刑偵工作中智能手機(jī)調(diào)查取證模型研究

孫 毅，李文娟，朱志鳴

（中國人民武裝警察部隊(duì)學(xué)院 研究生隊(duì)，河北廊坊065000）

刑偵工作中智能手機(jī)調(diào)查取證模型研究

孫 毅，李文娟，朱志鳴

（中國人民武裝警察部隊(duì)學(xué)院 研究生隊(duì)，河北廊坊065000）

近年來，刑事偵查中涉及到智能手機(jī)取證的工作越來越多。隨著智能手機(jī)及其服務(wù)技術(shù)的迅猛發(fā)展，智能手機(jī)的種類愈發(fā)繁多，功能愈發(fā)復(fù)雜，也對(duì)手機(jī)取證工作提出了新的挑戰(zhàn)。智能手機(jī)調(diào)查取證的流程為：取證準(zhǔn)備—提取證據(jù)—檢驗(yàn)證據(jù)—分析證據(jù)—提交證據(jù)。當(dāng)前智能手機(jī)取證存在著法律程序規(guī)定不明、手機(jī)實(shí)名滯后、手機(jī)取證硬件不協(xié)調(diào)等問題。

智能手機(jī)；手機(jī)取證；取證模型

自1973年第一部手機(jī)問世，手機(jī)已經(jīng)歷四十多個(gè)年頭。隨著移動(dòng)通信技術(shù)和數(shù)字通訊設(shè)備的不斷發(fā)展，從第一代模擬手機(jī)到現(xiàn)在的智能手機(jī)，手機(jī)的功能越來越強(qiáng)大，已逐漸成為現(xiàn)代人生活中必不可少的一個(gè)部分。從最先的即時(shí)通話功能擴(kuò)展到現(xiàn)在的無線上網(wǎng)、高像素照相、實(shí)時(shí)定位等功能，手機(jī)所承載的信息量越來越大，可以說是個(gè)人的手持?jǐn)?shù)據(jù)終端設(shè)備。智能手機(jī)中所儲(chǔ)存的大量信息對(duì)于刑事案件的偵查十分重要，我們可以從智能手機(jī)中獲得大量的線索以及證據(jù)。進(jìn)行手機(jī)調(diào)查取證技術(shù)的相關(guān)研究，對(duì)于打擊與手機(jī)相關(guān)的各類犯罪，維護(hù)社會(huì)穩(wěn)定、保障人民生命財(cái)產(chǎn)安全具有重大現(xiàn)實(shí)意義。智能手機(jī)調(diào)查取證模型能夠幫助刑偵人員更加有效而且規(guī)范地從手機(jī)中提取有關(guān)案件的各種信息，對(duì)刑偵工作實(shí)踐具有一定的指導(dǎo)作用。

一、手機(jī)犯罪的種類

目前實(shí)踐工作中，手機(jī)與犯罪相關(guān)的情況主要可以分為以下五大類：一是把手機(jī)作為傳統(tǒng)犯罪行為中的聯(lián)絡(luò)工具。二是手機(jī)詐騙。如短信詐騙、電話詐騙。三是利用手機(jī)網(wǎng)絡(luò)進(jìn)行犯罪。如散布謠言、淫穢色情信息。兩高司法解釋規(guī)定，利用信息網(wǎng)絡(luò)誹謗他人，同一誹謗信息實(shí)際被點(diǎn)擊、瀏覽次數(shù)達(dá)到5000次以上，或者被轉(zhuǎn)發(fā)次數(shù)達(dá)到500次以上的，應(yīng)當(dāng)認(rèn)定為刑法第246條第1款規(guī)定的“情節(jié)嚴(yán)重”，可構(gòu)成誹謗罪。四是利用智能手機(jī)新功能進(jìn)行犯罪。如偷拍、秘密錄音、手機(jī)定位，侵犯他人隱私。五是手機(jī)作為犯罪證據(jù)的存儲(chǔ)媒介。

二、手機(jī)調(diào)查取證模型

刑偵工作中智能手機(jī)的調(diào)查取證流程如下：

（一）取證準(zhǔn)備

對(duì)案件進(jìn)行初步的分析，了解案件的基本情況，包括犯罪目的和犯罪動(dòng)機(jī)；成立手機(jī)調(diào)查取證小組，明確分工任務(wù)；針對(duì)手機(jī)的型號(hào)品牌選擇合適的手機(jī)取證工具，為接下來的調(diào)查取證工作做好充分的準(zhǔn)備。

（二）提取證據(jù)

對(duì)現(xiàn)場(chǎng)進(jìn)行調(diào)查訪問；保護(hù)與記錄現(xiàn)場(chǎng)；提取手機(jī)檢材；向移動(dòng)運(yùn)營商提取相關(guān)信息。同時(shí)，對(duì)智能手機(jī)進(jìn)行詳細(xì)研究，利用技術(shù)手段恢復(fù)智能手機(jī)被刪除的信息，找到隱藏文件、目錄、密碼，以及利用手機(jī)上網(wǎng)留下的痕跡與留下的各種cookies。

（三）檢驗(yàn)證據(jù)

對(duì)收集到的檢材樣本進(jìn)行編號(hào)；對(duì)樣本進(jìn)行拍照記錄；確定所檢測(cè)手機(jī)的型號(hào)；屏蔽手機(jī)信號(hào)，防止手機(jī)數(shù)據(jù)變換影響檢測(cè)結(jié)果；根據(jù)檢材樣本型號(hào)選擇提取相應(yīng)方式；連接檢材樣本并提取數(shù)據(jù)；對(duì)檢出的檢材樣本數(shù)據(jù)進(jìn)行記錄。

（四）分析證據(jù)

主要包括對(duì)移動(dòng)運(yùn)營商網(wǎng)絡(luò)數(shù)據(jù)庫取證分析、手機(jī)內(nèi)存及其外接擴(kuò)展存儲(chǔ)器取證分析、SIM（UIM）卡信息取證分析和手機(jī)軟件取證分析。

1.移動(dòng)運(yùn)營商網(wǎng)絡(luò)數(shù)據(jù)庫取證分析

移動(dòng)通信運(yùn)營商網(wǎng)絡(luò)數(shù)據(jù)庫包括用戶數(shù)據(jù)庫和通話數(shù)據(jù)庫。

（1）用戶數(shù)據(jù)庫取證分析

用戶數(shù)據(jù)庫包括帳戶信息、客戶信息、用戶信息三個(gè)方面的內(nèi)容。帳戶信息具體由帳戶性質(zhì)、等級(jí)、名稱、類型等四方面組成。通過這些信息了解偵查對(duì)象的基本情況。客戶信息主要由客戶的姓名、性別、種類、地址、證件種類及編碼、入網(wǎng)方式、黑名單情況等組成。用戶信息主要由品牌編號(hào)、套餐編號(hào)、用戶種類、縣市識(shí)別碼、用戶使用狀態(tài)、停開機(jī)狀態(tài)、用戶創(chuàng)建時(shí)間、擴(kuò)展業(yè)務(wù)等八方面組成。對(duì)這些信息的分析，有助于刑偵調(diào)查取證工作。

（2）通話數(shù)據(jù)庫取證分析

目前，主要利用的通話信息有以下幾種：機(jī)主的各項(xiàng)資料、主被叫號(hào)碼、通話時(shí)間、通話基站區(qū)域、主被叫歸屬地、主被叫到訪地、手機(jī)串號(hào)等。

每個(gè)人的通話數(shù)據(jù)庫中都包含了海量的數(shù)據(jù)信息，在偵查工作中對(duì)了解涉案當(dāng)事人起著非常重要的作用。通話數(shù)據(jù)庫記錄了手機(jī)在一定時(shí)間內(nèi)每次通話的情況，包括通話方電話號(hào)碼、通話時(shí)間以及話費(fèi)信息。

2.SIM（UIM）卡取證分析

SIM（UIM）卡是手機(jī)必須具有的，沒有它就不能接入網(wǎng)絡(luò)進(jìn)行通信服務(wù)。SIM（UIM）卡可以說是網(wǎng)絡(luò)運(yùn)營商給予用戶證明自己身份的證件。SIM（UIM）卡實(shí)際上是裝有微處理器的芯片卡，其中儲(chǔ)存了許多有價(jià)值的電話客戶信息、加密的密鑰以及用戶的電話簿等內(nèi)容，能用來對(duì)網(wǎng)絡(luò)客戶身份進(jìn)行鑒別。

SIM（UIM）卡中保存的數(shù)據(jù)主要有四大類：(1)由SIM（UIM）卡生產(chǎn)廠商在生產(chǎn)時(shí)存入的SIM（UIM）的原始數(shù)據(jù)，其中包含各項(xiàng)入網(wǎng)參數(shù)等。（2）由網(wǎng)絡(luò)運(yùn)營商或其它部門在發(fā)卡時(shí)存入的用戶數(shù)據(jù)和網(wǎng)絡(luò)參數(shù)，其中用戶數(shù)據(jù)擁有較高的證據(jù)價(jià)值。（3）用戶自己存入的數(shù)據(jù)。其中具有較高證據(jù)價(jià)值的是用戶自己存入的短信息、電話號(hào)碼、通話記錄等數(shù)據(jù)。（4）使用過程中自動(dòng)記錄的用戶信息類和網(wǎng)絡(luò)接續(xù)數(shù)據(jù)，其中包括臨時(shí)移動(dòng)用戶號(hào)（TMSI），最近一次位置區(qū)識(shí)別號(hào)碼（LAI）等。

在不同的案件之中，SIM（UIM）卡中保存的數(shù)據(jù)都有各自的偵查和證據(jù)價(jià)值，其中比較重要的就是SIM（UIM）中保存的電話號(hào)碼薄、通話記錄、短信息、手機(jī)所在的位置信息以及SIM中的用戶信息。

3.手機(jī)內(nèi)存及其外接擴(kuò)展存儲(chǔ)器取證分析

近年來，手機(jī)市場(chǎng)發(fā)展迅猛，各種類型的智能手機(jī)層出不窮。面對(duì)系統(tǒng)愈發(fā)多樣、功能愈發(fā)復(fù)雜的智能手機(jī)，傳統(tǒng)手機(jī)調(diào)查取證工作將面臨巨大的挑戰(zhàn)。隨著科技的發(fā)展，手機(jī)除了通話、短信等基本功能之外，還增加了拍照攝像以及PDA所具備的大部分功能，特別是基于無線數(shù)據(jù)通信的網(wǎng)絡(luò)瀏覽器以及個(gè)人信息管理、GPS和電子郵件功能。如音樂圖片下載、實(shí)時(shí)新聞、股票查詢、天氣查詢、網(wǎng)購、交通導(dǎo)航、各種應(yīng)用程序下載等等。在3G網(wǎng)絡(luò)的支持下，智能手機(jī)勢(shì)必會(huì)成為集通話、短信、影視娛樂、網(wǎng)絡(luò)接入為一體的個(gè)人的手持?jǐn)?shù)據(jù)終端設(shè)備。

智能手機(jī)的所有數(shù)據(jù)都儲(chǔ)存在手機(jī)內(nèi)存以及外接擴(kuò)張存儲(chǔ)器之中，所以對(duì)于智能手機(jī)來說，手機(jī)內(nèi)存及其外接擴(kuò)展存儲(chǔ)器中的數(shù)據(jù)是極其重要的。傳統(tǒng)手機(jī)內(nèi)存及其外接擴(kuò)展存儲(chǔ)器中比較有證據(jù)價(jià)值的是：手機(jī)電話簿、通話記錄、收發(fā)的短信內(nèi)容。智能手機(jī)的功能更加強(qiáng)大，其中有證據(jù)價(jià)值的數(shù)據(jù)種類也更加多樣化。智能手機(jī)的內(nèi)存相對(duì)于傳統(tǒng)手機(jī)來說有著巨大的優(yōu)勢(shì)，目前市場(chǎng)上的手機(jī)中，高端手機(jī)諸如Iphone5s，三星GALAXYS4等手機(jī)最高內(nèi)存可以達(dá)到64G容量，普通手機(jī)內(nèi)存一般也可以達(dá)到2G以上，再加上諸如SD卡、T-Flash卡等外接擴(kuò)展存儲(chǔ)器，數(shù)據(jù)的存儲(chǔ)量將上升一個(gè)新的臺(tái)階。從這一角度講，智能手機(jī)是個(gè)人隨身攜帶的大容量U盤，其中儲(chǔ)存著通訊錄、短消息、視頻、照片、上網(wǎng)記錄等大量信息，許多信息對(duì)刑事偵查工作是有幫助的。

4.手機(jī)軟件取證分析

智能手機(jī)取證相對(duì)于傳統(tǒng)手機(jī)取證而言，最大的不同點(diǎn)就在于手機(jī)軟件的取證分析。傳統(tǒng)手機(jī)只能使用手機(jī)自帶的功能進(jìn)行各項(xiàng)操作，而智能手機(jī)則可以通過各種各樣的手機(jī)應(yīng)用擴(kuò)展自己的功能：音樂圖片下載、實(shí)時(shí)新聞、股票查詢、天氣查詢、網(wǎng)購、交通導(dǎo)航等等。

在形形色色的手機(jī)軟件中，有些軟件在使用過程中在用戶無意識(shí)的情況下會(huì)自動(dòng)記錄一些個(gè)人信息。這些信息包含了用戶的手機(jī)號(hào)、通訊錄以及在手機(jī)上使用過的郵件、文件、銀行賬號(hào)、轉(zhuǎn)賬匯款記錄、實(shí)時(shí)位置、運(yùn)動(dòng)軌跡等。通過對(duì)這些信息的分析，可以幫助偵查人員進(jìn)行調(diào)查取證工作。

（五）提交證據(jù)

分析證據(jù)之后，需要編寫必要的分析報(bào)告。同時(shí)，對(duì)收集分析得到的手機(jī)數(shù)據(jù)信息，必須經(jīng)過審查轉(zhuǎn)換之后才能作為證據(jù)提交。我國刑訴法第48條規(guī)定了證據(jù)的八個(gè)種類：物證；書證；證人證言；被害人陳述；犯罪嫌疑人、被告人供述和辯解；鑒定意見；勘驗(yàn)、檢查、辨認(rèn)、偵查實(shí)驗(yàn)等筆錄；視聽資料、電子證據(jù)。手機(jī)數(shù)據(jù)信息要應(yīng)用于訴訟活動(dòng)之中，實(shí)現(xiàn)其證據(jù)價(jià)值，就需要將其轉(zhuǎn)化成刑事訴訟法中規(guī)定的證據(jù)類型，否則只能作為偵查線索而無法作為證據(jù)進(jìn)入最后的刑事訴訟活動(dòng)。

三、智能手機(jī)取證存在的問題

（一）法律程序規(guī)定問題

雖然在新版《刑事訴訟法》中增加了“電子證據(jù)”這一新的證據(jù)種類，但是在立法上仍然缺少提取或保全手機(jī)電子數(shù)據(jù)的法律依據(jù)和相關(guān)程序規(guī)定，使得手機(jī)取證在法律程序方面仍然存在一些需要繼續(xù)研究的問題。

（二）手機(jī)實(shí)名滯后問題

根據(jù)工信部統(tǒng)計(jì)數(shù)據(jù)，截至2013年3月底，我國共有11.46億移動(dòng)通信服務(wù)用戶，比去年同期增長12.46%。早在2010年9月1日，工信部就要求運(yùn)營商執(zhí)行手機(jī)實(shí)名制的規(guī)定，不過當(dāng)時(shí)并沒有正式的成文規(guī)定，也沒有將上網(wǎng)卡納入實(shí)名監(jiān)管的范圍。2013年7月，工信部對(duì)外正式公布了《電話用戶真實(shí)身份信息登記規(guī)定》和《電信和互聯(lián)網(wǎng)用戶個(gè)人信息保護(hù)規(guī)定》，規(guī)定從當(dāng)年9月1日起，用戶辦理固定電話、移動(dòng)電話等入網(wǎng)時(shí)，必須進(jìn)行實(shí)名登記。如未進(jìn)行實(shí)名登記，則新辦的電話將無法使用。不過，目前這一實(shí)名制登記的范圍還只限于新增用戶，未進(jìn)行實(shí)名制登記的老用戶的業(yè)務(wù)不受影響。有統(tǒng)計(jì)稱，全國仍有2.8億手機(jī)用戶沒有實(shí)名登記，占總用戶的20%左右。有些地方的統(tǒng)計(jì)顯示，未實(shí)名登記的用戶比例遠(yuǎn)比這高得多。偵查工作中，可以通過技術(shù)手段鎖定犯罪嫌疑人使用的手機(jī)，但如果該手機(jī)用戶沒有實(shí)名登記或使用別人身份信息登記，則難以迅速確定犯罪嫌疑人的身份。

（三）辦案思維固化問題

有些偵查人員觀念落后，思想僵化，重破案、輕辦案的思想根深蒂固，在工作過程中大多將手機(jī)的通話清單作為辦案線索，而疏于對(duì)智能手機(jī)上其他電子數(shù)據(jù)的發(fā)掘利用，不能充分發(fā)揮智能手機(jī)中數(shù)據(jù)的應(yīng)有作用。

（四）手機(jī)硬件協(xié)調(diào)問題

手機(jī)市場(chǎng)的激烈競(jìng)爭(zhēng)，加快了手機(jī)更新?lián)Q代速度。手機(jī)品牌種類繁多，不同手機(jī)的數(shù)據(jù)處理方式和存儲(chǔ)方式不同且沒有統(tǒng)一的規(guī)范。數(shù)據(jù)線接口也各式各樣，使得現(xiàn)有的取證工具無法適用于所有的手機(jī)取證。

四、結(jié)束語

隨著3G手機(jī)的不斷發(fā)展以及即將到來的4G網(wǎng)絡(luò)，智能手機(jī)成為綜合性的個(gè)人手持移動(dòng)數(shù)據(jù)終端的趨勢(shì)愈發(fā)明顯，手機(jī)取證的范圍將進(jìn)一步擴(kuò)大，這對(duì)手機(jī)取證提出了新的挑戰(zhàn)。本文提出的取證模型要在實(shí)踐中進(jìn)行檢驗(yàn)，只有通過不斷地審查，吸取執(zhí)法人員以及取證專家、法律專家的意見，才能不斷進(jìn)行完善，成為通用的手機(jī)調(diào)查取證模型。同時(shí)，要努力解決智能手機(jī)取證中存在的問題，完善相關(guān)的法律法規(guī)體系，更新觀念，科學(xué)合理地進(jìn)行手機(jī)調(diào)查取證，更有力地打擊犯罪。

[1]殷啟新,李云龍.刑偵工作中手機(jī)電子證據(jù)取證的作用[J].云南警官學(xué)院學(xué)報(bào),2010(5).

[2]陳德俊,丁紅軍.手機(jī)取證研究概述[J].中國公共安全,2012(3).

[3]張明旺.基于手機(jī)的電子證據(jù)獲取技術(shù)研究[J].電腦知識(shí)與技術(shù), 2012(8).

[4]丁紅軍.手機(jī)規(guī)范取證研究[J].信息網(wǎng)絡(luò)安全,2012(5).

D631.2

A

1673―2391(2014)05―0029―03

2014-01-09 責(zé)任編校：邊 草