GA T 1069-2021 法庭科学 电子物证手机检验技术规范.pdf

1、XXXX ICS13.310 CCS A92 中 华 人 民 共 和 国 公 共 安 全 行 业 标 准 GA GA/T 1069 代替GA/T 1069 2013 法庭科学 电子物证 手机检验 技术规范 Forensic sciences Technical specifications for examination of mobile phones as the electronic evidence 中华人民 共和国 公安部 发 布 - - 实施 - - 发布 GA/T 1069 I 前 言 本文件 按照GB/T 1.1 2020 标 准化 工作 导则 第1 部 分： 标 准化 文件

2、的结 构和 起草规 则 的规 定起 草。 本 文件代替GA/T 1069 2013 法庭 科学 电子物 证手 机检验 技术规 范， 与GA/T 1069 2013 相比， 除编辑 性修 改外 ，主 要技 术变化 如下 ： 更改 了 手机 检验 和手 机卡的 定义 （见3.1 、3.2 ，2013年版 的3.1 、3.2 ） ； 增 加了 术语 和定 义（ 见3.4 、3.5 ）； 更改 了 软、 硬件 设备 （见4.1 、4.2 ，2013 年版 的4.1、4.2 ） ； 更改 了 操作 步骤 部分 内容（ 见5.1 、5.2 ，2013 年版 的5.1 、5.2 ） ； 更改 了 病毒 查杀

3、 部分 内容（ 见5.3.1 ，2013 年版 的5.3.1 ）； 更改 了 手机 机身 检验 内容（ 见5.3.2.1 、5.3.2.2 ，2013年版 的5.3.2.1 、5.3.2.2 ）； 增 加了 手机 机身 检验 内容（ 见5.3.2.3 、5.3.2.4 ） ； 更改 了 手机 卡检 验部 分内容 （见5.3.3.1 、5.3.3.2 ，2013 年版 的5.3.3.1 、5.3.3.2 ） ； 更改 了 手机 扩展 存储 卡检验 部分 内容 （见5.3.4.1 、5.3.4.2 ，2013年版 的5.3.4.1 、5.3.4.2 ） ； 删 除了 结果 保存 、检 出数据 刻录

4、 （2013年版 本的5.3.5 、5.4 、5.4.15.4.4 ）； 增 加了 检验 结果 保存 （见5.4 ） ； 更改 了 检验 结果 表述 部分内 容（ 见 第6章 ，2013 年版 的 第6 章） ； 更改 了 附则 部分 内容 （见7.1 、7.2 ，2013 年版 的7.17.3）。 请注意 本文 件的 某些 内容 可能涉 及专 利。 本文 件的 发布机 构不 承担 识别 专利 的责任 。 本 文件 由全国 刑事技 术标 准化技 术委员 会电子 物证 检验分 技术委 员会（SAC/TC179/SC7 ） 提出并 归 口。 本 文件 起草 单位 ： 黑龙 江 省公安 厅刑 事技

5、术总 队 、 公安部 物证 鉴定 中心 、 天 津市公 安局 物证 鉴定 中 心、大 庆市 公安 局刑 事技 术支队 。 本 文件 起草 人： 王洪 庆、 龙源、 邢桂 东 、 范 玮、 徐 克鑫、 周祥 鹏、 艾 绍新、 庄辰、 刘栗、 李楠、 顾 丽丽。 本 文件 所代 替文件 的 历次 版本发 布情 况为 ： GA/T 1069 2013 。 GA/T 1069 1 法庭科学 电 子物 证手机检 验技术 规范 1 范围 本 文件 规定 了 法 庭科 学 领 域中 电 子物 证手 机检 验 的 术语和 定义 、 仪器 设备 、 操作步 骤 、 检 验结 果表 述及附 则 。 本 文件 适用

6、 于法 庭科 学领 域中电 子物 证手机 的 检验 。 2 规范性 引用 文件 下列文 件中 的内 容通 过文 中的规 范性 引用 而构 成本 文件必 不可 少的 条款 。 其 中 ， 注日 期的 引用 文件， 仅该日 期对 应的 版本 适用 于本文 件； 不注 日期 的引 用文件 ， 其 最新 版本 （包 括所有 的修 改单 ） 适 用于 本 文件。 GB/T 29360 电 子物 证数 据 恢复检 验规 程 GB/T 29362 电 子物 证数 据 搜索检 验规 程 3 术语和 定义 下列术 语和 定义 适用 于本 文件。 3.1 手机检 验 mobile phone examinatio

7、n 使用物 证鉴 定的 原理 、 方法 和程 序 ， 提取 和 分析 手 机机身 、 手机 卡及 手机 扩 展存储 卡所 包含 电子 数 据的过 程。 3.2 手机卡 mobile phone card 有微处 理器 的手 机用 户识 别卡 ， 用 来记 录用 户的 电 子数据 ， 主要 包括SIM 卡、 UIM 卡、 PIM 卡和USIM 卡等。 3.3 手机扩展 存 储卡 mobile phone memory card 用来扩展手机物理存储空间的存储介质， 主要包括SD 卡、MMC 卡、mini SD 卡 和 MS 卡等。 3.4 手机存 储芯 片 mobile phone flash

8、memory chip 手机中 存储 操作 系统 、 应 用软件 和用 户数据 的 闪存 芯片 。 3.5 手机机身 镜像 mobile phone physical image 手机存储芯片中 包 含 用 户 数 据 分区的 物 理 存 储 位对位数据副本。 4 仪器设备 GA/T 1069 2 4.1 硬件 电子物 证检 验工 作站 、 手 机专用 检验 设备 、 手 机信 号屏蔽 设备 、 手 机存 储芯 片读取 设备 、 手 机存 储 芯片拆 解工 具、 专用 存储 介质、 照相 、录 像设 备等 。 4.2 软件 手机取 证软 件、 手机 备份 软 件、 数据 恢复 软件 等 。 5

9、 操作步 骤 5.1 检材 及 样本 编号 对送检 的检 材 （ 样本 ）进 行唯一 性编 号。 5.2 检材 及 样本 拍照 对检材 （样本 ） 加上 唯一 性编号 进行 拍照 。 5.3 检验 5.3.1 病毒查 杀 检验 前 对电 子物 证检 验工 作站或 手机 专用 检验 设备 进行杀 毒。 5.3.2 手机机 身检 验 5.3.2.1 手机检验 过 程中 应处于 通信 信号 屏蔽 环境 或通信 信 号阻断 状态 。 5.3.2.2 选择以 下一 个或 多个 方法 进行检验 ： a) 逻辑检验 ， 使用 手机 备份 软件、 手机 取证 软件 进行 检验 ； 对具 备获 取手 机系 统超

10、级 用户 权限 条 件的检 材， 获取 手机 系统 超级用 户权 限后 ，使用 手 机取证 软 件 进行 检验 ； 注：有扩展存储卡的手机 ，保持扩展存储 卡在手机中 进行整体检验。 b) 镜像检验， 对 具备 手机 机身 镜像 获取 条件 的检 材 ， 使用手 机取证 软件 通过ADB 、 META 、 9008 、 JTAG 、ISP 等方式 获 取手 机 机身 镜像 ， 使用 手机 取 证软件 对手 机 机 身镜 像进行 检验 ， 若手机 有 扩展存 储卡 ，手机 机 身镜 像 和手 机 扩 展存 储卡 宜关联 检验 ；采用GB/T 29360 和GB/T29362 检验 方法对 手机

11、机身 镜像 进行 检验 ； c) 芯片检验 ， 对手 机存 储芯 片未加 密的 检材 ， 使用 手 机存储 芯片 拆解 工具 拆卸 手机存 储芯 片， 使 用手机 存储 芯片 读取 设备 获取手 机机身 镜像 ， 使 用 手机取证 软件 对 手机 机身 镜像进 行检 验 ， 若 手机有扩展存储卡，手机机身镜像和 手 机 扩 展 存 储 卡 宜 关联检验；采用GB/T 29360 和GB/T 29362 检验 方法 对手机 机身镜像进 行检 验 ； d) 照相录 像检验 ， 使用 照相 、录像 方法 固定 手机 中存 储的电 子数 据 。 5.3.2.3 对于故 障手 机， 应在不 破坏手机存

12、储芯 片中 用户 数据 的前提 下进行 故 障排 除 ， 然 后按照 5.3.2.2 进行检 验。 5.3.2.4 对于设 有 锁 屏密 码 且 不具 备 手机 机身 镜像 获取 条件 的检材 ，在 不破 坏 手 机中 用户数 据的 前提 下使用 手机 取证 软件 进行 锁屏密 码破解 或 清除 ，然后 按照 5.3.2.2 中 a）或 d ） 进行检 验。 5.3.3 手机卡 检验 5.3.3.1 将手机 卡以 只读 方式 连接 到电子 物证 检验 工作 站或 手机专 用检 验设 备。 5.3.3.2 使用手 机取 证软件 对 手机 卡进行 检验 。 GA/T 1069 3 5.3.4 手机

13、扩展 存 储卡 检验 5.3.4.1 使用手 机取证 软件 对 手机 扩展存 储卡 进行 检验 ，操作 前应 将手 机扩 展存 储卡 与手机 机身 关联 检验。 5.3.4.2 将手 机扩展存储 卡以只读方式 连接到电子 物证检验工作 站或手机专用 检验设备， 按照 GB/T 29360 和 GB/T 29362 对 手 机扩展 存储 卡 进 行检 验 。 5.4 检验 结 果保 存 将检出 数据 采用 封盘 刻录 方式刻 录在 不可 擦写 的空 白光盘 上或 者保 存在 专用 存储介 质中 ， 并 计算 检 出数据 的 完 整性 校验 值。 6 检验结 果表述 检验结 果表 述应 符合 以下 规定： a) 检验结 果分 为检 出、 未检 出、不 具备 检验 条件 三种 ； b) 检验结 果应 根据 检验 要求 对检材 、检 验范 围、 检验 所得进 行客 观、 概括 、有 针对性 的描 述； c) 结果表 述应 包含 检材 编号 、 检 出情况 、 检出数 据文 件 或保存 检出 数据 介质 完整 性校验 值、 保 存 检出数 据介 质编 号等 必要 信息。 7 附则 7.1 在检验 过程 中， 应 做 好检 验记录 ，记 录应 贯穿 整个 检验过 程。 7.2 送检的 检材 应做 好防 水、 防磁、 防静 电、 防震 和手 机信号 屏蔽 保护 。