亞 森·艾則孜

(新疆警察學院 信息安全工程系，新疆 烏魯木齊 830011)

據(jù)統(tǒng)計，我國從首例計算機犯罪(1986年利用計算機貪污案件)被發(fā)現(xiàn)至今，涉及數(shù)字設備的犯罪無論從犯罪類型還是從發(fā)案率來看，都在逐年大幅度上升,國外有犯罪學家預言:“未來信息化社會犯罪的形式將主要是基于數(shù)字設備的信息化犯罪”[1]。因此，在不同數(shù)字設備中可能遺留一些與相關案件有關的電子證據(jù)。 面對不斷上升的犯罪信息化現(xiàn)象，電子數(shù)據(jù)司法鑒定成為鑒定案件中數(shù)字證據(jù)的有力手段。2012年修訂的刑事訴訟法和民事訴訟法中都明確規(guī)定電子數(shù)據(jù)屬于證據(jù)的一種。電子數(shù)據(jù)司法鑒定，是一門新興的、發(fā)展迅速的學科，它在打擊犯罪、案件審判、維護國家安全和社會和諧穩(wěn)定等方面發(fā)揮著重要的作用。

1 電子數(shù)據(jù)司法鑒定實驗課

目前，我國很多公安、政法院校的信息安全或刑事科學技術專業(yè)開設了電子數(shù)據(jù)司法鑒定課程，此課程已成為信息安全或刑事科學技術專業(yè)體系的核心課程之一。為適應信息化時代的需求，需要深入研究該課程的問題，特別是研究實驗教學模式問題，將有利于學生提高電子數(shù)據(jù)司法鑒定的能力。

電子數(shù)據(jù)司法鑒定課程是一門跨學科的理工科綜合課程，極具實踐性。在開設該課程之前,學生必須學過計算機原理、數(shù)據(jù)結構、數(shù)據(jù)庫、C語言程序設計、偵查學及法學等課程，已掌握基本理論知識和基本專業(yè)技能。同時電子數(shù)據(jù)司法鑒定課程也是實踐性很強的課程，實踐教育是創(chuàng)新人才培養(yǎng)體系的重要組成部分。實驗教學作為實踐教育的主要組成部分之一，對于提高學生的綜合素質、培養(yǎng)學生的創(chuàng)新精神與實踐能力有著不可替代的作用[2]。

1.1 實驗教學性質和存在問題

電子數(shù)據(jù)司法鑒定實驗教學是電子數(shù)據(jù)司法鑒定課程教學的重要環(huán)節(jié)，通過電子數(shù)據(jù)司法鑒定實驗教學使學生更好地理解和掌握電子數(shù)據(jù)司法鑒定的知識及技能，讓學生熟練地掌握正確的電子數(shù)據(jù)司法鑒定理念、流程及具體鑒定工具(軟件、硬件設備)的操作,提高對實際問題的分析、解決能力。很多公安院校普遍存在的實際問題如下：

(1) 實驗室的建設跟不上教育改革的步伐；

(2) 對電子數(shù)據(jù)司法鑒定課程實驗教學重視不夠，導致課程體系和內(nèi)容不合理；

(3) 解決具體問題并具有綜合性的實驗偏少，個別學校該課程實驗課沒有完整的教學大綱，實驗內(nèi)容缺乏針對性和實用性；

(4) 實驗教師缺乏實踐能力，業(yè)務能力參差不齊。

1.2 實驗教學要求和方法

(1) 實驗室是教師進行教學、科研的重要基地，也是學生理論聯(lián)系實際提高專業(yè)技能的重要場所，因此開設該課程的學校必須建立好充分滿足教學需要的電子數(shù)據(jù)司法鑒定實驗室。

(2) 為激發(fā)學生的學習興趣、調(diào)動學生的學習主動性，任課教師根據(jù)教學大綱及實驗室條件合理地設計好實驗大綱，實驗內(nèi)容的安排循序漸進，從簡單到綜合，從模擬的小型案例到具有代表性的實際案例[3]。

(3) 任課教師必須具備豐富的實踐經(jīng)驗，原則上擔任該課程實驗教學的教師必須具有國家電子數(shù)據(jù)司法鑒定資格，應具備通過有針對性的實際案例感染學生、激發(fā)學生的學習興趣和能力[4]。

2 實驗教學改革

2.1 實驗教學環(huán)境要求

對目前很多公安、政法類院校在電子數(shù)據(jù)司法鑒定教學實驗室建設方面所遇到的種種問題，我們進行了深入、細致的研究，并結合當前電子數(shù)據(jù)司法鑒定發(fā)展的現(xiàn)狀，有針對性地提出公安、政法類院校進行電子數(shù)據(jù)司法鑒定教學實驗室建設的出發(fā)點[5]。

(1) 電子數(shù)據(jù)司法鑒定教學實驗室所使用的設備是專門針對教學而開發(fā)的，與專業(yè)的取證設備相比，具有價格低廉、維護方便、使用簡單、適于教學等優(yōu)點，不需要很大的資金投入，可解決建設資金不足的問題。由于該實驗室只能為教學服務，不需要建設類似于電子數(shù)據(jù)司法鑒定中心實驗室一樣的高端實驗室，可以在現(xiàn)有的計算機多媒體教室的基礎上進行升級改造，充分提高現(xiàn)有實驗室的利用率，降低實驗室建設成本。實驗室所需軟件和硬件設備與專業(yè)的鑒定工具相比，應具有價格合理、使用簡單、維護方便等特點[6]。

(2) 電子數(shù)據(jù)司法鑒定教學實驗室既能進行理論教學，也能進行實驗教學，真正做到邊學習邊實踐，教師不需要在理論教室和實驗室之間帶領學生來回奔波，實驗室也方便管理，解決了師資不足問題。

根據(jù)以上觀點，我院建立了電子數(shù)據(jù)司法鑒定實驗室，主要設備有FL-300實訓系統(tǒng)、取證魔方、效率源、手機取證設備以及各類電子數(shù)據(jù)鑒定軟件工具等。

2.2 實驗教學內(nèi)容設計

2.2.1 學生能力要求

通過電子數(shù)據(jù)司法鑒定課程的實驗教學內(nèi)容，使學生能夠深化對課堂教學內(nèi)容的理解和掌握，熟悉和了解有關電子數(shù)據(jù)司法鑒定的相關技術方法及具體工具的使用方法和過程，初步掌握網(wǎng)絡犯罪與電子數(shù)據(jù)司法鑒定的基本理論、基本方法、基本技術及其在司法實踐中的應用情況。為此,實驗內(nèi)容需要精心設計，要能夠增強學生對學習內(nèi)容的感性認識和實踐動手能力，從而為理論聯(lián)系實際以及運用于實際工作做好基本的技能準備。電子數(shù)據(jù)司法鑒定實驗教學必須反映具體電子數(shù)據(jù)司法鑒定工作內(nèi)容。目前電子數(shù)據(jù)司法鑒定業(yè)務具體內(nèi)容包括網(wǎng)站(網(wǎng)頁)內(nèi)容鑒定、郵件鑒定、軟件功能鑒定、軟件(電子設備)侵權問題鑒定、信息系統(tǒng)鑒定、文檔文本鑒定 、即時信息(聊天記錄)鑒定等。根據(jù)電子數(shù)據(jù)司法鑒定行業(yè)要求，學生通過本課程的學習，必須掌握以下基本能力:

(1) 各種不同編碼數(shù)據(jù)的分析能力；

(2) 現(xiàn)場勘查與電子數(shù)據(jù)的提取、固定與校驗能力；

(3) 各種存儲介質數(shù)據(jù)的恢復能力；

(4) 各類文檔結構及其文檔特征的分析能力；

(5) 用戶行為鑒定能力；

(6) 惡意程序鑒定能力；

(7) 數(shù)據(jù)庫鑒定能力；

(8) 電子文檔與數(shù)據(jù)電文鑒定能力；

(9) 電子數(shù)據(jù)相似性司法鑒定能力；

(10) 手機證據(jù)鑒定能力；

(11) 電子數(shù)據(jù)鑒定報告的書寫能力。

2.2.2 實驗教學內(nèi)容

結合電子數(shù)據(jù)司法鑒定行業(yè)及電子數(shù)據(jù)司法鑒定員操作能力要求，實驗教學內(nèi)容主要包括：

(1) 二進制數(shù)據(jù)分析。在電子設備中所處理的各種語言文字信息都有編碼，主要有ASCII、Unicode、UTF-8、GB2312級BIG5等。電子數(shù)據(jù)司法鑒定提取、分析與處理的是計算機存儲介質中的數(shù)據(jù)，因此，數(shù)據(jù)的機器表示是電子數(shù)據(jù)司法鑒定基礎中的基礎。通過本次實驗，學生理解字符信息在數(shù)字設備中的不同應用程序里的各種字符編碼、代碼頁，懂得文件系統(tǒng)邏輯結構，了解并掌握低層次的數(shù)據(jù)分析。本次實驗課所需的工具有Windows 造字程序、Debug、UltraEdit 和WinHex等。

(2) 易失性數(shù)據(jù)的收集。易失性數(shù)據(jù)是指系統(tǒng)運行過程在某一時刻的詳細狀態(tài)信息，包括用戶登入列表、登入日期時間、運行進程列表以及網(wǎng)絡連接列表等信息。因易失性數(shù)據(jù)具有隱蔽性、客觀性、脆弱易逝性等特點，獲取這些證據(jù)的緊急性最高，所以必須最先獲取，以免意外情況造成易失性數(shù)據(jù)的丟失。通過本次實驗，學生熟悉Windows等系統(tǒng)內(nèi)可獲取易失性數(shù)據(jù)的工具的功能以及使用方法和技巧。本次實驗課所需的工具有PS Tools、cmd.exe、net stat、ipconfig、md5sum、arp等[7]。

(3) 保全備份的制作。根據(jù)規(guī)范要求，鑒定分析工作必須在原始證據(jù)的副本上進行。原始證據(jù)的副本，一般可以分為幾種形式，如鏡像硬盤、證據(jù)文件等。證據(jù)文件是原始證據(jù)的精確副本，它是位對位的復制。通過本次實驗，學生理解什么是合法的電子數(shù)據(jù)司法鑒定備份文件，了解選用備份工具的要求，學會能在只讀環(huán)境下用電子數(shù)據(jù)司法鑒定復制工具對磁盤數(shù)據(jù)進行備份、查看映像備份文件的內(nèi)容、驗證數(shù)據(jù)完整性(計算hash值)等。本次實驗課所需的工具有Second Copy、File Genie 2000、Ghost、dd、EnCase、取證大師、只讀鎖、硬盤克隆工具DC-8000pro等[8]。

(4) 恢復已被刪除的數(shù)據(jù)。在對數(shù)字設備的應用過程中，病毒的破壞、黑客的入侵、人為誤操作、人為惡意破壞、系統(tǒng)的不穩(wěn)定、存儲媒介的損壞等原因，都有可能使重要的數(shù)據(jù)丟失。為獲取原始數(shù)字證據(jù)，必要時需要進行數(shù)據(jù)恢復[9]。通過本次實驗，學生理解各種操作系統(tǒng)文件系統(tǒng)結構及文件存取原理、各類文檔文件頭信息(特征碼)等，懂得數(shù)據(jù)恢復的可能性，了解并掌握常用的數(shù)據(jù)恢復軟件的使用方法和技能。本次實驗課所需的工具有Private Disk、XY-Forensic、Final Data 和Easy Recovery等。

(5) 數(shù)據(jù)的加密與解密。在信息時代，信息可以幫助團體或個人使他們受益，同樣，信息也可以用來對他們構成威脅，造成破壞。在競爭激烈的大公司中，工業(yè)間諜經(jīng)常會獲取對方的情報。用戶經(jīng)常需要一種措施來保護自己的數(shù)據(jù)，防止被一些懷有不良用心的人看到或者破壞。因此，在客觀上就需要一種強有力的安全措施來保護機密數(shù)據(jù)不被竊取或篡改。在具體的電子數(shù)據(jù)司法鑒定工作過程中，鑒定人員肯定會遇到各種被加密過的文件，因此在該實驗課中必須安排數(shù)據(jù)加密與解密實驗內(nèi)容。通過本次實驗，使學生理解數(shù)據(jù)機密的原理，掌握常用的密碼破解技術，學會使用加密與解密工具。本次實驗課所需的工具有：FilesCrypter、Cmospwd、AOPR、GetIP、UZPC、CRACK、L0phtCrack5、WinPE啟動光盤、ImageHide等。

(6) 電子證據(jù)分析綜合實驗。電子數(shù)據(jù)司法鑒定工作對所獲得的證據(jù)進行分析，目的是從中找出合法的、有效的電子證據(jù)，以供日后提交證據(jù)之用。通過使用合法的專用工具進行分析，如果電子證據(jù)被發(fā)現(xiàn)時，應將每件證據(jù)清晰、準確地記錄下來。進行此次實驗課時，教師必須設計出具有代表性的案例，要講清楚從案情分析考慮要找什么樣的證據(jù)、此證據(jù)與此案件的關聯(lián)關系、采用什么工具及技術方法、可能犯下的錯誤、注意事項、全程記錄到最終鑒定報告的出具等詳細過程[10]。通過本次實驗，使學生理解在綜合取證、分析環(huán)境中建立案例和保存證據(jù)鏈，了解并掌握電子數(shù)據(jù)司法鑒定的全過程，包括保護現(xiàn)場、獲取證據(jù)、保存證據(jù)、分析證據(jù)和提交證據(jù)等。本次實驗課所需的工具有FM取證大師、EnCase等。

(7) 手機取證。手機取證就是通過對存在手機內(nèi)存、SIM卡、閃存卡和移動運營商網(wǎng)絡以及短信服務提供商系統(tǒng)中的電子證據(jù)提取、保護、分析，最終找出與案件有關的、法庭可接受的證據(jù)的過程。進行此次實驗課時，教師首先解釋手機信息的類型及其存儲位置、手機取證原則及流程、排除干擾信號的方法等。通過本次實驗，使學生了解在安全環(huán)境中如何進行手機取證的流程，并熟練掌握使用專用手機取證工具來進行手機取證的技術方法。本次實驗課所需的工具有DC-4500手機取證套件。

3 結束語

在信息技術飛速發(fā)展的今天，對信息的依賴程度越來越高。在不同的案件中的相關電子證據(jù)獲取也面臨巨大的挑戰(zhàn)，這種現(xiàn)象對電子數(shù)據(jù)司法鑒定技術提出新的要求，因此要改變傳統(tǒng)的教學理念，尤其是在實驗教學上進行改革，而且教師要不斷提高自身的專業(yè)水平和素質，加強對學生技能的有效提高，促進電子數(shù)據(jù)司法鑒定課程實驗教學質量的提高。

[1] 王永全,齊曼.信息犯罪與計算機取證[M].北京：北京大學出版社,2010:344-350.

[2] 麥永浩.電子數(shù)據(jù)司法鑒定實務[M].北京：法律出版社,2011：1-15.

[3] 田運生,劉維華,王景春.綜合性設計性實驗項目建設的探索與實踐[J].實驗技術與管理,2012,29(2):126-129.

[4] 丁美榮.虛擬實驗與真實實驗整合的計算機網(wǎng)絡研究性實驗教學研究[J].實驗技術與管理,2011,28(5):163-166.

[5] 馬丁,高云飛，王永全，等.電子數(shù)據(jù)勘查取證與鑒定(系列書)[M].北京:中國人民公安大學,2012:88-96.

[6] 林元乖.創(chuàng)新型計算機網(wǎng)絡實驗教學研究[J].實驗技術與管理,2010,27(12):174-177.

[7] Bill Nelson,Amelia Phillips,Fran Enfinger.計算機取證調(diào)查指南[M].重慶：重慶大學出版社,2009:218-226.

[8] 麥永浩,隆波,向大為,等.電子數(shù)據(jù)司法鑒定機構儀器設備配置標準研究[J].中國司法鑒定，2012(1):90-92.

[9] 司法部司法鑒定科學技術研究所(上海法醫(yī)學重點實驗室).2012司法鑒定能力驗證鑒定文書評析[M].上海：科學出版社，2013：492-495.

[10] 霍憲丹，杜志淳，郭華，等.司法鑒定通論[M].北京：法律出版社，2013：318-322.