中華人民共和國司法部司法鑒定管理局發(fā)布SF/ZJD0402003——2015前言 2規(guī)范性引用文件 3術(shù)語和定義 4原則 5檢驗步驟 6檢驗記錄 37結(jié)論表述 3SF/ZJD0402003——2015本技術(shù)規(guī)范按照GB/T1.1-2009給出的規(guī)則起草。本技術(shù)規(guī)范由上海辰星電子數(shù)據(jù)司法鑒定中心提出。本技術(shù)規(guī)范由司法部司法鑒定管理局歸口。本技術(shù)規(guī)范起草單位：上海辰星電子數(shù)據(jù)司法鑒定中心。本技術(shù)規(guī)范主要起草人：蔡立明、高峰、林九川、沙晶、雷云婷、孫楊。本技術(shù)規(guī)范為首次發(fā)布。SF/ZJD0402003——2015即時通訊記錄檢驗操作規(guī)范1目的和范圍本技術(shù)規(guī)范規(guī)定了即時通訊記錄檢驗的技術(shù)方法和步驟。本技術(shù)規(guī)范適用于在電子數(shù)據(jù)檢驗鑒定中的即時通訊記錄鑒定。2規(guī)范性引用文件下列文件對于本技術(shù)規(guī)范的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本技術(shù)規(guī)范。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本技術(shù)規(guī)范。SF/ZJD0400001－2014電子數(shù)據(jù)司法鑒定通用實施規(guī)范3術(shù)語和定義SF/ZJD0400001－2014電子數(shù)據(jù)司法鑒定通用實施規(guī)范所確立的以及下列術(shù)語和定義適用于本技術(shù)規(guī)范。3.1即時通訊Instantmessaging即時通訊是一種使用網(wǎng)絡(luò)進行實時交互信息（包括在實時條件下支持離弦、延時功能）的集聲音、文字、圖像等的綜合性交流方式。3.2即時通訊客戶端Instantmessagingclient安裝在計算機、手機、智能設(shè)備等終端上的用于提供即時通訊服務(wù)的應(yīng)用程序。3.3即時通訊協(xié)議Instantmessagingprotocol對即時通訊過程及數(shù)據(jù)傳輸進行控制的規(guī)則。3.4即時通訊記錄Instantmessagingdata即時通訊中所傳遞的文字消息、傳輸?shù)奈募?、通話記錄和聲像信息等?.5即時通訊記錄文件Instantmessagingdatafile存儲即時通訊記錄的數(shù)據(jù)文件。4原則SF/ZJD0400001－2014電子數(shù)據(jù)司法鑒定通用實施規(guī)范所確立的原則適用于本技術(shù)規(guī)范。5檢驗步驟5.1了解相關(guān)情況1SF/ZJD0402003——201525.1.1了解即時通訊記錄的形成過程及存儲方式等信息。5.1.2當(dāng)即時通訊記錄文件采用了加密方式保存時，了解即時通訊記錄文件的加解密方式。5.1.3當(dāng)無法讀取通訊記錄文件時，了解即時通訊客戶端用戶帳號及其口令信息，并獲得其使用授權(quán)。5.2固定保全5.2.1確定檢材的步驟a)對檢材進行唯一性標(biāo)識，并貼上標(biāo)簽；b)對檢材進行拍照或錄像，記錄其特征；c）對具備條件的檢材進行保全備份，并進行完整性校驗，之后使用備份數(shù)據(jù)進行檢驗。5.2.2即時通訊記錄文件的獲取a)如有必要，應(yīng)按照相關(guān)技術(shù)方法，搜索、恢復(fù)保存在存儲介質(zhì)上的即時通訊記錄文件；b)查找檢材中即時通訊客戶端的安裝路徑及相關(guān)用戶信息存儲位置，獲取即時通訊客戶端的版本、用戶相關(guān)信息和即時通訊記錄文件；c)對于基于瀏覽器的即時通訊客戶端，應(yīng)查找并獲取檢材中瀏覽器的版本和瀏覽器緩存中的易失性即時通訊記錄；d)在條件允許的情況下，獲取存儲在服務(wù)器端的即時通訊記錄；e)計算即時通訊記錄文件的哈希值。5.3即時通訊記錄的呈現(xiàn)5.3.1搭建檢驗環(huán)境檢驗環(huán)境應(yīng)包括：a)針對獲取的不同種類的即時通訊記錄文件，安裝相應(yīng)的即時通訊客戶端或搭建能正常讀取即時通訊記錄文件的檢驗環(huán)境；b)當(dāng)即時通訊記錄文件采用了加密方式保存，需搭建解密即時通訊記錄文件檢驗環(huán)境。5.3.2即時通訊記錄相關(guān)信息的呈現(xiàn)根據(jù)搭建的檢驗環(huán)境將即時通訊記錄內(nèi)容導(dǎo)出并保存為特定文件，計算導(dǎo)出文件的哈希值，檢出的內(nèi)容可以包括：a)即時通訊客戶端的名稱、安裝路徑；b)用戶目錄存放路徑；c)用戶即時通訊帳號、即時通訊中用戶的昵稱和即時通訊帳號中關(guān)聯(lián)的郵件、手機等相關(guān)信息；d)即時通訊記錄內(nèi)容和即時通訊中傳遞的文件、圖片、語音等。5.4即時通訊記錄的真實性檢驗和分析根據(jù)檢材即時通訊記錄具體情況，視需要對下列全部或部分內(nèi)容進行檢驗和分析。5.4.1即時通訊記錄基本信息檢驗檢驗即時通訊記錄文件及其所在目錄中其它即時通訊記錄文件的結(jié)構(gòu)、格式、內(nèi)容、即時通訊對象、時間等情況。5.4.2即時通訊記錄文件的環(huán)境分析3根據(jù)即時通訊記錄的存儲環(huán)境，檢驗分析即時通訊記錄文件的存放路徑、即時通訊客戶端或瀏覽器的配置信息、日志文件等是否存在異常。5.4.3即時通訊記錄正文分析分析即時通訊記錄的正文信息是否存在異常。重點關(guān)注正文的結(jié)構(gòu)及內(nèi)容的合理性和邏輯性等情5.4.4即時通訊記錄文件的屬性信息分析檢驗即時通訊記錄文件的文件名、文件格式、創(chuàng)建時間和修改時間等信息，分析即時通訊記錄文件屬性與其它文件屬性以及即時通訊內(nèi)容等是否存在矛盾。5.4.5其它相關(guān)信息分析在檢材中搜索即時通訊記錄文件及即時通訊中傳遞的文件、圖片等信息中出現(xiàn)的關(guān)鍵詞和文件，分析搜索到的內(nèi)容與即時通訊記錄是否存在關(guān)聯(lián)，相互之間的邏輯關(guān)系是否存在矛盾。5.4.6即時通訊服務(wù)器分析如條件允許，對即時通訊服務(wù)器進行檢驗，分析其中的相關(guān)信息與檢材即時通訊記錄是否存在矛盾。包括保存在服務(wù)器上的即時通訊記錄文件、服務(wù)器日志及備份數(shù)據(jù)等。5.4.7實驗分析若發(fā)現(xiàn)即時通訊記錄存在異?，F(xiàn)象，應(yīng)按照檢材環(huán)境進行實驗，分析產(chǎn)生這些異?，F(xiàn)象的原因，以確定這些現(xiàn)象的性質(zhì)。6檢驗記錄與檢驗活動有關(guān)的情況應(yīng)及時、客觀、全面地記錄，保證檢驗過程和檢驗結(jié)果的可追溯性。檢驗記錄應(yīng)反映出檢驗人、檢驗時間、審核人等信息。檢驗記錄的主要內(nèi)容有：a)檢材固定保全情況：包括檢材照片或錄像、登錄即時通訊客戶端和提取即時通訊記錄文件截圖或錄像、檢材及即時通訊記錄文件的哈希值等；b)檢驗設(shè)備和工具情況；c)檢驗過程和發(fā)現(xiàn)；d)對檢驗發(fā)現(xiàn)的分析和說明；e)其它相關(guān)情況。7結(jié)論表述根據(jù)即時通訊記錄的檢驗步驟闡述檢驗結(jié)果，可以包括如下內(nèi)容：a)即時通訊記錄文件固定保全的情況；b)即時通訊記錄的檢出結(jié)果；c)客戶端與服務(wù)器端即時通訊記錄的驗證結(jié)果；d)即時通訊記錄的真實性結(jié)論，結(jié)論可以是以下四種之一：1）確定經(jīng)過偽造篡改；判斷依據(jù)：發(fā)現(xiàn)即時通訊記錄存在異常，并分析這些異常為偽造篡改形成。SF/ZJD0402003——20152）排除經(jīng)過偽造篡改；判斷依據(jù)：未發(fā)現(xiàn)即時通訊記錄存在異常，并分析不存在通過現(xiàn)有技術(shù)手段無法發(fā)現(xiàn)的偽造篡改可能性。3）未發(fā)現(xiàn)經(jīng)過偽造篡改；判斷依據(jù)：未發(fā)現(xiàn)