随着智能手表的功能不断增强，预计不久将来可能会出现越来越多的相关电子数据取证需求。

 

原创作品，非经作者本人同意谢绝转载！【摘要】随着智能穿戴类电子产品市场的兴起，智能手表（手环）具备实时定位、接收消息、移动支付等多种实用功能，使之成为物联网的移动智能终端智能手表作为新型电子物证之一，提取收集其中涉案的电子数据，将成为日趋明确的取证需求，应加强对此类设备取证要点及理念的探索研究。

【关键词】智能手表 电子数据 取证智能手表（手环）作为物联网的移动智能终端之一, 早已成为最受欢迎的智能穿戴设备智能手表具有CPU、内存、GPS等硬件模块，并内置有操作系统, 可通过独立连接到网络或配对智能手机实现多种功能。

包括：可同步推送手机中的数据信息（电话、短信、邮件、照片、音乐等）、GPS实时定位、监测心率及运动轨迹等健身信息、移动支付, 以及与手机或云存储空间进行同步等具备强大功能的智能手表中存有大量的用户信息, 而公安机关提取收集涉案智能手表中的电子数据，也必将成为日趋明确的实战需求和取证技术研究方向。

根据相关统计数据显示，全球可穿戴设备市场在2018年实现15%以上的增长，总出货量超过1.3亿台其中以苹果Apple Watch为代表的智能手表出货量占比为三分之一预计智能手表等智能穿戴设备市场未来5年的混合年增长率将达到13.4%，2020年的全球出货量将达到约2.2亿台。

其中，支持蜂窝网络通信的第三代苹果Apple Watch自从发布以来，已经占据了全球蜂窝网络型智能手表的59%市场份额而综合各种功能型及运动型智能手表及手环的市场情况，小米（主要是小米手环）已与苹果平分秋色（各占18%），Fitbit、Garmin、华为等品牌也有一席之地。

图1：2018年第一季全球智能手表市场占比智能手表中存储的通联记录、支付记录、定位信息等重要的个人行为信息数据能够为案件情节调查提供佐证，应当以刑事证据的标准和要求予以依法提取收集其存储的电子数据一、智能手表的技术背景。

（一）智能手表的主要分类1.成人智能手表，具有蓝牙同步手机打电话、收发短信、监测睡眠、监测心率、久坐提醒、跑步记步、远程拍照、音乐播放、录像、指南针等功能，主要为时尚人士、商务人士、运动爱好者选用2.老人智能手表，具有超精准GPS定位、亲情通话、紧急呼救、心率监测、久坐提醒、吃药提醒等多项专为老年人定制的功能，主要用于防止老人走丢。

3.儿童定位智能手表，具有多重定位、双向通话、SOS求救、远程监听、智能防丢、历史轨迹、电子围栏、计步器、爱心奖励等功能，主要用于亲子之间通讯、防止小孩走丢其中，成人智能手表机身中存储的信息量最大，均需要与智能手机配对，通过蓝牙将手机中的数据同步到手表中以实现信息推送；而老人智能手表和儿童定位智能手表的共同特点为通过插入手机SIM卡实现联网定位，但其机身存储数据较少。

图2：苹果Apple Watch、米兔儿童定位手表、小米手环（二）智能手表的功能特点除老人智能手表和儿童定位智能手表的实时定位、语音通话、运动计步等功能以外，以苹果Apple Watch为代表的成人智能手表如果通过与智能手表进行蓝牙配对，能接收手机上收到的各种推送信息（如短信息、微信、呼入电话等），即使没有与智能手机配对，智能手表仍可以实现多种功能。

1.时间功能除正常显示全球标准时间外，还可以设置闹钟和定时器，并查看下载的日历事项等2.记录锻炼当用户跑步运动是，智能手表会跟踪记录，包括心跳、步数、站坐比例、呼吸等健身数据，并将最近30天左右的数据保存在机身存储中。

3.移动支付通过绑定支付账号，智能手表能显示付款二维码，实现微信、支付宝、Apple Pay等平台的移动支付4.播放音乐将下载的音乐同步到智能手表中进行播放，特别是运动时快速控制音乐5.展示照片可将图片同步到智能手表中，起到照片查看器的作用。

6.连接网络连接移动、联通、电信三大运营商的网络，苹果Apple Watch Series 3不但可以直接访问手表上所有使用互联网连接的应用，还支持拨打电话、发送消息、地图导航、语音助手等功能，并访问第三方应用。

7.连接WiFi热点如苹果第三代Apple Watch具有WiFi模块，可以直接已连互联网访问8.运行独立第三方应用如苹果Apple Watch能运行基于iPhone的和独立的两类第三方应用，前者需要配对iPhone手机才能发挥功能，Apple Watch只包含应用的界面，而后者可以在没有配对手机的情况下继续发挥作用。

以苹果Apple Watch为代表的独立运行第三方应用的智能手表，应为电子数据取证的重要关注点（三）智能手表的数据容量以苹果Apple Watch 为例，无论是运动版、标准版、高级版的硬件配置均为运行内存512Mb、存储空间8Gb，这8Gb的存储空间被系统与内置程序占用一大半，实际可用于多媒体储存的空间仅2Gb左右，一般可以存储200-500首左右歌曲或一百多张照片。

而某些支持外置存储卡的智能手表，还可通过插卡扩展8-64Gb容量（四）智能手表取证的案例2016年9月，在澳大利亚阿德莱德发生一起凶杀案案发当晚一位邻居发现57岁的默娜死于家中洗衣房里，默娜的儿媳妇卡洛琳被捆绑于现场的厨房。

据死者的儿媳妇卡洛琳说，这是一起入室行窃杀人案，案发当天有一群歹徒尾随死者和她到家中，其中一名歹徒杀死死者，另一名歹徒将她绑起后逃离但是，警方从死者佩戴的Apple Watch中电子数据发现，死者的最后心率记录时间比卡洛琳所述的案发时间早了3个小时，即卡洛琳涉嫌作伪证。

据此，检察官认为3个小时足够用于清理丢弃带血衣物并伪造案发现场，因而并未采信卡洛琳的证言，并判断她涉嫌组织并参与了这起凶杀案并虚构了案情类似的还有，2015年美国康涅狄格州男子理查德报警称其被入室抢劫，歹徒将理查德捆绑后，理查德的妻子康妮外出后回到家，歹徒将康妮枪杀后逃离。

然而，警方分析了死者康妮佩戴的Fitbit智能手环中的运动步数记录，发现死者行走的步数与理查德所述的外出地点距离应有步数严重不符；同时，警方结合了死者的邮件、手机通讯、社交媒体记录以及现场车库门开关记录，认定案发时死者并非如报案人所述从外回家，而是一直待在家中，因此判断报案人理查德有重大的作案嫌疑。

上述案件表明，以往某些案件的案发时间也许仅能取决于目击者的证言，而在当今的信息时代，人们身上的智能穿戴设备、智能家居设备都可能会记录下案情信息，哪怕只是迈出的一小步、每一次心跳、一个轻轻的敲击，都可能证明案件的关键环节。

二、智能手表的取证方法为保障涉案智能手表中电子数据的完整性，办案人员在现场勘查时应注意将与智能手表配对的智能手机一并提取扣押根据不同品牌型号智能手表各异的硬件及数据接口，在提取收集涉案智能手表的电子数据时，应根据其实际情况选取对应的方法。

（一）通过配对手机进行取证与智能手机配对是智能手表共同特点, 包括可以插入SIM卡拨打电话的电话型手表, 都需要与对应的手机进行配对, 并与手机进行数据交互和同步其交互方式通常是在配对手机上对应的APP实现, 因此可以考虑将智能手表中的数据同步到对应的手机APP上, 再利用手机取证设备对APP数据进行取证分析, 从而间接得到手表中的数据。

此种方法主要适用于没有物理数据接口的智能手表, 如苹果Apple Watch、Moto 360、小米手环等（二）通过机身数据接口进行取证具有机身数据接口的智能手表可以尝试直接通过数据线取证，或是通过表壳背面进行充电和数据传输的触点连接USB数据线进行取证。

如GEAK Watch Pro在手表机身设有标准的USB数据接口, 可通过数据线进行取证；又如三星Gear 2的USB接口整合到对应的充电座上, 可借助充电座作数据线进行取证另外，对于大部分外壳表面并没有数据传输接口的智能手表,如果在表壳内部保留了USB插针的, 可尝试通过连接插针接口读取数据。

这种方法主要通过智能手表机身数据接口连接取证工作站, 利用相应取证软件对智能手表存储的电子数据进行提取分析，应根据手表不同的品牌型号和内置系统，采用相应的提取方法1.物理提取方法大部分国产智能手表采用MTK芯片, 连接取证工作站可通过手机取证工具直接获取到手表芯片的完整镜像并进行解析。

此方法曾对国产“好奔”智能手表实践成功[1]2.逻辑提取方法对于无法进行物理提取的机型, 可采用逻辑提取的方法，通过获取智能手表操作系统权限已进行取证如基于Android Wear系统的部分手表型号，可以通过刷入第三方Recovery刷机包或ROM的方法获取ROOT权限, 在此操作权限下可以提取较为全面的电子数据。

（三）通过拆解手表存储芯片进行取证部分品牌型号的智能手表使用与手机类似的存储芯片对于这类智能手表, 可直接对其硬件进行拆解, 得到存储芯片, 通过相应设备对芯片中的电子数据进行物理提取分析这种方法可以得到智能手表最完整的数据,但难点在于智能手表的硬件集成度更高, 拆解过程中可能容易损坏存储芯片, 对取证人员的手艺水平有较高的要求。

目前业内有对GEAK Watch Pro手表进行拆解并成功提取到芯片数据镜像文件的成功实践（四）对智能手表的外置存储卡进行取证部分国产小品牌智能手表受体积和技术的限制，机身内存较小, 需要通过外置存储卡进行数据存储。

这种类型的智能手表中大部分多媒体数据都会存储在其外置存储卡上，可使用相应的介质取证方法对外置存储卡进行取证（五）对智能手表的SIM卡进行取证市面部分智能手表以可单独进行通话为卖点, 如儿童电话手表等这类手表可单独插SIM卡进行通话和发送短信, 由此产生的通话记录和信息数据有可能会存储在SIM卡中, 可使用相应的手机取证方法对其SIM卡进行取证。

（六）对智能手表中无法导出的数据进行固定苹果Apple Watch等高端智能手表能独立运行第三方应用，这些应用数据可通过手表屏幕直接显示，但大部分无法导出，这种情况下应使用屏幕拍照或录像的方法对数据内容进行固定。

（七）通过无线连接对智能手表进行取证智能手表通过蓝牙、Wi-Fi等无线形式与其配对的智能手机进行通讯和数据同步, 大部分仍采用一种较弱的加密机制SSL 2.0, 理论上使用专门的破解工具可以将密码暴力破解出来, 如能破解便可获取手表和手机之间传送的信息。

目前智能手表的固件更新加密也不够严密, 这为通过无线的方式向智能手表的操作系统刷入取证专用固件提供了可能性（八）通过云备份数据对智能手表取证目前主流智能手机厂商（如苹果、华为等）为用户免费提供了云同步功能和云存储空间以存储同步数据。

用户可以将重要数据（如通讯录, 短信息, 相册, 系统设置等）同步备份到云空间, 在需要时可将这部分数据恢复到手表中该功能由于非常方便快捷, 大多消费者都会选择使用, 也是厂商推荐的方式，而其中与手机配对的手表中的一部分信息也会被同步到云端, 因此对云备份进行取证, 也是获取手表中数据的一个有效途径。

三、智能手表的取证难点（一）智能手表加密锁定高端的智能手表与智能手机一样，都支持设置密码加密锁定以苹果AppleWatch为例，该手表支持设置4位数字的独立密码，如输入密码连续5次错误后，手表就会锁定至少1分钟才能再解锁。

这种情况引出了智能手表取证的解密、猜解等课题（二）无法进行有线连接出于体积小巧外形美观等设计考虑, 大多数智能手表没有用于数据传输的接口, 充电也通常采用无线充电的方式, 手表中的数据都是通过无线连接方式同步到手机上。

在这种情况下, 不适用以数据线连接方式进行取证的方法（三）配对的手机与手表之间数据不一致通过对配对的智能手机而提取到涉及智能手表的电子数据, 可能因手机和手表间并非实时同步, 而出现手机端和手表端的电子数据不一致的情况, 需要对取证结果进行详细的分析甄别。

（四）难以拆解内部硬件结构复杂的智能手表智能手表内部硬件集成度非常高, 结构精巧紧凑如果采用拆解后读取芯片的取证方法, 很可能在拆解过程中造成芯片被破坏, 这对取证人员的拆解存储芯片能力有很高要求另外，智能手表可能采用定制的存储芯片, 此类芯片未必能直接进行数据提取。

（五）智能手表数据解析方法不明确受运算能力和存储空间的限制, 智能手表中数据的存储方式与手机中的数据存储方式并不完全相同, 并且大多数智能手表采用了与智能手机不同的操作系统，因此在解析智能手表数据方面还需要继续研究。

四、智能手表的取证意义（一）列为案件证据予以收集各类刑事案件中，应根据案情需要将智能手表列为电子物证予以收集，提取其中的电子数据可为案件（如组织实施考试作弊案）提供证据支撑相关部门和机构应紧跟取证实战需求，做好相应的技术储备。

（二）作为线索信息提供参考对带有定位功能的老人智能手表和儿童智能手表，用户可通过厂商提供的手机APP查看到地图模式的定位轨迹，在特定的条件或情况下，执法部门与智能手表厂家联系沟通，取得相应的信息作为线索参考。

（三）用好定位处置寻人警情当遇到有关老人或儿童走失的警情时，如报案市民能提供手机端显示的智能手表定位信息，警方可运用与取证同理的操作方法，去理解读懂定位位置信息，赶在智能手表仍有电量及信号之前迅速处置寻人警情。

结 语随着智能手表的功能不断增强，预计不久将来可能会出现越来越多的相关电子数据取证需求本文列举的要点旨在为取证工作打下理论基础，做好技术储备，务求能有效地提取收集涉案电子数据参考文献：[1]ZHAO L,KANG Y,GUO L.et al.Digital Forensic Investigation into Smart Watches by Experiment[J]. ForensicScience and Technology, 2018，43(1):17-21.。

[2]赵露,康艳荣,郭丽莉,等. 智能手表电子物证取证方法研究[J]. 刑事技术, 2018，43(1):17-21.

免责声明：本站所有信息均搜集自互联网，并不代表本站观点，本站不对其真实合法性负责。如有信息侵犯了您的权益，请告知，本站将立刻处理。联系QQ：1640731186