隨著智慧型手錶廣為流行，數位鑑識的重點標的物也隨之擴展到智慧型手錶的領域，本文將探討智慧型手錶與智慧型手機在進行藍牙連線配對時，在智慧型手機端會遺留下哪些有關手錶的訊息，並透過ADB指令來萃取手機映像檔並搭配鑑識軟體Encase進行數位鑑識分析。
根據資策會產業情報研究所（MIC）統計，2015年全球智慧穿戴裝置出貨約7,600萬支，如圖1所示。
 |
| ▲圖1 資策會MIC全球智慧穿戴式裝置出貨量分析。 |
其中智慧手錶／手環出貨占80%，包含頭戴式顯示器在內的智慧眼鏡約占5%，其他類型產品則占15%。資策會MIC預估，2016年全球智慧穿戴裝置出貨將達1.3億支，較2015年成長約74%。
隨著智慧型手錶加入穿戴式裝置的家族，加上目前智慧手錶廣泛被市場所接受，可能被作為操作和存取手機訊息的替代介面，預計在不久的將來，關於智慧手錶的犯罪數量也可能增加，因此不能忽視利用智慧手錶犯罪的可能性，手錶記錄使用者的大量訊息，而這些有用的訊息可能揭示犯罪嫌疑人與被害人間的關係，成為破案非常有利的證據。
現今智慧手錶與手機必須透過藍牙連線，手機端才能將通知訊息同步推播顯示在手錶端，手錶端回應的訊息也即時同步到手機端，兩者彼此相互搭配，發揮最大的功效。
因現今不易取得智慧手錶的最高使用者權限，且商業鑑識軟體尚未支援智慧手錶的鑑識分析，因此除了從智慧手錶本身尋找跡證外，還必須從與手錶進行藍牙連線的手機端著手，多面向地收集證據，以避免非法之人在案發時破壞犯罪工具（智慧手錶），致使調查工作受阻。
商業鑑識軟體統整性的證據分析，讓鑑識人員可以方便快速地取得有興趣的證據，但商業鑑識軟體會因行動裝置的廠牌、型號、系統版本，支援度而有所不同，再者更不用說商業鑑識軟體更新的速度，遠遠不及不斷推陳出新的行動裝置製造商。
此外，商業鑑識軟體價格昂貴也是一大考量，並非每個鑑識單位有能力負擔，鑑識人員不能僅依賴現成的商業鑑識軟體，因此本文採用Google所提供的除錯工具Android Debug Bridge萃取證據，以手動分析的方法進行實驗。
本文主要是針對搭載Tizen作業系統的三星（Samsung）Gear S2智慧手錶與ASUS Zenfone 2 Android手機進行藍牙連線配對後，使用ADB指令對手機端進行資料的萃取分析，尋找手機與手錶之間的連線資訊，證明用戶確實利用手錶與手機相互配合，來進行相關的犯罪行為。
了解相關背景知識
以下簡單介紹一下智慧型手錶、Android作業系統、Android Debug Bridge以及Busybox等工具。
智慧型手錶
智慧手錶目前的作業系統有Google Android Wear、蘋果（Apple）watchOS、Samsung TIzen等，智慧型手錶本身（因各款智慧手錶而異）提供一些實用的功能，如接收通訊軟體（Facebook、LINE）、簡訊、E-mail等即時訊息通知並進行回覆，以及行事曆的檢視、電話的撥接、運動與健康照護、天氣資訊、語音指令、多媒體瀏覽、音樂播放、遙控拍照、尋找手機、GPS定位導航等，並提供進行Wi-Fi、藍牙、NFC等連接方式。
與智慧型手機一樣，也可以在智慧型手錶上安裝所需的應用程式App，以提供更多樣化的服務功能。再加上手錶本身體積較小、重量較輕、續航力長等特點，相對於智慧型手機，攜帶更為便利。
Android作業系統
Android作業系統是以Linux作業系統為基底所開發出的作業系統，其系統架構分為四層，包括Linux核心（Linux Kernel）、函式庫（Libraries）與執行環境（Android Runtime）、應用程式框架（Application Framework）以及應用程式層（Applications）。
Android行動裝置分割區的規劃，會因為不同Android行動裝置廠商的客製化設計而有所不同，但基本上都會有六個分割區，每個分割區都有專門的功用，對數位鑑識調查人員而言，最有興趣的分割區為System Partition和Data Partition。
System Partition基本上就是Android的系統區，包括了系統內建的App都放在這裡，而Data Partition此區就是存放使用者資料區，包括聯絡人、簡訊、系統設定，與使用者安裝的App軟體等等，這些可能都會留下犯罪的蛛絲馬跡。
Android日誌系統提供記錄及查看的功能，日誌紀錄檔是存放在手機的環形緩衝區（Circular Buffer），利用「logcat」指令可分別萃取主要緩衝區（Main Buffer）與事件緩衝區（Events Buffer）中的手機日誌紀錄（Log）。