论文部分内容阅读
手机取证技术是当前司法机关需要不断学习并掌握的新型的电子物证技术。现在国内市场上，Cellebrite手机取证箱作为一款独立的，既适合在犯罪现场也适合在实验室使用的设备，其取证功能非常强大，能夠对手机和SIM卡的数据完全镜像备份，数据的提取过程是只读模式，提取手机数据的同时阻止该手机与网络连接，无需使用手机信号屏蔽袋来阻止射频信号，因此它的应用也日渐广泛。现笔者根据在实际工作中的应用，对该设备的分析取证能力进行详细解析。
1.Cellebrite手机取证工具强大的分析取证能力
1.1 Cellebrite对手机SIM卡的取证
SIM卡，英文的含义是客户识别模块，它也被称为用户身份识别卡。目前常见的SIM卡的存储容量有8K，16K、32K和64K等几种，种类也根据网络的不同有GSM卡、CDMA卡以及当前流行的3G卡等。Cellebrite手机取证箱对这些手机卡都能有效地支持。SIM卡中所存储的信息大致可以分为五类：⑴SIM卡生产厂商存储的产品原始数据；⑵手机存储的固有信息，主要包括各种鉴权和加密信息、GSM的IMSI码、CDMA的MIN码、IMSI认证算法、加密密匙生成算法；⑶在手机使用过程中存储的个人数据、如短消息、电话簿、行程表和通话记录信息；⑷移动网络方面的数据，包括用户在使用SIM卡过程中自动存入和更新的网络服务和用户信息数据，如设置的周期性位置更新间隔时间和最近一次位置登记时手机所在位置识别号。⑸其它的相关手机参数，其中包括个人身份识别号（PIN），以及解开锁定用的个人解锁号（PUK）等信息。
实际侦查破案工作中，手机检验结果往往可以帮助确定手机使用者，SIM卡里面的IC-CID、IMSI、MSISDN号码可以直接在网络运营商数据库中查找用户的详细信息；手机中的文本信息和呼叫/接收的电话号码往往能够为侦查破案提供最具价值的潜在证据。
2011年11月11日，我市密州街道工业大道中段路东、人民东路与工业大道交叉路口以北100米处有一妇女被人杀死。在现场遗留一辆银青色比亚迪F0轿车内，发现一张手机SIM卡，通过读取该卡的相关信息，从而很快确定受害人朱某，为及时破案提供了有力的技术支持。下图为笔者利用cellebrite设备从该涉案SIM卡获取的信息。
1.2 Cellebrite对手机内存的取证分析
当前手机种类繁多，手机系统间的独特性和多样化，导致手机取证难度很大。从功能来讲，可以粗略地分为三大类，一种是低端机，仅提供通话和收发短信功能；第二种是中端机，可除通话及收发短信外，还提供多媒体功能和服务；第三种是高端机或智能机，这类手机整合了中端机和PDA的功能，带有操作系统，可使用POP/IMAP/SMTP和HTTP协议，访问Web和使用电子邮件。
Cellebrite手机取证工具能够支持当前市场正版手机几乎所有的手机系统，对七种智能手机的操作系统如PalmOS、Symbian、Windows mobile、Linux和Android、iPhoneOS、黑莓等也能做到有效地支持。当前市场上的手机，手机机身内存的存储容量远远要比手机SIM卡大得多，它不仅存储执行操作系统指令和用户应用程序产生的临时数据，更保存着操作系统、各种配置数据以及一些用户的个人数据。因此，Cellebrite对手机内存的读取能力就更加值得鼓励。
下图是笔者利用cellebrite设备对一款带Symbian智能系统手机内存的信息读取。
图中，我们看到，Cellebrite手机取证工具能有效地获取手机内存中的信息，包括详细的手机信息以及手机内存中通讯记录、短信、图像、视频、音频和其他信息，并以文件夹和文件的形式直观地呈现。我们注意到该设备避免了对内存中原始数据可能产生的破坏，具备MD5哈希校验功能，保证了内存数据HASH值的同一性，对该物证日后在法庭上应用起到了很好的保护作用。
2.cellebrite手机取证工具的恢复删除能力值得赞许
手机内存中，常常会有一些内容是被人为故意删除的，而这些内容往往是我们侦查破案所需要的信息金矿。普通的手机取证设备一般不具备恢复功能，而cellebrite加强版的手机取证工具则具备了这样的能力。
如图所示，将一款手机与Cellebrite连接后，通过物理转储和文件系统转储命令，对手机内存中的信息进行恢复。
结果能从机身内存中恢复一些被删除的通讯录、短信息、通话记录以及音频、视频信息。从图中我们可以清晰地看到，红框内的信息为恢复的删除信息。
3.cellebrite手机取证工具的不足
Cellebrite手机取证工具虽然具有比较强大的功能，但它仍存在着一些不足。比如，它号称支持超过3000款国际大品牌和200款国产手机，但它对国内普及率近70%的山寨手机的支持能力就不能令人满意，无法提供相对丰富和全面的数据接口。
另外，Cellebrite手机取证工具仅仅提供了一个SD卡插槽，用于提取SD卡数据。而对当前手机外置存储应用较为广泛的TransFlash卡（也称为MicroSD卡）、MMC卡、MiniSD卡等却没有提供相应的插槽。对手机外置存储卡上的数据读取，只能依靠一些诸如Encase和Whinex等软件工具进行镜像分析。 [科]
1.Cellebrite手机取证工具强大的分析取证能力
1.1 Cellebrite对手机SIM卡的取证
SIM卡，英文的含义是客户识别模块，它也被称为用户身份识别卡。目前常见的SIM卡的存储容量有8K，16K、32K和64K等几种，种类也根据网络的不同有GSM卡、CDMA卡以及当前流行的3G卡等。Cellebrite手机取证箱对这些手机卡都能有效地支持。SIM卡中所存储的信息大致可以分为五类：⑴SIM卡生产厂商存储的产品原始数据；⑵手机存储的固有信息，主要包括各种鉴权和加密信息、GSM的IMSI码、CDMA的MIN码、IMSI认证算法、加密密匙生成算法；⑶在手机使用过程中存储的个人数据、如短消息、电话簿、行程表和通话记录信息；⑷移动网络方面的数据，包括用户在使用SIM卡过程中自动存入和更新的网络服务和用户信息数据，如设置的周期性位置更新间隔时间和最近一次位置登记时手机所在位置识别号。⑸其它的相关手机参数，其中包括个人身份识别号（PIN），以及解开锁定用的个人解锁号（PUK）等信息。
实际侦查破案工作中，手机检验结果往往可以帮助确定手机使用者，SIM卡里面的IC-CID、IMSI、MSISDN号码可以直接在网络运营商数据库中查找用户的详细信息；手机中的文本信息和呼叫/接收的电话号码往往能够为侦查破案提供最具价值的潜在证据。
2011年11月11日，我市密州街道工业大道中段路东、人民东路与工业大道交叉路口以北100米处有一妇女被人杀死。在现场遗留一辆银青色比亚迪F0轿车内，发现一张手机SIM卡，通过读取该卡的相关信息，从而很快确定受害人朱某，为及时破案提供了有力的技术支持。下图为笔者利用cellebrite设备从该涉案SIM卡获取的信息。
1.2 Cellebrite对手机内存的取证分析
当前手机种类繁多，手机系统间的独特性和多样化，导致手机取证难度很大。从功能来讲，可以粗略地分为三大类，一种是低端机，仅提供通话和收发短信功能；第二种是中端机，可除通话及收发短信外，还提供多媒体功能和服务；第三种是高端机或智能机，这类手机整合了中端机和PDA的功能，带有操作系统，可使用POP/IMAP/SMTP和HTTP协议，访问Web和使用电子邮件。
Cellebrite手机取证工具能够支持当前市场正版手机几乎所有的手机系统，对七种智能手机的操作系统如PalmOS、Symbian、Windows mobile、Linux和Android、iPhoneOS、黑莓等也能做到有效地支持。当前市场上的手机，手机机身内存的存储容量远远要比手机SIM卡大得多，它不仅存储执行操作系统指令和用户应用程序产生的临时数据，更保存着操作系统、各种配置数据以及一些用户的个人数据。因此，Cellebrite对手机内存的读取能力就更加值得鼓励。
下图是笔者利用cellebrite设备对一款带Symbian智能系统手机内存的信息读取。
图中，我们看到，Cellebrite手机取证工具能有效地获取手机内存中的信息，包括详细的手机信息以及手机内存中通讯记录、短信、图像、视频、音频和其他信息，并以文件夹和文件的形式直观地呈现。我们注意到该设备避免了对内存中原始数据可能产生的破坏，具备MD5哈希校验功能，保证了内存数据HASH值的同一性，对该物证日后在法庭上应用起到了很好的保护作用。
2.cellebrite手机取证工具的恢复删除能力值得赞许
手机内存中，常常会有一些内容是被人为故意删除的，而这些内容往往是我们侦查破案所需要的信息金矿。普通的手机取证设备一般不具备恢复功能，而cellebrite加强版的手机取证工具则具备了这样的能力。
如图所示，将一款手机与Cellebrite连接后，通过物理转储和文件系统转储命令，对手机内存中的信息进行恢复。
结果能从机身内存中恢复一些被删除的通讯录、短信息、通话记录以及音频、视频信息。从图中我们可以清晰地看到，红框内的信息为恢复的删除信息。
3.cellebrite手机取证工具的不足
Cellebrite手机取证工具虽然具有比较强大的功能，但它仍存在着一些不足。比如，它号称支持超过3000款国际大品牌和200款国产手机，但它对国内普及率近70%的山寨手机的支持能力就不能令人满意，无法提供相对丰富和全面的数据接口。
另外，Cellebrite手机取证工具仅仅提供了一个SD卡插槽，用于提取SD卡数据。而对当前手机外置存储应用较为广泛的TransFlash卡（也称为MicroSD卡）、MMC卡、MiniSD卡等却没有提供相应的插槽。对手机外置存储卡上的数据读取，只能依靠一些诸如Encase和Whinex等软件工具进行镜像分析。 [科]