macOS 환경에서의 Huawei 및 Apple 스마트폰 암호화 백업 데이터 복호화 및 아티팩트 분석 (Huawei and Apple Smartphone Encrypted Backup Data Decryption and Artifact Analysis in macOS Environment)

서지정보

· 발행기관 : 한국디지털포렌식학회
· 수록지 정보 : 디지털포렌식연구 / 15권 / 4호 / 112 ~ 137페이지
· 저자명 : 강수진, 김기윤, 김소람, 김종성

초록

사용자와 관련한 다양한 데이터를 저장하는 스마트폰은 디지털 포렌식 관점에서 주요 분석 대상이다. 스마트폰의 보안 문제로 수사를 위한 스마트폰 데이터의 획득이 어려운 경우, 제조사 백업 서비스를 통한 데이터 획득 방식을 활용할 수 있다. 백업 기능은 제조사에서 사용자의 편의를 위해 데이터 보관 및 이동 등이 용이하도록 제공하는 서비스로 스마트폰 내의 주요 데이터를 PC나 다른 스마트폰으로 옮길 수 있다. 제조사에 따라 관리하는 데이터의 종류 및 형태가 다르며, 암호화 기능을 제공하여 한층 강화된 데이터 보안을 제공하기도 한다. 따라서 백업 데이터 활용 시 제조사별 백업 데이터 구조 및 암호화 기능 사용 여부에 따른 획득 가능한 데이터 종류를 파악해야 한다. 만일 암호화 기능이 적용된 경우, 데이터 복호화 방안 연구가 선행되어야 한다. 또한, 기존 연구 결과가 존재하더라도 백업 프로그램 업데이트 시 백업 데이터 구조 및 암호화 과정이 변경될 수 있어 지속적인 연구가 필요하다. 본 논문에서는 최신 macOS 환경에서 스마트폰 제조사인 Huawei와 Apple의 백업 데이터를 분석하였다. 각 제조사가 제공하는 백업 프로그램을 사용하여 백업된 데이터의 분석을 통해 상세한 암호화 과정을 밝혔다. 이를 기반으로 백업된 데이터를 모두 복호화하였으며, 암호화에 사용된 사용자 입력 패스워드의 복구 가능성을 제시하였다. 이후 복호화된 데이터 중 디지털 포렌식 관점에서 유용한 아티팩트를 선별하고 정리하였다.

영어초록

Smartphones that store various data related to users are a major analysis target in a digital forensic investigation. When it is difficult to obtain smartphone data for investigation due to security problems, a data acquisition method through a manufacturer's backup service can be used. The backup function is a service provided by the manufacturer to facilitate data storage and movement for the convenience of users, and it is possible to move the main data in the smartphone to a PC or another smartphone. The types and forms of managed data differ depending on the manufacturer, and it also provides enhanced data security by providing an encryption function. Therefore, when using backup data, it is necessary to identify the types of data that can be obtained depending on the backup data structure by manufacturer and whether or not the encryption function is used. If an encryption function is applied, a study on data decryption method should be preceded. In addition, even if preceding studies results exist, the backup data structure and encryption process may be changed when updating the backup program, so subsequent studies are required. In this paper, we analyzed the backup data of smartphone manufacturers Huawei and Apple in the latest macOS environment. We revealed the detailed encryption process through the analysis of the backed up data using the backup program provided by Huawei and Apple manufacturers. Based on this, we decrypted all the backed up data, and suggested the possibility of recovering the user input password used for encryption. Then, we selected and organized useful artifacts from a digital forensics perspective among decrypted backed up data.

참고자료

· 없음