대검찰청

이규안

leegyuan@hotmail.com

2

II. 모바일 포렌식의 종류II. 모바일 포렌식의 종류

III. 모바일 포렌식의 절차III. 모바일 포렌식의 절차

IV. 모바일 포렌식 사례IV. 모바일 포렌식 사례

V. 모바일 포렌식의 전망V. 모바일 포렌식의 전망

I. 디지털 포렌식의 개요I. 디지털 포렌식의 개요

3

Ⅰ. 디지털 포렌식의 개요Ⅰ. 디지털 포렌식의 개요

4

디지털 포렌식

범죄와 관련된 디지털 자료를 과학적 지식과 기술을 활용

하여 수집하고 분석하는 제반행위

- 디지털(Digital) : 이산적인 수치(0과 1)를 이용하여 처리

하는 방법

- 자료(Data) : 가공되지 않은 단순한 사실이나 기록

- 정보(Information) : 자료를 처리하여 얻은 결과

- 디지털 증거(Digital Evidence) : 디지털 형태로 저장된 범

죄와 관련된 증거로서 가치가 있는 정보

1. 디지털 포렌식1. 디지털 포렌식

5

2. 디지털증거의 특징

매체독립성

- 정보, 그 자체이므로 법정에 제출할 수 없다.

비가시성

- 존재를 사람의 자각으로 인식할 수 없다.

동일성

- 원본과 사본이 똑같다.

대량성

- 방대한 분량의 데이터가 저장된다.

네트워크성

- 인터넷등 네트워크로 정보가 전달된다.

6

3. 디지털 증거의 증거능력

증거의 진정성

- 제출되고 수집된 증거가 원본에서 나왔으며 오류가 없다는 것

을 입증해야 함.

증거의 동일성

- 원본과 사본에서 나오는 증거가 같아야 함.

증거의 무결성

- 증거를 수집하고 분석하는 과정에서 위변조되지 않아야함

증거의 신뢰성

- 분석자, 장비 및 프로그램, 분석 방법등이 오류가 없어야 함

7

전문 인력

- 전문수사관제 도입

표준절차와 지침

- 디지털증거수집 및 분석규정

전문장비와 도구

- 국제장비 및 국내 개발 장비

4. 디지털 포렌식의 3요소

8

디지털 포렌식– 컴퓨터에 저장된 데이터 추출 및 분석

– 일반 저장장치에 저장된 데이터 추출 및 분석

5. 디지털 포렌식의 종류

9

시스템 포렌식– 윈도우, 리눅스, 유닉스,

– 프로그램의 특징을 파악하여 분석

10

네트워크 포렌식– 인터넷 등 네트워크 침입등에 대한 추적 분석

– 바이러스 유포, 해킹등에 대한 네트워크 취약점 분석

11

데이터베이스 포렌식– 기업의 전산화 등에 따른 서버자료 분석

– 회계, 메일서버, 전자결재등 저장된 데이터 추출 및 분석

12

모바일 포렌식– 휴대폰, PDA등 소형화된 기기에 저장된 데이터 추출

– 다양한 플랫폼, 파일구조등 존재

Smart Card

MP3 PlayersUSB Thumb Drives

Cel Phone

13

해상 디지털 포렌식– 선박의 전산화에 따른 데이터 추출 및 분석

– 국제법, 선박구조에 대한 이해 필요

14

Ⅱ. 모바일 포렌식Ⅱ. 모바일 포렌식

15http://blog.daum.net/khpark9800/11301243

16

유비쿼터스 시대 도래– 이동성, 소형화, 멀티화의 요구 조건

– 메모리 보관기능의 발달로 대용량 정보 보관

17

모바일의 구성– 하드웨어, 소프트웨어, 컨덴츠로 구성

– 디지털증거는 퍼즐 조각모음으로 정보를 취합 분석

모바일

모바일하드웨어

모바일소프트웨어

모바일컨텐츠

무선네트워크휴대폰PDA etc

WAPLBSGIS etc

게임, 교육SMS, 폰뱅킹, e-Mail etc

18

모바일 포렌식의 업체현황– 국내 업체 : ㈜파이널데이터, 이씨플렛폼㈜, ㈜유즈웨어

숭실대학교

– 국외업체 : EnCase, Paraban, FTS etc

19

모바일 포렌식의 문제점

- 국내외적으로 상이한 포멧 : 국내 CDMA, 국외 GSM 방식

- 통신환경의 급속한 변화 : 통합융합, USIM카드 도입

- 파일의 비표준화 : 동일 모델이라도 파일 규격 상이

- 통신케이블의 비표준화

20

케이블명핀번호

TTA-STD(정통부표준 )

SAMSUNG JTAG(정통부표준 삼성)

LG JTAG(정통부표준 LG)

SKY(U160 붐붐폰)

1 JTAG_nTRST BATT_ID

2 JTAG_nTRST JTAG_RTCK EXT_AUDIO_SEN

3 DSR JTAG_nRESET nSRST

4 JTAG_TDI Power(+4.2V)

5 JTAG_TMS

6 JTAG_TDO EXT_PWR_ON

7 DM RX DM RX JTAG_PS_HOLD NATE_DRIVE_DET

8 JTAG_TCK JTAG_TCK

9 JTAG_TDO JTAG_TMS

10(공통) USB - USB - USB - USB -

11 DM TX DM TX JTAG_TDI

12(공통) POWER_GND POWER_GND POWER_GND POWER_GND

13(공통) RXD RXD RXD TDO

14(공통) TXD TXD TXD nTRST

15(공통) USB + USB + USB + USB +

16(공통) USB_POW(+5.0V) USB_POW(+5.0V) USB_POW(+5.0V) USB_POW(+5.0V)

17 DCD JTAG_nRESET TDI

18 RI JTAG_RTCK TMS

19(공통) POWER_GND POWER_GND POWER_GND POWER_GND

20 CTS(입력) TCK

21(공통) POWER(+4.2V) POWER(+4.2V) POWER(+4.2V) Power(+4.2V)

22(공통) POWER(+4.2V) POWER(+4.2V) POWER(+4.2V) Power(+4.2V)

23 RTS(출력) RTCK

24 DTR VTREF

각 회사별 케이블 핀번호

21

Ⅲ. 모바일 포렌식의 절차Ⅲ. 모바일 포렌식의 절차

22

모바일 포렌식의 절차에 따른 분류

SYN통신을 이용한 데이터 추출

- 충전 단자의 통신 포트를 이용한 접근.

JTAG를 이용한 데이터 추출

- 하드웨어 칩 디버깅을 위한 프로그래밍과 삭제된 데이터 복

원 기법 이용.

플래쉬메모리 직접 데이터 추출

- 휴대폰의 고장 혹은 파손시 지원.

23

SYN통신을 이용한 데이터 추출휴대폰 정상 동작시 이용하는 방법

- 데이터 통신을 위하여 각 회사별로 지원하는 프로토콜 이용.

- 삭제되지 않은 데이터 및 삭제 표시가 되었으나 삭제되지 않

은 데이터 추출.

- 정상적인 동작으로 리얼 데이터 유입 가능성 존재

24전자파 차단을 위한 장치

25데이터를 추출하는 과정

26추출된 데이터를 분석하는 과정

27

JTAG를 이용한 데이터 추출

프로그래머를 위한 디버깅을 이용한 추출

- 휴대폰의 케이블 핀 번호가 서로 다르므로 개별 연구 필요

- 케이블 포트를 삭제하거나 디거딩 데이터를 변환 하기도함

- 삭제되거나 일부 덮여진 데이터 추출 가능

28휴대폰 메인 보드

29

B사의 JTAG 포트의 모습A사의 JTAG 포트의 모습

30

30

휴대폰 S/W 구조

31

31

휴대폰 메모리 구조

운영체제, 플랫폼,

Application,…

EFS 파일시스템

전화번호부, ESN,

SMS 메시지, 그림

FAT16/32 – 외부 디스크 호환

0x00000000

0x????0000

0x????0000

32메모리 덤프를 뜬 데이터

33

33

데이터 구조 분석

데이터 분석 : 전화번호부

34데이터 분석 : SMS

※ 한 종류의 데이터가 여러 개의파일에 걸쳐서 기록될 수도 있음(예: SMS: sms_000 ~ xxx)

35

35

파일시스템 분석

36A사의 휴대폰 : 전화번호부

37B사의 휴대폰 : 전화번호부

38

38

C사의 휴대폰 : 전화번호부

39

플래쉬 메모리 직접 데이터 추출

휴대폰의 고장, 심각한 훼손시 데이터 추출

- 메모리를 분리하여 정보를 추출.

- 휴대폰의 무결성에 치명적인 손실 발생

40

휴대폰 데이터 추출과정

부서진 휴대폰

41분리된 보드

42Repair 장비로 메모리 추출

43

43

Reballing Jig를 이용하여 볼을 얹음

44Reballing이 완료된 메모리

45장비 이용 데이터 추출

46

Ⅳ. 모바일 포렌식의 사례Ⅳ. 모바일 포렌식의 사례

47

모바일 장비 활용으로 무죄가 선고된 사례- 변양호 전 재경국장(뇌물수수)

- 일정관리를 위해 PDA를 이용함

- 컴퓨터에서 삭제된 파일 복구

- 2007. 1. 30. 문화일보

48

일산 초등학생 성폭행 미수사건 혐의 입증– 현장 CCTV 및 지하철 CCTV를 이용한 혐의 입증

– 교통카드 조회를 통한 행동 경로 입증

49

삭제된 동영상 복구 사례– 성폭행 사실을 숨기고 원조교제라고 주장

– 휴대폰에 저장된 동영상으로 범죄사실 입증

50

V. 모바일 포렌식의 전망V. 모바일 포렌식의 전망

51

장비의 발전- 멀티미디어 기능강화 : 화상통신, 통방융합기능지원

- 대용량의 메모리 장착으로 문서보관등 기능

- 조립형 휴대전화로 기능 분할방식

정책변화– CDMA 와 GSM의 공조(USIN Card)

– 기본정보와 부가정보의 구분(히스토리, 메시지등)

새로운 연구 활발- IC 카드 분석 : 혐의자 행동 반경 분석

- 자동차 메모리 칩분석 : 교통사고등에 대한 분석

- 퍼즐식 연관관계 분석 : 조각모음으로 디지털 증거 분석

모듀폰 (이스라엘 모듀사)

52

현재 모바일기기 차세대 모바일기기

Notebook PC

Tablet PC

PDA

Home Gateway

휴대용

게임기

Smart Room/Office

시계형

액세서리형배지형

신발형

의류형

3차원가상디스플레이

입체표현장치

입체차량계기판

Car

Navigation

E-Toilet

IC 카드

소 형 화

착 용 화

실 감 화

지 능 화

착용형 키보드

53

디지털증거자료, 그 가운데 우리가 서 있습니다