《电子数据取证技术》课件-第11章

第11章其他取证技术11.1区块链取证技术11.2云计算取证技术11.3智能系统取证技术

11.1区块链取证技术

11.1.1区块链简介区块链是一种分布式的记账系统，在基础的技术层面为用户提供一种公共账本，结合区块存储、签名和链式加密等技术来记录交易信息，以确保交易的完整性和不可抵赖性。区块链的核心思想首次出现于1991年，在一篇名为《怎样为电子文件添加时间戳》的论文中，作者论述了怎样使用链式签名账本的方法，确保文档的不可修改特性。

加密货币是区块链最早也是最有影响力的应用，同时也是在取证中涉及最多的，后续对区块链取证的描述更多围绕加密货币中的比特币展开。由于区块链和加密货币的内容太过繁多，因此本节仅涉及其中部分内容。

1.区块链的核心概念

按照维基百科给出的定义，区块链是借由密码学串接并保护内容的串连交易记录，又称区块。每一个区块包含前一个区块的加密散列、相应时间戳记以及交易数据，这样的设计使得区块内容具有难以被篡改的特性。用区块链串接的分布式账本能让双方有效记录交易，且可永久查验此交易。

区块链技术最早的应用是比特币项目，其基础就来源于中本聪发表的论文，以比特币为例来说明这些概念。需要注意的是，区块链相关的一些算法和数据结构也在不断演进，在其他区块链实现中则会有更多的差异。

在比特币白皮书的描述中，对相关联的交易记录存储采用了图11-1所示的链式结构。图11-1比特币中的交易记录关系

同时，在比特币白皮书方案中，每10 min就会对期间发生的交易进行打包并生成一个区块，区块之间通过链式结构进行保存以形成区块链，如图11-2所示。图11-2比特币的链式区块保存结构

2.挖矿、客户端、钱包和地址

比特币的所有交易记录都保存在区块链中。每10 min左右就会有一个新的区块生成并加入区块链，这个新的区块中记录了期间进行的所有交易。区块的产出速度不是通过命令达成的，而是通过全网设置的难度系数决定的。每一个区块有一个ID，这个ID既不是随机数，也不是顺序产生的，而是根据区块头数据计算出来的两次SHA256哈希值，并且这个哈希值需要满足一定的条件，如当前对这个哈希值的要求是前14位以上的数字必须均为0。

参与区块链运算的节点在收到任务后，需要组合区块头中的几部分数据，并且需要加入一个随机数，使得计算出来的区块头两次SHA256哈希值满足上面的要求。由于哈希运算的不可逆特性，此时仅能使用穷举的方法进行计算，一般来说需要10多亿次的尝试，所以想快也不可以，因此这个计算所需要的时间就被控制在10 min左右。如果时间有较大的偏离，比10 min更快或更慢，那么将通过定期调整难度系数的方式进行调节。首先计算出这个ID的节点将会获得一定的奖励，当前的奖励是12.5个比特币。这也就是比特币采用的基于工作量的共识算法，对于任何节点都是公平的。由于计算该哈希的难度系数很高，因此收获也很大，这个过程被称为挖矿，所有参与挖矿的人被称为矿工。

比特币的这些特性是通过一个客户端程序软件实现的。延续中本聪官方概念的客户端程序被称为核心版本，使用该版本的人数最多。由于比特币是开源项目，任何个人或组织都可以根据需要发布一个新的版本。经过多年的发展，出现的版本还包括BitcoinClassic、BitcoinXT等，它们可能会使用不同的共识算法、不同的时间间隔和区块大小等，造成区块链的分叉。

以比特币核心客户端为例，其功能包括比特币核心节点、管理钱包和参与交易。在运行客户端程序之后，其中的核心节点进程会参与到比特币网络中，比特币网络终端的节点是去中心化或者是分布式的，处于一个对等的网络中，没有中心服务器。加入网络中的节点首先进行的操作是同步区块链的账本数据，由于包含了之前的所有交易信息，因此这个同步的数据量已经超过了200GB。在进行完整的数据同步之后，即可启用钱包、交易、数据交换等其他功能。

由于核心钱包和核心节点是在一起使用的，因此在转账交易时可以进行完整性的验证，但是代价也不小，需要下载完整的账本数据，使用起来并不是很方便。时至今日，已经存在各种各样的比特币钱包，包括桌面软件、硬件钱包、手机钱包和网页钱包等。要注意的是，每一种钱包的功能可能经过了裁剪，所以和核心钱包会有所不同。

3.区块链的技术特点和应用

使用以上机制构建的区块链应用具有一些与众不同的特点，包括不可篡改性、分布式存储、匿名性、价值传递、网络共识、可编程合约等。

在比特币的交易中，只需要提供地址就可以接收对方的转账，而地址是对公钥进行哈希运算得到的一个杂乱的字符串，用户可以生成任意多的地址。用户可以在每一次转账中使用不同的地址，可以将资产分散保存在不同的地址中。比特币、莱特币、以太坊等系统的账本数据都是公开的，但是却不能知道背后的操作者是谁。这就实现了用户身份的匿名性，在很大程度上可以满足人们对隐私安全的需求。

人们之所以认同货币，是因为货币具有一定的价值，可以交换到人们需要的商品。货币的这种价值是由政府信用来背书的，获得了人们的认可和信任。通过加密机制、共识价值的建立、认可和信任，在很长的一段时间内，加密货币的价值传递功能已经得到了确认，其市值虽然有较大的波动，但是稳定在一个区间内。这种信任关系的建立，是通过区块链系统自身创建的，在这样一个无须第三方参与的信任环境中，可以大大简化各种资产交易的过程，降低交易成本。同时，区块链系统的分布特性使得其可以实现无边界的价值传递。

11.1.2区块链取证要点

区块链在现实中有很多用途，目前最大的应用是在加密货币领域，案件中出现的大多是针对加密货币的取证。限于篇幅，这里仅介绍加密货币的取证，在一些基本的原理上也适用于其他区块链的取证。

加密货币可以用来汇款、兑取外汇、订票、购买网络上的商品等，有些国家和地区还设置了专门为加密货币使用的ATM存取款机。由于加密货币的匿名性，使得包括在线赌博、暗网黑市、敲诈勒索、隐匿资产、传销吸金、洗钱等各种犯罪活动变得更加方便。同时，由于加密货币的价值不断走高，也有很多关于挖矿、攻击、盗取、欺诈等方面的案例。

根据案件类型和显示调查的场景，对加密货币的取证分析可能涉及钱包的取证以及对网络中交易记录的取证等几个层面。

1.钱包的取证分析

对比特币等加密货币进行取证的一个重要方面就是对客户端钱包的取证，在各类涉及加密货币的案件中都会出现。根据前面的定义，钱包主要用来管理私钥、地址以及交易相关的内容，钱包可能以多种方式存在，包括硬件钱包、桌面钱包、手机钱包和Web钱包等。对不同形态的钱包应该采取和其标准应用相适应的方式进行取证，如图11-3所示(/zh_CN/choose-your-wallet)。图11-3多种不同形式的钱包应用

以比特币桌面钱包应用为例，对桌面应用钱包的取证应采用和桌面应用取证标准相应的方式。在桌面钱包中，最经典的是来自比特币官方的钱包客户端，其原名成为Bitcoin-qt，现在的名称是比特币核心钱包(BitcoinCore)。这个钱包是最完整的、最安全的钱包，也是最早的比特币客户端。

主流的钱包都支持iOS/Android操作系统，各种在线交易平台也都支持手机、计算机版本，因此对于这些版本的钱包进行取证也非常重要。在实际取证工作中，主要应提取以下内容：

(1)计算机中虚拟货币钱包应用程序及相关数据，如BitcoinCore的wallet.dat。

(2)计算机浏览器中交易平台的浏览记录。

(3)计算机中存储的密钥文件、助记词、提币地址等。

①比特币地址：34位，以1开头。

②以太坊地址：42位，以0x开头。

③莱特币地址：34位，以L开头。

④比特币现金：以q或bitcoincash：q开头，后面接Base32编码的字符串。

(4)手机中钱包App的用户数据等。

2.交易的取证分析

除了对使用者的计算机进行取证之外，还可以通过对交易的分析进行取证。由于比特币设计基于P2P的网络格式，所有交易都存储在比特币网络中，这使得证据收集受到限制。但是，比特币是伪匿名或非匿名的，它不会凭空消失，相反每笔交易都是公开的，对使用比特币网络的每个人都是可见的。比特币的交易是按照时间顺序组织的公开记录。

一些可以对虚拟货币交易进行溯源追踪的网站非常好用，可以通过这些网站进行取证并固定交易详情。在这些网站上输入提币地址等交易特征，可以对交易进行溯源，追踪到涉及交易的比特币从挖矿产生到最后的全部过程。提取数据后，使用分析软件可以对其进行快速分析。

3.交易所的落地取证

可以通过平台注册信息、交易IP等对交易双方的真实身份信息进行落地查证。目前，国内用户使用最多的火币网、OKCoin、可盈可乐交易平台都提供了对公的身份落地服务，取证人员只需提供警官证、调证手续，就可以调取注册信息、平台上的交易记录。平台调取的信息包括姓名、身份证号、手机号、支付宝账号、交易记录等。

4.其他取证

针对不同的应用，还可以结合其他取证方式进行取证分析。例如，在进行比特币交易时，可以通过嗅探技术监听交易中继，还可以通过区块链浏览器的痕迹信息或Cookies发现蛛丝马迹。对于使用比特币支付的电子商务交易，还可以利用电子商务平台跟踪用户信息的历史数据以发现线索。

11.2云计算取证技术

云计算取证是指云计算环境下的数据取证。随着亚马逊弹性计算云以及国内阿里云等服务商业务的迅速推广，案件中碰到云计算取证的情况也越来越多。一方面是因为很多公司的业务已经迅速部署到云计算的应用环境中，另一方面是因为云环境的匿名性、便捷性、分布式等特点也为罪犯提供了便利。

11.2.1云计算简介

如果登录阿里云网站，就可以发现阿里云的服务已包括弹性计算、数据库、存储与CDN、网络与监控、应用服务等近10个大类。如果继续对各大类进行展开，算上所有的小类则可达上百种，而国内外的云服务商并非阿里一家。从云取证和应用关联的技术层面来看，云服务已经涵盖计算机的各个方面，这些要素可能在各个层面发生关联。

1.云计算的定义

1966年，在计算机诞生初期，D.F.Parkhill(Thechallengeofthecomputerutility)就提出了计算资源应为共享资源这一概念。在过去，互联网公司需要耗费人力资源成立单独的部门或数据中心来支撑自己特定的业务或产品，并需要采购大量硬件、软件设备。然而这些耗费高昂成本建立的数据计算中心在高峰时段却无法满足所有需求，在日常运营时期又浪费资源、开销巨大，所以一些大型互联网企业将自己的一部分计算资源以计费形式出租给其他企业，使得集中的计算资源在分配给不同企业时变得弹性且按需使用。

NIST将云计算定义为一种模型，可以随时、随地、随需通过网络分配集中计算资源池中的资源(如网络、服务器、存储、应用及服务)，这些资源可以高效率地供给、释放，并最小化服务提取方的管理成本。云计算有5个特点、3种服务模型、4种部署模式，接下来一一进行介绍。

2.云计算的特点

云计算的特点如下：

(1)按需自助服务。消费者可以自助管理自己的计算资源(如使用时长、网络带宽、存储等)，自助管理过程不需要服务提供方参与。

(2)网络访问。不同平台(如移动端、手提电脑、工作站等)均可通过网络访问服务。

(3)资源共享池。服务提供方将计算资源集中至资源池中，按需求将物理、虚拟资源动态分配给不同消费者。消费者通常无法得知也无法精确指定其所使用的资源所属位置，但消费者可以指定一个大致地理位置范围(如国家、省、数据中心)。

(4)即时弹性资源。资源通常可以根据需求自动弹性分配、回收。对于消费者来说，这些资源可以随时、无限获取。

(5)计量付费。云计算系统通过计量系统自动管理、量化计算资源(存储、处理器、带宽、用户账户数)。所有资源的使用都是可计量、可控制的，且有凭据，以达到计费模式在消费者与服务提供方之间完全透明。

3.云计算的服务模型

NIST将云定义为3种服务模型，即基础设施即服务(IaaS)、平台即服务(PlatformasaService，PaaS)、软件即服务(SaaS)，具体如下：

(1) IaaS：通常提供对网络、计算机(物理资源、虚拟资源)以及数据存储空间的访问。IaaS对计算资源提供最高等级的灵活性控制管理。

(2) PaaS：剔除了对底层基础设施的管理需要，使用者跳过了对网络、系统、存储容量、软件维护、资源配置的管理，直接对应用程序的部署和配置进行管理。

(3) SaaS：类似于一套完整的产品，由服务提供方负责运行和管理，在云基础设施上运行的应用程序。消费者跳过对云基础设施的管理(网络、服务器、操作系统、存储)，只需根据需求、场景选择应用即可。电子邮件服务是SaaS一个很典型的例子，消费者不需要维护电子邮件服务运行的服务器，可直接使用电子邮件服务对邮件进行管理。

4.云计算的部署模式

云计算的部署模式分为4种，即私有云、社区云、公有云和混合云，这是按服务使用方的类型和需求进行分类的。私有云的服务使用方一般为某一个人或企业，可以自己管理或托管给第三方；社区云一般为有相似特点的社区服务，需要使用方共同分担费用；公有云为大众服务，可以被企业、学校、政府机构等使用；混合云由两种及以上的云部署类型组成，可以互相发挥各自的优势。

5.云计算的发展

自传统电子设备(如个人电脑、智能手机等)诞生以来，云计算服务是当今信息科技时代杰出的产物之一。云计算将个人电脑时代转变为个人云时代，改变了人们对计算处理能力、存储的传统认知，同时改变了信息技术服务的运营模式。亚马逊的AWS平台在2002年7月启动，在启动初期，AWS仅能提供有限的工具和服务。在2003年末，AWS的BenjaminBlack和ChrisPinkham提出了标准化的云计算自助服务框架，并表示通过出售虚拟服务器可以创收。

AWS在2006年正式发布了亚马逊S3云存储、SQS和EC23种服务，为开发者、网站、客户端、企业等提供云计算服务，首次通过云计算服务为使用者解决了存储有限、数据安全、数据有效性和成本等问题。2013年AWS启动了云计算培训项目，以培养专业的云计算工程师。AWS云计算2014年收入46亿美元，占总收入的5.2%；2019年收入已高达350亿美元，收入占比更是达到12.5%。2018年AWS便发布了两项区块链服务(AmazonQLDB和AmazonManagedBlockchain)，正式进军区块链领域。

与此同时，阿里巴巴集团也成立了旗下云计算品牌阿里云。阿里云从2009年开始起步，基本上保持每年增长超过100%的发展速度，当前提供的云服务项目已经超过100项内容。在国内的数据中心之外，阿里云同时在新加坡、迪拜、纽约等地开设国际数据中心，致力于以低成本、高效率的模式帮助使用者解决复杂的计算问题，处理海量问题，并通过云安全解决方案和大数据分析为客户提供安全产品和服务。

云计算在给服务双方带来收益的同时，也滋生了不少以云计算为工具、或以云计算平台为攻击目标的犯罪分子，针对云计算平台的取证需求也越来越多；同时，由于云计算平台的复杂性，带来了与传统数字取证不同的实践和挑战。

11.2.2云计算取证要点

云计算环境中的数据存储方式和传统的数据存储不同，不是保存于单台计算机中，而是可能存储于各种不同的、大量的异构服务节点中。在2011年，Ruan等人第一次定义了云取证这个词，认为云取证是云计算和电子数据取证的交叉学科，其定义可以套用NIST对电子数据取证的定义：在保证电子物证数据链和数据完整性的情况下，研究电子数据的识别、保全、分析、展示等过程的学科；并将云取证定义为网络取证的一个分支，认为云取证应当遵循网络取证的相关流程和技术。

云取证是一种飞速发展的、涉及多维度的技术。云取证主要包含3个层面：一是技术层面，其中包含收集数据的流程、云取证相关工具的研发、在线取证、对获取镜像的仿真、取证前期准备、分析等多个方面。二是管理层面，管理层面主要涉及多个责任方，如云计算服务提供方、云计算使用者、云安全管理协会、执法部门、第三方鉴定机构/安全审计机构等。

其中，云安全管理协会主要负责指定安全行业规定，云计算服务提供方负责部署安全管理设施、完善使用者登记、告知使用者一些服务遵守条款等，云计算服务使用者则负责遵守云服务使用手册、合规合法使用云服务等，执法部门负责调查与云端犯罪相关的案件、证据收集等，第三方鉴定机构/安全审计机构负责审计、鉴定等相关业务。三是法律层面，法律层面需要解决的问题有很多，如多用户共享同一虚拟主机如何判定使用者、参与云计算行业相关法律法规的制定等、如何保证云取证合法合规、对收集的证据如何确保其完整性和原始性等。

1.云取证技术

根据云计算的定义，其服务类型可以分为IaaS、PaaS、SaaS3种。对这3种服务形式，都可以在3个层面进行证据的获取，具体如下：

(1)应用层面：以应用账号登录，获取应用/服务内的数据。

(2)服务层面：以云服务账号登录，对云用户租用的各种资源和使用情况进行固定。

(3)管理层面：以云服务提供商的账号登录，对提供的资源、数据、日志等进行固定。

2.应用层面的证据固定

IaaS相当于租用的主机/服务器，简而言之就是云主机。亚马逊最早推出的弹性计算云即属于这种服务，国内的阿里云、腾讯云、UCloud等很多服务商都提供这种服务，一些公司自己搭建的私有云也属于这种类型。对云主机的应用取证就是获取主机内的数据。其特殊性在于云主机的计算和存储资源等都是通过虚拟化技术来实现的，虚拟化的主机没有实体的机器可以扣押，所以只能在获取主机用户账号后，以在线取证的方式完成数据固定工作。云主机的在线取证和一般远程服务器取证基本相同，可以获取的数据包括操作系统和应用的动态易失数据、内存、应用数据文件、分区甚至整个存储的镜像。

PaaS的应用取证比较复杂。从PaaS的原理来看，PaaS服务商提供的是资源平台，如Python、PHP、MySQL等服务的运行环境。用户租用PaaS平台完成程序开发、搭建和数据配置工作后，运行用户定制的应用，将数据保存在应用平台中。当前的PaaS平台常使用Docker技术，从程序层面看是无状态的，而数据可以持久化存储。PaaS本身是以一种SaaS服务方式提供的，所以PaaS是一种定制的服务，对于每一种PaaS并没有统一的证据固定的方式。

在对PaaS数据进行取证时，必须按照PaaS提供的服务方式登录，以完成PaaS程序和数据的证据固定工作。国内典型的PaaS平台有新浪云应用平台(SinaAppEngine，SAE)，在创建新浪云应用之后，可以使用设置的用户名和安全密码对相关应用的代码进行证据固定(图11-4)，同时也需要对应用相关的数据服务进行单独固定。

图11-4创建新浪云应用进行证据固定

3.服务层面的证据固定

服务层面的证据固定就是从服务消费者的角度进行证据固定，使用嫌疑人的云服务账号登录，完成相关的证据固定。由于竞争和云计算的高速发展，BAT等几家比较大的服务商提供的服务类型都已在几十种以上，在管理和细节上各个厂商的服务会有所不同，但是从取证的角度来看主要关注账号、资源、配置、支付、使用、工单等各种信息。以阿里云服务为例，其控制台的管理界面大致如图11-5所示。图11-5阿里云控制台的管理界面

从服务层面来看，IaaS、PaaS和SaaS可以提取的数据可能会有所不同。针对IaaS类的主机服务，可以获取如下数据：

(1)实例信息、运行历史信息。

(2)网络资源、配置信息、历史信息。

(3)存储/块设备镜像。

(4)存储/磁盘/数据快照，如果是私有格式，则需要提供解析方法。

(5)存储磁盘/数据历史备份。

针对PaaS类的服务，可以获取如下数据：

(1)实例信息、历史运行信息。

(2)程序、数据、配置和日志。

(3)程序、数据历史备份。

针对SaaS类的服务，可以获取如下数据：

(1)服务类型、服务配置和历史变动。

(2)当前服务数据。

(3)服务历史数据备份。

4.管理层面的证据固定

由于云计算应用的发展，数据和应用在不断向云平台集中，案件中和云服务商进行交流和合作的场景已相当普遍。BAT等几家公有云厂商都建立了证据调取和协助机制，在遇到私有云的情况下，也可以和云服务的管理者进行沟通，从管理层面获得更多的证据信息。

在确定云服务账号的情况下，通过管理端的界面可以获得该账号的访问日志信息，包括主机访问日志、应用访问日志和账号访问日志等。在这些用户操作的日志信息之外，系统也会对数据进行主动的备份和安全防护，这样就会生成定期快照和历史备份数据，如主机镜像/快照/备份、应用数据快照/备份以及数据的快照/备份等。这些数据都是海量级别，不会保存很长时间，在案件的侦办过程中应该及时和云服务商沟通，主动生成并获取这部分数据。

管理层面对服务者和数据来说就是“上帝视角”，在定制和可能的情况下，可以快速获得完整的证据数据，达到重构云计算操作和历史事件的目的。

云取证在应用复杂性、数据的海量和分布性、证据的隐蔽性和时效性等各个层面都要超过传统的应用形式，在后续相当长的时间内会成为取证人员实战的难点和挑战。

11.3智能系统取证技术

11.3.1智能系统取证简介智能系统取证是指通过综合使用计算机技术、物联网技术以及其他各种取证技术，按照符合法律法规规定的方式，依据设定的取证规则、取证策略，对涉及案件的智能系统客体进行数据的保全与提取，然后进行智能分析推理，对犯罪行为做出判断，并以此作为法定证据的过程。

11.3.2智能系统取证要点

对于智能系统来说，传统的离线取证方法在大规模分布式的存储环境中已然失效。一个完整的文件被分割成若干个数据块，并存储在不同的节点上，其硬件平台也由传统的硬盘提取转换到IntelEdison开发板、ARMmbed开发板、Arduino开发板等硬件平台的提取，更加技术化。而这些开发板大多置于车辆、无人机以及智能家居中，智能手表中也有这些开发板的身影。

另外，智能系统的操作系统平台已不再是人们熟知的Windows、Android等操作系统，而是mbedOS、EmbedLinux、TinyOS、VxWorks、Brillo等，操作系统平台的多样化对取证界提出了新的要求。再者，智能系统各层使用的网络协议不同于传统互联网协议，由传统的TCP/IP协议向Z-Wave、ZigBee、6LoWPAN转化；应用也是智能系统取证的一大要点，智能系统取证除了要对一些传统应用进行取证之外，还有很多新型的应用置于其中，如AWSIoT、salesforce、Micrium(RealTimeOperatingSystem)、Postscapes等都不是很常用的软件。

11.3.3智能系统取证内容

1.智能车辆取证

现时车载应用程序可以让手机通过物理或蓝牙连接至车载娱乐系统，实现同步联系人信息、拨打/接听电话，接管了在驾车