摘要：鉴于电子资料易被篡改且不留痕迹的特点，审计在电子资料取证过程中，可能面临传输失真、资料篡改、对方抵赖等问题，如何确保电子资料的法定效力，是审计亟待解决的问题。本文以数字签名技术为基础，提出了一种切实可行电子资料取证方法，该方法通过打包、加密、签名、传输、鉴证、解密、解包等一系列步骤，可较好地解决了这一难题。
关键词：审计证据、数字签名、加密
随着各类信息系统在被审计单位的广泛应用，审计人员不可避免需要从被审计单位收集大量的电子文档和电子数据，从中分析疑点，查找问题。当前一般的做法是审计人员先提出电子资料需求清单，清单上列明资料名称、文件大小、字段含义等需求信息，待被审计对象按清单收集好电子资料后，双方签字确认并移交存储介质。其实，考虑到电子信息易篡改的特性，这种方式从证据的法定效力上存在很大的瑕疵。一旦审计组从中发现重大问题，而被审计对象对审计组分析的电子资料的真实性和完整性提出质疑时，审计人员将承担极大的审计风险，而且很难自证证据的有效性。为规避这种潜在风险，审计人员应在提取和移交数据环节，采取技术手段切实保证所获取的电子信息的真实性和完整性。事实上，将数字签名技术应用于电子数据取证不失为一个较好的解决方案。本文将着重研究如何运用数字签名技术生成有效电子审计证据的方法。
目前在电子商务、银行、证劵等行业，数字签名技术已经得到广泛的应用。在法律层面上，1999年颁布实施的《合同法》及2005年施行的《电子签名法》确立了电子签名的法定效力。如《合同法》第十一条明确规定“书面形式是指合同书、信件和数据电文（包括电报、电传、传真、电子数据交换和电子邮件）等可以有形地表现所载内容的形式”。《电子签名法》第三条规定“当事人约定使用电子签名、数据电文的文书，不得仅因为其采用电子签名、数据电文的形式而否定其法律效力。”
数字签名是指以电子形式存在于数据信息之中的，或作为其附件的或逻辑上与之有联系的数据，可用于辨别数据签署人的身份，并表明签署人对数据信息中包含的信息的认可，它具有易验证性和不可抵赖性的双重特性。数字签名技术的应用过程是，数据源发送方使用自己的私钥对数据校验和或其他与数据内容有关的变量进行加密处理，完成对数据的合法“签名”，数据接收方则利用对方的公钥来解读收到的“数字签名”，并将解读结果用于对数据完整性的检验，以确认签名的合法性。数字签名技术是在网络系统虚拟环境中确认身份的重要技术，完全可以代替现实过程中的“亲笔签字”。数字签名技术是非对称密钥加密技术与数字摘要技术的结合体，
通常而言，加密技术包括算法和密钥两个必要元素。算法是将可以理解的信息与一串数字（密钥）的结合，产生不可理解的密文的步骤；密钥是一种参数，它是在明文转换为密文或将密文转换为明文的算法中输入的数据。加密技术按密码体制分为对称密钥体制和非对称密钥体制两种。对称密钥体制下，加密密钥和解密密钥相同，而非对称密钥体制下，加密密钥和解密密钥不同，加密密钥（公钥）可以公开而解密密钥（私钥）需要保密。对称加密以数据加密标准（DES，Data Encryption Standard）算法为典型代表，非对称加密通常以RSA（Rivest Shamir Ad1eman）算法为代表。
数字摘要是一个唯一对应一个任意长度消息或文本的固定长度的值，它由一个单向Hash函数对消息进行作用而产生。如果消息在传送过程改变，则接受者通过对收到消息后产生的摘要与原摘要进行比较，可以判定消息是否被修改。数字摘要采取将需要加密的明文加密为一串固定长度的密文摘要，不同的明文对应不同的密文摘要，且无法通过密文摘要倒推出明文。通过数字摘要可以确保接受者接收到的消息的完整性。数字摘要算法主要有MD5和SHA-1算法。应该指出的是，在2004年国际密码学会上，中国山东大学的王小云教授公布了MD系列算法的破解结果，引起了密码学界的广泛关注。但截至目前，未找到更好的解决方案前，MD系列算法仍是主流摘要算法之一。
以上简要介绍了数字签名技术及所涉及的加密技术和数字摘要技术，然而如何将这些技术应用于具体审计证据收集中，还有很多具体的问题需要解决。以下我们将针对现行审计业务特点提出一种可行的、经济的解决方法。
在审计实务中，审计人员提出的资料需求清单涵盖面相当宽泛，既有规章制度等非结构性文件也有数据库表等结构性文件，且数量众多。资料的面宽量多的特点要求我们需要解决数据规范组织和打包封装的问题。被审计对象，特别是对于异地被审计对象则，必然面临需要通过公众信息网络或物流网络来解决数据的传输问题。由上可知，电子证据需要解决的问题包含了组织封包、安全传输、不可抵赖三个子问题。对于组织分包问题，较小的文件规模用WINRAR等压缩工具可以解决，较大的文件规模建议自行开发打包程序；对于安全传输，采取使用非对称密钥对文件进行对称加密方式解决；对于不可抵赖的问题，运用数字签名技术即可。下图即为解决方法的流程示意图：
