[논문]무결성 향상을 위한 모바일 포렌식 모델 연구

김영준; 김완주; 임재성

doi:10.13089/jkiisc.2020.30.3.417

무결성 향상을 위한 모바일 포렌식 모델 연구
A Study the Mobile Forensics Model for Improving Integrity 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.30 no.3, 2020년, pp.417 - 428

김영준 (아주대학교) , 김완주 (아주대학교) , 임재성 (아주대학교)

초록
AI-Helper

정보통신기술의 비약적인 발전과 함께 모바일 장치는 우리 생활에 있어 필수적인 도구가 되었다. 모바일 장치는 대부분의 시간을 사용자와 함께 하면서 개인 정보 관리(PIM) 기능과 동시에 데이터를 축적하기 때문에 범죄 증명에 있어 중요한 증거 자료로 활용된다. 모바일 포렌식은 모바일 기기로부터 디지털 증거를 획득하는 절차로 기타 증거와 동일하게 적법절차에 따라 수집 및 분석이 이루어져야하며, 변조 및 삭제가 용이한 측면을 가지고 있어 증거의 무결성 입증이 필수적이다. 또한, 증거의 채택은 법관의 자유심증주의에 의존하고 있어 일반화된 절차 제시가 절실하다. 본 논문에서는 절차의 일반화를 통해 무결성을 보장받을 수 있는 모바일 포렌식 모델을 제시하였다. 제시된 모바일 포렌식 모델을 통해 증거의 신뢰성과 진정성을 확보함으로써 법관의 심증형성에 기여할 수 있을 것으로 기대된다.

Abstract ▼ AI-Helper

With the rapid development of information and communication technology, mobile devices have become an essential tool in our lives. Mobile devices are used as important evidence in criminal proof, as they accumulate data simultaneously with PIM functions while working with users most of the time. The mobile forensics is a procedure for obtaining digital evidence from mobile devices and should be collected and analyzed in accordance with due process, just like other evidence, and the integrity of the evidence is essential because it has aspects that are easy to manipulate and delete. Also, the adoption of evidence relies on the judges' liberalism, which necessitates the presentation of generalized procedures. In this paper, a mobile forensics model is presented to ensure integrity through the generalization of procedures. It is expected that the proposed mobile forensics model will contribute to the formation of judges by ensuring the reliability and authenticity of evidence.

주제어

표/그림 (7)

그림 Fig. 1. Guidelines on Mobile Device Forensics Procedure
그림 Fig. 2. Guidelines on Cellular Phone Forensics Procedure
그림 Fig. 3. Mobile Forensics Model for Improving Integrity
그림 Fig. 4. Evidence Retention&Management Steps
그림 Fig. 5. Comparison with Other Model(Relative Procedure)
표 Table 1. Comparison with Other Model (Application)
그림 Fig. 6. A Comparative Case Study

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

논문에서 제시한 모델의 세부 단계와 NIST의 ‘Guidelines on Mobile Device Forensics’, TTA의 ‘Guidelines on Cellular Phone Forensics’와의 비교를 통해 본 모델에서 제시하는 절차를 검증하고자 한다.
따라서 본 논문에서는 모바일 포렌식 절차를 수행함에 있어 무결성 향상을 위한 모델을 제시함으로써, 디지털 증거의 신뢰성과 진정성 확보를 통한 법정에서의 법관 심증형성 및 증거효력 입증에 크게 기여할 것으로 기대된다.
본 연구에서는 모바일 포렌식과 관련된 선행연구와 NIST 및 TTA의 표준 가이드라인에서 제시하는 절차의 핵심요소를 추출하여 5가지 단계와 15개의 세부항목을 도출하였으며, 단계별 절차 수행의 명확한 분리를 통해 무결성을 보장받을 수 있는 모바일 포렌식 모델을 제시하였다.
본 연구의 목적은 모바일 포렌식 절차를 수행함에 있어 증거 수집 단계부터 법정에 제출되어 증거로 채택될 때까지의 무결성 보장을 통해 디지털 증거의 효력을 보장받는 모델을 제시하는 것이다.
사례 연구를 통하여 모델에서 제시한 신규단계의 적합성 검증을 실시하고자 한다. 연구 검증은 디지털 증거의 증거능력 인정요건을 구체적으로 언급하였던 대표적인 판례인 대법원 2007도7257 판결(일심회 사건)과 대법원 2013도2511(왕재산 사건)의 디지털저장매체에 관련한 증거능력 인정요건과 증거 환부 이후 재 제출된 증거의 증거능력인정 여부를 판결한 대법원 2013도11233 판결을 중심으로 활용하고자 한다.

가설 설정

넷째, 데이터의 대량성을 가진다.
둘째, 취약성이 존재한다. 오류에 의한 손상이나 의도적인 변조가 쉬우며, 변조 사실을 찾아내기 어려운 취약성이 존재한다.

제안 방법

결과 보고서 작성은 수사과정에서 각각의 증거데이터 단계에 대한 상세하고 요약된 결과로 구성하며, 조사, 분석자의 모든 행동과 관찰 내역, 분석 과정 등의 내용을 명확하고 객관성 있게 6하 원칙에 따라 작성한다.
둘째, 신규 기술을 적용한 모바일 기기에 맞는 새로운 데이터 획득 기법 적용의 필요성을 도출하고 분류 및 부분적 선별을 통해 실험환경을 구성하여 모델에서 제시한 절차를 수행하여 무결성 보장 여부를 검증한다.
과 같이 5가지의 단계 - 증거 압수 준비(Evidence Seizure Preparation), 증거 획득(Evidence Acquisition), 분석 및 복원(Investigation& Restoration), 보고서(Reporting), 증거 보존 및 관리(Evidence Retention&Management) - 를 도출하였다. 또한, 다음 모델은 기존의 표준 가이드 라인에서 제시하고 있지 않는 주요 차별화 단계인 사전준비단계, 새로운 데이터획득 단계, 증거 검토단계 및 증거 보존 및 관리단계의 별도 구성 등을 적용한다.
무결성을 입증하는 방법으로 두 판결 모두 압수매체에 대한 봉인, 녹화, 매체 이동과정, 해쉬값의 비교 등 종합적으로 사정을 고려하였으나, 왕재산 사건의 원심은 동일성과 필수불가결한 관계로 무결성(연계보관성)이 증명된다면 동일성 입증에 요구되는 방법으로 사용되는 해쉬값 비교 절차가 반드시 수반된다고 볼 수 없고 원본과 출력문건의 객관적인 검증결과 등 제반 조건을 종합하여 법관의 자유판단에 의하도록 하는 형사소송법 제308조의 자유심증주의를 준용하여 동일성 여부에 관하여 합리적으로 판단하도록 판시하였다.
본 연구에서는 Ⅱ장에서 모바일 포렌식 개념 및 디지털 증거의 특징, 모바일 포렌식의 대표적인 NIST, TTA의 표준 가이드라인을 통해 Fig. 3.과 같이 5가지의 단계 - 증거 압수 준비(Evidence Seizure Preparation), 증거 획득(Evidence Acquisition), 분석 및 복원(Investigation& Restoration), 보고서(Reporting), 증거 보존 및 관리(Evidence Retention&Management) - 를 도출하였다.
본 절에서 제안하는 모델을 표준 가이드라인과 비교 및 실제 대법원 판례에 적용하는 사례연구를 통해 제시한 모델의 타당성을 검증한다.
증거 보존 및 관리단계(⑸)는 원본증거의 연계보관성과 무결성이 보장하기 위해 독립적인 별도의 단계로 구성하였고 증거 검토, 증거 포장 및 인증, 증거 운반 및 양도의 세부단계로 구성한다.
첫째, 제시한 모델의 현장 적용 가능성 검증을 위해 포렌식 전문가를 대상으로 설문조사를 실시하고 그 결과를 바탕으로 실증적인 타당성을 검증하는 것이다. 이를 위해 최신 대법원 판례를 사례화하여 모델 전반의 유용성에 대한 지속적인 검증 노력이 필요할 것이다.

대상 데이터

본 연구에서는 모바일 포렌식 모델 개발을 위해 국내ㆍ외에서 적용되는 가장 보편적이고 적용 범위가 넓은 NIST, TTA의 표준 가이드라인을 기준으로 하였으며, 대검찰청 디지털증거 압수수색 모델 등 수사기관 자체적으로 한정되어 있는 표준 모델들은 본 연구 범위에 포함하지 않았다.
사례 연구를 통하여 모델에서 제시한 신규단계의 적합성 검증을 실시하고자 한다. 연구 검증은 디지털 증거의 증거능력 인정요건을 구체적으로 언급하였던 대표적인 판례인 대법원 2007도7257 판결(일심회 사건)과 대법원 2013도2511(왕재산 사건)의 디지털저장매체에 관련한 증거능력 인정요건과 증거 환부 이후 재 제출된 증거의 증거능력인정 여부를 판결한 대법원 2013도11233 판결을 중심으로 활용하고자 한다.
이미징이 가능한 단순 저장매체와 같은 기기는 이미징 및 해쉬함수 구현단계를 통하여 데이터를 수집하고 수집된 증거에 해쉬값을 부여한다. 직접 이미징이 불가능한 모바일 기기는 물리적 방법과 논리적 방법을 통하여 데이터를 획득한다. 물리적 방법은 기기의 플래쉬 메모리를 분리하여 직접 메모리를 읽는 방법과 JTAG와 같은 표준 하드웨어 인터페이스를 이용한 방법이다.

성능/효과

NIST와 TTA에서는 증거 보존 및 관리를 한 가지 단계로 구성하고 있지만 본 모델에서는 증거 검토, 증거 포장 및 인증, 증거 호송 및 이전의 3단계로 세분화하여 구성하고 있으며, 특히 증거의 보존 및 관리의 측면에서 독립적인 단계로 구성하였다는 차이점을 보인다.
둘째, 증거의 포장, 운송, 저장단계는 절차 수행방법에 관한 유의사항만을 단순히 열거하고 있고 단일단계로서 구분 하였지만 내용상 다수의 단계에 절차적으로 영향을 미쳐 혼선을 야기할만한 부분을 포함하고 있다.
셋째, 복제 용이성이 있다.
논문에서 제시한 모델의 세부 단계와 NIST의 ‘Guidelines on Mobile Device Forensics’, TTA의 ‘Guidelines on Cellular Phone Forensics’와의 비교를 통해 본 모델에서 제시하는 절차를 검증하고자 한다. 절차를 Fig. 5.과 같이 도식화하여 비교한 결과 NIST와 TTA에서 제시한 단계들은 단계구성의 차이는 일부 존재하였으나, 모든 단계가 모델에서 제시하는 단계에 포함되는 결과를 확인할 수 있다.
첫째, 디지털 증거의 특징상 사전 포렌식 절차를 수행하기 전에 법적 기준 검토와 포렌식 전문가에 대한 전문성 확보 등의 증거효력을 확보하고 무결성을 보장받기 위한 사전준비가 필요하지만 절차적으로 부재하다.
첫째, 비가시성과 비가독성을 가진다. 눈에 보이지 않는 0과 1의 조합인 디지털 형태로 저장되어 있어 그 자체로는 육안 식별이 불가능하여 일정한 변환절차를 거쳐 모니터 화면으로 출력되거나 프린터를 통하여 인쇄된 형태로 출력되어야 한다.

후속연구

Ⅱ장에서는 모바일 포렌식 개념과 디지털 증거 특징, 표준 가이드라인에 대한 기존 연구를 제시하고 Ⅲ장에서는 무결성 향상을 위한 새로운 모바일 포렌식 모델을 제안한다. Ⅳ장에서는 Ⅲ장에서 제안한 모바일 포렌식 모델에 대한 기존의 표준 가이드라인과의 비교및 실제 대법원 판례에 입각한 사례연구를 통해 제안한 모델의 효과를 검증하고 Ⅴ장에서는 본 연구의 기대효과와 향후 연구 방향을 제시하며 결론을 맺는다.
두 사건은 모두 압수 당시 디지털 매체로부터 데이터를 복제하여 디지털 형태로 저장되어 있는 문서를 인쇄된 형태로 출력한 출력물을 증거물로 제출하였다는 공통점을 가지고 있다. 그렇다면 같은 증거물의 형태를 띠고 있는 두 가지 사건을 비교해본다면 무결성을 보장하기 위한 필요충분조건을 획득할 수 있을 것이다.
따라서 본 연구에서 제시한 모바일 포렌식 모델의 일반화를 통해 신뢰할 수 있는 분석이 이루어졌다면, 법관의 심증형성에 기여 할 수 있으므로 수사기관의 증거능력 확보 및 활용도 측면에서 큰 도움이 될 것으로 기대한다.
마지막으로 본 연구에서 제시한 모델의 타당성과 유용성이 검증된다면 본 모델을 활용하여 디지털 증거능력 수준 평가항목을 도출하고 수준 측정 평가표를 제시함으로서 디지털 증거능력 수준 측정이 가능하게 하여 디지털 증거의 무결성 및 신뢰성에 관한 사법기관의 판단기준을 마련하고자 한다.
본 연구의 한계로 새로운 데이터 획득단계를 모델의 절차에 반영하였지만 새로운 데이터 획득 기법은 기술의 성숙도와 기기별 특성을 고려한 분류 및 검증이 필요한 부분으로 향후 연구에서 심도 있게 다루고자한다.
첫째, 제시한 모델의 현장 적용 가능성 검증을 위해 포렌식 전문가를 대상으로 설문조사를 실시하고 그 결과를 바탕으로 실증적인 타당성을 검증하는 것이다. 이를 위해 최신 대법원 판례를 사례화하여 모델 전반의 유용성에 대한 지속적인 검증 노력이 필요할 것이다.
포렌식 단계 구성 시 디지털 증거의 일반원칙과 법 · 제도적 절차에 위배되지 않도록 증거의 증명력을 보장하기 위한 증거 보관 및 관리 단계의 별도 구성, 새로운 데이터 획득 단계, 증거 검토단계 등 모바일 기기의 발전과 개인 정보보호 인식의 성숙도가 반영된 차별화 단계를 포함하여 높은 신뢰성과 진정성을 바탕으로 모바일 포렌식 수행이 가능할 것이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	디지털 포렌식 조사의 5가지 일반 원칙은 무엇인가?	따라서 모바일 포렌식은 정당성, 무결성, 연계보관성, 재현성, 신속성의 디지털 포렌식 조사의 5가지 일반 원칙을 준수하는 가운데 디지털 증거를 확보하는 노력을 기울여야 한다. 디지털 증거의 특징은 다음과 같다[16].
	모바일 포렌식은 무엇인가?	모바일 기기로부터 디지털 증거를 획득하는 일련의 과정을 모바일 포렌식이라고 하며[5], 다수의 법정에서 디지털 증거가 핵심 증거로 채택하고 있다[6]. 그러나, 모든 디지털 증거가 증거로서의 효력을 발휘하는 것은 아니다.
	디지털 증거의 특징에는 무엇이 있는가?	첫째, 비가시성과 비가독성을 가진다. 눈에 보이지 않는 0과 1의 조합인 디지털 형태로 저장되어 있어 그 자체로는 육안 식별이 불가능하여 일정한 변환절차를 거쳐 모니터 화면으로 출력되거나 프린터를 통하여 인쇄된 형태로 출력되어야 한다. 둘째, 취약성이 존재한다. 오류에 의한 손상이나 의도적인 변조가 쉬우며, 변조 사실을 찾아내기 어려운 취약성이 존재한다. 셋째, 복제 용이성이 있다. 넷째, 데이터의 대량성을 가진다. 다섯째, 휘발성이 있다. 여섯째, 전문성이 요구된다. 디지털 증거의 압수 · 수집 · 분석에 전문적인 포렌식 기술이 사용되므로 포렌식 전문가가 필요하며, 전문성의 부재는 디지털 증거에 대한 신뢰성 문제를 야기 하게 된다.

참고문헌 (16)

Thomas P, Owen P and McPhee D, "An Analysis of the Digital Forensic Examination of Mobile Phone", 2010 Fourth International Conference on Next Generation Mobile Applications, Service and Technologies, pp. 25-29 Jul. 2010
Goel A, Tyagi A and Agarwal A, "Smartphone Forensic Investigation Process Model", International Journal of Computer Science&Security (IJCSS), Vol. 6, no. 5, 322-341, Oct. 2012
Willassen S, "Forensics and the GSM mobile telephone system", International Journal of Digital Evidence, Vol. 2, no. 1, pp. 1-17, Spring. 2003
Sang-su Jo, Yong-tae Shin, "An Improvement on Integrity Assurance Processes for Digital Evidence", Journal of The Korean Institute of Information Scientists and Engineers 39(2), pp. 184-191, Apr. 2012
Rick Ayers, Rick, Sam Brothers, and Wayne Jansen, "Guidelines on Mobile Device Forensics", NIST Special Publication 800-101 Revision 1, May. 2014
Yang-sub Kwon, "A Study on the Evidence capability of Digital Evidence form cases", Korea Institute of Information Security&Cryptology, 26(5), pp. 44-53, Oct. 2016
Myung-sun No, "Digital Forensics Theory", Korean Society of Forensics, Mediabook, Dec. 2018
TTA, "Guidelines on Cellular Phone Forensics", TTAS.KO-12.0059, Dec. 2007
Doo-won Jeong, "Digital Forensics Framework Based on Digital Evidence", Department of Information Security Graduate School Korea University, Dec. 2018
Kwang-yul Lee, Choi Younsung, Haelahng Choi, Seungjoo Kim, Dong-ho Won, "Digital Forensics Procedure for Current Evidence Laws", Journal of The Korea Institute of Information Security & Cryptology, 18(3), pp. 81-91, Jun. 2008
Dong-hyoun Shin, "A study of digital evidence seizure methods with regard to human rights", Joural of Digital Forensics 11(8), pp.69-84, Jan. 2014.
Emilio Raymond Mumba, H.S. Venter, "Mobile Forensics using the Harmonised Digital Forensic Investigation Process", 2014 Information Security for South Africa (ISSA), IEEE, 1-10, Aug. 2014.
Soo-woong Eo, Wooyeon Jo, Seokjun Lee, Taeshik Shon, "Ensuring the Admissibility of Mobile Forensic Evidence in Digital Investigation", Journal of The Korea Institute of Information Security & Cryptology, 26(1), pp. 135-152, Feb. 2016.

원문보기 상세보기
Byong-sun Kwack, "A study on Problems and improvements of digital forensic investigation", Korean Law Association Law Review, 42, pp. 171-191, May. 2011.
Jae-bong Kim, "Admissibility of Digital Evidence and Identification", Hanyang Journal of Law, 31(1), pp. 171-195, 2014.
Dong-guk Kim, Seong-Young Jang, Won-Young Lee, Yong-Ho Kim, Chang-hyun Park, "An Effective Control Method for Improving Integrity of Mobile Phone Forensics", Journal of the Korean Society for Information Protection, 19(5), Oct. 2009.

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증