前言
本文件按照GB/T 1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由司法鉴定科学研究院提出。
本文件由司法部信息中心归口。
本文件起草单位：司法鉴定科学研究院、最高人民检察院检察技术信息研究中心、上海市人民检察院、河北省公安厅、广西壮族自治区公安厅、浙江省公安厅、大连市公安局、西安邮电大学、公安部第三研究所、厦门市美亚柏科信息股份有限公司、奇安信科技集团股份有限公司、上海弘连网络科技有限公司、杭州平航科技有限公司、苏州龙信信息科技有限公司。
本文件主要起草人：郭弘、李岩、杜文玉、孙奕、杨恺、高峰、韩马剑、陈兴文、刘浩阳、吴坚、高梓铭、韦同胜、张艳、钱志高、韩争光、朱元栋、王海啸、田野、卢启萌、李致君、耿浦洋、顾健、曾锦华、毛晓、凌嵘。
移动终端数据鉴定设备技术要求和测试评价方法
1 范围
本文件给出了移动终端数据鉴定设备的产品描述，规定了检材支持、功能性、信息安全性、可靠性、易用性、维护性和性能效率的技术要求，描述了测试评价方法。
本文件适用于移动终端数据鉴定设备的设计、开发、测试和评估。
注： 本文件所指的移动终端数据鉴定设备，不包括针对移动终端进行解密和解锁，以及对移动终端云存储数据进行鉴定的专用设备，也不包括采用拆焊芯片等特殊方式进行移动终端数据鉴定的专用设备。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 25000.24 系统与软件工程系统与软件质量要求和评价(SQuaRE) 第24部分：数据质量测量
GB/T 25000.51 系统与软件工程系统与软件质量要求和评价（SQuaRE） 第51部分：就绪可用软件产品(RUSP)的质量要求和测试细则
GB/T 35278 信息安全技术移动终端安全保护技术要求
SF/T 0157 移动终端电子数据鉴定技术规范
3 术语和定义
GB/T 25000.24、GB/T 25000.51、GB/T 35278、SF/T 0157界定的以及下列术语和定义适用于本文件。
逻辑提取 logical extraction以提取移动终端文件系统层面的文件（及目录结构）为目标的提取方法。
注： 通常利用终端的同步协议或备份工具等实现。
物理提取 physical extraction以提取移动终端物理存储介质的位对位镜像为目的的提取方法。
注： 通常包括侵入式和非侵入式方法。
数据解析 data parsing为使数据可识别，对其进行格式转换、解码、转义和关联等操作的方法。
衍生数据 derived data原始数据通过转换或处理等方式形成的可读取的数据。
4 产品描述
移动终端数据鉴定设备是针对各类移动终端及其附属的可移动存储卡等存储介质中所保存的电子数据，进行提取、解析和恢复，并在其基础上进行关联、标记和统计分析后，形成数据结果报告的软硬件设备。
5 技术要求
5.1.1 移动终端
5.1.1.1 设备应支持对主流的移动终端及其操作系统的数据鉴定，包括主流版本和既往发布版本，操作系统的类型包括：
- a) iOS 操作系统；
- b) Android 操作系统及衍生版本；
- c) HarmonyOS 操作系统；
- d) 其他智能及非智能移动终端操作系统。
5.1.1.2 对于所支持的移动终端操作系统，设备宜能自动适配驱动程序，并识别移动终端的品牌、型号、操作系统版本及设备标识等信息。
5.1.1.3 设备应支持以逻辑提取或物理提取等方式提取移动终端机身数据，包括但不限于：
- a) 机身中的文件及文件系统结构等数据；
- b) 系统原生应用数据；
- c) 第三方应用程序的数据；
- d) 屏幕所显示的信息。
5.1.2 移动终端衍生数据
5.1.2.1 设备应支持对移动终端衍生数据的数据鉴定，衍生数据的类型包括但不限于：
- a) 利用移动终端同步、备份和换机等方式所获得的数据；
- b) 对移动终端制作的镜像。
5.1.2.2 对于移动终端的衍生数据中有标识其所属移动终端的关联信息时，设备应能准确识别其与所属移动终端的关联关系。
5.1.3 通用集成电路卡（UICC）
设备应支持对移动终端所使用的UICC中的数据鉴定，UICC的类型包括但不限于：
- a) 用户身份模块（SIM）卡；
- b) 全球用户识别模块（USIM）卡；
- c) 用户标识模块（UIM）卡；
- d) 可移动用户识别模块（RUIM）卡。
5.1.4 可移动存储卡
设备应支持对移动终端所使用的可移动存储卡中的数据鉴定，可移动存储卡的类型包括但不限于：
- a) 安全数码（SD）卡；
- b) 微型安全数码（microSD）卡；
- c) 多媒体存储卡（MMC）；
- d) 记忆棒（MS）；
- e) 超微型存储卡（NM）。
5.2.1 信息录入
设备应支持对检材进行信息录入，包括但不限于：
- a) 案件编号；
- b) 检材编号；
- c) 检验人员。
5.2.2 数据提取
5.2.2.1 移动终端的数据提取
5.2.2.1.1 逻辑提取
设备应支持对移动终端机身数据进行逻辑提取，提取方式包括但不限于：
- a) 利用移动终端同步、备份、换机和数据传输等方式提取移动终端的文件及目录结构，包括系统数据和应用程序数据等；
- b) 利用权限提升等方式提取完整或部分移动终端的文件及目录结构，包括系统文件、应用程序数据、多媒体文件和其他用户数据；
- c) 利用特定的应用程序提取移动终端的文件及目录结构、应用程序数据、多媒体文件和其他用户数据等。
5.2.2.1.2 物理提取设备宜支持对移动终端机身数据进行物理提取，提取方式包括但不限于：
- a) 利用技术手段进行权限提升后制作移动终端的存储镜像；
- b) 利用刷机回读和在线编程等方式制作移动终端的存储镜像。
5.2.2.1.3 照相录像提取设备应支持拍照和录像等方式提取移动终端屏幕显示的信息。
5.2.2.2 移动终端衍生数据提取设备应支持对移动终端的衍生数据进行提取。
5.2.2.3 UICC 的数据提取
5.2.2.3.1 设备应支持对移动终端 UICC 的数据进行提取，支持的提取方式包括：
- a) 单独对 UICC 进行提取；
- b) 与移动终端机身数据共同进行提取。
5.2.2.3.2 设备对移动终端 UICC 提取的内容应包括但不限于：
- a) 网络服务提供商名称；
- b) 标识信息，如集成电路卡识别码（ICCID）、国际移动用户识别码（IMSI）、国际移动设备识别码（IMEI）和移动基站国际用户识别码（MSISDN）等；
- c) 短消息；
- d) 通讯录；
- e) 通话记录。
5.2.2.4 可移动存储卡的数据提取设备应支持对移动终端所使用的可移动存储卡进行数据提取，提取可通过移动终端进行，也可直接对可移动存储卡单独进行。
针对移动终端所使用的可移动存储卡进行提取的，应符合SF/T 0157的规定。
5.2.3 数据解析
5.2.3.1 数据解析类型
5.2.3.1.1 系统数据设备应支持对移动终端提取的系统数据进行解析，包括但不限于以下内容：
5.2.4 数据恢复
设备应支持对移动终端进行数据恢复，包括但不限于以下数据：
- a) 多媒体文件；
- b) 日志文件；
- c) 缓存文件；
- d) 数据库文件。
5.2.5 数据搜索
设备应支持文件搜索、数据内容全文检索和结果报告数据检索等搜索功能。
5.2.6 数据关联
设备应支持对提取、解析和恢复后的结果数据进行数据关联。
5.2.7 数据标记
设备应支持对特定数据和特定文件进行标记，并注释相关信息的功能。
5.2.8 数据去重
设备应支持按需求对提取、解析、恢复和关联后的结果数据进行去重，进行去重的条件应明确展示。
5.2.9 数据统计
5.2.9.1 设备应支持对提取、解析、恢复和去重后的结果数据进行统计，统计的项目包括：
- a) 以项目（如案件和事件）为单位的总数据量；
- b) 以检材（如移动终端）为单位的总数据量；
- c) 每个数据分类（如通讯录和短消息）的数据数量；
- d) 每个应用程序的数据数量；
- e) 按照条件进行搜索、筛选和标记后的数据数量；
- f) 其他按需求进行统计的数据数量。
5.2.9.2 对于提取的移动终端数据进行解析、恢复、关联及去重后的结果数据，设备应支持分开统计。
5.2.10 数据溯源
设备应支持对提取、解析、恢复和关联后的结果数据提供其原始来源分析和展示。
5.2.11 数据展示
5.2.11.1 设备应支持对提取、解析、恢复和关联后的结果数据进行展示，展示方式包括：
