108 警察特考三等 警察資訊管理人員 數位鑑識執法 考古題詳解

核心觀念

本題的核心考點為英國警察首長協會（Association of Chief Police Officers, ACPO）所發布之《數位證據優良作業指引》（ACPO Good Practice Guide for Digital Evidence）中的「數位證據處理四大原則」（The Four Principles of Computer-Based Electronic Evidence）。

數位證據具備「無體性」、「易失性」、「高科技依賴性」及「易遭竄改且不留痕跡」等物理與數位特質。為確保數位證據在法庭上的證據能力（Admissibility）與同一性（Authenticity / Integrity），國際執法機關普遍採行 ACPO 提出的四項指導原則作為數位鑑識程序（包括扣押、採集、獲取、分析與呈現）的最高指導方針，其背後緊扣刑事訴訟法上的「嚴格證明法則」、「數位證據監管鏈（Chain of Custody）」及「科學鑑識的可重現性（Reproducibility）」。

---

解題方法

本題為警察特考經典的標準申論題，作答應採取**「破題定位 $\to$ 逐項深入列舉四大原則 $\to$ 實務實踐與法庭關聯」**之切入架構：

1. 源頭破題：點明國際公認標準出自英國 ACPO 指引，並說明其宗旨是維護數位證據之真實性與公信力。
2. 本體精闢論述：依序寫出四項原則的中英文名稱、規範意旨、實務具體作法（例如：防寫設備、專業人員認證、鑑識歷程記錄、指揮官職責）。
3. 法律效果總結：說明違反此四原則將導致監管鏈斷裂或證據同一性受質疑，進而喪失法庭可採納性。

---

選項分析

本題為申論題（非選擇題），無選項供逐一分析。在國考閱卷給分標準中，四大原則平均各佔 5～6 分（總分 20～25 分），各原則的閱卷評分關鍵指標如下：

• 原則一（完整性／禁止竄改）：必須寫出「執法人員之行動不得改變儲存媒體中的資料」，關鍵技術詞彙為「同一性（Integrity）」、「防寫設備（Write Blocker）」。
• 原則二（專業勝任與說明義務）：必須寫出「若必須接觸原始資料，該員需具備專業勝任能力（Competence）並能在法庭說明其操作與影響」。
• 原則三（稽核軌跡與可重現性）：必須寫出「全程紀錄稽核歷程（Audit Trail）」與「獨立第三方依相同步驟能重現相同結果（Repeatability / Reproducibility）」，關鍵技術詞彙為「雜湊值（Hash Value）比對」。
• 原則四（整體監管責任）：必須寫出「案件調查負責人（Officer in Charge）負有確保遵守法律與本原則之完全責任」。

---

解題技巧

1. 記憶口訣：

• 一不改（資料不得變更）
• 二專業（接觸須具專業且能解釋）
• 三重現（稽核軌跡與獨立第三方可重現）
• 四負責（案件主管負全責）

2. 常見陷阱（觀念混淆）：

• 切勿與 ISO/IEC 27037 標準混淆：ISO/IEC 27037 規範的是「識別（Identification）、採集（Collection）、獲取（Acquisition）、保存（Preservation）」四個處理階段／流程；而本題問的是法庭認可之「基本處理指導原則（Principles）」，答案必須回答 ACPO 四大原則。

3. 加分要訣：

• 寫出英文原文關鍵字（如 Audit Trail、Competent、Officer in charge）。
• 每一原則皆輔以「數位鑑識實務作為」（例如原則一提到使用防寫硬體，原則三提到使用 SHA-256 驗證鏡像檔），能顯著拉開與一般考生的分數差距。

---

【答案】

國際上作為法院認可之電腦數位證據，其基本處理之四項指導原則源自**英國警察首長協會（ACPO）**制訂之《數位證據優良作業指引》（Good Practice Guide for Digital Evidence），內容如下：

核心觀念

本題核心在於「刑事訴訟法之令狀原則」在「電腦犯罪與數位證據」實務情境中的具體落實。主要涵蓋以下法理與法律依據（本題以命題當年民國 108 年法規為準）：

1. 令狀原則與特定原則（Particularity Requirement）：

• 《刑事訴訟法》第 128 條第 2 項：搜索票應明確記載「案由」、「應搜索之被告、犯罪嫌疑人或第三人」、「應搜索之處所、身體、物件或電磁紀錄」、「應扣押之物或電磁紀錄」及「有效期間」。
• 民國 106 年《刑事訴訟法》修正已明文將「電磁紀錄」納為獨立之搜索、扣押客體（第 122 條、第 128 條、第 133 條），杜絕過往僅扣押實體儲存載具之爭議。

2. 比例原則與階梯式扣押（Proportionality Principle）：

• 數位儲存媒體具備海量性、不可分性與關聯性交織之特性，搜索扣押手段應符合《刑事訴訟法》第 133 條之 2 等比例原則要求，依「現場擷取／複製（鏡像）$\rightarrow$ 扣押載具 $\rightarrow$ 扣押整機系統」之階梯順序聲請。

3. 數位證據特殊性之處置：

• 包含脆弱性（易毀損、易遭遠端抹除）、揮發性（RAM 資料關機即逝）、隱蔽性（加密、防寫、反鑑識工具）及虛擬延伸性（跨國雲端存取）。
• （法律現況提醒：立法院後續於民國 113 年制定通過《科技偵查及保障法》並修正《刑事訴訟法》相關科技偵查條文，現行法已針對端點設備採證與特殊科技偵查規範進一步修正。）

---

解題方法

解答此題應採「法制規範（合法性）」與「鑑識技術（可行性）」雙軌並重的切入架構：

1. 法制審查面：從《刑事訴訟法》法定必要記載事項出發，論述如何將抽象的犯罪關聯性轉化為特定且合法的搜索範圍，避免淪為「概括性搜索」（General Search）而遭法院駁回。
2. 鑑識實務面：結合數位鑑識標準作業程序（ISO/IEC 27037），將載具擴張、遠端雲端存取、現場動態取證（Live Acquisition）、防範反鑑識等技術需求，轉化為具體的令狀請求項目。

---

選項分析

本題為申論題，非選擇題。考生在申論構思時常見「全有或全無」的二分法偏誤，實務評分標準如下：

• 僅寫傳統法條者（偏誤）：僅機械式抄錄《刑事訴訟法》第 128 條各款文字，未連結「電磁紀錄」與「電腦犯罪特性」，無法展現資訊管理與數位鑑識專業，得分偏低。
• 僅寫鑑識技術者（偏誤）：只著重在 EnCase、FTK 製作映像檔、防寫硬體鎖等技術操作，忽略搜索票由「法院法官核發」之法官保留審查要求，缺乏法律依據。
• 最佳解題進路：將技術作為目的，以法律作為骨架，逐項剖析搜索票聲請書在「搜索客體」、「處所空間」、「扣押方式」、「專業協助」與「隱私保障」上的具體注意事項。

---

解題技巧

1. 結構四步口訣：「標的特定、空間擴張、手段階梯、專業協同」。
2. 常見陷阱：

• 漏寫「電磁紀錄」及「虛擬空間」：誤以為只需寫搜索主機硬體，忽略儲存於外接裝置、區域網路 NAS 或雲端服務之資料。

核心觀念

本題評量數位鑑識人員在數位證據「扣押後進入實驗室階段」的標準作業程序（SOP）與系統化鑑識架構。核心觀念涵蓋以下要素：

1. 證據能力與嚴格證明法則：依《刑事訴訟法》（以命題當年民國 108 年法規為準，現行法對電磁紀錄之扣押與保全程序有更明確規範）第 155 條第 2 項及第 165 條之 1 規定，電磁紀錄之錄音、錄影、電腦磁帶、磁碟或其他相類之證物，必須確保其同一性（Integrity）與真實性（Authenticity），始具備實質證據價值。
2. 數位鑑識基本原則（RFC 3227 / ISO/IEC 27037）：

• 最小變更原則（Preservation）：鑑識人員嚴禁在原始證物上直接進行分析操作。
• 監管鏈（Chain of Custody, CoC）：記錄證物自入庫至出庭的所有交接、經手人、時間與處置狀態，維持證據連續性。
• 雜湊校驗（Hash Verification）：利用密碼學單向雜湊演算法（如 MD5、SHA-256）驗證原始媒體與映像檔之一致性。

3. NIST SP 800-86 鑑識四階段模型：蒐集（Collection）、檢驗（Examination）、分析（Analysis）、報告（Reporting）。本題聚焦於「進實驗室後」的檢驗、分析與產出階段。

---

解題方法

本題為典型之「實務作業程序（SOP）」申論題。解題切入點應依循「收件驗證 $\rightarrow$ 防寫複製 $\rightarrow$ 資料檢驗 $\rightarrow$ 深度分析 $\rightarrow$ 鑑識報告」之生命週期展開，理由在於：

1. 符合鑑識防禦性（Defensibility）：鑑識流程必須具備可重複性（Repeatability）與可驗證性（Reproducibility），經得起法庭交互詰問。
2. 邏輯層次分明：由外而內、由淺入深，清楚區分「檢驗（Examination，著重資料萃取）」與「分析（Analysis，著重關聯與推論）」。

---

選項分析

本題為申論題（非選擇題）。答題時應將系統化步驟拆解為「六大標準處理階段」，結構如下：

• 第一階段（收件點收與監管鏈登記）：建立法定程序屏障。
• 第二階段（無菌環境與映像複製）：落實實體隔離與防寫。
• 第三階段（完整性校驗）：計算並比對雜湊值。
• 第四階段（資料檢驗與萃取）：還原隱藏、刪除或加密資料。
• 第五階段（情節關聯與重建分析）：建構時序、關聯犯罪事證。
• 第六階段（製作鑑識報告與封存）：產出具證據能力之鑑定書。

---

解題技巧

1. 記憶口訣：「收、寫、驗、檢、析、報」（收件登錄、防寫映像、雜湊校驗、檢驗萃取、深度分析、報告歸檔）。
2. 常見陷阱與評分地雷：

• 切忌漏寫硬體防寫：若未提及防寫裝置（Hardware Write Blocker），會被判定缺乏實務防護常識。
• 目標媒介無菌化：複製前必須先將目標硬碟以 DoD 5220.22-M 或 NIST 800-88 標準進行抹除清零（Wipe/Sanitize），確認雜湊值為零。
• 混淆檢驗與分析：
• 檢驗（Examination）：著重技術層面（如：雕刻刪除檔案、解析登錄檔、解密）。
• 分析（Analysis）：著重案情層面（如：時間軸重組、使用者行為意圖、通聯關聯）。

3. 雙雜湊驗證：作答時同時列出 MD5 與 SHA-256，展現專業嚴謹度，防止單一雜湊演算法碰撞爭議。

---

【答案】

一、 系統化鑑識之核心原則

數位證據扣押至鑑識實驗室後，為確保法庭證據能力，系統化鑑識必須嚴格恪遵以下三項法證原則：

1. 不可變更性：絕對不在原始證物上直接操作，所有鑑識分析均在位元對位元（Bit-stream）複製品上進行。
2. 監管鏈完整性：登載證物之完整流向、封籤編號、存放環境與經手人員，確保未受調包或污染。
3. 可重複驗證性：採用經 ISO/IEC 17025 認證之工具與標準化程序，使第三公正單位能獲致相同結果。

---

二、 基本處理分析步驟（SOP 六大階段）

 [1. 證物點交與入庫] ──> [2. 防寫與鑑識映像] ──> [3. 雜湊校驗與保全]
 │ │ │
 ▼ ▼ ▼
 [6. 報告撰寫與歸檔] <── [5. 深度分析與重建] <── [4. 檢驗與資料萃取]

核心觀念

本題主要測驗現代密碼學（Cryptography）之兩大基石——**對稱式密碼系統（Symmetric Cryptosystem / Secret Key Cryptosystem）與非對稱式密碼系統（Asymmetric Cryptosystem / Public Key Cryptosystem）**的核心運作機制、數學基礎、金鑰管理及實務應用。在《數位鑑識執法》的範疇中，密碼學不僅用於資料機密性保護，更是數位證據「完整性驗證（Integrity）」、「來源鑑別（Authentication）」與「不可否認性（Non-repudiation，如數位簽章）」之關鍵執法技術。

關鍵公式與觀念：

1. 對稱式金鑰數量：在 $n$ 位通訊使用者的系統中，若每對使用者皆需獨立安全通訊，所需秘密金鑰總數為： $K_{sym} = \frac{n(n-1)}{2} = \mathcal{O}(n^2)$
2. 非對稱式金鑰數量：在 $n$ 位通訊使用者的系統中，每人擁有一對金鑰（公鑰與私鑰），系統總金鑰數為： $K_{asym} = 2n = \mathcal{O}(n)$
3. 資訊安全基本要素（CIA + Non-repudiation）：機密性（Confidentiality）、完整性（Integrity）、可用性（Availability）及不可否認性。對稱式密碼僅能確保機密性與訊息鑑別（MAC），無法提供防抵賴的不可否認性；非對稱式密碼則可透過私鑰簽署提供不可否認性。

---

解題方法

本題為警察特考三等資訊管理人員常見之核心申論題。解題應採取「標準四段結構式」答題策略：

1. 破題與對稱式系統論述：定義運作原理（加密與解密共用同一把秘密金鑰）、加解密數學表示、代表演算法及其優缺點。
2. 非對稱式系統論述：定義雙金鑰機制（公開金鑰與私鑰之數學對偶關係）、兩種主要運作模式（機密性傳輸 vs. 數位簽章）、底層數學難題及代表演算法。
3. 系統性對比分析：以架構表格條列「金鑰特性」、「金鑰數量」、「運算效率」、「安全服務（機密性／不可否認性）」與「主要弱點」。
4. 結合數位鑑識執法實務（混成系統與證據能力）：說明實務上如何結合兩者形成「混成密碼系統（Hybrid Cryptosystem，如 TLS/HTTPS、PGP）」，並扣合數位鑑識中的全碟加密破解、數位證據監管鏈（Chain of Custody）與數位簽章認證。

---

選項分析

本題為「申論題」，無固定選項，閱卷評分重點在於以下四個關鍵維度的完整性與精確度：

1. 金鑰管理與分配維度：是否清楚點出對稱式密碼面臨的「金鑰配送困境（Key Distribution Problem）」以及金鑰數量隨節點增加呈 $\mathcal{O}(n^2)$ 爆炸；非對稱式密碼如何透過 PKI（公開金鑰基礎建設）化解此一瓶頸。
2. 運算速度與資源開銷維度：是否點明對稱式運算速度極快（約比非對稱式快 $100$ 至 $1000$ 倍），適合巨量資料（Bulk Data）傳輸；非對稱式因涉及大數質因數分解、離散對數等高複雜度數學運算，運算開銷大，適合傳遞階段金鑰（Session Key）或簽章。
3. 資訊安全服務維度：是否明確區分「數位簽章（私鑰加密、公鑰驗證）」與「機密通訊（公鑰加密、私鑰解密）」之反向對偶機制，並說明對稱式無法達成獨立第三方可驗證之不可否認性。
4. 數位鑑識執法關聯維度：是否融入扣押證物分析（如 BitLocker 等對稱金鑰萃取）與證據鏈驗證之鑑識思維。

---

解題技巧

1. 金鑰對應口訣化：

• 欲保障「機密性」：接收方公鑰加密，接收方私鑰解密（大家都能寄信，只有收信人能開）。
• 欲保障「不可否認性／身份鑑別」：傳送方私鑰加密（簽章），傳送方公鑰解密（驗章）（只有寄件人能簽，大家都能驗證）。

2. 避開常見邏輯陷阱：

• 切勿寫出「數位簽章是用公鑰簽章」的嚴重錯誤觀念。
• 說明對稱金鑰數量時，務必給出正確推導式 $\frac{n(n-1)}{2}$，而非單純寫「很多」。

3. 得分亮點（補教名師秘笈）： 單純比較兩者僅能取得基本分；文末主動補充「混成密碼系統（Hybrid Cryptosystem）」並聯結「數位鑑識之證物監管鏈」，能展現考生具備資訊科技與警察執法結合的專業縱深。

---

【答案】

一、秘密金鑰（對稱式）密碼系統

(一) 基本定義與運作原理

秘密金鑰密碼系統（Secret Key Cryptosystem），又稱對稱式密碼系統（Symmetric Cryptosystem）。其特徵為訊息的加密與解密均使用相同的秘密金鑰（$K$），或兩者之間具備極容易相互推導的直接關係。

• 數學關係： 設明文為 $P$、密文為 $C$、共用金鑰為 $K$： $\text{加密：} C = E_K(P)$ $\text{解密：} P = D_K(C)$ 其中 $E$ 為加密演算法，$D$ 為解密演算法，且滿足 $D_K(E_K(P)) = P$。

(二) 優點與限制

1. 優點：

• 運算速度快：多採用替換（Substitution）與置換（Permutation）等輕量硬體友善運算，加解密處理吞吐量高，耗費系統資源極低。
• 適合大量資料加密：特別適用於大量儲存資料（Bulk Data）、串流影音及通訊通道負載保護。

2. 缺點與限制：

• 金鑰配送困境（Key Distribution Problem）：在通訊建立前，雙方必須透過安全通道傳遞金鑰，形成「欲安全通訊需先有安全通道」的邏輯矛盾。
• 金鑰管理困難：若系統內有 $n$ 個使用者，彼此皆需保密通訊，系統所需的金鑰總數為 $\frac{n(n-1)}{2}$。當使用者數量劇增時，金鑰儲存與維護成本呈二次方爆炸（$\mathcal{O}(n^2)$）。