0X00 前言

电子证据必然要成为未来法治社会的“证据之王”。笔者作为一个咨询方向的小白，笔者觉得笔者有必要知道电子证据是什么？电子证据如何取证？电子证据如何审查？电子证据如何运用？电子证据的证明是怎么进行的？
一般情况下，提到电子证据，大家想到的第一件事情就是，能不能通过电子证据确定犯罪？如果判定为犯罪，那么电子证据的入门门槛是多少？答案非常简单50条就够了（我们也要注意电子证据量刑不均衡的特点）。但是什么可以作为电子证据呢？有待我们继续学习。

0X01 电子证据是什么？

电子证据，是指那些以电子数字形式存在且能为法庭提供事实依据的信息。这类证据与传统的纸质文档、物质物证等实体形式的证据相比，具有不同寻常的虚拟特性。由于将数据存储在电子介质上，不同于实际可触摸的实物证据，电子证据在概念上仍然相对模糊，因而经常需要额外的技术支撑来证明其有效性。《电子证据规定》就是对电子证据下的是一个宽泛的定义，而且据有很大的开放性，从这个定义我们可以看出，一切数字形式的信息都有可能用作网络司法犯罪的有力证据。
随着互联网、笔记本电脑、智能手机等设备的普及，逐渐成为人们日常生活和工作的必需品。相应地，这些设备产生的数字化信息（例如：微信聊天记录、银行转账记录、电子邮件、公司的OA系统通知、员工考勤记录、发放的工资单据、各种网页截图以及手机短信、音频和视频录......）越来越多地被用作证据材料。在民事诉讼中，虽然这些形式的电子数据证据的有效性和可接受性与传统纸质文件证据截然不同，但是如果电子证据符合要求，其也会被法庭所接受和采纳。因此，伴随信息技术特别是数字技术的跨越式进步，电子数据作为证据的种类和使用范围不断扩大，其作用和影响力也渐渐在我国法律体系中获得肯定与重视。在许多案件中，电子邮件、网络聊天记录、电子交易记录、数字视频录像、互联网交流平台的日志和帖子，甚至一些软件和服务的使用记录都能作为电子证据呈现在法庭上。

我国案件证明在学理上有“整体主义”模式与“原子主义”模式的理论主张。因此电子证据也存在原子主义和整体主义证明相关理论。

原子主义

英国哲学家伯特兰·罗素：世界是一个由许多孤立的逻辑原子或原子事实构成的逻辑结构。
逻辑分析的原子不等于物理分析的原子
电子证据的复合内容，内在属性、关联痕迹

办案人员应当对电子证据尽可能地进行拆解、细分、分解为最小单位，即原子的程度。从现在的司法实践来看，我们认为电子证据在网络司法犯罪中呈现的最小单位是可以理解为：复合内容、内在属性、关联痕迹等。

整体主义

奥地利裔英国籍哲学家维特根斯坦：世界是由许多“状态”构成的总体，每一个“状态”是一条众多事物组成的锁链，它们处于确定的关系中，这种关系就是这个“状态”的结构，也是我们的研究对象。
电子证据的组合、印证体系、鉴-数-取体系、两个空间对接……

以整体主义证明模式来看，司法人员应当尽可能的将不同电子证据结合起来，或者将电子证据和其它的传统证据结合起来形成一个整体，用以查明网络司法犯罪的全过程

0X02 电子证据的采纳标准？

为使电子证据被法庭采纳，通常需要专业的证据处理程序（例如：有时需要通过第三方的数字取证服务来确保证据的真实性和完整性。不同司法管辖区可能有详细的规则和程序去处理电子证据，其中也可能包括特定格式的要求或其他技术标准）。此外，可能还需要提交证据的证明材料或其它法庭文件。具体到要求会受到案件性质、适用法律、法庭规则及裁判的裁量权等因素的影响。因此，在提交电子证据之前，强烈推荐获取具体的法律意见。

1. 确定电子证据提取日期，标注关键步骤的执行日期。这是电子证据的核心，它可以影响整个项目推进的时序。电子证据不只是要体现出证据的合理性，更要兼顾数据管理、分析与审阅的可行性。此过程依赖于详细的配合和适当的让步，须在相应的法律和技术规范的框架内执行。
2. 提供电子证据时，我们需要遵守信息格式和架构的规定。这涵盖了电子证据的标记、编目及对敏感内容进行隐藏的规则等。针对跨国案件，必须酌情考量不同地域的法规与技术准则，亦须兼顾各方的需求（例如：隐私和商业机密等敏感内容的处理，需获得法律与技术层面的共同确保）。
3. 电子证据的管理具有特权或机密性质的信息的流程。该流程在证据公开中扮演着至关重要的角色，它保护着敏感数据并直接关系到证据的效力与适用性。面对国际争议解决，此类信息的管理变得更加复杂和敏感。由于通常涉及两个以上的法律管辖区，必须综合考虑不同管辖区对于特权和保密信息的界定与规程。
4. 电子证据的查找，我们需要确定电子证据时的搜索准则是一个涉及众多细节的主题，包括关键词选择、搜索逻辑构建以及条件判定的事情。在此过程中，数字取证专家的介入发挥着决定性作用，他们的专业知识保障了搜索逻辑的有效性，并确保了搜索工具适用于电子证据显示。他们的专家分析可以预防技术问题而引起的搜索偏误，同时满足各方在搜索过程中的需求。

0X03 电子证据面临的问题

众所周知，证据的本质就是痕迹，而电子证据就是痕迹的一种。电子证据在司法适用层面上仍面临诸多挑战。首先，电子证据的易变性意味着它们可能由于多种原因（如技术故障、故意操作、病毒感染等）被修改或丢失。此外，它们的真实性也更加难以证实，因为不同于实物证据，电子数据可以毫不费力地无限复制，同时保持与原始数据几乎一模一样的外观，使得辨识原始与副本、真伪成为一大难题。并且由于网络犯罪的证据寻找困难（如下所示），因此我们需要如何学习如何保障电子证据提供过程的合法性。

• 如何指向和证明真正的作案人
• 如何证明情节严重
• 如何有效审查指控证据，打造证据体系
• 如何实现罪刑均衡，精确地惩治和威慑网络犯罪

0X04 电子取证

为了解决电子证据面临的问题，电子取证技术开始被大家重视起来。什么是电子取证呢？答：电子取证是一门应用计算机科学与法律知识来收集、分析和报告数字数据的学科，旨在为司法程序提供帮助。随着数字时代的到来，人们在日常生活和工作中产生了海量的电子数据，这些数据在许多情况下变成了至关重要的证据（例如：刑事案件、民事诉讼、企业调查以及信息安全等事件）。
计算机取证通常包含四个主要步骤（如下图所示，图片来源），这些步骤构成了电子证据处理的完整流程，确保了证据的有效性和司法可使用性。

内在属性

电子数据的基本特性包括其创建、保管、传输、编辑和更新期间的详细历史记录，如时间戳、作者、文件格式、编辑次数及版本变更等。这些信息对于证实数据的来源及其发展历程至关重要，提供了数据如何产生的详细“叙述”。简而言之，就是通过点击电子文件所能获取的属性信息。当然，还存在更多复杂的方法来获取这些信息。
在某起计算机系统被破坏的案件中，发现了大量电子文件的基础属性存在异常。有关这一问题，笔者完成了对其中存在疑点的电子文件的全面审查，尤其是对那些相对应的，经过连续取证得到的电子文件对。审查的关键方法是使用特定的取证工具（如Winhex）来分析Word文档的诸如创建、最后修改和访问时间等信息（如下图所示，图片来源），这些信息的精确度可达百纳秒级。通过这些时间点来识别可疑点。如果两份相关联的电子文件在百纳秒级时间戳上相吻合，便说明它们来源一致，后一个Word文档是基于前一个文件修改得来，而非通过新的取证过程独立形成的。利用电子数据的基础属性来重新构建案件事实，这对于法律从业者来说几乎是日常任务，关键在于形成这样的意识。

关联痕迹

电子证据在形成之际，同时产生了一些独立的痕迹。这些痕迹，可以被视作电子证据产生的直接见证，是围绕着主要电子证据形成的额外痕迹。通常来讲计算机设备在生成、存储、修改、增删、传递的时候会引发计算机信息系统环境的一些变化，既包括电子系统中.lnk .dat .identifier .sys .tmp.md等各种痕迹文件(如下图)，也包括数据在数据磁盘层的存储规律等物证技术与痕迹。我们举一个例子（例如：当在电脑上打开一个Word文档时，常会产生快捷方式文件、临时文件、Office日志文件、反病毒软件的记录文件等，如果在检查这台电脑的过程中，未能找到与该Word文档相关的任何这类文件，说明文件被动过手脚）理解痕迹如何产生的。

复合内容

经由复合文档这一概念发展而来的复合内容，指的是一个集成了多种数据形式的信息实体。这样的文档不仅融合了文字，还囊括了图像、表格数据、音频、视频以及各类额外信息，它代表了如今电子证据普遍采用的内容载体形式。

鉴-数-取体系

鉴-数-取体系是一种独特的电子证据结构，即由电子证据、笔录与鉴定意见组成的三位一体构造。

鉴：电子数据司法鉴定意见等，用于证实案件争议事实

数：电子证据通常不是孤立地发挥证明作用

取：各种“来源笔录”

两个空间对接

以"物理+信息"两个空间对接重建案件事实。一般来说，电子证据对应虚拟空间（信息空间），传统证据对应物理空间。如果能够基于电子证据还原虚拟空间的轨迹，基于传统证据还原物理空间的轨迹，将两个空间的人员轨迹对接起来关联进行分析，就能有效还原案件事实，这就是两个空间对接的目的。

0X05 总结

在提交电子证据之前，建议向律师或者专业的数字取证专家进行咨询，以确保这些电子证据能够满足法庭的要求，并在庭审过程当中发挥相应的作用。在庭审过程中，律师可能需要通过专业证据鉴定来确保电子证据的有效性，也需要准备好相应的防御策略来对抗对方律师提出的质疑。