[논문 리뷰] Leveraging Decentralization to Extend the Digital Evidence Acquisition Window: Case Study on BitTorrent Sync

Mark Scanlon, Jason Farina외 2명|2014. 09. 30.

Digital and Cyber Forensics참고 문헌 1인용 수 4

한 줄 요약

이 논문은 BitTorrent Sync와 같은 분산 파일 동기화 서비스에서 원격으로 디지털 증거를 복구하고 검증하기 위한 법의학적으로 타당한 방법론을 제안한다. 이 방법론은 원본 파일의 진위성을 보장하기 위해 네이티브 해시 기반 무결성 검사를 활용한다. 이 접근법을 통해 피어 장치에서 삭제되거나 접근이 불가능한 파일을 복구할 수 있으며, 개념 증명 검증을 통해 SHA1 기반 검증을 사용하여 원본 파일을 성공적으로 재구성함을 입증하였다.

ABSTRACT

File synchronization services such as Dropbox, Google Drive, Microsoft OneDrive, Apple iCloud, etc., are becoming increasingly popular in today's always-connected world. A popular alternative to the aforementioned services is BitTorrent Sync. This is a decentralized/cloudless file synchronization service and is gaining significant popularity among Internet users with privacy concerns over where their data is stored and who has the ability to access it. The focus of this paper is the remote recovery of digital evidence pertaining to files identified as being accessed or stored on a suspect's computer or mobile device. A methodology for the identification, investigation, recovery and verification of such remote digital evidence is outlined. Finally, a proof-of-concept remote evidence recovery from BitTorrent Sync shared folder highlighting a number of potential scenarios for the recovery and verification of such evidence.

연구 동기 및 목표

• 로컬 데이터가 손실되거나 삭제된 후에도 분산 파일 동기화 서비스에서 디지털 증거를 복구하는 데 도전하는 문제를 해결하기 위해.
• 증거의 무결성과 진위성을 보장하는 법의학적으로 타당한 원격 확보 방법을 개발하기 위해.
• BitTorrent Sync를 통해 피어 간 네트워크 상호작용을 활용하여 증거 복구의 가능성을 입증하기 위해.
• 원본 파일과의 일치성을 확인하기 위해 네이티브 프로토콜 수준의 해싱 메커니즘을 사용하여 복구된 증거를 검증하기 위해.
• Syncthing 및 ownCloud와 같은 다른 분산 동기화 네트워크에 적용 가능한 프레임워크를 제공하기 위해.

제안 방법

• 인증 요구 조건을 회피하기 위해 알려진 피어 IP 주소를 사용하여 동기화된 장치에서 원격 파일 다운로드를 시작하는 방법을 사용한다.
• 모든 피어 발견 방법을 '알려진 피어(known peers)'를 제외한 나머지로 비활성화하여 증거 확보 과정을 제어하고 고립시킨다.
• 파일 조각의 SHA1 해시를 사용하여 파일 무결성을 검증하며, 각 조각의 해시를 ShareID.db 데이터베이스에 저장된 원본과 비교한다.
• 프로토콜가 원래부터 조각 수준의 검증을 위해 SHA1을 사용하므로, 손상되거나 변조된 다운로드를 탐지할 수 있다.
• 삭제되거나 수정된 파일을 식별하기 위해 로그 분석(예: sync.log)과 데이터베이스 검사(예: ShareID.db)에 의존한다.
• 사슬-오브-커스터디를 보장하고 오염을 방지하기 위해 법의학적으로 타당한 증거 복구 머신을 사용한다.

실험 결과

연구 질문

• RQ1 로컬 삭제 또는 장치 해킹 이후에도 분산 파일 동기화 서비스에서 디지털 증거를 신뢰성 있게 복구할 수 있는가?
• RQ2 클라이언트 측 인증에 의존하지 않고도 원격 확보된 증거의 무결성을 어떻게 검증할 수 있는가?
• RQ3 네이티브 프로토콜 수준의 해싱 메커니즘이 복구된 데이터의 진위성을 보장하는 데 어떤 역할을 하는가?
• RQ4 범죄 현장에서 로컬 장치에 더 이상 존재하지 않는 파일의 원격 복사본을 법의학 조사자가 어떻게 식별하고 접근할 수 있는가?
• RQ5 이 방법론은 다른 분산 동기화 네트워크로 얼마나 일반화될 수 있는가?

주요 결과

• 개념 증명이 성공적으로 삭제된 파일 badfilethree.txt를 원격 피어(ComputerA)에서 복구하였으며, SHA1 해시 값은 3598492B4D1CE5FAFD9EF76E8FA54C8F55E0716A로 일치하였다.
• 복구 과정은 네이티브 BitTorrent Sync 프로토콜의 조각 수준 해싱을 사용하여 검증되었으며, 데이터 무결성이 확보되었다.
• 로그 및 데이터베이스 분석을 통해 삭제된 파일을 식별할 수 있었으며, ShareID.db의 무효화 태그(invalidated tag)도 확인되었다.
• 이 방법은 모바일 장치에서 로컬으로 삭제된 데이터, 예를 들어 BTSync를 통해 동기화된 사진 및 동영상의 복구를 지원한다.
• 분산 네트워크에서 빈번한 해싱에 의존함으로써 악성 해시 값과의 비교 및 증거 검증에 강력한 메커니즘이 제공된다.
• 한계점으로는, 의심스러운 IP 주소를 감지할 경우 원격 호스트가 연결을 끊을 위험이 있으며, 확보 전에 모든 피어에서 증거가 삭제된 경우 데이터 손실의 가능성이 있다.