[論文レビュー] Cloud Storage Forensics: Analysis of Data Remnants on SpiderOak, JustCloud, and pCloud

SeyedHossein Mohtasebi, Ali Dehghantanha+1 more|arXiv (Cornell University)|Jun 25, 2017

Digital and Cyber Forensics参考文献 20被引用数 10

ひとこと要約

本稿では、Windows 8.1およびiOS 8.1.1デバイス上のSpiderOak、JustCloud、pCloudにおけるデータ残渣を分析することで、クラウドストレージフォレンジックスを調査している。ファイルのアップロードおよびダウンロード中にメタデータの変化を追跡し、フォレンジック価値を評価している。研究では、強力な暗号化が施されているものの、クライアントデバイス上に残る残留データおよびメタデータが、デジタル捜査においてフォレンジックに価値ある証拠を提供することが明らかになった。

ABSTRACT

STorage as a Service (STaaS) cloud platforms benefits such as getting access to data anywhere, anytime, on a wide range of devices made them very popular among businesses and individuals. As such forensics investigators are increasingly facing cases that involve investigation of STaaS platforms. Therefore, it is essential for cyber investigators to know how to collect, preserve, and analyse evidences of these platforms. In this paper, we describe investigation of three STaaS platforms namely SpiderOak, JustCloud, and pCloud on Windows 8.1 and iOS 8.1.1 devices. Moreover, possible changes on uploaded and downloaded files metadata on these platforms would be tracked and their forensics value would be investigated.

研究の動機と目的

• SpiderOak、JustCloud、pCloudのような人気のあるクラウドストレージプラットフォームにおけるデータ残渣のフォレンジック妥当性を評価すること。
• これらのプラットフォーム上でファイルのアップロードおよびダウンロードプロセス中にメタデータがどのように変化するかを調査すること。
• クライアント側のアーティファクトおよびメタデータのデジタルフォレンジックス捜査における可能性を評価すること。
• STaaSプラットフォームから証拠を収集および保存するためのサイバー捜査官への実用的インサイトを提供すること。

提案手法

• SpiderOak、JustCloud、pCloudを用いて、Windows 8.1およびiOS 8.1.1デバイスにおけるフォレンジックス分析を実施した。
• ファイルのアップロードおよびダウンロード操作中に、メタデータの変化（例：タイムスタンプ、ファイル属性）をキャプチャおよび追跡した。
• ファイルシステムおよびキャッシュ分析を実施し、ローカルデバイス上に残る残留データの痕跡を同定した。
• 一時ファイル、キャッシュ、メタデータログを含むクライアント側ストレージアーティファクトを収集および分析した。
• 異なるオペレーティングシステムおよびクラウドプラットフォーム間で、フォレンジックアーティファクトの持続性および信頼性を評価した。
• 標準的なデジタルフォレンジックス技術を用いて、クラウドとのやり取り後にローカルストレージから証拠を保持および抽出した。

実験結果

リサーチクエスチョン

• RQ1 SpiderOak、JustCloud、pCloudにファイルをアップロードまたはダウンロードした後、クライアントデバイス上にどのような種類のデータ残渣が残存するか？
• RQ2 クラウドファイル転送中にメタデータ属性（例：タイムスタンプ、ファイルサイズ）はどのように変化するのか。また、その変化にはどのようなフォレンジック価値があるか？
• RQ3 これらのプラットフォームからのクライアント側アーティファクトが、デジタル捜査のために信頼性を持って収集および保存可能か、その程度はどの程度か？
• RQ4 WindowsおよびiOS間で、データ残渣の持続性およびメタデータ行動に、プラットフォーム固有の差異があるか？
• RQ5 エンドツーエンド暗号化の影響により、これらのサービスからのフォレンジック証拠の入手可能性および有用性にどのような影響があるか？

主な発見

• ファイルのアップロードまたはダウンロード操作後に、WindowsおよびiOSデバイスの両方で、一貫して残留データの痕跡（一時ファイル、メタデータなど）が確認された。
• アップロードおよびダウンロード中に、ファイルタイムスタンプやアクセス時間といったメタデータが変更された。これは、タイムライン再構築に潜在的なフォレンジック価値を有することを示している。
• pCloudはWindows上でのローカルアーティファクトの持続性が高かったが、JustCloudはiOSデバイスで顕著なメタデータ変更を示した。
• SpiderOakの強力な暗号化でも、キャッシュおよび一時ストレージ領域に特に残留データの痕跡が残る場合があった。
• クライアント側のメタデータ変更は観察可能であり、フォレンジックに関連性があり、ユーザー行動タイムラインの再構築が可能であった。
• 本研究では、クラウドの暗号化が施されていようとも、クライアント側のアーティファクトが捜査において有効なデジタル証拠の源であることが確認された。