Apple Core Data 프레임워크 기반 데이터베이스 분석 방법론 = A Methodology for Analyzing Databases Based on the Apple Core Data Framework

국문 초록 (Abstract)

Apple 플랫폼용 애플리케이션은 Xcode 통합 개발 환경에서 제작되며, Core Data 프레임워크를 지원한다. 해당 프레임워크는 객체 지향적인 데이터 모델링을 지원하지만, 상속 관계가 존재하는 데이터를 단일 테이블에 저장하여 데이터별 속성을 파악하기 어렵다. 이는 디지털 포렌식 수사의 증거 분석 과정에서 많은 시간을 소요하게 한다. 본 논문은 이러한 한계를 극복하기 위해 메타데이터를 이용한 Core Data 프레임워크가 적용된 SQLite 파일 분석 방법론을 제시한다. 이를 통해 데이터 처리 단위인 엔티티의 속성과 상속 관계를 식별하고, 단일 테이블에 존재하는 다양한 정보를 효율적으로 분석할 수 있게 한다. 또한, 트랜잭션 기록이 저장된 테이블을 활용하여 데이터의 조작 시각을 확인하고 삭제된 데이터를 추적하는 방법을 제안한다. 나아가, 제안한 방법론을 iPhone 메모와 iOS 환경 카카오톡에 적용하여 실제 환경에서의 유효성을 입증하였다.

다국어 초록 (Multilingual Abstract)

Applications for the Apple platform are developed in the Xcode integrated development environment and support the Core Data framework. The Core Data framework supports object-oriented data modeling, but it operates by storing data with inheritance relationships in a single table, making it difficult to identify properties for each data. This takes a lot of time in the process of analyzing evidence in digital forensics investigation perspective. To address this, we propose a methodology for analyzing SQLite file based on the Core Data framework using metadata. In addition to identifying entity attributes and inheritance relationships, our methodology enables the efficient analysis of diverse information within a single table. Furthermore, we present a method for recovering the timestamp of an operation and tracking deleted records using the transaction log table. We applied the proposed methodology to the Apple notes and KakaoTalk applications on iOS to demonstrate its effectiveness in a real-world scenario.

목차 (Table of Contents)

• 1. 서론 1
• 2. 관련 연구 및 배경 지식 3
• 2.1. 관련 연구 3
• 2.2. 배경 지식 4
• 2.2.1. Core Data 프레임워크의 특징 4
• 2.2.2. Z테이블 공통사항 7
• 2.2.3. Z_PRIMARYKEY 테이블 8
• 2.2.4. ACHANGE 테이블과 ATRANSACION 테이블 9
• 3. Core Data 프레임워크가 적용된 SQLite 파일 분석 방법론 11
• 3.1. 엔티티 식별과 상속 관계 파악 절차 11
• 3.1.1. 절차 적용을 위한 조건 확인 13
• 3.1.2. Z_SUPER 컬럼 값을 통한 레코드 분류 13
• 3.2. 엔티티 속성 특정 절차 14
• 3.2.1. 부모 엔티티 속성 특정 14
• 3.2.2. 자식 엔티티 속성 특정 17
• 3.3. 엔티티 인스턴스의 트랜잭션 발생 시각 추적 절차 17
• 3.3.1. 절차 적용을 위한 조건 확인 17
• 3.3.2. 트랜잭션 발생 시각 추적 19
• 3.3.3. 삭제 데이터 흔적 추적 19
• 4. 방법론을 이용한 데이터베이스 분석 20
• 4.1. iOS 메모 애플리케이션의 데이터베이스 구조 21
• 4.1.1. 엔티티 식별과 상속 관계 파악 21
• 4.1.2. 엔티티 속성 특정 23
• 4.1.3. 엔티티 인스턴스의 트랜잭션 발생 시각 추적 24
• 4.2. iOS 카카오톡 애플리케이션의 데이터베이스 구조 26
• 4.2.1. 엔티티 식별과 상속 관계 파악 26
• 4.2.2. 엔티티 속성 특정 28
• 4.3. 에이닷 애플리케이션의 데이터베이스 구조 29
• 4.3.1. 엔티티 식별과 상속 관계 파악 30
• 4.3.2. 엔티티 속성 특정 31
• 5. 결 론 32