摘要 :

引 言

1 取证源

2 取证过程中的证据获取方法

3 常见的手机取证软件

4 结束语

摘要 :

从手机证据的来源和获取两个方面对当前国内外关于手机取证的研究现状进行概括和分析 ,同时介绍了一些常见 的手机取证软件 ,并且指出了目前在此领域中尚存的一些主要问题 ,最后就手机取证的研究发展方向进行了展望 。

关键词 :手机取证 ;计算机取证 ;电子证据获取 ; SIM卡信息获取

引 言

随着移动通信技术所提供服务水平和服务种类 的不断提高和扩充 ,手机已日益成为人们工作生活中 不可或缺的联系工具 ,然而与此同时 ,利用手机进行 诈骗、诽谤和伪造等犯罪活动也屡见不鲜 。手机取证 正是打击这类犯罪的一个有效手段 。从概念上讲 ,手 机取证就是从手机 SIM 卡 、手机内 /外置存储卡以及 移动网络运营商数据库中收集、保全和分析相关的电 子证据 ,并最终从中获得具有法律效力 、能被法庭所 接受的证据的过程 。目前牵涉到手机的犯罪行为大 致有三种 :一是在犯罪行为的实施过程中使用手机来 充当通信联络工具 ;二是手机被用作一种犯罪证据的 存储媒质 ;最后一种方式是手机被当作短信诈骗、短 信骚扰和病毒软件传播等新型手机犯罪活动的实施 工具。这些都充分地表明进行手机取证技术的相关 研究对于维持社会稳定 、保障人民权益和打击犯罪行 为具有充分的必要性和极大的迫切性。

1 取证源

在手机取证的过程中 ,第一步的工作是从手机各 个相关证据源中获取有线索价值的电子证据 。手机 的 SIM 卡、内存、外置存储卡和移动网络运营商的业 务数据库一同构成了手机取证中的重要证据源。

1. 1 SIM 卡

在移动通信网络中 , 手机与 SIM 卡共同构成移 动通信终端设备。 SIM ( Sub sc ribe Iden tity Modu le ) 卡 即为客户识别模块 ,它也被称为用户身份识别卡。移 动通信网络通过此卡来对用户身份进行鉴别 ,并且同 时对用户通话时的语音信息进行加密。目前 , 常见 SIM 卡的存储容量有 8 kB、16 kB、32 kB 和 64 kB 这几 种 。从内容上看 , SIM 卡中所存储的数据信息大致可分为五类 :

( 1) SIM 卡生产厂商存储的产品原始数据 。

( 2)手机存储的固有信息 , 主要包括各种鉴权和加密信 息 、GSIM 的 IM S I码 、CDMA 的 M IN 码 、IM S I认证算法 、加密密匙生成算法 。

( 3 )在手机使用过程中存储的个人数据 ,如短消息 、电话 薄 、行程表和通话记录信息 。

( 4 )移动网络方面的数据中包括用户在使用 SIM 卡过程 中自动存入和更新的网络服务和用户信息数据 ,如设置的周 期性位置更新间隔时间和最近一次位置登记时手机所在位置 识别号 。

( 5 )其它的相关手机参数 , 其中包括个人身份识别号

( P IN ) ,以及解开锁定用的个人解锁号 ( PU K)等信息 。

1. 2 手机内 /外置存储卡

随着手机功能的增强 ,手机内置的存储芯片容量 呈现不断扩充的趋势。手机内存根据存储数据的差

异可分为动态存储区和静态存储区两部分 (见图 1 ) 。 动态存储区中主要存储执行操作系统指令和用户应 用程序时产生的临时数据 ,而静态存储区保存着操作 系统、各种配置数据以及一些用户个人数据。

图1 手机内存结构图

从手机调查取证的角度来看,静态存储区中的数据往往具有更大的证据价值。GSIM 手机识别号IMEI、CDMA 手机识别号ESN、电话薄资料、收发与编辑的短信息,主/被叫通话记录、手机的铃声、日期时间以及网络设置等数据都可在此存储区中获取。但是在不同的手机和移动网络中,这些数据在读取方式和内容格式上会有差异 。另外,为了满足人们对于手机功能的个性化需求,许多品牌型号的手机都提供了外置存储卡来扩充存储容量。当前市面上常见的外置存储卡有SD、MiniSD和Memory Stick。外置存储卡在处理涉及版权或著作权的案件时是一个重要的证据来源 。

1. 3 移动网络运营商

移动网络运营商的通话数据记录数据库与用户注册信息数据库存储着大量的潜在证据。通话数据记录数据库中的一条记录信息包括有主/被叫用户的手机号码、主/被叫手机的IMEI号、通话时长 、服务类型和通话过程中起始端与终止端网络服务基站信息。 另外 ,在用户注册信息数据库中还可获取包括用户姓名、证件号码 、住址、手机号码、SIM 卡号及其 P IN 和PU K、IM S I号和所开通的服务类型信息。在我国即将 实行“手机实名制 ”的大环境下 ,这些信息可在日后案件调查取证过程中发挥巨大的实质性作用。

2 取证过程中的证据获取方法

针对不同的证据源应该采用不同的取证方法 ,下 面就以上三种证据源分别介绍 :

2. 1 SIM 卡的证据获取

SIM 卡存储器的文件系统可由一个三层树结构 来表示 (见图 2 ) ,在此结构中 ,树节点包括三种文件

类型 : 主文件 ( Master File ) 、专用文件 ( Dedicated File)与基本文件 ( Elementary File ) 。在整个树形文 件系统中树的根节点由主文件构成 ,主文件中包含了 专用文件和基本文件。

图2 SIM 卡文件系统架构图

在 GSM 移动网络标准中定义了一些重要的专用文件作为主文件的子节点 , 其中有 GSM 专用文件 、

DCS1800 专用文件和 Te lecom 专用文件 。此标准在 这些专用文件下又定义了一些与之对应的基本文件。

在从属于 GSM 专用文件和 DCS1800 专用文件的基本文件中分别含有 GSM 900MH z频率和 DCS (D igita l Ce llu la r System ) 1800MH z频率下的移动网络信息 ,而 Te lecom 专用文件下的基本文件则含有与网络服务相关的信息。虽然通过严格的标准定义使得 S IM 卡的 文件系统架构具有一定程度上的通用性 ,但是不同移 动网络运营商发行的 S IM 卡的文件系统架构还是存 在一定的差异性 。

如今对手机 S IM 卡进行取证的常用方法有两 种 。一个是通过智能读卡器的设备来提取 S IM 卡中的数据。在此方法中读卡器只要使用符合欧洲电信 标准协会 TS31. 101 和 TS51. 011 标准的数据访问指 令集就可获取 S IM 卡中的数据 。另外一种方法是直 接通过指令操作来获得 S IM 卡中的数据。在 GSM 手 机的 TS27. 007 标准中特别定义了一个指令集来访问S IM 卡上的数据。

2. 2 手机存储卡的证据获取

手机存储卡可分为内置存储卡和外置存储卡两种 。对于外置存储卡 (如闪存卡 )可使用诸如 Encase的取证软件工具来获取存储卡上的数据镜像 。相比之下 ,从手机内置存储卡 (如内存 ) 中提取数据就要显得复杂一些。目前有两种通过物理途径获取其中 数据的方法 ,其中一个是通过拆解手机以得到其内存芯片 ,接着使用专门的芯片读取设备来获得其数据镜像。另一种是使用特定的数据缆线与手机主板连接 , 然后从中读取内存芯片的数据信息 。这些方法虽可 减少在取证过程中外界因素对取证数据的干扰 ,但对取证人员的手机硬件知识的要求很高。因此在手机 存储卡的证据获取中还是较多地采用指令集和软件的方式。

1. A T指令集 。

A T指令集最初是由 H aye s微系统公司设计出来 用以控制调制解调器的 ,后来专门应用于手机的版本也被开发出来。通过使用 GSM 版本的 A T指令集可获得手机信息包括 :手机生产商、产品型号、手机操作 系统版本 、IM E I号 、IM S I号、电话簿 、电话记录和短消 息记录等数据 。另外通过使用 CDMA 版本的 A T指

令集可从手机中得到生产商 、型号、软件版本信息和 手机的 ESN 号等信息。

2. OB EX。

OB EX (O b jec t Exchange, 对象交换协议 ) 最早是 由微软、苹果和诺基亚公司专门为红外线传输而制定

的一套协议规则 , 它在功能上类似于 H TTP 协议。 OB EX协议通过简单地使用“PU T”和“GET”指令来 实现对手机中存储数据的远程浏览和访问 ,通常在此 方式下可获得手机中所存的图像 、音频和视频数据以 及所下载的铃声和应用程序等数据信息。

3. JTA G。

J TA G ( Jo in t Te st A c tion Group , 联合测试行动小 组 )是一种国际标准测试协议 。它与 IEEE1149. 1 标 准兼容 ,本来主要用于芯片内部的测试和调试。由于 大部分电子设备一般都是由本设备的存储控制器来

处理对其存储卡的访问操作 ,而 J TA G能用来对存储 控制器进行调测 ,于是在测试过程中就可方便地获取 存储卡中的数据。

4. 手机生产商提供的软件包 。 当前在市场上所购的手机多数都会附带同步手机与计算机数据的软件包 。这些软件可得到手机中 一些存储数据的镜像。常见的此类软件有 Nok ia PC Su ite和 SonyE ric sson Sync Sta tion。Nok ia PC Su ite 软 件可从手机内存中得到电话簿、接听 /呼叫电话记录、 接收 /发 送 短 消 息 记 录 以 及 个 人 行 程 表 等 信 息。SonyE ric sson Sync Sta tion 是一款数据同步软件 ,可通 过它来得到手机内存中的电话簿和个人行程表数据。

2. 3 网络运营商的证据获取

调查取证人员可根据 S IM 卡所注册的手机号码 来对通话记录数据库进行数据搜索 ,以得到此号码的所有通话记录与短消息记录 ,另外也可以手机 IM E I号来搜索用户注册信息数据库中此手机的用户注册 信息和通话记录。在实行了“手机实名制 ”之后 , 调 查取证人员还可简便地对用户注册信息数据库中的相关数据和居民身份证系统数据库中的数据进行比 对分析。然而由于网络运营商的业务数据库具有数 据量大、更新快的特点 ,因此调查取证人员应尽快地 完成对网络运营商相关业务数据库的证据提取工作 , 以免所需数据被更新或删除 。

3 常见的手机取证软件

在实际的手机取证过程中 ,各种取证软件的使用 已变得越来越普遍。虽然目前的一些手机取证软件 多少都存在一些缺陷 ,但只要调查取证人员能有针对 性地对其加以综合利用还是可以达到令人满意的取 证效果。如今 ,业界常用的手机取证软件可大致分为 两类 :其一是专门处理手机 S IM 卡的取证软件。另 一种是对手机存储卡进行取证的软件 。主要有 :

( 1) S IM con: S IM con 可使用标准智能卡的读卡器来完整 地显示 GSM 手机 S IM 卡上的数据信息并提供分析报告 。另 外它使用计算取证数据的 H a sh 值来保证取证前后数据的一 致性 。同时它也支持多国语言的字符集 ,能正常显示不同语 言下的文本信息 。

( 2) Fo ren sicS IM : Fo ren sicS IM 是一个软件工具包 ,它支持 多个国家语言的字符集 ,能正常显示各种语言下的短消息 、电 话簿和个人行程表等文本信息 。此外 ,除了用来获取 S IM 卡 上的数据信息外 ,它还能对这些数据进行分析并以标准格式 (D TF或 H TML )生成分析报告 。

( 3) Ce ll Se izu re:本软件主要用来获取手机存储卡中的数 据 ,包括地址簿 、电话簿 、电话记录以及保存的和已删除的文 本信息 。此外还可对手机中的数据提供完整性检验并且可最 后生成 H TML 格式的分析报告 。

( 4) . XR Y: . XR Y不但能在取证过程中提取手机存储卡 中的数据 ,而且还会创建一个加密文件 ,以防止未授权人对数 据进行任何操作 。此外. XR Y也会在取证结束后向取证人员提供一份分析报告 。

4 结束语

本文重点探讨了手机证据“从哪获得 ”和“怎样 获得 ”两个关键问题 ,介绍了一些常见的手机取证软 件 。目前 ,我国打击手机犯罪的相关法律和条例还不 完善 ,仍存在一些空白和漏洞 ,尚未有完全符合法庭取证要求的工具和方 法 ,有些取证软件也无法保证取证数据的完整性和一致性。所以 ,至今仍然没有统一、有效的手机取证技 术标准和规范来对不同生产厂商 、型号和软件系统的 手机进行取证。

关于手机取证的未来发展方向 ,一方面可继续加强

对手机取证工具、软件和方法的研发 ,改善它们的取证效 果 ,使其符合法庭取证的各项要求。另一方面 ,各手机生 产厂商与取证专家之间可通过交流协作制定出统一的手 机取证技术标准。此外 ,我国的立法部门还应不断地加强涉及手机犯罪方面的立法工作 ,从法律法规上不给犯罪份子留下空子 ,切实有效地打击手机犯罪。

参考文献 :

[ 1 ] Fab io Ca sade i, A n ton io Savo ld i, Pao lo Gub ian. Fo ren sic s and S IM ca rd s: an overview [ J ]. In te rna tiona l Jou rna l of

D igita l Evidence, 2006, 5 ( 1 ) .

[ 2 ] Sve in Yngva r W illa ssen. Fo ren sic s and the GSM mob ile te l2 ep hone system [ J ]. In te rna tiona l Jou rna l of D igita l Evi2 dence, 2003 , 2 ( 1) .

[ 3 ] W ayne J an sen, R ick A ye rs. Fo ren sic Softwa re Too ls fo r Ce ll Phone Sub sc ribe r Iden tity Modu le s [ R ]. Confe rence O n D igita l Fo ren sic, A ssoc ia tion of D igita l Fo ren sic s, Secu rity

and L aw, 2006.