[논문 리뷰] Mobile cloud forensics: An analysis of seven popular Android apps

Ben Martini, Quang Do외 1명|arXiv (Cornell University)|2015. 01. 01.

Digital and Cyber Forensics참고 문헌 1인용 수 25

한 줄 요약

이 연구는 마르티니 등(2015)의 법의학적 방법론을 사용하여 7개의 인기 있는 안드로이드 클라우드 기반 앱을 분석하여 개인 앱 스토리지, SD 카드, 데이터베이스 및 AccountManager 데이터에서 디지털 증거를 식별하고 추출한다. 주요 기여는 각 앱의 데이터 유지 방식에 대한 상세한 법의학적 프로파일로, 사용자 인증 자격 증명을 포함하여 모바일 클라우드 법의학에서 더 나은 디지털 증거 수집을 가능하게 한다.

ABSTRACT

Using the evidence collection and analysis methodology for Android devices proposed by Martini et al. (2015) , we examined and analyzed seven popular Android cloud-based apps. First, we analyzed each app in order to see what information could be obtained from their private app storage and SD card directories. We collated the information and used it to aid our investigation of each app’s database files and AccountManager data. To complete our understanding of the forensic artifacts stored by apps we analyzed, we performed further analysis on the apps to determine if the user’s authentication credentials could be collected for each app based on the information gained in the initial analysis stages. The contributions of this research include a detailed description of artifacts, which are of general forensic interest, for each app analyzed.

연구 동기 및 목표

• 인기 있는 안드로이드 클라우드 기반 애플리케이션에 저장된 데이터의 법의학적 중요성을 조사하기 위해.
• 7개 앱의 개인 앱 스토리지, SD 카드, 데이터베이스 및 AccountManager 데이터에서 디지털 증거 자료를 식별하고 추출하기 위해.
• 사용자 인증 자격 증명이 앱 전용 데이터 구조에서 복구 가능한지 확인하기 위해.
• 디지털 조사에 활용할 수 있는 종합적이고 앱별로 특화된 법의학적 증거 자료 프로파일을 제공하기 위해.

제안 방법

• 기초 프레임워크로 마르티니 등(2015)의 안드로이드 디지털 법의학 방법론을 적용하였다.
• 각 앱의 개인 스토리지 및 SD 카드 디렉터리에 대한 정적 및 동적 분석을 수행하여 법의학적 증거 자료를 탐색하였다.
• 데이터베이스 파일과 AccountManager 항목을 분석하여 사용자 전용 및 세션 관련 데이터를 추출하였다.
• 스토리지 및 데이터베이스 분석 결과를 연계하여 인증 자격 증명의 복구 가능성 여부를 평가하였다.
• 역공학 및 로그 분석을 통해 민감한 데이터의 지속성과 노출 여부를 검증하였다.

실험 결과

연구 질문

• RQ1 인기 있는 안드로이드 클라우드 앱의 개인 스토리지 및 SD 카드 디렉터리에 어떤 유형의 디지털 법의학 증거 자료가 유지되는가?
• RQ2 데이터베이스 파일 및 AccountManager 데이터에서 추출 가능한 법의학적 증거 자료(예: 인증 토큰 또는 자격 증명)는 무엇인가?
• RQ3 분석된 앱들에서 사용자 인증 자격 증명을 어느 정도 복구할 수 있는가?
• RQ4 이 앱들의 데이터 유지 방식은 모바일 클라우드 법의학 조사에 어떤 영향을 미치는가?

주요 결과

• 분석된 7개의 안드로이드 클라우드 앱 모두 개인 앱 스토리지 및 SD 카드 디렉터리에 법의학적 증거 자료를 유지하고 있었으며, 캐시된 사용자 데이터와 세션 토큰을 포함하였다.
• 앱 간의 데이터베이스 파일에는 로그인 식별자 및 암호화된 자격 증명을 포함한 구조화된 사용자 데이터가 포함되어 있었으며, 법의학적 분석을 통해 접근 가능하였다.
• AccountManager 데이터는 저장된 인증 토큰을 드러내어 사용자 세션이 사후에 재구성될 수 있음을 시사하였다.
• 특히 암호화가 약하거나 잘못 구현된 경우, 일부 앱에서 앱 전용 데이터 구조 분석을 통해 사용자 인증 자격 증명을 복구할 수 있었다.
• 앱 간의 일관된 데이터 지속 패턴을 규명하여 유사 조사에 응용 가능한 재사용 가능한 법의학 프레임워크를 도출하였다.