移動(dòng)電話電子數(shù)據(jù)獲取及取證分析

1、移動(dòng)電話電子數(shù)據(jù)獲取及取證分析         論文摘要：移動(dòng)電話裝載了大量電子數(shù)據(jù)，這些數(shù)據(jù)往往成為查找犯罪線索、發(fā)現(xiàn)犯罪、證明犯罪的重要證據(jù)來(lái)源。本文將就移動(dòng)電話電子數(shù)據(jù)取證進(jìn)行研究，探討移動(dòng)電話的電子數(shù)據(jù)獲取和取證分析的方法和程序。 論文關(guān)鍵詞 移動(dòng)電話 電子數(shù)據(jù) 取證 一、移動(dòng)電話電子數(shù)據(jù)的特點(diǎn) （一）虛擬性 移動(dòng)電話電子數(shù)據(jù)實(shí)質(zhì)上是按編碼規(guī)則處理的電磁信號(hào)，它處于電子虛擬環(huán)境中，需要通過(guò)存儲(chǔ)介質(zhì)及軟件載體表現(xiàn)出來(lái)。 （二）多樣性 和普通的物證、書證的單一性相比，移動(dòng)電話電子數(shù)據(jù)表現(xiàn)得更為多樣，不僅可以表現(xiàn)

2、為文本信息如短信，也可以表現(xiàn)為圖片、音頻、視頻等多媒體文件，還可以是GPS地理信息等等。 （三）易破壞性 移動(dòng)電話電子數(shù)據(jù)由于存在于個(gè)人移動(dòng)電話中，非常容易且快速地刪除，如通話記錄、短信等刪除操作簡(jiǎn)便，或采用破壞移動(dòng)電話機(jī)身的方式使電子數(shù)據(jù)無(wú)法提取。 （四）實(shí)時(shí)性 移動(dòng)電話只要處于開機(jī)狀態(tài)，其基本處于實(shí)時(shí)在線狀態(tài)，隨時(shí)進(jìn)行信息的交互，如會(huì)接收到電話、短信及GPS信息等，極易破壞原有數(shù)據(jù)，因此，在對(duì)移動(dòng)電話取證時(shí)一定要屏幕信號(hào)，防止對(duì)原有檢材的破壞。 二、移動(dòng)電話電子數(shù)據(jù)取證的原則 （一）合法性原則 移動(dòng)電話電子數(shù)據(jù)取證的合法性原則，是指對(duì)移動(dòng)電話電子數(shù)據(jù)證據(jù)的收集和分析必須依法進(jìn)行，包括收集、

3、分析的主體要合法，收集、分析證據(jù)的程序要合法，取證的技術(shù)方法要合乎規(guī)范。 （二）關(guān)聯(lián)性原則 移動(dòng)電話電子數(shù)據(jù)取證，要求獲取的電子數(shù)據(jù)必須與案件事實(shí)存在著必然的客觀聯(lián)系，且對(duì)證明案件事實(shí)具有實(shí)際意義。電子數(shù)據(jù)證據(jù)對(duì)于案件有無(wú)聯(lián)系，決定著電子數(shù)據(jù)證據(jù)對(duì)于案件事實(shí)有無(wú)證明力，因此，在電子數(shù)據(jù)取證過(guò)程中必須收集與案件事實(shí)有關(guān)聯(lián)，能夠證明案件事實(shí)的電子數(shù)據(jù)證據(jù)。 （三）及時(shí)性原則 由于移動(dòng)電話本身的脆弱性，破壞后便不易提取其中電子數(shù)據(jù)，移動(dòng)電話中的電子數(shù)據(jù)存在于電子虛擬環(huán)境中，非常容易受到改動(dòng)或破壞且不容易察覺(jué)和證實(shí)，而且移動(dòng)電話會(huì)不斷接收信息及電話等，極其容易把原來(lái)刪除的內(nèi)容覆蓋，使之不容易恢復(fù)，電訊

4、運(yùn)營(yíng)商對(duì)移動(dòng)電話信息的保存也具有一定期限，過(guò)了期限則無(wú)法調(diào)取。這些限制都要求及時(shí)對(duì)移動(dòng)電話的電子數(shù)據(jù)及時(shí)進(jìn)行固定，以免受到破壞或毀損。 （四）安全性原則 由于移動(dòng)電話本身的脆弱性，以及電子數(shù)據(jù)的易損性，使移動(dòng)電話的電子數(shù)據(jù)極易受到破壞及毀損，因此，在取證過(guò)程中應(yīng)當(dāng)保證：一是移動(dòng)電話機(jī)不應(yīng)受到非合法管理人接觸，以防止毀損移動(dòng)電話，破壞電子數(shù)據(jù)；二是保管環(huán)境應(yīng)當(dāng)安全，移動(dòng)電話及其存儲(chǔ)卡應(yīng)當(dāng)放在安全的環(huán)境中，使其電子數(shù)據(jù)不因環(huán)境影響而毀損；三是及時(shí)備份，對(duì)移動(dòng)電話提取的電子數(shù)據(jù)應(yīng)當(dāng)及時(shí)備份，防止因原始數(shù)據(jù)毀損而無(wú)法取證。 （五）證據(jù)流轉(zhuǎn)鎖鏈原則 移動(dòng)電話確定為取證對(duì)象后，應(yīng)當(dāng)有嚴(yán)格的證據(jù)流轉(zhuǎn)記錄，對(duì)

5、每一個(gè)接觸人，每個(gè)接觸人對(duì)移動(dòng)電話進(jìn)行的所有操作，以及移動(dòng)電話在部門和個(gè)人之間的流轉(zhuǎn)都應(yīng)當(dāng)在詳細(xì)的記錄，防止數(shù)據(jù)的毀損及污染。 三、移動(dòng)電話的電子數(shù)據(jù)取證 （一）移動(dòng)電話存儲(chǔ)器 目前移動(dòng)電話存儲(chǔ)器可分為三種類型：RAM、ROM和外置存儲(chǔ)卡。RAM（random access memory）即隨機(jī)存儲(chǔ)器，存儲(chǔ)單元的內(nèi)容可按需隨意取出或存入，且存取的速度與存儲(chǔ)單元的位置無(wú)關(guān)的存儲(chǔ)器。這種存儲(chǔ)器在斷電時(shí)將丟失其存儲(chǔ)內(nèi)容，故主要用于存儲(chǔ)短時(shí)間使用的程序。ROM是由英文Readonly Memory的首字母構(gòu)成的，原意為只讀存儲(chǔ)器。顧名思義，就是這樣的存儲(chǔ)器只能讀，不能像RAM一樣可以隨時(shí)讀和寫。它只允

6、許在生產(chǎn)出來(lái)之后有一次寫的機(jī)會(huì)，數(shù)據(jù)一旦寫入則不可更改。它另外一個(gè)特點(diǎn)是存儲(chǔ)器掉電后里面的數(shù)據(jù)不丟失。但隨著技術(shù)的進(jìn)步，ROM的功能也得到發(fā)展。在移動(dòng)電話上，ROM它一部分固化了移動(dòng)電話操作系統(tǒng)，這部分只能讀不能更改，要改只能整個(gè)系統(tǒng)更改（俗稱刷機(jī)），剩余部分則可以像電腦硬盤那樣安裝運(yùn)行程序和存儲(chǔ)數(shù)據(jù)，如QQ等程序軟件。          外置存儲(chǔ)卡則種類比較多，主要有以下幾種：MMC卡、RS-MMC卡、SD卡、miniSD卡、Trans Flash卡和索尼記憶棒等。MMC是Multi Media Card的縮寫，

7、也就是多媒體卡的意思，是比較早期的移動(dòng)電話使用的小型存儲(chǔ)卡。RS-MMC即Reduce Size MMC，也就是縮小尺寸的MMC卡，除了體積縮小外，它的主要性能與標(biāo)準(zhǔn)MMC卡完全一樣。SD卡（Secure Digital Memory Card，安全性數(shù)字存儲(chǔ)卡），是一種基于半導(dǎo)體快閃記憶器的新一代記憶設(shè)備，擁有高記憶容量、快速數(shù)據(jù)傳輸率、極大的移動(dòng)靈活性以及很好的安全性。mini SD卡，同RS-MMC卡一樣，mini SD卡只是減小了體積，其他方面與傳統(tǒng)SD卡并無(wú)差別。TransFlash（T-flash）存儲(chǔ)卡又稱micro SD，是目前大部分移動(dòng)電話均使用這類存儲(chǔ)卡。索尼記憶棒（Mem

8、ory Stick）又稱MS卡，是一種可移除式的快閃記憶卡格式的存儲(chǔ)設(shè)備，它包括了Memory Stick PRO（容許更佳的最大儲(chǔ)存容量和更快的傳輸速度）、Memory Stick Duo（Memory Stick的小型格式版本，包括PRODuo）、和比Duo更小的Memory Stick Micro（M2），主要用于索尼移動(dòng)電話。 隨著通訊技術(shù)及存儲(chǔ)技術(shù)的發(fā)展，現(xiàn)在移動(dòng)電話的存儲(chǔ)器容量越來(lái)越大，使操作系統(tǒng)的功能越來(lái)越豐富，這些功能成為電子數(shù)據(jù)證據(jù)的重要來(lái)源： （1）電話簿，電話簿里存儲(chǔ)著大量聯(lián)系人電話，是重要的取證對(duì)象；（2）通話記錄，包含著呼出、呼入及未接的記錄，新款智能移動(dòng)電話一般機(jī)身

9、都帶存儲(chǔ)器，因此對(duì)通話記錄條數(shù)沒(méi)有限制，能夠記錄所有通話記錄，而部分老款手機(jī)一般對(duì)通話記錄有限制，如呼入及呼出一共20條；（3）已發(fā)送、已收到、已刪除、草稿的短信及彩信，這些信息往往成為發(fā)現(xiàn)線索、證明事實(shí)的重要依據(jù)；（4）錄音、錄像及圖片；（5）日期時(shí)間及日程安排信息；（6）存儲(chǔ)的文件及文檔；（7）GPS導(dǎo)航信息及地圖導(dǎo)航信息；（8）通訊工具如QQ、飛信等聊天記錄；（9）上網(wǎng)記錄，能夠記錄上網(wǎng)者的上網(wǎng)時(shí)間、網(wǎng)址、用戶名及密碼；（10）藍(lán)牙傳輸?shù)奈募?對(duì)移動(dòng)電話存儲(chǔ)器的取證程序一般應(yīng)遵循以下程序： （1）如移動(dòng)電話處于關(guān)機(jī)狀態(tài)下，應(yīng)先將移動(dòng)電話充滿電；（2）將移動(dòng)電話接入屏蔽袋里，防止移動(dòng)電話

10、接入網(wǎng)絡(luò)，接收來(lái)電及信息，并打開移動(dòng)電話電源；（3）運(yùn)行取證工具軟件，提取移動(dòng)電話內(nèi)置存儲(chǔ)器中的電子數(shù)據(jù)；（4）提取完后，關(guān)掉移動(dòng)電話電源，取出移動(dòng)電話卡及外置存儲(chǔ)卡；（5）運(yùn)行取證工具，對(duì)外置存儲(chǔ)卡制作鏡像文件；（6）運(yùn)行取證工具軟件，對(duì)外置存儲(chǔ)卡鏡像文件進(jìn)行分析，提取與案件相關(guān)的電子數(shù)據(jù)。 （二）移動(dòng)電話卡 移動(dòng)電話卡在GSM網(wǎng)絡(luò)稱為SIM卡，是Subscriber IdentityModule客戶識(shí)別模塊的縮寫，也稱為智能卡、用戶身份識(shí)別卡；在3G網(wǎng)絡(luò)中移動(dòng)電話卡稱為USIM，即Universal Subscriber Identity Module（全球用戶識(shí)別卡）的縮寫，是升級(jí)的SI

11、M卡。移動(dòng)電話卡可供通訊運(yùn)營(yíng)商對(duì)客戶身份進(jìn)行鑒別，并對(duì)客戶通話時(shí)的語(yǔ)音信息進(jìn)行加密。對(duì)移動(dòng)電話卡取證時(shí)，應(yīng)該注意以下問(wèn)題： 1.有些SIM卡是STK卡，如有些中國(guó)移動(dòng)通信公司SIM卡是STK卡，里面固化了有移動(dòng)通信公司的應(yīng)用交互程序，提供了超級(jí)號(hào)簿功能，里面分為三個(gè)電話簿，每個(gè)250條，一共750條，但只支持一個(gè)號(hào)簿在線，中國(guó)電信公司的USIM卡超級(jí)號(hào)簿則提供了四個(gè)號(hào)簿，每個(gè)250條，一共1000條，因此在提取時(shí)要注意全部提取。 2.由于每款取證工具軟件對(duì)每個(gè)移動(dòng)電話卡的支持度并不相同，如A工具能提取80%電話簿，B工具能提取30%電話簿，因此，在條件允許的話，應(yīng)當(dāng)盡量多嘗試幾款工具對(duì)移動(dòng)電話卡進(jìn)行提取。 3.對(duì)于老款非智能機(jī)來(lái)說(shuō)，移動(dòng)電話卡可能存有通話記錄，一般為10條或20條，因?yàn)闄C(jī)身本身不能存儲(chǔ)，而對(duì)于新款移動(dòng)電話來(lái)說(shuō)，通話記錄一般都存儲(chǔ)在機(jī)身上。 （三）通訊運(yùn)營(yíng)商 通訊運(yùn)營(yíng)商的數(shù)據(jù)庫(kù)中存有移動(dòng)電話用戶的大量信息，通過(guò)數(shù)據(jù)庫(kù)可以查詢到每個(gè)用戶的個(gè)人登記信息，每個(gè)成功呼入、呼出的通話記錄，每次通話使用的信號(hào)基站，通過(guò)信號(hào)基站可以對(duì)通話時(shí)所處的位置進(jìn)行定位，還可以查詢到一定時(shí)期內(nèi)的短信內(nèi)容。需要注意的是，移動(dòng)運(yùn)營(yíng)商一般會(huì)存儲(chǔ)三個(gè)月到半年的用戶的通話記錄、短信、彩信以及通話時(shí)的信號(hào)基站信息，在獲取移動(dòng)運(yùn)營(yíng)商的電子數(shù)據(jù)時(shí)，一定要在移動(dòng)運(yùn)營(yíng)商的保存期限內(nèi)