宋 輝 張怡靜

（ 1.鄭州航空工業(yè)管理學(xué)院，河南 鄭州 450015； 2.湖南省建筑工程集團(tuán)總公司中原工程分公司，河南 鄭州 450053）

隨著電子文件的大量產(chǎn)生，電子文件逐漸取代紙質(zhì)文件成為主要的社會(huì)記錄形式，電子文件管理工作成為檔案管理工作的重要組成部分。然而信息技術(shù)的發(fā)展已經(jīng)改變了檔案產(chǎn)生、真?zhèn)涡宰R(shí)別和保存的方式。電子文件不同于紙質(zhì)文件，由于電子文件依賴于硬件系統(tǒng)和軟件系統(tǒng)，所以需要不斷地維護(hù)，這就造成了想要保存完整和真實(shí)的電子文件是具有挑戰(zhàn)的。如果用戶利用現(xiàn)有的軟件和硬件能夠成功地讀出電子文件，我們才可以認(rèn)為電子文件是可訪問(wèn)的。檔案工作者有責(zé)任保持電子文件的長(zhǎng)期可讀性，使其完整性、真實(shí)性和可訪問(wèn)性不被破壞。類(lèi)似地，數(shù)字取證專(zhuān)家利用數(shù)字設(shè)備保存、收集、驗(yàn)證、識(shí)別、分析、解釋和記錄來(lái)源于數(shù)字環(huán)境的數(shù)字證據(jù)。然而當(dāng)這些電子文件不在電子文件管理系統(tǒng)中時(shí)，收集、識(shí)別、驗(yàn)證、保存這些電子文件就非常困難了。本文將提出一個(gè)能夠被檔案工作者用來(lái)收集電子文件和生成歸檔電子文件有關(guān)的元數(shù)據(jù)的一個(gè)數(shù)字檔案管理系統(tǒng)，數(shù)字檔案管理系統(tǒng)的主要目的是提供數(shù)字取證技術(shù)和用于獲取、識(shí)別、分析、管理檔案館的電子文件。

1 數(shù)字取證

1.1 數(shù)字取證定義

數(shù)字取證研究工作組給出的定義，其具體內(nèi)容是：為了重建數(shù)字犯罪過(guò)程，或者預(yù)測(cè)并杜絕有預(yù)謀的破壞性未授權(quán)行為，通過(guò)使用科學(xué)的、已證實(shí)的理論和方法，對(duì)源于數(shù)字設(shè)備等資源的數(shù)字證據(jù)進(jìn)行保存、收集、確認(rèn)、識(shí)別、分析、解釋、歸檔和陳述等活動(dòng)過(guò)程［1］。

1.2 數(shù)字取證與電子文件

正如數(shù)字取證的定義，數(shù)字法醫(yī)專(zhuān)家從事數(shù)字?jǐn)?shù)據(jù)的識(shí)別和保存。檔案工作者也在從事類(lèi)似的工作。然而，兩者的工作在數(shù)字取證和數(shù)字歸檔方面有不同的角色。

文件的哈希值（摘要）可以用來(lái)檢查電子文件數(shù)字檔案的完整性。在存儲(chǔ)電子文件之前，可以生成電子文件的散列值。每當(dāng)出現(xiàn)問(wèn)題時(shí)，這個(gè)散列值可以用于檢查檔案的完整性。

1.3 可信電子文件的屬性

可信的電子文件是指真實(shí)性、完整性與長(zhǎng)期可用性得到確認(rèn)的電子文件［2］?！按_認(rèn)”不僅表明電子文件真實(shí)性得到了保障，還能對(duì)其真實(shí)性提供證明，從而滿足社會(huì)對(duì)電子文件真實(shí)性要求的主觀認(rèn)知，電子文件是可信的，也就具有了法律效力，因此，可信電子文件是真實(shí)性、完整性、長(zhǎng)期可用性得到保障并能進(jìn)行真實(shí)性證明的電子文件［3］。

電子文件至少要明確由誰(shuí)何時(shí)創(chuàng)造才可以認(rèn)為其是可信的電子文件。此外，電子文件生成后，一旦被修改，這種修改行為能夠被正確地記錄?？尚烹娮游募饕膶傩杂幸韵聨c(diǎn)：完整性（保持電子文件是完整的和不變的。這并不意味著，電子文件不會(huì)遇到任何改變，而是意味著電子文件必須受到保護(hù)，免遭篡改或損壞）；真實(shí)性（如果確定是某人發(fā)送的或者生成的，那么就認(rèn)為此電子文件是真實(shí)的）；證明存在性（可以用具體技術(shù)來(lái)證明電子文件存在于過(guò)去的某一時(shí)間）。

電子文件的這些基本屬性可以用電子文件的比特流、時(shí)間戳和哈希函數(shù)來(lái)驗(yàn)證。散列函數(shù)接受二進(jìn)制數(shù)據(jù)的一個(gè)任意字符串，在預(yù)定的范圍內(nèi)產(chǎn)生一個(gè)數(shù)，通常稱為一個(gè)摘要。理想情況下，給定一組不同的輸入，散列函數(shù)將它們映射到不同輸出。電子文件創(chuàng)建后，它的摘要是通過(guò)電子文件比特流計(jì)算出來(lái)的。這個(gè)號(hào)碼可以用于三個(gè)目的。首先，它被用作完整性驗(yàn)證機(jī)制。如果電子文件在其摘要被計(jì)算后修改，它的比特流將被改變，所以摘要也將改變。因此，使用摘要可以很容易地檢查出電子文件的完整性。其次，電子文件的真實(shí)性可以使用其摘要和創(chuàng)造者的數(shù)字簽名來(lái)確定。第三，可以通過(guò)摘要和從可信時(shí)間戳機(jī)構(gòu)獲得的時(shí)間戳來(lái)證明電子文件在過(guò)去某個(gè)時(shí)間存在。上述三種技術(shù)可以用來(lái)證明可信電子文件，并且它們依賴于電子文件的比特流。

2 電子文件面臨的挑戰(zhàn)

2.1 長(zhǎng)期可用性挑戰(zhàn)

有用的電子文件，它應(yīng)該是可訪問(wèn)的。然而，隨著技術(shù)不斷地進(jìn)步，面臨的主要挑戰(zhàn)是：媒介過(guò)時(shí)（由于缺乏硬件訪問(wèn)媒介，電子文件變得不可讀）；文件格式過(guò)時(shí)（由于創(chuàng)建電子文件的原始軟件不再可用，這些重要的電子文件無(wú)法訪問(wèn)）。

2.2 完整性的缺失

電子文件由于其數(shù)字特性可以輕易地操縱和更改。用散列算法可以證明電子文件的完整性。然而，如果散列算法的強(qiáng)度是可以接受的，并且在一些級(jí)別，電子文件仍然保持完好無(wú)損，這是可能的。給定的電子文件的比特流因?yàn)楹芏嘣虮恍薷模?，?dāng)使用不當(dāng)?shù)膹?fù)制工具使電子文件從一個(gè)存儲(chǔ)媒介轉(zhuǎn)移到另一個(gè)存儲(chǔ)媒介時(shí)。

2.3 證明存在性的缺失

時(shí)間戳可以用來(lái)證明電子文件在過(guò)去某個(gè)時(shí)間的存在。只有時(shí)間戳源于一個(gè)值得信賴的來(lái)源時(shí)，與電子文件相關(guān)聯(lián)的時(shí)間戳才是可被接受的。

3 數(shù)字檔案管理系統(tǒng)

開(kāi)源的軟件數(shù)字取證工具在目前形勢(shì)下并不適合檔案工作者使用，需要設(shè)計(jì)開(kāi)發(fā)出對(duì)檔案工作者來(lái)說(shuō)使用便捷的數(shù)字檔案管理系統(tǒng)。

3.1 設(shè)計(jì)標(biāo)準(zhǔn)

為了消除對(duì)任何操作系統(tǒng)的依賴性，應(yīng)該使用可以供不同用戶使用的跨平臺(tái)的軟件應(yīng)用，這是非常重要的。因?yàn)樵谌粘９ぷ髦?，大多?shù)非計(jì)算機(jī)專(zhuān)業(yè)人士只使用一個(gè)特定的操作系統(tǒng)。檔案工作者基于他們的技能和工作環(huán)境使用著不同的操作系統(tǒng)。為了沒(méi)有平臺(tái)的限制障礙，數(shù)字檔案管理系統(tǒng)應(yīng)支持通用的操作系統(tǒng)。

3.1.1 可用性

數(shù)字取證工具是應(yīng)數(shù)字取證調(diào)查專(zhuān)家的使用而開(kāi)發(fā)出來(lái)的，這導(dǎo)致了數(shù)字取證工具具有復(fù)雜的功能，為了熟練使用這些工具，必須額外地加以練習(xí)。數(shù)字檔案管理系統(tǒng)應(yīng)該有一個(gè)直觀的界面和功能，使得檔案工作者在很短的時(shí)間內(nèi)容易地理解電子文件。

3.1.2 在單一環(huán)境下提供多重功能

數(shù)字檔案管理系統(tǒng)應(yīng)具有以下模塊：磁盤(pán)鏡像模塊；磁盤(pán)鏡像安裝模塊；檔案元數(shù)據(jù)生成模塊；檔案元數(shù)據(jù)數(shù)據(jù)庫(kù)模塊。如果檔案工作者可以在單一的軟件源中發(fā)現(xiàn)這些功能，可以有效地安裝、使用和維護(hù)系統(tǒng)。

3.1.3 基于源代碼開(kāi)放的軟件

開(kāi)發(fā)數(shù)字檔案管理系統(tǒng)的主要目的是為檔案工作者提供可用于有效和便捷地收集電子文件的數(shù)字取證技術(shù)。為了實(shí)現(xiàn)這一目標(biāo)，數(shù)字檔案管理系統(tǒng)應(yīng)被開(kāi)發(fā)成開(kāi)源軟件資源。因此數(shù)字檔案管理系統(tǒng)和源代碼將免費(fèi)提供給檔案工作者。

3.2 數(shù)字檔案管理系統(tǒng)架構(gòu)概述

數(shù)字檔案管理系統(tǒng)是由提供以下服務(wù)的不同組件組成（圖1）。

3.2.1 數(shù)字檔案管理系統(tǒng)工作站

創(chuàng)建一個(gè)包含數(shù)字檔案的存儲(chǔ)介質(zhì)的磁盤(pán)映像是很有必要的。一旦磁盤(pán)映像創(chuàng)建，檔案工作者可以掛載磁盤(pán)映像，并使用該磁盤(pán)安裝模塊訪問(wèn)數(shù)字檔案的內(nèi)容。此外，檔案工作者可以使用數(shù)字對(duì)象分析模塊來(lái)分析，以確定和選擇重要的電子文件。檔案元數(shù)據(jù)生成器模塊是用于為每個(gè)已收集的電子文件創(chuàng)建元數(shù)據(jù)。該元數(shù)據(jù)可以被用來(lái)唯一地標(biāo)識(shí)每個(gè)電子文件，以驗(yàn)證電子文件和其他相關(guān)信息的完整性。

圖1 數(shù)字檔案管理系統(tǒng)架構(gòu)

3.2.2 時(shí)間戳服務(wù)器

電子文件簽署的日期和簽名均是十分重要的防止電子文件被偽造和篡改的關(guān)鍵性內(nèi)容，時(shí)間戳能夠唯一地標(biāo)識(shí)某一刻的時(shí)間。數(shù)字時(shí)間戳服務(wù)能提供電子文件的日期和時(shí)間信息的安全保護(hù)?？尚艜r(shí)間戳即由國(guó)家法定時(shí)間源來(lái)負(fù)責(zé)保障時(shí)間的授時(shí)和守時(shí)監(jiān)測(cè)，任何機(jī)構(gòu)包括時(shí)間戳中心自己不能對(duì)時(shí)間進(jìn)行修改以保障時(shí)間的權(quán)威，只有這樣產(chǎn)生的時(shí)間戳才具有法律效力。數(shù)字檔案管理系統(tǒng)中的可信時(shí)間戳服務(wù)器是作為時(shí)間戳的來(lái)源。在電子文件長(zhǎng)期保存之前，要給每一個(gè)電子文件一個(gè)時(shí)間戳，此時(shí)間戳是用來(lái)證明存在的電子文件沒(méi)有進(jìn)行過(guò)修改。

3.2.3 數(shù)據(jù)存儲(chǔ)器

為了使電子文件避免遭篡改而影響其可信性，由檔案工作者創(chuàng)建的每個(gè)磁盤(pán)映像都應(yīng)在電子文件收集完之后存儲(chǔ)在專(zhuān)用的數(shù)據(jù)存儲(chǔ)器中，這是非常重要的。

3.2.4 數(shù)據(jù)庫(kù)

數(shù)據(jù)庫(kù)用于存儲(chǔ)存檔的元數(shù)據(jù)，這對(duì)于有效地收集電子文件是非常重要的。

3.3 數(shù)字檔案管理系統(tǒng)功能

3.3.1 創(chuàng)建磁盤(pán)鏡像

簡(jiǎn)單地說(shuō)，磁盤(pán)鏡像可以被定義為一種為了在較長(zhǎng)時(shí)期保存數(shù)據(jù)而制作的安全可靠的副本。對(duì)檔案工作者來(lái)說(shuō)，制造存儲(chǔ)設(shè)備的副本具有許多益處。首先，它使檔案工作者在分析電子文件時(shí)不用擔(dān)心會(huì)修改原始數(shù)據(jù)的風(fēng)險(xiǎn)。其次，由于技術(shù)的廢棄或者存儲(chǔ)媒介隨著時(shí)間的衰變，原始的電子文件的存儲(chǔ)設(shè)備很可能無(wú)法讀出，創(chuàng)建合適的磁盤(pán)鏡像可以有助于電子文件長(zhǎng)期保存。

3.3.2 數(shù)字對(duì)象分析

對(duì)檔案工作者來(lái)說(shuō)，需要識(shí)別以下文件信息：文件名稱；文件格式；生成時(shí)間；更改時(shí)間；加密或密碼保護(hù)；存儲(chǔ)地址。

3.3.3 創(chuàng)建歸檔信息

在電子文件捕獲之后，為了電子文件的長(zhǎng)期保存，有必要?jiǎng)?chuàng)建電子文件相聯(lián)系的元數(shù)據(jù)，這樣有助于確保電子文件的完整性和真實(shí)性。這些元數(shù)據(jù)包括：文件名稱；對(duì)象標(biāo)識(shí)符；哈希值；文件格式；創(chuàng)建者名稱；捕獲電子文件者名稱；存儲(chǔ)位置；時(shí)間戳。

3.3.4 存儲(chǔ)歸檔信息

把可信的電子文件收集歸檔是一項(xiàng)具有挑戰(zhàn)的任務(wù)。不同于紙質(zhì)檔案，電子文件很容易被篡改。因此，如果失去可信機(jī)制很難長(zhǎng)久保存電子文件。然而我們可以通過(guò)創(chuàng)建和存儲(chǔ)元數(shù)據(jù)來(lái)應(yīng)對(duì)這種挑戰(zhàn)，比如使用與電子文件關(guān)聯(lián)的哈希值和時(shí)間戳。檔案人員創(chuàng)建電子文件關(guān)聯(lián)的元數(shù)據(jù)之后，需要把它們存儲(chǔ)到關(guān)系型數(shù)據(jù)庫(kù)中。一旦檔案元數(shù)據(jù)被存儲(chǔ)在數(shù)據(jù)庫(kù)中，為了避免未授權(quán)的篡改，對(duì)元數(shù)據(jù)的進(jìn)一步訪問(wèn)將被嚴(yán)格限制。

4 結(jié)論

個(gè)人或者組織每天使用各種類(lèi)型的數(shù)字設(shè)備產(chǎn)生了大量電子文件，我們有必要在對(duì)電子文件進(jìn)行長(zhǎng)期保存歸檔之前對(duì)其進(jìn)行識(shí)別、收集、分析，本文提出了一個(gè)基于數(shù)字取證技術(shù)可用于加強(qiáng)電子文件收集工作的數(shù)字檔案管理系統(tǒng)。

［1］李炳龍，王魯，陳性元.數(shù)字取證技術(shù)及其發(fā)展趨勢(shì)［J］.信息網(wǎng)絡(luò)安全，2011（1）：20-21.

［2］李澤鋒.基于OAIS的可信電子文件管理系統(tǒng)的體系構(gòu)建［J］.情報(bào)雜志，2010（8）：33-35.

［3］張雅君.可信電子文件與電子文件可信管理［J］.蘭臺(tái)世界，2015（4）：50-52.