XXXXICS13.310 CCS A92 中 华人民 共和国 公共安 全行业 标准 GA GA/T 1069—× × × × 代替 GA/T 1069 －2013 法庭科学 电子物证手机检验技术规范 Forensic sciences —Technical specification s for examination of mobile phone s as the electronic evidence 中华人民共和国公安部 发 布 ×××× - ××- ×× 实施 ×××× - ××- ×× 发布 GA/T 1069—× × × × I 前 言 本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起 草。 本文件代替GA/T 1069－2013《法庭科学电子物证手机检验技术规范》， 与GA/T 1069－2013相比， 除编辑性修改外，主要技术变化如下 ： ——更改了手机检验和手机卡的定义（见 3.1、3.2，2013年版的3.1、3.2）； ——增加了术语和定义（见 3.4、3.5）； ——更改了软、硬件设备（见 4.1、4.2，2013年版的4.1、4.2）； ——更改了操作步骤部分内容（见 5.1、5.2，2013年版的5.1、5.2）； ——更改了病毒查杀部分内容（见 5.3.1，2013年版的5.3.1）； ——更改了手机机身检验内容（见 5.3.2.1、5.3.2.2，2013年版的5.3.2.1、5.3.2.2）； ——增加了手机机身检验内容（见 5.3.2.3、5.3.2.4）； ——更改了手机卡检验部分内容（见 5.3.3.1、5.3.3.2，2013年版的5.3.3.1、5.3.3.2）； ——更改了手机扩展存储卡检验部分内容（见 5.3.4.1、5.3.4.2，2013年版的5.3.4.1、5.3.4.2）； ——删除了结果保存、检出数据刻录（ 2013年版本的 5.3.5、5.4、5.4.1 ~5.4.4）； ——增加了检验结果保存（见 5.4）； ——更改了检验结果表述部分内容（见 第6章，2013年版的第6章）； ——更改了附则部分内容（见 7.1、7.2，2013年版的7.1~7.3）。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任 。 本文件由全国刑事技术标准化技术委员会电子物证检验分技术委员会（ SAC/TC179/SC7 ）提出并归 口。 本文件起草单位： 黑龙江省公安厅刑事技术总队、公安部物证鉴定中心、天津市公安局物证鉴定中 心、大庆市公安局刑事技术支队。 本文件起草人：王洪庆、龙源、 邢桂东、范玮、徐克鑫、周祥鹏、艾绍新、庄辰、刘栗、李楠、顾 丽丽。 本文件所代替文件的历次版本发布情况为： —— GA/T 1069－2013。 GA/T 1069—× × × × 1 法庭科学 电子物证手机检验技术规范 1 范围 本文件规定了法庭科学 领域中电子物证手机检验 的术语和定义 、仪器设备、操作步骤、检验结果表 述及附则 。 本文件适用于法庭科学领域中电子物证 手机的检验。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中， 注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 29360 电子物证数据恢复检验规程 GB/T 29362 电子物证数据搜索检验规程 3 术语和定义 下列术语和定义适用于本文件。 3.1 手机检验 mobile phone examination 使用物证鉴定的原理、 方法和程序， 提取和分析手机机身、 手机卡及手机扩展存储卡所包含 电子数 据的过程。 3.2 手机卡 mobile phone card 有微处理器的手机用户识别卡， 用来记录用户的 电子数据 ， 主要包括 SIM卡、UIM卡、PIM卡和USIM 卡等。 3.3 手机扩展存储卡 mobile phone memory card 用来扩展手机物理存储空间的 存储介质，主要包括SD卡、MMC卡、mini SD卡和MS卡等。 3.4 手机存储芯片 mobile phone flash memory chip 手机中存储 操作系统、 应用软件 和用户数据的闪存芯片 。 3.5 手机机身镜像 mobile phone physical image 手机存储 芯片中包含用户数据 分区的物理存储 位对位数据副本 。 4 仪器设备 GA/T 1069—× × × × 2 4.1 硬件 电子物证检验工作站、手机专用检验设备、手机信号屏蔽设备、手机存储芯片读取设备、手机存储 芯片拆解工具、专用存储介质、照相 、录像设备等 。 4.2 软件 手机取证软件、手机备份软 件、数据恢复软件 等。 5 操作步骤 5.1 检材及样本编号 对送检的检材 （样本）进行唯一性编号。 5.2 检材及样本拍照 对检材（样本）加上唯一性编号进行 拍照。 5.3 检验 5.3.1 病毒查杀 检验前对电子物证检验工作站或手机专用检验设备进行杀毒。 5.3.2 手机机身检验 5.3.2.1 手机检验过程中应处于通信信号屏蔽环境或 通信信号阻断状态 。 5.3.2.2 选择以下一个或多个方法 进行检验： a) 逻辑检验，使用手机备份 软件、手机取证 软件进行检验 ；对具备获取手机系统超级用户权限条 件的检材，获取手机系统超级用户权限后 ，使用手机取证软 件进行检验 ； 注：有扩展存储卡的手机 ，保持扩展存储 卡在手机中 进行整体检验。 b) 镜像检验，对具备手机 机身镜像获取条件的检材， 使用手机 取证软件通过 ADB、META、9008、 JTAG、ISP等方式获取手机 机身镜像，使用手机取证软件 对手机机身镜像 进行检验，若手机有 扩展存储卡 ，手机机身镜像 和手机扩展存储卡 宜关联检验；采用 GB/T 29360 和GB/T29362 检验 方法对手机机身镜像进行检验 ； c) 芯片检验，对手机存储芯片未加密的检材， 使用手机存储芯片拆解工具 拆卸手机存储芯片， 使 用手机存储芯片读取设备 获取手机 机身镜像，使用手机 取证软件对手机机身镜像进行检验 ，若 手机有扩展存储卡，手机 机身镜像 和手机扩展存储卡 宜关联检验； 采用 GB/T 29360 和GB/T 29362检验方法 对手机机身镜像进行检验 ； d) 照相录像 检验，使用照相、录像方法固定 手机中存储的电子数据 。 5.3.2.3 对于故障手机， 应在不破坏手机存储芯片中 用户数据的前提下 进行故障排除 ，然后按照 5.3.2.2 进行检验。 5.3.2.4 对于设有 锁屏密码 且不具备 手机机身镜像获取条件的检材，在不破坏手机中用户数据的前提 下使用手机 取证软件进行锁屏密码 破解或清除，然后按照 5.3.2.2中a）或 d）进行检验。 5.3.3 手机卡检验 5.3.3.1 将手机卡以只读方式连接到电子物证检验工作站或手机专用检验设备。 5.3.3.2 使用手机取证 软件对手机卡进行检验 。 GA/T 1069—× × × × 3 5.3.4 手机扩展存储卡检验 5.3.4.1 使用手机 取证软件对手机扩展存储卡 进行检验 ，操作前应将手机扩展存储卡 与手机机身 关联 检验。 5.3.4.2 将手机扩展存储卡以只读方式连接到电子物证检验工作站或手机专用检验设备， 按照 GB/T 29360和GB/T 29362对手机扩展存储卡 进行检验 。 5.4 检验结果保存 将检出数据采用封盘刻录方式刻录在不可擦写的空白光盘上或者保存在专用存储介质中， 并计算检 出数据的 完整性校验 值。 6 检验结果 表述 检验结果表述应符合以下规定： a) 检验结果分为检出、未检出、不具备检验条件三种； b) 检验结果应根据检验要求对检材、检验范围、检验所得进行客观、概括、有针对性的描述； c) 结果表述应包含检材编号、检出情况、检出数据文件或保存检出数据介质完整性校验值、保存 检出数据介质编号等必要信息。 7 附则 7.1 在检验过程中， 应做好检验记录，记录应贯穿整个检验过程。 7.2 送检的检材 应做好防水、防磁、防静电、防震和手机信号屏蔽保护。