[논문 리뷰] Using Smartphones as a Proxy for Forensic Evidence contained in Cloud Storage Services

George Grispos, William Bradley Glisson외 1명|arXiv (Cornell University)|2013. 03. 17.

Digital and Cyber Forensics참고 문헌 10인용 수 11

한 줄 요약

이 논문은 스마트폰이 Dropbox 및 Box와 같은 클라우드 스토리지 서비스에 액세스한 후에도 남는 잔류 자료를 분석하여 iOS 및 안드로이드 기기에서 클라우드에 저장된 데이터의 디지털 증거로 스마트폰을 어떻게 활용할 수 있는지 조사한다. 직접적인 클라우드 환경 액세스가 제한된 상황에서 캐시된 파일, 데이터베이스 항목, 메타데이터와 같은 클라이언트 측 트레이스를 식별함으로써 디지털 증거 수거의 실용적인 대안을 제공한다.

ABSTRACT

Cloud storage services such as Dropbox, Box and SugarSync have been embraced by both individuals and organizations. This creates an environment that is potentially conducive to security breaches and malicious activities. The investigation of these cloud environments presents new challenges for the digital forensics community. It is anticipated that smartphone devices will retain data from these storage services. Hence, this research presents a preliminary investigation into the residual artifacts created on an iOS and Android device that has accessed a cloud storage service. The contribution of this paper is twofold. First, it provides an initial assessment on the extent to which cloud storage data is stored on these client-side devices. This view acts as a proxy for data stored in the cloud. Secondly, it provides documentation on the artifacts that could be useful in a digital forensics investigation of cloud services.

연구 동기 및 목표

• 클라우드 스토리지 데이터가 액세스 후 클라이언트 측 스마트폰에 얼마나 오래 유지되는지 평가하는 것.
• 클라우드 스토리지 서비스와의 상호작용으로 인해 발생하는 iOS 및 안드로이드 기기의 디지털 증거 자료를 식별하고 문서화하는 것.
• 클라우드 환경에 저장된 증거의 대체 수 Mittel로 스마트폰 데이터를 사용하는 것이 얼마나 가능한지 평가하는 것.
• 디지털 증거 수거 전문가가 조사 목적을 위해 실질적인 자료 위치와 특성을 확보할 수 있도록 지원하는 것.

제안 방법

• 대표적인 클라우드 스토리지 서비스(예: Dropbox, Box, SugarSync)에 액세스하는 iOS 및 안드로이드 기기에서 통제된 실험을 수행한 바.
• 장치 스토리지의 증거 확보를 수행하여 캐시된 파일, SQLite 데이터베이스, 메타데이터 등의 잔류 데이터를 추출하고 분석한 바.
• 식별된 자료를 해당 클라우드 스토리지 작업(예: 파일 동기화, 로그인, 파일 액세스)에 매핑한 바.
• 표준 디지털 증거 수거 도구와 수동 분석을 사용하여 자료의 존재 및 구조를 검증한 바.
• 증거 수거가 가능한 가치를 평가하기 위해 자료 유형, 위치, 지속 시간에 따라 분류한 바.
• 다양한 사용 시나리오와 기기 설정에서 자료의 신뢰성과 복구 가능성 평가한 바.

실험 결과

연구 질문

• RQ1 스마트폰은 클라우드 스토리지 서비스에서 얼마나 오랫동안 자료의 흔적을 유지하는가?
• RQ2 클라우드 스토리지 플랫폼과 상호작용한 후 스마트폰에 생성되는 디지털 자료의 유형은 무엇인가?
• RQ3 직접적인 클라우드 액세스가 없는 상황에서 이러한 클라이언트 측 자료는 사용자 활동을 어떻게 재구성하는 데 사용될 수 있는가?
• RQ4 이러한 자료의 지속성과 신뢰성은 증거 수거에 대해 얼마나 높은가?

주요 결과

• 스마트폰은 클라우드에서 삭제된 후에도 캐시된 파일, 데이터베이스 항목, 메타데이터와 같은 중요한 증거 자료를 유지한다.
• iOS 기기에서는 특히 SQLite 데이터베이스와 파일 시스템 캐시 형태로 더 지속적이고 구조화된 자료를 저장한다.
• 안드로이드 기기 역시 유사한 자료 유형을 보였지만, 더 일관되지 않은 구조와 짧은 지속 시간을 보였다.
• 미리보기 이미지, 파일 메타데이터, 로그인 토큰과 같은 자료는 양 플랫폼에서 복구 가능했으며, 사용자 활동 패턴을 나타내는 데 도움이 되었다.
• 이러한 자료의 존재는 직접적인 클라우드 액세스가 불가능한 상황에서 스마트폰이 클라우드 기반 증거의 실질적인 대체 수 Mittel이 될 수 있음을 확인한다.
• 특히 iOS Keychain이나 안드로이드 SharedPreferences에 저장된 자료는 인증 토큰과 같은 민감한 정보를 포함하고 있어 증거 수거 가치가 높다.