電子物證手機檢驗技術(shù)規(guī)范GA/T 1069-2021（20220501）
《法庭科學(xué)電子物證手機檢驗技術(shù)規(guī)范》GA/T 1069-2021由中華人民共和國公安部于2021年10月14日公布，自2022年5月1日起施行。
· 前 言
本文件按照GB/T 1.1 - 2020 《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》 的規(guī)定起草。
本文件代替GA/T 1069 - 2013《法庭科學(xué)電子物證手機檢驗技術(shù)規(guī)范》，與GA/T 1069 - 2013相比，除編輯性修改外， 主要技術(shù)變化如下：
— 更改了手機檢驗和手機卡的定義（見3.1、 3.2 ，2013年版的3.1、 3. 2） ；
— 增加了術(shù)語和定義（見3.4、 3. 5） ；
— 更改了軟、硬件設(shè)備（見4.1、4.2，2013年版的4.1、4.2） ；
— 更改了操作步驟部分內(nèi)容（見5.1、5.2，2013年版的5.1、5.2） ；
— 更改了病毒查殺部分內(nèi)容（見5.3.1，2013年版的5.3.1）；
— 更改了手機機身檢驗內(nèi)容（見5.3.2.1、5.3. 2. 2，2013年版的5.3.2.1、5.3.2.2） ；
— 增加了手機機身檢驗內(nèi)容（見5. 3.2. 3、5.3. 2. 4） ；
— 更改了手機卡檢驗部分內(nèi)容（見5.3.3.1、5.3.3.2，2013年版的5.3.3.1、5.3.3.2） ；
— 更改了手機擴展存儲卡檢驗部分內(nèi)容（見5.3.4.1、5.3.4.2，2013年版的5.3.4.1、5.3. 4. 2）；
— 刪除了結(jié)果保存、檢出數(shù)據(jù)刻錄（2013年版本的5.3.5、5.4、 5. 4.1～5.4.4） ；
— 增加了檢驗結(jié)果保存（見5.4） ；
— 更改了檢驗結(jié)果表述部分內(nèi)容（見第6章，2013年版的第6章）；
— 更改了附則部分內(nèi)容（見7.1、7.2，2013年版的7.1～7.3）。請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別專利的責(zé)任。
本文件由全國刑事技術(shù)標(biāo)準(zhǔn)化技術(shù)委員會電子物證檢驗分技術(shù)委員會（SAC/TC179/SC7）提出并歸本文件起草單位：黑龍江省公安廳刑事技術(shù)總隊、公安部物證鑒定中心、天津市公安局物證鑒定中心、大慶市公安局刑事技術(shù)支隊。
本文件起草人：王洪慶、龍源、邢桂東、范瑋、徐克盔、周祥鵬、艾紹新、莊辰、劉栗、李楠、顧麗麗。
本文件所代替文件的歷次版本發(fā)布情況為：
—GA/T 1069-2013。
1 范 圍
本文件規(guī)定了法庭科學(xué)領(lǐng)域中電子物證手機檢驗的術(shù)語和定義、儀器設(shè)備、操作步驟、檢驗結(jié)果表述及附則。
本文件適用于法庭科學(xué)領(lǐng)域中電子物證手機的檢驗。
2 規(guī)范性引用文件
下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。
GB/T 29360電子物證數(shù)據(jù)恢復(fù)檢驗規(guī)程
GB/T 29362電子物證數(shù)據(jù)搜索檢驗規(guī)程
3 術(shù)語和定義
下列術(shù)語和定義適用于本文件。
3.1 手機檢驗 mobile phone examination
使用物證鑒定的原理、方法和程序，提取和分析手機機身、手機卡及手機擴展存儲卡所包含電子數(shù)據(jù)的過程。
3.2 手機卡 mobile phone card
有微處理器的手機用戶識別卡，用來記錄用戶的電子數(shù)據(jù)，主要包括SIM卡、UIM卡、PIN卡和USIM卡等。
3. 3 手機擴展存儲卡 mobile phone memory card
用來擴展手機物理存儲空間的存儲介質(zhì)，主要包括SD卡、MMC卡、miniSD卡和MS卡等。
3. 4 手機存儲芯mobile phone flash memory chip
手機中存儲操作系統(tǒng)、應(yīng)用軟件和用戶數(shù)據(jù)的閃存芯片 。
3.5 手機機身鏡像 mobile phone physical image
手機存儲芯片中包含用戶數(shù)據(jù)分區(qū)的物理存儲位對位數(shù)據(jù)副本。
4 儀器設(shè)備
4.1 硬件
電子物證檢驗工作站、手機專用檢驗設(shè)備、手機信號屏蔽設(shè)備、手機存儲芯片讀取設(shè)備、手機存儲芯片拆解工具、專用存儲介質(zhì)、照相、錄像設(shè)備等。4.2 軟件手機取證軟件、手機備份軟件、數(shù)據(jù)恢復(fù)軟件等。
5 操作步驟
5.1 檢材及樣本編號
對送檢的檢材（樣本）進行 唯一性編號 。
5.2 檢材及樣本拍照
對檢材（樣本）加上唯一性編號進行拍照。
5.3 檢驗
5.3.1病毒查殺
檢驗前對電子物證檢驗工作站或手機專用檢驗設(shè)備進行殺毒。
5.3.2手機機身檢驗
5.3.2.1 手機檢驗過程中應(yīng)處于通信信號屏蔽環(huán)境或通信信號阻斷狀態(tài)。
5.3.2.2 選擇以下一個或多個方法進行檢驗：
a）邏輯檢驗，使用手機備份軟件、手機取證軟件進行檢驗；對具備獲取手機系統(tǒng)超級用戶權(quán)限條件的檢材，獲取手機系統(tǒng)超級用戶權(quán)限后，使用手機取證軟件進行檢驗；
注：有擴展存儲卡的手機，保持?jǐn)U展存儲卡 在手機中進行整體檢驗。
b）鏡像檢驗，對具備手機機身鏡像獲取條件 的檢材，使用手機取證軟件通過ADB、META、9008、JTAG、ISP等方式獲取手機機身鏡像，使用手機取證軟件對手機機身鏡像進行檢驗，若手機有擴展存儲卡，手機機身鏡像和手機擴展存儲卡宜關(guān)聯(lián)檢驗；采用GB/T 29360和GB/T 29362檢驗方法對手機機身鏡像進行檢驗 ；
c）芯片檢驗，對手機存儲芯片未加密的檢 材，使用手機存儲芯片拆解工具拆卸手機存儲芯片，使用手機存儲芯片讀取設(shè)備獲取手機機身鏡像，使用手機取證軟件對手機機身鏡像進行檢驗，若手機有擴展存儲卡，手機機身鏡像和手機擴展存儲卡宜關(guān)聯(lián)檢驗：采用GB/T 29360和GB/T 29362檢驗方法對手機機身鏡像進行檢驗；
d）照相錄像檢驗，使用照相、錄像方法固定手機中存儲的電子數(shù)據(jù)。
5.3.2.3 對于故障手機，應(yīng)在不破壞手機存儲芯片中用戶數(shù)據(jù)的前提下進行故障排除，然后按照5.3.2.2進行檢驗。
5.3.2.4 對于設(shè)有鎖屏密碼且不具備手機機身鏡像獲取條件的檢材，在不破壞手機中用戶數(shù)據(jù)的前提下使用手機取證軟件進行鎖屏密碼破解或清除，然后按照 5.322中a）或d）進行檢驗。
5.3.3手機卡檢驗
5.3.3.1 將手機卡以只讀方式連接到電子物證檢驗工作站或手機專用檢驗設(shè)備。
5.3.3.2 使用手機取證軟件對手機卡進行檢驗。
5.3.4手機擴展存儲卡檢驗
5.3.4.1 使用手機取證軟件對手機擴展存儲卡進行檢驗，操作前應(yīng)將手機擴展存儲卡與手機機身關(guān)聯(lián)檢驗。
5.3.4.2 將手機擴展存儲卡以只讀方式連接到電子物證檢驗工作站或手機專用檢驗設(shè)備，按照GB/T
29360和GB/T29362對手機擴展存儲卡進行檢驗。
5.4檢驗結(jié)果保存
將檢出數(shù)據(jù) 采用封盤刻錄方式 刻錄在不可擦寫的空白光盤上或者保存在專用存儲介質(zhì)中，并計算檢出數(shù)據(jù)的完整性校驗值。
6 檢驗結(jié)果表述
檢驗結(jié)果表述應(yīng)符合以下規(guī)定：
a）檢驗結(jié)果分為 檢出 、 未檢出 、 不具備檢驗 條件 三種：
b）檢驗結(jié)果應(yīng)根據(jù)檢驗要求對檢材、檢驗范圍、檢驗所得進行客觀、概括、有針對性的描述：
c）結(jié)果表述應(yīng)包含檢材編號、檢出情況、檢出數(shù)據(jù)文件或保存檢出數(shù)據(jù)介質(zhì)完整性校驗值、保存檢出數(shù)據(jù)介質(zhì)編號等必要信息。
7 附 則
7.1 在檢驗過程中， 應(yīng)做好檢驗記錄，記錄應(yīng)貫穿整個檢驗過程 。
7.2 送檢的檢材應(yīng)做好防水、防磁、防靜電、防震和手機信號屏蔽保護。
