电子物证手机检验技术规范GA/T 1069-2021（20220501）
《法庭科学电子物证手机检验技术规范》GA/T 1069-2021由中华人民共和国公安部于2021年10月14日公布，自2022年5月1日起施行。
· 前 言
本文件按照GB/T 1.1 - 2020 《标准化工作导则第1部分：标准化文件的结构和起草规则》 的规定起草。
本文件代替GA/T 1069 - 2013《法庭科学电子物证手机检验技术规范》，与GA/T 1069 - 2013相比，除编辑性修改外， 主要技术变化如下：
— 更改了手机检验和手机卡的定义（见3.1、 3.2 ，2013年版的3.1、 3. 2） ；
— 增加了术语和定义（见3.4、 3. 5） ；
— 更改了软、硬件设备（见4.1、4.2，2013年版的4.1、4.2） ；
— 更改了操作步骤部分内容（见5.1、5.2，2013年版的5.1、5.2） ；
— 更改了病毒查杀部分内容（见5.3.1，2013年版的5.3.1）；
— 更改了手机机身检验内容（见5.3.2.1、5.3. 2. 2，2013年版的5.3.2.1、5.3.2.2） ；
— 增加了手机机身检验内容（见5. 3.2. 3、5.3. 2. 4） ；
— 更改了手机卡检验部分内容（见5.3.3.1、5.3.3.2，2013年版的5.3.3.1、5.3.3.2） ；
— 更改了手机扩展存储卡检验部分内容（见5.3.4.1、5.3.4.2，2013年版的5.3.4.1、5.3. 4. 2）；
— 删除了结果保存、检出数据刻录（2013年版本的5.3.5、5.4、 5. 4.1～5.4.4） ；
— 增加了检验结果保存（见5.4） ；
— 更改了检验结果表述部分内容（见第6章，2013年版的第6章）；
— 更改了附则部分内容（见7.1、7.2，2013年版的7.1～7.3）。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由全国刑事技术标准化技术委员会电子物证检验分技术委员会（SAC/TC179/SC7）提出并归本文件起草单位：黑龙江省公安厅刑事技术总队、公安部物证鉴定中心、天津市公安局物证鉴定中心、大庆市公安局刑事技术支队。
本文件起草人：王洪庆、龙源、邢桂东、范玮、徐克盔、周祥鹏、艾绍新、庄辰、刘栗、李楠、顾丽丽。
本文件所代替文件的历次版本发布情况为：
—GA/T 1069-2013。
1 范 围
本文件规定了法庭科学领域中电子物证手机检验的术语和定义、仪器设备、操作步骤、检验结果表述及附则。
本文件适用于法庭科学领域中电子物证手机的检验。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 29360电子物证数据恢复检验规程
GB/T 29362电子物证数据搜索检验规程
3 术语和定义
下列术语和定义适用于本文件。
3.1 手机检验 mobile phone examination
使用物证鉴定的原理、方法和程序，提取和分析手机机身、手机卡及手机扩展存储卡所包含电子数据的过程。
3.2 手机卡 mobile phone card
有微处理器的手机用户识别卡，用来记录用户的电子数据，主要包括SIM卡、UIM卡、PIN卡和USIM卡等。
3. 3 手机扩展存储卡 mobile phone memory card
用来扩展手机物理存储空间的存储介质，主要包括SD卡、MMC卡、miniSD卡和MS卡等。
3. 4 手机存储芯mobile phone flash memory chip
手机中存储操作系统、应用软件和用户数据的闪存芯片 。
3.5 手机机身镜像 mobile phone physical image
手机存储芯片中包含用户数据分区的物理存储位对位数据副本。
4 仪器设备
4.1 硬件
电子物证检验工作站、手机专用检验设备、手机信号屏蔽设备、手机存储芯片读取设备、手机存储芯片拆解工具、专用存储介质、照相、录像设备等。4.2 软件手机取证软件、手机备份软件、数据恢复软件等。
5 操作步骤
5.1 检材及样本编号
对送检的检材（样本）进行 唯一性编号 。
5.2 检材及样本拍照
对检材（样本）加上唯一性编号进行拍照。
5.3 检验
5.3.1病毒查杀
检验前对电子物证检验工作站或手机专用检验设备进行杀毒。
5.3.2手机机身检验
5.3.2.1 手机检验过程中应处于通信信号屏蔽环境或通信信号阻断状态。
5.3.2.2 选择以下一个或多个方法进行检验：
a）逻辑检验，使用手机备份软件、手机取证软件进行检验；对具备获取手机系统超级用户权限条件的检材，获取手机系统超级用户权限后，使用手机取证软件进行检验；
注：有扩展存储卡的手机，保持扩展存储卡 在手机中进行整体检验。
b）镜像检验，对具备手机机身镜像获取条件 的检材，使用手机取证软件通过ADB、META、9008、JTAG、ISP等方式获取手机机身镜像，使用手机取证软件对手机机身镜像进行检验，若手机有扩展存储卡，手机机身镜像和手机扩展存储卡宜关联检验；采用GB/T 29360和GB/T 29362检验方法对手机机身镜像进行检验 ；
c）芯片检验，对手机存储芯片未加密的检 材，使用手机存储芯片拆解工具拆卸手机存储芯片，使用手机存储芯片读取设备获取手机机身镜像，使用手机取证软件对手机机身镜像进行检验，若手机有扩展存储卡，手机机身镜像和手机扩展存储卡宜关联检验：采用GB/T 29360和GB/T 29362检验方法对手机机身镜像进行检验；
d）照相录像检验，使用照相、录像方法固定手机中存储的电子数据。
5.3.2.3 对于故障手机，应在不破坏手机存储芯片中用户数据的前提下进行故障排除，然后按照5.3.2.2进行检验。
5.3.2.4 对于设有锁屏密码且不具备手机机身镜像获取条件的检材，在不破坏手机中用户数据的前提下使用手机取证软件进行锁屏密码破解或清除，然后按照 5.322中a）或d）进行检验。
5.3.3手机卡检验
5.3.3.1 将手机卡以只读方式连接到电子物证检验工作站或手机专用检验设备。
5.3.3.2 使用手机取证软件对手机卡进行检验。
5.3.4手机扩展存储卡检验
5.3.4.1 使用手机取证软件对手机扩展存储卡进行检验，操作前应将手机扩展存储卡与手机机身关联检验。
5.3.4.2 将手机扩展存储卡以只读方式连接到电子物证检验工作站或手机专用检验设备，按照GB/T
29360和GB/T29362对手机扩展存储卡进行检验。
5.4检验结果保存
将检出数据 采用封盘刻录方式 刻录在不可擦写的空白光盘上或者保存在专用存储介质中，并计算检出数据的完整性校验值。
6 检验结果表述
检验结果表述应符合以下规定：
a）检验结果分为 检出 、 未检出 、 不具备检验 条件 三种：
b）检验结果应根据检验要求对检材、检验范围、检验所得进行客观、概括、有针对性的描述：
c）结果表述应包含检材编号、检出情况、检出数据文件或保存检出数据介质完整性校验值、保存检出数据介质编号等必要信息。
7 附 则
7.1 在检验过程中， 应做好检验记录，记录应贯穿整个检验过程 。
7.2 送检的检材应做好防水、防磁、防静电、防震和手机信号屏蔽保护。
