SF/Z JD0401002—2015 手機(jī)電子數(shù)據(jù)提取操作規(guī)范
前言
本技術(shù)規(guī)范按照 GB/T 1.1-2009 給出的規(guī)則起草。
本技術(shù)規(guī)范由上海辰星電子數(shù)據(jù)司法鑒定中心提出。
本技術(shù)規(guī)范由司法部司法鑒定管理局歸口。
本技術(shù)規(guī)范起草單位：上海辰星電子數(shù)據(jù)司法鑒定中心。
本技術(shù)規(guī)范主要起草人：崔宇寅、郭弘、雷云婷、蔡立明、金波、楊濤、高峰、沙晶、張云集、張穎、黃道麗、張曉、孫楊。
電子數(shù)據(jù)
手機(jī)電子數(shù)據(jù)提取操作規(guī)范
1 范圍
本技術(shù)規(guī)范規(guī)定了電子數(shù)據(jù)鑒定中手機(jī)電子數(shù)據(jù)提取的方法和流程步驟。
本技術(shù)規(guī)范適用于各類手機(jī)內(nèi)置存儲數(shù)據(jù)、存儲卡中數(shù)據(jù)和SIM卡中數(shù)據(jù)的檢驗。
2 術(shù)語和定義
SF/Z JD0400001－2014 和 SF/Z JD0401001－2014 界定的以及下列術(shù)語和定義適用于本技術(shù)規(guī)范。
2.1 SIM 卡 Subscriber Identity Module Card
保存移動電話服務(wù)的用戶身份識別數(shù)據(jù)的智能卡，也稱為用戶身份模塊卡。SIM卡主要用于GSM系統(tǒng)，但是兼容的模塊也用于UMTS的UE（USIM）和IDEN電話。CDMA2000和cdmaOne的RUIM卡和UIM卡，也稱作SIM卡；按照物理規(guī)格可分為Full-Size、Mini-Size、Micro-Size和Nano-Size。
2.2 外置存儲卡 Removable Storage Card
用于擴(kuò)展數(shù)字移動電話存儲空間的外部閃存介質(zhì)。
2.3 信號屏蔽容器 Radio Isolation Container
可完全隔離手機(jī)所具備的3G、GSM、Wifi、紅外和藍(lán)牙等通信信號的容器，如信號屏蔽袋。
2.4 PIN Personal Identity Number
PIN碼(PIN1)是用戶和SIM卡系統(tǒng)間的身份識別密碼，只有用戶輸入的PIN碼和SIM卡系統(tǒng)中存儲的密碼相同時，用戶才被授權(quán)訪問。
2.5 IMSI International Mobile Subscriber Identification Number
國際移動用戶識別碼（IMSI）是區(qū)別移動用戶的標(biāo)志，儲存在SIM卡中，可用于區(qū)別移動用戶的有 效信息。其結(jié)構(gòu)為MCC+MNC+MSIN,其中MCC是移動用戶所屬國家代號，占3位數(shù)字；MNC是移動網(wǎng) 號碼，由兩位或者三位數(shù)字組成，用于識別移動用戶所歸屬的移動通信網(wǎng)；MSIN是移動用戶識別碼，用以識別某一移動通信網(wǎng)中的移動用戶。
2.6 ICCID Integrate circuit card identity
集成電路卡識別碼（ICCID），為SIM卡的唯一識別號碼，共有20位數(shù)字組成，其編碼格式為：
XXXXXX 0MFSS YYGXX XXXXX，其中前六位運(yùn)營商代碼。
2.7 JTAG Joint Test Action Group
一種國際標(biāo)準(zhǔn)測試協(xié)議，主要用于芯片內(nèi)部測試及對系統(tǒng)進(jìn)行仿真、調(diào)試，JTAG技術(shù)是一種嵌入式調(diào)試技術(shù)，它在芯片內(nèi)部封裝了專門的測試電路TAP（Test Access Port，測試訪問口），通過專用的 JTAG測試工具對內(nèi)部節(jié)點(diǎn)進(jìn)行測試。
2.8 IMEI International Mobile Equipment Identity
國際移動設(shè)備識別碼（手機(jī)序列號），用于在手機(jī)網(wǎng)絡(luò)中識別每一部獨(dú)立的手機(jī)，是國際上公認(rèn)的手機(jī)標(biāo)志序號。
手機(jī)
3 現(xiàn)場獲取
3.1 準(zhǔn)備
在進(jìn)行手機(jī)電子數(shù)據(jù)現(xiàn)場獲取之前，需分析案情并進(jìn)行準(zhǔn)備工作，包括：
a) 現(xiàn)場獲取的目的和范圍；
b) 現(xiàn)場獲取的人員，需明確分工，落實(shí)責(zé)任；
c) 明確手機(jī)現(xiàn)場獲取需攜帶的儀器設(shè)備；
d) 明確手機(jī)現(xiàn)場獲取采用的方法、標(biāo)準(zhǔn)和規(guī)范；
e) 明確手機(jī)現(xiàn)場獲取步驟；
f) 明確手機(jī)現(xiàn)場獲取操作可能造成的影響。
3.2 證據(jù)獲取
3.2.1 靜態(tài)獲取
對于已經(jīng)關(guān)閉的手機(jī)，在法律允許的范圍內(nèi)并在獲得授權(quán)的情況下，對手機(jī)進(jìn)行拍照或者拍攝，獲
取并記錄手機(jī)的相關(guān)附件設(shè)備和信息，包括但不限于：
a） 手機(jī)品牌和型號；
b） 手機(jī)唯一性標(biāo)示（如：IMEI號）；
c） 手機(jī)SIM卡和外置存儲卡；
d） 手機(jī)的啟動密碼和PIN碼；
e） 手機(jī)附件設(shè)備（如：電源線、數(shù)據(jù)線和其它配備設(shè)備）和相關(guān)手冊。
3.2.2 動態(tài)獲取
3.2.2.1 對于處于運(yùn)行狀態(tài)的手機(jī)，如未啟用安全驗證機(jī)制（如開機(jī)密碼和 PIN 碼）或能獲取解決安 全驗證機(jī)制的方法，應(yīng)按照 3.2.1 方法進(jìn)行獲取，并記錄手機(jī)的操作系統(tǒng)。
3.2.2.2 如手機(jī)已啟用安全驗證機(jī)制（如開機(jī)密碼和 PIN 碼），且無法獲取解決安全驗證機(jī)制的方法，
應(yīng)將手機(jī)從無線網(wǎng)絡(luò)隔離后提取數(shù)據(jù)。將手機(jī)從無線網(wǎng)絡(luò)隔離的方法包括：
a） 電子/射頻屏蔽；
b） 設(shè)置為“飛行”模式；
c） 禁用Wi-Fi、藍(lán)牙和紅外通信。
3.2.2.3 如需獲取證據(jù)數(shù)據(jù)的手機(jī)正連接計算機(jī)進(jìn)行同步，應(yīng)采取以下措施：
a） 在獲取計算機(jī)安全機(jī)制的情況下，關(guān)閉計算機(jī)電源，防止數(shù)據(jù)傳輸或同步覆蓋；
b） 同時獲取手機(jī)和連接的數(shù)據(jù)線、底座和與其同步的計算機(jī)，用于從計算機(jī)的硬盤中獲取手機(jī)中未獲取的同步數(shù)據(jù)；
c） 不可取出手機(jī)中的數(shù)據(jù)存儲卡和SIM卡。
3.3 封存
3.3.1 已經(jīng)關(guān)閉的手機(jī)，應(yīng)采取以下措施進(jìn)行封存：
a） 如手機(jī)的電池可拆卸，應(yīng)取下電池；
b） 使用信號屏蔽容器進(jìn)行封存，并予以標(biāo)記；
c） 封存前后應(yīng)對手機(jī)進(jìn)行拍照或錄像，照片或者錄像應(yīng)當(dāng)從各個角度反映手機(jī)封存前后的狀況，
清晰反映封口或張貼封條處的狀況。
3.3.2 處于運(yùn)行狀態(tài)的手機(jī)，如需保持開機(jī)狀態(tài)，應(yīng)采取以下措施進(jìn)行封存：
a） 使用帶有適配電源的信號屏蔽容器進(jìn)行封存，并予以標(biāo)記；
b） 將手機(jī)放置在專門設(shè)計的硬質(zhì)容器中，防止無意觸碰按鍵；
c） 封存前后應(yīng)對手機(jī)進(jìn)行拍照或錄像，照片或者錄像應(yīng)當(dāng)從各個角度反映手機(jī)封存前后的狀況，
清晰反映封口或張貼封條處的狀況。
注1：信號屏蔽容器在使用前需經(jīng)過測試，確保對3G、GSM、WIFI、紅外和藍(lán)牙等通信信號的屏蔽。
注2：手機(jī)信號與基站通信并非實(shí)時，當(dāng)手機(jī)放入信號屏蔽容器中，信號完全屏蔽需要等待10-20秒時間。
注3：對于多個送檢手機(jī)，應(yīng)獨(dú)立封存，防止送檢手機(jī)之間的交叉污染。
4 實(shí)驗室檢驗
4.1 記錄送檢手機(jī)的情況
4.1.1 對送檢手機(jī)進(jìn)行唯一性編號。
4.1.2 對送檢手機(jī)進(jìn)行拍照，并記錄其特征。
4.1.3 獲取和記錄送檢手機(jī)的相關(guān)信息，應(yīng)包括但不限于：
a) 品牌、型號和操作系統(tǒng)；
b) 唯一性標(biāo)示；
c) SIM 卡；
d) 外置存儲卡；
e) 開機(jī)密碼和 PIN 碼；
f) 附件設(shè)備（如：電源線、數(shù)據(jù)線和其它配備設(shè)備）和相關(guān)手冊。
4.2 數(shù)據(jù)的檢驗分析
4.2.1 手機(jī)存儲數(shù)據(jù)獲取
根據(jù)送檢要求，對送檢手機(jī)的獲取可分層次進(jìn)行，根據(jù)情況選擇以下的一項或多項進(jìn)行：
a） 手工獲?。翰唤柚渌謾C(jī)取證設(shè)備，對屏顯數(shù)據(jù)進(jìn)行獲?。?/p>
b） 邏輯獲?。簩λ蜋z手機(jī)的文件系統(tǒng)進(jìn)行獲?。?/p>
c） 物理獲?。ㄧR像獲取/JTAG）：對送檢手機(jī)文件系統(tǒng)進(jìn)行鏡像備份，或使用JTAG方式進(jìn)行獲?。?/p>
d） 芯片獲?。簩λ蜋z手機(jī)中的物理內(nèi)存芯片進(jìn)行獲?。?/p>
e） 微讀獲?。菏褂酶弑峨娮语@微鏡檢驗對手機(jī)內(nèi)存單元進(jìn)行物理觀察以獲取數(shù)據(jù)。
注1：根據(jù)送檢要求，可對送檢手機(jī)進(jìn)行提高操作權(quán)限的檢驗手段<如root等>。
4.2.2 SIM 卡的數(shù)據(jù)獲取
通過手機(jī)取證設(shè)備或者SIM卡取證設(shè)備對SIM卡進(jìn)行復(fù)制，從復(fù)制的SIM卡中提取數(shù)據(jù)。SIM卡中
提取的數(shù)據(jù)包含但不限于：
a） IMSI；
b） ICCID；
c） 短消息；
d） 通訊錄；
e） 通話記錄。
4.2.3 外置存儲卡數(shù)據(jù)獲取
外置存儲卡中數(shù)據(jù)的恢復(fù)和獲取按照GB/T 29360－2012和GA/T 756－2008的要求進(jìn)行。
5 檢出數(shù)據(jù)
計算檢出數(shù)據(jù)的哈希值，并復(fù)制到專用的存儲介質(zhì)中。
6 檢驗記錄
檢驗時需做好檢驗記錄，記錄應(yīng)貫穿整個檢驗過程，記錄的內(nèi)容應(yīng)包括但不限于：
a) 檢驗開始的時間和日期；
b) 送檢手機(jī)和相關(guān)附件的物理狀況；
c) 送檢手機(jī)接受時的狀態(tài)（關(guān)閉或開啟）；
d) 送檢手機(jī)的品牌、型號、服務(wù)提供商等信息；
e) 檢驗過程中使用的方法、標(biāo)準(zhǔn)和規(guī)范；
f) 檢驗過程中使用的軟、硬件工具；
g) 檢驗過程所在的環(huán)境；
h) 檢驗的人員信息；
i) 檢驗過程中發(fā)生的異常；
j) 檢驗過程數(shù)據(jù)。
