基于微信日志文件對蘋果手機的音頻文件進行溯源分析

　　摘要：蘋果手機的“語音備忘錄”“微信”“文件”三種APP之間可以對音頻文件進行轉(zhuǎn)發(fā)及轉(zhuǎn)儲。在轉(zhuǎn)發(fā)及轉(zhuǎn)儲的過程中，音頻文件大小和所記錄內(nèi)容沒有改變，但是音頻文件的元數(shù)據(jù)信息及電子數(shù)據(jù)信息卻會發(fā)生改變。因此，語音備忘錄中所保存的音頻文件的真實性鑒定除了對音頻文件本身做常規(guī)的元數(shù)據(jù)分析、信號分析、語義分析、電子數(shù)據(jù)分析，還需要對音頻文件的生成及流轉(zhuǎn)的整個過程中系統(tǒng)及應(yīng)用程序的日志文件進行溯源性分析。本文通過案例，介紹如何通過微信日志文件對音頻的流轉(zhuǎn)過程進行溯源，并對錄音真實性進行綜合判斷。

　　關(guān)鍵詞：語音備忘錄;音頻文件;微信日志文件;溯源分析;錄音真實性

　　1研究基礎(chǔ)

　　錄音真實性鑒定是指對錄音資料是否經(jīng)過后期加工處理進行專業(yè)判斷[1]，現(xiàn)有的鑒定技術(shù)手段包括聽辨、元數(shù)據(jù)、聲譜及電子數(shù)據(jù)分析等。蘋果手機經(jīng)過多年的研發(fā)，擁有十幾種不同型號產(chǎn)品，且迭代更新了二十幾次系統(tǒng)版本號2]。

　　從Phone開始，蘋果手機系統(tǒng)的“語音備忘錄”APP，“微信”APP，“文件”APP可以進行交互的文件轉(zhuǎn)發(fā)和轉(zhuǎn)儲。這些操作雖然不改變語音內(nèi)容，但是文件的元數(shù)據(jù)、文件頭部和尾部的電子數(shù)據(jù)、文件的MD5值等會發(fā)生改變，僅根據(jù)這幾項檢驗結(jié)果的差異就否定錄音的真實性，顯然與事實不符合。因此，語音備忘錄中音頻文件的真實性檢驗會變得更加復(fù)雜，其流轉(zhuǎn)過程的溯源性分析變得尤為重要3]。前期研究結(jié)果[4]表明：蘋果手機的“語音備忘錄” “微信”“文件”三者之間的文件轉(zhuǎn)發(fā)和轉(zhuǎn)儲操作對音頻文件元數(shù)據(jù)和文件尾部的電子數(shù)據(jù)會產(chǎn)生不同影響。

　　1.1元數(shù)據(jù)及文件尾部信息無變化的情況

　　以下種操作，音頻文件和原來的音頻文件相同，錄音內(nèi)容、文件大小、元數(shù)據(jù)、文件尾部電子數(shù)據(jù)、MD5值均不發(fā)生變化：

　　1)通過語音備忘錄分享至微信好友，并由微信好友接收及收藏;2)通過微信轉(zhuǎn)發(fā)給好友，并由微信好友接收及收藏;3)微信將接收或收藏的音頻轉(zhuǎn)儲至“文件”;4)通過“文件”轉(zhuǎn)發(fā)給微信好友，并由微信好友接收及收藏。

　　1.2元數(shù)據(jù)及文件尾部信息發(fā)生變化的情況

　　以下種操作，雖然不改變音頻文件的錄音內(nèi)容和文件大小，但是會導(dǎo)致音頻文件的元數(shù)據(jù)和文件尾部電子數(shù)據(jù)、MD5值發(fā)生變化：

　　1)微信將接收或收藏的音頻文件通過語音備忘錄打開并保存：文件名稱(手機中顯示的名稱)重新標記，文件重新編碼，其在語音備忘錄存儲路徑下的文件名變成重新編碼的時間+.m4a。文件尾部的編碼時間變?yōu)橹匦戮幋a時間，文件尾部會在原UUID+原系統(tǒng)版本號之前寫入新UUID+新系統(tǒng)版本號。元數(shù)據(jù)的編碼日期不變，標記日期及系統(tǒng)版本號則是文件重新標記文件名稱后轉(zhuǎn)儲保存的時間及相應(yīng)的系統(tǒng)版本號，元數(shù)據(jù)中增加“音軌”信息(即手機中錄音的名稱重新標記的文件名稱)。

　　2)“文件”將接收或保存的音頻文件通過語音備忘錄打開并保存：文件名稱(手機中顯示的名稱)重新標記，文件不重新編碼，其在語音備忘錄存儲路徑下的文件名不變，以文件的編碼時間.m4a命名，文件尾部的編碼時間不變。文件尾部UUID不變，原系統(tǒng)版本號之前寫入新系統(tǒng)版本號。元數(shù)據(jù)的編碼日期不變，標記日期則是文件重新標記文件名稱后轉(zhuǎn)儲保存的時間，元數(shù)據(jù)中增加“音軌”信息(即手機中錄音的名稱重新標記的文件名稱)。

　　2案例

　　某法院審理“原告與被告加油站及貿(mào)易有限公司合同糾紛”一案，原告舉證期間提交了iPhone手機一部，其內(nèi)語音備忘錄中存儲了段錄音，該兩段錄音為原告與被告就相關(guān)事宜商談的內(nèi)容，涉及了重要的案件信息。但是由于該段錄音所顯示的時間與實際商談的時間不吻合，被告方不認可其真實性。而原告反映其有多部蘋果手機，且與家人混用，不排除語音文件已經(jīng)經(jīng)過了微信轉(zhuǎn)發(fā)及多次導(dǎo)入導(dǎo)出，而原文件可能已經(jīng)刪除的情況。于是，申請對這段錄音的真實性、完整性以及段錄音與所提交的iPhone手機設(shè)備同源性進行鑒定。

　　2.1初步檢驗

　　原告送檢的iPhoneXSMax數(shù)字移動電話機一部，系統(tǒng)版本號為“iOS13.7”(截至送檢日期)，設(shè)備名稱為“iPhone(3)”。其手機備忘錄中顯示的音頻名稱分別為“2019.12.19.”和“2019.10.13”段音頻即為原告舉證的段錄音，通過iToos軟件將手機連接電腦，發(fā)現(xiàn)二者存儲于“private/var/mobile/Media/Recordings/”目錄下，其文件名如表所示。其中檢材音頻系三男聲在一開放環(huán)境下討論有關(guān)“某公司與加油站租賃協(xié)議”相關(guān)事宜的現(xiàn)場談話錄音，語音信號信噪比較高。

　　經(jīng)多次審聽發(fā)現(xiàn)：除其尾部一男聲說“手續(xù)”中的“續(xù)”字音節(jié)不完整外，其余位置三人的對話語音內(nèi)容前后銜接過渡正常，語音聽感自然，語義、邏輯未檢出異常，語音及背景聲亦未見異常中斷、跳變現(xiàn)象;檢材音頻系兩男聲在一相對安靜環(huán)境下，主要討論“協(xié)議”“出資”事宜的現(xiàn)場談話錄音，語音信號信噪比高。經(jīng)多次審聽發(fā)現(xiàn)：二人對話語音內(nèi)容前后銜接過渡正常，語音聽感自然，語義、邏輯未檢出異常，語音及背景聲亦未見異常中斷、跳變現(xiàn)象[56]。

　　使用送檢手機的“語音備忘錄”錄制一段實驗樣本音頻，并用iToos軟件導(dǎo)出(其在存儲路徑下的文件名為20201118151422.m4a，手機內(nèi)默認的文件名為“新錄音數(shù)字”)，將檢材音頻、與實驗樣本音頻的元數(shù)據(jù)及文件尾部進行對比，發(fā)現(xiàn)：二者在音頻的編碼格式、采樣率、聲道數(shù)、碼率模式等方面完全一致，另外，經(jīng)過圖譜分析，檢材音頻、音頻信號波形未檢見異常，頻譜未發(fā)現(xiàn)剪輯、拼接等可能形成的語音片段重復(fù)或能量跳變、異常中斷痕跡，背景聲也未檢出異常;二者與實驗樣本音頻的本底噪聲也較為符合。但是二者在元數(shù)據(jù)時間戳及文件尾部的電子數(shù)據(jù)信息上卻有不同的表現(xiàn)。

　　該款手機語音備忘錄原始錄制的音頻，元數(shù)據(jù)中沒有“音軌”信息，且編碼日期與文件名稱一致，標記日期編碼日期持續(xù)時長，編碼程序后面標注的是手機名稱。檢材音頻、的元數(shù)據(jù)信息與該手機語音備忘錄原始錄制音頻文件的信息均存在明顯差異。實驗樣本音頻的文件尾部寫入的是個UUID+手機名稱，檢材音頻、文件尾部寫入的有多個UUID+系統(tǒng)版本號。

　　經(jīng)過進一步測試發(fā)現(xiàn)：如果機主有兩部蘋果手機，第一次在蘋果手機或蘋果手機上使用SIM卡，手機的語音備忘錄錄制的音頻文件的元數(shù)據(jù)和文件尾部均會顯示系統(tǒng)版本號;但是，如果將SIM卡從蘋果手機中取出插到蘋果手機中使用，再從蘋果手機中取出插入蘋果手機中使用，其語音備忘錄錄制的音頻文件的元數(shù)據(jù)及文件尾部就會顯示手機名稱，而不會顯示系統(tǒng)版本號。因此，文件尾部寫入系統(tǒng)版本號或者手機名稱，均為蘋果手機語音備忘錄錄制的音頻文件正常保存方式。但是檢材音頻、文件尾部寫入多個UUID+系統(tǒng)版本號，顯然與該手機語音備忘錄原始錄制音頻文件的信息不一致。 對比檢驗與分析根據(jù)前述研究基礎(chǔ)，對檢材音頻、的生成及流轉(zhuǎn)方式進行分析。

　　2.1對檢材音頻的檢驗分析檢材音頻的元數(shù)據(jù)及文件尾部發(fā)生變化的原因?qū)儆?.2描述中第種情況，編碼日期文件名標注的時間(UTC2019121907:12:01=北京時間2019121915:12:01)，系統(tǒng)版本號為ios13.3，其標記日期應(yīng)該是從“文件”導(dǎo)出到語音備忘錄的過程中重新標記了名稱為“2019.12.19”，且標記文件名稱并保存的時間標記日期TC2019122113:48:04，重新標記的系統(tǒng)版本號也為ios13.3，且文件的UUID沒有變化。綜合上述分析，檢材音頻的元數(shù)據(jù)和文件尾部發(fā)生的變化完全符合1.2描述中的第種情況，即“文件”將接收或保存的音頻文件通過語音備忘錄打開并保存，且編碼日期與重新標記日期相隔天，手機的系統(tǒng)版本號相同。另外，不排除1.1小節(jié)所述元數(shù)據(jù)和文件尾部信息無變化的4種操作可能。

　　2.2對檢材音頻的檢驗分析檢材音頻的元數(shù)據(jù)及文件尾部一共有個不同的時間戳，且文件尾部有2個不同的系統(tǒng)版本號(os13.7和os12.4.1)。根據(jù)前期研究結(jié)果4]，os12.4.1的語音備忘錄錄制的音頻文件，其元數(shù)據(jù)和文件尾部均不寫入UUID，因此文件尾部只有個UUID(對應(yīng)os13.7)。

　　2.3手機系統(tǒng)更新記錄檢驗雖然前述

　　2.2可以確定檢材音頻、的元數(shù)據(jù)及文件尾部電子數(shù)據(jù)發(fā)生改變的原因，但是仍然不能判斷檢材音頻、的錄音內(nèi)容是否為所提交手機錄制。由于該手機的系統(tǒng)版本已經(jīng)升級，因此需要進一步對系統(tǒng)數(shù)據(jù)進行檢驗。使用Itunes制作送檢手機的邏輯備份�；�于備份數(shù)據(jù)，依次解析其中的“com.apple.VoiceMemos.plist”“Recordings.db”“CloudRecordings.db”等文件，未發(fā)現(xiàn)任何系統(tǒng)升級信息。對用戶的微信應(yīng)用日志進行檢驗，發(fā)現(xiàn)266個微信應(yīng)用日志文件。經(jīng)過檢驗發(fā)現(xiàn)：自2019年月18日至2020年10月10日，Phone(3)手機的操作系統(tǒng)歷經(jīng)10個版本的迭代，依次是：“iOS12.3.1”“iOS12.4.1”“iOS13.1.3”“iOS13.3”“iOS13.3.1”“iOS13.4.1”“iOS13.5.1”“iOS13.6”“iOS13.6.1”“iOS13.7”。

　　2.3.1檢材音頻中涉及的關(guān)鍵日期檢驗

　　1)2019年12月19日的日志中，用戶使用系統(tǒng)版本號為“iOS13.3”、手機名“iPhone(3)”的iPhone手機，通過微信于“2019121915:18:19.412”時刻，進行過音頻文件的分享操作，所分享的文件的文件名為“新錄音.m4a”、大小為2321892字節(jié)(與檢材音頻相同)、MD5哈希值為“005b8779ba188b7347c130f2ca3c74a3”。

　　2)2019年12月21日的日志中，用戶使用系統(tǒng)版本號為“iOS13.3”、手機名“iPhone(3”的iPhone手機，通過微信于“20191221214840468”時刻，進行過音頻文件的分享操作，所分享的文件的文件名為“2019.12.19。.m4a”(與檢材音頻相同)、大小為2321892字節(jié)(與檢材音頻相同)、MD5哈希值為“f331911587571ee2b6861e4e383140fe”(與檢材音頻相同)。

　　2.3.2檢材音頻中涉及的關(guān)鍵日期檢驗

　　1)2019年10月13日的日志中，用戶使用系統(tǒng)版本號為“iOS12.4.1”、手機名為“Phone(3)”的iPhone手機，通過微信于“2019101318:10:40.527”時刻，進行過音頻文件的微信分享操作，所分享的文件文件名為“新錄音.m4a”、大小083502字節(jié)(與檢材音頻相同)、MD5哈希值為“ee43e7d7a565f308e0c3411c92d03c6f”。

　　2.4綜合分析及結(jié)果綜合前述

　　2.12.3節(jié)的檢驗及分析結(jié)果：

　　1)檢材音頻的音頻內(nèi)容為蘋果手機Phone(3)于編碼日期(UTC20191219:12:01=北京時間2019121915:12:01)錄制形成(系統(tǒng)版本為os13.3)，時長4min37，于“2019121915:18:19.412”通過微信應(yīng)用分享給好友;經(jīng)過好友轉(zhuǎn)發(fā)并存儲于“文件”中，于標記日期(2019122113:48:04)通過“文件”重新轉(zhuǎn)儲“語音備忘錄”(系統(tǒng)版本為os13.3)并標記文件名為“2019.12.19。”，此時MD5值改變;于“2019122121:48:40.46”通過微信應(yīng)用將該文件進行過分享。

　　由此可見，檢材音頻的音頻內(nèi)容為Phone(3)錄制形成，但經(jīng)過了一系列轉(zhuǎn)發(fā)和一次改變其MD5值的轉(zhuǎn)儲，文件大小不變;另外，其與實驗樣本音頻的本底噪聲較為符合，且聽覺檢驗、聲譜分析均未發(fā)現(xiàn)異常，故具備真實性。1)檢材音頻的音頻內(nèi)容亦為蘋果手機iPhone3)于編碼日期(UTC2019101309:59:57北京時間2019101317:59:57)錄制形成系統(tǒng)版本號為ios12.4.1)，時長min16，于“2019101318:10:40.527”時刻通過微信應(yīng)用分享給好友;之后又經(jīng)過“語音備忘錄”打開后重新編碼保存，其重新編碼日期文件名標注的時間(UTC2020030909:20:54=北京時間2003097:20:54)，此時MD5值改變;之后經(jīng)過Phone(3)的“文件”于標記日期(TC2020091202:45:26)重新轉(zhuǎn)儲至其語音備忘錄(系統(tǒng)版本號為os13.7)，此時MD5值再次改變。

　　由此可見，檢材音頻的音頻內(nèi)容為Phone(3)錄制形成，但經(jīng)過了一系列轉(zhuǎn)發(fā)和兩次改變其MD5值的轉(zhuǎn)儲，文件大小不變;另外，其與實驗樣本音頻的本底噪聲較為符合，且聽覺檢驗、聲譜分析均未發(fā)現(xiàn)異常，故具備真實性。結(jié)論隨著智能終端的普及應(yīng)用，越來越多的人會使用手機或平板電腦自帶的具有錄音功能的程序如iPhone或iPad的語音備忘錄、華為手機或平板電腦的錄音機等來錄制語音。其中，語音備忘錄與微信、QQ、文件等APP具備交互轉(zhuǎn)發(fā)文件、保存文件以及重新編碼轉(zhuǎn)儲文件的功能，蘋果手機在使用的過程中會不斷升級迭代。

　　司法鑒定論文：權(quán)力監(jiān)督哲學(xué)與執(zhí)法司法制約監(jiān)督體系建設(shè)

　　因此，語音備忘錄中保存的音頻文件的真實性檢驗會變得更加復(fù)雜，其生成方式及其流轉(zhuǎn)過程的溯源分析尤為重要。本文通過案例，對蘋果手機語音備忘錄中的音頻文件的元數(shù)據(jù)、文件尾部電子數(shù)據(jù)的變化規(guī)律進行分析比較后，利用微信的日志文件，確定了手機系統(tǒng)的升級時序信息，再對照待檢音頻文件的關(guān)鍵日期戳信息進行深入探尋，對其生成方式及流轉(zhuǎn)規(guī)律進行溯源，并進行綜合分析，最終確認了其真實性。

　　參考文獻：

　　[1]司法部司法鑒定科學(xué)技術(shù)研究所聲像資料鑒定通用規(guī)范：SF/ZJD03000012010[S].北京：中國標準出版社，2010.(InstituteofForensicScienceandTechnology,MinistryofJustice.GeneralpecificationforppraisalofudiovisualaterialsSF/ZJD03000012010[S].Beijing:StandardsPressofChina,2010

　　[2]曾錦華，奚建華，孫維龍，等.蘋果手機錄制錄音真實性鑒定技術(shù)[J].中國司法鑒定，2020(5)9397.ZENGJinhua,XIJianhua,SUNWeilong,etal.AuthenticationtechnologyforrecordingauthenticityofApplemobilephone[J].ChineseJournalofForensicSciences,2020(5):9397.

　　[3]曾錦華，施少培，楊旭，等.錄音設(shè)備識別司法鑒定技術(shù)研究[J].中國司法鑒定，2014(6):2225.

　　作者：周娟1,2，王俊1,2，易爽1,2，袁紅照1,2

轉(zhuǎn)載請注明來自發(fā)表學(xué)術(shù)論文網(wǎng)：http:///jjlw/27546.html