基于數(shù)字取證技術(shù)的安全可靠電子文件管理系統(tǒng)

宋 輝 張怡靜

（ 1.鄭州航空工業(yè)管理學(xué)院，河南 鄭州 450015； 2.湖南省建筑工程集團(tuán)總公司中原工程分公司，河南 鄭州 450053）

隨著電子文件的大量產(chǎn)生，電子文件逐漸取代紙質(zhì)文件成為主要的社會記錄形式，電子文件管理工作成為檔案管理工作的重要組成部分。然而信息技術(shù)的發(fā)展已經(jīng)改變了檔案產(chǎn)生、真?zhèn)涡宰R別和保存的方式。電子文件不同于紙質(zhì)文件，由于電子文件依賴于硬件系統(tǒng)和軟件系統(tǒng)，所以需要不斷地維護(hù)，這就造成了想要保存完整和真實的電子文件是具有挑戰(zhàn)的。如果用戶利用現(xiàn)有的軟件和硬件能夠成功地讀出電子文件，我們才可以認(rèn)為電子文件是可訪問的。檔案工作者有責(zé)任保持電子文件的長期可讀性，使其完整性、真實性和可訪問性不被破壞。類似地，數(shù)字取證專家利用數(shù)字設(shè)備保存、收集、驗證、識別、分析、解釋和記錄來源于數(shù)字環(huán)境的數(shù)字證據(jù)。然而當(dāng)這些電子文件不在電子文件管理系統(tǒng)中時，收集、識別、驗證、保存這些電子文件就非常困難了。本文將提出一個能夠被檔案工作者用來收集電子文件和生成歸檔電子文件有關(guān)的元數(shù)據(jù)的一個數(shù)字檔案管理系統(tǒng)，數(shù)字檔案管理系統(tǒng)的主要目的是提供數(shù)字取證技術(shù)和用于獲取、識別、分析、管理檔案館的電子文件。

1 數(shù)字取證

1.1 數(shù)字取證定義

數(shù)字取證研究工作組給出的定義，其具體內(nèi)容是：為了重建數(shù)字犯罪過程，或者預(yù)測并杜絕有預(yù)謀的破壞性未授權(quán)行為，通過使用科學(xué)的、已證實的理論和方法，對源于數(shù)字設(shè)備等資源的數(shù)字證據(jù)進(jìn)行保存、收集、確認(rèn)、識別、分析、解釋、歸檔和陳述等活動過程［1］。

1.2 數(shù)字取證與電子文件

正如數(shù)字取證的定義，數(shù)字法醫(yī)專家從事數(shù)字?jǐn)?shù)據(jù)的識別和保存。檔案工作者也在從事類似的工作。然而，兩者的工作在數(shù)字取證和數(shù)字歸檔方面有不同的角色。

文件的哈希值（摘要）可以用來檢查電子文件數(shù)字檔案的完整性。在存儲電子文件之前，可以生成電子文件的散列值。每當(dāng)出現(xiàn)問題時，這個散列值可以用于檢查檔案的完整性。

1.3 可信電子文件的屬性

可信的電子文件是指真實性、完整性與長期可用性得到確認(rèn)的電子文件［2］?！按_認(rèn)”不僅表明電子文件真實性得到了保障，還能對其真實性提供證明，從而滿足社會對電子文件真實性要求的主觀認(rèn)知，電子文件是可信的，也就具有了法律效力，因此，可信電子文件是真實性、完整性、長期可用性得到保障并能進(jìn)行真實性證明的電子文件［3］。

電子文件至少要明確由誰何時創(chuàng)造才可以認(rèn)為其是可信的電子文件。此外，電子文件生成后，一旦被修改，這種修改行為能夠被正確地記錄?？尚烹娮游募饕膶傩杂幸韵聨c(diǎn)：完整性（保持電子文件是完整的和不變的。這并不意味著，電子文件不會遇到任何改變，而是意味著電子文件必須受到保護(hù)，免遭篡改或損壞）；真實性（如果確定是某人發(fā)送的或者生成的，那么就認(rèn)為此電子文件是真實的）；證明存在性（可以用具體技術(shù)來證明電子文件存在于過去的某一時間）。

電子文件的這些基本屬性可以用電子文件的比特流、時間戳和哈希函數(shù)來驗證。散列函數(shù)接受二進(jìn)制數(shù)據(jù)的一個任意字符串，在預(yù)定的范圍內(nèi)產(chǎn)生一個數(shù)，通常稱為一個摘要。理想情況下，給定一組不同的輸入，散列函數(shù)將它們映射到不同輸出。電子文件創(chuàng)建后，它的摘要是通過電子文件比特流計算出來的。這個號碼可以用于三個目的。首先，它被用作完整性驗證機(jī)制。如果電子文件在其摘要被計算后修改，它的比特流將被改變，所以摘要也將改變。因此，使用摘要可以很容易地檢查出電子文件的完整性。其次，電子文件的真實性可以使用其摘要和創(chuàng)造者的數(shù)字簽名來確定。第三，可以通過摘要和從可信時間戳機(jī)構(gòu)獲得的時間戳來證明電子文件在過去某個時間存在。上述三種技術(shù)可以用來證明可信電子文件，并且它們依賴于電子文件的比特流。

2 電子文件面臨的挑戰(zhàn)

2.1 長期可用性挑戰(zhàn)

有用的電子文件，它應(yīng)該是可訪問的。然而，隨著技術(shù)不斷地進(jìn)步，面臨的主要挑戰(zhàn)是：媒介過時（由于缺乏硬件訪問媒介，電子文件變得不可讀）；文件格式過時（由于創(chuàng)建電子文件的原始軟件不再可用，這些重要的電子文件無法訪問）。

2.2 完整性的缺失

電子文件由于其數(shù)字特性可以輕易地操縱和更改。用散列算法可以證明電子文件的完整性。然而，如果散列算法的強(qiáng)度是可以接受的，并且在一些級別，電子文件仍然保持完好無損，這是可能的。給定的電子文件的比特流因為很多原因被修改，例如，當(dāng)使用不當(dāng)?shù)膹?fù)制工具使電子文件從一個存儲媒介轉(zhuǎn)移到另一個存儲媒介時。

2.3 證明存在性的缺失

時間戳可以用來證明電子文件在過去某個時間的存在。只有時間戳源于一個值得信賴的來源時，與電子文件相關(guān)聯(lián)的時間戳才是可被接受的。

3 數(shù)字檔案管理系統(tǒng)

開源的軟件數(shù)字取證工具在目前形勢下并不適合檔案工作者使用，需要設(shè)計開發(fā)出對檔案工作者來說使用便捷的數(shù)字檔案管理系統(tǒng)。

3.1 設(shè)計標(biāo)準(zhǔn)

為了消除對任何操作系統(tǒng)的依賴性，應(yīng)該使用可以供不同用戶使用的跨平臺的軟件應(yīng)用，這是非常重要的。因為在日常工作中，大多數(shù)非計算機(jī)專業(yè)人士只使用一個特定的操作系統(tǒng)。檔案工作者基于他們的技能和工作環(huán)境使用著不同的操作系統(tǒng)。為了沒有平臺的限制障礙，數(shù)字檔案管理系統(tǒng)應(yīng)支持通用的操作系統(tǒng)。

3.1.1 可用性

數(shù)字取證工具是應(yīng)數(shù)字取證調(diào)查專家的使用而開發(fā)出來的，這導(dǎo)致了數(shù)字取證工具具有復(fù)雜的功能，為了熟練使用這些工具，必須額外地加以練習(xí)。數(shù)字檔案管理系統(tǒng)應(yīng)該有一個直觀的界面和功能，使得檔案工作者在很短的時間內(nèi)容易地理解電子文件。

3.1.2 在單一環(huán)境下提供多重功能

數(shù)字檔案管理系統(tǒng)應(yīng)具有以下模塊：磁盤鏡像模塊；磁盤鏡像安裝模塊；檔案元數(shù)據(jù)生成模塊；檔案元數(shù)據(jù)數(shù)據(jù)庫模塊。如果檔案工作者可以在單一的軟件源中發(fā)現(xiàn)這些功能，可以有效地安裝、使用和維護(hù)系統(tǒng)。

3.1.3 基于源代碼開放的軟件

開發(fā)數(shù)字檔案管理系統(tǒng)的主要目的是為檔案工作者提供可用于有效和便捷地收集電子文件的數(shù)字取證技術(shù)。為了實現(xiàn)這一目標(biāo)，數(shù)字檔案管理系統(tǒng)應(yīng)被開發(fā)成開源軟件資源。因此數(shù)字檔案管理系統(tǒng)和源代碼將免費(fèi)提供給檔案工作者。

3.2 數(shù)字檔案管理系統(tǒng)架構(gòu)概述

數(shù)字檔案管理系統(tǒng)是由提供以下服務(wù)的不同組件組成（圖1）。

3.2.1 數(shù)字檔案管理系統(tǒng)工作站

創(chuàng)建一個包含數(shù)字檔案的存儲介質(zhì)的磁盤映像是很有必要的。一旦磁盤映像創(chuàng)建，檔案工作者可以掛載磁盤映像，并使用該磁盤安裝模塊訪問數(shù)字檔案的內(nèi)容。此外，檔案工作者可以使用數(shù)字對象分析模塊來分析，以確定和選擇重要的電子文件。檔案元數(shù)據(jù)生成器模塊是用于為每個已收集的電子文件創(chuàng)建元數(shù)據(jù)。該元數(shù)據(jù)可以被用來唯一地標(biāo)識每個電子文件，以驗證電子文件和其他相關(guān)信息的完整性。

圖1 數(shù)字檔案管理系統(tǒng)架構(gòu)

3.2.2 時間戳服務(wù)器

電子文件簽署的日期和簽名均是十分重要的防止電子文件被偽造和篡改的關(guān)鍵性內(nèi)容，時間戳能夠唯一地標(biāo)識某一刻的時間。數(shù)字時間戳服務(wù)能提供電子文件的日期和時間信息的安全保護(hù)?？尚艜r間戳即由國家法定時間源來負(fù)責(zé)保障時間的授時和守時監(jiān)測，任何機(jī)構(gòu)包括時間戳中心自己不能對時間進(jìn)行修改以保障時間的權(quán)威，只有這樣產(chǎn)生的時間戳才具有法律效力。數(shù)字檔案管理系統(tǒng)中的可信時間戳服務(wù)器是作為時間戳的來源。在電子文件長期保存之前，要給每一個電子文件一個時間戳，此時間戳是用來證明存在的電子文件沒有進(jìn)行過修改。

3.2.3 數(shù)據(jù)存儲器

為了使電子文件避免遭篡改而影響其可信性，由檔案工作者創(chuàng)建的每個磁盤映像都應(yīng)在電子文件收集完之后存儲在專用的數(shù)據(jù)存儲器中，這是非常重要的。

3.2.4 數(shù)據(jù)庫

數(shù)據(jù)庫用于存儲存檔的元數(shù)據(jù)，這對于有效地收集電子文件是非常重要的。

3.3 數(shù)字檔案管理系統(tǒng)功能

3.3.1 創(chuàng)建磁盤鏡像

簡單地說，磁盤鏡像可以被定義為一種為了在較長時期保存數(shù)據(jù)而制作的安全可靠的副本。對檔案工作者來說，制造存儲設(shè)備的副本具有許多益處。首先，它使檔案工作者在分析電子文件時不用擔(dān)心會修改原始數(shù)據(jù)的風(fēng)險。其次，由于技術(shù)的廢棄或者存儲媒介隨著時間的衰變，原始的電子文件的存儲設(shè)備很可能無法讀出，創(chuàng)建合適的磁盤鏡像可以有助于電子文件長期保存。

3.3.2 數(shù)字對象分析

對檔案工作者來說，需要識別以下文件信息：文件名稱；文件格式；生成時間；更改時間；加密或密碼保護(hù)；存儲地址。

3.3.3 創(chuàng)建歸檔信息

在電子文件捕獲之后，為了電子文件的長期保存，有必要創(chuàng)建電子文件相聯(lián)系的元數(shù)據(jù)，這樣有助于確保電子文件的完整性和真實性。這些元數(shù)據(jù)包括：文件名稱；對象標(biāo)識符；哈希值；文件格式；創(chuàng)建者名稱；捕獲電子文件者名稱；存儲位置；時間戳。

3.3.4 存儲歸檔信息

把可信的電子文件收集歸檔是一項具有挑戰(zhàn)的任務(wù)。不同于紙質(zhì)檔案，電子文件很容易被篡改。因此，如果失去可信機(jī)制很難長久保存電子文件。然而我們可以通過創(chuàng)建和存儲元數(shù)據(jù)來應(yīng)對這種挑戰(zhàn)，比如使用與電子文件關(guān)聯(lián)的哈希值和時間戳。檔案人員創(chuàng)建電子文件關(guān)聯(lián)的元數(shù)據(jù)之后，需要把它們存儲到關(guān)系型數(shù)據(jù)庫中。一旦檔案元數(shù)據(jù)被存儲在數(shù)據(jù)庫中，為了避免未授權(quán)的篡改，對元數(shù)據(jù)的進(jìn)一步訪問將被嚴(yán)格限制。

4 結(jié)論

個人或者組織每天使用各種類型的數(shù)字設(shè)備產(chǎn)生了大量電子文件，我們有必要在對電子文件進(jìn)行長期保存歸檔之前對其進(jìn)行識別、收集、分析，本文提出了一個基于數(shù)字取證技術(shù)可用于加強(qiáng)電子文件收集工作的數(shù)字檔案管理系統(tǒng)。

［1］李炳龍，王魯，陳性元.數(shù)字取證技術(shù)及其發(fā)展趨勢［J］.信息網(wǎng)絡(luò)安全，2011（1）：20-21.

［2］李澤鋒.基于OAIS的可信電子文件管理系統(tǒng)的體系構(gòu)建［J］.情報雜志，2010（8）：33-35.

［3］張雅君.可信電子文件與電子文件可信管理［J］.蘭臺世界，2015（4）：50-52.