随着智能手机安全技术的飞速发展，各种高级加密措施和隐私保护功能日益成为电子数据司法鉴定工作的难点。

近日，我所收到某公安送检的一部安卓手机，该设备不仅配置了最新的Android 14操作系统与最新的系统补丁，还将与涉案相关的重要数据都存放在了“分身空间”内，取证难度极大。

盘古实验室具备全球领先的技术能力，是目前少有的能够穿透Android 14正式版操作系统安全屏障的团队。依托这一强大技术支撑，奇安信司法鉴定圆满完成了这项复杂的取证鉴定任务，为案件的深入调查和最终裁决提供了坚实的技术支持。

▾正文

“分身空间”功能为用户提供了一个完全独立的操作环境，其中的数据与主用户空间分离，且采用了高强度加密措施，即便是在手机解锁的情况下，传统取证产品的高级备份功能也无法获取“分身空间”内的数据。

在这起案件中，涉案人员利用了“分身空间”功能隐藏关键信息。据警方侦查发现，嫌疑人在“分身空间”内进行了犯罪相关的通信与资金交易，这些涉案的相关证据对于案件的侦破至关重要。然而，“分身空间”的加密技术与隐私保护措施为取证工作带来了前所未有的技术挑战。

面对这一挑战，奇安信司法鉴定借助盘古实验室的专业技术力量，针对这一复杂案例进行了细致的取证鉴定工作。

01

“攻防对抗思维”实现专业提权

盘古实验室利用在移动安全研究领域的积累，以安全赋能取证，利用“攻防对抗思维”攻破安全壁垒，可以实现主流移动终端的密码破解、手机提权、数据恢复等服务。

在此案例中，目标机型为某安卓旗舰机，已安装最新的 Android14 正式版与最新的系统补丁，传统的数据备份提取技术无法接触到存储在“分身空间”的数据。

通过盘古实验室基于安全攻防思维的Android 14正式版最新提权能力，对该设备进行root提权。“提权”意味着我们可以以系统最高权限运行程序，并得以访问通常被系统屏蔽的敏感数据区域。

图-提权成功

提权成功后，盘古石取证团队运用专有的数据提取工具，成功制作了“分身空间”的完整数据镜像，这一镜像包含了用户在“分身空间”中的所有活动记录，包括但不限于通信数据、应用使用记录和文件存储。

图-分身系统私有数据

通过这种方法，盘古石取证团队不仅确保了数据的完整性，而且保证了取证过程的法律合规性。此外，数据镜像的获取为下一步的深入分析和数据恢复奠定了坚实基础。

02

数据恢复与专业鉴定

在成功提权并创建了该设备“分身空间”的数据镜像之后，奇安信司法鉴定的技术专家对其进行了专业鉴定，这是将技术成果转化为可用证据的关键阶段。

（1）数据提取：鉴定人对镜像文件进行加载分析后，对提取到的数据进行分类、标记和详细记录，确保每条证据的可追溯性和合法性。

（2）数据恢复：鉴定人通过先进的数据恢复软件，找回了遗失或删除的文件，而且逐步还原了诸如通讯记录、加密交易数据等关键信息。

（3）文件导出：鉴定人根据需要，提取并导出了一份详细的证据清单，涵盖了案件相关的短信、聊天记录、多媒体文件等关键内容，为执法机关的调查提供了坚实的线索。

结语

随着技术的迅猛发展，我们面对的安全挑战也越来越复杂，涉及的案件亦日益棘手。在此案例中，盘古实验室利用攻防对抗思维，完成了对高防御移动设备的精准提权，这不仅是对移动安全领域研究的深度发掘，也体现了实战中敏锐的“洞察”能力。

奇安信司法鉴定依托盘古实验室的技术优势，将创新的“洞察”能力与严谨的“鉴定”流程完美结合，成功突破了许多疑难案件。未来，这种合作模式将继续优化和强化，以科技的新进展来不断推动司法鉴定的公正性和精确性，确保每一个案件都能得到公正的评判和处理。这不仅仅是对司法鉴定专业领域的贡献，也是对社会正义实现的坚守和促进。

*部分图片素材由ChatGPT生成

奇安信集团旗下有北京和上海两家司法鉴定所：北京网神洞鉴科技有限公司司法鉴定所与盘石软件（上海）有限公司计算机司法鉴定所，其中，上海所是上海第一家通过 CNAS 认证认可的民营计算机类司法鉴定机构。北京所与上海所均通过了CMA资质认定，是目前国内少数能够通过自主研发软件进行取证与分析的电子数据司法鉴定机构，具有独立的实验室场所，其中包括：案件受理区、数据恢复区、手机取证区、计算机取证区、屏蔽室、无尘工作间和物证室，并配备多种国内外先进的技术设备检验及辅助设备。经过多年的时间积累和发展，现拥有一批胜任鉴定工作的专业技术人员，以专业的技能和丰富的经验，来开展电子数据司法鉴定工作。开展的鉴定服务范围包括：电子数据司法鉴定、计算机证据固定和获取、手机终端取证与分析、数据恢复、密码破解以及涉及电子设备的民事调查等。

鉴定热线&地址：

010-56509288（北京）

北京市西城区西直门外南路26号院1号-奇安信安全中心B1

021-52658848（上海）

上海市闵行区合川路2555号科技绿洲三期五-3号楼4层

029-86196688（西安）

陕西省西安市经济技术开发区凤城二路1幢经发大厦B座10607室