[논문 리뷰] Private Web Browser Forensics: A Case Study of the Epic Privacy Browser

Alan D. Reed, Mark Scanlon외 1명|arXiv (Cornell University)|2017. 08. 05.

Digital and Cyber Forensics참고 문헌 13인용 수 5

한 줄 요약

이 논문은 프라이버시 중심 웹 브라우저인 에픽 프라이버시 브라우저가 디지털 증거 분석에 미치는 영향을 조사한다. 라이브 및 사후 분석을 통해 증거 유지 상태를 분석하고, 복구 가능한 데이터 유형과 위치를 규명하며, 강력한 프라이버시 기능에도 불구하고 전문 도구와 기법을 사용해 브라우저 기록, 캐시, 쿠키와 같은 증거를 여전히 추출할 수 있음을 입증한다.

ABSTRACT

Organised crime, as well as individual criminals, is benefiting from the protection of private browsers provide to those who would carry out illegal activity, such as money laundering, drug trafficking, the online exchange of child-abuse material, etc. The protection afforded to users of the Epic Privacy Browser illustrates these benefits. This browser is currently in use in approximately 180 countries worldwide. This paper outlines the location and type of evidence available through live and post-mortem state analyses of the Epic Privacy Browser. This study identifies the manner in which the browser functions during use, where evidence can be recovered after use, as well as the tools and effective presentation of the recovered material.

연구 동기 및 목표

• 에픽 프라이버시 브라우저의 증거 분석 가능성 조사 — 데이터 보존을 최소화하도록 설계된 프라이버시 중심 브라우저를 대상으로 한다.
• 브라우저 사용 후 라이브 및 사후 상태에서 이용 가능한 디지털 증거의 유형과 위치를 규명한다.
• 기존 증거 분석 도구가 브라우저에서 데이터를 추출하고 제시하는 데 얼마나 효과적인지 평가한다.
• 브라우저 아키텍처가 데이터 지속성과 증거 복구에 미치는 영향을 이해한다.
• 복구 가능한 증거물과 분석 워크플로우를 문서화하여 경찰 기관이 프라이버시 브라우저를 사용한 사이버 범죄 수사에 대응할 수 있도록 지원한다.

제안 방법

• 에픽 프라이버시 브라우저를 사용한 시스템에서 라이브 및 사후 디지털 증거 분석을 수행하였다.
• 증거 자료를 찾기 위해 파일 시스템 구조, 임시 디렉터리, 레지스트리 항목을 분석하였다.
• 캐시, 쿠키, 브라우저 기록과 같은 브라우저 전용 데이터를 추출하고 파싱하기 위해 오픈소스 및 상용 증거 분석 도구를 활용하였다.
• 브라우저를 종료하거나 시스템을 재시작한 후에도 데이터의 지속성을 다양한 시스템 상태(예: 브라우저 종료 후)에서 매핑하였다.
• 데이터 파일의 구조와 내용을 평가하여 복구 가능성과 해석 가능성 여부를 판단하였다.
• 타임라인 재구성 및 메타데이터 분 析를 포함하여, 증거 분석에 적합한 방식으로 복구된 데이터를 제시하였다.

실험 결과

연구 질문

• RQ1 에픽 프라이버시 브라우저는 라이브 및 사후 상태에서 어떤 유형의 디지털 증거를 유지하는가?
• RQ2 브라우저 사용 후 이러한 증거 자료는 호스트 시스템의 어디에 저장되는가?
• RQ3 기존 증거 분석 도구가 에픽 프라이버시 브라우저에서 데이터를 성공적으로 추출하고 해석할 수 있는 정도는 어느 정도인가?
• RQ4 브라우저의 프라이버시 우선 설계 아키텍처는 증거 자료의 지속성과 복구 가능성에 어떤 영향을 미치는가?
• RQ5 복구된 증거를 증거 분석에 적합하고 실행 가능한 형식으로 제시하는 데 가장 효과적인 방법은 무엇인가?

주요 결과

• 프라이버시 중심 설계에도 불구하고, 에픽 프라이버시 브라우저는 캐시 파일, 쿠키, 임시 브라우징 데이터와 같은 증거 자료를 호스트 시스템에 유지한다.
• 사후 분석 결과, 브라우저를 종료한 후에도 브라우저 기록 및 캐시 데이터가 파일 시스템에 지속적으로 남아 있음을 확인하였다.
• 임시 디렉터리 및 시스템 수준의 저장소 위치(예: Windows 레지스트리, AppData 폴더)에서 증거를 성공적으로 추출하였다.
• 이 연구는 전문 증거 분석 도구가 이러한 자료에서 높은 정확도로 브라우저 활동을 재구성할 수 있음을 입증하였다.
• 복구된 데이터에는 타임스탬프, 방문한 URL, 사용자 세션 메타데이터 등이 포함되어 있어 타임라인 재구성 및 행동 분석이 가능하였다.
• 연구는 증거 분석자가 에픽 프라이버시 브라우저에서 실행 가능한 지능 정보를 확보할 수 있음을 확인하였으며, 완전한 데이터 삭제가 보장된다는 가정에 도전한다.