鑑別證物

鑑別證物指證明調查人員在取證過程中沒有造成任何對原證物的改變;或者雖然有改變,這種改變也是由計算機的本質特徵造成的,同時這種改變對證物在取證意義的價值沒有任何影響.

這個環節里需要
1.計算機磁碟驅動器會逐漸老化,但無論是可讀的文本還是圖片都不會因為這種老化而顯示
出別的不相關信息.任何文本和圖片的存儲,設定都是源於有動機的人類的行為.
2.可以採取在取證過程中的一些方法保護證物:
(1)通過證物監督鏈可以證明在取證過程沒有引起對原有證物的任何改變,由證物所推測出
來的事件發生的情況也是真實可信的.(規程上)
(2)對證物的完整性驗證和對其添加時間戳也能解決證物真實可靠性問題.(技術上)
(3)一般是通過計算一種類似電子指紋的值加以實現的.電子指紋的對象可以是單個檔案到
整個硬碟.這是來於密碼學的技術,指紋值稱之為哈希值,可以通過軟體計算完成,這只需要在取
證的軟體中添加這種功能.收集數據時就要計算和記錄哈希值,日後可由此證明用做檢查的數據拷
貝和收集的原始數據是完全相同的.