當(dāng)時(shí)，刑事訴訟中觸及電子數(shù)據(jù)恢復(fù)的案子非常遍及，通說認(rèn)為，電子數(shù)據(jù)恢復(fù)是技能與規(guī)律高度結(jié)合的產(chǎn)品，假定不能在技能和規(guī)律兩個(gè)層面上完畢心里供認(rèn)，則很難做到尋求案子實(shí)體公正與保證程序合法的有機(jī)一同。筆者結(jié)合實(shí)踐事例，總結(jié)了一些狀況，希望能夠引起各級(jí)辦案人員的高度重視。
一、司法區(qū)分要做實(shí)踐判別，仍是價(jià)值判別、規(guī)律判別？
司法區(qū)分本質(zhì)上是一種判別定見。此處的判別只能定位為“實(shí)踐判別”，這兒的“實(shí)踐”指的是區(qū)分人運(yùn)用科學(xué)技能或許專門知識(shí)能夠認(rèn)識(shí)的客觀狀況。
事例一：某司法區(qū)分安排依據(jù)托付部分要求，在檢材（移動(dòng)硬盤）中提取淫穢視頻83個(gè)、淫穢圖片10332個(gè)。
事例二：某司法區(qū)分安排依據(jù)托付部分要求，在檢材（移動(dòng)硬盤）中提取公民個(gè)人信息100000條。
事例三：某司法區(qū)分安排依據(jù)托付部分要求，作出被損壞的計(jì)算機(jī)體系到達(dá)了特別嚴(yán)峻程度的定見。
“淫穢視頻”“淫穢圖片”“淫穢音頻”在大眾的認(rèn)知范圍上邊界并不顯著?！缎谭ā返谌倭邨l規(guī)則，淫穢物品是指詳細(xì)描繪性行為或許暴露宣傳色情的誨淫性的書刊、影片、錄像帶、錄音帶、圖片及其他淫穢物品。國(guó)內(nèi)對(duì)淫穢色情音視頻的區(qū)分并沒有一套通行的標(biāo)準(zhǔn)，一般經(jīng)過行政供認(rèn)的辦法進(jìn)行。經(jīng)過司法區(qū)分安排給出“淫穢物品”的數(shù)量供認(rèn)，帶有不恰當(dāng)?shù)膬r(jià)值傾向。
相同，依據(jù)“兩高”《關(guān)于處理侵略公民個(gè)人信息刑事案子適用規(guī)律若干問題的說明》，“公民個(gè)人信息”是指以電子或許其他辦法記載的能夠獨(dú)自或許與其他信息結(jié)合辨認(rèn)特定自然人身份或許反映特定自然人活動(dòng)狀況的各種信息，包含名字、身份證件號(hào)碼、通訊通訊聯(lián)絡(luò)辦法、住址、賬號(hào)暗碼、產(chǎn)業(yè)狀況、行跡軌道等。能否被點(diǎn)評(píng)為“公民個(gè)人信息”，要結(jié)合信息的實(shí)踐狀況進(jìn)行供認(rèn)，嚴(yán)峻來講這歸于規(guī)律判別的領(lǐng)域。而“情節(jié)嚴(yán)峻”“情節(jié)特別嚴(yán)峻”更是典型的規(guī)律判別用語。
上面三個(gè)事例的處理辦法，必定程度上看似便當(dāng)了辦案，實(shí)則后患無窮。在以審判為中心的刑事訴訟準(zhǔn)則下，這樣的司法區(qū)分定見極有或許被作為不合法依據(jù)予以掃除。
二、留心差異電子數(shù)據(jù)“本體”與“出現(xiàn)”之間的聯(lián)絡(luò)
電子數(shù)據(jù)是以“0”“1”碼存儲(chǔ)的數(shù)字序列集結(jié)，不或許被人們直接感知，這兒面存在一個(gè)當(dāng)然的說明進(jìn)程。挑選運(yùn)用恰當(dāng)?shù)恼f明東西成為必定。舉例而言，關(guān)于二進(jìn)制數(shù)0x3132，運(yùn)用不同的字節(jié)序，能夠得出完全不同的效果。當(dāng)然，這還只是微觀層面的說明。
在微觀層面上，也需求留心電子數(shù)據(jù)“本體”與“出現(xiàn)”之間的聯(lián)絡(luò)問題。
事例：在一同運(yùn)用互聯(lián)網(wǎng)傳達(dá)淫穢物品案子中，某司法區(qū)分安排依據(jù)辦案部分托付要求，提取了服務(wù)器硬盤上存儲(chǔ)的視頻文件數(shù)量。有關(guān)部分以此作為定案依據(jù)。
經(jīng)過互聯(lián)網(wǎng)等揭露前語傳達(dá)淫穢物品，其實(shí)存在一個(gè)預(yù)設(shè)的條件。那就是，廣闊網(wǎng)民必定要經(jīng)過一個(gè)入口（網(wǎng)站、論壇、云盤等）拜訪這些資源。那么，關(guān)于刑事訴訟來講，就存在一個(gè)供認(rèn)的問題，以存儲(chǔ)在服務(wù)器硬盤上存儲(chǔ)的悉數(shù)視頻文件作為定案依據(jù)，仍是以大眾能夠拜訪到的存儲(chǔ)在服務(wù)器上的視頻文件作為定案依據(jù)呢？
兩者顯然是不同的，差異在哪里呢？一方面，經(jīng)過網(wǎng)站拜訪這些視頻文件，是需求權(quán)限的；另一方面，服務(wù)器上的有些視頻文件或許并未列入網(wǎng)站管理程序，因而歸于“必定不或許”被大眾拜訪到的。
筆者認(rèn)為，依據(jù)兩高《關(guān)于處理運(yùn)用互聯(lián)網(wǎng)、移動(dòng)通訊終端、聲訊臺(tái)制作、拷貝、出書、販賣、傳達(dá)淫穢電子信息刑事案子詳細(xì)運(yùn)用規(guī)律若干問題的說明（二）》有關(guān)規(guī)則，這兒的“數(shù)量”應(yīng)當(dāng)理解為“傳達(dá)”（至少是“能夠傳達(dá)”）的數(shù)量，而不應(yīng)當(dāng)把存儲(chǔ)在服務(wù)器上的悉數(shù)視頻文件都列為“數(shù)量”構(gòu)成。
三、區(qū)分目標(biāo)與區(qū)分東西存在混淆危險(xiǎn)
手機(jī)中的電子數(shù)據(jù)現(xiàn)已成為偵破和指控違法的“依據(jù)之王”。因而，針對(duì)手機(jī)電子數(shù)據(jù)的提取和區(qū)分是當(dāng)時(shí)電子數(shù)據(jù)司法區(qū)分領(lǐng)域最為重要的內(nèi)容之一。當(dāng)時(shí)商場(chǎng)干流的手機(jī)取證東西都能夠標(biāo)準(zhǔn)化的提取手機(jī)中保存的各類數(shù)據(jù)信息，但關(guān)于保存在云端的手機(jī)app數(shù)據(jù)的處理，還存在一些需求理清的觀念。
依據(jù)《法庭科學(xué)電子依據(jù)手機(jī)經(jīng)歷技能標(biāo)準(zhǔn)》5.3.1.3規(guī)則，“若需經(jīng)過搜集提取手機(jī)云端數(shù)據(jù)等網(wǎng)絡(luò)數(shù)據(jù)時(shí)，能夠在手機(jī)數(shù)據(jù)已固定的條件下銜接互聯(lián)網(wǎng)，運(yùn)用相關(guān)查驗(yàn)軟件下載相關(guān)數(shù)據(jù)，或選用照相、錄像辦法固定相關(guān)數(shù)據(jù)，生成查驗(yàn)陳說”，這兒明確指出手機(jī)取證其實(shí)存在著兩個(gè)進(jìn)程，當(dāng)針對(duì)手機(jī)機(jī)身進(jìn)行數(shù)據(jù)提取時(shí)，手機(jī)充當(dāng)了區(qū)分目標(biāo)（即檢材）的人物，當(dāng)針對(duì)云端數(shù)據(jù)進(jìn)行數(shù)據(jù)獲取時(shí)，手機(jī)此刻充當(dāng)了區(qū)分東西的人物。
惋惜的是，許多區(qū)分人員在實(shí)踐操作時(shí)，往往運(yùn)用軟件一同履行機(jī)身數(shù)據(jù)提取和云端數(shù)據(jù)下載，而忽視了《標(biāo)準(zhǔn)》中一個(gè)重要的限定詞——若需。
四、電子數(shù)據(jù)送檢、保管環(huán)節(jié)存在不一同危險(xiǎn)
筆者在輔佐檢察官查看電子數(shù)據(jù)作業(yè)中，常常發(fā)現(xiàn)一些的程度不同的問題，其間在電子數(shù)據(jù)保管、送檢環(huán)節(jié)產(chǎn)生的危險(xiǎn)需求引起高度重視。
事例一：某地偵辦機(jī)關(guān)托付司法區(qū)分安排對(duì)一同“黑客”案子的涉案筆記本電腦進(jìn)行區(qū)分，托付書掛號(hào)的筆記本電腦序列號(hào)與扣押清單中的序列號(hào)不一同。
事例二：某地偵辦機(jī)關(guān)經(jīng)過勘驗(yàn)的辦法，固定了一同網(wǎng)絡(luò)傳銷安排的電子數(shù)據(jù)。托付司法區(qū)分安排區(qū)分時(shí)，勘驗(yàn)得到的電子數(shù)據(jù)與送檢電子數(shù)據(jù)的哈希值不同。
事例三：某地偵辦機(jī)關(guān)處理一同強(qiáng)奸案子，移送查看申訴后，能夠證明嫌疑人與被害人之間具有親密聯(lián)絡(luò)的手機(jī)中，存儲(chǔ)芯片石沉大海。
事例四：某地偵辦機(jī)關(guān)處理一同不合法吸納大眾存款案子，在移送查看的材猜中，查看發(fā)現(xiàn)扣押的物品相片色彩差異巨大。經(jīng)核實(shí)，一個(gè)重要的依據(jù)優(yōu)盤在保管進(jìn)程中丟掉，有關(guān)人員為逃避責(zé)任，新購一個(gè)同品牌類型的優(yōu)盤代替了原始依據(jù)優(yōu)盤。
堅(jiān)持依據(jù)的原始性是刑事訴訟中很重要的一項(xiàng)任務(wù)。上述事例一和事例二抉擇了該依據(jù)能否進(jìn)入該案子的依據(jù)門檻，事例三和事例四則潛藏著有關(guān)人員成心違法或許重大過失行為。上述四個(gè)事例均存在依據(jù)開裂的實(shí)踐危險(xiǎn)，那么接下來的法庭審理中，檢察機(jī)關(guān)將不可避免的面臨被迫。假定律師聘請(qǐng)了資深專家團(tuán)隊(duì)并提出合理置疑，輕則帶來案子反復(fù)，重則作出無罪判決，那將是司法難以承受之重。
五、重區(qū)分輕取證的司法辦案理念急需改動(dòng)
2013年修訂后刑訴法實(shí)施以來，電子數(shù)據(jù)成了法定依據(jù)辦法。此次修法還有一個(gè)更大的變化，“區(qū)分結(jié)論”改為了“區(qū)分定見”，這是司法實(shí)踐領(lǐng)域的一次重要調(diào)整。
可是，廣闊司法人員希望經(jīng)過區(qū)分供認(rèn)某些專門問題，甚至到達(dá)一錘定音的主見還沒有得到有用消除，換句話說，司法人員對(duì)“區(qū)分結(jié)論”的依托并沒有及時(shí)得到調(diào)整。在電子數(shù)據(jù)的問題上，這一點(diǎn)尤其顯著。偵辦機(jī)關(guān)經(jīng)過現(xiàn)場(chǎng)勘驗(yàn)獲取的電子數(shù)據(jù)、經(jīng)過第三方調(diào)取的電子數(shù)據(jù)、經(jīng)過實(shí)施查看等技能手法得到的電子數(shù)據(jù)……，這些都是電子數(shù)據(jù)，都現(xiàn)已是法定的依據(jù)辦法。但有些檢察人員對(duì)偵辦部分勤勤懇懇獲取的電子數(shù)據(jù)不做詳查、不做剖析，有的聽之任之，有的甚至要求辦案部分去做個(gè)區(qū)分。在所謂“舊理念”的指導(dǎo)下，有些區(qū)分定見不三不四。
事例：某地偵辦機(jī)關(guān)處理一同網(wǎng)絡(luò)傳銷案子，依據(jù)有關(guān)辦案人員的要求，區(qū)分安排出具了“該安排工作辦法契合傳銷安排特征”的區(qū)分定見。
在這個(gè)事例中，司法區(qū)分安排仍然越權(quán)做出了“規(guī)律判別”，但清楚清楚，這兒面包含著一種差錯(cuò)的傾向，有關(guān)辦案人員仍然希望經(jīng)過司法區(qū)分的辦法對(duì)有關(guān)規(guī)律問題進(jìn)行供認(rèn)。
六、信息加密成為束縛電子數(shù)據(jù)取證和區(qū)分的一道門檻
暗碼破解一直是電子數(shù)據(jù)恢復(fù)取證和區(qū)分中需求面臨的問題。信息加密技能在為用戶供應(yīng)數(shù)據(jù)安全的一同，也對(duì)電子數(shù)據(jù)取證人員提出了更高的要求。從BIOS暗碼、操作體系用戶暗碼到Android全盤加密、文件級(jí)加密再到iOS加密，電子數(shù)據(jù)取證面臨著越來越高的取證門檻。下面臨當(dāng)時(shí)常見的信息加密辦法進(jìn)行介紹，并將其對(duì)電子數(shù)據(jù)取證的影響進(jìn)行說明。
難點(diǎn)一：BitLocker是內(nèi)置于WindowsVista及其之后體系的全盤加密功用，經(jīng)過對(duì)磁盤卷進(jìn)行加密來維護(hù)數(shù)據(jù)。它運(yùn)用128位或256位密鑰的AES加密算法加密數(shù)據(jù)，加密強(qiáng)度很高。
當(dāng)時(shí)破解Bitlocker的技能除了經(jīng)過社會(huì)工程學(xué)等手法直接獲取暗碼外，首要有以下辦法：一是經(jīng)過對(duì)BitLocker加密設(shè)備的內(nèi)存或Windows休眠文件進(jìn)行提取，在其間查找Bitlocker密鑰，二是在獲取用戶的微軟賬戶和暗碼后經(jīng)過微軟賬戶查詢BitLocker恢復(fù)密鑰，三是運(yùn)用Bitlocker運(yùn)用固態(tài)硬盤進(jìn)行硬件加密的縫隙，從固態(tài)硬盤中獲取Bitlocker密鑰。上述辦法在實(shí)踐中都有必定的局限性，導(dǎo)致對(duì)Bitlocker加密卷的破解成功率無法保證。
難點(diǎn)二：Android在4.4版中引入了全盤加密（FDE），并在5.0中對(duì)全盤加密功用進(jìn)行了優(yōu)化。全盤加密是運(yùn)用密鑰（密鑰本身也經(jīng)過加密）對(duì)Android設(shè)備上的悉數(shù)用戶數(shù)據(jù)進(jìn)行編碼的進(jìn)程。設(shè)備經(jīng)過加密后，悉數(shù)由用戶創(chuàng)立的數(shù)據(jù)在存入磁盤之前都會(huì)主動(dòng)加密，并且悉數(shù)讀取操作都會(huì)在將數(shù)據(jù)回來給調(diào)用進(jìn)程之前主動(dòng)解密數(shù)據(jù)。
Android7.0及更高版別支撐文件級(jí)加密（FBE）。選用文件級(jí)加密時(shí)，能夠運(yùn)用不同的密鑰對(duì)不同的文件進(jìn)行加密，并且能夠?qū)用芪募M(jìn)行獨(dú)自解密。文件級(jí)加密會(huì)對(duì)文件名和文件內(nèi)容進(jìn)行加密。
關(guān)于Android體系加密，除了獲取暗碼或運(yùn)用指紋、人臉辨認(rèn)解鎖外，首要是經(jīng)過屏蔽鎖屏暗碼和暴力破解的辦法進(jìn)行解密。其間暴力破解的辦法由于速度束縛（體系運(yùn)算才能和Gatekeeper懇求次數(shù)束縛），導(dǎo)致不知道原暗碼狀況下破解時(shí)長(zhǎng)無法控制。
難點(diǎn)三：從iPhone3GS開始，蘋果運(yùn)用硬件對(duì)iOS設(shè)備進(jìn)行數(shù)據(jù)加密，這被稱為數(shù)據(jù)維護(hù)（DataProtection）。重要的iOS體系運(yùn)用，比如信息、郵件、日歷、通訊錄、相片和健康數(shù)據(jù)會(huì)默許被數(shù)據(jù)維護(hù)加密。而從iOS7開始，第三方運(yùn)用數(shù)據(jù)也會(huì)主動(dòng)被數(shù)據(jù)維護(hù)加密。iOS設(shè)備的硬件加密辦法導(dǎo)致直接對(duì)芯片進(jìn)行提取數(shù)據(jù)后無法進(jìn)行解密。
當(dāng)時(shí)可行的iOS提取辦法只需經(jīng)過獲取或破解iOS鎖屏暗碼來處理，首要辦法包含：經(jīng)過Lockdown文件繞過鎖屏暗碼進(jìn)行提??；經(jīng)過硬件對(duì)暗碼進(jìn)行暴力破解；經(jīng)過指紋或人臉辨認(rèn)解鎖。上述辦法在實(shí)踐查驗(yàn)中有著各種束縛，Lockdown文件不必定能夠找到，即便找到也有或許現(xiàn)已過期無法運(yùn)用；暴力破解或許有iOS版別束縛，或許為商業(yè)技能，本錢高昂。
七、數(shù)據(jù)恢復(fù)實(shí)踐面臨應(yīng)戰(zhàn)
電子數(shù)據(jù)取證和司法區(qū)分中的數(shù)據(jù)恢復(fù)，是指經(jīng)過軟件東西對(duì)檢材（樣本）進(jìn)行數(shù)據(jù)恢復(fù)操作的進(jìn)程。刪去電子數(shù)據(jù)文件時(shí)，操作體系只對(duì)文件體系中被刪去文件的記載項(xiàng)進(jìn)行修改，其真實(shí)的數(shù)據(jù)區(qū)域并不會(huì)被直接修改，而是做為未分配空間供后續(xù)運(yùn)用。換句話說，數(shù)據(jù)恢復(fù)的條件是，刪去的數(shù)據(jù)未被修改。
跟著存儲(chǔ)技能的開展，新式存儲(chǔ)設(shè)備開始出現(xiàn)。固態(tài)硬盤因其低功耗、高讀寫速度、無噪音、體積小等長(zhǎng)處，跟著價(jià)格的下降運(yùn)用者越來越多。但固態(tài)硬盤與傳統(tǒng)機(jī)械硬盤在存儲(chǔ)原理、辦法上有著根柢不同，對(duì)電子數(shù)據(jù)取證中的電子數(shù)據(jù)恢復(fù)作業(yè)造成了很大影響。與機(jī)械硬盤次序?qū)懭朐獾綁K碎片和壞扇區(qū)的影響，機(jī)械硬盤并不完全是次序存儲(chǔ)。不同，固態(tài)硬盤不運(yùn)用次序?qū)懭?。在固態(tài)硬盤中，數(shù)據(jù)會(huì)被分紅不同的數(shù)據(jù)塊，一同寫入到不同的NAND存儲(chǔ)芯片中，這種平行寫入的辦法使固態(tài)硬盤的寫入速度遠(yuǎn)高于機(jī)械硬盤。
即便是單NAND存儲(chǔ)芯片的固態(tài)硬盤也不會(huì)運(yùn)用次序?qū)懭氲霓k法存儲(chǔ)數(shù)據(jù)[或許只需全新的，從未寫入過數(shù)據(jù)的固態(tài)硬盤會(huì)運(yùn)用次序存儲(chǔ)的辦法]。存儲(chǔ)芯片中每個(gè)塊對(duì)應(yīng)的邏輯地址LBA都是動(dòng)態(tài)分配的，便于主控進(jìn)行損耗平衡。這導(dǎo)致了從NAND存儲(chǔ)芯片中直接讀取到的數(shù)據(jù)就好像拼圖相同，將數(shù)據(jù)打散成碎片后隨意的組合在一同。假定沒有固態(tài)硬盤主控的協(xié)助，想要經(jīng)過芯片提取的辦法恢復(fù)一個(gè)文件是非常困難的。
除了數(shù)據(jù)存儲(chǔ)辦法的不同之外，固態(tài)硬盤還設(shè)置了后臺(tái)廢物回收機(jī)制。當(dāng)刪去存儲(chǔ)在固態(tài)硬盤上的文件時(shí)，操作體系會(huì)履行trim指令，以奉告固態(tài)硬盤該文件將不會(huì)再被運(yùn)用。只需處于通電狀況，固態(tài)硬盤就會(huì)發(fā)起后臺(tái)的廢物回收機(jī)制，擦除現(xiàn)已trim的數(shù)據(jù)塊。即便運(yùn)用只讀接口銜接固態(tài)硬盤也無法阻遏這一進(jìn)程，這導(dǎo)致了固態(tài)硬盤上刪去數(shù)據(jù)的恢復(fù)變得非常困難。
當(dāng)然實(shí)踐狀況或許會(huì)有所不同。假定操作體系、固態(tài)硬盤（或許閃存存儲(chǔ)器）以及它們之間的傳輸協(xié)議中有不支撐trim的部分，那么trim以及后續(xù)的廢物回收機(jī)制將無法運(yùn)作，使得狀況或許有所好轉(zhuǎn)。但由于NAND存儲(chǔ)芯片寫入和擦除巨細(xì)不同等問題，使得trim成為了固態(tài)硬盤全部必要的一部分，因而未來關(guān)于固態(tài)硬盤的數(shù)據(jù)恢復(fù)局勢(shì)仍然并不達(dá)觀。
機(jī)械硬盤數(shù)據(jù)恢復(fù)未來的狀況也并非一片光亮。跟著疊瓦式磁記載技能（ShingledMagneticRecording）的運(yùn)用，機(jī)械硬盤也面臨著和NAND存儲(chǔ)芯片相同的問題。當(dāng)時(shí)商場(chǎng)上現(xiàn)已出現(xiàn)了支撐trim指令的運(yùn)用疊瓦式磁記載技能的機(jī)械硬盤，關(guān)于這種硬盤進(jìn)行數(shù)據(jù)恢復(fù)也將會(huì)面臨著固態(tài)硬盤相同的問題。
八、海量電子數(shù)據(jù)的處理陷入困境
海量電子數(shù)據(jù)的運(yùn)用，是當(dāng)時(shí)司法實(shí)踐中不得不考慮的重要問題。涉案電子數(shù)據(jù)載體數(shù)量爆發(fā)式添加，單個(gè)載體的數(shù)據(jù)容量爆發(fā)式添加，這兩個(gè)要素導(dǎo)致在任何一個(gè)案子中，都或許搜集到海量的電子數(shù)據(jù)恢復(fù)。
事例一：某地偵辦機(jī)關(guān)在處理一同不合法集資案子中，查封扣押涉案電腦200余臺(tái)，從阿里云空間勘驗(yàn)數(shù)據(jù)40TB。如此規(guī)模的電子數(shù)據(jù)，給有關(guān)部分運(yùn)用依據(jù)帶來巨大壓力。
事例二：某地偵辦機(jī)關(guān)處理一同網(wǎng)絡(luò)電信詐騙案子，經(jīng)核實(shí)僅供認(rèn)了1名受害者。移送查看申訴后，在技能人員的輔佐下，從100余萬條微信記載中，追加供認(rèn)了70余名受害者以及相應(yīng)的轉(zhuǎn)賬記載。其間的排查作業(yè)量相當(dāng)大。
海量電子數(shù)據(jù)是一個(gè)比較無缺的虛擬空間，是另一種辦法的“違法現(xiàn)場(chǎng)”。該“違法現(xiàn)場(chǎng)”給深挖違法供應(yīng)了廣闊空間，卻也帶來了許多技能處理上的應(yīng)戰(zhàn)。假定說事例一僅僅是技能人員數(shù)量上的綽綽有余，事例二則對(duì)海量數(shù)據(jù)的剖析作業(yè)提出了更高的要求。實(shí)踐上，公檢法機(jī)關(guān)現(xiàn)有的技能力量根柢無法應(yīng)對(duì)海量電子數(shù)據(jù)，具有老到數(shù)據(jù)剖析技能的人員更是嚴(yán)峻短少。此外，契合實(shí)踐的海量數(shù)據(jù)處理東西也是一個(gè)嚴(yán)峻的短板。
截至現(xiàn)在，針對(duì)海量電子數(shù)據(jù)恢復(fù)的處理，仍然沒有很好的處理辦法。
關(guān)注神州，了解更多