[論文レビュー] Leveraging Decentralization to Extend the Digital Evidence Acquisition Window: Case Study on BitTorrent Sync

Mark Scanlon, Jason Farina+2 more|Sep 30, 2014

Digital and Cyber Forensics参考文献 1被引用数 4

ひとこと要約

本論文は、BitTorrent Sync などの分散型ファイル同期サービスから、ネイティブなハッシュベースの整合性チェックを活用して、真正性を保証する遠隔的なデジタル証拠の回復および検証手法を提案する。この手法により、ピアデバイスから削除済みまたはアクセス不能なファイルの回復が可能となり、プロトコルの実装例を用いた検証により、SHA1ベースの検証を用いて元のファイルが正常に再構築されたことが確認された。

ABSTRACT

File synchronization services such as Dropbox, Google Drive, Microsoft OneDrive, Apple iCloud, etc., are becoming increasingly popular in today's always-connected world. A popular alternative to the aforementioned services is BitTorrent Sync. This is a decentralized/cloudless file synchronization service and is gaining significant popularity among Internet users with privacy concerns over where their data is stored and who has the ability to access it. The focus of this paper is the remote recovery of digital evidence pertaining to files identified as being accessed or stored on a suspect's computer or mobile device. A methodology for the identification, investigation, recovery and verification of such remote digital evidence is outlined. Finally, a proof-of-concept remote evidence recovery from BitTorrent Sync shared folder highlighting a number of potential scenarios for the recovery and verification of such evidence.

研究の動機と目的

• ローカルデータが紛失または削除された後でも、分散型ファイル同期サービスからデジタル証拠を回復する課題に対処すること。
• 証拠の整合性と真正性を保証するフォレンジック的に妥当な遠隔取得手法を開発すること。
• BitTorrent Sync を用いた証拠回復の実現可能性を示すこと。
• 元のファイルと同一性を保証するため、ネイティブなプロトコルレベルのハッシュメカニズムを用いて回収済み証拠を検証すること。
• Syncthing や ownCloud などの他の分散型同期ネットワークに対しても適用可能なフレームワークを提供すること。

提案手法

• 同期済みデバイスから遠隔ファイルダウンロードを開始するために、既知のピアIPアドレスを用いる。認証要件を回避する。
• ピア発見方法を「既知のピア」以外すべて無効化することで、証拠回収プロセスを制御および隔離する。
• ファイルの整合性は、ファイルの各ピースに対するSHA1ハッシュを用いて検証し、各ピースのハッシュをShareID.dbデータベースに保存された元の値と照合する。
• プロトコルがピースレベルの検証にSHA1をネイティブに使用しているため、破損または改ざんされたダウンロードの検出が可能になる。
• 削除済みまたは変更済みのファイルを特定するために、ログ分析（例：sync.log）およびデータベースの調査（例：ShareID.db）に依存する。
• 証拠の継続的管理と汚染防止を確保するため、フォレンジック的に妥当な証拠回収マシンを用いる。

実験結果

リサーチクエスチョン

• RQ1 ローカル削除またはデバイスの改ざん後でも、分散型ファイル同期サービスからデジタル証拠を信頼性高く回復できるか？
• RQ2 クライアント側の認証に依存せずに、遠隔で取得した証拠の整合性をどのように検証できるか？
• RQ3 ネイティブなプロトコルレベルのハッシュメカニズムが、回収データの真正性を保証するために果たす役割は何か？
• RQ4 証拠が被疑者のローカルデバイスに存在しなくなった場合、フォレンジック捜査官はどのようにしてリモートのファイルコピーを特定・アクセスできるか？
• RQ5 この手法は、他の分散型同期ネットワークへどの程度一般化可能か？

主な発見

• プロトコルの実装例により、削除済みのファイル、badfilethree.txt をピア（ComputerA）から正常に回収した。SHA1ハッシュは 3598492B4D1CE5FAFD9EF76E8FA54C8F55E0716A と一致した。
• 回収プロセスは、ネイティブなBitTorrent Syncプロトコルのピースレベルハッシュ検証を用いて検証され、データの正確性が保証された。
• ログおよびデータベース分析により、削除済みファイルの特定が可能になった。特に、ShareID.db に保存された無効化タグが関与した。
• このアプローチにより、スマートフォンなどのモバイルデバイスからローカルに削除されたデータ（例：BTSyncで同期された写真や動画）の回収が可能になった。
• 分散型ネットワークにおける頻繁なハッシュ計算の特性が、証拠の検証および既知の悪意あるハッシュ値との照合に、強固なメカニズムを提供している。
• 制限事項として、怪しいIPアドレスが検出された場合にリモートホストが切断されるリスクと、回収前にすべてのピアから証拠が削除された場合のデータ損失の可能性がある。