计算机取证及其证据链形成.pdfVIP

学兔兔 计算机取证及其证据链形成 贾志城，等 计算机取证及其证据链形成 贾志城 ，白建军 ( 甘肃政法学院图书馆 甘肃兰州，730070) ( 甘肃警察职业学院实验实训部 甘肃兰州，730046) 摘 要：分析计算机取证的技术基点，微格细化计算机证据形成证据链的技术流程，归纳出证据链形成过程中的获取与 固化、鉴定与研判，存档与呈现等主要阶段的工作内容，为开展相关研究提供参考。 关键词：计算机取证；证据；证据链 DOI编码：doi：10．3969~．issn．1001-9227．2014．08．0124 Ab—髓眈 Technical basis of the analysis of computer forensics．evidence of the form~ion of micro computer technology to re- fine the process chain of evidence，summarized in the chain of evidence during the formation of the acquisition and curing，identifi- cation andjudged，archiving and presenting the content ofthe main phase ofthe work，for carrying out related research reference． K哆 ：Computer forensics；Evidence；Evidence chain 中图分类号：D925；TP309 文献标识码：B 文章编号：1001-9227(2014)08-0124-03 1 计算机取证的技术基点 访问的，或由特殊程序 (麻烦代码)、错误的使用、不可预计 信息安全领域为了保证数据的安全，使用多种方法把数据 的差错等诸多条件而产生的紊乱数据转换成正常码流的变换。 变得不可识别，像加密、压缩等；能够把数据隐藏起来，如信 数据恢复的目的即是要通过转换得出紊乱数据的原始码元结构 息隐藏技术等；把文件改名迷惑使用者、通过修改系统命令欺 表现。数据恢复能够实施针对某个文件的正确码元转换，也能 骗使用者等．一 。犯罪嫌疑人使用类似技术，将是计算机取证过 够实施针对因物理性结构缺陷的磁盘数据的转换，同样可以完 程的最具挑战性的问题之一。 成异类操作系统的数据转换恢复。本质上讲，数据恢复就是从 1．1 数据加密 存储介质上读取数据的过程，只不过采用常规的方法不能获取 数据加密就是依据编码 (加密算法和加密密钥)对真实数 常见的数据表现形式，而需要采用某种技术和方法 。从原理 据 (明文)进行变换，得到一个看似毫无意义的另一个伪数据 上讲，数据可以得到恢复的原理无非是利用存储介质上已有的 (密文)，伪数据 (密文)传输到目标节点后，再次进行逆变 部分或全部存储驻留表现，或者是利用存储介质的数据存储原 换，从而得到真实数据 (明文)。前一过程是加密过程，而后 则或规律而获取正常的数据表现。在计算机取证过程中通常碰 一 过程是解密过程，数据加密利用密码技术对信息进行加密， 到的情况是证据所在的介质被嫌疑人破坏了，或者因使用过久 实现信息隐蔽，由此保证数据的完整性和真实性，防止数据被 老化了，需要对其进行数据恢复。 篡改、伪造和假冒，具有数字签名、身份认证、秘密分存和系