Re: [新聞] 柯文哲USB硬碟勘驗出大包？律師驚喊「沒

這件事的癥結點為
檢察官稱勘驗的標準程序就是直接勘驗原物。 且法官好像也沒意見
同樣文章丟給gpt, 問他"根據台灣法律，請問勘驗硬碟應勘驗映像檔還是原物"

在台灣法律實務中，勘驗電腦硬碟時是否應以「映像檔」還是「原物」為準，雖無明文的強制規定，但根據《刑事訴訟法》與數位證據相關實務見解，以「映像檔」（image）為勘驗對象，才更能保障證據的完整性與證據能力（證據鏈），符合下列法律與實務考量：

一、法律依據與原則
《刑事訴訟法》第198條：「必要時，得為勘驗。」
雖未細分應勘驗原物或映像檔，但原則上應確保證據「原始性」與「未遭變更」。

證據能力保障原則:
電腦硬碟屬於數位證據，一經開機或開啟檔案，即可能留下新的時間戳記（timestamp）、修改記錄或其他meta data變化，會影響證據的完整性與可受信性（Integrity &
Authenticity）。

法務部與警政署實務見解:
通常要求第一時間即進行映像檔（bit-to-bit clone）備份，勘驗應以此副本進行，以防原始證據遭破壞或篡改。
若有爭議，應可提供「校驗碼（Hash值）」佐證原物與映像檔一致性。

二、實務操作與證據鏈（Chain of Custody）
最佳實務建議為：

原始硬碟應封存保存。
先以鑑識工具（如FTK Imager）製作完整映像檔。
接著由法院、檢辯雙方共同勘驗映像檔，並以hash值驗證與原物一致。
若需查核meta data變動、隱藏檔案等，也應於映像檔上進行。

三、實務裁判觀點（參考）
臺灣高等法院或地方法院曾在多起案件中認定：
若未經鑑識或未先製作映像檔，直接勘驗原始硬碟，可能構成證據破壞或造成證據能力爭議，尤其若未保留完整證據鏈記錄（如硬碟開啟記錄、hash值等）。

結論
根據台灣實務與數位證據保全原則：

應優先以「映像檔」為勘驗對象，而非直接操作硬碟原物。
若直接操作原物，除非有充分保障證據完整性（如全程錄影、雙方在場、計算hash值），否則容易引起證據爭議。

======================================================================
個人心得:以訴訟經濟考量, 不如省下檢察官的薪水花690/mon買GPT

先不論柯文哲有沒有真的貪汙
證據斷鍊對檢方沒好處吧? 反而對被告貪汙這方有好處
被告要求你保全證據增加證據信度
結果檢方反而想製造斷點!?我不懂這邏輯

※ 引述《TouchAgain (謝謝)》之銘言：
: 中天新聞網 李奕緯
: 柯文哲USB硬碟勘驗出大包？律師驚喊「沒封袋」：證據無汙染？
: 民眾黨前主席柯文哲京華城案今（5）日再開庭，今天將進行勘驗程序，要勘驗的證物包: 括都委會第783次會議、2021年8月10日便當會錄影，以及柯文哲被扣押的「A1-37」行動: 硬碟。
: 今天下午針對柯文哲行動硬碟進行勘驗，法官請庭務人員拿出硬碟原物，交給檢辯雙方輪: 流檢視。柯文哲律師蕭奕弘提出，為確保證據鏈完整，應該勘驗硬碟的image映像檔，而: 不應該勘驗原物，以免勘驗過程中造成檔案變動。法官為此一度休庭10分鐘，但臨時無法: 製作映像檔，最終還是以原物勘驗。
: 法官請庭務人員逐一打開檢方聲請勘驗的19個檔案，包括路徑「2024」、「財務」檔案夾: 之中記載「小沈1500」的「工作簿」excel檔，檢察官強調檔案的作者名稱都是「wen」，: 可見檔案確是柯文哲本人製作。下一個勘驗路徑「台北市長」、「中國大陸」、「2022」: 檔案夾之中的「補充」word檔，檢察官表示，這是柯文哲2022年出席上海雙城論壇的致詞: 稿口頭補充內容，有見諸新聞報導，證明確是柯文哲本人製作的文件檔。
: 下一個要勘驗路徑「台北市長」、「人事」檔案夾之中的「副市長」word檔，法官這時要: 求請庭務人員關掉所有投影螢幕，並表示接下來勘驗的檔案內容都與公眾無關，不再公開: 播送，以衡平被告隱私權。檢察官再論證檔案內容是柯文哲對副市長的主觀評價，沒人可: 給副市長這麼重的評價，證明硬碟檔案都是柯文哲本人的。之後的勘驗檔案都未再投影顯: 示，其中也並未包括外傳的不雅照、不雅片。
: 19個檔案都勘驗完畢後，蕭奕弘這才發現剛才看的是硬碟原物，再次強調應該勘驗image: 映像檔。法官質疑為何不事前提出？檢察官也稱，勘驗的標準程序就是直接勘驗原物。: 蕭奕弘並表示，「A1-37」行動硬碟裡面有31萬餘個檔案，柯文哲對「工作簿」這excel檔: 沒印象，且office檔案的作者名稱只是電腦的代號，不是單一識別碼，不能單以此判斷檔: 案是柯文哲製作。
: 沈慶京委任律師徐履冰更直指，「A1-37」行動硬碟這個證物最大的問題，在於檢廉查扣: 之後到今天取出的過程，在其他案件的數位取證程序，行動硬碟查扣時就要套上封袋，任: 何單位打開了封袋，就要註明人員、時間、地點，還要以雜湊值計算報告證明原始資料未: 經更動，但本案「A1-37」證物並未做到依法應有的措施，若未能確保證據沒被汙染，則: 「小沈1500」這個記載的真實性就非常值得懷疑！
: 5.完整新聞連結 (或短網址)不可用YAHOO、LINE、MSN等轉載媒體:
: https://ctinews.com/news/items/dynyvzqzWZ
: 6.備註:
: 經過跟ChatGPT求證的結果如下:
: 數位硬碟勘驗的實際動作步驟
: 1. 證物接收與記錄（Chain of Custody）
: 確認硬碟的來源與證據編號。
: 紀錄硬碟序號、型號、容量、接收時間等資訊。
: 拍攝硬碟外觀照片，包含任何標籤或損壞。
: 2. 準備環境與工具
: 使用寫入保護裝置（write blocker）連接硬碟，防止任何寫入行為。
: 準備取證電腦，安裝並啟動取證軟體（如 FTK Imager、EnCase、X-Ways、dd 等）。
: 3. 製作硬碟映像檔（Bit-stream Image）
: 使用取證軟體進行硬碟完整複製，做成映像檔（例如 .dd、.E01 格式）。
: 製作過程中會同步計算映像檔的雜湊值（如 MD5、SHA-1、SHA-256）以確認完整性。
: 映像檔複製完成後，核對原始硬碟與映像檔的雜湊值是否一致。
: 4. 雜湊值驗證
: 對原始硬碟與映像檔各自計算雜湊值。
: 確認兩者雜湊值一致，確保映像檔為原始硬碟的真實複製。
: 5. 分析與勘驗
: 對映像檔進行文件系統分析、檔案恢復、搜尋關鍵字、提取檔案紀錄等。
: 不直接操作原始硬碟，避免污染證據。
: 6. 紀錄與報告
: 詳細記錄每一步操作，包括時間、使用的工具、軟體版本、雜湊值等。
: 撰寫勘驗報告，陳述發現結果與證據完整性。
: 重要注意事項
: 整個過程中，原始硬碟應保持唯讀，絕不直接操作。
: 必須保存所有操作紀錄與雜湊值，供法庭驗證。
: 勘驗時所有軟硬體工具必須是經過驗證、可靠的。
: ------------------------------------------------------
: 目前瞭解到的狀況是:
: 1.正常情況應該是用映像檔(副本)進行勘驗，以免原始硬碟遭汙染
: 2.要確認原始硬碟的雜湊值(hash value，可視為數位指紋)，
: 與映像檔的雜湊值相同，才能確認證據有效，未遭竄改
: 3.若直接勘驗原始檔案，若未用唯讀或禁寫的方式勘驗，
: 則勘驗過程則等同於汙染過程，勘驗完後其雜湊值必定改變，
: 則無法確認與副本相同，證據效力則存疑
: 看起來柯跟沈的律師都認為證據有被汙染嫌疑，
: 沒有按照標準程序進行保存跟勘驗。
: 只能說這個案子也太詭異，
: 被告聲稱受到不正訊問，
: 證人筆錄與光碟有多處明顯出入，光碟也曾經被覆蓋，
: 硬碟證據保全也有重大瑕疵。

--