[論文レビュー] Forensic Analysis of Epic Privacy Browser on Windows Operating Systems

Alan D. Reed, Mark Scanlon+1 more|arXiv (Cornell University)|Jun 1, 2017

Digital and Cyber Forensics参考文献 12被引用数 8

ひとこと要約

本論文は、WindowsシステムにおけるEpic Privacy Browserのフォレンジック分析を提示し、Windowsレジストリ、ブラウザプロファイル、一時ディレクトリなどのさまざまなストレージ領域にわたるデジタルアーティファクトを特定および文書化している。研究では、プライバシー指向の設計にもかかわらず、Epicはキャッシュデータ、閲覧履歴、設定ファイルなど、顕著なフォレンジック痕跡を残していることが判明し、デジタル捜査官が回復・分析可能であることが示された。

ABSTRACT

The 16th European Conference on Cyber Warfare and Digital Security (ECCWS 2017), Dublin, Ireland, 29-30 June 2017

研究の動機と目的

• Epic Privacy BrowserがWindowsオペレーティングシステムに残すデジタルフォレンジック痕跡を調査すること。
• ユーザー活動後に残る恒久的データの断片を特定および文書化すること。
• Epicのプライバシー機能がフォレンジックデータ漏洩を防止する効果を評価すること。
• デジタル捜査官がEpic Privacy Browserからフォレンジック証拠を抽出・分析するための包括的ガイドを提供すること。

提案手法

• Epicブラウザデータを特定するために、レジストリ、AppDataディレクトリ、一時ファイルを含むWindowsシステムアーティファクトを体系的に調査した。
• Windows 10およびWindows 7システムでEpic Privacy Browserを用いた制御されたブラウジングセッションを実施した。
• キャッシュファイル、クッキー、閲覧履歴、設定ファイルなどのフォレンジックアーティファクトを収集および分析した。
• デジタルフォレンジックスツール（例：Autopsy、SIFT）を用いてディスクイメージからデータを抽出および検査した。
• 異なるブラウザ設定およびクリーニング操作の下でのデータの恒久性と回収可能性をマッピングした。
• データの感受性およびフォレンジック的関連性に基づいてデータタイプを分類した。

実験結果

リサーチクエスチョン

• RQ1 Epic Privacy Browserは、Windowsシステムにどのような種類のデジタルアーティファクトを残すか？
• RQ2 標準的なブラウジングおよびクリーニング手順後、これらのアーティファクトはどの程度持続的か？
• RQ3 Epicのプライバシー機能は、フォレンジック証拠の作成または保持をどの程度防止するか？
• RQ4 どのストレージ領域がEpicからの最もフォレンジック的価値の高いデータを含むか？

主な発見

• Epic Privacy Browserは、履歴のクリア後でさえも、インデックス付きデータベースファイルとして回収可能な閲覧履歴を残している。
• キャッシュファイル（サムネイルおよびウェブコンテンツを含む）は、AppData\Local\Epic\User Data\Default\Cacheディレクトリに存在した。
• 設定設定およびユーザーの好みは、User Dataディレクトリ内のJSON形式ファイルに格納されており、ブラウジング後もアクセス可能であった。
• Windowsレジストリには、ブラウザのインストールおよびユーザープロファイル設定に関連するエントリが存在し、ユーザー活動の再構築に利用可能であった。
• 一時ファイルおよびウェブキャッシュデータは、ブラウザ終了後もTempディレクトリに残存していた。
• プライバシー指向の設計にもかかわらず、Epicはフォレンジック痕跡を完全に消去せず、デジタル捜査官がユーザー行動を再構築できることが明らかになった。