[논문 리뷰] Cloud Storage Forensics: Analysis of Data Remnants on SpiderOak, JustCloud, and pCloud

SeyedHossein Mohtasebi, Ali Dehghantanha외 1명|arXiv (Cornell University)|2017. 06. 25.

Digital and Cyber Forensics참고 문헌 20인용 수 10

한 줄 요약

이 논문은 Windows 8.1 및 iOS 8.1.1 디바이스에서 SpiderOak, JustCloud, pCloud의 데이터 잔유물을 분석하여 파일 업로드 및 다운로드 과정 중 메타데이터 변화를 추적함으로써 클라우드 스토리지 포렌식의 가능성을 조사한다. 연구 결과, 강력한 암호화에도 불구하고 클라이언트 디바이스에 남는 잔유 데이터와 메타데이터는 디지털 조사에 있어 포렌식적으로 유의미한 증거를 제공할 수 있음을 확인하였다.

ABSTRACT

STorage as a Service (STaaS) cloud platforms benefits such as getting access to data anywhere, anytime, on a wide range of devices made them very popular among businesses and individuals. As such forensics investigators are increasingly facing cases that involve investigation of STaaS platforms. Therefore, it is essential for cyber investigators to know how to collect, preserve, and analyse evidences of these platforms. In this paper, we describe investigation of three STaaS platforms namely SpiderOak, JustCloud, and pCloud on Windows 8.1 and iOS 8.1.1 devices. Moreover, possible changes on uploaded and downloaded files metadata on these platforms would be tracked and their forensics value would be investigated.

연구 동기 및 목표

• SpiderOak, JustCloud, pCloud와 같은 인기 있는 클라우드 스토리지 플랫폼의 데이터 잔유물의 포렌식 가능성을 평가하기 위해.
• 이 플랫폼에서 파일 업로드 및 다운로드 과정 중 메타데이터가 어떻게 변화하는지 조사하기 위해.
• 클라이언트 측 아티팩트와 메타데이터의 디지털 포렌식 조사에 대한 잠재적 활용 가능성을 평가하기 위해.
• STaaS 플랫폼에서 증거를 수집하고 보존하기 위한 실질적인 통찰을 제공하기 위해.

제안 방법

• SpiderOak, JustCloud, pCloud를 사용하여 Windows 8.1 및 iOS 8.1.1 디바이스에서 포렌식 분석을 수행하였다.
• 파일 업로드 및 다운로드 작업 중 메타데이터 변화(예: 타임스탬프, 파일 속성 등)를 캡처하고 추적하였다.
• 파일 시스템 및 캐시 분석을 수행하여 로컬 디바이스에 남는 잔유 데이터를 식별하였다.
• 임시 파일, 캐시, 메타데이터 로그를 포함한 클라이언트 측 스토리지 아티팩트를 수집하고 분석하였다.
• 다양한 운영 체제와 클라우드 플랫폼 간에 포렌식 아티팩트의 지속성과 신뢰성을 평가하였다.
• 표준 디지털 포렌식 기법을 사용하여 클라우드 상호작용 이후 로컬 스토리지에서 증거를 보존하고 추출하였다.

실험 결과

연구 질문

• RQ1 SpiderOak, JustCloud, pCloud에 파일을 업로드하거나 다운로드한 후 클라이언트 디바이스에 어떤 유형의 데이터 잔유물이 남아 있는가?
• RQ2 업로드 및 다운로드 과정 중 메타데이터 속성(예: 타임스탬프, 파일 크기 등)은 어떻게 변화하며, 이러한 변화는 어떤 포렌식적 가치를 지니는가?
• RQ3 이 플랫폼의 클라이언트 측 아티팩트가 디지털 조사에 대해 얼마나 신뢰성 있게 수집되고 보존될 수 있는가?
• RQ4 Windows와 iOS 간의 플랫폼 특성에 따라 데이터 잔유물 지속성과 메타데이터 행동에 차이가 있는가?
• RQ5 엔드 투 엔드 암호화가 이러한 서비스에서 증거의 가용성과 유용성에 어떤 영향을 미치는가?

주요 결과

• 파일 업로드 또는 다운로드 작업 이후 Windows 및 iOS 디바이스 양쪽 모두에서 잔유 데이터 잔유물, 즉 일시 파일과 메타데이터가 일관되게 발견되었다.
• 업로드 및 다운로드 과정 중 파일 타임스탬프 및 액세스 시간과 같은 메타데이터가 수정되어 사용자 활동 타임라인 복원에 포렌식적으로 유의미한 가치가 있음을 시사하였다.
• pCloud는 Windows에서 더 지속적인 로컬 아티팩트를 보였고, JustCloud는 iOS 디바이스에서 뚜렷한 메타데이터 변화를 보였다.
• SpiderOak의 강력한 암호화가 캐시 및 일시 저장 영역에서의 로컬 데이터 잔유물 방지에 완전히 성공하지 못했음을 확인하였다.
• 클라이언트 측 메타데이터 변화는 관찰 가능했으며 포렌식적으로 관련성이 있었고, 사용자 활동 타임라인 복원이 가능하였다.
• 연구 결과, 클라우드 암호화에도 불구하고 클라이언트 측 아티팩트는 여전히 조사에 있어 신뢰할 수 있는 디지털 증거의 원천임을 확인하였다.