[논문]KakaoTalk의 채팅 메시지 포렌식 분석 연구 및 WhatsApp의 Artifacts 와의 비교 분석

윤종철; 박용석

doi:10.6109/jkiice.2016.20.4.777

KakaoTalk의 채팅 메시지 포렌식 분석 연구 및 WhatsApp의 Artifacts 와의 비교 분석
Forensic Analysis of chatting messenger service in KakaoTalk and Comparison Study of KakaoTalk and WhatsApp Artifacts 원문보기

한국정보통신학회논문지 = Journal of the Korea Institute of Information and Communication Engineering, v.20 no.4, 2016년, pp.777 - 785

윤종철 (Graduate School of Information Security, Sejong Cyber University) , 박용석 (Graduate School of Information Security, Sejong Cyber University)

초록
AI-Helper

IM(Instant Messenger)의 채팅메시지는 이용자의 생활패턴, 지리적 위치, 심리 상태, 범죄 사실에 대한 흔적들이 존재하여 포렌식 분석이 필요하다. 하지만, KakaoTalk의 포렌식 분석은 주고받은 상세메시지에 대한 분석이 부족한 실정이다. 이에 본 논문은 우선 일반적인 IM 채팅메시지의 분석방법론을 정리 분석하였고, KakaoTalk의 상세 채팅메시지의 테이블 구조를 분석하여 메시지를 재구성하였고, 채팅메시지를 복원하였다. 그 결과 분석한 정보를 활용하면 Forensic Tool의 기본 플랫폼이 된다. 추가적으로 분석한 KakaoTalk과 WhatsApp을 비교 분석하여 비슷한 IM App이지만, 다른 흔적의 차이를 논의하였다.

Abstract ▼ AI-Helper

IM(Instant Messenger) chatting service can carry user's various information including life style, geographical position, and psychology & crime history and thus forensic analysis on the IM service is desirable. But, forensic analysis for KakaoTalk's chatting service is not well studied yet. For this reason, we study KakaoTalk's forensic analysis focusing on chatting service. This paper first details a general method of IM forensics investigating the previous articles about IM forensics although there are not many articles. Second, we discuss methodologies for IM forensics wherein we present analysis of table structure and method for reconstruction of chatting message. These result in the basic element of forensic tools of KakaoTalk chatting message. Last, we compare artifacts of KakaoTalk with that of WhatsApp. We conclude that these applications are, at least, different in that table structures and the ways to reconstruct chatting messages are not same and therefore digital evidences or artifacts are not same and somewhat distinct.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

이에 본 논문은 VM 아닌 실장비로 KakaoTalk의 그룹 채팅, 비밀채팅 등의 상세한 채팅 메시지 분석을 하고, 연구가 활발한 WhatsApp의 분석 결과를 비교하여 같은 IM 이지만 다른 흔적들을 비교한다[26].
KakaoTalk은 그룹 채팅, 비밀채팅 등의 상세 채팅 메시지의 많은 분석 연구가 이루어지지 않았다. 이에 본 논문은 일반적인 IM App의 채팅메시지 분석 방법론을 분석 도출하였고, KakaoTalk 채팅메시지의 테이블 구조를 분석 수행하였다. 채팅메시지의 분석 내용은 다음과 같다.

제안 방법

‘저장 중인 DB파일의 위치’와 ‘Backup DB의 위치’ 를 찾는 방법은 2가지 방법을 만들었다.
그에 따라 포렌식 분석 연구는 컴퓨터 포렌식 기술을 사용하여 AIM(AOL Instant Messenger)의 분석[14, 15], Facebook’s Instant Messenger의 분석[16], MSN Messenger의 분석[17], 그 외 다양한 IM을 분석하였다 [18,19].
KakaoTalk과 WhatsApp은 다른 App 이기 때문에 파일의 위치가 다르고, DB 암호화 상태 등이 다르다. 다른 점을 분석하기 위해 KakaoTalk과 WhatsApp이 제공하는 서비스를 반복 송수신 하였고, 이를 분석하였으며, 분석결과의 차이점을 비교하였다. 그 중 채팅메시지에 관한 주요 비교 분석은 표 8과 같다.
발견한 ‘저장 중인 DB파일’과 ‘Backup DB파일’의 채팅 메시지를 분석을 위해 각각 다른 방법을 만들었다.
본 논문의 구성은 Ⅱ장 분석 방법론에서는 IM App의 일반적인 채팅 메시지의 분석방법을 정리하고 수행한 분석방법을 소개하며, Ⅲ장 실험 및 분석환경에서는 실험에 참여한 장비와 분석할 기능을 소개하며, Ⅳ장 포렌식 분석결과에서는 KakaoTalk의 상세 채팅메시지 분석 결과 및 WhatsApp과 KakaoTalk의 비교분석의 결과를 논의하며 , Ⅴ장에서는 결론으로 정리한다.
일반적인 스마트폰 IM Apps의 포렌식 분석 연구는 개별 App에 대한 연구와 다양한 IM Apps의 분석한 연구 결과를 비교하여 비슷한 IM App이지만 다른 흔적의 차이를 비교 분석하였다. 개별 IM Apps의 포렌식 분석 연구는 세계에서 가장 많이 사용하는 WhatsApp의 분석 연구가 활발하다.
채팅메시지의 분석 내용은 다음과 같다. 채팅메시지의 유저를 식별하였고, 송･수신 구분과 콘텐츠를 구분하였고, 이력을 설명 하였으며, 메시지 복원을 논의하였다. 분석결과는 분석한 정보를 바탕으로 Forensic Tool의 기본 플랫폼을 제공된다.
추가로 WhatsApp과 KakaoTalk을 비교 분석하였다. KakaoTalk의 DB파일은 WhatsApp과 달리 칼럼 암호화 상태로 복호화 방법이 필요로 하고, WhatsApp의 Backup DB파일 복호화는 KakaoTalk과 다르게 외부 사이트에 의존성을 보였다.
KakaoTalk에서 분석할 기능은 표 2와 같다. 추가로 그 외 실험 환경은 [25]을 사용하고, Ⅱ장에서 언급한 분석방법들을 실현 수행하였다.
한편, IM Apps의 비교 분석 연구에서는 WhatsApp과 Viber를 사용하고, 사용 흔적을 UFED(Universal Forensic Extraction Device) 물리적인 장비로 정보를 추출한 후 기존 연구한 분석결과를 토대로 App이 저장한 채팅 메시지･연락처 등의 DB파일의 위치 비교, 채팅 메시지의 테이블 비교, 연락처의 테이블 비교, 주고받은 멀티미디어(사진, 비디오 등) 파일의 위치 등을 비교하여 같은 IM 이지만 다른 흔적들을 연구하였다. 물리적인 장비로 정보를 얻고, 비교 분석의 기여는 하였지만 개별 WhatsApp, Viber의 포렌식 분석 연구는 진행하지 않았다[23].

대상 데이터

그룹채팅의 콘텐츠를 주고 받기 위해 스마트폰은 3대를 사용하고, 분석PC 1대를 사용한다. 분석 스마트폰은 채팅메시지의 접근하고, 분석하기 위해 루팅한다.
분석 스마트폰은 채팅메시지의 접근하고, 분석하기 위해 루팅한다. 실험에 참여한 스마트폰 디바이스의 Android, KakaoTalk, WhatsApp 버전은 표 1과 같다.

이론/모형

본 논문은 그룹 채팅메시지의 포렌식 분석에 초점을 두며, 기본 채팅메시지 분석과 그 방법 및 실험환경은 기존의 논문[25] 에서 방법론을 참조 할 수 있다.
표 8의 3행과 같이 WhatsApp의 파일 암호화 Backup DB파일은 외부에서 공개한 복호화 도구(Xtract Package) 의 방법론으로 외부 의존성을 가지나[21,22], KakaoTalk의 Backup DB파일은 DB파일과 동일한 암호화 방식으로 [25,26] 의 방법론을 사용하여 자체 App으로 복호화 하여 분석한다.

후속연구

KakaoTalk의 DB파일은 WhatsApp과 달리 칼럼 암호화 상태로 복호화 방법이 필요로 하고, WhatsApp의 Backup DB파일 복호화는 KakaoTalk과 다르게 외부 사이트에 의존성을 보였다. 또한, WhatsApp은 채팅메시지의 삭제 흔적이 DB파일에 미 존재하여, logs파일 등의 추가 분석의 필요하다. 마지막으로 차후 PC 버전의 포렌식 분석은 제공하는 서비스에 대응하는 분석 방법론의 필요하다.
또한, WhatsApp은 채팅메시지의 삭제 흔적이 DB파일에 미 존재하여, logs파일 등의 추가 분석의 필요하다. 마지막으로 차후 PC 버전의 포렌식 분석은 제공하는 서비스에 대응하는 분석 방법론의 필요하다.
하지만 iOS의 KakaoTalk 분석 연구와 Android과 iOS의 KakaoTalk의 비교 분석 연구등 다양한 Platform에서의 각종 IM Forensics 비교 분석은 향후 연구로 남긴다.

질의응답

핵심어	질문	논문에서 추출한 답변
	‘저장 중인 DB파일의 위치’와 ‘Backup DB의 위치’를 찾는 방법 두 가지는 무엇인가?	‘저장 중인 DB파일의 위치’와 ‘Backup DB의 위치’ 를 찾는 방법은 2가지 방법을 만들었다. 첫째, Backup App의 사용이다. Backup App을 사용하여 IM App을 백업하고, 백업 데이터 중 .db파일을 sqlite browser에서 보고, 채팅메시지로 보이면, 채팅메시지의 .db파일로 결정하여 찾는다. 그러나 .db파일이 아닌 경우는 찾을 수 없다(예: WhatsApp의 Backup DB는 .crypt파일). 따라서 둘째, 이 경우에는 수정된 파일의 검사를 사용한다. 메시지를 주고받기 전 파일시스템 상태를 텍스트로 저장하고, 메시지를 주고받은 후 파일시스템 상태를 텍스트로 저장되기 때문에, DB파일의 결정은 전/후 상태의 텍스트 파일을 비교하여 수정된 .db파일과 .backup 파일 등을 찾고, DB파일을 sqlite browser에 보고 채팅 메시지로 보이면, 채팅 메시지 DB파일로 결정한다. 수정된 파일의 검사는 암호화 DB파일도 수정되기 때문에 감지가 되어 DB파일 위치를 찾는다.
	인스턴트 메신저란 무엇인가?	스마트폰은 항상 켜져 있고, 언제나 접속 가능한 상태로 전화, 메시지, 사진, 동영상 등을 주고받는 디바이스로 다양한 가치가 있는 디지털 증거들이 존재한다[1-6]. 인스턴트 메신저(IM: Instant Messenger)는 이동 통신사 SMS, MMS 을 대신해 인터넷에 연결하여 메시지, 전화, 사진, 비디오 등을 주고받는 서비스이다[7,8]. IM 서비스 이용자는 자유로운 의사소통과 정보를 공유하여 서로 사회적 관계를 맺어 일상 생활양식을 크게 변화 시켰다[9,10].
	가상머신 기반의 포렌식 분석의 한계점은 무엇인가?	WhatsApp 연구에서는 VM(Virtual Machine)의 기반으로 App을 사용할 때 흔적파일의 위치, 연락처․채팅메시지 테이블의 구조 분석, 연락처․채팅메시지 복원 등을 포렌식 분석하였고[20,21], 암호화 Backup 연락처․ 채팅메시지의 DB파일을 외부에서 공개한 복호화 도구(Xtract Package)를 가지고 복호화 하여 얻은 평문의 과거 연락처․채팅메시지 정보들을 포렌식 분석에 활용하였다[21,22]. 하지만, 가상머신(VM)은 GPS 모듈 등이 없어, 일부 기능의 사용 제약이 존재하여 그로 인한 분석의 한계점이 존재한다[20].

참고문헌 (27)

Google. Consumer Barometer with Google [Internet]. Available: https://www.consumerbarometer.com/.
Andrew Hoog, "Android Application and Forensic Analysis," in Android Forensics: Investigation, Analysis and Mobile Security for Google Android, 1st ed. Waltham, MA: Syngress Pub., ch. 7, pp. 285-363, 2011.
Jeff Lessard, Gary C. Kessler, "Android Forensics: Simplifying Cell Phone Examinations," Small Scale Digital Device Forensics Journal, vol. 4, no. 1, pp. 1-12, Sept. 2010.
Federal Court of Australia. Ashby v Commonwealth of Australia (No 4) [2012] FCA 1411 [Internet]. Available: http://www.austlii.edu.au/cgi-bin/sinodisp/au/cases/cth/FCA/2012/1411.htm.
SAFLII. S v Oscar Pistorius (CC113/2013) [2014] ZAGPPHC 793 (12 September 2014) [Internet]. Available: http://www.saflii.org/za/cases/ZAGPPHC/2014/793.html.
Yu Jong Jang, Jin Kwak, "Mobile Digital Forensic Procedure for Crime Investigation in Social Network Service," The Journal of Korea Navigation Institute, vol. 17, no. 3, pp. 325-331, Jun. 2013.
TTA. Instant Messaging [Internet]. Available: http://word.tta.or.kr/main.do.
Wikimedia Foundation, Inc. Instant Messaging [Internet]. Available: https://en.wikipedia.org/wiki/Instant_messaging.
J. M. Lee, "The Effect of Personal Communication Activities using Smart Phone Instant Messenger on Job Performance," Journal of Korean Socieity for Internet Information, vol. 13, no. 6, pp. 17-24, Oct. 2012.
H. S. Jung, "The evolution of Korean social network service focusing on the case of Kakao talk," The Journal of Digital Policy and Management, vol. 10, no. 10, pp. 147-154, Nov. 2012.
Svein Yngvar Willassen, "Forensics and the GSM mobile telephone system," International Journal of Digital Evidence, vol. 2, no. 1, pp. 1-17, Spring. 2003.
Mark Taylor, et al., "Digital evidence from mobile telephone applications," Computer Law & Security Review, vol. 28, no. 3, pp. 335-339, Jun. 2012.

상세보기
KIPO(Korean Intellectual Property Office), Digital forensics technology, patents increase. [Internet]. Available: http://www.kipo.go.kr.
M. Dickson, "An examination into AOL Instant Messenger 5.5 contact identification," Digital Investigation, vol.3, no. 4, pp. 227-237, Dec. 2006.

상세보기
J. Reust, "Case study: AOL instant messenger trace evidence," Digital Investigation, vol. 3, no. 4, pp. 238-243, Oct. 2006.

상세보기
Noora Al Mutawa, et al., "Forensic artifacts of Facebook's instant messaging service," in Conference of the 6th International Conference on Internet Technology and Secured Transactions, Abu Dhabi, pp. 771-776, 2011.
M. Dickson, "An examination into MSN Messenger 7.5 contact identification," Digital Investigation, vol. 3, no. 2, pp. 79-83, Apr. 2006.

상세보기
H. Carvey, "Instant messaging investigations on a live Windows XP system," Digital Investigation, vol. 1, no.4, pp. 256-260, Dec. 2004.

상세보기
Matthew Kiley, et al., "Forensic analysis of volatile instant messaging," in Conference of The Fourth Annual IFIP WG 11.9 Conference on Digital Forensics, Kyoto, pp. 129-138, 2008.
Anglano, Cosimo, "Forensic analysis of WhatsApp Messenger on Android smartphones," Digital Investigation, vol. 11, no. 3, pp. 201-213, Sept. 2014.

상세보기
Neha S. Thakur, "Forensic analysis of WhatsApp on Android smartphones," M.S. Thesis, University of New Orleans Theses and Dissertations, 2013.
Shubham Sahu, "An Analysis of WhatsApp Forensics in Android Smartphones," International Journal of Engineering Research, vol. 3, no. 5, pp. 349-350, May 2014.
Aditya Mahajan, et al., "Forensic analysis of instant messenger applications on android devices," International Journal of Computer Applications, vol. 68, no.8, Apr. 2013.
Daniel Walnycky, et al., "Network and device forensic analysis of Android social-messaging applications," Digital Investigation, vol. 14, pp. S77-S84, Aug. 2015.

상세보기
Jongcheol Yoon, Yongsuk Park, "Forensic Analysis of KakaoTalk Messenger on Android Study of KakaoTalk," Journal of the Korea Institute of Information and Communication Engineering, vol. 20, no. 1, pp. 72-80, Jan. 2016.

원문보기 상세보기
Jongcheol Yoon, "Forensic Analysis of KakaoTalk Messenger on Android and Comparison Study of KakaoTalk and WhatsApp Artifacts," M.S. Thesis, SeJong Cyber University, 2016.
Sei-Youen OH, "The application of digital forensic investigation for response of cyber-crimes," Journal of Digital Convergence, vol. 13, no. 4, pp. 81-87, Apr. 2015.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증