現(xiàn)在刑事訴訟中觸及電子數(shù)據(jù)恢復(fù)的案件十分廣泛，通說認為，電子數(shù)據(jù)恢復(fù)是技術(shù)與規(guī)矩高度結(jié)合的產(chǎn)品，假定不能在技術(shù)和規(guī)矩兩個層面上完畢心里招認，則很難做到尋求案件實體公正與保證程序合法的有機一起。筆者結(jié)合實踐案例，總結(jié)了一些情況，期望可以引起各級辦案人員的高度重視。
一、司法區(qū)別要做實踐判別，仍是價值判別、規(guī)矩判別？
司法區(qū)別本質(zhì)上是一種判別定見。此處的判別只能定位為“實踐判別”，這兒的“實踐”指的是區(qū)別人運用科學(xué)技術(shù)或許專門知識可以認識的客觀情況。
案例一：某司法區(qū)別組織根據(jù)托付部分要求，在檢材（移動硬盤）中提取淫穢視頻83個、淫穢圖片10332個。
案例二：某司法區(qū)別組織根據(jù)托付部分要求，在檢材（移動硬盤）中提取公民個人信息100000條。
案例三：某司法區(qū)別組織根據(jù)托付部分要求，作出被損壞的計算機系統(tǒng)抵達了特別嚴峻程度的定見。
“淫穢視頻”“淫穢圖片”“淫穢音頻”在群眾的認知規(guī)模上邊界并不明顯?！缎谭ā返谌倭邨l規(guī)矩，淫穢物品是指詳細描繪性行為或許露出宣傳色情的誨淫性的書刊、影片、錄像帶、錄音帶、圖片及其他淫穢物品。國內(nèi)對淫穢色情音視頻的區(qū)別并沒有一套通行的規(guī)范，一般通過行政招認的方法進行。通過司法區(qū)別組織給出“淫穢物品”的數(shù)量招認，帶有不恰當?shù)膬r值傾向。
相同，根據(jù)“兩高”《關(guān)于處理侵犯公民個人信息刑事案件適用規(guī)矩若干問題的闡明》，“公民個人信息”是指以電子或許其他方法記載的可以單獨或許與其他信息結(jié)合辨認特定自然人身份或許反映特定自然人活動情況的各種信息，包含姓名、身份證件號碼、通訊通訊聯(lián)絡(luò)方法、住址、賬號暗碼、工業(yè)情況、行跡軌道等。能否被點評為“公民個人信息”，要結(jié)合信息的實踐情況進行招認，嚴峻來講這歸于規(guī)矩判別的范疇。而“情節(jié)嚴峻”“情節(jié)特別嚴峻”更是典型的規(guī)矩判別用語。
上面三個案例的處理方法，必定程度上看似便當了辦案，實則后患無窮。在以審判為中心的刑事訴訟原則下，這樣的司法區(qū)別定見極有或許被作為不合法根據(jù)予以打掃。
二、留神差異電子數(shù)據(jù)“本體”與“呈現(xiàn)”之間的聯(lián)絡(luò)
電子數(shù)據(jù)是以“0”“1”碼存儲的數(shù)字序列集結(jié)，不或許被人們直接感知，這兒面存在一個當然的闡明進程。挑選運用恰當?shù)年U明東西成為必定。舉例而言，關(guān)于二進制數(shù)0x3132，運用不同的字節(jié)序，可以得出完全不同的作用。當然，這還只是微觀層面的闡明。
在微觀層面上，也需求留神電子數(shù)據(jù)“本體”與“呈現(xiàn)”之間的聯(lián)絡(luò)問題。
案例：在一起運用互聯(lián)網(wǎng)傳達淫穢物品案件中，某司法區(qū)別組織根據(jù)辦案部分托付要求，提取了服務(wù)器硬盤上存儲的視頻文件數(shù)量。有關(guān)部分以此作為定案根據(jù)。
通過互聯(lián)網(wǎng)等揭露前語傳達淫穢物品，其實存在一個預(yù)設(shè)的條件。那就是，寬廣網(wǎng)民必定要通過一個進口（網(wǎng)站、論壇、云盤等）訪問這些資源。那么，關(guān)于刑事訴訟來講，就存在一個招認的問題，以存儲在服務(wù)器硬盤上存儲的全部視頻文件作為定案根據(jù)，仍是以群眾可以訪問到的存儲在服務(wù)器上的視頻文件作為定案根據(jù)呢？
兩者顯然是不同的，差異在哪里呢？一方面，通過網(wǎng)站訪問這些視頻文件，是需求權(quán)限的；另一方面，服務(wù)器上的有些視頻文件或許并未列入網(wǎng)站管理程序，因而歸于“必定不或許”被群眾訪問到的。
筆者認為，根據(jù)兩高《關(guān)于處理運用互聯(lián)網(wǎng)、移動通訊終端、聲訊臺制造、拷貝、出書、販賣、傳達淫穢電子信息刑事案件詳細運用規(guī)矩若干問題的闡明（二）》有關(guān)規(guī)矩，這兒的“數(shù)量”應(yīng)當理解為“傳達”（至少是“可以傳達”）的數(shù)量，而不應(yīng)當把存儲在服務(wù)器上的全部視頻文件都列為“數(shù)量”構(gòu)成。
三、區(qū)別方針與區(qū)別東西存在混淆風險
手機中的電子數(shù)據(jù)現(xiàn)已成為偵破和指控違法的“根據(jù)之王”。因而，針對手機電子數(shù)據(jù)的提取和區(qū)別是其時電子數(shù)據(jù)司法區(qū)別范疇最為重要的內(nèi)容之一。其時商場干流的手機取證東西都可以規(guī)范化的提取手機中保存的各類數(shù)據(jù)信息，但關(guān)于保存在云端的手機app數(shù)據(jù)的處理，還存在一些需求理清的觀念。
根據(jù)《法庭科學(xué)電子根據(jù)手機閱歷技術(shù)規(guī)范》5.3.1.3規(guī)矩，“若需通過收集提取手機云端數(shù)據(jù)等網(wǎng)絡(luò)數(shù)據(jù)時，可以在手機數(shù)據(jù)已固定的條件下聯(lián)接互聯(lián)網(wǎng)，運用相關(guān)查驗軟件下載相關(guān)數(shù)據(jù)，或選用照相、錄像方法固定相關(guān)數(shù)據(jù)，生成查驗陳說”，這兒明確指出手機取證其實存在著兩個進程，當針對手機機身進行數(shù)據(jù)提取時，手機充當了區(qū)別方針（即檢材）的人物，當針對云端數(shù)據(jù)進行數(shù)據(jù)獲取時，手機此刻充當了區(qū)別東西的人物。
惋惜的是，許多區(qū)別人員在實踐操作時，往往運用軟件一起履行機身數(shù)據(jù)提取和云端數(shù)據(jù)下載，而忽視了《規(guī)范》中一個重要的限定詞——若需。
四、電子數(shù)據(jù)送檢、保管環(huán)節(jié)存在不一起風險
筆者在輔佐檢察官檢查電子數(shù)據(jù)作業(yè)中，常常發(fā)現(xiàn)一些的程度不同的問題，其間在電子數(shù)據(jù)保管、送檢環(huán)節(jié)產(chǎn)生的風險需求引起高度重視。
案例一：某地偵查機關(guān)托付司法區(qū)別組織對一起“黑客”案件的涉案筆記本電腦進行區(qū)別，托付書掛號的筆記本電腦序列號與扣押清單中的序列號不一起。
案例二：某地偵查機關(guān)通過勘驗的方法，固定了一起網(wǎng)絡(luò)傳銷組織的電子數(shù)據(jù)。托付司法區(qū)別組織區(qū)別時，勘驗得到的電子數(shù)據(jù)與送檢電子數(shù)據(jù)的哈希值不同。
案例三：某地偵查機關(guān)處理一起強奸案件，移送檢查申述后，可以證明嫌疑人與被害人之間具有親密聯(lián)絡(luò)的手機中，存儲芯片杳無音信。
案例四：某地偵查機關(guān)處理一起不合法吸納群眾存款案件，在移送檢查的材猜中，檢查發(fā)現(xiàn)扣押的物品相片色彩差異巨大。經(jīng)核實，一個重要的根據(jù)優(yōu)盤在保管進程中丟掉，有關(guān)人員為逃避責任，新購一個同品牌類型的優(yōu)盤替代了原始根據(jù)優(yōu)盤。
堅持根據(jù)的原始性是刑事訴訟中很重要的一項使命。上述案例一和案例二抉擇了該根據(jù)能否進入該案件的根據(jù)門檻，案例三和案例四則潛藏著有關(guān)人員故意違法或許重大過失行為。上述四個案例均存在根據(jù)開裂的實踐風險，那么接下來的法庭審理中，檢察機關(guān)將不可避免的面對被迫。假定律師聘請了資深專家團隊并提出合理置疑，輕則帶來案件反復(fù)，重則作出無罪判決，那將是司法難以承受之重。
五、重區(qū)別輕取證的司法辦案理念急需改動
2013年修訂后刑訴法實施以來，電子數(shù)據(jù)成了法定根據(jù)方法。此次修法還有一個更大的改變，“區(qū)別結(jié)論”改為了“區(qū)別定見”，這是司法實踐范疇的一次重要調(diào)整。
但是，寬廣司法人員期望通過區(qū)別招認某些專門問題，乃至抵達一錘定音的主見還沒有得到有用消除，換句話說，司法人員對“區(qū)別結(jié)論”的依托并沒有及時得到調(diào)整。在電子數(shù)據(jù)的問題上，這一點特別明顯。偵查機關(guān)通過現(xiàn)場勘驗獲取的電子數(shù)據(jù)、通過第三方調(diào)取的電子數(shù)據(jù)、通過實施檢查等技術(shù)方法得到的電子數(shù)據(jù)……，這些都是電子數(shù)據(jù)，都現(xiàn)已是法定的根據(jù)方法。但有些檢察人員對偵查部分兢兢業(yè)業(yè)獲取的電子數(shù)據(jù)不做詳查、不做分析，有的聽之任之，有的乃至要求辦案部分去做個區(qū)別。在所謂“舊理念”的指導(dǎo)下，有些區(qū)別定見不倫不類。
案例：某地偵查機關(guān)處理一起網(wǎng)絡(luò)傳銷案件，根據(jù)有關(guān)辦案人員的要求，區(qū)別組織出具了“該組織作業(yè)方法符合傳銷組織特征”的區(qū)別定見。
在這個案例中，司法區(qū)別組織依然越權(quán)做出了“規(guī)矩判別”，但清楚清楚，這兒面包含著一種差錯的傾向，有關(guān)辦案人員依然期望通過司法區(qū)別的方法對有關(guān)規(guī)矩問題進行招認。
六、信息加密成為捆綁電子數(shù)據(jù)取證和區(qū)別的一道門檻
暗碼破解一直是電子數(shù)據(jù)恢復(fù)取證和區(qū)別中需求面對的問題。信息加密技術(shù)在為用戶供給數(shù)據(jù)安全的一起，也對電子數(shù)據(jù)取證人員提出了更高的要求。從BIOS暗碼、操作系統(tǒng)用戶暗碼到Android全盤加密、文件級加密再到iOS加密，電子數(shù)據(jù)取證面對著越來越高的取證門檻。下面對其時常見的信息加密方法進行介紹，并將其對電子數(shù)據(jù)取證的影響進行闡明。
難點一：BitLocker是內(nèi)置于WindowsVista及其之后系統(tǒng)的全盤加密功用，通過對磁盤卷進行加密來保護數(shù)據(jù)。它運用128位或256位密鑰的AES加密算法加密數(shù)據(jù)，加密強度很高。
其時破解Bitlocker的技術(shù)除了通過社會工程學(xué)等方法直接獲取暗碼外，首要有以下方法：一是通過對BitLocker加密設(shè)備的內(nèi)存或Windows休眠文件進行提取，在其間查找Bitlocker密鑰，二是在獲取用戶的微軟賬戶和暗碼后通過微軟賬戶查詢BitLocker恢復(fù)密鑰，三是運用Bitlocker運用固態(tài)硬盤進行硬件加密的縫隙，從固態(tài)硬盤中獲取Bitlocker密鑰。上述方法在實踐中都有必定的局限性，導(dǎo)致對Bitlocker加密卷的破解成功率無法保證。
難點二：Android在4.4版中引入了全盤加密（FDE），并在5.0中對全盤加密功用進行了優(yōu)化。全盤加密是運用密鑰（密鑰自身也通過加密）對Android設(shè)備上的全部用戶數(shù)據(jù)進行編碼的進程。設(shè)備通過加密后，全部由用戶創(chuàng)立的數(shù)據(jù)在存入磁盤之前都會自動加密，并且全部讀取操作都會在將數(shù)據(jù)回來給調(diào)用進程之前自動解密數(shù)據(jù)。
Android7.0及更高版別支撐文件級加密（FBE）。選用文件級加密時，可以運用不同的密鑰對不同的文件進行加密，并且可以對加密文件進行單獨解密。文件級加密會對文件名和文件內(nèi)容進行加密。
關(guān)于Android系統(tǒng)加密，除了獲取暗碼或運用指紋、人臉辨認解鎖外，首要是通過屏蔽鎖屏暗碼和暴力破解的方法進行解密。其間暴力破解的方法因為速度捆綁（系統(tǒng)運算才能和Gatekeeper懇求次數(shù)捆綁），導(dǎo)致不知道原暗碼情況下破解時長無法控制。
難點三：從iPhone3GS開始，蘋果運用硬件對iOS設(shè)備進行數(shù)據(jù)加密，這被稱為數(shù)據(jù)保護（DataProtection）。重要的iOS系統(tǒng)運用，比方信息、郵件、日歷、通訊錄、相片和健康數(shù)據(jù)會默許被數(shù)據(jù)保護加密。而從iOS7開始，第三方運用數(shù)據(jù)也會自動被數(shù)據(jù)保護加密。iOS設(shè)備的硬件加密方法導(dǎo)致直接對芯片進行提取數(shù)據(jù)后無法進行解密。
其時可行的iOS提取方法只需通過獲取或破解iOS鎖屏暗碼來處理，首要方法包含：通過Lockdown文件繞過鎖屏暗碼進行提??；通過硬件對暗碼進行暴力破解；通過指紋或人臉辨認解鎖。上述方法在實踐查驗中有著各種捆綁，Lockdown文件不用定可以找到，即使找到也有或許現(xiàn)已過期無法運用；暴力破解或許有iOS版別捆綁，或許為商業(yè)技術(shù)，本錢高昂。
七、數(shù)據(jù)恢復(fù)實踐面對應(yīng)戰(zhàn)
電子數(shù)據(jù)取證和司法區(qū)別中的數(shù)據(jù)恢復(fù)，是指通過軟件東西對檢材（樣本）進行數(shù)據(jù)恢復(fù)操作的進程。刪去電子數(shù)據(jù)文件時，操作系統(tǒng)只對文件系統(tǒng)中被刪去文件的記載項進行修正，其真實的數(shù)據(jù)區(qū)域并不會被直接修正，而是做為未分配空間供后續(xù)運用。換句話說，數(shù)據(jù)恢復(fù)的條件是，刪去的數(shù)據(jù)未被修正。
跟著存儲技術(shù)的開展，新式存儲設(shè)備開始呈現(xiàn)。固態(tài)硬盤因其低功耗、高讀寫速度、無噪音、體積小等長處，跟著價格的下降運用者越來越多。但固態(tài)硬盤與傳統(tǒng)機械硬盤在存儲原理、方法上有著根柢不同，對電子數(shù)據(jù)取證中的電子數(shù)據(jù)恢復(fù)作業(yè)造成了很大影響。與機械硬盤次第寫入遭到塊碎片和壞扇區(qū)的影響，機械硬盤并不完全是次第存儲。不同，固態(tài)硬盤不運用次第寫入。在固態(tài)硬盤中，數(shù)據(jù)會被分紅不同的數(shù)據(jù)塊，一起寫入到不同的NAND存儲芯片中，這種平行寫入的方法使固態(tài)硬盤的寫入速度遠高于機械硬盤。
即使是單NAND存儲芯片的固態(tài)硬盤也不會運用次第寫入的方法存儲數(shù)據(jù)[或許只需全新的，從未寫入過數(shù)據(jù)的固態(tài)硬盤會運用次第存儲的方法]。存儲芯片中每個塊對應(yīng)的邏輯地址LBA都是動態(tài)分配的，便于主控進行損耗平衡。這導(dǎo)致了從NAND存儲芯片中直接讀取到的數(shù)據(jù)就好像拼圖相同，將數(shù)據(jù)打散成碎片后隨意的組合在一起。假定沒有固態(tài)硬盤主控的協(xié)助，想要通過芯片提取的方法恢復(fù)一個文件是十分困難的。
除了數(shù)據(jù)存儲方法的不同之外，固態(tài)硬盤還設(shè)置了后臺廢物收回機制。當刪去存儲在固態(tài)硬盤上的文件時，操作系統(tǒng)會履行trim指令，以奉告固態(tài)硬盤該文件將不會再被運用。只需處于通電情況，固態(tài)硬盤就會建議后臺的廢物收回機制，擦除現(xiàn)已trim的數(shù)據(jù)塊。即使運用只讀接口聯(lián)接固態(tài)硬盤也無法阻擋這一進程，這導(dǎo)致了固態(tài)硬盤上刪去數(shù)據(jù)的恢復(fù)變得十分困難。
當然實踐情況或許會有所不同。假定操作系統(tǒng)、固態(tài)硬盤（或許閃存存儲器）以及它們之間的傳輸協(xié)議中有不支撐trim的部分，那么trim以及后續(xù)的廢物收回機制將無法運作，使得情況或許有所好轉(zhuǎn)。但因為NAND存儲芯片寫入和擦除大小不同等問題，使得trim成為了固態(tài)硬盤全部必要的一部分，因而未來關(guān)于固態(tài)硬盤的數(shù)據(jù)恢復(fù)形勢依然并不豁達。
機械硬盤數(shù)據(jù)恢復(fù)未來的情況也并非一片光亮。跟著疊瓦式磁記載技術(shù)（ShingledMagneticRecording）的運用，機械硬盤也面對著和NAND存儲芯片相同的問題。其時商場上現(xiàn)已呈現(xiàn)了支撐trim指令的運用疊瓦式磁記載技術(shù)的機械硬盤，關(guān)于這種硬盤進行數(shù)據(jù)恢復(fù)也將會面對著固態(tài)硬盤相同的問題。
八、海量電子數(shù)據(jù)的處理陷入困境
海量電子數(shù)據(jù)的運用，是其時司法實踐中不得不考慮的重要問題。涉案電子數(shù)據(jù)載體數(shù)量爆發(fā)式添加，單個載體的數(shù)據(jù)容量爆發(fā)式添加，這兩個要素導(dǎo)致在任何一個案件中，都或許收集到海量的電子數(shù)據(jù)恢復(fù)。
案例一：某地偵查機關(guān)在處理一起不合法集資案件中，查封扣押涉案電腦200余臺，從阿里云空間勘驗數(shù)據(jù)40TB。如此規(guī)模的電子數(shù)據(jù)，給有關(guān)部分運用根據(jù)帶來巨大壓力。
案例二：某地偵查機關(guān)處理一起網(wǎng)絡(luò)電信詐騙案件，經(jīng)核實僅招認了1名受害者。移送檢查申述后，在技術(shù)人員的輔佐下，從100余萬條微信記載中，追加招認了70余名受害者以及相應(yīng)的轉(zhuǎn)賬記載。其間的排查作業(yè)量相當大。
海量電子數(shù)據(jù)是一個比較無缺的虛擬空間，是另一種方法的“違法現(xiàn)場”。該“違法現(xiàn)場”給深挖違法供給了寬廣空間，卻也帶來了許多技術(shù)處理上的應(yīng)戰(zhàn)。假定說案例一僅僅是技術(shù)人員數(shù)量上的捉襟見肘，案例二則對海量數(shù)據(jù)的分析作業(yè)提出了更高的要求。實踐上，公檢法機關(guān)現(xiàn)有的技術(shù)力氣根柢無法應(yīng)對海量電子數(shù)據(jù)，具有老到數(shù)據(jù)分析技術(shù)的人員更是嚴峻短少。此外，符合實踐的海量數(shù)據(jù)處理東西也是一個嚴峻的短板。
到現(xiàn)在，針對海量電子數(shù)據(jù)恢復(fù)的處理，依然沒有很好的處理方法。
關(guān)注神州，了解更多