浅论电子取证的方法

1、浅论电子取证的方法电子证据，是指由计算机设备储存的，经法定程序作为证据收 集固定的数据信息。电子证据，除具备一般证据属性外，还具有多 重性、可修改性、可灭失性和技术性特点。随着计算机被广泛应用， 计算机存储设备所储存的数据信息已逐渐成为诉讼证据的一个重要 来源，在取证工作中，如何搞好电子证据的收集、固定工作就成为 迫在眉睫的主要问题。 一、电子证据的重要性及取证的要求电子证 据，除具备一般证据的客观性和合法性外，还有以下几个特点：1、证据属性的多重性。 由计算机提供的电子证据具有视听资料、 书证、 物证等多重证据意义。电子证据的视听资料意义，是指电子证据能 够通过计算机输出的画面、声音来证明案

2、件事实，例如：影视画面 可以证明历史现场情况，声音则可以证明谁在什么场合说了什么话 等; 电子证据的书证意义，是指电子证据能够通过计算机输出的文 字、数字及符号的内容来证明案件事实，例如：电子书信、软件、 电算化资料等 ; 电子证据的物证意义， 是指电子证据能够以其被储存 的位置、方式以及载体的外观形象来证明案件事实，例如：电子证 据被储存在不同文件夹中，可以证明存储者对计算机文件的理解、 使用意图，电子证据被储存在计算机硬盘中或是被储存在软盘、光 盘、磁带中将会证明这一证据文件的是否被拷贝等事实，软盘、光 盘等电子证据载体的外观形象，可以证明其是否受到物理破坏的事 实。电子证据属性的多样性，

3、要求取证人员在收集电子证据时，要 注意到电子证据的不同证据意义。在固定电子证据时，应当根据案 件侦查需要及电子证据的用途，采取相应的证据固定方法，例如： 仅需要电子证据的书证意义时， 只将电子文件打印成书面文件即可 ; 而如果需要其视听资料意义时，则应当采用拷贝、拍摄等方法进行 固定。2、证据内容的可修改性。 计算机储存的信息是可以被修改的。 电子证据可修改性有两层含义：一是，数据信息在被作为证据固定 前可能已被修改， 因而当其被作为证据固定时， 其内容已发生变化， 造成所取证据的失真 ; 二是，采用拷贝方式收集的电子证据， 从证据 固定到使用的过程中，也可以被修改，造成其在被使用时的内容与

4、原证据内容不符。同时，实践中由于存在着后一种可修改性，在庭 示证据时辩方会就证据是否被修改提出质疑，而控方如提不出未进 行修改的证据， 则法庭会不采信该证据。 电子证据内容的可修改性， 要求取证人员在收集和固定电子证据时，一是要注意收集和固定有 关数据信息形成时间方面的证据，如计算机中有关该文件形成时间 的记录，与其他有关该信息形成时间的证据进行比较，确认该数据 信息是否被修改过 ; 二是注意对电子证据内容的现场固定， 如通过现 场录像、现场打印等方式进行可视性固定。另外，电子证据被作为 视听资料使用前，检察人员应当注意对电子证据内容的审查，防止 在出庭时出现差错。 3 、证据内容的可灭失性。

5、计算机储存的信息 会因人为删盖、病毒感染、物理破坏等原因灭失。电子证据的可灭 失性，要求取证人员在收集和固定电子证据时，一是一但发现电子 证据，应当立即收集， 防止证据被毁灭 ; 二是在计算机中未发现原有 文件时，应当及时通过电子证据专业技术人员查找原因，判明能否恢复; 三是尽量采用现场打印的方法收集电子证据; 四是如果采取拷贝方法收集电子证据，应当现场检查拷贝质量，防止因拷贝了病毒 等原因打不开所收集到的计算机文件 ; 五是存放和使用存有拷贝证 据的软盘、光盘、磁带时应当注意安全，例如，存放时应当远离强 磁场，使用时应当注意计算病毒的检测。 4 、证据的技术性。电子 证据的技术性主要表现为：

6、计算机储存的信息是通过特殊技术方 法形成的；很多情况下，发现、收集、固定和使用电子证据需要一 定计算机技术 ; 数据信息中的软件能够以其特定的技术性语言来 证据案件事实。电子证据的技术性，要求取证人员应当了解或通晓 计算机技术， 以便于及时采取相应的技术方法收集证据， 调查案情 电子证据的技术性，还要求在涉及与软件的制作、使用等专门性问 题时，应指派或聘请专业技术人员进行鉴定。 二、如何对电子证据 进行取证 （ 一） 电子证据的简单取证。 如有不需要专业技术人员协助 进行的数据证据的收集和固定活动是简单取证。对不涉及计算机使 用或维护人员的案件， 可以采取简单取证程序收集和固定电子证据。 取证

7、时，首先由提供证据单位的计算机操作人员打开计算机，查找 所需收集的证据。当找到证据时，取证人员应当通过显示器观察和 确认该文件的形成时间。然后由操作人员打开文件，由取证人员确 认该文件系所要收集的证据后，采用相应的方式予以提取固定。在 查找证据过程中，如遇文件找不到或打不开等问题，应及时通知电 子证据专业技术人员予以协助。常用的固定电子证据的方式，有打 印和拷贝两种。通常情况下应当采用打印方式，或两种方式同时使用。只有在文件较多不方便现场打印的情况下，才可以单独使用拷 贝方式。采用打印方式取证，是将计算机文件打印到纸张上。打印 文件时，取证人员必须现场监督打印过程，防止计算机操作人员在 打印过

8、程中修改文件。打印完毕后，可以按照书证的固定方法，予 以固定，但应当注明数据信息在计算机中的位置 （ 如存放于那个文件 夹中等 ） 。采用拷贝方式取证， 是将计算机文件拷贝到软盘、 光盘中。 取证人员应当自备计算机，拷贝后，将软盘或光盘插入自备计算机 中进行检查。首先进行病毒检测，然后打开文件检查拷贝的质量。 如通过检测发现病毒，则应当先消毒，后打开文件检查。无论采取 那种取证方式，在固定证据后，应当现场制作检查笔录。检查笔录 主要记载电子证据的收集和固定情况。包括：案由。参加检查 的人员姓名及职务。检查的简要过程。主要包括检查时间、检查 地点及检查顺序等。检查中出现的问题及解决方法。取证方式

9、 及取证份数。参与检查的人员签名。提供电子证据人员签名。（二） 电子证据的复杂取证。如有需要专业技术人员协助进行的电子 证据的收集和固定活动就是复杂取证。对涉及计算机使用、维护人 员的犯罪案件， 就应当采取复杂取证程序收集和固定电子证据。 1 、 现场检查与现场访问，首先由计算机专家检查硬件设备，切断可能 存在的其他输入、输出设备，保证计算机储存的信息在取证过程中 不被修改或损毁。与此同时，侦查人员应当询问计算机使用或维护 人员下列问题：有无为计算机设置密码及密码的组成。计算机 的软件情况： 已使用的软件有哪些 ; 软件的来源， 如软件是购买的还是自行设计的等 ; 软件的维护情况， 例如： 由

10、谁负责软件的维 护、调整，对软件作过哪些修改等。计算机的使用情况：如何 进行计算机的日常管理 ; 谁能够打开并使用计算机 ; 计算机是否 出现过影响或可能影响文件质量的故障 （ 如病毒感染等 ），故障是如 何解决的。案件所涉及的资料存放于存储设备的什么位置，有无 备份。对计算机使用者拒绝提供密码的情形，可考虑由计算机专家 解密，但由于解密工作可能会对计算机储存的资料造成损害，因而 在做出这一决定时，应当十分慎重。检查计算机文件时，计算机专 家应当注意对隐蔽文件的查找。有备份的，应由计算机专家同时检 查备份文件，查明备份文件与原文件是否一致。 2 、提取证据按照 前述方法打印和拷贝计算机文件，固

11、定电子证据。如发现在备份文 件与原文件不一致时，应当同时提取备份文件。 3 、电子证据内容 涉及电算化资料的，应当由会计专家对提取的资料进行现场验证。 验证中如发现可能与软件设计或软件使用有关的问题时，应当由会 计专家现场对电算化软件进行数据测试 （ 侦查实验 ） 。经测试确认软 件有问题时，则由计算机专家对软件进行检查或提取固定。4 、制作检查笔录除前述检查笔录的内容外，对解密、数据测试等过程也 应当作出详细的记录。 5 、对复杂取证过程中可能会遇到的问题， 在检查前应 当有所预测，并制定相应的处置方案。例如：考虑到 计算机操作人员可能不提供密码，计算机专家应当携带解密工具 ;对可能需要进行数据测试的，司法会计专家应当携带事先制作的 测试文件。必要时，可以指派视听技术人员对取证及软件测试过 程进行录像。 三、电子证据收集与固定工作任重道远 配备电子证 据专业技术人员以便进行全面的取证工作。专业技术人员成员应当 由通晓硬件和软件计算机人员、熟悉电算化程序的司法会计专家、 熟悉计算机作案手段的侦查、公诉人员组成。制定电子证据的取证 制度。电子证据的特点，决定了电子证据的收集、固定和使用工作 的特殊性。因此，有必要建立电子证据的取证制度，以规范电子证 据的收集、 固定活动， 使办案人员能够及时有效的收集到电子证据， 也为电子证据的在法庭上的合法使用提供依据。注重对电子证