“运行”计算机内“易挥发数据”的取证问题.pdfVIP

维普资讯 2008年2月 湖南公安高等专科学校学报 Feb．20o8 第2O卷 第 1期 JournalofHunanPublicSecurityCollege V01．2O N0．1 “运行计算机 内“易挥发数据的取证问题 王 俊 (西南政法大学，重庆 400031) 摘 要：3-前司法实践中对现场中处于运行状态的计算机大多采用 “二步式”取证的方式来收集数字证 据，即先由侦查人员对涉案计算机实施关机分离和保全，尔后再移交专业机构进行数字证据司法鉴定。该方 法虽保障了数字证据的原始性和证明力，但无形之中却造成了存储于RAM 中的 “易挥发”数据 以及其他形 式的潜在数字证据的丢失。而计算机信息系统中的这些 “易挥发数据”可为案件的侦破提供重要线索和潜 在的数字证据，因此进行现场动态分析，收集这些 “易挥发数据”对数字案件侦查取证意义重大。 关键词：运行计算机；易挥发数据；现场动态分析；收集 中图分类号：D918．4 文献标识码：A 文章编号：1008—7575(2008)01—0090—04 数字取证是指取证人员针对入侵、攻击、破坏计 驳斥在庭审时辩护律师对数字证据提出的质疑，但在 算机信息系统、计算机欺诈等计算机违法犯罪行为，取证实践中借助传统取证方法很难实现数字证据的 对遗留在计算机系统内和相关外设中的数字数据和 相对 “纯净化”，且易导致 “易挥发数据”的丢失。 信息，运用计算机软、硬件技术并借助计算机取证工 首先，人员介入固有因素的影响。严格来讲侦查 具，按照法定程序进行证据识别、证据搜集、证据保 人员在到达犯罪现场时现场就已经发生了变化，数字 全、证据的检查分析以及证据呈堂的数字证据挖掘和 证据的存储环境已经发生了变化，数字证据本身就受 数字事件重建的过程。 到了 “污染”，其本身的证明力在一定程度上已有所 数字取证的技术性和法律性双重要求决定了数 减弱。¨这一点在美国司法研究所(NIJ)的研究报告 字证据搜集保全方法应有别于传统证据的搜集保全 《犯罪现场调查：执法机构指南》中已被承认。在该 方法。但截至现在 ，司法实践中很多时候对于数字证 报告中罗列了保障数字证据完整性的具体要求，其出 据的搜集和保全仍然沿用着传统物证的的收集和保 发点就在于尽可能减少或防止取证和鉴定过程中数 全方法。 字证据 “污染”的加重。 一 、 传统取证方法的弊端 其次，运用传统取证方法会增加 “污染”。在数 对于涉案计算机一般是先将其与关联设备分离， 字案件响应过程中侦查人员在处理正在运行中的计 然后关机并放人物证袋进行封存。在将涉案计算机 算机时 ，若采用传统的扣押和保全方法，将计算机 进行封存之后，由司法机关聘请专业取证 (鉴定)人 关机封存极有可能导致计算机关联数据的丢失和潜 员对该计算机进行检查和分析，专业取证 (鉴定)人 在数字证据的灭失，证据的完整性将会受到 “重创”。 员在接受聘请后依照法律的规定先对涉案计算机的 二、运行计算机 内的 “易挥发数据”可提供潜在 数据进行备份保全，尔后再对备份数据进行检查、分 的数字证据 析，从中查找涉案数字证据。最后，在取证活动结束 计算机的运行需要一定数量称之为随机存取内 时将检验鉴定结论呈交委托机关。数字证据的这种 存又称作主内存(RAM)的支持。计算机运行过程中 收集、保全和鉴定的方法是基于确保数字证据完整 操作系统需要调取和使用 RAM，计算机使用该主内 性、原始性以及取证和鉴定活动的关联性 目的而设计 存 以虚拟剪切板的形式来记录当前程序运行的数据 的，其终极 目标在于实现数字证据的相对 “纯净化”， 信息，同时这些数据信息可以被程序随时调用，这种 收稿 日期：2007—11—07 作者简介：王 俊 (1983一 )，男 ，陕西商州人，西南政法大学2005级硕士研究生，主要从事计算机取证、司法鉴定、物证技术 研究。 ① “运行中的计算机”是指侦查取证人员在现场勘查过程中碰到的处于开启状态