基于微信日志文件對(duì)蘋(píng)果手機(jī)的音頻文件進(jìn)行溯源分析

　　摘要：蘋(píng)果手機(jī)的“語(yǔ)音備忘錄”“微信”“文件”三種APP之間可以對(duì)音頻文件進(jìn)行轉(zhuǎn)發(fā)及轉(zhuǎn)儲(chǔ)。在轉(zhuǎn)發(fā)及轉(zhuǎn)儲(chǔ)的過(guò)程中，音頻文件大小和所記錄內(nèi)容沒(méi)有改變，但是音頻文件的元數(shù)據(jù)信息及電子數(shù)據(jù)信息卻會(huì)發(fā)生改變。因此，語(yǔ)音備忘錄中所保存的音頻文件的真實(shí)性鑒定除了對(duì)音頻文件本身做常規(guī)的元數(shù)據(jù)分析、信號(hào)分析、語(yǔ)義分析、電子數(shù)據(jù)分析，還需要對(duì)音頻文件的生成及流轉(zhuǎn)的整個(gè)過(guò)程中系統(tǒng)及應(yīng)用程序的日志文件進(jìn)行溯源性分析。本文通過(guò)案例，介紹如何通過(guò)微信日志文件對(duì)音頻的流轉(zhuǎn)過(guò)程進(jìn)行溯源，并對(duì)錄音真實(shí)性進(jìn)行綜合判斷。

　　關(guān)鍵詞：語(yǔ)音備忘錄;音頻文件;微信日志文件;溯源分析;錄音真實(shí)性

　　1研究基礎(chǔ)

　　錄音真實(shí)性鑒定是指對(duì)錄音資料是否經(jīng)過(guò)后期加工處理進(jìn)行專(zhuān)業(yè)判斷[1]，現(xiàn)有的鑒定技術(shù)手段包括聽(tīng)辨、元數(shù)據(jù)、聲譜及電子數(shù)據(jù)分析等。蘋(píng)果手機(jī)經(jīng)過(guò)多年的研發(fā)，擁有十幾種不同型號(hào)產(chǎn)品，且迭代更新了二十幾次系統(tǒng)版本號(hào)2]。

　　從Phone開(kāi)始，蘋(píng)果手機(jī)系統(tǒng)的“語(yǔ)音備忘錄”APP，“微信”APP，“文件”APP可以進(jìn)行交互的文件轉(zhuǎn)發(fā)和轉(zhuǎn)儲(chǔ)。這些操作雖然不改變語(yǔ)音內(nèi)容，但是文件的元數(shù)據(jù)、文件頭部和尾部的電子數(shù)據(jù)、文件的MD5值等會(huì)發(fā)生改變，僅根據(jù)這幾項(xiàng)檢驗(yàn)結(jié)果的差異就否定錄音的真實(shí)性，顯然與事實(shí)不符合。因此，語(yǔ)音備忘錄中音頻文件的真實(shí)性檢驗(yàn)會(huì)變得更加復(fù)雜，其流轉(zhuǎn)過(guò)程的溯源性分析變得尤為重要3]。前期研究結(jié)果[4]表明：蘋(píng)果手機(jī)的“語(yǔ)音備忘錄” “微信”“文件”三者之間的文件轉(zhuǎn)發(fā)和轉(zhuǎn)儲(chǔ)操作對(duì)音頻文件元數(shù)據(jù)和文件尾部的電子數(shù)據(jù)會(huì)產(chǎn)生不同影響。

　　1.1元數(shù)據(jù)及文件尾部信息無(wú)變化的情況

　　以下種操作，音頻文件和原來(lái)的音頻文件相同，錄音內(nèi)容、文件大小、元數(shù)據(jù)、文件尾部電子數(shù)據(jù)、MD5值均不發(fā)生變化：

　　1)通過(guò)語(yǔ)音備忘錄分享至微信好友，并由微信好友接收及收藏;2)通過(guò)微信轉(zhuǎn)發(fā)給好友，并由微信好友接收及收藏;3)微信將接收或收藏的音頻轉(zhuǎn)儲(chǔ)至“文件”;4)通過(guò)“文件”轉(zhuǎn)發(fā)給微信好友，并由微信好友接收及收藏。

　　1.2元數(shù)據(jù)及文件尾部信息發(fā)生變化的情況

　　以下種操作，雖然不改變音頻文件的錄音內(nèi)容和文件大小，但是會(huì)導(dǎo)致音頻文件的元數(shù)據(jù)和文件尾部電子數(shù)據(jù)、MD5值發(fā)生變化：

　　1)微信將接收或收藏的音頻文件通過(guò)語(yǔ)音備忘錄打開(kāi)并保存：文件名稱(chēng)(手機(jī)中顯示的名稱(chēng))重新標(biāo)記，文件重新編碼，其在語(yǔ)音備忘錄存儲(chǔ)路徑下的文件名變成重新編碼的時(shí)間+.m4a。文件尾部的編碼時(shí)間變?yōu)橹匦戮幋a時(shí)間，文件尾部會(huì)在原UUID+原系統(tǒng)版本號(hào)之前寫(xiě)入新UUID+新系統(tǒng)版本號(hào)。元數(shù)據(jù)的編碼日期不變，標(biāo)記日期及系統(tǒng)版本號(hào)則是文件重新標(biāo)記文件名稱(chēng)后轉(zhuǎn)儲(chǔ)保存的時(shí)間及相應(yīng)的系統(tǒng)版本號(hào)，元數(shù)據(jù)中增加“音軌”信息(即手機(jī)中錄音的名稱(chēng)重新標(biāo)記的文件名稱(chēng))。

　　2)“文件”將接收或保存的音頻文件通過(guò)語(yǔ)音備忘錄打開(kāi)并保存：文件名稱(chēng)(手機(jī)中顯示的名稱(chēng))重新標(biāo)記，文件不重新編碼，其在語(yǔ)音備忘錄存儲(chǔ)路徑下的文件名不變，以文件的編碼時(shí)間.m4a命名，文件尾部的編碼時(shí)間不變。文件尾部UUID不變，原系統(tǒng)版本號(hào)之前寫(xiě)入新系統(tǒng)版本號(hào)。元數(shù)據(jù)的編碼日期不變，標(biāo)記日期則是文件重新標(biāo)記文件名稱(chēng)后轉(zhuǎn)儲(chǔ)保存的時(shí)間，元數(shù)據(jù)中增加“音軌”信息(即手機(jī)中錄音的名稱(chēng)重新標(biāo)記的文件名稱(chēng))。

　　2案例

　　某法院審理“原告與被告加油站及貿(mào)易有限公司合同糾紛”一案，原告舉證期間提交了iPhone手機(jī)一部，其內(nèi)語(yǔ)音備忘錄中存儲(chǔ)了段錄音，該兩段錄音為原告與被告就相關(guān)事宜商談的內(nèi)容，涉及了重要的案件信息。但是由于該段錄音所顯示的時(shí)間與實(shí)際商談的時(shí)間不吻合，被告方不認(rèn)可其真實(shí)性。而原告反映其有多部蘋(píng)果手機(jī)，且與家人混用，不排除語(yǔ)音文件已經(jīng)經(jīng)過(guò)了微信轉(zhuǎn)發(fā)及多次導(dǎo)入導(dǎo)出，而原文件可能已經(jīng)刪除的情況。于是，申請(qǐng)對(duì)這段錄音的真實(shí)性、完整性以及段錄音與所提交的iPhone手機(jī)設(shè)備同源性進(jìn)行鑒定。

　　2.1初步檢驗(yàn)

　　原告送檢的iPhoneXSMax數(shù)字移動(dòng)電話(huà)機(jī)一部，系統(tǒng)版本號(hào)為“iOS13.7”(截至送檢日期)，設(shè)備名稱(chēng)為“iPhone(3)”。其手機(jī)備忘錄中顯示的音頻名稱(chēng)分別為“2019.12.19.”和“2019.10.13”段音頻即為原告舉證的段錄音，通過(guò)iToos軟件將手機(jī)連接電腦，發(fā)現(xiàn)二者存儲(chǔ)于“private/var/mobile/Media/Recordings/”目錄下，其文件名如表所示。其中檢材音頻系三男聲在一開(kāi)放環(huán)境下討論有關(guān)“某公司與加油站租賃協(xié)議”相關(guān)事宜的現(xiàn)場(chǎng)談話(huà)錄音，語(yǔ)音信號(hào)信噪比較高。

　　經(jīng)多次審聽(tīng)發(fā)現(xiàn)：除其尾部一男聲說(shuō)“手續(xù)”中的“續(xù)”字音節(jié)不完整外，其余位置三人的對(duì)話(huà)語(yǔ)音內(nèi)容前后銜接過(guò)渡正常，語(yǔ)音聽(tīng)感自然，語(yǔ)義、邏輯未檢出異常，語(yǔ)音及背景聲亦未見(jiàn)異常中斷、跳變現(xiàn)象;檢材音頻系兩男聲在一相對(duì)安靜環(huán)境下，主要討論“協(xié)議”“出資”事宜的現(xiàn)場(chǎng)談話(huà)錄音，語(yǔ)音信號(hào)信噪比高。經(jīng)多次審聽(tīng)發(fā)現(xiàn)：二人對(duì)話(huà)語(yǔ)音內(nèi)容前后銜接過(guò)渡正常，語(yǔ)音聽(tīng)感自然，語(yǔ)義、邏輯未檢出異常，語(yǔ)音及背景聲亦未見(jiàn)異常中斷、跳變現(xiàn)象[56]。

　　使用送檢手機(jī)的“語(yǔ)音備忘錄”錄制一段實(shí)驗(yàn)樣本音頻，并用iToos軟件導(dǎo)出(其在存儲(chǔ)路徑下的文件名為20201118151422.m4a，手機(jī)內(nèi)默認(rèn)的文件名為“新錄音數(shù)字”)，將檢材音頻、與實(shí)驗(yàn)樣本音頻的元數(shù)據(jù)及文件尾部進(jìn)行對(duì)比，發(fā)現(xiàn)：二者在音頻的編碼格式、采樣率、聲道數(shù)、碼率模式等方面完全一致，另外，經(jīng)過(guò)圖譜分析，檢材音頻、音頻信號(hào)波形未檢見(jiàn)異常，頻譜未發(fā)現(xiàn)剪輯、拼接等可能形成的語(yǔ)音片段重復(fù)或能量跳變、異常中斷痕跡，背景聲也未檢出異常;二者與實(shí)驗(yàn)樣本音頻的本底噪聲也較為符合。但是二者在元數(shù)據(jù)時(shí)間戳及文件尾部的電子數(shù)據(jù)信息上卻有不同的表現(xiàn)。

　　該款手機(jī)語(yǔ)音備忘錄原始錄制的音頻，元數(shù)據(jù)中沒(méi)有“音軌”信息，且編碼日期與文件名稱(chēng)一致，標(biāo)記日期編碼日期持續(xù)時(shí)長(zhǎng)，編碼程序后面標(biāo)注的是手機(jī)名稱(chēng)。檢材音頻、的元數(shù)據(jù)信息與該手機(jī)語(yǔ)音備忘錄原始錄制音頻文件的信息均存在明顯差異。實(shí)驗(yàn)樣本音頻的文件尾部寫(xiě)入的是個(gè)UUID+手機(jī)名稱(chēng)，檢材音頻、文件尾部寫(xiě)入的有多個(gè)UUID+系統(tǒng)版本號(hào)。

　　經(jīng)過(guò)進(jìn)一步測(cè)試發(fā)現(xiàn)：如果機(jī)主有兩部蘋(píng)果手機(jī)，第一次在蘋(píng)果手機(jī)或蘋(píng)果手機(jī)上使用SIM卡，手機(jī)的語(yǔ)音備忘錄錄制的音頻文件的元數(shù)據(jù)和文件尾部均會(huì)顯示系統(tǒng)版本號(hào);但是，如果將SIM卡從蘋(píng)果手機(jī)中取出插到蘋(píng)果手機(jī)中使用，再?gòu)奶O(píng)果手機(jī)中取出插入蘋(píng)果手機(jī)中使用，其語(yǔ)音備忘錄錄制的音頻文件的元數(shù)據(jù)及文件尾部就會(huì)顯示手機(jī)名稱(chēng)，而不會(huì)顯示系統(tǒng)版本號(hào)。因此，文件尾部寫(xiě)入系統(tǒng)版本號(hào)或者手機(jī)名稱(chēng)，均為蘋(píng)果手機(jī)語(yǔ)音備忘錄錄制的音頻文件正常保存方式。但是檢材音頻、文件尾部寫(xiě)入多個(gè)UUID+系統(tǒng)版本號(hào)，顯然與該手機(jī)語(yǔ)音備忘錄原始錄制音頻文件的信息不一致。 對(duì)比檢驗(yàn)與分析根據(jù)前述研究基礎(chǔ)，對(duì)檢材音頻、的生成及流轉(zhuǎn)方式進(jìn)行分析。

　　2.1對(duì)檢材音頻的檢驗(yàn)分析檢材音頻的元數(shù)據(jù)及文件尾部發(fā)生變化的原因?qū)儆?.2描述中第種情況，編碼日期文件名標(biāo)注的時(shí)間(UTC2019121907:12:01=北京時(shí)間2019121915:12:01)，系統(tǒng)版本號(hào)為ios13.3，其標(biāo)記日期應(yīng)該是從“文件”導(dǎo)出到語(yǔ)音備忘錄的過(guò)程中重新標(biāo)記了名稱(chēng)為“2019.12.19”，且標(biāo)記文件名稱(chēng)并保存的時(shí)間標(biāo)記日期TC2019122113:48:04，重新標(biāo)記的系統(tǒng)版本號(hào)也為ios13.3，且文件的UUID沒(méi)有變化。綜合上述分析，檢材音頻的元數(shù)據(jù)和文件尾部發(fā)生的變化完全符合1.2描述中的第種情況，即“文件”將接收或保存的音頻文件通過(guò)語(yǔ)音備忘錄打開(kāi)并保存，且編碼日期與重新標(biāo)記日期相隔天，手機(jī)的系統(tǒng)版本號(hào)相同。另外，不排除1.1小節(jié)所述元數(shù)據(jù)和文件尾部信息無(wú)變化的4種操作可能。

　　2.2對(duì)檢材音頻的檢驗(yàn)分析檢材音頻的元數(shù)據(jù)及文件尾部一共有個(gè)不同的時(shí)間戳，且文件尾部有2個(gè)不同的系統(tǒng)版本號(hào)(os13.7和os12.4.1)。根據(jù)前期研究結(jié)果4]，os12.4.1的語(yǔ)音備忘錄錄制的音頻文件，其元數(shù)據(jù)和文件尾部均不寫(xiě)入U(xiǎn)UID，因此文件尾部只有個(gè)UUID(對(duì)應(yīng)os13.7)。

　　2.3手機(jī)系統(tǒng)更新記錄檢驗(yàn)雖然前述

　　2.2可以確定檢材音頻、的元數(shù)據(jù)及文件尾部電子數(shù)據(jù)發(fā)生改變的原因，但是仍然不能判斷檢材音頻、的錄音內(nèi)容是否為所提交手機(jī)錄制。由于該手機(jī)的系統(tǒng)版本已經(jīng)升級(jí)，因此需要進(jìn)一步對(duì)系統(tǒng)數(shù)據(jù)進(jìn)行檢驗(yàn)。使用Itunes制作送檢手機(jī)的邏輯備份。基于備份數(shù)據(jù)，依次解析其中的“com.apple.VoiceMemos.plist”“Recordings.db”“CloudRecordings.db”等文件，未發(fā)現(xiàn)任何系統(tǒng)升級(jí)信息。對(duì)用戶(hù)的微信應(yīng)用日志進(jìn)行檢驗(yàn)，發(fā)現(xiàn)266個(gè)微信應(yīng)用日志文件。經(jīng)過(guò)檢驗(yàn)發(fā)現(xiàn)：自2019年月18日至2020年10月10日，Phone(3)手機(jī)的操作系統(tǒng)歷經(jīng)10個(gè)版本的迭代，依次是：“iOS12.3.1”“iOS12.4.1”“iOS13.1.3”“iOS13.3”“iOS13.3.1”“iOS13.4.1”“iOS13.5.1”“iOS13.6”“iOS13.6.1”“iOS13.7”。

　　2.3.1檢材音頻中涉及的關(guān)鍵日期檢驗(yàn)

　　1)2019年12月19日的日志中，用戶(hù)使用系統(tǒng)版本號(hào)為“iOS13.3”、手機(jī)名“iPhone(3)”的iPhone手機(jī)，通過(guò)微信于“2019121915:18:19.412”時(shí)刻，進(jìn)行過(guò)音頻文件的分享操作，所分享的文件的文件名為“新錄音.m4a”、大小為2321892字節(jié)(與檢材音頻相同)、MD5哈希值為“005b8779ba188b7347c130f2ca3c74a3”。

　　2)2019年12月21日的日志中，用戶(hù)使用系統(tǒng)版本號(hào)為“iOS13.3”、手機(jī)名“iPhone(3”的iPhone手機(jī)，通過(guò)微信于“20191221214840468”時(shí)刻，進(jìn)行過(guò)音頻文件的分享操作，所分享的文件的文件名為“2019.12.19。.m4a”(與檢材音頻相同)、大小為2321892字節(jié)(與檢材音頻相同)、MD5哈希值為“f331911587571ee2b6861e4e383140fe”(與檢材音頻相同)。

　　2.3.2檢材音頻中涉及的關(guān)鍵日期檢驗(yàn)

　　1)2019年10月13日的日志中，用戶(hù)使用系統(tǒng)版本號(hào)為“iOS12.4.1”、手機(jī)名為“Phone(3)”的iPhone手機(jī)，通過(guò)微信于“2019101318:10:40.527”時(shí)刻，進(jìn)行過(guò)音頻文件的微信分享操作，所分享的文件文件名為“新錄音.m4a”、大小083502字節(jié)(與檢材音頻相同)、MD5哈希值為“ee43e7d7a565f308e0c3411c92d03c6f”。

　　2.4綜合分析及結(jié)果綜合前述

　　2.12.3節(jié)的檢驗(yàn)及分析結(jié)果：

　　1)檢材音頻的音頻內(nèi)容為蘋(píng)果手機(jī)Phone(3)于編碼日期(UTC20191219:12:01=北京時(shí)間2019121915:12:01)錄制形成(系統(tǒng)版本為os13.3)，時(shí)長(zhǎng)4min37，于“2019121915:18:19.412”通過(guò)微信應(yīng)用分享給好友;經(jīng)過(guò)好友轉(zhuǎn)發(fā)并存儲(chǔ)于“文件”中，于標(biāo)記日期(2019122113:48:04)通過(guò)“文件”重新轉(zhuǎn)儲(chǔ)“語(yǔ)音備忘錄”(系統(tǒng)版本為os13.3)并標(biāo)記文件名為“2019.12.19。”，此時(shí)MD5值改變;于“2019122121:48:40.46”通過(guò)微信應(yīng)用將該文件進(jìn)行過(guò)分享。

　　由此可見(jiàn)，檢材音頻的音頻內(nèi)容為Phone(3)錄制形成，但經(jīng)過(guò)了一系列轉(zhuǎn)發(fā)和一次改變其MD5值的轉(zhuǎn)儲(chǔ)，文件大小不變;另外，其與實(shí)驗(yàn)樣本音頻的本底噪聲較為符合，且聽(tīng)覺(jué)檢驗(yàn)、聲譜分析均未發(fā)現(xiàn)異常，故具備真實(shí)性。1)檢材音頻的音頻內(nèi)容亦為蘋(píng)果手機(jī)iPhone3)于編碼日期(UTC2019101309:59:57北京時(shí)間2019101317:59:57)錄制形成系統(tǒng)版本號(hào)為ios12.4.1)，時(shí)長(zhǎng)min16，于“2019101318:10:40.527”時(shí)刻通過(guò)微信應(yīng)用分享給好友;之后又經(jīng)過(guò)“語(yǔ)音備忘錄”打開(kāi)后重新編碼保存，其重新編碼日期文件名標(biāo)注的時(shí)間(UTC2020030909:20:54=北京時(shí)間2003097:20:54)，此時(shí)MD5值改變;之后經(jīng)過(guò)Phone(3)的“文件”于標(biāo)記日期(TC2020091202:45:26)重新轉(zhuǎn)儲(chǔ)至其語(yǔ)音備忘錄(系統(tǒng)版本號(hào)為os13.7)，此時(shí)MD5值再次改變。

　　由此可見(jiàn)，檢材音頻的音頻內(nèi)容為Phone(3)錄制形成，但經(jīng)過(guò)了一系列轉(zhuǎn)發(fā)和兩次改變其MD5值的轉(zhuǎn)儲(chǔ)，文件大小不變;另外，其與實(shí)驗(yàn)樣本音頻的本底噪聲較為符合，且聽(tīng)覺(jué)檢驗(yàn)、聲譜分析均未發(fā)現(xiàn)異常，故具備真實(shí)性。結(jié)論隨著智能終端的普及應(yīng)用，越來(lái)越多的人會(huì)使用手機(jī)或平板電腦自帶的具有錄音功能的程序如iPhone或iPad的語(yǔ)音備忘錄、華為手機(jī)或平板電腦的錄音機(jī)等來(lái)錄制語(yǔ)音。其中，語(yǔ)音備忘錄與微信、QQ、文件等APP具備交互轉(zhuǎn)發(fā)文件、保存文件以及重新編碼轉(zhuǎn)儲(chǔ)文件的功能，蘋(píng)果手機(jī)在使用的過(guò)程中會(huì)不斷升級(jí)迭代。

　　司法鑒定論文：權(quán)力監(jiān)督哲學(xué)與執(zhí)法司法制約監(jiān)督體系建設(shè)

　　因此，語(yǔ)音備忘錄中保存的音頻文件的真實(shí)性檢驗(yàn)會(huì)變得更加復(fù)雜，其生成方式及其流轉(zhuǎn)過(guò)程的溯源分析尤為重要。本文通過(guò)案例，對(duì)蘋(píng)果手機(jī)語(yǔ)音備忘錄中的音頻文件的元數(shù)據(jù)、文件尾部電子數(shù)據(jù)的變化規(guī)律進(jìn)行分析比較后，利用微信的日志文件，確定了手機(jī)系統(tǒng)的升級(jí)時(shí)序信息，再對(duì)照待檢音頻文件的關(guān)鍵日期戳信息進(jìn)行深入探尋，對(duì)其生成方式及流轉(zhuǎn)規(guī)律進(jìn)行溯源，并進(jìn)行綜合分析，最終確認(rèn)了其真實(shí)性。

　　參考文獻(xiàn)：

　　[1]司法部司法鑒定科學(xué)技術(shù)研究所聲像資料鑒定通用規(guī)范：SF/ZJD03000012010[S].北京：中國(guó)標(biāo)準(zhǔn)出版社，2010.(InstituteofForensicScienceandTechnology,MinistryofJustice.GeneralpecificationforppraisalofudiovisualaterialsSF/ZJD03000012010[S].Beijing:StandardsPressofChina,2010

　　[2]曾錦華，奚建華，孫維龍，等.蘋(píng)果手機(jī)錄制錄音真實(shí)性鑒定技術(shù)[J].中國(guó)司法鑒定，2020(5)9397.ZENGJinhua,XIJianhua,SUNWeilong,etal.AuthenticationtechnologyforrecordingauthenticityofApplemobilephone[J].ChineseJournalofForensicSciences,2020(5):9397.

　　[3]曾錦華，施少培，楊旭，等.錄音設(shè)備識(shí)別司法鑒定技術(shù)研究[J].中國(guó)司法鑒定，2014(6):2225.

　　作者：周娟1,2，王俊1,2，易爽1,2，袁紅照1,2

轉(zhuǎn)載請(qǐng)注明來(lái)自發(fā)表學(xué)術(shù)論文網(wǎng)：http:///jjlw/27546.html