[논문 리뷰] Forensic Analysis of Epic Privacy Browser on Windows Operating Systems

Alan D. Reed, Mark Scanlon외 1명|arXiv (Cornell University)|2017. 06. 01.

Digital and Cyber Forensics참고 문헌 12인용 수 8

한 줄 요약

이 논문은 윈도우 시스템에서 에픽 프라이버시 브라우저의 포렌식 분석을 제시하며, 윈도우 레지스트리, 브라우저 프로필, 일시적 디렉터리와 같은 다양한 저장소에서 디지털 증거를 식별하고 문서화한다. 연구 결과, 프라이버시 중심 설계에도 불구하고 에픽은 캐시 데이터, 브라우징 이력, 설정 파일과 같은 상당한 포렌식 흔적을 남기며, 디지털 조사관이 이를 복구하고 분석할 수 있음을 밝혀냈다.

ABSTRACT

The 16th European Conference on Cyber Warfare and Digital Security (ECCWS 2017), Dublin, Ireland, 29-30 June 2017

연구 동기 및 목표

• 에픽 프라이버시 브라우저가 윈도우 운영 체제에서 남기는 디지털 포렌식 흔적을 조사하기 위해.
• 사용자 활동 이후 남는 지속적인 데이터 잔여물을 식별하고 문서화하기 위해.
• 에픽의 프라이버시 기능이 포렌식 데이터 泄露를 방지하는 데 얼마나 효과적인지 평가하기 위해.
• 디지털 조사관이 에픽 프라이버시 브라우저에서 증거를 추출하고 분석하는 데 도움이 되는 종합 가이드를 제공하기 위해.

제안 방법

• 에픽 브라우저 데이터를 찾기 위해 레지스트리, AppData 디렉터리, 일시적 파일과 같은 윈도우 시스템 증거를 체계적으로 검토했다.
• 윈도우 10 및 윈도우 7 시스템에서 에픽 프라이버시 브라우저를 사용한 통제된 브라우징 세션을 수행했다.
• 캐시 파일, 쿠키, 브라우징 이력, 설정 파일과 같은 포렌식 증거를 수집하고 분석했다.
• 디지털 포렌식 도구(예: Autopsy, SIFT)를 사용해 디스크 이미지에서 데이터를 추출하고 검토했다.
• 다양한 브라우저 설정과 정리 작업 후 데이터의 지속성과 복구 가능성에 대해 매핑했다.
• 감시성과 포렌식 관련성 기준으로 데이터 유형을 분류했다.

실험 결과

연구 질문

• RQ1 에픽 프라이버시 브라우저는 윈도우 시스템에 어떤 유형의 디지털 증거를 남기나?
• RQ2 표준 브라우징 및 정리 절차 이후 이러한 증거는 얼마나 지속적인가?
• RQ3 에픽의 프라이버시 기능은 포렌식 증거의 생성 또는 유지에 얼마나 효과적으로 방지하는가?
• RQ4 에픽에서 가장 포렌식적으로 유용한 데이터를 담고 있는 저장소는 어디인가?

주요 결과

• 에픽 프라이버시 브라우저는 브라우징 이력을 삭제한 후에도 색인된 데이터베이스 파일 형태로 복구 가능한 브라우징 이력을 남긴다.
• 캐시 파일, 특히 썸네일과 웹 콘텐츠는 AppData\Local\Epic\User Data\Default\Cache 디렉터리에 존재했다.
• 설정 설정과 사용자 환경 설정은 User Data 디렉터리 내부의 JSON 형식 파일에 저장되어 있었으며, 브라우징 후에도 접근 가능했다.
• 윈도우 레지스트리에는 브라우저 설치 및 사용자 프로필 설정과 관련된 항목이 존재했으며, 이를 통해 사용자 활동을 재구성할 수 있었다.
• 일시 파일과 웹 캐시 데이터는 브라우저 종료 후에도 임시 디렉터리에 그대로 남아 있었다.
• 프라이버시 중심 설계에도 불구하고 에픽은 포렌식 흔적을 완전히 지우지 않아, 디지털 조사관이 사용자 행동을 재구성할 수 있었다.