2计算机犯罪与取证

的《电子签名统一规则（草案）》 （1999）第5条“完整性的推定”的规定及菲律宾《电子 证据规则》（2001）规则5第1条“证明真实性的责任” 的规定等，应从以下方面审查判断电子证据的真实性的内 容：
1．电子证据的生成。即要考虑作为证据的数据电文
12
计算机犯罪的具体形式
冒名顶替
利用别人口令,窃用计算机谋取个人私利的做 法。
在机密信息系统和金融系统中,罪犯常以此手 法作案。单用户环境多为内部人员所为,网络 系统则可能为非法渗透。
13
计算机犯罪的具体形式
清理垃圾
从计算机系统周围废弃物中获取信息的一种 方法。
逻辑炸弹
指插入用户程序中的一些异常指令编码,该代 码在特定时刻或特定条件下执行破坏作用,所 以称为逻辑炸弹或定时炸弹。
17
什么是电子证据？
电子证据定义
在计算机或计算机系统运行过程中产生的以 其记录的内容来证明案件事实的电磁记录物
与传统证据的不同之处在于它是以电子介质 为媒介的
18
电子证据的特点
证据的特点
可信的 准确的 完整的 使法官信服的 符合法律法规的，即
可为法庭所接受的
电子证据的特点
表现形式和存储格式 的多样性
14
计算机取证的基本概念
定义
计算机取证（ computer forensics ）就是对计算机 犯罪的证据进行获取、保全、分析和陈述，实际上 可以认为是一个详细扫描计算机系统以及重建入侵 事件的过程
可以认为，计算机取证是指对能够为法庭接受的、 足够可靠和有说服性的，存在于数字犯罪场景(计 算机和相关外设)中的数字证据的确认、保护、提 取和归档的过程
故意制作、传播计算机病毒等破坏性程序,影响 计算机系统正常运行,后果严重的行为。
8
计算机犯罪的类型举例
盗窃罪
《刑法》第287条规定了利用计算机实施金融诈骗、 盗窃、贪污、挪用公款、窃取国家秘密罪。利用计 算机实施盗窃的行为纳入盗窃罪定罪处罚的范围,从 而使盗窃罪更具信息时代的特征。
如盗窃电子资金,不法分子往往利用电子资金过户系 统,例如定点销售系统、自动存取款机、自动化票据 交换所、电子身份证系统等提供的便利,使用计算机 技术通过网络修改电子资金帐目,窃取电子资金。
23
如何判断电子证据的真伪
审查判断电子证据的真实性的最常用的方法，是比较 的方法。在通常情况下，对于某一案件事实的认定， 仅凭审查某一个证据无法达到确认案件事实的目的。 任何一个证据都无法借助自身来证明其真实、可靠性， 只有与其他证据结合起来，加以综合分析、判断，才 能确认其真伪。
在电子证据与其他证据相比较确定其真假的过程中应 遵循以下规律：两证矛盾，必有一假：与众证矛盾， 多属假证；与案件矛盾，悉属假证；自相矛盾，应属 假证。
计算机犯罪与取证技术
Computer crime and computer forensics
1
内容提要
计算机犯罪的概念 计算机取证的基本概念 取证的原则与步骤 取证工具 网络取证/入侵取证
2
背景
随着社会信息化、网络化大潮的推进，社会生 活中的计算机犯罪由最初的“小荷才露尖尖角” 到目前的层出不穷，举不胜举，因此，电子数 据证据的法律效力正在成为学界关注的焦点， 计算机取证技术也逐渐得到重视。
德国学者施奈德认为:“计算机犯罪指的是利用电 子数据处理设备作为作案工具的犯罪行为或者把 数据处理设备当作作案对象的犯罪行为。”
我国学者认为:“计算机犯罪是以计算机为工具或 以计算机资产为对象的犯罪行为。”
6
计算机犯罪的类型举例
非法侵入计算机信息系统罪。
《刑法》第285条规定,违反国家规定,侵入 国有事务、国防建设、尖端科学技术领域 的计算机信息系统的,处三年以下有期徒刑 或者拘役。
30
取证的原则与步骤
一般原则
尽早搜集证据，并保证其没有受到任何破坏 必须保证取证过程中计算机病毒不会被引入目标计
算机 不要在作为证据的计算机上执行无关的程序 必须保证“证据连续性” 整个检查、取证过程必须是受到监督的 要妥善保存得到的物证 详细记录所有的取证活动
31
取证的步骤
计算机取证的过程
29
电子证据真实性判断的条文规定
4．电子证据的收集。即要考虑作为证据的数据电文是由 谁来收集的，收集者与本案有无利害关系，如果收集者与 本案有利害关系，那么其收集的电子证据的可靠性要低。 另外，是否是经公证机关获得的电子证据，经公证机关获 得的电子证据的可靠性较高；司法机关在收集电子证据的 过程中是否遵守了法律的有关规定；司法机关以秘密方式 收集电子证据时是否经过授权，是否符合法定的秘密取证 程序；收集电子证据的方法（如备份、打印输出等）是否 科学、可靠；收集者在决定对数据电文进行重组、取舍时， 所依据的标准是什么、所采用的方法是否科学、可靠，等 等。
28
电子证据真实性判断的条文规定
3. 电子证据的存储。即要考虑作为证据的数据电 文是怎样存储的：如存储数据电文的方法是否科 学，存储数据电文的介质是否可靠，存储数据电 文者是否公正、独立，数据电文是由不利方储存 的还是有利方储存的或是中立的第三方储存的， 不利方储存的数据电文的可靠性最高，第三方储 存的数据电文的可靠性次之，有利方储存的数据 电文的可靠性最低。存储数据电文时是否加密， 所存储的数据电文是否被改动，等等。
系统日志文件、应用程序日志文件等 交换区文件、临时文件、数据文件等 硬盘未分配空间；系统缓冲区等 备份介质等
21
电子证据的来源（2）
来自网络
防火墙日志、IDS日志 系统登录文件、应用登录文件、AAA登录文
件 (比如 RADIUS 登录)等
22
电子证据的来源（3）
来自其他数字设备
便携设备中存储的数据 路由器、交换机中的数据 各种配置信息 磁卡、IC卡等
25
为证明邮件不但是真实的而且是被告所为的事实，原告提供了如下的证 据： (1)发出电子邮件的上网帐号和邮箱地址，通过比较电信局的开户记录 和被告以往的使用该邮箱发信给他人的历史记录推断出，这个上网帐号 和邮箱地址属于被告。 (2)北京市电信局提供的2000年2月21日至3月20日上网详细记录证明， 记录了拨号上网所用的电话号码、IP地址、电脑代号和上网时间，该电 话是被告的办公室电话，通过比较被告其他朋友接收被告邮件时电脑代 号的证明，证明发出邮件电脑正是被告的手提电脑； (3)被告的在场同事证明，拨号上网的时间为上班时间，被告也在现场， 发信时间与被告上网时间相吻合。 以上证据相互印证，以“上网设备特征（电脑的IP地址和代号）＋传输 设备特征（上网所用的电话号码）＋被告的办公室”锁定“空间”，以 “上网时间＋上班时间＋被告的在场证据”锁定“时间”，时间加上空 间，即锁定了被告在特定时间和地点实施侵权行为的可能性和唯一性。 以“上网口令（上网帐号和密码）”排除其他人“盗用”的可能性，从 反面证明了以上结论的正确性。法院认为，被告否认上述邮件系其所写 所发，未提供充分证据，故不予采信，最后判决：被告利用电子邮件侵 犯原告名誉权行为成立，判决被告予以书面致歉，同时赔偿原告精神损 失2000元，及经济损失1536元。
参考许霆案
9
计算机犯罪的具体形式
数据欺骗
非法篡改输入/输出数据获取个人利益,是最普 通最常见的计算机犯罪活动。
发生在金融系统的此种计算机犯罪多为内外 勾结,串通作案,由内部人员修改数据,外部人 员提取钱款。
10
计算机犯罪的具体形式
意大利香肠术
侵吞存款利息余额,积少成多的一种作案手段, 是金融系统计算机犯罪的典型类型。这种方 法很像偷吃香肠一样,每次偷吃一小片并不引 起人们的注意,但是日积月累的数目也是相当 可观。
15
计算机取证的基本概念
目的
计算机取证的目的是根据取证所得的证据进 行分析，试图找出入侵者和/或入侵的机器， 并重构或解释入侵过程
who /when /where/ how/ what
16
计算机取证的基本概念
计算机取证希望解决的问题
攻击者是如何进入的？ 攻击者停留了多长时间？ 攻击者做了什么？ 攻击者得到了什么？ 如何确定在攻击者主机上的犯罪证据？ 如何赶走攻击者？ 如何防止事件的再次发生？ 如何能欺骗攻击者？
4
计算机犯罪概念
狭义说：计算机犯罪———通常是对计算机 资产本身进行侵犯的犯罪。
瑞典的私人保密权法规定:“未经过批准建立和保 存计算机私人文件,非法窃取电子数据处理记录 或非法篡改、删除记录侵犯个人隐私的行为都是 计算机犯罪。”
5
计算机犯罪概念
折衷说：计算机本身在计算机犯罪中以“犯 罪工具”或“犯罪对象”的方式出现,这一概 念注重的是计算机本身在犯罪中的作用。
24
如何判断电子证据的真伪－案例
在“邵达立诉张尔申案”中通过运用比较的方法，证明了侵权电 子邮件系被告所发的事实。 原告邵达立和被告张尔申原本是某公司的同事。2000年3月8日， 该公司电脑上收到了29封相同内容的英文电子邮件。该邮件内容 为：“邵达立是被迫辞职的，因为他盗用公司资金并用假收据谋 取财产。” 原告看后气愤异常，根据这些邮件的发信地址 （eszheng@），原告断定这是被告所为。 2000年5月，原告向法院提起诉讼，诉状称被告在互连网上散发 的电子邮件中，用捏造事实的方式及侮辱性语言对其名誉进行诽 谤，要求法院判决张尔申予以赔礼道歉，并赔偿精神损失及经济 损失共计51563元。被告辩称：原告提供的邮件是个伪造的计算机 文件，而且电子邮件可以更改，内容和信箱都有可能伪造。因此 请求法院驳回原告的诉讼请求。
此类案件在国内外均有发现,因为只有修改计 算机程序才能达到其犯罪目的,故多为直接接 触程序的工作人员所为。目前国内多数为局 域网管理银行帐目而产生此类犯罪。
11
计算机犯罪的具体形式
特洛依木马
某些程序表面上来看是正常合适的,但在内部 却隐藏秘密指令和非法程序段的程序的代名 词。
此种方法是指以软件程序为基础进行欺骗和 破坏的方法。
7
计算机犯罪的类型举例
破坏计算机信息系统罪。
这一行为《刑法》第286条概括为破坏计算机信 息系统罪。主要表现为：
故意对计算机信息系统功能进行删除、修改、 增加、干扰,造成计算机信息系统不能正常运行, 后果严重的行为；
故意对计算机信息系统中存储处理或者传输的 数据和应用程序进行删除、修改、增加的操作, 后果严重的行为；
3
计算机犯罪的概念
Computer related crime or computer aimed crime？
广义说：计算机犯罪———通常是指所有涉及 计算机的犯罪。
欧洲经济合作与发展组织的专家认为:“在自动数据 处理过程中任何非法的、违反职业道德的、未经过 批准的行为都是计算机犯罪。”
我国刑法学者有人认为:“凡是故意或过失不当使用 计算机致使他人受损失或有受损失危险的行为,都 是计算机犯罪。”
高科技性和准确性 脆弱性和易毁坏性 数据的挥发性
19
电子证据的优点
可以被精确的复制 用适当的软件工具和原件对比，很容易
鉴别当前的电子证据是否有改变 在一些情况下，犯罪嫌疑人完全销毁电
子证据是比较困难的
20
电子证据的来源（1）
来自系统
硬盘、移动硬盘、U盘、MP3播放器、各类软盘、磁 带和光盘等
是怎样形成的：如数据电文是在正常业务中按常规程序自
动生成还是人工录入的，自动生成数据电文的程序是否可
靠，有没有非法干扰；由人工录入数据电文时，录入者是
否按照严格的操作规程、采用可靠的操作方法合法录入。
另外，该电子证据所依赖的计算机系统或其他类似设备，
在所有关键时刻是否处于正常运行状态，若关键时刻不处
于正常运行状态，该事实是否影响电子记录的真实性；该
电子证据是在正常业务中制作的还是为诉讼目的制作的，
前者的可靠性要高于后者。
27
电子证据真实性判断的条文规定
2．电子证据的传送与接收。数据电文通常要经过网络的 传递、输送，所以要考虑传递、接收数据电文时所用的技 术手段或方法是否科学、可靠，传递数据电文的“中间人” 如网络运营商等是否公正、独立，数据电文在传递过程中 有无加密措施，数据电文的内容是否被改变等。