手机取证论文

手机取证技术研究李健摘要：手机在犯罪的过程中出现的频率越来越高了,对手机的取证也显得越来越重要。

本文简述手机取证的概念、原则、特征，对目前手机取证在当前侦查取证中的现状进行介绍，同时，根据手机取证的取证源详细介绍手机取证的方法，详细介绍一些常用的手机取证工具软件的特点和适用情况以便于侦查人员的实际选择与应用，介绍当前主流的手机系统Android和苹果iOS的分析方法和取证的注意事项，另外，对手机用户提供一些保护手机的建议，最后对手机取证的研究及应用前景进行展望。

关键词：手机取证；取证方法；取证工具；对比实验随着当今社会移动通信技术的飞速发展，手机已经走进千家万户，据工信部统计，截止2014年1月，我国使用手机的的人数已达12.53亿，用户数占全国人口的90.8%，可以说手机已经成为人们日常联系的必备工具。

然而，伴随着手机业迅猛发展和手机功能不断强大的同时，利用手机进行违法犯罪的案件牵涉到手机的违法犯罪案件的比例逐年升高，对于公安机关办案，通过手机提取线索、证据也逐渐成为一种非常有效和重要的侦查手段。

因此，侦查人员系统的认识手机取证，掌握手机取证的基本方法，了解一些常见的手机取证工具软件，从而打击与手机相关的各类犯罪活动，对于维护社会稳定、保障人民生命财产安全、打击犯罪行为具有重大现实意义。

一、手机取证的概念、原则、特征（一）手机取证的概念手机取证是数字取证中的一种，所谓手机取证就是对存在于手机SIM卡、手机内存卡、外置存储卡、短信服务提供商系统和移动网络运营商保存的电子证据进行提取、保存、分析,整理出有价值的案件线索或能被法庭所采纳的证据的过程。

（二）手机取证的原则1.合法原则手机取证的合法原则和传统取证一样，所谓合法主要包括以下四种：（1）参与侦查取证的人员必须要有法定的权限和资格；（2）取证过程中的程序和手段必须规范；（3）取证所采用的工具也必须符合法律规定；（4）获取到的证据信息要以合法形式运用到司法程序中。

对于各国都普遍适用的判断电子证据是否合法有效的标准，《联合国电子商务示范法》第九条第二款之规定规定提供了指导性原则。

该指导原则强调审查电子证据获取、存储、传输、保存方法的可靠性和发送人身份的确定。

手机取证作为电子证据的取证方式的一种毫无疑问的适用此项原则。

手机取证的目的是把从手机中获取的电子数据进行分析整理，从而可以作为符合法律规定的证据使用。

因此，手机取证的合法性原则是进行手机取证的前提。

如果没有在取证的过程中就意识到其合法性，就极可能造成花费了大量的精力和财力获取的案件信息、线索不能作为合法证据使用，从而使本来就不足的基层警力更加紧张。

2.客观原则手机取证的客观性亦是与传统取证基本相同的，具体而言，客观性包括真实性和全面完整性。

其中，真实性是指获取的证据是客观存在的、有正确来源的事实，并且它是不以人们的主观意志的改变发生变化的客观存在。

这就要求侦查取证人员有较高的职业和道德修养，做到以事实为依据，以法律为准绳，绝不歪曲事实。

全面完整性是指能够完全的反映出侦查取证人员第一次接触到涉案手机时手机所处的状态及属性。

这就要求侦查取证人员必须具有专业的计算机网络与安全及通信知识，同时还应当熟悉相关法律知识。

除此之外，侦查取证人员还应当注重细节，争取做到一丝不苟。

从而确保证据不会因为侦查人员的知识不足或者操作失误而不能真实的反映出来。

3.及时原则及时取证是手机取证的必要原则。

手机取证获取的证据作为电子证据的一种，具有天然的脆弱性。

如果不及时取证，稍有不慎就易造成其被破坏，修改，甚至删除，从而导致获取的手机电子信息的失去有效性。

对于侦查取证人员，应当注意避免以下几点来遵循手机取证的及时原则：（1）手机保存的数据具有天然的脆弱性，很容易因为外界高磁场、高温、静电等环境的改变而破坏；（2）手机的状态是在时刻变化着的，多数手机的内存容量较小。

一些实时产生的相关信息，系统日志、相关的系统进程，会占据大量内存，进而覆盖原来的信息，导致原来存在的潜在的电子电子证据不能恢复；（3）众所周知，一台手机的电量也是十分有限的，如果没有及时对手机及时分析取证，又没有及时充电，导致手机电量消耗完后关机，很有可能引起的数据丢失；（4）网络供应商处的某些手机用户数据是周期性更新的，有些手机用户对手机的系统及手机中的软件的设置也是自动更新的。

（三）手机取证的特点手机取证是电子证据的一部分，作为一项新型取证手段，在实际应用中，参照证据学中物证鉴定的原理、方法和程序。

其与计算机取证有很多相似之处，可以说，手机取证是在计算机取证的基础上发展起来的。

随着手机取证业务量的增大，迫切需要对于这一领域进行专门研究，以适应社会发展的需要，提高手机取证的效率。

与计算机取证相比，手机取证也有着其自身的取证特点，主要表现在：1.监管难度大：手机是一种移动终端设备，手机的移动性特点使得手机很难得到随时监管；2.涉及范围广：手机品牌和手机操作系统多样性以及不断升级，存储卡种目繁多，使得手机取证的范围较大；3.数据不易存储：文件系统存在于具有非易失性的存储设备中，数据规范不统一；4.取证技术滞后性：手机信息技术更新换代快，产品周期短，使手机取证技术和工具软件不能完全适应一些新的手机产品。

二、手机取证的现状近年来，根据公安机关办理的案件来看，牵涉到手机的违法犯罪案件的比率日益明显上升，通过手机获取案件线索、证据也逐渐成为侦查人员侦查取证不可获取的一种侦查手段。

随着手机技术的发展和手机功能的日益强大，牵涉到手机的违法犯罪行为的范围也愈发广泛目前，与手机有关的违法犯罪行为大致有三种情形：第一，用手机充当违法犯罪活动的通信联络工具（如与同伙交流的短信、通话记录、即时通讯软件记录的文字、语音、影像等）；第二，把手机用作存储犯罪证据（如文档、照片、视频等）的媒介；第三，直接把手机作为实施犯罪活动的工具（如盗窃手机、短信诈骗、窃取支付宝和传播恶意软件等）。

虽然，牵涉到手机的案件的发案率近年来日益增多，但是破案率却不是特别理想。

原因主要有四种：一是基层侦查取证人员利用手机进行取证的意识不高；二是基层侦查取证人员缺乏进行手机取证的相关技术方法；三是当前的手机取证的软件工具大多或多或少还存在缺陷且价格比较昂贵；四是与手机取证相关的法律法规不健全，使手机取证难以得到法律的支持与保障。

因此，手机取证技术应当引起相关侦查人员、研发人员、立法部门以及手机用户的足够重视。

三、手机取证源及对应取证方法目前来看，手机的取证源有用户识别卡、内置存储卡、外置存储卡和手机移动网络运营商业务数据库四种。

从这四个方面我们可以获取手机的品牌、型号、电子串号、电话簿、已拨电话、已接电话、未接电话、发送及接收短信的电话号码和内容、照片、视频、录音、日历中的安排等信息，这些信息就成了潜在的电子证据。

众所周知，近几年智能手机的发展非常迅速，根据《2013-2014年中国手机市场研究年度报告》，全球市场研究公司Gartner数据显示，2013年全球智能手机销量接近10亿部，占整个手机市场销量的比例超过50%。

手机的功能的强大使得逐渐具备电脑很多功能，可以利用手机上网、聊天、购物、转账等活动，由于手机相对于电脑的方便性，使得这些活动呈现出一种趋势。

因此，对第三方软件中的账户信息、聊天记录（包括语音）、操作使用记录的提取对侦查工作也非常重要。

（一）用户识别卡及取证方法每台手机都有用户识别卡，也称SIM，SIM卡是数字移动电话的资料卡。

SIM卡本身就具有证据价值，卡面上通常印有网络服务商名称和惟一识别号，通过后者可以从服务商那里获得SIM卡用户资料，如姓名和地址等信息。

此外，存储容量一般在8—64K的SIM卡，虽然容量相对有限，但其中包含着大量有价值的潜在电子数据，主要有：1、SIM卡生产厂商存储的产品原始数据；2、手机存储的固有信息，如手机串号IMSI、密钥、PIN、个人解锁号PUK、各种鉴权和加密信息，加密密钥算法和其他用户信息；3、最近一次位置登记时手机所处位置识别号、设置的周期性位置更新间隔时间、使用SIM过程中的临时移动用户号等；4、用户使用手机所存储的个人数据，如用户存储的电话号码，短（彩）消息（包括一些被删除的信息），最近的通话记录以及行程表；5、SIM中的一些密码，包括SIM卡个人身份识别码（PIN）和解开锁定用的个人解锁码（PUK）等相关手机参数。

手机SIM卡是一种标准的智能卡，它不像手机有很多品牌、型号和系统，因此，取证起来所要获取的信息很明确。

如今常用的对手机SIM卡进行取证有两种方法。

一个是通过智能读卡器的设备来提取SIM卡中的数据。

在此方法中读卡器只要使用符合欧洲电信标准协会TS31. 10和TS51. 011标准的数据访问指令集就可获取SIM卡中的数据。

另外一种方法是直接通过指令操作来获得S IM卡中的数据。

在GSM手机的TS27. 007标准中特别定义了一个指令集来访问SIM 卡上的数据。

在一般情况下，可以用一些工具软件包来获取数据，常见的有商业软件SIMCon,ForensicSIM,SIM-Manager等。

（二）手机内存及取证方法手机本身有容量比SIM大的内置存储卡，其中存储着大量的信息，这些信息在不同系统、不同型号的手机中的格式可能也存在差异，随着手机功能的增强,手机内置的存储芯片容量呈现不断扩充的趋势。

存储在手机内置存储卡中的信息主要有：1.手机识别号：即GSM手机的IMEI，CDMA手机的ESN；2.手机通讯录；3.发送、收到或编辑存储的短信和MMS（多媒体信息服务）信息；4.声音、图像、影像视频；5.APP软件安装包；6.拨出、接收或未接收电话的记录；7.日历中的日程安排信息；8.被存储的可执行文件；9.GPRS、W AP和Internet 的设置信息以及上网的历史记录和缓存记录。

手机内存根据存储数据的差异可分为动态存储区和静态存储区两部分(见图1 )。

动态存储区中主要存储执行操作系统指令和用户应用程序时产生的临时数据,而静态存储区保存着操作系统、各种配置数据以及一些用户个人数据。

因此，对于取证而言，静态存储区的数据更具有价值。

从手机内存中提取数据相对比较复杂。

一般利用手机操作系统或者手机制造商提供的接口软件来读取手机内存中的数据，这很有可能造成数据的破坏，并且，被删除的数据也不能被恢复出来。

最好的方法就是镜像备份手机内存的数据，然而，目前还没有这样的工具。

目前有两种通过物理途径获取其中数据的方法：一是通过拆解手机获取内存芯片,进而使用专门的芯片读取设备来获得其数据镜像，但这样很可能会毁坏手机；另一种是使用专门的数据线与手机系统主板连接, 从中读取内存芯片的数据信息。

这些方法虽可获取手机中的最原始数据，减少外界因素对取证数据的干扰,但对侦查取证人员的手机硬件知识的要求很高。