事后電子數(shù)據(jù)證據(jù)第三方保全方法芻議

1、北京私家偵探 事后電子數(shù)據(jù)證據(jù)第三方保全方法芻議一、電子數(shù)據(jù)證據(jù)第三方保全方法的科學(xué)理解 對于電子數(shù)據(jù)證據(jù)第三方保全的方法，可以分為事前的電子數(shù)據(jù)證據(jù)第三方保全與事后的電子數(shù)據(jù)證據(jù)第三方保全。事前的電子數(shù)據(jù)證據(jù)第三方保全是指在行為或事件發(fā)生以前向?qū)ｉT的電子數(shù)據(jù)證據(jù)保全機構(gòu)申請電子數(shù)據(jù)證據(jù)第三方保全，將電子數(shù)據(jù)證據(jù)中的事實信息及審計信息固定下來，以備日后糾紛產(chǎn)生時起到定紛止?fàn)幍淖饔?。事后的電子?shù)據(jù)證據(jù)第三方保全主要是指在行為或事件發(fā)生以后，根據(jù)當(dāng)事人申請或法院委托，專門的電子數(shù)據(jù)證據(jù)保全機構(gòu)對產(chǎn)生糾紛的電子數(shù)據(jù)證據(jù)進行第三方保全。專門的電子數(shù)據(jù)證據(jù)保全機構(gòu)對事后的電子數(shù)據(jù)證據(jù)第三方保全

2、一般是采用以下兩大類方法：一是傳統(tǒng)意義上的同一比對法。這種保全方法的基本原理在于將所獲取的電子數(shù)據(jù)證據(jù)中的電子信息與其源信息進行同一性比對、核實，從而得出該電子數(shù)據(jù)證據(jù)信息是否客觀真實的結(jié)論。例如將所收集到的電子郵件信息與發(fā)件端計算機中的電子郵件信息進行比對。二是通過審計信息確認(rèn)電子數(shù)據(jù)證據(jù)中事實信息客觀真實性的保全方法。這種方法的基本原理是通過檢查、核實與該待證事實信息相關(guān)的其他電子信息來確認(rèn)該待證事實信息的客觀真實。例如通過檢查電子郵件信息的郵件頭、電子郵件所通過的郵件服務(wù)器、計算機的日志文件等來確認(rèn)該電子郵件是否損壞或者經(jīng)過篡改。 二、事后電子數(shù)據(jù)證據(jù)第三方保全的方法 

3、;與事前保全不同，這里的事后保全是指事件或者行為發(fā)生了以后，為證明這些已存在的事實而進行審查、確認(rèn)并固定、保存證據(jù)。簡言之，證據(jù)的事前保全是在待證事實發(fā)生或者存在的同時或更早，及時地將能夠證明這些事實的證據(jù)固定、保存下來。而電子數(shù)據(jù)證據(jù)的事后保全，則是待證事實發(fā)生或者存在以后，對能夠證明該待證事實的證據(jù)進行的證據(jù)保全。 （一）同一比對法 筆者認(rèn)為，事后保全的主要方法應(yīng)當(dāng)是同一比對法。所謂同一比對，是指具有專門知識的人或者熟悉客體物的某些特征的人，在研究與比較先后出現(xiàn)的兩個反映形象特征的基礎(chǔ)上，對其是否出自同一個或者是否原屬同一個整體物所作出的判斷。同一比對的科學(xué)基礎(chǔ)包括：客

4、體物的物質(zhì)性和反映性；客體物的特征的共同性與客體物的本質(zhì)的特殊性；客體物的可變性與穩(wěn)定性。進行同一比對需要具備以下三個條件：（1）客體物的特性必須具備相對穩(wěn)定性；（2）客體物的特性必須得到較好的反映；（3）對客體物的特征必須有較高的認(rèn)識水平。 電子數(shù)據(jù)證據(jù)第三方保全可以采用同一比對的方法。這是由于網(wǎng)絡(luò)證據(jù)已經(jīng)具備了同一比對的各項條件：第一，由電子信息傳輸?shù)膹V泛性可知，任何電子信息都不可能只存在于單個的載體之上，而在傳輸、轉(zhuǎn)移的過程中所涉及到的信息載體上均會留下此電子信息的傳輸、轉(zhuǎn)移的行為信息，這就為同一比對提供了現(xiàn)實的可能性。第二，電子信息經(jīng)過傳輸、轉(zhuǎn)移后一般不會被徹底刪除，即使被進

5、行了刪除操作，只要沒有被其他數(shù)據(jù)所覆蓋，也可以通過專業(yè)的數(shù)據(jù)恢復(fù)軟件或數(shù)據(jù)恢復(fù)技術(shù)將其還原。所以，這也為同一比對提供了可能性。第三，電子信息都是以二進制代碼的形式存在于載體之上的，借助相關(guān)的軟件或硬件，電子信息能夠直觀地呈現(xiàn)在人們面前。第四，電子數(shù)據(jù)證據(jù)第三方保全的主體都是依法成立的專業(yè)的保全機構(gòu)，配備有先進的設(shè)備以及精通相關(guān)專業(yè)知識及保全業(yè)務(wù)的專業(yè)人員，可以保證對電子數(shù)據(jù)證據(jù)及其事實信息和審計信息進行正確的分析與鑒別。 電子數(shù)據(jù)證據(jù)第三方保全的同一比對的方法實施起來主要可以分為以下幾個大的步驟： （1）比對前所做的準(zhǔn)備工作。大致包括熟悉相關(guān)情況、查驗比對材料、了解比對要求

6、、擬定比對計劃、準(zhǔn)備比對設(shè)備等。 （2）分別比對。通過對各分組數(shù)據(jù)信息進行檢驗，確定它們分別所反映的一般特征與特定特征，以此來確定各個分組數(shù)據(jù)的特性。 （3）比較比對。在分別比對的基礎(chǔ)上，通過對各分組數(shù)據(jù)信息進行比較與研究，識別它們之間的相同點與差異點。比較的方法通常有以下三種：特征接合法、特征重疊法和特征對照法。 （4）綜合評判。綜合評判是同一比對的最為關(guān)鍵的階段，其目的就是要對在比較比對中出現(xiàn)的接合點與差異點進行科學(xué)的分析、判斷，并在分析、判斷的基礎(chǔ)上，對每個信息載體所涉及的信息是否同一給出正確的結(jié)論。 （5）制作電子數(shù)據(jù)證據(jù)第三方保全證書。電子數(shù)據(jù)

7、證據(jù)第三方保全證書是可以表述比對結(jié)論的具有法律效力的文書，應(yīng)當(dāng)認(rèn)真制作。電子數(shù)據(jù)證據(jù)第三方保全證書的正文部分主要包括以下內(nèi)容：緒論、比對、論證以及結(jié)論。 以對電子郵件的同一比對為例，電子郵件可以分別在四個以上的網(wǎng)絡(luò)存儲設(shè)備上存在，分別為發(fā)件人的發(fā)件箱、收件人的收件箱、發(fā)件人與收件人各自的郵件服務(wù)器以及可能存在的中轉(zhuǎn)服務(wù)器上。在進行電子郵件的同一比對時，電子數(shù)據(jù)證據(jù)第三方保全機構(gòu)可以分別通過發(fā)件人、收件人以及雙方的網(wǎng)絡(luò)服務(wù)提供者（ISP商）獲得與待證電子郵件相關(guān)的材料，即電子郵件的事實信息及其審計信息。在對這些數(shù)據(jù)信息逐一進行分別比對和比較比對的基礎(chǔ)上，經(jīng)過綜合評判后，判定該電子郵件是

8、否具有可靠性及客觀真實性，并出具電子數(shù)據(jù)證據(jù)第三方保全證書。 （二）審計信息確認(rèn)法 隨著電子數(shù)據(jù)證據(jù)這一證據(jù)形式的出現(xiàn)，如何對其進行保全已經(jīng)成為證據(jù)保全及正確運用其從事證明活動所面臨的一大難題。根據(jù)目前國內(nèi)外的實踐情況來看，僅依靠傳統(tǒng)的保全方法已不能滿足保全電子數(shù)據(jù)證據(jù)的需要。所以，一些計算機網(wǎng)絡(luò)技術(shù)較為發(fā)達的國家和地區(qū)早已從技術(shù)層面著手，加強各種專業(yè)保全工具的配合使用。由此，審計信息確認(rèn)法便應(yīng)運而生。所謂審計信息確認(rèn)法是指專門的電子數(shù)據(jù)證據(jù)保全機構(gòu)通過其審計信息查明、確認(rèn)能夠證明該電子數(shù)據(jù)證據(jù)及其相關(guān)信息客觀真實性的證據(jù)確認(rèn)方法。例如，通過審查、分析記錄有電子數(shù)據(jù)證據(jù)生成

9、過程的數(shù)據(jù)信息來確認(rèn)電子數(shù)據(jù)證據(jù)及其相關(guān)信息的客觀真實性。 要保證電子數(shù)據(jù)證據(jù)中所蘊含的待證事實信息具有可靠性與完整性，不僅應(yīng)采用能夠保證電子信息提取過程中信息客觀真實的電子數(shù)據(jù)證據(jù)及其事實信息的收集方法，還必須收集確實充分的審計信息以證明所收集到的這些電子數(shù)據(jù)證據(jù)及其相關(guān)信息客觀真實。關(guān)于電子數(shù)據(jù)證據(jù)及其相關(guān)信息的收集，以美國為代表的西方國家已經(jīng)成功研發(fā)出了一些能夠保證收集到的信息客觀真實的專業(yè)的取證工具，例如X-ways、Final Forensics、Encase等等。近幾年來，我國也有類似的取證工具出現(xiàn)，例如BitSure I電子數(shù)據(jù)證據(jù)取證箱。運用這些取證工具可有效保證對存

10、儲介質(zhì)上被提取的數(shù)據(jù)進行位對位（Bit-to-Bit）的精確復(fù)制。整個復(fù)制過程中軟件或硬件會對被復(fù)制的原始存儲介質(zhì)進行保護，這樣不會造成數(shù)據(jù)在傳輸過程中原始證據(jù)中的數(shù)據(jù)被修改或者重置；同時，所有的數(shù)據(jù)提取過程均被實時記錄和審計，形成專業(yè)的審計報告存儲于專用的審計設(shè)備中，與其證據(jù)進行唯一性綁定，為電子數(shù)據(jù)調(diào)查與取證的合法性提供重要保障。 專門的電子數(shù)據(jù)證據(jù)保全機構(gòu)通過審計信息確認(rèn)法對電子數(shù)據(jù)證據(jù)進行第三方保全，具體可以包括以下幾個步驟： （1）確認(rèn)準(zhǔn)備工作。電子數(shù)據(jù)證據(jù)保全機構(gòu)應(yīng)熟悉保全對象的相關(guān)情況，備份儲存有待證事實信息的原始載體，了解確認(rèn)要求，擬定確認(rèn)計劃，準(zhǔn)備認(rèn)確認(rèn)工

11、具和設(shè)備等。 （2）確實充分的收集電子數(shù)據(jù)證據(jù)的審計信息。例如，通過BitSure I電子數(shù)據(jù)證據(jù)取證箱在收集電子信息的同時收集這些電子信息的審計信息。具體操作時，對被復(fù)制的原始電子數(shù)據(jù)證據(jù)存儲介質(zhì)中的數(shù)據(jù)以位對位（Bit-to-bit）的方式復(fù)制到目標(biāo)盤（或證據(jù)復(fù)制盤）。同時生成專業(yè)的審計記錄存儲于專用取證審計設(shè)備中，與證據(jù)復(fù)制盤進行綁定，以確保電子數(shù)據(jù)證據(jù)提取過程的唯一性、可重復(fù)性、可驗證性。如果僅需要保全原始電子數(shù)據(jù)證據(jù)存儲介質(zhì)中的部分文件，則可快速瀏覽存儲介質(zhì)中的文件及目錄列表，對指定文件和目錄單獨進行證據(jù)提取，同時生成審計記錄，存儲于專用取證審計設(shè)備中，與證據(jù)復(fù)制盤進行綁定。 （3）將審計信息與電子數(shù)據(jù)證據(jù)及其信息進行校驗。例如，對通過BitSure I取證箱收集得到的電子數(shù)據(jù)證據(jù)，依據(jù)與證據(jù)復(fù)制盤綁定的審計設(shè)備里存儲的審計記錄可以對復(fù)制的證據(jù)進行校驗，驗證復(fù)制證據(jù)中的待證事實信息是否被篡改甚至破壞。依據(jù)審計設(shè)備里存儲的審計記錄，系統(tǒng)在無人工干預(yù)的情形下，自動重現(xiàn)當(dāng)初證據(jù)的提取過程，從而驗證取證結(jié)果是否正確。 （4）通過審計信息對證據(jù)及其信息的驗證過程，制作電子數(shù)據(jù)證據(jù)第三方保全證書。電子數(shù)據(jù)證據(jù)第三方保全證書正文的內(nèi)容主要包括：緒論、證據(jù)提取、證據(jù)生成、證據(jù)校驗以及結(jié)論。 （