0
說到取證，你會想起什么？
法醫(yī)穿著防護服，帶著白手套，面色凝重到達案發(fā)現(xiàn)場↑↑↑
拿著鑷子等專業(yè)工具進行指紋、血液、體液等物證的提取？↑↑↑
其實，真實的取證現(xiàn)場可能是這樣的↓↓↓
▲丁麗萍提供的電子取證現(xiàn)場照片
而用到的工具可能是這樣的↓↓↓ 
今天，雷鋒網(wǎng)的編輯就跟大家聊一聊跟我們的生活越來越密切的電子數(shù)據(jù)的取證。
想要知道這個問題的答案，不如先來回答幾個問題。
你身邊是否有人卷入過P2P金融詐騙？（比如非法集資買房之類的）
你是接到過掌握你部分信息的陌生電話？（請問有貸款的需要么？最近考慮裝修么？保險您考慮么？）
你是否遇到過擔心孩子在網(wǎng)上看色情信息的父母？
……
這也涉及到電子數(shù)據(jù)取證？
千真萬確！
現(xiàn)在每個人手里至少有一臺智能手機，工作中我們也離不開網(wǎng)絡、電腦這些電子設備，所以現(xiàn)在幾乎每一個案子都會涉及到電子證據(jù)。抓到嫌疑人后，首先就要沒收嫌疑人的手機、電腦，然后提取相關的數(shù)據(jù)。
來自中國科學院軟件研究所的研究員丁麗萍，被業(yè)內(nèi)人士稱為電子取證界的“女神”，由她牽頭組建的廣州中國科學院軟件應用技術研究所電子數(shù)據(jù)取證實驗室及廣東中科司法鑒定所，就曾對一部涉及公民信息泄露的大案做過電子數(shù)據(jù)取證，最終得以將罪犯繩之以法。
▲這就是女神本人，最近你可能在ISC上見到她的真人喲~
在2·17侵犯公民個人信息的案子中，我們發(fā)現(xiàn)被倒賣的公民個人信息涉及戶籍、銀行、地理定位、住宿、航空鐵路、運營商、打車、外賣等等，嫌疑人是通過QQ、微信等渠道聯(lián)絡倒賣公民個人信息，獲得非法收益，這其中上下家的關系很復雜，而且是經(jīng)多次轉手倒賣，涉及的人員很多，比如公職人員和一些運營商高管等，如何對他們所做的事情進行取證，難度挺大的。
丁麗萍所說的案件其實跟我們的生活息息相關，叫車、定外賣、訂機票……這些我們?nèi)粘Ｉ钪械男畔?，這么輕易就可以被泄露，如果一個不懷好意的人知道你所有的行動軌跡，有多恐怖！但在法庭上，如何列出這些人的罪證？如何根據(jù)他們泄露的信息來定罪量刑？這些都需要電子數(shù)據(jù)取證來進行。
在鑒定過程中發(fā)現(xiàn)嫌疑人倒賣信息的時候并不是用文字信息，而是采用圖片、語音等多種方式。如何快速識別多媒體信息獲取犯罪證據(jù)是需要研究的問題。比如，手機數(shù)據(jù)提取出來之后，如何把所有圖片進行整理，并自動識別圖片內(nèi)容進行分類匯總等等。再比如，如何root高版本的安卓手機把數(shù)據(jù)提取出來，如何恢復刪除數(shù)據(jù)，如何破解密碼，都是是電子數(shù)據(jù)取證面臨的問題。
很多人第一次聽說電子數(shù)據(jù)取證，來自于一款宅男必備的播放軟件“快播”，用戶量一度達到了驚人的4億~~~
據(jù)雷鋒網(wǎng)了解，其背后的公司“深圳市快播科技有限公司”成立于2007，經(jīng)過短短幾年的發(fā)展，到2014年的時候，快播播放器在當時就憑4億用戶在全國市場占有量躍居第一！
被這么多用戶使用的播放器，其平臺上竟然有大量的淫穢色情內(nèi)容，其造成的惡劣影響可想而知。
在討論快播到底有罪還是無罪之前，我們先來看看那快播這款播放器的技術原理。
快播軟件是一款利用p2p技術進行視頻傳輸?shù)能浖Ｋ^p2p是peer to peer的縮寫，可以理解為“伙伴對伙伴”的意思，簡單來說，就是在互聯(lián)網(wǎng)上，千萬臺彼此連接的每一臺計算機既能充當網(wǎng)絡的請求者，又能對其他計算機的請求做出響應，提供資源和服務。
這種計算機模式的好處在哪里呢？
這樣可以充分利用了每一臺計算機帶寬和和資源！比如你要在快播上搜某個片子，后臺就會把你的請求同時發(fā)給網(wǎng)絡上另外10臺個人電腦。
如果你的搜索請求還未得到滿足，這10臺電腦中的每一臺都會把該搜索請求轉發(fā)給另外10臺電腦，這樣，搜索范圍將以幾何級數(shù)增長，幾分鐘內(nèi)就可搜遍幾百外臺電腦上的信息資源。
是不是很牛氣？
普通用戶通過快播平臺相互連接，形成一個可以相互P2P的巨大網(wǎng)絡?？觳シ掌鞑辉贀尉W(wǎng)站下載中服務器的角色，它只負責將文件目錄索引信息（P2P種子）在普通客戶端之間流轉，本身并未存放視頻文件。
這也是為什么快播CEO王欣最先開始在法庭上說“快播無罪，我無罪”的原因之一。
雷鋒網(wǎng)發(fā)現(xiàn)，一些不良網(wǎng)站，正是熟知快播平臺的工作原理，利用其P2P模式傳播自己的不良視頻信息。
他們將自己的視頻文件制成種子（索引目錄）上傳到快播服務器，普通用戶搜索到該種子后，就能到不良網(wǎng)站上下載不良視頻，下載完成后，該普通用戶就有可能自覺做種，將種子上傳到快播服務器，不自覺地成為不良視頻的傳播者。
知曉技術原理后，我們就可以得出這樣的結果。
雖然快播平臺或快播軟件本身不產(chǎn)生視頻文件，也不發(fā)起視頻上傳，但是，快播軟件屬視頻播放工具，是普通用戶之間相互傳輸視頻的載體，為用戶之間的視頻傳輸起到橋梁作用。
這也意味著，快播公司絕不單純是技術的提供者，“站長”或用戶發(fā)布或點播視頻時，快播公司的調(diào)度服務器、緩存服務器就已經(jīng)參與其中了?？觳ス緲嫿ǖ腜2P網(wǎng)絡平臺和緩存加速服務都讓其成為網(wǎng)絡視頻信息服務的提供者。
快播公司在提供P2P視頻技術服務和緩存技術服務時，雖然客觀上沒有對視頻內(nèi)容進行選擇，但當其明知自己的P2P視頻技術服務被他人利用傳播淫穢視頻，自己的緩存技術服務被利用成為大量淫穢視頻的加速傳播工具，自己有義務、有能力阻止而不阻止時，快播公司就不可能再獲得技術中立的責任豁免。
與傳統(tǒng)取證相比，電子數(shù)據(jù)取證具有易損壞，易修改，易變造等等這樣的特點，這也導致它的真實性很難保證。你很難確定你拿到的證據(jù)是真的還是假的，所以你現(xiàn)在的電子數(shù)據(jù)取證，從頭開始就要保證它的真實性，要證明它沒有被篡改過。
在說到電子數(shù)據(jù)取證的特點時，丁麗萍強調(diào)從開頭就要保證的真實性。
在快播案中，取證曾有一些瑕疵。
快播案的來源是快播公司受到盜版投訴，北京文化管理部門行政執(zhí)法中查扣了數(shù)臺快播公司的服務器。
在此過程中，文化管理部門直接打開服務器，進行轉碼播放，發(fā)現(xiàn)有淫穢視頻，再將案件轉給海淀公安。
且不說該過程不符刑事偵查程序的要求，公安部門通過技術人員將服務器硬盤打開進行轉碼播放，并由鑒黃師鑒定黃色視頻數(shù)量。上述電子數(shù)據(jù)取證過程不規(guī)范，硬盤數(shù)據(jù)被污染，內(nèi)存易失證據(jù)丟失，導致無法鑒定上述硬盤中的視頻數(shù)據(jù)是否是原始數(shù)據(jù)。
那正規(guī)的操作應該是怎樣的呢？
服務器拿到手里之后應該先做鏡像打哈希，這樣才能保證證據(jù)的真實性。
神馬？啥是鏡像呢？啥又是哈希呢？
鏡像就是逐字節(jié)備份，像克隆一樣，克隆一張硬盤出來。而哈希的簡單解釋就是，哈希(Hash)是一種算法，也叫散列函數(shù)。它是一種單向密碼體制，這種加密算法一般而言具有抗碰撞性，如果硬盤里的數(shù)據(jù)被改過，這個hash值就變了。而且取證時生成的這個hash值要打印出來，經(jīng)兩名以上取證人員簽字確認。之后，可以通過校驗這個hash值確認硬盤里的數(shù)據(jù)是否被修改過，確認還是不是原始的數(shù)據(jù)。
電子證據(jù)的保全現(xiàn)在有了這樣的系統(tǒng)來實現(xiàn)?！?nbsp;
而在快播案中，開始的存儲介質直接接入普通電腦進行讀取，造成存儲介質被寫入數(shù)據(jù)，造成污染，導致原始哈希值發(fā)生改變，無法確認其真實性，所以辯護人會質疑取證的不規(guī)范，而后來為何王欣等人的定罪能被坐實，就得益于后續(xù)專業(yè)的取證。這其中經(jīng)歷的時間有兩年之長。
對克隆出來的服務器硬盤的備份（原始介質一定要封存）要做完整的分析，提取出證據(jù)。 而視頻數(shù)據(jù)量巨大，要費很長的時間來分析這里面的數(shù)據(jù)到底是不是黃色的，到底有多少，這個黃色的視頻是怎么怎么上傳，怎么下載的，又是怎么存儲的，這些都必須全面分析。
在電子數(shù)據(jù)進行提取分析后，在案扣押的緩存服務器內(nèi)存儲的內(nèi)容多達70%為淫穢視頻。更直接的證據(jù)是，執(zhí)法部門在2012年、2013年以各種方式開展了監(jiān)管活動并對快播公司未建立信息安全保護管理制度和過濾淫穢視頻等給予行政處罰警告?？觳ス鞠群髢纱握牡膬?nèi)容都是針對傳播淫穢視頻這一事實，此時快播公司的經(jīng)營者、管理者仍然堅稱不知情，這難以令人相信。
因此，無論是侵犯公民信息還是傳播淫穢色情音視頻，甚至是普通不過的民事糾紛和組織內(nèi)部管理，都和電子數(shù)據(jù)息息相關，電子數(shù)據(jù)取證將會迎來廣闊的發(fā)展空間。
參考信息：
主審法官細說“快播案”https://mp.weixin.qq.com/s/RgTfgrW8TU4lxL1Y3Dw_fw
快播案P2P技術分析，法律人你懂嗎？http://mp.weixin.qq.com/s/nZ3078ZZC9xH38pZ5tLI1Q
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權禁止轉載。詳情見轉載須知。
