淺論電子取證的方法

淺論電子取證的方法電子證據(jù)，是指由計算機(jī)設(shè)備儲存的，經(jīng)法定程序作為證據(jù)收集固定的數(shù)據(jù)信息。電子證據(jù)，除具備一般證據(jù)屬性外，還具有多重性、可修改性、可滅失性和技術(shù)性特點。隨著計算機(jī)被廣泛應(yīng)用，計算機(jī)存儲設(shè)備所儲存的數(shù)據(jù)信息已逐漸成為訴訟證據(jù)的一個重要來源，在取證工作中，如何搞好電子證據(jù)的收集、固定工作就成為迫在眉睫的主要問題。一、電子證據(jù)的重要性及取證的要求電子證據(jù)，除具備一般證據(jù)的客觀性和合法性外，還有以下幾個特點：1、證據(jù)屬性的多重性。由計算機(jī)提供的電子證據(jù)具有視聽資料、書證、物證等多重證據(jù)意義。電子證據(jù)的視聽資料意義，是指電子證據(jù)能夠通過計算機(jī)輸出的畫面、聲音來證明案件事實，例如：影視畫面可以證明歷史現(xiàn)場情況，聲音則可以證明誰在什么場合說了什么話等;電子證據(jù)的書證意義，是指電子證據(jù)能夠通過計算機(jī)輸出的文字、數(shù)字及符號的內(nèi)容來證明案件事實，例如：電子書信、軟件、電算化資料等;電子證據(jù)的物證意義，是指電子證據(jù)能夠以其被儲存的位置、方式以及載體的外觀形象來證明案件事實，例如：電子證據(jù)被儲存在不同文件夾中，可以證明存儲者對計算機(jī)文件的理解、使用意圖，電子證據(jù)被儲存在計算機(jī)硬盤中或是被儲存在軟盤、光盤、磁帶中將會證明這一證據(jù)文件的是否被拷貝等事實，軟盤、光盤等電子證據(jù)載體的外觀形象，可以證明其是否受到物理破壞的事實。電子證據(jù)屬性的多樣性，要求取證人員在收集電子證據(jù)時，要注意到電子證據(jù)的不同證據(jù)意義。在固定電子證據(jù)時，應(yīng)當(dāng)根據(jù)案件偵查需要及電子證據(jù)的用途，采取相應(yīng)的證據(jù)固定方法，例如：僅需要電子證據(jù)的書證意義時，只將電子文件打印成書面文件即可;而如果需要其視聽資料意義時，則應(yīng)當(dāng)采用拷貝、拍攝等方法進(jìn)行固定。2、證據(jù)內(nèi)容的可修改性。計算機(jī)儲存的信息是可以被修改的。電子證據(jù)可修改性有兩層含義：一是，數(shù)據(jù)信息在被作為證據(jù)固定前可能已被修改，因而當(dāng)其被作為證據(jù)固定時，其內(nèi)容已發(fā)生變化，造成所取證據(jù)的失真;二是，采用拷貝方式收集的電子證據(jù)，從證據(jù)固定到使用的過程中，也可以被修改，造成其在被使用時的內(nèi)容與原證據(jù)內(nèi)容不符。同時，實踐中由于存在著后一種可修改性，在庭示證據(jù)時辯方會就證據(jù)是否被修改提出質(zhì)疑，而控方如提不出未進(jìn)行修改的證據(jù)，則法庭會不采信該證據(jù)。電子證據(jù)內(nèi)容的可修改性，要求取證人員在收集和固定電子證據(jù)時，一是要注意收集和固定有關(guān)數(shù)據(jù)信息形成時間方面的證據(jù)，如計算機(jī)中有關(guān)該文件形成時間的記錄，與其他有關(guān)該信息形成時間的證據(jù)進(jìn)行比較，確認(rèn)該數(shù)據(jù)信息是否被修改過;二是注意對電子證據(jù)內(nèi)容的現(xiàn)場固定，如通過現(xiàn)場錄像、現(xiàn)場打印等方式進(jìn)行可視性固定。另外，電子證據(jù)被作為視聽資料使用前，檢察人員應(yīng)當(dāng)括檢查時間、檢查地點及檢查順序等。④檢查中出現(xiàn)的問題及解決方法。⑤取證方式及取證份數(shù)。⑥參與檢查的人員簽名。⑦提供電子證據(jù)人員簽名。(二)電子證據(jù)的復(fù)雜取證。如有需要專業(yè)技術(shù)人員協(xié)助進(jìn)行的電子證據(jù)的收集和固定活動就是復(fù)雜取證。對涉及計算機(jī)使用、維護(hù)人員的犯罪案件，就應(yīng)當(dāng)采取復(fù)雜取證程序收集和固定電子證據(jù)。1、現(xiàn)場檢查與現(xiàn)場訪問，首先由計算機(jī)專家檢查硬件設(shè)備，切斷可能存在的其他輸入、輸出設(shè)備，保證計算機(jī)儲存的信息在取證過程中不被修改或損毀。與此同時，偵查人員應(yīng)當(dāng)詢問計算機(jī)使用或維護(hù)人員下列問題：⑴有無為計算機(jī)設(shè)置密碼及密碼的組成。⑵計算機(jī)的軟件情況：①已使用的軟件有哪些;②軟件的來源，如軟件是購買的還是自行設(shè)計的等;③軟件的維護(hù)情況，例如：由誰負(fù)責(zé)軟件的維護(hù)、調(diào)整，對軟件作過哪些修改等。⑶計算機(jī)的使用情況：①如何進(jìn)行計算機(jī)的日常管理;②誰能夠打開并使用計算機(jī);③計算機(jī)是否出現(xiàn)過影響或可能影響文件質(zhì)量的故障(如病毒感染等)，故障是如何解決的。⑷案件所涉及的資料存放于存儲設(shè)備的什么位置，有無備份。對計算機(jī)使用者拒絕提供密碼的情形，可考慮由計算機(jī)專家解密，但由于解密工作可能會對計算機(jī)儲存的資料造成損害，因而在做出這一決定時，應(yīng)當(dāng)十分慎重。檢查計算機(jī)文件時，計算機(jī)專家應(yīng)當(dāng)注意對隱蔽文件的查找。有備份的，應(yīng)由計算機(jī)專家同時檢查備份文件，查明備份文件與原文件是否一致。2、提取證據(jù)按照前述方法打印和拷貝計算機(jī)文件，固定電子證據(jù)。如發(fā)現(xiàn)在備份文件與原文件不一致時，應(yīng)當(dāng)同時提取備份文件。3、電子證據(jù)內(nèi)容涉及電算化資料的，應(yīng)當(dāng)由會計專家對提取的資料進(jìn)行現(xiàn)場驗證。驗證中如發(fā)現(xiàn)可能與軟件設(shè)計或軟件使用有關(guān)的問題時，應(yīng)當(dāng)由會計專家現(xiàn)場對電算化軟件進(jìn)行數(shù)據(jù)測試(偵查實驗)。經(jīng)測試確認(rèn)軟件有問題時，則由計算機(jī)專家對軟件進(jìn)行檢查或提取固定。4、制作檢查筆錄除前述檢查筆錄的內(nèi)容外，對解密、數(shù)據(jù)測試等過程也應(yīng)當(dāng)作出詳細(xì)的記錄。5、對復(fù)雜取證過程中可能會遇到的問題，在檢查前應(yīng)當(dāng)有所預(yù)測，并制定相應(yīng)的處置方案。例如：①考慮到計算機(jī)操作人員可能不提供密碼，計算機(jī)專家應(yīng)當(dāng)攜帶解密工具;②對可能需要進(jìn)行數(shù)據(jù)測試的，司法會計專家應(yīng)當(dāng)攜帶事先制作的測試文件。③必要時，可以指派視聽技術(shù)人員對取證及軟件測試過程進(jìn)行錄像。三、電子證據(jù)收集與固定工作任重道遠(yuǎn)配備電子證據(jù)專業(yè)技術(shù)人員以便進(jìn)行全面的取證工作。專業(yè)技術(shù)人員成員應(yīng)當(dāng)由通曉硬件和軟件計算機(jī)人員、熟悉電算化程序的司法會計專家、熟悉計算機(jī)作案手段的偵查、公訴人員組成。制定電子證據(jù)的取證制度。電子證據(jù)的特點，決定了電子證據(jù)的收集、固定和使用工作的特殊性。因此，有必要建立電子證據(jù)的取證制度，以規(guī)范電子證據(jù)的收集、固定活動，使辦案人員能夠及時有效的收集到電子證據(jù)，也為電子證據(jù)的在法庭上的合法使用提供依據(jù)。注重對電子證據(jù)專業(yè)技術(shù)人員的培養(yǎng)。電子證據(jù)所涉及的技術(shù)是不斷發(fā)展的，相關(guān)取證人員都需要不斷學(xué)習(xí)、研究和掌握新的技術(shù)方法;雖