基于可信固定方法的涉網案件電子證據保全研究

何姍 湖北警官學院

一、可信的數據固定

“可信”理念源自美國可信計算機系統評價標準TCSEC，其核心內涵為針對所保護數據領域免于遭受非正常的訪問，掌握計算平臺是否經歷惡意侵入或非法篡改。

按照可信取證的定義，根據電子數據的特點以及取證流程，可以對電子數據可信取證劃分為如下范疇：第一，可信的靜態屬性是指在靜態環境下電子數據的可信指標；第二，可信的動態行為屬性是指動態過程或行為下通過獲取、固定和可信分析的電子數據證據是否滿足可信的標準。

為了解決可信固定的需求，當前可用的常見方法主要針對的是事后取證，依靠時間戳存證的手段。簡而言之就是利用電子簽名技術，通過對權威時間源與哈希值（hash）的結合，生成所需的時間戳文件，得出真實可靠的完整性與產生時間的存證數據證明。

也有些案件將時間戳存證方法進行了升級，使用了區塊鏈技術。區塊鏈技術存證的基本原理是借助分布式存儲方式，將時間戳文件掛載到區塊鏈。按照存證過程的屬性劃分為五個階段，即生成、儲存、傳遞、認證、驗證。為了保證證據在辦案工作中的有效性，數據固定可能發生在任意一個數據處理環節。

二、當前涉互聯網證據的保全常遇到的問題

（一）司法裁判過程中對證據證明力的存疑

對相關司法裁判的研究發現，在當事人抗辯過程中，潛在的存證瑕疵主要包括如下兩個方面：一方面，出于對區塊鏈存證本身的信任缺失，或者對時間戳技術產生質疑，例如對存證平臺資質、存證技術的可靠性出現不信任的行為；另一方面，基于對存證具體操作過程存在疑惑，例如對待保全數據上傳至存證平臺過程中的真實性、替換可能性以及完整性的信任程度。

（二）涉互聯網證據保全證據公證遇到的問題

針對涉互聯網保全證據公證一般常見的爭議可以概括為以下幾個方面。首先，公證流程的即時性不足，無法與網絡侵權取證的時間相匹配。由于網絡侵權行為多數都很快，而公證流程在正常的辦公制度下，容易出現無法即時響應的情形，引發相關侵權行為不能做到快速即時公證；其次，現實中網絡侵權行為多數是同時發生，一旦出現此類狀況，在現有的公證流程下，公證人員一次只能一件地處理，為后續公證帶來不小的難度；再次，受地域屏蔽問題的影響，很多網絡侵權行為人采取了跨地區的侵權行為，或者利用IP分段控制的方式，造成網絡驗證、公證、取證程序更加繁瑣，取證難度隨之加大；最后，網絡公證規范不足，清潔性檢查缺乏成熟一致的標準保障和制度約束。

為了解決以上幾類問題，結合司法實踐中對證據的要求，我們可以從證據保全的管理角度和取證固定的技術角度兩方面來考慮如何解決。

在關于存證技術本身審查的司法實踐中，主要考慮存證平臺的公正性和權威性，以及存證數據的安全性，即是否可能會被篡改。存證平臺的中立性考察可以依托調查存證平臺與當事人的關系來判斷；存證數據的可靠性辨別可以采取優化存證技術原理的方式，進一步降低數據篡改的可能性。

數據驗證技術的可靠性驗證，多數通過闡釋時間戳技術存證及驗證的原理，認可時間戳服務系統是固定證據的一種有效方式。

三、事后進行的證據保全工作方法

（一）在取證過程中，對取證目標進行物理隔離，之后結合并采取加密技術和訪問控制技術的方式，進而確保電子證據在獲取階段是可靠的。例如：基于ENCASE等取證工具的取證方法，它們將證據鏡像文件進行CRC校驗及MD5簽名，來保障數據的完整性、真實性。此種針對數據的靜態屬性可信效果保障效果不錯。

（二）建設基于可信時間戳的電子數據取證平臺，使用有資質的第三方加蓋的時間戳來進行證據固定和保全。例如：將證據傳送至中國科學院國家授時中心，加蓋時間戳。這種權威時間戳在司法實踐中的可信度很高。

（三）基于事后取證的瀑布取證模型的數據固定，這種瀑布模型將取證操作分為六個階段，每個階段產生問題，都可向前級進行反饋，進而協調，保障證據的可信。

（四）對于涉網案件數據，利用多種協議來保障證據的安全傳輸及有效固定保全。例如：基于collision-resistant哈希函數的公安可驗證協議、與RSA數據加密協議迭加可信時間戳來固定保全證據。

四、主動進行的證據保全工作方法

隨著大數據時代的到來和區塊鏈等技術的應用，海量的、并發的、時效性要求高的證據保全需求更加凸顯。為了提高當事人應訴能力，推薦涉知識產權、電子商務或其他民事糾紛的人群主動進行證據保全工作，也可由案件經手的公安機關或司法機關主動采取措施進行主動的證據保全工作。我們需要一種既能符合現實司法證據要求，又能即時高效固定證據的防御機制。業內可用的技術機制包括：

（一）在網絡取證的過程中，將定義好結構的取證準備放入安全監控工具，通過對數據包打上標記后收集再校驗，來進行 e-mail等數據的監控，從而實現網絡取證數據追蹤可信。

（二）在RSA同態簽名的基礎上引入時間戳來抵御網絡中的重放攻擊的網絡編碼簽名方案。重放攻擊中，攻擊者可以直接重放在中間節點所截獲的消息組合，或者修改所截獲的消息組合中的時間戳對其生成有效簽名，以此重放消息占用帶寬資源。

假設源節點A的消息是安全的，并對源節點A的消息進行簽名編碼（M1…Mi），攻擊者只能截獲中繼節點的消息組合Ei及其時間戳簽名Ti。對于直接重放消息組合的攻擊方式，使用該編碼方案，當網絡中某節點在收到消息組合后，將消息組合中的時間Ti和當前時間T進行比較，如果差值超過門限，則斷定這個消息是重放消息，將其丟棄。

圖1 融合時間戳的安全網絡編碼方法

假如攻擊者修改所截獲的消息組合中的時間戳并對其生成有效簽名。由于未知源節點的私鑰，是無法對截獲消息中的數據部分進行簽名的。

這樣將對時間戳和對數據的簽名有效地結合起來，保證了網絡中各節點可以同時認證數據的完整性和時間戳的真實性。

（三）基于數據包時間戳序列的物聯網DDOS智能安全防御機制來進行證據保全。

所有電子物證數據，都在上傳網絡之前，在物聯網終端，消息源節點處由底端設備每隔固定時長自動產生時間戳，在消息分發時自動加載至消息數據包中。由于這個時間戳是以序列方式穩定遞增的，因此消息也可回溯，可用于保障電子物證的固定屬性，確保物聯網終端上傳的電子物證數據時間戳唯一性和安全性，防止電子物證屬性被篡改，這樣也有效的避免了當前申請第三方時間戳的消息通信中產生的通信安全隱患。

五、結語

數據固定的方案、數據取證工作、電子數據司法鑒定的工作的規范需隨著網絡技術的發展同步更新，根據案件取證模型的不同可使用不同的證據保全措施。可信的證據固定方法已廣泛的應用于司法實踐，主動進行的證據保全工作更值得在各種涉網犯罪偵查中進行推廣。