ICS13.310 CCS A92 GA 中华人民共和国公共安全行业标准 GA/T 1069—XXXX 代替GA/T1069—2013 法庭科学电子物证手机检验技术规范 Forensic sciencesTechnical specifications for examination of mobile phones as theelectronicevidence 行业标准信息服务平台 XXXX- XX XX 实施 XXXX- XX XX 发布 中华人民共和国公安部 发布 GA/T 1069—xxxx 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草。 本文件代替GA/T1069一2013《法庭科学电子物证手机检验技术规范》，与GA/T1069一2013相比， 除编辑性修改外，主要技术变化如下： 更改了手机检验和手机卡的定义（见3.1、3.2，2013年版的3.1、3.2）； 增加了术语和定义（见3.4、3.5）； 更改了软、硬件设备（见4.1、4.2，2013年版的4.1、4.2）； 更改了操作步骤部分内容（见5.1、5.2，2013年版的5.1、5.2）； 更改了病毒查杀部分内容（见5.3.1，2013年版的5.3.1）； 更改了手机机身检验内容（见5.3.2.1、5.3.2.2，2013年版的5.3.2.1、5.3.2.2）； 增加了手机机身检验内容（见5.3.2.3、5.3.2.4）； 更改了手机卡检验部分内容（见5.3.3.1、5.3.3.2，2013年版的5.3.3.1、5.3.3.2）； 更改了手机扩展存储卡检验部分内容（见5.3.4.1、5.3.4.2，2013年版的5.3.4.1、5.3.4.2）； 删除了结果保存、检出数据刻录（2013年版本的5.3.5、5.4、5.4.1~5.4.4）； 增加了检验结果保存（见5.4）； 更改了检验结果表述部分内容（见第6章，2013年版的第6章）； 更改了附则部分内容（见7.1、7.2，2013年版的7.1~7.3）。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国刑事技术标准化技术委员会电子物证检验分技术委员会（SAC/TC179/SC7）提出并归 口。 本文件起草单位：黑龙江省公安厅刑事技术总队、公安部物证鉴定中心、天津市公安局物证鉴定中 心、大庆市公安局刑事技术支队。 本文件起草人：王洪庆、龙源、邢桂东、范玮、徐克鑫、周祥鹏、艾绍新、庄辰、刘栗、李楠、顾 丽丽。 信息服务平台 本文件所代替文件的历次版本发布情况为： GA/T 1069—2013。 GA/T1069XXxx 法庭科学电子物证手机检验技术规范 1范围 本文件规定了法庭科学领域中电子物证手机检验的术语和定义、仪器设备、操作步骤、检验结果表 述及附则。 本文件适用于法庭科学领域中电子物证手机的检验。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T29360电子物证数据恢复检验规程 GB/T29362电子物证数据搜索检验规程 3术语和定义 下列术语和定义适用于本文件。 3. 1 手机检验mobilephoneexamination 使用物证鉴定的原理、方法和程序，提取和分析手机机身、手机卡及手机扩展存储卡所包含电子数 据的过程。 3. 2 手机卡mobilephonecard 有微处理器的手机用户识别卡，用来记录用户的电子数据，主要包括SIM卡、UIM卡、PIM卡和USIM 标准信 卡等。 3.3 手机扩展存储卡mobilephonememory card 服务平台 用来扩展手机物理存储空间的存储介质，主要包括SD卡、MMC卡、miniSD卡和MS卡等。 3. 4 手机存储芯片mobile phone flashmemory chip 手机中存储操作系统、应用软件和用户数据的闪存芯片。 3. 5 手机机身镜像mobilephonephysicalimage 手机存储芯片中包含用户数据分区的物理存储位对位数据副本。 4仪器设备 1 GA/T1069-xxxx 4.1硬件 电子物证检验工作站、手机专用检验设备、手机信号屏蔽设备、手机存储芯片读取设备、手机存储 芯片拆解工具、专用存储介质、照相、录像设备等。 4.2软件 手机取证软件、手机备份软件、数据恢复软件等。 5操作步骤 5.1检材及样本编号 对送检的检材（样本）进行唯一性编号。 5.2检材及样本拍照 对检材（样本）加上唯一性编号进行拍照。 5.3检验 5.3.1病毒查杀 检验前对电子物证检验工作站或手机专用检验设备进行杀毒。 5.3.2手机机身检验 5.3.2.2选择以下一个或多个方法进行检验： a）逻辑检验，使用手机备份软件、手机取证软件进行检验；对具备获取手机系统超级用户权限条 件的检材，获取手机系统超级用户权限后，使用手机取证软件进行检验； 注：有扩展存储卡的手机，保持扩展存储卡在手机中进行整体检验。 b）镜像检验，对具备手机机身镜像获取条件的检材，使用手机取证软件通过ADB、META、9008、 JTAG、ISP等方式获取手机机身镜像，使用手机取证软件对手机机身镜像进行检验，若手机有 扩展存储卡，手机机身镜像和手机扩展存储卡宜关联检验；采用GB/T29360和GB/T29362检验 方法对手机机身镜像进行检验； c）芯片检验，对手机存储芯片未加密的检材，使用手机存储芯片拆解工具拆卸手机存储芯片，使 用手机存储芯片读取设备获取手机机身镜像，使用手机取证软件对手机机身镜像进行检验，若 手机有扩展存储卡，手机机身镜像和手机扩展存储卡宜关联检验；采用GB/T29360和GB/T 29362检验方法对手机机身镜像进行检验； d）照相录像检验，使用照相、录像方法固定手机中存储的电子数据 5.3.2.3对于故障手机，应在不破坏手机存储芯片中用户数据的前提下进行故障排除，然后按照5.3.2.2 进行检验。 5.3.2.4对于设有锁屏密码且不具备手机机身镜像获取条件的检材，在不破坏手机中用户数据的前提 下使用手机取证软件进行锁屏密码破解或清除，然后按照5.3.2.2中a）或d）进行检验 5.3.3手机卡检验 5.3.3.1将手机卡以只读方式连接到电子物证检验工作站或手机专用检验设备。 5.3.3.2使用手机取证软件对手机卡进行检验。 2