[论文解读] Cloud Storage Forensics: Analysis of Data Remnants on SpiderOak, JustCloud, and pCloud
本文通过分析在 Windows 8.1 和 iOS 8.1.1 设备上的 SpiderOak、JustCloud 和 pCloud 上的数据残留，研究了云存储 forensics（数字取证）。通过追踪文件上传和下载过程中元数据的变化，评估其在数字调查中的取证价值。研究发现，尽管采用了强加密，客户端设备上的残留数据和元数据仍可提供具有取证价值的证据。
STorage as a Service (STaaS) cloud platforms benefits such as getting access to data anywhere, anytime, on a wide range of devices made them very popular among businesses and individuals. As such forensics investigators are increasingly facing cases that involve investigation of STaaS platforms. Therefore, it is essential for cyber investigators to know how to collect, preserve, and analyse evidences of these platforms. In this paper, we describe investigation of three STaaS platforms namely SpiderOak, JustCloud, and pCloud on Windows 8.1 and iOS 8.1.1 devices. Moreover, possible changes on uploaded and downloaded files metadata on these platforms would be tracked and their forensics value would be investigated.
研究动机与目标
- 评估像 SpiderOak、JustCloud 和 pCloud 这类流行云存储平台上数据残留的取证可行性。
- 研究在这些平台上，文件元数据在上传和下载过程中如何变化。
- 评估客户端痕迹和元数据在数字取证调查中的潜力。
- 为网络调查人员提供关于从 STaaS 平台收集和保存证据的实际建议。
提出的方法
- 在 Windows 8.1 和 iOS 8.1.1 设备上，使用 SpiderOak、JustCloud 和 pCloud 进行数字取证分析。
- 捕获并追踪文件上传和下载操作期间的元数据变化（例如，时间戳、文件属性）。
- 执行文件系统和缓存分析，以识别本地设备上的残留数据痕迹。
- 收集并分析客户端存储痕迹，包括临时文件、缓存和元数据日志。
- 评估不同操作系统和云平台之间取证痕迹的持久性和可靠性。
- 使用标准数字取证技术，在云交互后从本地存储中保存和提取证据。
实验结果
研究问题
- RQ1在将文件上传或下载到 SpiderOak、JustCloud 和 pCloud 后，客户端设备上会残留哪些类型的数据痕迹？
- RQ2在云文件传输过程中，元数据属性（例如，时间戳、文件大小）如何变化，这些变化具有何种取证价值？
- RQ3在数字调查中，这些平台的客户端痕迹在多大程度上可以被可靠地收集和保存？
- RQ4在 Windows 和 iOS 上，不同平台在数据痕迹持久性和元数据行为方面是否存在差异？
- RQ5端到端加密对这些服务中取证证据的可用性和有用性有何影响？
主要发现
- 在云文件操作后，Windows 和 iOS 设备上均一致发现了残留数据痕迹，包括临时文件和元数据。
- 文件时间戳和访问时间等元数据在上传和下载过程中被修改，表明其在时间线重建方面具有潜在的取证价值。
- pCloud 在 Windows 上表现出更持久的本地痕迹，而 JustCloud 在 iOS 设备上显示出显著的元数据变化。
- SpiderOak 的强加密并未完全阻止本地数据痕迹的出现，特别是在缓存和临时存储区域。
- 客户端元数据变化可被观察到且具有取证相关性，有助于重建用户活动时间线。
- 本研究证实，尽管存在云加密，客户端痕迹仍是数字取证调查中可行的证据来源。
更好的研究，从现在开始
从阅读论文到最终审阅，大幅缩短您的研究时间。
无需绑定信用卡
本解读由 AI 生成，并经人工编辑审核。