王也 曲會晨 林奕森

摘? 要： 隨著反取證技術(shù)的發(fā)展，人們對取證所得電子證據(jù)的可信性越來越難以準確地度量。因此本文提出一種基于博弈論的電子證據(jù)可信性度量方法，利用取證人員和犯罪嫌疑人之間強對抗關系，通過操作復雜度模型構(gòu)建雙方的博弈模型，從而解決嫌疑人反取證行為預測和取證人員最優(yōu)取證檢測策略選取的問題；在取證人員選取最優(yōu)策略的基礎上，通過操作復雜度模型，將計算證據(jù)鏈不完整情形下的電子數(shù)據(jù)可信概率值作為電子證據(jù)可信性的量化值。在BT傳播盜版視頻侵權(quán)案件中，本文方法能對嫌疑人的偽造行為進行有效快速的預測，并且能準確的計算相關部分證據(jù)的可信性。

關鍵詞： 計算機取證； 計算機反取證； 博弈論； 電子證據(jù)； 復雜度模型

中圖分類號：X913.4? ? ? ? ? 文獻標識碼：A? ? ?文章編號：1006-8228（2023）06-33-05

Game theory-based method for measuring the credibility of digital evidence

Wang Ye， Qu Huichen， Lin Yisen

（Department of computer science and Engineering， Guilin University of Aerospace Technology， Guilin， Guanxi 541000， China）

Abstract： With the development of anti-forensics technology， it is increasingly difficult to accurately judge and measure the credibility of digital evidence obtained from forensics. Therefore， a game theory-based method for measuring the credibility of digital evidence is proposed. Using the confrontation between forensics personnel and suspect， the game model of both sides is constructed through the Operational Complexity Model， so as to solve the problem of predicting the suspect's anti-forensics behavior and selecting the optimal forensics detection strategy for forensics personnel. On this basis， the credibility probability of electronic data under the condition of incomplete evidence chain is calculated as the quantitative value of digital evidence credibility. In the case of BT transmitting pirated video infringement， it effectively and quickly predicts the forgery behavior of suspects and accurately calculates the credibility of the relevant evidence.

Key words： computer forensics; computer anti-forensics; game theory; digital evidence; Operational Complexity Model

0 引言

計算機取證作為計算機和法學領域的一門交叉科學，可被用來解決大量的計算機網(wǎng)絡盜版侵權(quán)、網(wǎng)絡入侵和網(wǎng)絡詐騙等問題[1]。如何有效地描述取證對抗沖突對電子數(shù)據(jù)可信性造成的影響是一大難題。

博弈論是一門研究多個個體或團隊之間在特定條件制約下的對局里，利用相關方的策略而實施對應策略的學科[2]。博弈論本質(zhì)就是描述博弈行為的數(shù)學模型，可以用于解決取證對抗沖突中的最優(yōu)解問題，以及解決對嫌疑人反取證行為預測和取證人員最優(yōu)取證檢測策略選取的問題，輔助調(diào)查人員、律師、法官等快速有效地判斷證據(jù)的可信程度。

1 相關工作基礎

1.1 電子數(shù)據(jù)可信性研究

電子數(shù)據(jù)的可信性和審查認定在司法實踐中是不可回避的首要問題[3]。目前，針對電子數(shù)據(jù)可信性研究關注點多在于電子數(shù)據(jù)取證運用的標準化和電子數(shù)據(jù)本身的可信性兩方面。

電子數(shù)據(jù)取證的標準化，研究者的關注點多針對建立數(shù)字取證過程模型以及實踐指南來幫助確保取證流程中方法及行為的可信性。

電子數(shù)據(jù)本身可信性，研究者關注點多針對電子郵件、數(shù)字圖像、多媒體視頻偽造等方面，一般集中于研究分析單個電子數(shù)據(jù)的真實可信性。

但對于處理單機取證等較為復雜的大量數(shù)據(jù)時，可信性分析仍然較為主觀[4]，沒有較好的度量方法。因此，對于單機取證方面急需構(gòu)建相關可量化的模型來分析其可信性。

1.2 博弈論及其應用

在信息安全領域，基于網(wǎng)絡安全入侵檢測的攻防博弈決策方法是研究熱點。在取證對抗領域，2010年，文獻[5]在研究共謀攻擊時引入了博弈思維，將共謀者內(nèi)部視為一種非合作的靜態(tài)博弈關系，共謀者和檢測者之間視為一種兩級的零和博弈關系，在此基礎上建立相應的博弈模型。2013年，文獻[6]就來源識別檢測和偽造的對抗關系建立了相應的博弈模型，研究測試了不同來源下的對抗關系。2015年，文獻[7]構(gòu)造了視頻內(nèi)部幀偽造的博弈模型，并且求解取證和偽造雙方的最優(yōu)策略。2016年，文獻[8]提出了一種基于博弈論的電子郵件偽造-檢測分析模型，通過使用操作復雜度模型（OCM）[9]量化成本收益，并為郵件最優(yōu)檢測策略的選取提供決策參考信息。2018年，文獻[10]就圖像隱寫及分析者的雙方進行了博弈建模，提出了一種博弈論模型下具體的圖像隱寫算法。2021年，文獻[11]在博弈論隱寫模型的基礎上，提出了一種基于運動矢量修改的視頻隱寫算法。

綜上所述，目前博弈論在取證領域的應用研究主要集中在多媒體取證對抗、郵件取證對抗等方面上，并取得了一定的成效，但對于單機取證、手機取證等領域的應用還處于相對空白狀態(tài)。因此本文將博弈論應用到單機取證領域，擴展了博弈論的應用空間。

2 可信性度量理論方法

對于單機原始存儲介質(zhì)中的電子數(shù)據(jù)，一般假設可能存在以下三種場景：①涉案數(shù)據(jù)是自然形成且未被犯罪嫌疑人反取證操作過；②涉案數(shù)據(jù)是偶然形成的，如誤操作、木馬、病毒、系統(tǒng)崩潰等情況；③存儲介質(zhì)中的電子數(shù)據(jù)已被犯罪嫌疑人根據(jù)特定目的或動機偽造過。一般情況下，取證工作中默認第①種場景為普通場景，直接進行取證檢測。文獻[12]提出通過操作復雜度模型（OCM）來衡量第②種場景中病毒、木馬假說發(fā)生的可能比。文獻[13]將OCM用于度量第③種場景下電子證據(jù)擦除行為發(fā)生的可能比。目前對于第③種場景，有學者針對單一的反取證策略進行了研究，而在該場景中存在多種嫌疑人可選的反取證策略，因此取證人員的首要工作則是確定嫌疑人可能使用哪一種反取證策略成為研究的重點。

綜上所述，本文將從博弈角度出發(fā)，結(jié)合OCM提出一種度量電子證據(jù)可信性的方法，用于分析第三種可能場景下嫌疑人反取證策略的選取及實現(xiàn)電子數(shù)據(jù)的可信性的度量。

2.1 基于操作復雜性的策略分類方法

計算機犯罪案件中，查封的單機存儲介質(zhì)中的證據(jù)可能由多種電子數(shù)據(jù)形態(tài)構(gòu)成，包含有多個證據(jù)對象。對于不同類型的證據(jù)，常用的取證及反取證手段與策略也有所不同。對于取證對抗的雙方，在斗爭過程中各自選擇的策略集合和支付函數(shù)，是建立博弈模型的基礎。本文根據(jù)不同電子數(shù)據(jù)類型相應的偽造和取證策略的操作復雜性對策略進行分類，目的在于對策略進行分類后，其能更適用于博弈模型，為度量取證對抗沖突導致的電子可信性問題提供一定的參考。

由文獻[9]可知，操作復雜度模型OCM（Operational Complexity Model）由鍵盤水平模型KLM Keyboard Level Model）和計算復雜性CC（Computational Complexity）構(gòu)成。兩者之和，即為執(zhí)行策略所需的整體操作復雜性。對于某反取證或檢測策略i而言，執(zhí)行該策略的操作復雜性 [OCi]可以由式⑴給出。

[OCi=KLMi+CCi]? ⑴

根據(jù)文獻[8]，可以將策略的操作復雜性分為以下三個層次。

L1：策略所需的操作步驟較簡單，所需資源較少，操作復雜性OC<100。例如通過瀏覽器無痕模式進行網(wǎng)頁瀏覽；通過修改計算機系統(tǒng)時間來偽造郵件時間；取證人員通過Encase、FTK等取證工具直接搜索文件數(shù)據(jù)。

L2：策略所需操作步驟較為復雜，但所需資源較少或者操作步驟較簡單，但所需資源較多，操作復雜性100≤OC≤1000。例如，利用常見的加密軟件對關鍵文件加密、利用遠程訪問服務技術(shù)登錄遠程跳板機來操作；取證人員需搭配暴破軟件、通過分析日志、注冊表、數(shù)據(jù)庫文件信息等多個關聯(lián)數(shù)據(jù)來獲取信息。

L3：策略所需的操作步驟較為復雜，且需要大量的資源，OC>1000。例如，利用BitLocker全盤加密；利用數(shù)據(jù)擦除軟件對磁盤進行擦除或通過數(shù)據(jù)覆寫軟件進行多次數(shù)據(jù)覆蓋；取證人員需要通過FTK Image、CSI Imager等軟件嘗試逆向解密、通過Final Data等軟件做數(shù)據(jù)恢復后再進行多關聯(lián)數(shù)據(jù)分析。

2.2 收益量化分析

為了建立合適的博弈模型來預測嫌疑人和取證人員的行為，從而達到嫌疑人和取證人員雙方選取最優(yōu)策略的目的，首先要定義收益的量化框架。博弈的參與者分別為嫌疑人和取證人員，因此需要分別對這兩者進行分析。

對于犯罪嫌疑人而言，獲利[BS]即為進行計算機犯罪后，未被取證人員檢測出來而獲得的利益；損失[DS]則為進行計算機犯罪后，被取證人員檢測出來時所受的損失或法律制裁（一般用負值表示）；成本[CS]表示嫌疑人執(zhí)行反取證策略時所需的軟硬件資源，時間等（一般用負值表示）。

對于取證人員而言，獲利[BF]即為成功分析獲取電子數(shù)據(jù)后所得到的回報或避免遭受的損失；損失[DF]則為取證人員未能成功獲取電子數(shù)據(jù)時所遭受的損失（一般用負值表示）；成本[CF]表示取證人員執(zhí)行取證策略所需的軟硬件資源，時間等（一般用負值表示）。

從上述對犯罪嫌疑人和取證人員的收益量化分析中可以看出，雙方最終的收益與取證人員是否能成功分析獲取到電子數(shù)據(jù)有很直接的關系。取證人員在利用某檢測策略進行取證時，能成功獲取數(shù)據(jù)的概率會直接影響雙方的最終收益。假定，犯罪嫌疑人[NS]的策略集合為[SS=（S1S，S2S，…，SnS）]，取證人員[NF]的策略集合為[SF=（S1F，S2F，…，SmF）]。當嫌疑人選取策略[SiS]，取證人員選取策略[SjF]，能成功獲取電子數(shù)據(jù)的概率記為[Pji]，則該策略組合下，嫌疑人的收益[US（SiS，SjF）]可以由式⑵給出：

[US（SiS，SjF）=BS*1-Pji+DS*Pji+CS]? ?⑵

取證人員的收益[UF（SiS，SjF）] 可以由式⑶給出：

[UF（SiS，SjF）=BF*Pji+DF*1-Pji+CF]? ⑶

那么，不同策略組合下嫌疑人的收益[US]可用矩陣形式表示：

[US=US（S1S，S1F）US（S1S，S2F）…US（S1S，SmF）US（S2S，S1F）US（S2S，S2F）…US（S2S，SmF）…………US（SnS，S1F）US（SnS，S2F）…US（SnS，SmF）]? ⑷

不同策略組合下取證人員的收益[UF]可用矩陣來表示：

[UF=UF（S1S，S1F）UF（S1S，S2F）…UF（S1S，SmF）UF（S2S，S1F）UF（S2S，S2F）…UF（S2S，SmF）…………UF（SnS，S1F）UF（SnS，S2F）…UF（SnS，SmF）]? ⑸

2.3 最優(yōu)策略選取

最優(yōu)策略選取的關鍵在于博弈模型[SFG（NS，NF，]

[SS，SF，（US，UF））]的建立和求解。在博弈過程中，無論對方如何選擇策略，局中人都會選擇某一確定策略，則該策略被稱為支配性策略。如果出現(xiàn)一種策略組合，使得每個局中人的策略是各自的支配性策略，那么這個組合就被定義為納什均衡。在[SFG（NS，NF，SS，SF，]

[（US，UF））]博弈模型中，如果嫌疑人和取證人員的策略組[S*S，S*F]是一個納什均衡解，則滿足式⑹和式⑺。

[?SiS∈SS，US（S*S，S*F）≥US（SiS，S*F）]? ? ?⑹

[?SjF∈SF，UF（S*S，S*F）≥UF（S*S，SjF）]? ? ?⑺

SFG模型中，可根據(jù)收益矩陣求解是否存在一個純策略的納什均衡。若存在，則該納什均衡所對應的策略為參與者的最優(yōu)策略；若不存在，則要考慮求解混合策略，此時要利用線性規(guī)劃算法對矩陣求解。

2.4 證據(jù)可信性度量分析

在取證人員采用最優(yōu)取證策略獲取到證據(jù)對象后，如果證據(jù)鏈完整，可證明嫌疑人進行了相關違法犯罪操作。如果出現(xiàn)證據(jù)鏈不完整的情形，則可結(jié)合OCM模型，通過計算證據(jù)在不同路徑下發(fā)生的概率，分析所獲取證據(jù)的可信性。

假設取證人員在采用最優(yōu)取證策略后獲取到的證據(jù)為[E={E1，…，En}]，未構(gòu)成完整的證據(jù)鏈，則E的形成有兩種可能路徑：第一種路徑為自然形成，記為[O]，第二種路徑為E是被嫌疑人采用某些反取證策略成功偽造的，記為[O] 。二者發(fā)生的概率與其操作復雜度呈反比，由式⑻給出。

[P（O|E）∝OCO|E-1P（O|E）∝OCO|E-1]? ? ? ⑻

[P（O|E）]和[P（O|E）]發(fā)生的概率和為1。在證據(jù)鏈不完整情形下，證據(jù)的可信概率即為[P（O|E）]。通過式⑻對證據(jù)的可信性通過可信概率的方式進行量化，即概率值越高可信性越高，反之亦然。

3 案例分析

為了驗證本文方法的有效性，我們以BT種子傳播盜版視頻侵權(quán)的案件為例進行分析，在該案件中，博弈參與者是犯罪嫌疑人和取證檢測人員，涉案金額為10萬元，為了計算方便，將策略的成本收益金額以百元為單位進行計算。由于本文把操作復雜性作為策略分類的參考，按照大小將策略分為三個等級：L1、L2、L3。從經(jīng)濟學的角度出發(fā)，在不保證付出既有回報的前提下，成本的范圍不會高于獲利的50%。根據(jù)文獻[8]，可根據(jù)涉案金額，對成本的范圍進行合理的分析：若涉案金額為10萬元人民幣，那么對于 L1、L2、L3 三個等級復雜程度的策略成本可賦合適的值，例如 L1為0-1萬，L2為1-2萬，L3為2-5萬。

根據(jù)復雜性和成本收益的轉(zhuǎn)換標準，對不同程度的復雜性所指向的成本定義如下：L1：0-100，L2：100-200，L3：200-500，則可列出嫌疑人偽造策略集合及相關成本收益如表2所示。

取證人員檢測策略集合及相關成本收益如表3所示。

對于博弈雙方采取的策略：取證人員策略操作復雜性層次高于犯罪嫌疑人反取證策略的，能成功獲取電子數(shù)據(jù)的概率記為1；同層次操作復雜性策略下，取證檢測人員能成功獲取數(shù)據(jù)的概率記為0.5；犯罪嫌疑人反取證策略操作復雜性層次高于取證人員策略的概率記為0。根據(jù)式⑵及式⑷，不同策略組合下嫌疑人的偽造收益矩陣[US]如下：

[US=1000950850700-1000-50850700-1000-1050-150700-1000-1050-1150-300]

根據(jù)式⑶和式⑸，不同策略組合下取證人員的偽造收益矩陣[UF]如下：

[UF=-1000-1000-1000-1000-50-550-1050-1050-150-150-650-1150-300-300-300-800]

根據(jù)雙方采取的策略，可通過偽造效益、檢測效益的計算公式，得到博弈模型的收益矩陣，并利用劃線法對收益矩陣進行求解，結(jié)果如表4所示。

利用線性規(guī)劃算法對收益矩陣進行求解，可得策略組[S4S，S4F]是該案博弈雙方的一個納什均衡解，也是最優(yōu)解。在模型預測下，該案例嫌疑人最可能采取的偽造策略為[S4S]，即利用數(shù)據(jù)擦除軟件進行數(shù)據(jù)擦除或全盤加密等操作步驟較為復雜且需要大量的計算資源的策略；而取證檢測人員的最優(yōu)檢測策略是[S4F]，即通過Final Data等數(shù)據(jù)恢復軟件做數(shù)據(jù)恢復后再進行多關聯(lián)數(shù)據(jù)分析。

取證人員對嫌疑人的個人計算機查封并取證，證據(jù)鏈完整可證明嫌疑人通過BT軟件傳播盜版視頻侵權(quán)。如果取證人員通過[S4F]策略并未取得完整證據(jù)鏈，此時，存在證據(jù)為自然形成[O]，或者證據(jù)為嫌疑人采用反取證策略[S4S]成功偽造[O]這兩種路徑。

BT案例中可能的涉案證據(jù)對象EALL=｛盜版電影文件E1，BT軟件E2，BT種子文件E3，種子共享網(wǎng)站的瀏覽器信息E4｝。以下列出BT共享盜版文件案例中使用的參數(shù)表，其中實驗參數(shù)部分，參考Overill等人的擊鍵復雜度參數(shù)及計算復雜度參數(shù)[9，12]，當涉案文件為一個4GB大小的電影文件時，OCM參數(shù)表如表5所示。

根據(jù)表5給出的參數(shù)值，根據(jù)式⑻，可計算所獲取證據(jù)的可信概率[P（O|E）]，如表6所示。

由表6可知，若取證人員獲取的證據(jù)E未能構(gòu)成完整的證據(jù)鏈，在該案例博弈模型的預測下，嫌疑人最可能采取的偽造策略為[S4S]，有一定可能成功反取證電子數(shù)據(jù)。而取證檢測人員的最優(yōu)檢測策略是[S4F]，即通過Final Data等數(shù)據(jù)恢復軟件做數(shù)據(jù)恢復后再進行多關聯(lián)數(shù)據(jù)分析，盡可能獲取涉案相關的電子數(shù)據(jù)。

從OCM的角度出發(fā)，涉案的證據(jù)對象越多，數(shù)據(jù)量越大，操作反取證所需的擊鍵級復雜性越高，電子數(shù)據(jù)被反取證的概率越小，可信概率[P（O|E）]越大，取證人員取證得到的數(shù)據(jù)的可信度越高。

4 結(jié)論

本文提出一種基于博弈論的電子證據(jù)可信性度量方法，利用取證人員和犯罪嫌疑人之間的對抗關系結(jié)合操作復雜度模型，構(gòu)建取證人員和犯罪嫌疑人的博弈模型，從而使取證人員可以快速獲得最優(yōu)策略。在取證人員獲得最優(yōu)策略的基礎上，通過操作復雜度模型，計算證據(jù)鏈不完整的情形下電子數(shù)據(jù)已被犯罪嫌疑人根據(jù)特定目的或動機偽造過的概率值，并將該概率值作為證據(jù)可信性的量化值。

為證明本文方法的有效性，在BT傳播盜版視頻侵權(quán)案例中，根據(jù)本文所提方法，首先構(gòu)造了博弈模型收益矩陣，然后對該矩陣求解，實現(xiàn)對嫌疑人偽造行為進行快速有效的預測，最后通過操作復雜度模型幫助確定數(shù)據(jù)被反取證的可能性，計算所獲取證據(jù)的可信概率。

參考文獻（References）：

[1] 劉少軍，汪煥成.網(wǎng)絡犯罪案件中電子數(shù)據(jù)取證問題研究[J].

湖北警官學院學報，2022，35（3）：16-28

[2] Harrington? J? E，韓玲，李強.哈林頓博弈論[M].? 北京：中國人

民大學出版社，2012：183-205

[3] 黃道麗.電子數(shù)據(jù)取證與鑒定法治化的中國實踐[J].中國

信息安全，2019（5）：48-51

[4] Palmer? I N.? Forensic? analysis? of? computer evidence[D].

University of Illinois at Urbana-Champaign，2018

[5] Zhao H V， Lin W S， Liu K J. Cooperation and coalition in

multimedia fingerprinting colluder social networks[J]. IEEE Transactions on Multimedia，2012，14（3）：717-733

[6] Barni M， Tondi B. The source identificationgame： an

information-theoretic perspective[J]. IEEE Transactions on Information Forensics and Security，2013，8（3）：450-463

[7] Kang X g， Liu J x， Liu H m， et al. Forensics and counter

anti-forensics of video inter-frame forgery[J]. Multimedia Tools and Applications，2015：1-21

[8] 樓遠.基于博弈論的電子郵件真實性鑒別研究[D].碩士，

重慶郵電大學，2016

[9] Overill R E， Silomon J A M， Chow K P. A Complexity

Based Model for Quantifying Forensic Evidential Probabilities[C] //Ares '10 International Conference on Availability， Reliability， and Security. IEEE，2010：671-676

[10] Li Jg，Yao W，Han J，et al.User collusion avoidance CP-

ABEwith efficient attribute revocation for cloud storage[J].IEEE Systems Journal，2018，12（2）：1767-1777

[11] 邱楓，鈕可，陳培，等.博弈論模型下基于運動矢量的視頻隱

寫算法[J].計算機應用研究，2021，38（12）：3752-3755，3770

[12] Overill R E， Silomon J. A Complexity Based Forensic

Analysis of the Trojan Horse Defence[C]// Sixth International Conference on Availability， Reliability and Security， ARES 2011， Vienna， Austria， August 22-26， 2011. IEEE，2011

[13] 王也，陳龍.一種基于操作復雜度模型的電子證據(jù)擦除行

為度量方法[J].計算機科學，2016，43（B12）：84-88