取证供应商不愿说的那些事儿（一）

本文由小茆同学编译，由陈裕铭、Roe校对，转载请注明。

其中一个主要限制是技术领域的快速发展。随着新设备、操作系统和加密方法的出现，取证供应商发现自己需要不断迎头赶上。他们提供的工具可能无法与最新设备兼容，或不能完全破解较新的加密算法。这个限制进一步加剧了一个现象，即许多供应商是商业运营的，可能会优先开发适用于热门设备或数据格式的工具，而不太重视小众设备。

 工具不能取代大脑

取证供应商可能不愿意轻易承认的另一个限制是在他们的分析中存在伪阳性或伪阴性的可能性。数字取证工具旨在从各种来源（包括设备、网络和云服务）中提取和分析数据。然而，数字生态系统的复杂性和庞大的数据量可能导致解析错误。取证工具使用的算法偶尔可能会错误地识别或解析数据，导致不准确的结论。这对于严重依赖工具的调查人员在法律程序中的调查结果产生了隐患。

 隐私保护也是一种制约因素

隐私问题也在取证工具的限制中起着重要作用。近年来，隐私和数据保护日益受到重视，这导致加密和安全措施的增加。虽然这对于希望保护自己信息的个人和组织来说是有益的，但这却给取证供应商带来了挑战。更严格的隐私法规和增强的安全实践意味着供应商对某些数据的访问可能受到限制，并且更加难以检索所需的信息。

 保密性导致缺乏透明度

取证工具内部运作的保密性和有限透明度是其在售前的主要缺点。供应商通常不仅将自己的方法和技术视为专利进行保护，还对系统设备的兼容性保密，这使得取证专家很难评估工具的兼容性、可靠性和准确性。许多供应商甚至在销售之前都不披露最基本的信息，例如法律约束的许可协议。透明度的缺乏引发了对工具性能、可用性和兼容性的担忧，更引发了对这些工具产生的证据的有效性的质疑。

 此外，当涉及到被锁定和密码保护的智能手机设备时，取证工具可能存在局限性。虽然供应商经常宣称他们能够解锁大量的设备并恢复重要证据，但实际情况是供应商的兼容性列表往往是不完整甚至保密的。如果是品牌手机或者未运行供应商实验室中经过测试的特定固件版本，那么取证调查人员可能难以使用工具解锁该设备。结果就是调查人员可能无法充分获得关键证据，从而影响他们全面复盘案件的能力。

总结

总而言之，对于数字取证专家来说，清楚了解他们使用的工具的特点和限制是至关重要的，但是许多取证供应商则未能承认和充分说明他们解决方案的限制。不断演变的技术环境、加密和隐私措施所带来的挑战以及有限的透明度都导致了数字取证的复杂性。了解这些限制可以帮助调查人员和法律专业人员做出明智的决策，并采用互补的方法，确保进行全面和可靠的数字调查。

参考链接：

https://blog.elcomsoft.com/2023/06/what-forensic-vendors-dont-like-to-tell-their-customers-part-1/