A framework for efficient reverse engineering of data decryption and Its applications = 데이터 복호화를 위한 효율적인 역공학 프레임워크 및 응용

국문 초록 (Abstract)

현대 디지털 수사에서 사용자 행위를 추정하기위해서는 메신저, 협업도구, 생산성도구 등의 다양한 개별 애플리케이션의 데이터를 분석해야한다. 각 애플리케이션 데이터를 분석하기 위해서는 적용된 보안 기술을 해제해고 데이터 구조 분석이 선행되어야 한다. 특히 암호화된 데이터가 존재하는 경우 이를 복호화하지 않으면 데이터 분석이 불가능하다. 따라서 다양한 애플리케이션 데이터를 수사에 활용하기 위해서는 데이터를 복호화하고 이를 분석하는 연구가 지속적으로 이루어져야 한다. 이때, 암호화 키가 존재하는 위치와 사용된 암호 알고리즘을 특정할 수 있다면 관련 라이브러리 함수 등을 추적하여 분석과정을 단축할 수 있다. 본 연구에서는 이러한 선행 연구를 효율적으로 수행하기 위해 간단한 실험을 통해 암호화에 사용된 키가 존재하는 위치를 식별하는 프레임워크를 제시합니다. 또한 식별된 키의 위치를 기반으로 애플리케이션 클라이언트를 분석에 활용하는 방법론을 제안합니다.

다국어 초록 (Multilingual Abstract)

In modern digital forensics, inferring user behavior requires analyzing data from various individual applications, such as messengers, collaboration tools, and productivity software. To analyze the data from each application, it is necessary to bypass its applied security technologies and first conduct an analysis of its data structure. In particular, if encrypted data exists, data analysis is impossible without decrypting it. Therefore, to utilize diverse application data in investigations, continuous research into decrypting and analyzing this data is essential. At this juncture, if the location of the encryption key and the specific encryption algorithm used can be identified, the analysis process can be shortened by tracing related library functions. In this study, we propose a framework, developed through simple experiments, to efficiently perform this prerequisite analysis by identifying the location of the keys used in encryption. Furthermore, we propose a methodology for utilizing the application client in the analysis based on the identified key locations.

목차 (Table of Contents)

• 1 Introduction 1
• 1.1 Motivation of the Thesis 1
• 1.2 Background and Related Works 2
• 1.2.1 Hard-coded key 3
• 1.2.2 User infomation based key 3
• 1.2.3 Device infomation based key 4
• 1.2.4 OS data protection API based key 4
• 1.2.5 Server key 4
• 2 Experimental Methodology 5
• 2.1 Identifying cryptographic operations 5
• 2.2 Ciphertext change analysis 5
• 2.3 Migration test 5
• 2.4 Device dependency Check 6
• 2.5 Password dependency Check 6
• 3 Efficient Reverse Engineering and Encrypted Data Analysis Framework 7
• 3.1 String search identified encryption algorithms /key derivation parameter keyword 8
• 3.2 Using hard-corded key or OS data protection API 8
• 3.3 Migration-Based Analysis Technique 9
• 4 Case Study on Our framework 10
• 4.1 Sony Backup Hard-coded key, User Information 10
• 4.1.1 Analysis of Backup for Sony smartphones 10
• 4.1.2 Analysis of decryption methods for the backup data of Sony smartphones 14
• 4.2 KakaoTalk and Proton Mail - Reused key Attack 15
• 4.2.1 Methodology of analysis for reused key attack 15
• 4.2.2 Reused key attacks in mobile applications 18
• 4.3 Windows Browser Migration 27
• 4.3.1 Methodology of browser data migration 27
• 4.3.2 Browser data migration process 28
• 4.3.3 Utilization of browser data migration in digital forensic investigations 34
• 4.4 Multi-platform Cisco Webex 36
• 4.4.1 Decryption methodology for Webex databases 36
• 4.4.2 Forensic Analysis of Webex Databases 41
• 4.4.3 Deleted Message Recovery of Webex database 43
• 4.4.4 Webex Credential Migration 46
• 5 Conclusion 48
• 국문요약 51
• i