【国家标准】 法庭科学 电子数据搜索检验规程

ICS07.140
CCSA92
中华人民共和国国家标准
GB/T29360-—2023
代替GB/T29360—2012
法庭科学
电子数据恢复检验规程
Forensic sciences-Code of practice for electronic data recovery examination2023-03-17发布
国家市场监督管理总局
国家标准化管理委员会
2023-10-01实施
GB/T29360-—2023
本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。
本文件代替GB/T29360—2012《电子物证数据恢复检验规程》，与GB/T29360—2012相比，除结构调整和编辑性改动外，主要技术变化如下：更改了标准适用范围（见第1章，2012年版的第1章）；增加了文件修复的术语和定义（见3.1）；增加了文件特征的术语和定义（见3.2）；更改了硬件的要求（见4.1.2012年版的4.1）；更改了软件的要求（见4.22012年版的4.2）；更改了检材及样本编号、拍照的部分内容（见5.1，2012年版的5.1、5.2）；更改了\检验的部分内容（见5.4，2012年版的5.4）；更改了检出数据保存的要求（见5.5，2012年版的5.5）；增加了检验记录的要求（见第6章）；更改了检验结果表述的要求（见第7章，2012年版的第6章）；增加了关于故障存储介质的注意事项（见8.2）；增加了关于加密情况的注意事项（见8.3）；增加了关于需要数据重组情况的注意事项（见8.4）。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中华人民共和国公安部提出。本文件由全国刑事技术标准化技术委员会（SAC/TC179）归口。本文件起草单位：公安部物证鉴定中心、最高人民检察院检察技术信息研究中心、司法鉴定科学研究院。
本文件主要起草人：邢桂东、楚川红、龙源、李运策、郭弘、张国臣、尹春社。本文件所代替文件的历次版本发布情况为：GB/T29360-2012；
一本次为第一次修订。
1范围
法庭科学
电子数据恢复检验规程
GB/T29360—2023
本文件规定了法庭科学领域电子数据恢复检验的仪器设备、操作步骤、检验记录、检验结果表述要求及注意事项。
本文件适用于法庭科学领域存储介质及保全备份数据文件的电子数据恢复检验。2规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T36450.5
信息技术bzxZ.net
存储管理
第5部分：文件系统
GA/T1554法庭科学电子物证检验材料保存技术规范GA/T1568
术语和定义
法庭科学电子物证检验术语
GB/T36450.5、GA/T1568界定的以及下列术语和定义适用于本文件。3.1
filerepairing
文件修复
对无法正常识别和打开的文件，使用适当的方式进行修复以识别文件内容的过程。3.2
Efilesignature
文件特征
文件签名
用于识别文件真实类型的特征值（标识符）。仪器设备
4.1硬件
电子物证检验工作站、保全备份设备、只读设备、存储介质、解密设备、照录像设备等。4.2软件
具有数据恢复功能的软件、具有文件修复功能的软件、具有数据重组功能的软件、具有解密功能的软件等。
GB/T29360—2023
5操作步骤
检材（样本）编号和拍照
对检材（样本加上唯一性编号进行拍照。2杀毒
启动杀毒软件对电子物证检验工作站系统进行杀毒5.3检材（样本）保全备份
计算检材（样本）的完整性校验值.宜对具备保全备份条件的检材（样本）进行保全备份。5.4检验
5.4.1将检材（样本）或已保全备份的存储介质，通过只读方式连接到电子物证检验工作站；对于已保全备份的镜像文件，将其加载到电子物证检验工作站。5.4.2根据检材情况使用具有数据恢复功能的软件工具进行数据恢复或使用具有文件修复功能的软件工具对无法正常识别和打开的数据文件进行修复数据恢复的方式包括但不限手：根据文件系统信息进行数据恢复：a）
b）根据文件特征信息进行数据恢复：c)
根据文件特定数据结构进行数据恢复：根据数据库类型、数据库备份、数据库日志、数据库信息进行数据恢复。d)
5.4.3对恢复后的数据文件根据检验要求进行筛选（可对筛选后的数据文件进行数据压缩），形成检出数据。
5.4.4计算检出数据的完整性校验值。5.5检出数据保存
将检出数据采用封盘刻录方式刻录在不可擦写的空白光盘上或保存在专用存储介质中。6检验记录
检验记录至少应包含检验地点、检验人员、起止时间、检验技术方法、检验仪器设备、检验软件及版本、操作步骤、检验情况、检出数据的完整性校验值，保证检验过程的可追溯性。7检验结果表述
7.1检出数据时，检验结果表述至少应包含检材（样本）编号、检出数据情况、检出数据（或保存检出数据存储介质）的完整性校验值、保存检出数据的存储介质编号。7.2
未检出数据时，检验结果表述至少应包含检材（样本）编号和未检出数据情况7.3不具备检出数据条件时，检验结果表述至少应包含检材（样本）编号，并根据检材情况进行表述2
注意事项
GB/T29360—2023
8.1应按照GA/T1554的要求，对检材（样本）做好防水、防磁、防静电和防震保护。故障存储介质应排除故障后再进行恢复检验。8.2
3对于加密的检材及检材中加密的数据，可使用具有解密功能的软件工具解密后再进行恢复检验8.3
8.4对于需要数据重组的检材.应使用具有数据重组功能的软件工具重组后再进行恢复检验ICS07.140
CCSA92
中华人民共和国国家标准
GB/T29361—2023
代替GB/T29361—2012
法庭科学
电子数据文件一致性检验规程
Forensic sciencesCode of practice for identification ofelectronic data file consistency2023-03-17发布
国家市场监督管理总局
国家标准化管理委员会
2023-10-01实施
GB/T29361—2023
本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。
本文件代替GB/T29361—2012《电子物证文件一致性检验规程》，与GB/T29361—2012相比.除结构调整和编辑性改动外，主要技术变化如下：更改了术语和定义（见第3章，2012年版的第3章）；一更改了硬件的要求（见4.1,2012年版的4.1）；更改了软件的要求（见4.2.2012年版的4.2）：更改了检材及样本编号、拍照的部分内容（见5.1，2012年版的5.1、5.2)；—更改了“检验中关于一致性判断的内容（见5.3.2012年版的5.3）；增加了检验记录的要求（见第6章）；更改了检验结果表述的要求（见第7章，2012年版的第6章）。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中华人民共和国公安部提出。本文件由全国刑事技术标准化技术委员会（SAC/TC179）归口。本文件起草单位：公安部物证鉴定中心、最高人民检察院检察技术信息研究中心、司法鉴定科学研究院。
本文件主要起草人：邢桂东、楚川红、郭丽莉、赵宪伟、郭弘、尹春社、张国臣。本文件所代替文件的历次版本发布情况为：—2012年首次发布为GB/T29361—2012—本次为第一次修订。
1范围
法庭科学
电子数据文件一致性检验规程
GB/T29361—2023
本文件规定了法庭科学领域电子数据文件一致性检验的仪器设备、操作步骤、检验记录、检验结果表述的要求及注意事项。
本文件适用于法庭科学领域中的电子数据文件一致性检验。2
规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GA/T1554
GA/T1568
术语和定义
法庭科学
电子物证检验材料保存技术规范法庭科学
电子物证检验术语
GA/T1568界定的术语和定义适用于本文件。4
仪器设备
4.1硬件
电子物证检验工作站、保全备份设备、只读设备、存储介质等4.2软件
具有计算哈希值功能的软件、具有电子数据文件位对位比较功能的软件等。5操作步骤
检材（样本）编号和拍照
对检材（样本）或存储检材文件（样本文件）的存储介质加上唯一性编号并拍照。5.2杀毒
启动杀毒软件对电子物证检验工作站系统进行杀毒。5.3检验
5.3.1将检材（或检材文件）和样本（或样本文件）进行保全备份。分别计算检材文件和样本文件的哈希值，宜选用附录A所列的哈希算法。5.3.2
GB/T29361-2023
5.3.3判断检材文件和样本文件的文件数据（从文件起始字节到结束字节的该文件所有数据）是否一致。
检材文件和样本文件存在哈希值不同、文件长度不同或文件位对位比较不同三种情况之一时，a)
可判定两个文件数据不一致。
检材文件和样本文件的哈希值相同时：b)
采用另一种或多种哈希算法（宜选用附录A所列的哈希算法）再次分别计算检材文件和1）
样本文件的哈希值，若哈希值仍相同，可判定两个文件数据一致；2)
6检验记录
使用软件位对位比较检材文件和样本文件，若位对位数据相同，可判定两个文件数据一致。
检验记录至少应包含检验地点、检验人员、起止时间、检验方法、仪器设备、检验软件及版本、操作步骤、检验情况等内容，保证检验过程的可追溯性7检验结果与表述
检验结果分为文件数据一致、文件数据不一致两种，检验意见表述至少应包含检材（或检材文件）编号、样本（或样本文件)编号、检验软件及版本、检材文件哈希值、样本文件哈希值等信息。8
注意事项
应按照GA/T1554的要求，对检材（样本）或存储检材文件（样本文件）的存储介质做好防水、防磁、防静电和防震保护。
附录A
（资料性）
参考哈希算法及哈希值长度
参考哈希算法及哈希值长度见表A.1。表A.1
哈希算法
SHA-256
SHA-512
SHA3-256
SHA3-512
参考哈希算法及哈希值长度
参考标准
GB/T32905-2016
FIPSPUB180-4
FIPS PUB 180-4
FIPSPUB202
FIPSPUB202
GB/T29361—2023
哈希值长度
GB/T29361—2023
参考文献
[1]GB/T32905—2016
信息安全技术
SM3密码杂凑算法
FIPSPUB180-4
SecureHashStandard(SHS)
FIPSPUB202SHA-3
Standard:Permutation-Based Hash and Extendable-Output Functions
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。