无线数据包嗅探工具在工程软件侵权举证中的应用及限制

定义：

权利人：指软件的著作权人或授权经销商

侵权人：指被控通过破解手段，在未经权利人许可的情况下使用权利人软件的主体，因为以下文字系探究被法院认可的侵权证据，所以本文所指侵权人特指未经法院程序初步认定的、权利人有理由推定使用盗版软件的主体。

软件：特指权利人享有著作权的软件产品，本文特指授权费用较高的大型工程类或芯片设计软件。

场景：特指侵权人对办公场所采取高度保密措施，致使权利人无法获取有效初步证据（本地程序运行痕迹、操作系统底层日志记录、电脑屏幕照片、软件安装包、本地缓存数据等）的场景。基于取证成本的限制，该场景限于那些授权单价较高，或者使用盗版数量较多的侵权场景。

嗅探工具：支持多种网络传输协议、操作系统指纹识别、Geo IP、通信数据列表及可能包含的解压、解密的软件工具。

    一、技术需求的合理性

    特定场景下，软件侵权人对侵权行为查证的警惕性极高，一方面基于软件授权价格相对运营成本较高，另外一方面因为特殊行业，如工程类、芯片设计行业办公场所有极高的保密性要求。这限制了权利人可能的取证途径。

     如果直接在侵权人办公场所附属区域或周边利用嗅探工具“监听”（从侵权人角度也可以表述为“截获”）其无线通信并从中提取侵权证据，极可能触及刑事或行政违法（例如非法获取他人通信内容、侵犯商业秘密、非法入侵计算机系统等），即使权利人的真实目的是维权考虑并且切实有取证困境，但是监听数据中可能包含用户名、密码（依据通信协议或加密方式不同），所以权利人也面临取证合法性的质疑。

  从证据最终的验证效果来看，法院对证据的“取得方式”非常关注：非法取得的证据存在被排除或被法官不采信的风险；并且权利人或受托律师的行为可能被对方反诉或举报，给权利人带来更大的法律风险。

  我们认为，基于非法目的技术应用，与基于举证困境而实施的技术措施，特别是上述技术措施已经充分考虑对数据访问的合理边界的前提下，权利人利用嗅探工具取得的必要数据，与黑客等违法分子拦截、破解他人通信、绕过加密或未经授权访问他人网络/设备具有显而易见的区别，并且考虑到特定场景，应当认定权利人举证目的之合理性和举证行为之合法性。

二、嗅探工具在举证目的下应用合法性的标准

      我们认为，符合维权举证目之特殊前提，嗅探工具取证的技术路径还应当满足如下要求：不触及受保护的可识别的“通信内容”，即对获取数据无解密行为，除明显的嗅探工具提供的功能外，未进一步识别获取通信内容；因无线广播天然暴露，法律上属于可观察空间，同时权利人律师应保证没有在公共广播网络中修改通信数据并利用所在网络进行转发的行为。

    最后权利人律师对于嗅探获取的数据，仅用于维权与举证，且获取的数据经由过滤，无关数据均已删除。

    基于以上标准，嗅探工具所获取的数据应当被法院所认可。

三、嗅探工具举证的技术路径

        律师提供的举证技术路径用于说明在不进入侵权人办公区域、不直接接触侵权人技术人员终端、除嗅探工具提供的功能外不额外解密通信内容、不以获取侵权人商业秘密内容为目的之前提下，如何利用侵权人办公区域外可被动采集的无线侧元数据，识别是否存在软件版权人软件（含正版/破解版本） 的运行迹象，从而作为向法院申请进一步证据保全的“初始化怀疑依据”。

1、权利人律师的准备工作：软件的“网络行为指纹”建模

        为了在不解密、不触及可识别的具体通信内容、不修改对方网络通信内容的前提下判断侵权人“是否疑似运行软件”，律师需在权利人公司内部对软件进行网络行为建模，提取可被无线数据观测到的“模式化特征”。

      大型工程类软件可能存在的特征：

      从破解人的角度，因为破解软件通常的方式是Patch / Hook，期间不会完全移除原软件的通信模块，工程类软件内部通常包含多个模块：License client、License server resolver、Heartbeat、Feature check，破解路径往往是绕过server 地址检查或者Hook 返回值，但不会删除整个通信模块。因此软件仍会周期性构造校验包、尝试访问原 license server 地址、生成 heartbeat、查询模块 feature，这些操作无法真正“静默”。License 校验或 ping，其典型表现为定期访问特定端口（不同的工程类软件厂家往往选择不常见的端口以示区别，在行业内逐步形成规范）、访问特定服务器域名/端口，侵权人即使使用破解版，根据其破解路径，仍然可能执行访问“假服务器”（本地 loopback 或伪造服务），软件依然会发起 socket（可在无线侧看到目标端口模式）。

     有以上特征可知，工程类软件都会自动执行更新 / license heartbeat / 许可证续期操作，EDA 软件通常会每隔一段时间发送：心跳包、授权续期包（一般几十字节到几百字节）、目标服务器为固定域名/IP。

    以上特征可以综合为特定的元数据指纹（端口模式 + 数据包大小分布 + 通信频率）。

    上述特征也可以作为律师确定元数据指纹（目标域名的 TLS SNI、IP、JA3 指纹模式——无需解密即可识别）。

    最后，工程类软件中涉及特定格式的不同工作程序文件的相互协作，这样的工程协作工具通常集成在工程软件之中，即便工程文件不走 WLAN，协作类功能会产生对 NAS/内部 git 的定时查询、对协同服务器的 ping、对内网 CM 工具、工单系统、插件更新时服务器的访问。这些访问行为的“周期性 + 指纹特征 + 包大小分布” 可被建模。

    根据上述模型特点，结合软件权利人的具体特点，律师可以在办公场所软件环境中做“白盒采样”。即在权利人公司实验室中，执行不同场景：正版启动、破解版启动、离线启动、工程文件打开、工程文件关闭、协作同步等操作，采集这些场景下的无线侧特征元数据，包括：端口序列、包大小序列特征、TLS Client Hello 的 JA3、固定 IP/domain 模式（如果有）、数据包 burst 模式，最终得到一个可在无线层观察到的软件无线侧指纹模型（signature）

2、律师现场无线元数据采集（合法可观察层）

    律师可以使用合法的嗅探工具，例如Kismet、Wireshark、Zeek（仅做 metadata）、自定义脚本等。 采集的数据必须限定在帧头/握手元数据层面，不包含任何 payload。采集范围严格限制为“公共广播层元数据”，包括：WiFi 扫描所得的 AP 信息；各类管理帧中的公开字段；DHCP/ARP 的广播元数据；TLS 握手可见部分；数据包尺寸/频率（pattern）。

    律师采集电脑以及嗅探工具设备需满足：支持监听模式的无线网卡，确保不修改和发送任何数据包，采集过程须全程录制与记录，确保除嗅探工具提供的功能外，未额外对嗅探获悉的加密内容进行解压、破译。

    以Wireshark为例，取证律师可以观测到特征性周期性流量（Feature ping / heartbeat），例如每 30 秒出现一个 150~300 bytes 左右的数据帧 burst。

在 Wireshark 上表现为：

   取证律师通过Wireshark在无线信道旁观察，能看到：特定端口模式（即使加密也会暴露端口字段）、数据包目标端口、传输方向、包大小、是否为 TCP SYN和重试次数。

例如：xx.xx.xx.xx → LicenseServerIP:5280  [SYN]

3、模型特征与采集数据比对（生成“合理怀疑”）

    将现场采集数据与软件的数据指纹特征进行比对，比对方式包括：JA3 指纹匹配度；目标域名/IP 是否出现；TLS 会话发起频率是否与样本相符；封包尺寸分布是否符合软件运行模式；广播协议特征是否存在对应异常。

    比对结果用于证明“侵权人存在高度可能性正在运行权利人软件”，通常情况下，该类技术对比结果可以作为“合理怀疑依据”。

四、嗅探工具取证的边界

    司法体系在认定上述取证行为边界时会考虑侵权事实的存在与取证困境的严重程度，侵权是先行为（先有盗版使用，后有取证行为）侵权行为本身破坏了法律秩序，造成权利人损害，特定的场景下，例如芯片设计行业本身保密性较高，权利人无法通过正常渠道获取证据（公司内部、设备封闭）。如果司法系统过度收紧取证界限，将导致侵权方因“控制现场 + 不合作”而逃避责任。因此，取证的合法边界应当适度向权利人倾斜，以避免“举证不能”导致的权利虚置。

    当大型工业软件的侵权行为使权利人陷入结构性举证困境时，法律对取证边界的判断应考虑利益均衡，使取证者在不突破商业秘密、不侵入系统的前提下，拥有合理的技术操作空间。

    对于司法体系对律师上述观点的态度，中国大陆目前尚未有公开的该类案件。以下域外法院的认定可以作为参考，伊利诺伊州北区地方法院（Case: 1:11-cv-09308 Document #: 393）的一起案件中，原告Innovatio IP Ventures，LLC 一直在使用市售的Wi-Fi网络分析仪收集无线网络用户涉嫌侵权Wi-Fi网络的信息，这一过程在业内被称为“嗅探”，要求原告的技术人员在工作时间内携带笔记本电脑（提前安装有嗅探软件）进入无线网络用户的场所。嗅探工具可以拦截无线传输的数据包，这些数据包在无线网络用户提供的Wi-Fi路由器与可能与其通信的设备之间。原告使用 Wireshark 网络数据包分析软件分析数据包，揭示网络配置及网络中设备的信息。数据包还包括使用Wi-Fi网络的客户在拦截数据包时可能传输的任何实质性信息，包括电子邮件、图片、视频、密码、财务信息、私人文件以及客户可能传输到互联网的其他内容。原告在这个案件中主张其收集的信息将有助于证明其侵权主张。

    在原告提交上述证据后，审理法院对“嗅探”是否可能涉及联邦《窃听法》（The Federal Wiretap Act）中侵犯隐私权益表示担忧。但是，最终审理法院认为，“尽管公众未必了解访问未加密Wi-Fi通信的便利性，但这些通信仍向公众开放，这一点尤为重要。然而，公众对未加密的Wi-Fi通信被第三方截获的轻易程度的认知，与判断这些通信是否'对公众易于获取'无关。”公众对特定通信隐私的期望与现行《窃听法》的适用无关。由于通过未加密的Wi-Fi网络发送的数据包可以通过上述基本设备轻松获取，因此《窃听法》不适用于此案审理。

    通过上述案例可知，一方面域外立法比照中国大陆要更为细致（例如窃听法），更为重要的是，上述法院裁定内容确定了嗅探工具取证在知识产权侵权举证中的合法地位。这无疑是在法律冲突时进行价值衡量和判断的正确选择。