芻議電子物證檢驗鑒定中數(shù)據(jù)恢復(fù)技術(shù)

周兵

摘 要 案件偵查以證據(jù)為原則，但因為犯罪分子反偵察意識的提升，很多的犯罪證據(jù)并不能有效保存下來，這大大增加了案件審理的難度。隨著信息技術(shù)的發(fā)展，針對電子物證檢驗鑒定的數(shù)據(jù)恢復(fù)技術(shù)越來越先進，可以最大限度地還原犯罪案件。本文先對常用的數(shù)據(jù)恢復(fù)工具與功能做一簡要闡述，進而重點從基于硬件的數(shù)據(jù)恢復(fù)技術(shù)、基于軟件的數(shù)據(jù)恢復(fù)技術(shù)兩方面對電子物證檢驗鑒定中數(shù)據(jù)恢復(fù)技術(shù)做系統(tǒng)分析綜述。

關(guān)鍵詞 電子物證;檢驗鑒定;數(shù)據(jù)恢復(fù)

高智商的犯罪嫌疑人犯罪手段更加高明，基于作案技巧和反偵察手段的不斷提升，犯罪嫌疑人往往在實施犯罪后會對相關(guān)的數(shù)據(jù)信息進行刪除，有用的犯罪證據(jù)一旦刪除即會對案件的有效偵破產(chǎn)生影響[1]。就現(xiàn)階段電子物證檢驗鑒定中數(shù)據(jù)恢復(fù)技術(shù)應(yīng)用情況來看，主要分為兩種，即基于硬件的數(shù)據(jù)恢復(fù)技術(shù)和基于軟件的數(shù)據(jù)恢復(fù)技術(shù)。作為利用技術(shù)手段對人為刪除數(shù)據(jù)進行恢復(fù)的過程，數(shù)據(jù)恢復(fù)的對象主要是各種儲存信息的介質(zhì)，比如計算機硬盤和內(nèi)存。借助于先進的信息技術(shù)，可以最大程度恢復(fù)被刪除數(shù)據(jù)，這對于更好打擊罪犯，維護社會安全穩(wěn)定具有重要的意義。因此，明確和掌握電子物證檢驗鑒定中數(shù)據(jù)恢復(fù)技術(shù)尤為重要。

1常用的數(shù)據(jù)恢復(fù)工具與功能

數(shù)據(jù)的表現(xiàn)形式主要有聲音、文字、音頻及圖片等，電子物證檢驗鑒定中數(shù)據(jù)恢復(fù)的重點和難點在于如何基于數(shù)據(jù)和底層算法，采用多種數(shù)據(jù)恢復(fù)技術(shù)工具對數(shù)據(jù)實現(xiàn)全方位的取證和分析，以此獲得最真實、有效的犯罪數(shù)據(jù)。但鑒于數(shù)據(jù)恢復(fù)工具具有多樣化，且本身底層所采用的算法均有所不同，因而針對具體的數(shù)據(jù)形式選擇適用的數(shù)據(jù)恢復(fù)工具也同樣重要。就現(xiàn)階段數(shù)據(jù)恢復(fù)工具來看，最為常用的有EasyRecovery、FinalData、PhotoRecovery三種，三種數(shù)據(jù)恢復(fù)軟件均有良好的應(yīng)用效果。

EasyRecovery是當前階段最為常用的軟件恢復(fù)工具，其優(yōu)勢之一在于可以自定義恢復(fù)數(shù)據(jù)，能夠通過在內(nèi)存中重建文件分區(qū)實現(xiàn)數(shù)據(jù)的轉(zhuǎn)移目的。鑒于數(shù)據(jù)存儲介質(zhì)中并不是所有的數(shù)據(jù)信息均與案件有所關(guān)聯(lián)，因而在實際開展數(shù)據(jù)分析和恢復(fù)過程中為了有效提升數(shù)據(jù)恢復(fù)的準確性和有效性，通過可以借助EasyRecovery對指定的文件夾或者文件名進行恢復(fù)，實踐應(yīng)用效果顯著。可以說，未來的電子物證檢驗鑒定中數(shù)據(jù)恢復(fù)必然會朝著這個方向發(fā)展，逐漸專門化和高效化。FinalData的缺點在于專業(yè)性較低，特別是與EasyRecovery相比，其專業(yè)性更低。不過，借助于Windows資源管理器的排布模式，良好的交互界面，且本身支持FAT16/32和NTFS，所以FinalData的操作性可以大大提升，可以對已經(jīng)完全刪除的數(shù)據(jù)和目錄進行恢復(fù)，本身的恢復(fù)速度也很快。在電子物證檢驗鑒定中數(shù)據(jù)恢復(fù)過程中，因為犯罪分子會故意隱蔽證據(jù)，故需要對恢復(fù)后的數(shù)據(jù)進行甄別，此時FinalData可以發(fā)揮優(yōu)勢，更好保證數(shù)據(jù)的完整性和有效性。PhotoRecovery是一種針對性很強的恢復(fù)軟件，主要用于存儲介質(zhì)中圖片的恢復(fù)，其優(yōu)勢在于可以對即將恢復(fù)的圖片進行縮略圖瀏覽，可以更加直觀地查看節(jié)將修復(fù)的圖片，因而，針對圖片類的犯罪信息恢復(fù)可以優(yōu)先選擇PhotoRecovery[2]。

2電子物證檢驗鑒定中數(shù)據(jù)恢復(fù)技術(shù)

犯罪分子所進行的數(shù)據(jù)信息刪除主要是針對存儲介質(zhì)破壞和軟件，不同的數(shù)據(jù)刪除方式所需要的恢復(fù)技術(shù)也有所不同，但就現(xiàn)階段我國電子物證鑒定中的數(shù)據(jù)恢復(fù)技術(shù)應(yīng)用情況來看，主要包括基于軟件的數(shù)據(jù)恢復(fù)和基于硬件的數(shù)據(jù)恢復(fù)。

在基于硬件的數(shù)據(jù)恢復(fù)中，往往犯罪分子為了有效毀滅犯罪數(shù)據(jù)，會對有記錄犯罪信息的存儲設(shè)備進行毀滅，即對存儲介質(zhì)進行破壞。這就需要恢復(fù)人員根據(jù)實際破壞情況對存儲介質(zhì)進行維修或者導出數(shù)據(jù)，如果信息存儲介質(zhì)的破壞程度小，則恢復(fù)人員可以直接對其進行修復(fù)，正常使用存儲設(shè)備，進而獲得有用的信息。但是如果存儲設(shè)備被犯罪分子破壞的程度高，則恢復(fù)人員無法直接使用，只能對關(guān)鍵布置進行修復(fù)和更換，最大程度實現(xiàn)有用數(shù)據(jù)的導出。兩種方式均屬于基于硬件的數(shù)據(jù)恢復(fù)技術(shù)，但實際應(yīng)用領(lǐng)域有很大的差異，因而在數(shù)據(jù)恢復(fù)時需要根據(jù)存儲介質(zhì)被破壞程度的大小合理選擇恢復(fù)技術(shù)。還有一點，如果存儲介質(zhì)被犯罪分子直接滅失，則數(shù)據(jù)恢復(fù)無從談起，這對于案件審查極為不利。

在基于軟件的數(shù)據(jù)恢復(fù)中，犯罪分子為了更好地毀滅證據(jù)，人為操作下往往會對磁盤格式、文件刪除及分區(qū)表信息等造成嚴重的損壞，這同樣對數(shù)據(jù)恢復(fù)極為不利。電子物證檢驗鑒定中的數(shù)據(jù)恢復(fù)技術(shù)可以通過支持手段最大限度實現(xiàn)存儲介質(zhì)的信息恢復(fù)，能夠大大提升案件偵破效率與質(zhì)量。因此，為了保證數(shù)據(jù)的完整性，需要進行軟件的數(shù)據(jù)恢復(fù)。不過在基于軟件的數(shù)據(jù)恢復(fù)中，其前提是存儲介質(zhì)并未受到物理破壞，相比于基于硬件的數(shù)據(jù)恢復(fù)，基于軟件的數(shù)據(jù)恢復(fù)成功率更高，其根本原因在于存儲介質(zhì)在沒有受到物理破壞的情況下，犯罪分子對數(shù)據(jù)信息的刪除只是對數(shù)據(jù)形式產(chǎn)生了改變，犯罪數(shù)據(jù)仍然客觀存在。

3結(jié)束語

可以明確認識到的一點是，犯罪分子有能力在犯罪后對犯罪信息存儲介質(zhì)進行物理損壞，會大大阻礙案件偵破，降低案件偵破效率。因此，數(shù)據(jù)恢復(fù)至關(guān)重要，只有不斷發(fā)展數(shù)據(jù)恢復(fù)技術(shù)，才可以有效提升電子物證檢驗鑒定的工作效率與質(zhì)量。這要求必須給予數(shù)據(jù)恢復(fù)技術(shù)充分的重視，針對犯罪分子犯罪心態(tài)和行為，加強新型數(shù)據(jù)恢復(fù)技術(shù)和工具的研發(fā)，保證數(shù)據(jù)恢復(fù)技術(shù)的實用性與先進性，可以對所涉及的犯罪行為進行全方位、系統(tǒng)化的分析恢復(fù)，以此利用數(shù)據(jù)恢復(fù)技術(shù)恢復(fù)犯罪嫌疑人留下的數(shù)據(jù)信息，起到偵破案件、維護社會安全穩(wěn)定的目的。

參考文獻

[1] 張斐.司法鑒定中電子物證檢材管理的編碼問題研究[J].中國人民公安大學學報：自然科學版，2019，25（2）：44-48.

[2] 劉波.電子數(shù)據(jù)鑒定意見質(zhì)證難的破解之道[J].重慶郵電大學學報（社會科學版），2018，30（1）：44-52.