法和侦查线索。所以，在当前新形势下，各级公安机关网络安全部门和刑事技术部门必须不断强化电子证据的办案意识，把电子物证的检验作为侦破案件的重要技术手段，更好的为侦查破案服务，为社会稳定服务。
参考文献：
[1] 汤艳君.电子物证检验与分析[M].清华大学出版社，2014.02.18.
[2] 梁静敏，黄国华.电子物证检验的数据分析与信息应用[J].广东公安科技，2011.04.
[3] 王桂强.电子物证检验[J].刑事技术，2003.4.