浅论电子取证的方法.doc

浅论电子取证的方法

电子证据，是指由计算机设备储存的，经法定程序作为证据收集固定的数据信息。电子证据，除具备一般证据属性外，还具有多重性、可修改性、可灭失性和技术性特点。随着计算机被广泛应用，计算机存储设备所储存的数据信息已逐渐成为诉讼证据的一个重要来源，在取证工作中，如何搞好电子证据的收集、固定工作就成为迫在眉睫的主要问题。一、电子证据的重要性及取证的要求电子证据，除具备一般证据的客观性和合法性外，还有以下几个特点：1、证据属性的多重性。由计算机提供的电子证据具有视听资料、书证、物证等多重证据意义。电子证据的视听资料意义，是指电子证据能够通过计算机输出的画面、声音来证明案件事实，例如：影视画面可以证明历史现场情况，声音则可以证明谁在什么场合说了什么话等;电子证据的书证意义，是指电子证据能够通过计算机输出的文字、数字及符号的内容来证明案件事实，例如：电子书信、软件、电算化资料等;电子证据的物证意义，是指电子证据能够以其被储存的位置、方式以及载体的外观形象来证明案件事实，例如：电子证据被储存在不同文件夹中，可以证明存储者对计算机文件的理解、使用意图，电子证据被储存在计算机硬盘中或是被储存在软盘、光盘、磁带中将会证明这一证据文件的是否被拷贝等事实，软盘、光盘等电子证据载体的外观形象，可以证明其是否受到物理破坏的事实。电子证据属性的多样性，要求取证人员在收集电子证据时，要注意到电子证据的不同证据意义。在固定电子证据时，应当根据案件侦查需要及电子证据的用途，采取相应的证据固定方法，例如：仅需要电子证据的书证意义时，只将电子文件打印成书面文件即可;而如果需要其视听资料意义时，则应当采用拷贝、拍摄等方法进行固定。2、证据内容的可修改性。计算机储存的信息是可以被修改的。电子证据可修改性有两层含义：一是，数据信息在被作为证据固定前可能已被修改，因而当其被作为证据固定时，其内容已发生变化，造成所取证据的失真;二是，采用拷贝方式收集的电子证据，从证据固定到使用的过程中，也可以被修改，造成其在被使用时的内容与原证据内容不符。同时，实践中由于存在着后一种可修改性，在庭示证据时辩方会就证据是否被修改提出质疑，而控方如提不出未进行修改的证据，则法庭会不采信该证据。电子证据内容的可修改性，要求取证人员在收集和固定电子证据时，一是要注意收集和固定有关数据信息形成时间方面的证据，如计算机中有关该文件形成时间的记录，与其他有关该信息形成时间的证据进行比较，确认该数据信息是否被修改过;二是注意对电子证据内容的现场固定，如通过现场录像、现场打印等方式进行可视性固定。另外，电子证据被作为视听资料使用前，检察人员应当

括检查时间、检查地点及检查顺序等。④检查中出现的问题及解决方法。⑤取证方式及取证份数。⑥参与检查的人员签名。⑦提供电子证据人员签名。(二)电子证据的复杂取证。如有需要专业技术人员协助进行的电子证据的收集和固定活动就是复杂取证。对涉及计算机使用、维护人员的犯罪案件，就应当采取复杂取证程序收集和固定电子证据。1、现场检查与现场访问，首先由计算机专家检查硬件设备，切断可能存在的其他输入、输出设备，保证计算机储存的信息在取证过程中不被修改或损毁。与此同时，侦查人员应当询问计算机使用或维护人员下列问题：⑴有无为计算机设置密码及密码的组成。⑵计算机的软件情况：①已使用的软件有哪些;②软件的来源，如软件是购买的还是自行设计的等;③软件的维护情况，例如：由谁负责软件的维护、调整，对软件作过哪些修改等。⑶计算机的使用情况：①如何进行计算机的日常管理;②谁能够打开并使用计算机;③计算机是否出现过影响或可能影响文件质量的故障(如病毒感染等)，故障是如何解决的。⑷案件所涉及的资料存放于存储设备的什么位置，有无备份。对计算机使用者拒绝提供密码的情形，可考虑由计算机专家解密，但由于解密工作可能会对计算机储存的资料造成损害，因而在做出这一决定时，应当十分慎重。检查计算机文件时，计算机专家应当注意对隐蔽文件的查找。有备份的，应由计算机专家同时检查备份文件，查明备份文件与原文件是否一致。2、提取证据按照前述方法打印和拷贝计算机文件，固定电子证据。如发现在备份文件与原文件不一致时，应当同时提取备份文件。3、电子证据内容涉及电算化资料的，应当由会计专家对提取的资料进行现场验证。验证中如发现可能与软件设计或软件使用有关的问题时，应当由会计专家现场对电算化软件进行数据测试(侦查实验)。经测试确认软件有问题时，则由计算机专家对软件进行检查或提取固定。4、制作检查笔录除前述检查笔录的内容外，对解密、数据测试等过程也应当作出详细的记录。5、对复杂取证过程中可能会遇到的问题，在检查前应当有所预测，并制定相应的处置方案。例如：①考虑到计算机操作人员可能不提供密码，计算机专家应当携带