0
說到取證，你會(huì)想起什么？
法醫(yī)穿著防護(hù)服，帶著白手套，面色凝重到達(dá)案發(fā)現(xiàn)場↑↑↑
拿著鑷子等專業(yè)工具進(jìn)行指紋、血液、體液等物證的提?。俊?/p>
其實(shí)，真實(shí)的取證現(xiàn)場可能是這樣的↓↓↓
▲丁麗萍提供的電子取證現(xiàn)場照片
而用到的工具可能是這樣的↓↓↓ 
今天，雷鋒網(wǎng)的編輯就跟大家聊一聊跟我們的生活越來越密切的電子數(shù)據(jù)的取證。
想要知道這個(gè)問題的答案，不如先來回答幾個(gè)問題。
你身邊是否有人卷入過P2P金融詐騙？（比如非法集資買房之類的）
你是接到過掌握你部分信息的陌生電話？（請問有貸款的需要么？最近考慮裝修么？保險(xiǎn)您考慮么？）
你是否遇到過擔(dān)心孩子在網(wǎng)上看色情信息的父母？
……
這也涉及到電子數(shù)據(jù)取證？
千真萬確！
現(xiàn)在每個(gè)人手里至少有一臺(tái)智能手機(jī)，工作中我們也離不開網(wǎng)絡(luò)、電腦這些電子設(shè)備，所以現(xiàn)在幾乎每一個(gè)案子都會(huì)涉及到電子證據(jù)。抓到嫌疑人后，首先就要沒收嫌疑人的手機(jī)、電腦，然后提取相關(guān)的數(shù)據(jù)。
來自中國科學(xué)院軟件研究所的研究員丁麗萍，被業(yè)內(nèi)人士稱為電子取證界的“女神”，由她牽頭組建的廣州中國科學(xué)院軟件應(yīng)用技術(shù)研究所電子數(shù)據(jù)取證實(shí)驗(yàn)室及廣東中科司法鑒定所，就曾對一部涉及公民信息泄露的大案做過電子數(shù)據(jù)取證，最終得以將罪犯繩之以法。
▲這就是女神本人，最近你可能在ISC上見到她的真人喲~
在2·17侵犯公民個(gè)人信息的案子中，我們發(fā)現(xiàn)被倒賣的公民個(gè)人信息涉及戶籍、銀行、地理定位、住宿、航空鐵路、運(yùn)營商、打車、外賣等等，嫌疑人是通過QQ、微信等渠道聯(lián)絡(luò)倒賣公民個(gè)人信息，獲得非法收益，這其中上下家的關(guān)系很復(fù)雜，而且是經(jīng)多次轉(zhuǎn)手倒賣，涉及的人員很多，比如公職人員和一些運(yùn)營商高管等，如何對他們所做的事情進(jìn)行取證，難度挺大的。
丁麗萍所說的案件其實(shí)跟我們的生活息息相關(guān)，叫車、定外賣、訂機(jī)票……這些我們?nèi)粘Ｉ钪械男畔?，這么輕易就可以被泄露，如果一個(gè)不懷好意的人知道你所有的行動(dòng)軌跡，有多恐怖！但在法庭上，如何列出這些人的罪證？如何根據(jù)他們泄露的信息來定罪量刑？這些都需要電子數(shù)據(jù)取證來進(jìn)行。
在鑒定過程中發(fā)現(xiàn)嫌疑人倒賣信息的時(shí)候并不是用文字信息，而是采用圖片、語音等多種方式。如何快速識(shí)別多媒體信息獲取犯罪證據(jù)是需要研究的問題。比如，手機(jī)數(shù)據(jù)提取出來之后，如何把所有圖片進(jìn)行整理，并自動(dòng)識(shí)別圖片內(nèi)容進(jìn)行分類匯總等等。再比如，如何root高版本的安卓手機(jī)把數(shù)據(jù)提取出來，如何恢復(fù)刪除數(shù)據(jù)，如何破解密碼，都是是電子數(shù)據(jù)取證面臨的問題。
很多人第一次聽說電子數(shù)據(jù)取證，來自于一款宅男必備的播放軟件“快播”，用戶量一度達(dá)到了驚人的4億~~~
據(jù)雷鋒網(wǎng)了解，其背后的公司“深圳市快播科技有限公司”成立于2007，經(jīng)過短短幾年的發(fā)展，到2014年的時(shí)候，快播播放器在當(dāng)時(shí)就憑4億用戶在全國市場占有量躍居第一！
被這么多用戶使用的播放器，其平臺(tái)上竟然有大量的淫穢色情內(nèi)容，其造成的惡劣影響可想而知。
在討論快播到底有罪還是無罪之前，我們先來看看那快播這款播放器的技術(shù)原理。
快播軟件是一款利用p2p技術(shù)進(jìn)行視頻傳輸?shù)能浖?。所謂p2p是peer to peer的縮寫，可以理解為“伙伴對伙伴”的意思，簡單來說，就是在互聯(lián)網(wǎng)上，千萬臺(tái)彼此連接的每一臺(tái)計(jì)算機(jī)既能充當(dāng)網(wǎng)絡(luò)的請求者，又能對其他計(jì)算機(jī)的請求做出響應(yīng)，提供資源和服務(wù)。
這種計(jì)算機(jī)模式的好處在哪里呢？
這樣可以充分利用了每一臺(tái)計(jì)算機(jī)帶寬和和資源！比如你要在快播上搜某個(gè)片子，后臺(tái)就會(huì)把你的請求同時(shí)發(fā)給網(wǎng)絡(luò)上另外10臺(tái)個(gè)人電腦。
如果你的搜索請求還未得到滿足，這10臺(tái)電腦中的每一臺(tái)都會(huì)把該搜索請求轉(zhuǎn)發(fā)給另外10臺(tái)電腦，這樣，搜索范圍將以幾何級數(shù)增長，幾分鐘內(nèi)就可搜遍幾百外臺(tái)電腦上的信息資源。
是不是很牛氣？
普通用戶通過快播平臺(tái)相互連接，形成一個(gè)可以相互P2P的巨大網(wǎng)絡(luò)?？觳シ?wù)器不再擔(dān)任網(wǎng)站下載中服務(wù)器的角色，它只負(fù)責(zé)將文件目錄索引信息（P2P種子）在普通客戶端之間流轉(zhuǎn)，本身并未存放視頻文件。
這也是為什么快播CEO王欣最先開始在法庭上說“快播無罪，我無罪”的原因之一。
雷鋒網(wǎng)發(fā)現(xiàn)，一些不良網(wǎng)站，正是熟知快播平臺(tái)的工作原理，利用其P2P模式傳播自己的不良視頻信息。
他們將自己的視頻文件制成種子（索引目錄）上傳到快播服務(wù)器，普通用戶搜索到該種子后，就能到不良網(wǎng)站上下載不良視頻，下載完成后，該普通用戶就有可能自覺做種，將種子上傳到快播服務(wù)器，不自覺地成為不良視頻的傳播者。
知曉技術(shù)原理后，我們就可以得出這樣的結(jié)果。
雖然快播平臺(tái)或快播軟件本身不產(chǎn)生視頻文件，也不發(fā)起視頻上傳，但是，快播軟件屬視頻播放工具，是普通用戶之間相互傳輸視頻的載體，為用戶之間的視頻傳輸起到橋梁作用。
這也意味著，快播公司絕不單純是技術(shù)的提供者，“站長”或用戶發(fā)布或點(diǎn)播視頻時(shí)，快播公司的調(diào)度服務(wù)器、緩存服務(wù)器就已經(jīng)參與其中了?？觳ス緲?gòu)建的P2P網(wǎng)絡(luò)平臺(tái)和緩存加速服務(wù)都讓其成為網(wǎng)絡(luò)視頻信息服務(wù)的提供者。
快播公司在提供P2P視頻技術(shù)服務(wù)和緩存技術(shù)服務(wù)時(shí)，雖然客觀上沒有對視頻內(nèi)容進(jìn)行選擇，但當(dāng)其明知自己的P2P視頻技術(shù)服務(wù)被他人利用傳播淫穢視頻，自己的緩存技術(shù)服務(wù)被利用成為大量淫穢視頻的加速傳播工具，自己有義務(wù)、有能力阻止而不阻止時(shí)，快播公司就不可能再獲得技術(shù)中立的責(zé)任豁免。
與傳統(tǒng)取證相比，電子數(shù)據(jù)取證具有易損壞，易修改，易變造等等這樣的特點(diǎn)，這也導(dǎo)致它的真實(shí)性很難保證。你很難確定你拿到的證據(jù)是真的還是假的，所以你現(xiàn)在的電子數(shù)據(jù)取證，從頭開始就要保證它的真實(shí)性，要證明它沒有被篡改過。
在說到電子數(shù)據(jù)取證的特點(diǎn)時(shí)，丁麗萍強(qiáng)調(diào)從開頭就要保證的真實(shí)性。
在快播案中，取證曾有一些瑕疵。
快播案的來源是快播公司受到盜版投訴，北京文化管理部門行政執(zhí)法中查扣了數(shù)臺(tái)快播公司的服務(wù)器。
在此過程中，文化管理部門直接打開服務(wù)器，進(jìn)行轉(zhuǎn)碼播放，發(fā)現(xiàn)有淫穢視頻，再將案件轉(zhuǎn)給海淀公安。
且不說該過程不符刑事偵查程序的要求，公安部門通過技術(shù)人員將服務(wù)器硬盤打開進(jìn)行轉(zhuǎn)碼播放，并由鑒黃師鑒定黃色視頻數(shù)量。上述電子數(shù)據(jù)取證過程不規(guī)范，硬盤數(shù)據(jù)被污染，內(nèi)存易失證據(jù)丟失，導(dǎo)致無法鑒定上述硬盤中的視頻數(shù)據(jù)是否是原始數(shù)據(jù)。
那正規(guī)的操作應(yīng)該是怎樣的呢？
服務(wù)器拿到手里之后應(yīng)該先做鏡像打哈希，這樣才能保證證據(jù)的真實(shí)性。
神馬？啥是鏡像呢？啥又是哈希呢？
鏡像就是逐字節(jié)備份，像克隆一樣，克隆一張硬盤出來。而哈希的簡單解釋就是，哈希(Hash)是一種算法，也叫散列函數(shù)。它是一種單向密碼體制，這種加密算法一般而言具有抗碰撞性，如果硬盤里的數(shù)據(jù)被改過，這個(gè)hash值就變了。而且取證時(shí)生成的這個(gè)hash值要打印出來，經(jīng)兩名以上取證人員簽字確認(rèn)。之后，可以通過校驗(yàn)這個(gè)hash值確認(rèn)硬盤里的數(shù)據(jù)是否被修改過，確認(rèn)還是不是原始的數(shù)據(jù)。
電子證據(jù)的保全現(xiàn)在有了這樣的系統(tǒng)來實(shí)現(xiàn)?！?nbsp;
而在快播案中，開始的存儲(chǔ)介質(zhì)直接接入普通電腦進(jìn)行讀取，造成存儲(chǔ)介質(zhì)被寫入數(shù)據(jù)，造成污染，導(dǎo)致原始哈希值發(fā)生改變，無法確認(rèn)其真實(shí)性，所以辯護(hù)人會(huì)質(zhì)疑取證的不規(guī)范，而后來為何王欣等人的定罪能被坐實(shí)，就得益于后續(xù)專業(yè)的取證。這其中經(jīng)歷的時(shí)間有兩年之長。
對克隆出來的服務(wù)器硬盤的備份（原始介質(zhì)一定要封存）要做完整的分析，提取出證據(jù)。 而視頻數(shù)據(jù)量巨大，要費(fèi)很長的時(shí)間來分析這里面的數(shù)據(jù)到底是不是黃色的，到底有多少，這個(gè)黃色的視頻是怎么怎么上傳，怎么下載的，又是怎么存儲(chǔ)的，這些都必須全面分析。
在電子數(shù)據(jù)進(jìn)行提取分析后，在案扣押的緩存服務(wù)器內(nèi)存儲(chǔ)的內(nèi)容多達(dá)70%為淫穢視頻。更直接的證據(jù)是，執(zhí)法部門在2012年、2013年以各種方式開展了監(jiān)管活動(dòng)并對快播公司未建立信息安全保護(hù)管理制度和過濾淫穢視頻等給予行政處罰警告?？觳ス鞠群髢纱握牡膬?nèi)容都是針對傳播淫穢視頻這一事實(shí)，此時(shí)快播公司的經(jīng)營者、管理者仍然堅(jiān)稱不知情，這難以令人相信。
因此，無論是侵犯公民信息還是傳播淫穢色情音視頻，甚至是普通不過的民事糾紛和組織內(nèi)部管理，都和電子數(shù)據(jù)息息相關(guān)，電子數(shù)據(jù)取證將會(huì)迎來廣闊的發(fā)展空間。
參考信息：
主審法官細(xì)說“快播案”https://mp.weixin.qq.com/s/RgTfgrW8TU4lxL1Y3Dw_fw
快播案P2P技術(shù)分析，法律人你懂嗎？http://mp.weixin.qq.com/s/nZ3078ZZC9xH38pZ5tLI1Q
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
