【中文关键词】 电子痕迹，信息转移，同一认定，网络犯罪

【摘要】 网络犯罪过程中必然出现形形色色的电子痕迹。电子痕迹本质上是反映客体特征的信息，遵循着从“物理空间”到“单机空间”再到“网络空间”的信息转移规律。司法人员基于电子痕迹可以进行人身同一认定，逆向回溯地确定网络犯罪的主体身份。这种认定以信息转移原理、同一认定理论为指导，将结合物理、虚拟两个空间的证据信息，编织纵向、横向两个维度的同一体系。具体来说，司法人员应当构建纵向的大同一认定链条，将基于电子痕迹的小同一认定（含小种属认定）提升至终级的人身同一认定；同时，基于电子痕迹的大同一认定链条应当以横向的同一认定为支撑，确保特征信息组合的特定性。

【全文】

网络犯罪是由处在物理空间的行为人操作电子设备在网络空间实施的。此时，电子设备成为了连接行为人与网络空间的中介。这一特殊的行为模式，天然地阻隔了分处于不同空间的行为人和犯罪行为。网络空间的证据信息，大都与人身绑定关系并不紧密，这为直接利用证据信息进行静态的身份识别带来了困难。在当今司法实践中，司法人员经常遇到如何有效认定网络犯罪实施者的问题，便是这一困难的体现。

然而，理论和实践均表明，网络犯罪会在虚拟空间留下电子痕迹。虚拟空间如同物理空间一样，亦存在反映客体特征的痕迹。电子痕迹作为传统痕迹学与现代信息技术交叉衍生出的新型痕迹，遵循着特定的信息转移规律。物理空间与虚拟空间、现实身份与虚拟身份的对接，应当以电子痕迹的相关原理为基础。

身份识别就是一个人身同一认定的过程。同一认定理论，随着司法实践的发展，不断被赋予新的认识：同一认定最初可溯源到物证鉴定，是物证鉴定的基础理论；后来有学者提出同一认定是犯罪侦查学的基础理论；[1]再后来，同一认定上升到对整个司法证明活动都有指导意义。[2]随着信息技术的发展，同一认定理论更应拓展至跨越空间的信息化认识。至此，同一认定理论已由静态、片面走向了动态、全面。当面对有限的证据信息难以进行网络犯罪的身份识别时，我们应当构建纵深性的大同一认定链条。本文旨在以电子痕迹为基础，以同一认定理论为指导，基于物理、虚拟两个空间与纵向、横向两个维度论述网络犯罪的身份识别问题。这是法学与证据科学、信息科学的交叉研究，期望解决的是司法人员认定网络犯罪身份难的问题。

一、网络犯罪中身份识别的理论基础

网络犯罪的身份识别涉及物理、虚拟两个空间，需结合两个空间内的证据信息。这离不开对传统痕迹与电子痕迹关系的认识，以及对电子痕迹留痕过程的分析。

（一）传统痕迹与电子痕迹的本质都是反映客体特征的信息

痕迹是指正在存在、曾经存在的物质与意识的反映。[3]因此，痕迹应是独立于相关物质与意识之外的一种“反映”。作为这种“反映”，痕迹还必须借助载体才能焕发生命。其中，被反映的客体称为造型体，承载“反映”的载体称为承受体。痕迹的本质就是反映客体特征的信息。

起初，人们对痕迹的认识仅限于紧密依附有形客观物质载体的那些反映。痕迹学只是研究那些能够在这一有形客体上引起另一有形客体的外表结构反映形象的那些反映。[4]人们在实践中，逐渐形成了三类痕迹的认识，分别是形象痕迹、动作习惯痕迹和整体分离痕迹。形象痕迹是一个客体在力的作用下与另一客体接触后在该客体表面上形成并能反映留痕客体接触面花纹结构特征的一类印痕。[5]动作习惯痕迹是指人的动作习惯特点遗留在承受体上的反映形象。此类痕迹的原理是人们经过长期的实践和反复的练习，会在大脑皮层内形成与人体运动器官相协调的条件反射锁链系统。一旦形成这种锁链，人的相应动作便具有了鲜明个人特点的动力定型，在短时间内很难发生较大的改变，据此可进行人身同一认定。整体分离痕迹是指客体在外力作用下发生分裂或断离，在断离端的分离线、分离面上留下具有互补特征的反映形象，据此可进行分离体同一认定。因此，形象痕迹反映客体的外表结构特征；动作习惯痕迹反映行为人的动力定型特征；整体分离痕迹反映客体断离面的结构特征。

后来，随着信息技术的发展，犯罪行为已由物理空间延伸到了虚拟空间。虚拟空间中数据信息的复制、转移更加容易，且不会紧密依附于某个客观物质载体。只要电子数据能够反映客体的特征，就是电子痕迹。电子痕迹与传统痕迹分处于不同的空间，遵循着不同的“游戏规则”，但也是一脉相承的。

（二）信息转移原理打通了传统痕迹与电子痕迹的界限

在信息论的影响下，犯罪过程中的信息转移原理在当代应运而生：犯罪过程就是一个信息转移的过程，遵循以“信源”、“信道”、“信宿”为要素的信息转移模型。[6]该原理突破了传统的物质交换原理的瓶颈，将犯罪过程中的意识性信息和新型计算机侵入犯罪方面的电子痕迹纳入了研究视野。基于该理论也能得出，电子痕迹与传统痕迹本质上都是一种信息。这与前文所述的“反映本质说”不谋而合。信息转移原理可同时适用

于传统痕迹和电子痕迹，打破了物理空间和虚拟空间的藩篱，对两类痕迹进一步抽象凝练，为电子痕迹的研究提供了理论支持。

（三）电子痕迹的留痕过程

电子痕迹的留痕过程涉及两个空间。行为人直接操纵的电子设备是连接虚拟空间的桥梁。从理论上讲，一方面，行为人在操作电子设备实施犯罪时，与电子设备相作用，会在电子设备上留下反映行为人特征的电子痕迹，在编辑的文件上会留下反映数据文件特征的电子痕迹、反映工具软件特征的电子痕迹；另一方面，行为人操作的电子设备还会与网络空间[7]相作用，会在网络空间中留有反映此电子设备特征的电子痕迹。前者，可进行人身、数据文件的种属、同一认定；后者可进行电子设备的种属、同一认定。另外，电子设备本身也具有智能性，内部的数据运算遵循系统自身的“游戏规则”。电子系统在运行时，基于数据信息的流动与运算，也会留下反映系统运行特征的电子痕迹。

利用信息转移原理的模型分析可知：当行为人操作电子设备时，行为人是信源，操作行为是信道，电子设备是信宿；当此电子设备与其它电子设备群互联互通时，此电子设备是信源，通讯过程是信道，其它的电子设备群是信宿。关于电子痕迹的留痕过程，概括如图1。

（图略）

网络空间中的电子痕迹并不是“规规矩矩”地完全根据上述的理想模型而存在的。电子痕迹作为数据信息，在一定条件下会随电子数据的复制转移，“轻而易举”地脱离原有载体，流转于其它电子设备间，在经过的每个结点都可能会留下它的身影。此特点与传统痕迹不同，所以我们在研究电子痕迹时，不要死板地理解留痕过程，应该更加关注电子痕迹内容本身及其证明价值。

二、网络犯罪中身份识别的本质

（一）身份识别是一个大的人身同一认定过程

同一认定理论解决的是判断被寻找客体与受审查客体是否同一的问题。这里的“同一”是指客体自身与自身的等同。同一认定是一种判断性的认识活动。我们赞同，同一认定对整个司法证明活动都有指导意义：司法人员运用证据证明案件事实的最终目标就是要证明被告人是不是实施了特定犯罪行为的人。[8]在这样一个人事同一认定中，身份识别就是其中的人身同一认定。这个过程往往会由多个互相衔接、支撑、并列的小种属认定、小同一认定组成。鉴于网络犯罪案件一般是先出现一个案件，再去寻找作案人，所以本文主要站在从事到人的角度论述网络犯罪的人身同一认定问题。

（二）基于电子痕迹的人身同一认定的本质就是信息转移的逆向回溯

电子痕迹涉及两类空间的研究视角，且可在一定条件下以复制的方式进行单向或双向的转移，遵循着信息转移的不对称性和不一定守恒性。[9]因此，电子痕迹转移的复杂性要求我们应当首先明确空间的概念。虚拟空间中，行为人直接操作的单机内部本身构成一个单机空间，同时，该电子设备与其它电子设备群互联互通，构成网络空间。这里“网络空间”的概念要做广义的理解：网络空间不仅限于互联网空间。只要使用现代信息技术，就可能构成一个虚拟的数字空间，如手机信号空间、电话网空间、电报网空间以及计算机局域网空间等。[10]网络（network）由若干结点（node）和连接这些结点的链路（link）组成，网络中的结点可以是计算机、集线器、交换机或路由器等。[11]因此，网络空间的本质是一定范围内互联互通的电子设备群（结点群）。

对空间有了明确的认识后，我们对电子痕迹留痕过程重新审视，可以提炼出电子痕迹转移的空间模型

（如图2）。

图2电子痕迹转移的空间模型

（图略）

分析信息转移过程可知，行为人作为信源，其产生的信息由左至右经过各种信道，转移、散布到了网络空间中的其它电子设备（信宿）里。电子痕迹的人身同一认定就是在虚拟空间搜寻电子痕迹，由右至左，逐步锁定行为人，本质上就是依据信息找寻信源的逆向回溯。

在这一过程中，司法证明空间亦随着同一认定的逐步实现而不断跃迁。例如，司法证明起始于“网络空间”，目的是锁定到行为人操作的目标电子设备，之后跨越到“单机空间”，依据单机内的电子痕迹，还可结合“物理空间”内传统形式的证据，最终锁定行为人。当然，这里的“目标电子设备”可做广义的理解，不仅限于行为人直接操作的电子设备，如在黑客攻击案中也可指受侵害的主机或服务器。只要我们把注意力集中在一个具体的电子设备内，将其视为一个独立的空间进行司法证明，都可称为“目标电子设备”。

三、网络犯罪中身份识别的维度

图2描绘了电子痕迹转移的空间模型，揭示了人身同一认定的本质就是信息转移的逆向回溯。由“网络空间”到“单机空间”再到“物理空间”的大同一认定过程，涉及了纵向与横向两个维度。这两类同一认定，条块结合、一动一静，共同编织起严密的同一认定网络体系。

（一）纵向同一认定

利用反映行为人特征的电子痕迹直接进行人身同一认定，颇有难度。同一认定的依据是客体的特征。网络犯罪中的人身同一认定自然应首先考虑反映行为人特征的电子痕迹。但是，一方面，电子痕迹分布于信息浩瀚的虚拟空间中，直接在虚拟空间搜集、挑选反映行为人特征的电子痕迹，无异于大海捞针，难度可想而知；另一方面，直接利用电子痕迹进行人身同一认定相较于传统痕迹难度更大。利用传统痕迹进行人身同一认定主要依据与人身绑定非常紧密的肢体、器官产生的痕迹（指纹、牙痕、足迹的形象特征等）和具有大脑动力定型的动作习惯（笔迹、足迹的步法特征、用语习惯等）产生的痕迹。在实务中，多数情况下，也是基于前者得以进行更可靠的人身同一认定。而电子痕迹特殊的形成过程，决定着那些与人身可靠绑定的痕迹很少反映到电子痕迹上。这也为直接利用电子痕迹进行人身同一认定带来了难度。利用电子痕迹直接进行同一认定也多局限在寻找行为人的动作习惯特征（编码特征、文字用语特征等）或是具有明显身份标识的账号信息。

依据纵向同一认定间接达到人身同一认定的目的。网络犯罪的身份识别就是作案人的同一认定，我们可以把这个过程看作一个大的人身同一认定。这个过程涉及许多小的、阶段性的同一认定和种属认定。[12]这些小同一认定和种属认定环环相扣，构成一个大同一认定链条。链条的末端、终点，就是人身同一认定。如图2，由右至左的信息逆向回溯过程会涉及跨空间的各种小同一认定和种属认定。在信息量巨大、拓扑结构复杂的网络空间，司法人员首先要解决的问题不是直接进行人身同一认定，而是如何进一步缩小范围，锁定目标电子设备。这一过程会伴随着电子设备的同一认定或种属认定，所依据的特征大多也是反映电子设备特征的电子痕迹。例如，司法人员可依据电子设备的IP地址、MAC地址等其他信息锁定电子设备，之后再把目光投向目标电子设备内部的单机空间和设备、嫌疑人所处的物理空间，综合两类空间内的痕迹物证，达到人身同一认定的最终目的。

因此，纵向同一认定旨在动态地构建大同一认定链条，将这一过程中的小种属认定和小同一认定引向人身同一认定的终点。

（二）横向同一认定

横向同一认定旨在保障逆向回溯过程中每个静态的阶段都能够达到同一认定的条件，使得大同一认定链条上的每一个节点都坚实可靠。由“网络空间”追溯到“行为人”的过程中，同一认定依据的特征必须要满足特定性。对特征的评判要从“质量”和“数量”这两个维度入手，综合考量。特征质量的高低，取决于该特征的出现率。出现率越低，特征质量就越高。“数量”是指特征点的数量。符合的特征点数量越多，那么在其他客体上重复出现的可能性就越小。就其本质来看，这也是取决于特征的出现率，只不过是特征组合的出现率。因此，特征的稀有程度体现在两个层面。第一个层面，对于单个特征点来说，取决于其本身的稀有程度。第二个层面，多个特征点作为一个特征群出现，其中特征点数量越多，越稀有，即多个特征点构成了特定性的组合。由于同一认定的特征和电子痕迹的本质都是反映客体特征的信息，所以，电子痕迹可以替换这里的“特征点”，遵循同样的规律。

满足同一认定条件的特征点的“出现率”与“数量”大致成正比例关系：如果特征点出现率很低，那么只需要很少的特征点就可以进行同一认定。如果特征点的出现率低到只需要一个特征点，就可以进行同一认定，这就是单一电子痕迹同一认定的情形。如果特征点的出现率较高，那么我们就需要更多的特征点。特征点之间需相互印证、补充，构成特定性的组合，才能满足同一认定的条件。在实际中，仅依据单一电子痕迹就能完成同一认定的情况较少。司法人员大都需要构成特定性组合的电子痕迹群。可见，横向同一认定要解决的问题主要是判断多个电子痕迹是否构成特定性的组合。

这里的特定性组合，主要包括以下两方面的内容。

第一，电子痕迹之间必须互相印证，形成稳定的结构。任何一种证明模式，都要求一定程度的“印证”，否则难以形成一种稳定的证明结构。[13]同一认定，同样离不开印证。对于传统痕迹的同一认定，并没有特别强调特征点之间相互印证。主要原因在于，传统痕迹反映的特征都承载于作为物质性客体的特征反映体上。作为物证的特征反映体，就像一艘航空母舰，载着特征点，徜徉于大海之上，特征点之间“合舟共济”，已经天然地绑定在一起，自然具有一定程度上的内在同一性。最起码同一个特征反映体上的特征群，一般都应是相同客体的反映。这也是进行同一认定的逻辑前提。

但是，对于与物质载体并不十分紧密联系的电子痕迹，情况就没有那么简单了。没有了承载电子痕迹的固定载体，反映同类客体的电子痕迹之间会变得“疏远”，可能会离散于不同的载体上。因此，将能够反映相同主体的电子痕迹进行重新归类与集合，变得尤为重要。“印证”可将失散的电子痕迹重新找回，形成稳定的结构。

印证是指电子痕迹间具有内涵信息的同一性，互相支持。电子痕迹间的印证，可从两个层面把握：第一个层面，从来源上，电子痕迹群反映的应是相同的客体，这是进行种属、同一认定的逻辑前提。判断这些电子痕迹是否来源于相同的客体，需要结合具体案情，凭借一定的经验、专业知识。根据电子痕迹反映的内容一般可分为：反映行为人特征的电子痕迹、反映电子设备特征的电子痕迹和反映数据文件、系统运行特征的电子痕迹等。第二个层面，从内容上，电子痕迹间的内涵信息，应相互支持，即能够有一定的重合或最起码不矛盾。首先，电子痕迹间应具有内容上的部分相同性，这仍然是电子痕迹群能够形成稳定结构的条件。其次，电子痕迹的内涵信息之间，应不矛盾。稳定的特定性组合，不应容许出现相矛盾的电子痕迹。所以，电子痕迹间的内涵信息是否矛盾，应是检验可否用于种属认定、同一认定的保障条件。例如，在一起手机录音文件的检验过程中，司法人员发现，录音文件的时间痕迹与手机内微信语音聊天文件的时间痕迹互相矛盾，因为手机的录音功能在重合时间段内不能被不同的进程复用。[14]

第二，电子痕迹间的内涵信息最好可以相互补充。特定性的组合不仅要求电子痕迹间有一定内涵信息的同一性、不矛盾，还应要求电子痕迹内涵信息的丰富性。内涵信息越丰富，越具有特定性。这应是实质上的丰富性而非形式上的丰富性。同一认定的条件是电子痕迹群达到组合的特定性。如果电子痕迹群里每一个分子都反映完全相同的特征，没有新的特征加以扩充，仅仅是数量上的简单叠加，再加上此特征出现率比较高，那么这种情况仍不满足组合的特定性。内涵信息相互补充的意义在于，此电子痕迹没有反映的特征，彼电子痕迹能够反映，从而对整体的特定性加以丰富、支持。当然，如果电子痕迹间得以相互印证的特征本身就已经达到我们想要的结果，也就无需再强调内涵信息的丰富性了。

因此，横向同一认定旨在强调电子痕迹间达到特定性的组合，使得大同一认定链条上的每一个小同一认定、小种属认定都坚实可靠。

四、网络犯罪中身份识别的形态

（一）基于单一电子痕迹的人身同一认定

首先，审查判断电子痕迹反映的客体种类。如前所述，电子痕迹主要分为反映行为人特征的电子痕迹、反映电子设备特征的电子痕迹，反映数据文件、系统运行特征的电子痕迹。技术人员首先会借助合适的工具将电子数据解读成能够认知并可进行种属、同一认定的形式。所以，此环节是发掘、破译电子痕迹内容的基础环节。在这一环节，我们应着重判断取证人员是否利用合适的工具解读电子数据，进而判断电子痕迹反映的客体种类。从信息转移的角度来看，本阶段就是判断电子痕迹的信源种类。

其次，审查判断电子痕迹反映的特征是共性特征还是个性特征。共性特征泛指同类客体共有的内在质的规定性。依据共性特征，可进行种属认定。个性特征泛指每个客体本身独有的质的规定性。依据个性特征可进行同一认定。

同一认定与种属认定的区别主要体现在对客体限定的程度、范围不同。种属认定只需将客体限定到一个种类范围即可。如果对这个范围继续限定，种类范围不断缩小，以至于缩小到单个客体上，则变成了同一认定。对于单一电子痕迹，其具有的内涵信息极其有限，所以通常只能达到种属认定的程度，如果要进行同一认定，需结合其他证据信息才可以。当然，对于某些个性特征质量极高的电子痕迹，例如未篡改的MAC地址、哈希值等，可以直接用于同一认定。另外，对于个性特征的审查判断，需要辩证的看待。在某些条件下，共性特征会变成个性特征。如在“快播案”中，涉案服务器中视频文件的格式是快播公司独有的，只有通过快播播放器才可以播放。作为共性特征的文件格式，在本案变成了个性特征。由此可以推断，涉案服务器应是快播公司使用的。

值得注意的是，单一电子痕迹大都反映的是共性特征。审查判断亦应避免将共性特征认定为个性特征。例如，用电子设备拍摄照片时，会在照片文件上留下反映电子设备特征的电子痕迹。用鉴定工具观察照片的底层代码可以发现电子设备的品牌型号。仅以此单一的共性特征，只能将拍摄此照片的电子设备限定在同一种品牌型号的种类范围内，而不能进行同一认定。

（二）基于多电子痕迹的人身同一认定

单一电子痕迹反映主体的特征十分有限，大都只能达到种属认定。所以，我们在审查判断中应当依据尽可能多的电子痕迹信息，尽可能全面客观地还原案件事实。多电子痕迹同一认定是在虚拟空间中完成的，应以单一电子痕迹同一认定为基础，综合应用纵向同一认定与横向同一认定，构建坚实可靠的大同一认定链条，达到作案人人身同一认定的最终目的。

第一，审查判断电子痕迹群是否反映相同种类的客体。在电子痕迹信息的发掘、获取阶段，侦查人员应通过各种手段，借助各种工具、将虚拟空间中的电子痕迹汇总起来，组成一个电子痕迹群，借助技术经验、结合案情，依照电子痕迹反映客体的种类进行分类。从信息论的角度来看，本阶段是信息获取与预处理的基础环节。针对这一环节，审判人员应着重审查判断同一个类群里的电子痕迹是否都是相同种类客体的反映。

第二，依据横向同一认定，审查判断反映同类客体的电子痕迹群是否构成特定性的组合。如前所述，横向同一认定旨在保障大同一认定链条上的每个节点都坚实可靠。各个节点的电子痕迹都应达到组合的特定性。一方面，反映相同种类客体的电子痕迹间，应互相印证形成稳定的结构，不能矛盾；另一方面，电子痕迹群反映的内涵信息应丰富，达到特定性的同一认定条件。

虽然电子痕迹人身同一认定有一定的难度，但是我们仍可以依据横向同一认定的条件，做出否定同一认定的判断。例如，由于计算机病毒、木马程序、网络黑客日益猖狂，即使司法人员锁定了涉案的目标计算机后，嫌疑人仍会抗辩，声称并非自己操作电脑实施犯罪行为，而是计算机受到了木马程序的控制。对于这种木马抗辩，我们可以运用多电子痕迹间的印证方法审查判断。以一起非法入侵计算机信息系统案为例。嫌疑人涉嫌操纵电脑在目标网站上非法下载了多个图片，嫌疑人主张木马抗辩。在本案中，寻找反映行为人操作特征的电子痕迹成为关键。此类电子痕迹种类多样，散布在计算机的各个区域。这些电子痕迹包括但不限于：下载图片文件上的时间痕迹、文件名称痕迹、系统日志痕迹、收发邮件的时间痕迹、即时聊天软件的痕迹等等。其中，下载图片的文件名如果是直接继承网站的原始名称，时间痕迹如果非常相近或一致，且每个图片的创建时间、修改时间、访问时间都相吻合，则很有可能是木马程序所为。如果是人为下载图片，文件之间的时间痕迹可能会有较大间隔。有时行为人还会再次打开图片查看、修改，导致时间痕迹改变，还可能在图片上留下工具软件特征的痕迹。行为人为了便于辨认图片，还可能会将图片重命名，使得文件名带有人为编辑的色彩。系统日志的痕迹、收发邮件的痕迹、聊天软件的痕迹，也可佐证行为人在关键时刻是否在操作计算机，以及对涉案内容是否知情。[15]以上特征信息虽然可能难以达到精准的人身同一认定，但是，如果信息特征间不能相互印证、甚至有矛盾的地方，并不妨碍做出否定的同一判断。

第三，依据纵向同一认定，审查判断是否达到人身同一认定的目的。如前所述，大同一认定链条的本质就是信息转移的逆向回溯。纵向同一认定就是依次经过“网络空间”、“单机空间”、“物理空间”的司法证明，将各阶段的小种属认定、小同一认定引向作案人的人身同一认定终点。

（三）基于电子痕迹与传统证据相结合的人身同一认定

多电子痕迹同一认定重在综合利用纵向、横向两个维度的同一认定体系，稳步推进人身同一认定。电子痕迹与传统证据相结合的同一认定则注重综合利用物理、虚拟两个空间的特征信息，达到同一认定的目的。

网络犯罪横跨两大空间，证据亦散落在两大空间。唯有充分利用两个空间的证据信息，才能有效同一认定。电子证据物理空间的证据体系要求我们将电子证据与传统证据相印证，组建一条两个空间相结合的证据锁链。[16]电子痕迹的同一认定，也应同样需要结合物理空间的证据，相互印证、补充，构成特定性的组合。证据法的信息论告诉我们，证据是信息与载体的统一。[17]无论是虚拟空间的电子痕迹还是物理空间的传统证据，都具有内涵信息的特定性。站在信息论和信息转移原理的角度，我们可将两大空间的证据进行信息抽象。只要电子痕迹与传统证据蕴含的特征信息构成特定性的组合，就可以进行同一认定。

例如，在一起网吧系统遭受攻击的案件中，警方通过IP定位到了一间出租房，房内只有一台电脑，对其进行勘查，发现其安装的软件版本与网吧电脑相同。警方开箱检验主机，发现箱内PCI显卡的安装位置与网吧电脑相似，箱内电线被整理过，其绕行方向同为左手法则，且都是绕过IDE排线，用扣索扎紧固定。这一特定的安装主机箱的动作习惯痕迹引起警方极大的重视。经过进一步侦查，锁定了曾为网吧组装过电脑的嫌疑人。警方提取嫌疑人照片后，房东也予以指认，进一步印证了嫌疑人作案的可能性。[18]本案，警方通过IP地址定位以及目标电子设备里的软件安装情况，只能初步证明是行为人直接操作这台电脑实施的攻击行为。当前掌握的电子痕迹内涵信息的有限性无法识别作案人。此时，警方将目光扫向物理空间、瞄向传统证据，在嫌疑人的电脑主机箱中，发现了具有个人特征的显卡安装位置和电线缠绕手法。这与网吧电脑主机箱内的安装情况一致。通过这一动作习惯痕迹结合出租房房东的指认，达到了特定性的组合，锁定了嫌疑人。本案巧妙地将电子痕迹与传统证据相互印证、补充，构成了特定性的组合，终究达到了人身同一认定。

结论

网络犯罪的身份识别实质上就是综合利用物理空间的传统证据与虚拟空间的电子痕迹进行大的人身同一认定。这个过程的本质就是依据信息找寻信源的逆向回溯。大同一认定的构建应以纵向、横向两个维度展开：一方面应将大同一认定过程中的小种属认定、小同一认定动态地引向人身同一认定的终点；另一方面，在每个小同一认定的静态阶段，应保证满足特征信息组合的特定性。

信息技术进一步的发展，已经将我们卷入了大数据时代。在这个逐渐数据化的社会，人与电子设备之间的关系发生了微妙的变化：人主动、有意识地操作电子设备逐渐转向了人被动、无意识地被电子设备记录。日常生活中，我们的一举一动不可避免地会被各种终端捕捉下来。数据化的社会带来电子痕迹信息的爆炸性增长。这种数据上的量变必然会导致数据信息处理方式的质变。如何运用大数据思维进行更高层面的人身同一认定，是一个值得深入研究的领域。

（责任编辑：郑未媚）

【注释】 *刘品新，中国人民大学法学院教授、最高人民检察院检察技术信息研究中心副主任；孙玉龙，中国人民大学法学院 2016届法学硕士。本文系2015年度教育部人文社会科学重点研究基地重大项目“网络安全的刑事法治应对”的阶段性成果，项目批准号15JJD820011。

[1]参见何家弘：“同一认定理论与犯罪侦查学”，载《公安大学学报》1986年第2期。

[2]参见何家弘：“司法证明同一论”，载《中国刑事法杂志》2001年第1期。

[3]王成荣主编：《痕迹物证司法鉴定实务》，法律出版社2012年版，第1页。

[4][前苏联]雪夫琴柯：《现代痕迹学的科学基础》，司法鉴定科学研究所译，中国人民大学出版社1953年版，第11页。

[5]徐立根主编：《物证技术学（第四版）》，中国人民大学出版社2011年版，第55页。

[6]参见刘品新：“论犯罪过程中的信息转移原理”，载《福建公安高等专科学校学报》2003年第1期。

[7]网络空间的本质就是一定范围内互联互通的电子设备群，详见后文论述。

[8]同注[2]。

[9]同注[6]。

[10]刘品新主编：《网络时代刑事司法理念与制度的创新》，清华大学出版社2013年版，第73页。

[11]谢希仁：《计算机网络（第5版）》，电子工业出版社2008年版，第2页。

[12]同注[2]。

[13]龙宗智：“印证与自由心证——我国刑事诉讼证明模式”，载《法学研究》2004年第2期。

[14]此案例是由北京市人民检察院检察官赵宪伟在中国人民大学法学院举行的“数字签名司法实务研讨会暨《电子签名法》十周年纪念”会议上分享的鉴定经历。

[15]参见陈巍、杨永川：“木马抗辩真伪研究”，载《刑事技术》2011年第1期。

[16]参见刘品新：《网络法学（第二版）》，中国人民大学出版社2015年版，第198页。

[17]参见何家弘主编：《证据法学研究》，中国人民大学出版社2007年版，第300页。

[18]参见孙晓东主编：《网络犯罪侦查》，清华大学出版社2014年版，第97页。

【期刊名称】《法律适用》【期刊年份】 2016年 【期号】 9