云端鉴识取证的障碍分析与应对策略*

蒋洁王思义何亮亮

（1.南京信息工程大学公共管理学院 江苏南京 210044）

（2.南京信息工程大学滨江学院 江苏南京 210044）

云端鉴识取证的障碍分析与应对策略*

蒋洁王思义何亮亮

（1.南京信息工程大学公共管理学院 江苏南京 210044）

（2.南京信息工程大学滨江学院 江苏南京 210044）

科学合理的云端鉴识取证是信息社会兼顾数据安全、隐私保障与高效防惩违法犯罪的重要助力。亟待通过拓展云用户的合理隐私期待、构筑完备的云端鉴识程序、完善鉴识侵权救济机制及提高鉴识主体的技术能力等一系列应对策略，妥善解决鉴识过程中难以判定真实性、难以预知关联性与难以确保合法性等障碍因素，推动电子证据司法运用的可持续发展与次世代多样化云应用的绿色增长。

云数据；数字化；鉴识取证；障碍；策略

1 引言

数字化鉴识取证是充分利用多种科技手段与检测程序，查找信息化模型中案件相关的直接或间接证据的工作流程。包括两个主要分支：一是物化存储设备鉴识取证，如从大容量软驱、移动硬盘及多媒体记忆卡中寻获证据；二是星云网络鉴识取证，如从云端数据库、虚拟社区或在线娱乐平台中寻获证据。云端鉴识取证是网络层级获取结构的重要组成，无须鉴识主体持有实体设备并建立有形监管链即可高效获取证据。实际运作过程中物化云设备脱离数据权人控制、动态云端不易固定和识别以及取证需云服务商协助等因素严重影响鉴识内容的真实性、关联性与合法性。亟待建立科学合理的清障策略体系，推动大数据时代电子取证的现代化进程。

2 云端鉴识取证的可采性障碍

2.1 难以判定真实性

真实性是证据采信的首要考量因素。传统证据体系通过一系列测试判断证人证言的可靠性（如通过多伯特听证会裁定专家证人是否适格）与证据产生过程的确凿性（如通过米诺特模型评定采集过程是否合乎逻辑）。云端鉴识取证一般由国家公权机关发起并在形式上担任搜证主体，但云系统高度的技术复杂性与用户终端缺乏完整的数据母本等使得鉴识活动必须依赖云服务商或其他掌握高新技术的数据挖掘主体。虽然由中立的第三方机构（如微软的“数字侦探”团队）采挖数字化证据资料相对客观公正，但诸多大规模云系统的个别化特征和云服务商集中控制物理设备与全面掌控平台数据的特质使得绝大多数云端鉴识务须服务商鼎力协助。

云服务商在接到公权机关的搜证或协查指令后，委派专门人员负责查找并展示证据资料。由于云外迁入及云中产生的信息数据的存储与流动必须经过云平台系统且鉴识活动仅能取得数据副本，技术水平与系统控制能力远在公权机关和其他参与者之上的云服务商对于数字化证据的微小改动、替换或删除行为很难被他方察觉。公权机关和其他利害关系人难以找到独立途径科学评判云服务商出具证据的真实性，无法有效预防其基于自身商业利益需要（尤其是在涉己纠纷中）提供虚假证据。

2.2 难以预知关联性

依据法理精神与一般法律原则，惟有特定的明确事实显示出合理的理由让人们相信对象数据与正在进行的司法调查密切相关，才可以开展鉴识取证。虽然最低相关性标准只要求在逻辑上具有改变事实结果的可能性，云服务环境的复杂性与储流数据的私密性却使得公权机关及其他鉴识活动参与者难以准确预知关联性。诸多大规模云服务系统的多租赁特征（即同一服务器中储流多源用户的数据）带来的存储与传输过程中不同用户间数据混杂现象甚至导致难以查实自共享资源池中调取的数字化证据是否属于涉案当事人。在缺少合理证据明确证实云端鉴识、违法行为与取证内容之间充分联系的情况下，鉴识主体可能会无授权或越权取证（如自云端“打包”下载涉案当事人的全部数据），不仅侵害数据权人的合法权益，亦可能导致所获证据被合理排除。

2.3 难以确保合法性

法庭上采信证据的一个要素是这些证据的取得和保管是有效合理的。庭审过程中，举证方需要证明证据取得与保管过程合法，否则不予采纳。很多云端鉴识取证的具体操作由云服务商或其他数据挖掘机构暗中进行，缺少管控参与人员查证流程的规则体系，存在诸多侵害涉案当事人权益的违法风险。

2.3.1 隐私侵权风险

隐私权是自然人享有的私人生活安宁与信息秘密不被他人非法侵扰、知悉、收集和公开的人格权益。包括美国在内的诸多发达国家和地区普遍遵循“合理期待”或类似标准客观界定隐私范围。即只要个人主观上具备社会认可的合理的隐私期待利益，就可以享有相应的隐私权。传统隐私规则主张“最高隐私利益附于个人住所”，《中华人民共和国宪法》第2条就规定“中华人民共和国公民的住宅不受侵犯。禁止非法搜查或者非法侵入公民的住宅”。住所区域属于隐私合理期待的固性范畴，存储其间计算机上的个人数据享有隐私权益。其他位置储流私密信息的隐私权益则取决于个人掌控能力，即对于己方能够有效控制传播的私密信息享有隐私权。事实上，社会主体将隐私数据迁入云平台，类似将加密手提箱托予可信任的第三方保管。基于“除了当事人的家以外，很少有什么东西比加密手提箱更具隐私期待”，云用户理应享有数据隐私权。但云环境中物理设备、传输通路与加密系统等均由云服务商一力掌控，数据权人几乎丧失了全部控制能力，无法通过多重加密或全面清除等降低云端鉴识取证侵害隐私权益的风险。

同时，隐私权人依法享有明示或默示向他人公开私密的决定权（如权利人在公众场所发放传单、出版著述或发布网络博客等行为均被视为故意向公众披露信息，意味着放弃相关隐私权益）并在自愿向第三方披露信息时承担受讯方二次公开的风险（如权利人在明知合同条款免除对方保密义务的情况下予以签署，意味着授权第三方自由获取）。不少云服务商基于减少正面冲突、避免法律纠纷并实现利益最大化的特殊需要（若公权机关未经合法授权要求云服务商提供信息数据，后者基于自身存续与发展利益考量的最优选择是在未通知当事人的情况下秘密查找，存在侵害用户隐私权与知情权等诸多风险），通过格式化服务协议或隐私条款建立最广泛的“第三方原则”，赋权己方监控数据储流与深度挖掘，全面肯定数据共享与依法调查可能涉及的工具与技术的可为性，大幅度地降低了己方隐私保障义务，加强向第三方披露信息的权能，提高用户隐私暴露于鉴识取证的风险。另外，云服务商有权处理包括用户登陆时间、地点及浏览状况等在内的数据记录。公权机关直接向云服务商调取此类信息时无须通知当事人。但随着大数据关联挖掘技术的爆炸性革新，这些曾被公认为“零身份暴露”的无实质内容的非结构化数据记录亦会泄露大量私密信息。例如，“美国在线”曾在清除了注册资料和网际协议地址后将65万用户3个月的海量搜索记录公开作为研究素材。强大的数据关联挖掘工具却从这些仅用随机的唯一标识符简单区分的“隐名”记录中彻底揭露个人隐私，不仅侵害当事人的合法权益，亦严重影响广大社会主体参与云活动的积极性，客观上阻碍了云产业健康有序发展。

2.3.2 越权管辖风险

任何国家和地区的公权机关均无权直接在域外调查取证，超出管辖范围的搜证活动必须遵循国际条约或特别司法互助协议。云服务系统广布全球的特征使得“最终落地区域”的认定存在云服务商注册地或主要商业活动地、中央处理器所在地或每一个包含证据信息源的服务器所在地等诸多分歧。很多大规模的云服务平台以众多存储容量巨大的物理设备为载体并“屏蔽下层数据存储的实现细节，只对用户提供一个逻辑上单一的数据存放地址”。公权机关在出具搜查或协查指令时由于自身资源和技术限制以及大型云服务企业的国际化运作特征，难以准确定位云端鉴识数据的物化载体设备的确切地理位置。即便讼案原被告住所地、行为发生地或结果发生地等都可能享有管辖权，地方性公权机关亦有可能超出管辖权进行云端鉴识取证，严重影响获得证据的可采性。某些云服务商以此拒绝进行合理的司法协助，如谷歌巴西公司曾以母公司设在美国为由，拒绝向巴西司法部门提供散播在交友社区的数千张儿童色情照片。

2.3.3 滥用排除条款风险

依据《民法通则》《合同法》等部门法规定，鉴识主体在当事人同意或紧急情况等少量且特别明确的的例外情形下未经正式司法授权取得的证据亦具有效力。但公权机关、云服务商及其他利害关系人在涉云纠纷案情复杂、时间紧迫、相关数据存储位置不明确及现行法律法规不健全等因素综合作用下，有可能滥用排除条款获取证据。

由于当事人在云中存储的数据及其流转全程处于云服务商掌控之下（尤其是在绝大多数云服务商通过点击式隐私条款赋己云数据处置权的情形下），很多公权机关会在未通知当事人的情况下直接向云服务商调取证据。然而，数据所有者之外的其他有权同意证据采集的主体必须具备特殊身份。例如，父母对于未成年子女放于卧室且仅供个人使用的存储设备（如计算机）享有同意权；又如，夫妻双方对共有资讯享有同等的控制权，但对于未授权方仅供个人使用且独立存放并采取一定保密措施的存储数据，另一方无权给予有效同意。云服务商不具备法律上认可的父母或配偶等特殊身份，代行同意权的唯一动因是服务协议的特别规定。但格式化服务合同签定双方的资源与技术实力严重不对等，众多未充分理解赋权条款真意的云用户仅有“同意加入”与“否定退出”的简单抉择权，实属明显不利于弱势方的无效霸王条款。另外，即便取证同意直接源自数据权人，若在鉴识主体已自云端下载信息资料后、尚未开始司法程序前，权利人单方取消同意亦会影响这些证据的合法性。

紧急情况排除是允许鉴识人员在有合理依据且状况紧迫的情况下，未获正式司法授权亦可进行云端取证。数字化证据搜取可能遭遇的最主要紧急情况是云服务商在未收到冻结数据的正式通知前删除信息。例如，美国联邦调查局曾在分析嫌疑人个人电脑使用记录后怀疑其有可能破坏云端数据资料而在未获搜查令的情况下下载相关文件。不少鉴识人员面对复杂的规模化云储流系统，常常在未有合理依据表明数字化证据存于云中时就借口紧急情况排除向云服务商调取证据并在事后补全相关法律文书，严重违反鉴识取证的基本原则，影响司法公正。

3 应对策略

第三次信息技术革命助推廉价的聚合云环境逐步成型，使得当事人可以方便地按需存取共享资源池中的数据。随着信息社会迅猛发展，数字化证据的重要性日益凸显，云端鉴识取证逐渐成为明辨频发的涉云纠纷与高效处理相关争议的重要利器。云服务具有隐蔽有偿性、较高匿名性与灵活调度性，亟待构筑较为完善的应对云端鉴识真实性、关联性与合法性风险的策略体系，提高云端证据的司法采信率，维护司法权威与社会正义。

3.1 拓展云用户的合理隐私期待

海量数据挖掘技术提供了云平台迅速扩容与集聚成长的重要助力，次世代云服务产业的爆炸性增长需要不断填充巨量元数据库。云端鉴识取证的用户隐私侵权风险却在一定程度上打击了社会主体参与云储流活动的积极性。日益加重的发展困境已不能等待通过判例归纳出社会准备认定的合理隐私期待的漫长过程，迫切需要建立兼顾个人隐私权、公众知情权与司法权威性等的合理标准。一方面，云服务协议与隐私政策是确立供需双方在常态云服务过程中权利义务关系的核心规则体系，拟定方不得单方面变相强制用户放弃数据隐私权。事实上，云服务系统的安全性与隐私保障不应低于其他服务形式。有必要立法规定云服务协议中仅允许服务商基于维持传输通道安全顺畅的基本需要监控数据流转且不得以格式条款排除用户的数据隐私权。即云服务商在未获得公权机关出示的合法搜证依据的情况下，不得按其指示采挖用户数据。另一方面，云用户对于服务商创建的查询或交易记录应当享有一定的隐私期待。现实生活中，众多商业机构基于服务需要必须掌握一些用户隐私（如银行兑换支票时需核实签名和金额；移动通信公司接通电话必须知道用户拨打的号码）并创建不属于个人隐私的行为痕迹记录（如银行的用户帐户收支情况记录）。相关人员常常以专家证人的身份向公权机关提供各类记录资料。海量数据关联分析使得挖掘方可以从零散数据和隐名记录中析出重要的私密信息，必须立法肯定云用户对于服务商创建的查询或交易记录享有合理的隐私权。当然，若云用户的行为导致理性人相信其放弃隐私权益（如云用户在明知数据隐私被披露或毁损后很长一段时间内不积极维权），则不能获得救济。

3.2 构筑完备的云端鉴识程序

广泛采用聚类分析、偏差分析与关联规则分析等的新型云端鉴识取证不同于从物化存储设备和可控网络中采集数据，综合运用“云环境调查、故障排除、日志检测、数据和系统恢复”等多样方法“准确地、有效地、动态地”挖掘有效证据，迄今仍缺乏统一完备的鉴识流程规制体系。合理化、程序化的云端鉴识架构不仅有利于避免违法向公权机关披露用户的数据隐私，亦有利于鉴识主体、云服务商或其他第三方挖掘主体全面、有效地开展采挖活动。例如，大数据关联分析技术的广泛应用使得看似毫无联系或已用特殊标识符替代身份信息的云储流记录有可能泄露个人隐私。众多用户在不健全的云系统安保屏障面前逐步丧失参与信心，严重影响了云产业的可持续发展。有必要立法规定云端鉴识取证不得由鉴识主体、云服务商或其他第三方挖掘主体私下进行，至少必须通知数据权人。又如，建立具有弹性扩展能力的证据抓取框架与证据数据传输校验机制，帮助各参与方明辨鉴识数据类型与储流状况，迫使云服务商提高识别、收集、存储与挽救有效数据化证据的能力，有助于在保障云数据安全的同时大幅度地提高碎片化证据的提取效率。再如，对于数据权人在经己方同意后取得的云端证据尚未进入司法程序前取消同意的特殊情况，应当比照传统证据规则区别对待。即鉴识主体在数据权人撤回同意后不得再继续搜寻新证据，但可以保留使用之前掌握的有用证据。

3.3 完善云端鉴识侵权救济机制

云服务商普遍追求商业利润最大化，行为选择取决于“成本——效益”模型的计算结果。服务商掌握云平台系统的全部物化设备与云数据储流的完整通道、云用户的网络技术知识与应用能力远弱于服务商以及鉴识主体的数据审查能力有限等不利因素的综合作用导致以服务商及其工作人员为代表的鉴识参与者侵权现象层出不穷。有必要通过完善严格的鉴识侵权救济机制预防与惩治鉴识侵权行为，维护数据权人的合法权益，推动云端鉴识取证的科学化、公允化与现代化进程。例如，高昂的诉讼成本、冗长的审理程序、过低的胜诉率与赔偿额等长期压制云端鉴识侵权纠纷受害人的维权热情。构筑赔偿额度远超实际损害数额的惩罚性赔偿制度既有利于鼓励弱势受害人积极寻求司法救济，亦有利于防止加害人重犯并惩戒潜在侵权群体。又如，确立云端鉴识侵权纠纷的举证责任倒置规则将有效避免强势侵权人转移或清除证据，降低受害人的取证风险。再如，建立奖励性公众参与监督机制将充分利用群众洞察力提高鉴识侵权的发现率。

3.4 提高鉴识主体的技术能力

云端鉴识取证“绝对要求具备先进的技术设备和娴熟的取证技能”。有必要强化从业人员的涉云技术培训与相关法律知识宣传，帮助其“了解以云为基础的证据带来的法律发展，推进新案例研究”并尽快掌握缜密的鉴识技能，增加评判云服务商识别、定位与储流信息方式方法的能力。同时需要通过各种指导性课程培养鉴识主体的合作、沟通与谈判能力，提高数据权人、云服务商及其他参与者的协作力度并推进鉴识主体之间的良好协作，大幅度地降低各种取证花费。

4 结语

合法、可靠且可信的云端鉴识取证是信息社会兼顾数据安全、隐私保障与及时高效地规制违法犯罪活动的关键助力。亟待通过明文规定广域兜底的云数据隐私权、科学合理的云端鉴识程序与高效的侵权救济制度等，在提高鉴识主体专业技术水平的基础上构筑新型鉴识框架，解决证据有效性、有用性、深度性、实时性与可靠性等问题，推动电子取证司法运用的进一步发展。

①美国国税局在当事人同意的情况下获得税收文件，如果随后同意被撤销，国税局则不能再继续检查任何没有检查的文件，但对于之前已经掌握的有罪证据，可以保留使用。参见：United States ofAmerica v.Vernon O.Ward.576 F.2d 243，9th Cir，1978.［EB/OL］.［2014-05-13］.http：//openjurist. org/576/f2d/243/united-states-v-o-ward.

［1］G.Michael Fenner.The Admissibility of Web-Based Evidence［J］.Creighton Law Review，2013（1）：63-98.

［2］United States of America v.Raul Freire，Antonio Maria Rubio，etc.710 F.2d 1515，11th Cir，1983［EB/OL］.［2014-05-13］.http：//openjurist.org/710/f2d/1515/united-states-v-freire.

［3］Nicole Convery.Cloud Computing Toolkit：Guidance for Outsourcing Information Storage to the Cloud［EB/OL］.［2014-05-13］.http：//www.archives.org.uk/images/documents/Cloud_Computing_Toolkit-2.pdf.

［4］William Jeremy Robison.Free at What Cost？Cloud Computing Privacy Under the Stored Communications Act［J］.Georgetown Law Journal，2010（4）：1195-1239.

［5］David A.Couillard.Defogging the Cloud：Applying Fourth Amendment Principles to Evolving Privacy Expectations in Cloud Computing［J］.Minnesota Law Review，2009（6）：101-134.

［6］276 Treaty Requests［EB/OL］.［2014-05-13］.http：//www.jus tice.gov/usao/eousa/foia_reading_room/usam/title9/crm00 276.htm.

［7］谢亚龙.ICFF：一种IaaS模式下的云取证框架［J］.通信学报，2013（5）：1-7.

［8］新华网.巴西要求美国谷歌公司须在48小时提供司法协助［EB/OL］.［2014-05-13］.http：//news.xinhuanet.com /internet/2008-04/10/content_7951001.htm.

［9］United States v.Gorshkov［Z］.No.CR00-550C，WL 102 4026，2001-05-23.

［10］Peter Mell.The NIST Definition of Cloud Computing［EB/OL］.［2014-05-13］.http：//csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf.

［11］Ari L.Kaplan.Advice from Counsel：Trends that Will ChangeE-discovery［J］.AveMariaLawReview，2014（Winter）：109-122.

［12］钮敏，唐新川.云消费者权益保护的障碍剖析及对策研究［J］.图书与情报，2014（2）：57-72.

［13］吴绍兵.云计算环境下的电子证据取证关键技术研究［J］.计算机科学，2012（11A）：139-143.

［14］王雪狱.云计算取证的5项基本技能［J］.金融科技时代，2012（1）：46-47.

［15］Josiah Dykstra.Acquiring Forensic Evidence from Infrastructure-as-a-Service Cloud Computing［R］.Proceedings of the 12th Annual DFRWS Conference，2012（8）：291-326.

［16］黄文，庞荣.基于云计算平台的新型电子取证研究［J］.中国刑事法杂志，2013（10）：61-65.

Analyzing Barriers and Countermeasures of Cloud Forensics

Scientific and rational cloud forensics provides important help for giving consideration to data security，privacy safeguards，and preventing or punishing illegal activities of the information society.It is imperative that we should use coping strategies，such as expanding users'normative expectation of privacy，building a full-order procedure of cloud forensics，improving the system of tort relief，and enhancing the technical capacity of forensic personnel，etc.It will appropriately resolve obstacle factors of unreality，little relationship or illegality，and promote a historic shift towards sustainable development of the judicial application of electronic evidences and green growth of diversified cloud applications in NextGen.

cloud data；digitization；forensics；obstacles；countermeasures

G250.2

A

10.11968/tsygb.1003-6938.2015012

蒋洁（1979-），女，南京信息工程大学公共管理学院副教授，研究方向：信息政策与法律；王思义（1992-），女，南京信息工程大学公共管理学院本科生；何亮亮（1980-），男，南京信息工程大学滨江学院副教授。

*本文系国家社会科学基金青年项目“云数据隐私侵权问题研究”（项目编号：13CFX083）、江苏省法学会自选课题“大数据挖掘的侵权风险及对策研究”（项目编号：SFH2014D19）、中国博士后科学基金面上资助项目“云环境中数据隐私侵权风险与责任承担研究”（项目编号：2013M531383）与江苏省高校“青蓝工程”优秀青年骨干教师培养对象计划资助研究成果之一。

2015-01-10；责任编辑：刘全根