基于可信固定方法的涉网案件电子证据保全研究

何姗 湖北警官学院

“可信”理念源自美国可信计算机系统评价标准TCSEC，其核心内涵为针对所保护数据领域免于遭受非正常的访问，掌握计算平台是否经历恶意侵入或非法篡改。

按照可信取证的定义，根据电子数据的特点以及取证流程，可以对电子数据可信取证划分为如下范畴：第一，可信的静态属性是指在静态环境下电子数据的可信指标；
第二，可信的动态行为属性是指动态过程或行为下通过获取、固定和可信分析的电子数据证据是否满足可信的标准。

为了解决可信固定的需求，当前可用的常见方法主要针对的是事后取证，依靠时间戳存证的手段。简而言之就是利用电子签名技术，通过对权威时间源与哈希值（hash）的结合，生成所需的时间戳文件，得出真实可靠的完整性与产生时间的存证数据证明。

也有些案件将时间戳存证方法进行了升级，使用了区块链技术。区块链技术存证的基本原理是借助分布式存储方式，将时间戳文件挂载到区块链。按照存证过程的属性划分为五个阶段，即生成、储存、传递、认证、验证。为了保证证据在办案工作中的有效性，数据固定可能发生在任意一个数据处理环节。

（一）司法裁判过程中对证据证明力的存疑

对相关司法裁判的研究发现，在当事人抗辩过程中，潜在的存证瑕疵主要包括如下两个方面：一方面，出于对区块链存证本身的信任缺失，或者对时间戳技术产生质疑，例如对存证平台资质、存证技术的可靠性出现不信任的行为；
另一方面，基于对存证具体操作过程存在疑惑，例如对待保全数据上传至存证平台过程中的真实性、替换可能性以及完整性的信任程度。

（二）涉互联网证据保全证据公证遇到的问题

针对涉互联网保全证据公证一般常见的争议可以概括为以下几个方面。首先，公证流程的即时性不足，无法与网络侵权取证的时间相匹配。由于网络侵权行为多数都很快，而公证流程在正常的办公制度下，容易出现无法即时响应的情形，引发相关侵权行为不能做到快速即时公证；
其次，现实中网络侵权行为多数是同时发生，一旦出现此类状况，在现有的公证流程下，公证人员一次只能一件地处理，为后续公证带来不小的难度；
再次，受地域屏蔽问题的影响，很多网络侵权行为人采取了跨地区的侵权行为，或者利用IP分段控制的方式，造成网络验证、公证、取证程序更加繁琐，取证难度随之加大；
最后，网络公证规范不足，清洁性检查缺乏成熟一致的标准保障和制度约束。

为了解决以上几类问题，结合司法实践中对证据的要求，我们可以从证据保全的管理角度和取证固定的技术角度两方面来考虑如何解决。

在关于存证技术本身审查的司法实践中，主要考虑存证平台的公正性和权威性，以及存证数据的安全性，即是否可能会被篡改。存证平台的中立性考察可以依托调查存证平台与当事人的关系来判断；
存证数据的可靠性辨别可以采取优化存证技术原理的方式，进一步降低数据篡改的可能性。

数据验证技术的可靠性验证，多数通过阐释时间戳技术存证及验证的原理，认可时间戳服务系统是固定证据的一种有效方式。

（一）在取证过程中，对取证目标进行物理隔离，之后结合并采取加密技术和访问控制技术的方式，进而确保电子证据在获取阶段是可靠的。例如：基于ENCASE等取证工具的取证方法，它们将证据镜像文件进行CRC校验及MD5签名，来保障数据的完整性、真实性。此种针对数据的静态属性可信效果保障效果不错。

（二）建设基于可信时间戳的电子数据取证平台，使用有资质的第三方加盖的时间戳来进行证据固定和保全。例如：将证据传送至中国科学院国家授时中心，加盖时间戳。这种权威时间戳在司法实践中的可信度很高。

（三）基于事后取证的瀑布取证模型的数据固定，这种瀑布模型将取证操作分为六个阶段，每个阶段产生问题，都可向前级进行反馈，进而协调，保障证据的可信。

（四）对于涉网案件数据，利用多种协议来保障证据的安全传输及有效固定保全。例如：基于collision-resistant哈希函数的公安可验证协议、与RSA数据加密协议迭加可信时间戳来固定保全证据。

随着大数据时代的到来和区块链等技术的应用，海量的、并发的、时效性要求高的证据保全需求更加凸显。为了提高当事人应诉能力，推荐涉知识产权、电子商务或其他民事纠纷的人群主动进行证据保全工作，也可由案件经手的公安机关或司法机关主动采取措施进行主动的证据保全工作。我们需要一种既能符合现实司法证据要求，又能即时高效固定证据的防御机制。业内可用的技术机制包括：

（一）在网络取证的过程中，将定义好结构的取证准备放入安全监控工具，通过对数据包打上标记后收集再校验，来进行 e-mail等数据的监控，从而实现网络取证数据追踪可信。

（二）在RSA同态签名的基础上引入时间戳来抵御网络中的重放攻击的网络编码签名方案。重放攻击中，攻击者可以直接重放在中间节点所截获的消息组合，或者修改所截获的消息组合中的时间戳对其生成有效签名，以此重放消息占用带宽资源。

假设源节点A的消息是安全的，并对源节点A的消息进行签名编码（M1…Mi），攻击者只能截获中继节点的消息组合Ei及其时间戳签名Ti。对于直接重放消息组合的攻击方式，使用该编码方案，当网络中某节点在收到消息组合后，将消息组合中的时间Ti和当前时间T进行比较，如果差值超过门限，则断定这个消息是重放消息，将其丢弃。

图1 融合时间戳的安全网络编码方法

假如攻击者修改所截获的消息组合中的时间戳并对其生成有效签名。由于未知源节点的私钥，是无法对截获消息中的数据部分进行签名的。

这样将对时间戳和对数据的签名有效地结合起来，保证了网络中各节点可以同时认证数据的完整性和时间戳的真实性。

（三）基于数据包时间戳序列的物联网DDOS智能安全防御机制来进行证据保全。

所有电子物证数据，都在上传网络之前，在物联网终端，消息源节点处由底端设备每隔固定时长自动产生时间戳，在消息分发时自动加载至消息数据包中。由于这个时间戳是以序列方式稳定递增的，因此消息也可回溯，可用于保障电子物证的固定属性，确保物联网终端上传的电子物证数据时间戳唯一性和安全性，防止电子物证属性被篡改，这样也有效的避免了当前申请第三方时间戳的消息通信中产生的通信安全隐患。

数据固定的方案、数据取证工作、电子数据司法鉴定的工作的规范需随着网络技术的发展同步更新，根据案件取证模型的不同可使用不同的证据保全措施。可信的证据固定方法已广泛的应用于司法实践，主动进行的证据保全工作更值得在各种涉网犯罪侦查中进行推广。