[論文レビュー] Using Smartphones as a Proxy for Forensic Evidence contained in Cloud Storage Services

George Grispos, William Bradley Glisson+1 more|arXiv (Cornell University)|Mar 17, 2013

Digital and Cyber Forensics参考文献 10被引用数 11

ひとこと要約

本論文は、Dropbox や Box などのクラウドストレージサービスにアクセスした後、iOS および Android デバイスに残る残留アーティファクトを分析することで、スマートフォンがクラウドに保存されたデータのデジタルフォレンジックス的代理としてどのように機能するかを調査している。直接クラウド環境にアクセスできない状況においても、キャッシュファイル、データベースエントリ、メタデータなどの特定のクライント側の痕跡が、デジタルフォレンジックス調査を支援する可能性を示しており、証拠収集の実用的代替手段を提供する。

ABSTRACT

Cloud storage services such as Dropbox, Box and SugarSync have been embraced by both individuals and organizations. This creates an environment that is potentially conducive to security breaches and malicious activities. The investigation of these cloud environments presents new challenges for the digital forensics community. It is anticipated that smartphone devices will retain data from these storage services. Hence, this research presents a preliminary investigation into the residual artifacts created on an iOS and Android device that has accessed a cloud storage service. The contribution of this paper is twofold. First, it provides an initial assessment on the extent to which cloud storage data is stored on these client-side devices. This view acts as a proxy for data stored in the cloud. Secondly, it provides documentation on the artifacts that could be useful in a digital forensics investigation of cloud services.

研究の動機と目的

• クラウドストレージデータがアクセス後、クライント側のスマートフォンにどの程度残存するかを評価すること。
• クラウドストレージサービスとの相互作用によって生じる iOS および Android デバイス上のデジタルフォレンジックス的アーティファクトを同定および文書化すること。
• クラウド環境に保存された証拠の代理としてスマートフォンデータを使用する可能性を評価すること。
• デジタルフォレンジックスの実務家が調査目的で活用可能な、アーティファクトの場所と特徴を支援すること。

提案手法

• 主要なクラウドストレージサービス（例：Dropbox、Box、SugarSync）にアクセスする iOS および Android デバイスを用いた制御された実験を実施した。
• デバイスストレージからのフォレンジックス的取得を実施し、キャッシュファイル、SQLite データベース、メタデータなどの残留データを抽出および分析した。
• 同定されたアーティファクトを、ファイル同期、ログイン、ファイルアクセスなどの対応するクラウドストレージ操作にマッピングした。
• 標準的なデジタルフォレンジックスツールと手動分析を用いて、アーティファクトの存在および構造を検証した。
• アーティファクトの種別、場所、持続時間に基づいて分類し、フォレンジックス的価値を評価した。
• さまざまな使用状況およびデバイス設定下でのアーティファクトの信頼性と回収可能性を評価した。

実験結果

リサーチクエスチョン

• RQ1 スマートフォンは、クラウドストレージサービスからのデータに対してどの程度痕跡を保持するか？
• RQ2 クラウドストレージプラットフォームと相互作用した後、スマートフォンにどのような種類のデジタルアーティファクトが生成されるか？
• RQ3 直接クラウドへのアクセスが不可能な状況で、これらのクライント側アーティファクトはどのようにしてユーザー行動を再構築するために利用できるか？
• RQ4 これらのアーティファクトの持続性と信頼性は、フォレンジックス調査においてどの程度の水準にあるか？

主な発見

• スマートフォンは、クラウドから削除された後でさえも、キャッシュファイル、データベースエントリ、メタデータなど、顕著なフォレンジックス的アーティファクトを保持している。
• iOS デバイスは、特に SQLite データベースおよびファイルシステムキャッシュの形で、より持続的で構造的なアーティファクトを保持していた。
• Android デバイスも同様のアーティファクトタイプを示したが、構造が一貫しておらず、持続時間も短い傾向にあった。
• サムネイル、ファイルメタデータ、ログイントークンなどのアーティファクトは両プラットフォームから回収可能であり、ユーザー行動パターンを示す手がかりとなった。
• これらのアーティファクトの存在は、直接クラウドへのアクセスが不可能な状況においてスマートフォンがクラウドベースの証拠の有効な代理として機能できることを裏付けている。
• iOS の Keychain や Android の SharedPreferences に保存される特定のアーティファクトには、認証トークンを含む機密情報が含まれており、フォレンジックス的価値が高かった。