電子取證女神劇透：0和1下隱藏著真相

新聞 08-28

說到取證，你會想起什麼？

法醫穿著防護服，帶著白手套，面色凝重到達案發現場

拿著鑷子等專業工具進行指紋、血液、體液等物證的提取？

其實，真實的取證現場可能是這樣的

丁麗萍提供的電子取證現場照片

而用到的工具可能是這樣的

今天，雷鋒網的編輯就跟大家聊一聊跟我們的生活越來越密切的電子數據的取證。

想要知道這個問題的答案，不如先來回答幾個問題。

你身邊是否有人捲入過P2P金融詐騙？（比如非法集資買房之類的）

你是接到過掌握你部分信息的陌生電話？（請問有貸款的需要麼？最近考慮裝修么？保險您考慮么？）

你是否遇到過擔心孩子在網上看色情信息的父母？

……

這也涉及到電子數據取證？

千真萬確！

現在每個人手裡至少有一台智能手機，工作中我們也離不開網路、電腦這些電子設備，所以現在幾乎每一個案子都會涉及到電子證據。抓到嫌疑人後，首先就要沒收嫌疑人的手機、電腦，然後提取相關的數據。

來自中國科學院軟體研究所的研究員丁麗萍，被業內人士稱為電子取證界的「女神」，由她牽頭組建的廣州中國科學院軟體應用技術研究所電子數據取證實驗室及廣東中科司法鑒定所，就曾對一部涉及公民信息泄露的大案做過電子數據取證，最終得以將罪犯繩之以法。

這就是女神本人，最近你可能在ISC上見到她的真人喲~

在2·17侵犯公民個人信息的案子中，我們發現被倒賣的公民個人信息涉及戶籍、銀行、地理定位、住宿、航空鐵路、運營商、打車、外賣等等，嫌疑人是通過QQ、微信等渠道聯絡倒賣公民個人信息，獲得非法收益，這其中上下家的關係很複雜，而且是經多次轉手倒賣，涉及的人員很多，比如公職人員和一些運營商高管等，如何對他們所做的事情進行取證，難度挺大的。

丁麗萍所說的案件其實跟我們的生活息息相關，叫車、定外賣、訂機票……這些我們日常生活中的信息，這麼輕易就可以被泄露，如果一個不懷好意的人知道你所有的行動軌跡，有多恐怖！但在法庭上，如何列出這些人的罪證？如何根據他們泄露的信息來定罪量刑？這些都需要電子數據取證來進行。

在鑒定過程中發現嫌疑人倒賣信息的時候並不是用文字信息，而是採用圖片、語音等多種方式。如何快速識別多媒體信息獲取犯罪證據是需要研究的問題。比如，手機數據提取出來之後，如何把所有圖片進行整理，並自動識別圖片內容進行分類匯總等等。再比如，如何root高版本的安卓手機把數據提取出來，如何恢復刪除數據，如何破解密碼，都是是電子數據取證面臨的問題。

很多人第一次聽說電子數據取證，來自於一款宅男必備的播放軟體「快播」，用戶量一度達到了驚人的4億~~~

據雷鋒網了解，其背後的公司「深圳市快播科技有限公司」成立於2007，經過短短几年的發展，到2014年的時候，快播播放器在當時就憑4億用戶在全國市場佔有量躍居第一！

被這麼多用戶使用的播放器，其平台上竟然有大量的淫穢色情內容，其造成的惡劣影響可想而知。

在討論快播到底有罪還是無罪之前，我們先來看看那快播這款播放器的技術原理。

快播軟體是一款利用p2p技術進行視頻傳輸的軟體。所謂p2p是peer to peer的縮寫，可以理解為「夥伴對夥伴」的意思，簡單來說，就是在互聯網上，千萬台彼此連接的每一台計算機既能充當網路的請求者，又能對其他計算機的請求做出響應，提供資源和服務。

這種計算機模式的好處在哪裡呢？

這樣可以充分利用了每一台計算機帶寬和和資源！比如你要在快播上搜某個片子，後台就會把你的請求同時發給網路上另外10台個人電腦。

如果你的搜索請求還未得到滿足，這10台電腦中的每一台都會把該搜索請求轉發給另外10台電腦，這樣，搜索範圍將以幾何級數增長，幾分鐘內就可搜遍幾百外台電腦上的信息資源。

是不是很牛氣？

普通用戶通過快播平台相互連接，形成一個可以相互P2P的巨大網路。快播伺服器不再擔任網站下載中伺服器的角色，它只負責將文件目錄索引信息（P2P種子）在普通客戶端之間流轉，本身並未存放視頻文件。

這也是為什麼快播CEO王欣最先開始在法庭上說「快播無罪，我無罪」的原因之一。

雷鋒網發現，一些不良網站，正是熟知快播平台的工作原理，利用其P2P模式傳播自己的不良視頻信息。

他們將自己的視頻文件製成種子（索引目錄）上傳到快播伺服器，普通用戶搜索到該種子後，就能到不良網站上下載不良視頻，下載完成後，該普通用戶就有可能自覺做種，將種子上傳到快播伺服器，不自覺地成為不良視頻的傳播者。

知曉技術原理後，我們就可以得出這樣的結果。

雖然快播平台或快播軟體本身不產生視頻文件，也不發起視頻上傳，但是，快播軟體屬視頻播放工具，是普通用戶之間相互傳輸視頻的載體，為用戶之間的視頻傳輸起到橋樑作用。

這也意味著，快播公司絕不單純是技術的提供者，「站長」或用戶發布或點播視頻時，快播公司的調度伺服器、緩存伺服器就已經參與其中了。快播公司構建的P2P網路平台和緩存加速服務都讓其成為網路視頻信息服務的提供者。

快播公司在提供P2P視頻技術服務和緩存技術服務時，雖然客觀上沒有對視頻內容進行選擇，但當其明知自己的P2P視頻技術服務被他人利用傳播淫穢視頻，自己的緩存技術服務被利用成為大量淫穢視頻的加速傳播工具，自己有義務、有能力阻止而不阻止時，快播公司就不可能再獲得技術中立的責任豁免。

與傳統取證相比，電子數據取證具有易損壞，易修改，易變造等等這樣的特點，這也導致它的真實性很難保證。你很難確定你拿到的證據是真的還是假的，所以你現在的電子數據取證，從頭開始就要保證它的真實性，要證明它沒有被篡改過。

在說到電子數據取證的特點時，丁麗萍強調從開頭就要保證的真實性。

在快播案中，取證曾有一些瑕疵。

快播案的來源是快播公司受到盜版投訴，北京文化管理部門行政執法中查扣了數台快播公司的伺服器。

在此過程中，文化管理部門直接打開伺服器，進行轉碼播放，發現有淫穢視頻，再將案件轉給海淀公安。

且不說該過程不符刑事偵查程序的要求，公安部門通過技術人員將伺服器硬碟打開進行轉碼播放，並由鑒黃師鑒定黃色視頻數量。上述電子數據取證過程不規範，硬碟數據被污染，內存易失證據丟失，導致無法鑒定上述硬碟中的視頻數據是否是原始數據。

那正規的操作應該是怎樣的呢？

伺服器拿到手裡之後應該先做鏡像打哈希，這樣才能保證證據的真實性。

神馬？啥是鏡像呢？啥又是哈希呢？

鏡像就是備份，像克隆一樣，克隆一張硬碟出來。而哈希的簡單解釋就是，哈希(Hash)是一種演算法，也叫散列函數。它是一種單向密碼體制，即它是一個從明文到密文的不可逆的映射，只有加密過程，沒有解密過程，這種演算法可以證明數據沒有被修改過。如果說硬碟里的任何細節被改過了，那這個哈希會列印出來，看是不是原始的數據。這個哈希在列印出來時要由兩名警察簽字的。

電子證據的保全現在有了這樣的系統來實現。

而在快播案中，開始的存儲介質直接接入普通電腦進行讀取，造成存儲介質被寫入數據，造成污染，導致原始哈希值發生改變，無法確認其真實性，所以辯護人會質疑取證的不規範，而後來為何王欣等人的定罪能被坐實，就得益於後續專業的取證。這其中經歷的時間有兩年之長。

對克隆出來的伺服器硬碟的備份（原始介質一定要封存）要做完整的分析，提取出證據。而視頻數據量巨大，要費很長的時間來分析這裡面的數據到底是不是黃色的，到底有多少，這個黃色的視頻是怎麼怎麼上傳，怎麼下載的，又是怎麼存儲的，這些都必須全面分析。

在電子數據進行提取分析後，在案扣押的緩存伺服器內存儲的內容多達70%為淫穢視頻。更直接的證據是，執法部門在2012年、2013年以各種方式開展了監管活動並對快播公司未建立信息安全保護管理制度和過濾淫穢視頻等給予行政處罰警告。快播公司先後兩次整改的內容都是針對傳播淫穢視頻這一事實，此時快播公司的經營者、管理者仍然堅稱不知情，這難以令人相信。

因此，無論是侵犯公民信息還是傳播淫穢色情音視頻，甚至是普通不過的民事糾紛和組織內部管理，都和電子數據息息相關，電子數據取證將會迎來廣闊的發展空間。

參考信息：

主審法官細說「快播案」https://mp.weixin.qq.com/s/RgTfgrW8TU4lxL1Y3Dw_fw

快播案P2P技術分析，法律人你懂嗎？http://mp.weixin.qq.com/s/nZ3078ZZC9xH38pZ5tLI1Q

點擊展開全文

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！