手机取证技术应用与发展

　　在司法办案实践中，犯罪分子利用手机作案所遗留的证据对案件侦破非常重要，手机取证技术针对这些犯罪数据的提取，从QQ、微信、淘宝、支付宝信息、微博、陌陌等符合国内特征的软件通话记录、网页浏览痕迹等数据中，提取出重要的数据信息，为诸多案件提供重要的突破口，协助快速破案。因此，手机取证的发展日趋壮大，并在行业运转过程中不断受到重视。

　　手机取证技术的应用

　　1、 密码绕过技术

　　密码绕过技术是一项获取信息的新兴技术方式，包括用户自设手机密码绕过和软件密码绕过两方面，是指通过一定手段，在不经由密码输入层面的基础上，对已设密码的手机或软件的内部信息进行提取。随着全民信息安全意识的提高以及手机软件功能的升级与强化，大部分手机用户会对个人手机设置密码，多数应用软件的研发商也会对自身软件进行加密处理以保障信息安全。对于该类问题，现有的手机取证技术可直接绕过密码对内部数据进行分析提取，搜集犯罪分子的作案信息。

　　2、数据恢复与镜像技术

　　（1）数据恢复

　　删除信息是犯罪分子最常用的一种反取证手段，比如将QQ、微信、淘宝、支付宝信息、网页浏览记录等进行销毁.，或利用病毒入侵毁坏手机数据。事实上，每一项手机操作都会以数据形式存储于手机的SQLITE数据库中，这些数据并没有被删除，只是被打上删除标记，在手机应用层面看不到。对于这些“暂不可见”的信息，可以通过SQLITE数据库文件恢复技术，重新获取犯罪分子企图毁灭的数据。

　　（2）镜像提取

　　手机取证对软件内部的信息获取方式一般实行镜像提取，以保证数据的完整性，对手机的内存卡、SIM卡、闪存卡、短信服务提供商系统等都具有有效提取的功能。提取过程中，屏蔽盒的作用可将开机状态的手机进行“隔离”，避免外界电话及短信干扰，保证镜像提取数据的原始性。镜像提取是手机取证专业性与高效性的体现，实现镜像提取象征着手机取证技术上的成熟性与先进性。

　　3、数据统计与分析技术

　　手机取证技术要求具有强大的“智能统计分析”功能，以达到科学简单呈现作案轨迹的目的。“二维时间轴”分析技术可对手机信息进行快速统计分析，并可将机主所有行为按时间顺序排列，以具体时间和日期分别作为横纵轴直观呈现相关统计图表，清晰描述“某人某时在某地通过某方式交流某事”；“地理分析技术”在GPS被关闭的情况下，也可通过基站定位，清晰呈现手机在某时间段的活动轨迹，获取相关重要信息。

　　4、证据锁定技术

　　由于数字证据是由1和0组成的电磁记录，无法直接被人们所理解，需经由计算机相关设备才能表达其意义。手机取证技术通过将计算机代码转换为可理解化信息，使犯罪数据一一呈现，由时间轴、地理分析等技术对犯罪数据进行统计分析、摘要处理，辅助锁定重要的犯罪信息，帮助司法机关获取犯罪分子的作案证据。

　　（1）　　提取短信、图片、视频等信息

　　根据取证分析人员的搜索条件，对手机内部的数据资料进行搜索，提取到对案件侦破有价值的短信、图片、视频等信息。

　　（2）　　获取通话接收记录

　　手机取证技术能够搜索出来自某一号码或固定基站的所有呼叫/接收记录，然后对这些数据进行整理分析。

　　（3）　　提取有用信息

　　CDR记录的信息很多，人工分析会消耗大量人力物力，手机取证技术能够根据一定要求提取出有价值的数据信息。

　　手机取证技术的展望

　　随着手机功能的强化，手机数据信息的提取面临越来越多的困难，为方便高效高质量获取犯罪分子在手机中遗留的证据资料，手机取证技术必须适应手机功能的高速变化。加强取证技术本身的应用功能对于犯罪证据的获取具有重要意义，现代化、新型的手机取证产品应具备以下技术：

　　1、高速镜像

　　针对取证数据量大的问题，手机取证产品必须具有高速镜像的功能，这样在提高取证效率的同时，也能实现数据信息完整性提取的目的。高速镜像是检验一个取证产品技术成熟性与先进性的重要指标。

　　2、 支持多设备提取

　　针对取证项目繁多的问题，支持多设备提取的手机取证产品顺应技术要求，支持多设备提取是指在同一时间内，手机取证能够对多部硬件设备的数据信息同时进行提取，节省办案时间。

　　3、 用户编写脚本

　　对于某些特别有针对性的数据提取，手机取证产品在技术上就要求用户能够自己编写脚本。也就是说，办案人员可通过分析自己的需求信息，针对性地编写脚本达到更加精确提取的目的。

　　4、智能化办案

　　手机取证设备旨在辅助司法办案，司法办案要求快速、精确、成功，所以对手机取证设备也要求全程智能化以确保更快速辅助办案。

　　智能化取证办案，包括自动获取数据、自动分析数据、自动生成报告、自动打印话单等；另外，手机取证设备的内在配置对于智能便捷性的提高也至关重要。设备内置3G无线网络可即时向指挥中心上传核心关键数据及报告，并随时沟通解决技术问题，完成真正意义上的一站式办案流程：

　　5、物理级信息提取

　　手机产品的不断升级要求手机取证设备必须实现芯片级提取。我们常见的手机空间大小是指RAM区域，另外一部分不可见的区域被划为了ROM。RAM可以随便擦写；ROM一般情况下不允许被擦写。在司法办案环节中，如果手机取证设备能实现物理级手机数据恢复，便能解决ROM区域数据无法提取的难题，极大程度地协助案件侦破。

　　手机取证技术的持续发展对于提升司法案件侦破的速率与成功率具有积极的推动作用，手机取证设备在未来的发展过程中一定要求设备功能齐全、产品特点突出。普通的手机取证设备无法达到高速镜像、支持多设备提取、用户编写脚本、物理级信息提取等方面的高技术研究领域，但这几方面的功能对于手机取证所涉及的司法领域至关重要，不仅节约办案时间，更能获取精确信息。目前，市面上的手机取证设备功能单一，只有极少数的产品才具有高度集成的功能，满足大量复杂情况下的数据提取。融合多种先进的功能技术是手机取证设备面临并亟待解决的课题，也是手机取证设备在今后的重要发展方向。