[论文解读] Using Smartphones as a Proxy for Forensic Evidence contained in Cloud Storage Services

George Grispos, William Bradley Glisson+1 more|arXiv (Cornell University)|Mar 17, 2013

Digital and Cyber Forensics参考文献 10被引用 11

一句话总结

本文研究了智能手机如何作为云存储数据的数字取证代理，通过分析用户在访问Dropbox和Box等云存储服务后，iOS和Android设备上残留的痕迹。研究识别出特定的客户端痕迹，如缓存文件、数据库条目和元数据，当无法直接访问云环境时，这些痕迹可为数字取证调查提供帮助，为证据收集提供一种实用的替代方案。

ABSTRACT

Cloud storage services such as Dropbox, Box and SugarSync have been embraced by both individuals and organizations. This creates an environment that is potentially conducive to security breaches and malicious activities. The investigation of these cloud environments presents new challenges for the digital forensics community. It is anticipated that smartphone devices will retain data from these storage services. Hence, this research presents a preliminary investigation into the residual artifacts created on an iOS and Android device that has accessed a cloud storage service. The contribution of this paper is twofold. First, it provides an initial assessment on the extent to which cloud storage data is stored on these client-side devices. This view acts as a proxy for data stored in the cloud. Secondly, it provides documentation on the artifacts that could be useful in a digital forensics investigation of cloud services.

研究动机与目标

• 评估用户访问云存储服务后，云存储数据在客户端智能手机上留存的程度。
• 识别并记录与云存储服务交互后在iOS和Android设备上产生的数字取证痕迹。
• 评估利用智能手机数据作为云环境中证据代理的可行性。
• 为数字取证从业者提供可操作的痕迹位置和特征信息，以支持调查工作。

提出的方法

• 在访问主流云存储服务（如Dropbox、Box、SugarSync）的iOS和Android设备上开展受控实验。
• 执行设备存储的取证采集，以提取并分析缓存文件、SQLite数据库和元数据等残留数据。
• 将识别出的痕迹映射到相应的云存储操作（如文件同步、登录、文件访问）。
• 使用标准数字取证工具和人工分析验证痕迹的存在性与结构。
• 根据类型、位置和持久时间对痕迹进行分类，以评估其取证价值。
• 在不同使用场景和设备配置下，评估痕迹的可靠性和可恢复性。

实验结果

研究问题

• RQ1 智能手机在多大程度上保留了云存储服务的数据痕迹？
• RQ2 与云存储平台交互后，智能手机上会产生哪些类型的数字痕迹？
• RQ3 在无法直接访问云环境的情况下，如何利用这些客户端痕迹重建用户活动？
• RQ4 这些痕迹在取证调查中的持久性和可靠性如何？

主要发现

• 智能手机在云存储数据被删除后，仍会保留大量取证痕迹，包括缓存文件、数据库条目和元数据。
• iOS设备存储了更多持久且结构化的痕迹，特别是以SQLite数据库和文件系统缓存的形式存在。
• Android设备表现出类似的痕迹类型，但结构一致性较差，且持久时间较短。
• 包括缩略图、文件元数据和登录令牌在内的痕迹在两个平台上均可恢复，能够反映用户活动模式。
• 这些痕迹的存在表明，当无法直接访问云环境时，智能手机可作为云证据的可行代理。
• 某些痕迹（如iOS钥匙串或Android SharedPreferences中的痕迹）包含认证令牌等敏感信息，显著提升了其取证价值。