[論文レビュー] Forensic Investigation of Social Media and Instant Messaging Services in Firefox OS: Facebook, Twitter, Google+, Telegram, OpenWapp and Line as Case Studies

Mohd Najwadi Yusoff, Ali Dehghantanha+1 more|arXiv (Cornell University)|Jun 25, 2017

Advanced Malware Detection Techniques被引用数 7

ひとこと要約

この論文は、Firefox OSにおけるソーシャルメディアおよびメッセージングサービスからの残留デジタル証拠のデジタルフォレンジック的収集を調査し、Facebook、Twitter、Google+、Telegram、OpenWapp、Lineを分析している。ファイルシステムのアーティファクト、キャッシュ、データベースの残渣を検査することで、ログイントークン、メッセージログ、ユーザープロフィールなどの回収可能な証拠を同定し、将来のレガシーモバイルプラットフォームにおけるフォレンジック調査のためのフレームワークを提供している。

ABSTRACT

Mobile devices are increasingly utilized to access social media and instant messaging services, which allow users to communicate with others easily and quickly. However, the misuse of social media and instant messaging services facilitated conducting different cybercrimes such as cyber stalking, cyber bullying, slander spreading and sexual harassment. Therefore, mobile devices are an important evidentiary piece in digital investigation. In this chapter, we report the results of our investigation and analysis of social media and instant messaging services in Firefox OS. We examined three social media services (Facebook, Twitter and Google+) as well as three instant messaging services (Telegram, OpenWapp and Line). Our analysis may pave the way for future forensic investigators to trace and examine residual remnants of forensics value in FireFox OS.

研究の動機と目的

• Firefox OSにおけるソーシャルメディアおよびメッセージングサービスからの残留デジタル証拠を同定し、分析すること。
• Firefox OSのファイルシステム、キャッシュ、データベースにおけるデータ残渣のフォレンジック的価値を評価すること。
• Firefox OSデバイスから証拠を抽出および分析するための実用的なフォレンジックフレームワークを提供すること。
• Facebook、Twitter、Google+、Telegram、OpenWapp、Lineの6つの主要プラットフォームにおいて、認証トークン、メッセージログ、ユーザープロフィールの永続性を調査すること。
• 研究対象外のモバイルOSにおけるデータアーティファクトを文書化することで、将来のデジタルフォレンジックス研究を支援すること。

提案手法

• デバイスのライブおよび物理的収集を実施し、ファイルシステムおよびストレージコンponentsにアクセスした。
• 証拠を特定するため、ブラウザキャッシュ、ローカルデータベース、アプリケーション固有のデータディレクトリを分析した。
• 逆アセンブルおよび静的解析を用いて、各サービスのデータ構造およびストレージパターンを同定した。
• アプリケーションデータベースからユーザーセッション、ログイントークン、メッセージ履歴を抽出および再構築した。
• 複数のFirefox OSデバイスモデルを用いた繰り返しテストにより、証拠回収の妥当性を検証した。
• データ整合性を保持し、フォレンジック的に信頼できる収集を確保するため、標準的なデジタルフォレンジック技術を適用した。

実験結果

リサーチクエスチョン

• RQ1 ソーシャルメディアおよびメッセージングアプリの無効化後、Firefox OSにどのような種類のデジタル証拠が残存するか？
• RQ2 Firefox OSにおけるFacebook、Twitter、Google+、Telegram、OpenWapp、Lineの各プラットフォームで、認証トークンおよびセッションデータはどの程度持続的か？
• RQ3 Firefox OSにおけるソーシャルメディアおよびメッセージングサービスのフォレンジック的に関連するアーティファクトを含むデータ構造およびストレージ場所はどこか？
• RQ4 Firefox OSのファイルシステムおよびキャッシュから、メッセージログおよびユーザープロフィールをどの程度回収できるか？
• RQ5 Firefox OSデバイスから残留データを抽出するための効果的なフォレンジック収集戦略は何か？

主な発見

• ログイントークンおよびセッションクッキーを含む残留証拠が、Firefox OSのローカルストレージおよびキャッシュディレクトリから回収可能であることが判明した。
• Facebook、Twitter、Google+のメッセージログおよびユーザープロフィールは、アプリケーションデータフォルダ内のSQLiteデータベースに保存されていた。
• TelegramおよびLineは、チャット履歴および連絡先情報を構造化されたローカルデータベースに保存しており、部分的なメッセージ再構築が可能であった。
• OpenWappおよびTelegramは、暗号化された形でユーザーアクセストークンを保持しており、収集後に抽出および分析可能であった。
• すべての6つのサービスから、アプリのアンインストール後も残留データが持続しており、デバイスイメージングにおけるフォレンジック的関連性が確認された。
• 本研究により、市場シェアが限定的であるものの、Firefox OSは複数のデータ永続化メカニズムにより、顕著なデジタルフォレンジック的価値を有することが確認された。