電子物證手機(jī)檢驗(yàn)技術(shù)規(guī)范GA/T 1069-2021（20220501）
《法庭科學(xué)電子物證手機(jī)檢驗(yàn)技術(shù)規(guī)范》GA/T 1069-2021由中華人民共和國(guó)公安部于2021年10月14日公布，自2022年5月1日起施行。
· 前 言
本文件按照GB/T 1.1 - 2020 《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》 的規(guī)定起草。
本文件代替GA/T 1069 - 2013《法庭科學(xué)電子物證手機(jī)檢驗(yàn)技術(shù)規(guī)范》，與GA/T 1069 - 2013相比，除編輯性修改外， 主要技術(shù)變化如下：
— 更改了手機(jī)檢驗(yàn)和手機(jī)卡的定義（見(jiàn)3.1、 3.2 ，2013年版的3.1、 3. 2） ；
— 增加了術(shù)語(yǔ)和定義（見(jiàn)3.4、 3. 5） ；
— 更改了軟、硬件設(shè)備（見(jiàn)4.1、4.2，2013年版的4.1、4.2） ；
— 更改了操作步驟部分內(nèi)容（見(jiàn)5.1、5.2，2013年版的5.1、5.2） ；
— 更改了病毒查殺部分內(nèi)容（見(jiàn)5.3.1，2013年版的5.3.1）；
— 更改了手機(jī)機(jī)身檢驗(yàn)內(nèi)容（見(jiàn)5.3.2.1、5.3. 2. 2，2013年版的5.3.2.1、5.3.2.2） ；
— 增加了手機(jī)機(jī)身檢驗(yàn)內(nèi)容（見(jiàn)5. 3.2. 3、5.3. 2. 4） ；
— 更改了手機(jī)卡檢驗(yàn)部分內(nèi)容（見(jiàn)5.3.3.1、5.3.3.2，2013年版的5.3.3.1、5.3.3.2） ；
— 更改了手機(jī)擴(kuò)展存儲(chǔ)卡檢驗(yàn)部分內(nèi)容（見(jiàn)5.3.4.1、5.3.4.2，2013年版的5.3.4.1、5.3. 4. 2）；
— 刪除了結(jié)果保存、檢出數(shù)據(jù)刻錄（2013年版本的5.3.5、5.4、 5. 4.1～5.4.4） ；
— 增加了檢驗(yàn)結(jié)果保存（見(jiàn)5.4） ；
— 更改了檢驗(yàn)結(jié)果表述部分內(nèi)容（見(jiàn)第6章，2013年版的第6章）；
— 更改了附則部分內(nèi)容（見(jiàn)7.1、7.2，2013年版的7.1～7.3）。請(qǐng)注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別專利的責(zé)任。
本文件由全國(guó)刑事技術(shù)標(biāo)準(zhǔn)化技術(shù)委員會(huì)電子物證檢驗(yàn)分技術(shù)委員會(huì)（SAC/TC179/SC7）提出并歸本文件起草單位：黑龍江省公安廳刑事技術(shù)總隊(duì)、公安部物證鑒定中心、天津市公安局物證鑒定中心、大慶市公安局刑事技術(shù)支隊(duì)。
本文件起草人：王洪慶、龍?jiān)?、邢桂東、范瑋、徐克盔、周祥鵬、艾紹新、莊辰、劉栗、李楠、顧麗麗。
本文件所代替文件的歷次版本發(fā)布情況為：
—GA/T 1069-2013。
1 范 圍
本文件規(guī)定了法庭科學(xué)領(lǐng)域中電子物證手機(jī)檢驗(yàn)的術(shù)語(yǔ)和定義、儀器設(shè)備、操作步驟、檢驗(yàn)結(jié)果表述及附則。
本文件適用于法庭科學(xué)領(lǐng)域中電子物證手機(jī)的檢驗(yàn)。
2 規(guī)范性引用文件
下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。
GB/T 29360電子物證數(shù)據(jù)恢復(fù)檢驗(yàn)規(guī)程
GB/T 29362電子物證數(shù)據(jù)搜索檢驗(yàn)規(guī)程
3 術(shù)語(yǔ)和定義
下列術(shù)語(yǔ)和定義適用于本文件。
3.1 手機(jī)檢驗(yàn) mobile phone examination
使用物證鑒定的原理、方法和程序，提取和分析手機(jī)機(jī)身、手機(jī)卡及手機(jī)擴(kuò)展存儲(chǔ)卡所包含電子數(shù)據(jù)的過(guò)程。
3.2 手機(jī)卡 mobile phone card
有微處理器的手機(jī)用戶識(shí)別卡，用來(lái)記錄用戶的電子數(shù)據(jù)，主要包括SIM卡、UIM卡、PIN卡和USIM卡等。
3. 3 手機(jī)擴(kuò)展存儲(chǔ)卡 mobile phone memory card
用來(lái)擴(kuò)展手機(jī)物理存儲(chǔ)空間的存儲(chǔ)介質(zhì)，主要包括SD卡、MMC卡、miniSD卡和MS卡等。
3. 4 手機(jī)存儲(chǔ)芯mobile phone flash memory chip
手機(jī)中存儲(chǔ)操作系統(tǒng)、應(yīng)用軟件和用戶數(shù)據(jù)的閃存芯片 。
3.5 手機(jī)機(jī)身鏡像 mobile phone physical image
手機(jī)存儲(chǔ)芯片中包含用戶數(shù)據(jù)分區(qū)的物理存儲(chǔ)位對(duì)位數(shù)據(jù)副本。
4 儀器設(shè)備
4.1 硬件
電子物證檢驗(yàn)工作站、手機(jī)專用檢驗(yàn)設(shè)備、手機(jī)信號(hào)屏蔽設(shè)備、手機(jī)存儲(chǔ)芯片讀取設(shè)備、手機(jī)存儲(chǔ)芯片拆解工具、專用存儲(chǔ)介質(zhì)、照相、錄像設(shè)備等。4.2 軟件手機(jī)取證軟件、手機(jī)備份軟件、數(shù)據(jù)恢復(fù)軟件等。
5 操作步驟
5.1 檢材及樣本編號(hào)
對(duì)送檢的檢材（樣本）進(jìn)行 唯一性編號(hào) 。
5.2 檢材及樣本拍照
對(duì)檢材（樣本）加上唯一性編號(hào)進(jìn)行拍照。
5.3 檢驗(yàn)
5.3.1病毒查殺
檢驗(yàn)前對(duì)電子物證檢驗(yàn)工作站或手機(jī)專用檢驗(yàn)設(shè)備進(jìn)行殺毒。
5.3.2手機(jī)機(jī)身檢驗(yàn)
5.3.2.1 手機(jī)檢驗(yàn)過(guò)程中應(yīng)處于通信信號(hào)屏蔽環(huán)境或通信信號(hào)阻斷狀態(tài)。
5.3.2.2 選擇以下一個(gè)或多個(gè)方法進(jìn)行檢驗(yàn)：
a）邏輯檢驗(yàn)，使用手機(jī)備份軟件、手機(jī)取證軟件進(jìn)行檢驗(yàn)；對(duì)具備獲取手機(jī)系統(tǒng)超級(jí)用戶權(quán)限條件的檢材，獲取手機(jī)系統(tǒng)超級(jí)用戶權(quán)限后，使用手機(jī)取證軟件進(jìn)行檢驗(yàn)；
注：有擴(kuò)展存儲(chǔ)卡的手機(jī)，保持?jǐn)U展存儲(chǔ)卡 在手機(jī)中進(jìn)行整體檢驗(yàn)。
b）鏡像檢驗(yàn)，對(duì)具備手機(jī)機(jī)身鏡像獲取條件 的檢材，使用手機(jī)取證軟件通過(guò)ADB、META、9008、JTAG、ISP等方式獲取手機(jī)機(jī)身鏡像，使用手機(jī)取證軟件對(duì)手機(jī)機(jī)身鏡像進(jìn)行檢驗(yàn)，若手機(jī)有擴(kuò)展存儲(chǔ)卡，手機(jī)機(jī)身鏡像和手機(jī)擴(kuò)展存儲(chǔ)卡宜關(guān)聯(lián)檢驗(yàn)；采用GB/T 29360和GB/T 29362檢驗(yàn)方法對(duì)手機(jī)機(jī)身鏡像進(jìn)行檢驗(yàn) ；
c）芯片檢驗(yàn)，對(duì)手機(jī)存儲(chǔ)芯片未加密的檢 材，使用手機(jī)存儲(chǔ)芯片拆解工具拆卸手機(jī)存儲(chǔ)芯片，使用手機(jī)存儲(chǔ)芯片讀取設(shè)備獲取手機(jī)機(jī)身鏡像，使用手機(jī)取證軟件對(duì)手機(jī)機(jī)身鏡像進(jìn)行檢驗(yàn)，若手機(jī)有擴(kuò)展存儲(chǔ)卡，手機(jī)機(jī)身鏡像和手機(jī)擴(kuò)展存儲(chǔ)卡宜關(guān)聯(lián)檢驗(yàn)：采用GB/T 29360和GB/T 29362檢驗(yàn)方法對(duì)手機(jī)機(jī)身鏡像進(jìn)行檢驗(yàn)；
d）照相錄像檢驗(yàn)，使用照相、錄像方法固定手機(jī)中存儲(chǔ)的電子數(shù)據(jù)。
5.3.2.3 對(duì)于故障手機(jī)，應(yīng)在不破壞手機(jī)存儲(chǔ)芯片中用戶數(shù)據(jù)的前提下進(jìn)行故障排除，然后按照5.3.2.2進(jìn)行檢驗(yàn)。
5.3.2.4 對(duì)于設(shè)有鎖屏密碼且不具備手機(jī)機(jī)身鏡像獲取條件的檢材，在不破壞手機(jī)中用戶數(shù)據(jù)的前提下使用手機(jī)取證軟件進(jìn)行鎖屏密碼破解或清除，然后按照 5.322中a）或d）進(jìn)行檢驗(yàn)。
5.3.3手機(jī)卡檢驗(yàn)
5.3.3.1 將手機(jī)卡以只讀方式連接到電子物證檢驗(yàn)工作站或手機(jī)專用檢驗(yàn)設(shè)備。
5.3.3.2 使用手機(jī)取證軟件對(duì)手機(jī)卡進(jìn)行檢驗(yàn)。
5.3.4手機(jī)擴(kuò)展存儲(chǔ)卡檢驗(yàn)
5.3.4.1 使用手機(jī)取證軟件對(duì)手機(jī)擴(kuò)展存儲(chǔ)卡進(jìn)行檢驗(yàn)，操作前應(yīng)將手機(jī)擴(kuò)展存儲(chǔ)卡與手機(jī)機(jī)身關(guān)聯(lián)檢驗(yàn)。
5.3.4.2 將手機(jī)擴(kuò)展存儲(chǔ)卡以只讀方式連接到電子物證檢驗(yàn)工作站或手機(jī)專用檢驗(yàn)設(shè)備，按照GB/T
29360和GB/T29362對(duì)手機(jī)擴(kuò)展存儲(chǔ)卡進(jìn)行檢驗(yàn)。
5.4檢驗(yàn)結(jié)果保存
將檢出數(shù)據(jù) 采用封盤刻錄方式 刻錄在不可擦寫(xiě)的空白光盤上或者保存在專用存儲(chǔ)介質(zhì)中，并計(jì)算檢出數(shù)據(jù)的完整性校驗(yàn)值。
6 檢驗(yàn)結(jié)果表述
檢驗(yàn)結(jié)果表述應(yīng)符合以下規(guī)定：
a）檢驗(yàn)結(jié)果分為 檢出 、 未檢出 、 不具備檢驗(yàn) 條件 三種：
b）檢驗(yàn)結(jié)果應(yīng)根據(jù)檢驗(yàn)要求對(duì)檢材、檢驗(yàn)范圍、檢驗(yàn)所得進(jìn)行客觀、概括、有針對(duì)性的描述：
c）結(jié)果表述應(yīng)包含檢材編號(hào)、檢出情況、檢出數(shù)據(jù)文件或保存檢出數(shù)據(jù)介質(zhì)完整性校驗(yàn)值、保存檢出數(shù)據(jù)介質(zhì)編號(hào)等必要信息。
7 附 則
7.1 在檢驗(yàn)過(guò)程中， 應(yīng)做好檢驗(yàn)記錄，記錄應(yīng)貫穿整個(gè)檢驗(yàn)過(guò)程 。
7.2 送檢的檢材應(yīng)做好防水、防磁、防靜電、防震和手機(jī)信號(hào)屏蔽保護(hù)。
