[논문]아이폰으로 촬영된 디지털 이미지의 파일 구조 및 미디어 로그 분석을 통한 법과학적 진본 확인 방법

박남인; 이지우; 전옥엽; 김용진; 이정환

doi:10.9717/kmms.2020.24.4.558

아이폰으로 촬영된 디지털 이미지의 파일 구조 및 미디어 로그 분석을 통한 법과학적 진본 확인 방법
A Method of Forensic Authentication via File Structure and Media Log Analysis of Digital Images Captured by iPhone 원문보기

멀티미디어학회논문지 = Journal of Korea Multimedia Society, v.24 no.4, 2021년, pp.558 - 568

박남인 (Digital Analysis Division, National Forensic Service (NFS)) , 이지우 (Digital Analysis Division, National Forensic Service (NFS)) , 전옥엽 (Digital Analysis Division, National Forensic Service (NFS)) , 김용진 (Digital Analysis Division, National Forensic Service (NFS)) , 이정환 (Digital Analysis Division, National Forensic Service (NFS))

Abstract ▼ AI-Helper

The digital image to be accepted as legal evidence, it is important to verify the authentication of the digital image. This study proposes a method of authenticating digital images through three steps of comparing the file structure of digital images taken with iPhone, analyzing the encoding information as well as media logs of the iPhone storing the digital images. For the experiment, digital image samples were acquired from nine iPhones through a camera application built into the iPhone. And the characteristics of file structure and media log were compared between digital images generated on the iPhone and digital images edited through a variety of image editing tools. As a result of examining those registered during the digital image creation process, it was confirmed that differences from the original characteristics occurred in file structure and media logs when manipulating digital images on the iPhone, and digital images take with the iPhone. In this way, it shows that it can prove its forensic authentication in iPhone.

주제어

표/그림 (11)

그림 Fig. 1. The histogram distribution of DCT coefficients for (a) oversampling and (b) downsampling in digital image[7].
그림 Fig. 2. The structure of PRNU based camera model identification system.
그림 Fig. 3 Example of structure of JPEG format.
표 Table 1. The mobile type and OS(operating System) for experiments.
그림 Fig. 4. The example of EXIF information, (a) iPhone 8plus and (b) Samsung note 10 5G.
그림 Fig. 5. The example of EXIF information in case of re-encoding in photoshop from the digital image taken with iPhone 8plus.
그림 Fig. 6 The quantization table value of digital image taken with the smartphone for the experiment.
그림 Fig. 7. The quantization table value of digital image re-encoding in photoshop from a digital image tak-en with the iPhone 8plus (iOS 13.1.3).
표 Table 2. The maker's sequence of digital image for the mobile type.
그림 Fig. 8. The media log related to digital image in the iPhone 8plus.
그림 Fig. 9. The proposed forensic authentication analysis procedure for the digital image taken with iPhone.

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

있다[8, 9].따라서, 본 논문에서는 메타 정보, 양자화 테이블 값, JPEG마커 순서와 아이폰에서 디지털 이미지를 관리하는 미디어 로그 분석 등을 통해, 최초 디지털 파일이 조작이 되지 않는 진본임을 확인하며, 특히, 아이폰의 미디어 로그 분석을 통해 디지털이 미지의 출처에 대해 분석한다.
본 논문에서는 단계적 방법을 통해 아이폰에서 촬영된 디지털 이미지의 진본 확인 방법에 대해 제안한다. 실제 아이폰으로 촬영된 디지털 이미지에 대해 위·변조를 통한 조작 방법은 크게 두 가지로 구분될 수 있다.
본 논문에서는 스마트폰 중 아이폰의 기본 탑재된 카메라 애플리케이션을 통해 촬영된 디지털 이미지 파일에 대한 진본 확인 방법을 제안하였다. 제안한방법은 디지털 이미지의 파일 구조, 인코딩 정보 및 미디어 로그 분석 방법으로 구성된다.
본 논문에서는 아이폰에 탑재된 카메라 어플리케이션을 통해 위․변조된 사진에서 나타나는 특징과 전송하였을 때 나타나는 특징을 비교하여 진본 확인 방법을 제안한다.제안한 방법은 크게 세 가지 단계로 구성된다.

제안 방법

첫 번째, 디지털 이미지 파일 구조 비교 방법, 두 번째 디지털 이미지의 인코딩 비교 방법, 마지막으로 아이폰에 기록된 미디어 로그를 분석하는 방법으로 구성된다.실험을 위해 각기 2013년부터 2019년까지 출시된 각기 다른 iOS버전을 가진 아이폰 9가지 모델과 비교군을 위해 안드로이드 2가지를 사용하였으며, 각 스마트폰으로 촬영된 디지털 이미지에 대한 인위적인 편집을 위해, 어도비 포토샵과 아이폰 내에 탑재된 갤러리 어플리케이션의 편집 기능을 사용하였다.아이폰에서 촬영된 샘플 디지털 이미지와 어도비 포토샵을 통해 임의로 조작한 이미지 간의 파일 구조, 인코딩 계수 및 기기 내부에 기록된 미디어 로그를 분석하여, 원본과 편집본 간의 차이를 확인하였다.
특징을 확인하기 위해 대조군으로 LG 및 삼성스마트폰을 추가하여 실험을 진행하였다.각각 휴대전화에서 10장씩 디지털 이미지를 획득하여 JPEG 파일 구조에 대해 분석하였다.PC환경에서 디지털이 미지의 조작을 한 경우에는 포토샵(version21.
그러나, EXIF에 저장된 촬영 시간은 파일 시스템 설정에 따라 변경이 가능하므로, 추가적으로 양자화 테이블 값을 분석하였으며, 각 스마트폰으로 촬영된 디지털 이미지의 양자화 테이블은 Fig. 6과 같다. Fig.
먼저, 디지털 이미지의 해상도 정보를 비교 분석하여, 아이폰의 디지털 이미지에서 가질 수 있는 해상도인지 확인한다.그리고 EXIF구성 정보를 분석하여, 디지털 이미지가 촬영되었을 때 사용된 제조사 정보, 촬영 기기, iOS버전, 촬영시간 등을 비교한다. 만약 EXIF구성 정보가 일치하지 않는다면, 해당 디지털 이미지는 해당 디지털 이미지를 저장하고 있는 아이폰으로 촬영된 디지털 이미지가 아닐 가능성이 있다.
이러한 후보군으로부터 다수의 디지털 이미지를 직접 획득한 후, 웨이블릿 분석을 통해 각 후보 카메라가 가지고 있는 고유의 참조패턴을 추출한다. 그리고, 주어진 디지털 이미지에서 PRNU노이즈를 추출하여, 각 후보 카메라가 가지고 있는 참조패턴과 상호 상관계수를 추출하여, 상호 비교한다.이 때, 최대 상호상관계수를 가지는 카메라의 ID가 해당 디지털 이미지를 촬영한 것으로 결정한다.
디지털 이미지의 압축 형식이 JPEG으로 설정되어 있다면, 양자화 테이블을 비교 분석 후, 이상이 없으면, JPEG마커의 순서가 일치하는지 여부를 확인한다.대조실험을 통해 얻어진 디지털 이미지 샘플의 정보들과 일치한다면, 마지막으로 사용된 아이폰의 미디어 로그를 분석한다.만약 해당 디지털 이미지의 미디어 로그에서의 기록 상태에 Fig.
만약 EXIF구성 정보가 일치하지 않는다면, 해당 디지털 이미지는 해당 디지털 이미지를 저장하고 있는 아이폰으로 촬영된 디지털 이미지가 아닐 가능성이 있다.디지털 이미지의 압축 형식이 JPEG으로 설정되어 있다면, 양자화 테이블을 비교 분석 후, 이상이 없으면, JPEG마커의 순서가 일치하는지 여부를 확인한다.대조실험을 통해 얻어진 디지털 이미지 샘플의 정보들과 일치한다면, 마지막으로 사용된 아이폰의 미디어 로그를 분석한다.
디지털 이미지의 위변조 분석에 대한 실험을 위해 Table1에서 보는 바와 같이 디지털 이미지 획득 조건은 휴대전화의 기본 탑재된 카메라 어플리케이션을 사용하였으며, 아이폰으로 촬영된 디지털 이미지의 특징을 확인하기 위해 대조군으로 LG 및 삼성스마트폰을 추가하여 실험을 진행하였다.각각 휴대전화에서 10장씩 디지털 이미지를 획득하여 JPEG 파일 구조에 대해 분석하였다.
먼저 검증 대상과 동일한 iOS를 가지고 있는 동종의 아이폰을 비교 분석이 되어야 한다.먼저, 디지털 이미지의 해상도 정보를 비교 분석하여, 아이폰의 디지털 이미지에서 가질 수 있는 해상도인지 확인한다.그리고 EXIF구성 정보를 분석하여, 디지털 이미지가 촬영되었을 때 사용된 제조사 정보, 촬영 기기, iOS버전, 촬영시간 등을 비교한다.
이 방법을 사용할 경우, 촬영된 디지털 이미지를 다른 아이폰으로 전송하여야 하며, 전송하는 다양한 방법(메신저, 클라우드, 아이튠즈 등)이 있다.본 장에서는 위에서 언급한 방법에 의해 아이폰으로 촬영된 디지털 이미지에 대해 임의로 조작을 가했을 때, 디지털 이미지의 파일구조, 인코딩 정보 및 아이폰의 미디어 로그에 어떠한 변화가 있는지 실험하였다.
실험을 위해 각기 2013년부터 2019년까지 출시된 각기 다른 iOS버전을 가진 아이폰 9가지 모델과 비교군을 위해 안드로이드 2가지를 사용하였으며, 각 스마트폰으로 촬영된 디지털 이미지에 대한 인위적인 편집을 위해, 어도비 포토샵과 아이폰 내에 탑재된 갤러리 어플리케이션의 편집 기능을 사용하였다.아이폰에서 촬영된 샘플 디지털 이미지와 어도비 포토샵을 통해 임의로 조작한 이미지 간의 파일 구조, 인코딩 계수 및 기기 내부에 기록된 미디어 로그를 분석하여, 원본과 편집본 간의 차이를 확인하였다.더욱이, 아이폰에 기록된 미디어 로그분석에서는, 디지털 이미지의 출처 정보까지도 확인이 가능하다.
2에서 보는 바와 같이 카메라를 특정하기 위해서는 디지털 이미지가 촬영되었을 것으로 추정되는 두 대 이상의 후보 카메라가 요구된다. 이러한 후보군으로부터 다수의 디지털 이미지를 직접 획득한 후, 웨이블릿 분석을 통해 각 후보 카메라가 가지고 있는 고유의 참조패턴을 추출한다. 그리고, 주어진 디지털 이미지에서 PRNU노이즈를 추출하여, 각 후보 카메라가 가지고 있는 참조패턴과 상호 상관계수를 추출하여, 상호 비교한다.
제안하였다. 제안한방법은 디지털 이미지의 파일 구조, 인코딩 정보 및 미디어 로그 분석 방법으로 구성된다.실험을 위해 아이폰 9가지 모델의 각기 다른 iOS버전을 사용하였으며 삼성과 LG스마트폰을 대조파일로 사용하였다.
제안한 방법은 크게 세 가지 단계로 구성된다.첫 번째, 디지털 이미지 파일 구조 비교 방법, 두 번째 디지털 이미지의 인코딩 비교 방법, 마지막으로 아이폰에 기록된 미디어 로그를 분석하는 방법으로 구성된다.실험을 위해 각기 2013년부터 2019년까지 출시된 각기 다른 iOS버전을 가진 아이폰 9가지 모델과 비교군을 위해 안드로이드 2가지를 사용하였으며, 각 스마트폰으로 촬영된 디지털 이미지에 대한 인위적인 편집을 위해, 어도비 포토샵과 아이폰 내에 탑재된 갤러리 어플리케이션의 편집 기능을 사용하였다.
따라서, 디지털 이미지 파일이 생성된 후, 디지털 증거물로써 수집이 수행되기 전 해당 증거물이 이미 위·변조 될 수 있 때문에, 증거물 분석 단계에서는 제시된 증거물이 진본임을 확인하는 과정이 매우 중요하다.특히, 폐쇄적인 운영체제를 사용하고 있는 아이폰의 경우, 최근 수사기관에서 최소 6자리 이상의 숫자로 이루어진 잠금 암호에 대한 해제 방법에 대해 다양한 포렌식 툴[6]을 도입하여 해결하고 있으며, 그러한 포렌식 툴을 통해 획득된 데이터의 법적 증거로써의 진본 확인에 관한 연구가 필요하기 때문에, 최근 모바일 포렌식에서 보안 관련 이슈가 있는 아이폰을 대상으로 아이폰에서 촬영된 디지털 이미지 파일의 위변조 여부에 대한 실험 및 분석을 진행하였다.

대상 데이터

첫 번째, 디지털 이미지 파일 구조 비교 방법, 두 번째 디지털 이미지의 인코딩 비교 방법, 마지막으로 아이폰에 기록된 미디어 로그를 분석하는 방법으로 구성된다.실험을 위해 각기 2013년부터 2019년까지 출시된 각기 다른 iOS버전을 가진 아이폰 9가지 모델과 비교군을 위해 안드로이드 2가지를 사용하였으며, 각 스마트폰으로 촬영된 디지털 이미지에 대한 인위적인 편집을 위해, 어도비 포토샵과 아이폰 내에 탑재된 갤러리 어플리케이션의 편집 기능을 사용하였다.아이폰에서 촬영된 샘플 디지털 이미지와 어도비 포토샵을 통해 임의로 조작한 이미지 간의 파일 구조, 인코딩 계수 및 기기 내부에 기록된 미디어 로그를 분석하여, 원본과 편집본 간의 차이를 확인하였다.
제안한방법은 디지털 이미지의 파일 구조, 인코딩 정보 및 미디어 로그 분석 방법으로 구성된다.실험을 위해 아이폰 9가지 모델의 각기 다른 iOS버전을 사용하였으며 삼성과 LG스마트폰을 대조파일로 사용하였다. 각 스마트폰으로 촬영된 디지털 이미지에 대한 인위적인 편집을 위해, 어도비 포토샵과 아이폰 내에 탑재된 갤러리 어플리케이션의 편집 기능을 사용하였다.

성능/효과

실험 결과, 스마트폰마다 디지털 이미지의 원 이미지와 썸네일 이미지의 해상도 값이 각기 정의가 되어 있었으며, 디지털 이미지의 EXIF정보에서 제조사, 촬영기기, iOS버전, 촬영 시간 등의 정보가 기록되어 있었다.또한, 제조사마다 JPEG압축시 사용된 양자화 테이블 및 마커들이 스마트폰마다 특정 값을 사용하는 것이 확인하였다.이 때, 휴대전화에서 편집 및 PC에서 편집프로그램으로 디지털 이미지에 대해 조작을 가했을 경우, 파일 구조 및 인코딩 정보 등이 변경될 수 있으며, 추가적으로 디지털 이미지를 촬영한 아이폰의 미디어로그 기록을 분석하면, 해당 디지털 이미지가 직접 촬영된 것인지, 인터넷으로 다운로드 받은 것인지, 혹은, 아이튠즈를 통해 외부로부터 저장된 것인지를 확인할 수 있었다.
마지막으로 다른 아이폰으로 촬영된 디지털 이미지를 미디어 로그가 기록된 아이폰 8플러스로 아이튠즈를 통해 저장할 경우, 노란색 레코드 영역에서 보는 바와 같이 “ZIMPORTEDBY”필드는 “0”으로 세팅되는 것을 알 수 있다.따라서, “ZIMPORTE- DBE”필드의 값을 통해 각 디지털 이미지에 대해 해당 아이폰으로 직접 촬영이 된 것인지, 인터넷을 통해 다운로드 받은 것인지, 또는 로컬 PC에서 아이튠즈를 통해 저장된 것인지를 구분할 수 있다.
각 스마트폰으로 촬영된 디지털 이미지에 대한 인위적인 편집을 위해, 어도비 포토샵과 아이폰 내에 탑재된 갤러리 어플리케이션의 편집 기능을 사용하였다. 실험 결과, 스마트폰마다 디지털 이미지의 원 이미지와 썸네일 이미지의 해상도 값이 각기 정의가 되어 있었으며, 디지털 이미지의 EXIF정보에서 제조사, 촬영기기, iOS버전, 촬영 시간 등의 정보가 기록되어 있었다.또한, 제조사마다 JPEG압축시 사용된 양자화 테이블 및 마커들이 스마트폰마다 특정 값을 사용하는 것이 확인하였다.
실제 아이폰으로 촬영된 디지털 이미지에 대해 위·변조를 통한 조작 방법은 크게 두 가지로 구분될 수 있다.첫 번째, 아이폰의 기본 탑재된 갤러리 어플리케이션을 통해 특정 부위를 잘라내거나, 색상 등을 조절할 수 있다.또 다른 방법은 조작하고자 하는 디지털 이미지를 로컬 PC로 전송 후, PC내에 설치된 전문 편집툴을 사용하는 방법이다.

후속연구

이 때, 휴대전화에서 편집 및 PC에서 편집프로그램으로 디지털 이미지에 대해 조작을 가했을 경우, 파일 구조 및 인코딩 정보 등이 변경될 수 있으며, 추가적으로 디지털 이미지를 촬영한 아이폰의 미디어로그 기록을 분석하면, 해당 디지털 이미지가 직접 촬영된 것인지, 인터넷으로 다운로드 받은 것인지, 혹은, 아이튠즈를 통해 외부로부터 저장된 것인지를 확인할 수 있었다. 그러나, 새로운 아이폰 모델의 출시와 iOS 업데이트로 인해 본 논문에서 확인한 요소가 변경될 수 있으며, 디지털 파일의 특성상, 정교한 위변조가 가능하기 때문에, 진본 확인 방법에 대해 추가적인 연구가 필요하다.

참고문헌 (16)

Implementation of digital evidence verification service for investigative agencies. https://www.mois.go.kr/frt/bbs/type010/commonSelectBoardArticle.do?bbsIdBBSMSTR_000000000008&nttId47604 (accessed November 10, 2020).
N.I. Park, J.W. Lee, K.-S. Shim, J.S. Byun, and O.Y. Jeon, "A method of forensic authentication of audio recordings generated using the Voice Memos application in the iPhone," Forensic Science International, Vol. 320, 110702, 2021.

상세보기
N.I. Park, K.S. Shim, and O.Y. Jeon, "A Study on Authentication Analysis Procedure of Digital Audio Files," Journal of Digital Forensics, Vol. 13, No. 4, pp. 257-269, 2019.
Y.D. Shin and Y.S. Cho, "Fast Detection of Forgery Image using Discrete Cosine Transform Four Step Search Algorithm," Journal of Korea Multimedia Society, Vol. 22, No. 5, pp. 527-534, 2019.

원문보기 상세보기
J.W. Lee, J.H. Lee, K.S. Shim, J.S. Byun, G.H. Na, and J. Lee, "A Study on Limitation of Image Forgery Detection Method," Journal of Digital Forensics, Vol. 12, No. 1, pp. 19-25, 2018.
Cellebrite UFED. https://cellebrite.com/en/product/ (accessed April 12, 2021).
G.K. Wallace, "The JPEG Still Picture Compression Standard," Communications of the ACM, Vol. 34, No. 4, 1991.

상세보기
A.C. Popescu and H. Farid, "Statistical Tools for Digital Forensics," Proceedings of the 6th international conference on Information Hiding, pp. 128-147, 2004.
J. Lukas, J. Fridrich and M. Goljan, "Digital Camera Identification from Sensor Pattern Noise," IEEE Transactions on Information Forensics Security, Vol. 1, No. 2, pp. 205-214, 2006.

상세보기
A.L.S. Orozco, D.M.A. Gonzalez, L.J.C. Villalba, and J. Hernandez-Castro, "Analysis of Errors in Exif Metadata on Mobile Devices," Multimedia Tools and Applications, Vol. 74, No. 13, 2014.
JPEGsnoop. https://sourceforge.net/projects/jpegsnoop/ (accessed November 14, 2020).
S.J. Hong, "A Study on Manipulation Detection of Exif GPS Information in Photographic Files," Journal of Digital Forensics, Vol. 5, No. 8, pp. 41-54, 2011.
M.S. Kim, D.W. Jung, and S.J. Lee, "Building a Database of DQT Information to Identify a Source of the SmartPhone JPEG Image File," Journal of The Korea Institute of Information Security and Cryptology, Vol. 26, No. 2, pp. 359-367, 2016.

원문보기 상세보기
S.R. Kim, J.H. Cho, Y.H. Shin, and J.S. Kim, "Study on iOS Log Analysis and its Application in Forensic," Journal of Digital Forensics, Vol. 11, No. 1, pp. 47-60, 2017.
3uTools. http://www.3u.com/ (accessed October 3, 2020).
HANCOM GMD-Mobile Forensic Software. https://hancomgmd.com/product/mobileforensic-solution/ (accessed October 3, 2020).

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증