[論文レビュー] Private Web Browser Forensics: A Case Study of the Epic Privacy Browser

Alan D. Reed, Mark Scanlon+1 more|arXiv (Cornell University)|Aug 5, 2017

Digital and Cyber Forensics参考文献 13被引用数 5

ひとこと要約

この論文は、プライベートウェブブラウザ、特にEpic Privacy Browserに起因するデジタルフォレンジックスの課題を調査している。本研究では、ライブおよびポストモーテム状態における証拠保持の分析を行い、回収可能なデータの種別と場所を特定し、強力なプライバシー機能を備えながらも、特殊なツールと技術を用いることで、ブラウズ履歴、キャッシュ、クッキーなどのフォレンジックアーティファクトを依然として抽出可能であることを示している。

ABSTRACT

Organised crime, as well as individual criminals, is benefiting from the protection of private browsers provide to those who would carry out illegal activity, such as money laundering, drug trafficking, the online exchange of child-abuse material, etc. The protection afforded to users of the Epic Privacy Browser illustrates these benefits. This browser is currently in use in approximately 180 countries worldwide. This paper outlines the location and type of evidence available through live and post-mortem state analyses of the Epic Privacy Browser. This study identifies the manner in which the browser functions during use, where evidence can be recovered after use, as well as the tools and effective presentation of the recovered material.

研究の動機と目的

• Epic Privacy Browser、すなわちデータ保持を最小限に抑えることを目的としたプライバシー指向のブラウザのフォレンジック可能性を調査すること。
• ブラウザ使用後のライブおよびポストモーテム状態で利用可能なデジタル証拠を特定および特定すること。
• 既存のフォレンジックツールが、このブラウザから証拠を抽出および提示する際の有効性を評価すること。
• ブラウザのアーキテクチャがデータの永続性およびフォレンジック回収に与える影響を理解すること。
• 回収可能なアーティファクトおよび分析ワークフローを文書化することで、法執行機関がプライベートブラウザを用いたサイバー犯罪の捜査を支援すること。

提案手法

• Epic Privacy Browserを使用したシステムに対して、ライブおよびポストモーテム状態のデジタルフォレンジック検査を実施した。
• 証拠アーティファクトの特定のため、ファイルシステム構造、一時ディレクトリ、レジストリエントリを分析した。
• キャッシュ、クッキー、ブラウズ履歴などのブラウザ固有データを抽出および解析するために、オープンソースおよび商用のフォレンジックツールを活用した。
• ブラウザを終了した後や再起動後の異なるシステム状態におけるデータの永続性をマッピングした。
• データファイルの構造と内容を評価し、回収可能性および解釈可能性を判断した。
• タイムライン再構築およびメタデータ分析を含め、フォレンジック的に妥当な形で回収されたデータを提示した。

実験結果

リサーチクエスチョン

• RQ1 Epic Privacy Browserは、ライブおよびポストモーテム状態で、どのような種類のデジタル証拠を保持しているか？
• RQ2 ブラウザ使用後、これらのフォレンジックアーティファクトはホストシステムのどの場所に格納されているか？
• RQ3 既存のフォレンジックツールが、Epic Privacy Browserからデータをどれほど正確に抽出および解釈できるか？
• RQ4 ブラウザのプライバシー・バイ・デザインアーキテクチャは、フォレンジックアーティファクトの永続性および回収可能性にどのように影響を与えるか？
• RQ5 フォレンジック的に妥当かつ実行可能なかたちで、回収された証拠を提示する最も効果的な方法は何か？

主な発見

• プライバシー指向の設計にもかかわらず、Epic Privacy Browserは、キャッシュファイル、クッキー、一時的なブラウズデータなどのフォレンジックアーティファクトをホストシステム上に保持している。
• ポストモーテム分析の結果、ブラウザを終了した後も、ブラウズ履歴およびキャッシュデータがファイルシステム上に残存することが判明した。
• 一時ディレクトリおよびシステムレベルのストレージ領域（WindowsレジストリおよびAppDataフォルダを含む）から証拠が正常に抽出された。
• 本研究では、特殊なフォレンジックツールが、これらのアーティファクトからブラウザ活動を高精度で再構築できることを実証した。
• 回収されたデータにはタイムスタンプ、訪問したURL、ユーザーのセッションメタデータが含まれており、タイムライン再構築および行動分析が可能になった。
• 本研究により、フォレンジック捜査官がEpic Privacy Browserから実行可能なインテリジェンスを入手可能であることが確認された。これは、完全なデータ消去が行われるとの一般的な仮定に反する。