移动终端电子数据鉴定技术规范

1移动终端电子数据鉴定技术规范本文件适用于司法鉴定领域中对移动终端中电子数据的存在性鉴定、真实性鉴定以及对移动终端GB/T35278—2017信息安全技术移动终端安全保护技术要求GB/T37729信息技术智能移动终端应用软件（APP）技术SF/T0145智能移动终端应用程序功3.1术语和定义GB/T35278—2017、GB/T37729界定的以及下列术语和定义适用于）］权限提升privilegeescal对移动终端（3.1.1）进行获取root权限或越狱等特定操作，实现突破设备制造商、操作系统或用23.2缩略语ICCID：集成电路卡识别码（IntegrateCircIMEI：国际移动设备识别码（InternationalMobileEqJTAG：联合测试工作组（JointTestActionGMSISDN：移动基站国际用户识别码（MobileStationISDN）PIN：个人识别码（PersonalIdentificationNSIM：用户身份模块（SubscriberIdentityUICC：通用集成电路卡（UniversalIntegratedCircuitCar4仪器设备4.2软件托人确认。对于可能产生风险的操作过程进行录5.4设备可靠：移动终端鉴定的软硬件设备宜经过检测和验证，并定期进行更新和维护，以确保鉴定36.1记录检材情况6.1.1应记录移动终端的封存状态。对于处于封存状态移动终6.1.4应记录移动终端的基本信息，基本信息d)移动终端网络连接的状态（如飞行模式的开/6.2预检和预处理c)检查移动终端的数据接口及电源接口，判断接口类型并准备适用的电源适配设备和数据连接根据检验目的和要求，对移动终端机身数据的提取可根据情况选择以下一种或多种方式进行。46.3.4.1对于存储于互联网的移动终端电子数据，可根据需提取数据的具体情况，选择以下适当方式获得委托人授权的前提下，可使用具备远程数据提取功能的移动终端检验分析6.4电子数据分析）；和附件文件等，并对与其相关的短信/即时通讯记录、文件或数据进行检d)对移动终端中特定结构的数据（如6.4.2.2检验过程充分考虑使用移动终端的同步协议、备份机制或权限提升等可能产生的影响。在获5若待鉴定应用程序无法正常运行，则停止运行并进应计算检出数据的完整性校验值，将检出数据采取封盘刻录方式刻录在空白光盘上或者保存在专）；j)移动终端网络连接的状态（如飞行模n)移动终端安全保护机制的状态以及采取的措施；q)鉴定过程中的异常情况（如适用9鉴定意见9.1存在性鉴定意见b)未检出数据表述至少包含检材编号和检验情况；c)不具备鉴定条件表述至少包含检材编号和不具备鉴定条件原因。9.2真实性鉴定意见9.2.1鉴定意见分类a)经过伪造/篡改；69.2.2鉴定意见判断依据及表述9.2.2.1经过伪造/篡改9.2.2.1.2鉴定意见表述为“需检数据1)经过伪造/篡改。”9.2.2.2未经过伪造/篡改9.2.2.2.1判断依据：未发现需检数据存在异常,并分析不存在通过现有技术手段无法发现的伪造/篡9.2.2.2.2鉴定意见表述为“需检数据未经过伪造/篡改。”9.2.2.3未发现伪造/篡改9.2.2.3.2鉴定意见表述为“未发现需检数据伪造/篡改。”9.2.2.4无法判断9.2.2.4.2鉴定意见表述为“无法判断需检数据是否经过伪造/篡改。”9.3功能鉴定意见9.3.1鉴定意见分类b)不具有需检功能；9.3.2具有需检功能9.3.2.1判断依据：对需检应用程序进行了充分的动态检验分析和静态检验分析，检验结果有充足的）（9.3.3不具有需检功能9.3.3.1判断依据应满足以下条件之一：a)对需检应用程序进行了充分的动态检验分析和静态检验分析，动态检验分析未发现需检功能b)需检应用程序不具备动态检验条件，但经过充分的静态检验分析能得出充足依据证明需检功9.3.3.2鉴定意见表述为“需检应用程序（版本号适用时注明限制条件）不具有需检功能。”9.3.4倾向具有需检功能1)本文件中的“需检数据”可用其等价描述替79.3.4.1判断依据：需检应用程序不具备动态检验条件或动态检验分析未发现需检功能，但通过静态检验分析发现实现需检功能的代码。应说明需检应用程序不具备动态检验条件或动态检验未发现需检）（9.3.5无法判断9.3.6鉴定意见表述为“无法判断需检应用程序（版本号）是否具有需检功能。”8[13]ISO21043—2:2018,Fore[14]ISO/IEC27037:201