디지털 포렌식 관점에서 CD-R 미디어의 해쉬 값 생성에 관한 연구

박정흠(JungHeum Park),김권엽(Kwon Youp Kim),이상진(SangJin Lee),임종인(JongIn Lim) 한국방송·미디어공학회 2008 한국방송공학회 학술발표대회 논문집 Vol.2008 No.-

해쉬 알고리즘은 디지털 포렌식 수사에서 디지털 증거의 무결성을 증명하기 위해 널리 사용되고 있다. 디지털 증거의 무결성은 동일한 데이터에서만 같은 해쉬 값이 계산된다는 성질에 의하여 증명된다. 일반적으로 동일한 데이터에 대한 해쉬 값은 서로 다른 포렌식 틀을 이용해서 계산을 대호 항상 같은 값이 출력될 것이라고 인식하고 있다. 하지만, CD-R 미디어의 경우에는 해쉬를 계산하는 포렌식 틀에 따라 값이 다르다는 특성이 있다. 이것은 해쉬 값이 CD 제작 도구에서 CD-R 미디어에 데이터를 기록하는 방식과 각 포렌식 틀 별로 CD-R 미디어를 인식하는 방식에 의해 영향을 받기 때문이다. 이러한 특성은 CD-R 미디어의 무결성 증명 시에 문제가 될 여지가 있기 때문에 디지털 포렌식 수사 절차에서 반드시 고려되어야 한다. 본 논문에서는 CD-R 미디어의 해쉬 값에 영향을 주는 요소에 대해 기술하고, 실험용 CD-R 미디어를 제작하여 대표적인 디지털 포렌식 도구들을 이용해서 확인한다. 이를 통해, 디지털 포렌식 수사 절차에서 CD-R 미디어에 대한 해쉬 값을 계산할 때 고려해야 할 사항을 제안한다.

NIST의 디지털 포렌식 도구 검증 체계 소개

박정흠(Jungheum Park),James R. Lyle,Barbara Guttman 한국정보보호학회 2016 情報保護學會誌 Vol.26 No.5

정보 통신 기술이 빠르게 발전하고 디지털 기기가 보급됨에 따라 다양한 유형의 사건을 해결하는데 있어서 디지털 증거가 핵심적인 요소로 활용되고 있다. 이에 잠재적인 디지털 증거를 수집, 추출, 복구, 분석하기 위한 디지털 포렌식(Digital Forensics) 기술의 연구 개발이 전 세계적으로 매우 활발하게 진행되어 왔다. 활발한 연구 개발의 결과, 보다 효율적인 디지털 포렌식 활동을 지원하기 위해서 여러 도구(S/W, H/W)들이 공개되고 있으며 현재 다양한 목적으로 널리 활용되고 있다. 이와 같이 디지털 포렌식 도구의 활용이 일반화되었고 특히 동일(또는 유사한) 기능을 제공하는 여러 도구가 존재함에 따라서 각각의 도구가 제공하는 기능의 범위와 구현의 정확성 등에 대한 검증의 필요성이 제기되었다. 이러한 요구에 맞춰 1999년 미국 국립표준기술연구소(NIST)에서 디지털 포렌식 도구 검증 체계를 구축하였고, 현재까지도 활발하게 진행되고 있다. 본 논문에서는 NIST에서 수행 중인 CFTT와 CFReDS 프로젝트를 소개하고, 진행 현황과 향후의 발전 방향을 설명한다.

스마트폰 플래시 메모리 이미지 내의 단편화된 페이지 분석 기법 및 구현

박정흠(Jungheum Park),정현지(Hyunji Chung),이상진(Sangjin Lee),손영동(Youngdong Son) 한국정보보호학회 2012 정보보호학회논문지 Vol.22 No.4

휴대폰은 개인의 생활과 가장 밀접한 디지털 기기로 디지털 포렌식 수사 시에 반드시 고려해야 할 대상이 되고 있다. 최근에는 스마트폰의 사용이 증가하고 있는데, 스마트폰은 피처폰과는 달리 일반 PC와 유사한 고성능의 운영체제(Android, iOS 등)를 사용하면서 다양한 모바일 앱(app)을 통해 사용자에게 여러 가지 기능을 제공하는 특징이 있다. 디지털 포렌식 관점에서 스마트폰의 사용 흔적을 수집하고 분석하는 것이 중요해짐에 따라서 전세계적으로 스마트폰 포렌식에 관한 연구가 활발하게 이루어지고 있다. 스마트폰 내의 데이터를 분석하기 위해서는 백업 또는 디버깅 기능을 이용하여 사용자 파일을 추출하거나, 운영체제의 루트(root) 권한을 획득하여 플래시 메모리에 대한 이미지를 수집한 후에 파일시스템(YAFFS, EXT, RFS, HFS+ 등)을 재구성하여 분석하는 방법을 사용할 수 있다. 그러나 이와 같은 방법은 정상적으로 존재하는 파일 이외에 삭제되거나 플래시 메모리 페이지의 데이터가 수정되면서 생성될 수 있는 잉여 데이터에 대한 분석에는 한계가 있다. 본 논문에서는 스마트폰으로부터 획득한 플래시 메모리 이미지 내의 단편화된 페이지(fragmented pages)를 분석하는 기법을 소개한다. 이를 통해 플래시 메모리 페이지의 스페어 영역(spare area)이 없어서 파일시스템의 재구성이 불가능한 이미지 또는 정상적인 파일시스템의 비할당 영역에 속하는 임의의 페이지들에 대한 효과적인 분석 방법을 제시한다. A cell phone is very close to the user and therefore should be considered in digital forensic investigation. Recently, the proportion of smartphone owners is increasing dramatically. Unlike the feature phone, users can utilize various mobile application in smartphone because it has high-performance operating system (e.g., Android, iOS). As acquisition and analysis of user data in smartphone are more important in digital forensic purposes, smartphone forensics has been studied actively. There are two way to do smartphone forensics. The first way is to extract user’s data using the backup and debugging function of smartphones. The second way is to get root permission, and acquire the image of flash memory. And then, it is possible to reconstruct the filesystem, such as YAFFS, EXT, RFS, HFS+ and analyze it. However, this methods are not suitable to recovery and analyze deleted data from smartphones. This paper introduces analysis techniques for fragmented flash memory pages in smartphones. Especially, this paper demonstrates analysis techniques on the image that reconstruction of filesystem is impossible because the spare area of flash memory pages does not exist and the pages in unallocated area of filesystem.

Microsoft Office 2007 파일에의 정보 은닉 및 탐지 방법

박보라(Bora Park),박정흠(JungHeum Park),이상진(Sangjin Lee) 한국정보보호학회 2008 정보보호학회논문지 Vol.18 No.3

정보 은닉 기술은 최근 들어 주목받고 있는 기술이다. 정보 은닉 기술을 보유하고 사용하는 것은 보안이 요구되는 통신 환경에서 경쟁력이 되기 때문이다. 본 논문에서는 2007년 초에 출시된 Microsoft Office 2007 파일에 정보를 은닉하는 것이 가능함을 보이고자 한다. Microsoft Office 파일 형식(format)이 Open XML을 따름을 고려할 때, Open XML의 특징을 이용하여 Microsoft Office 파일에 정보를 숨길 수 있다. Open XML 형식에서는 파트(Part)와 각 파트간의 관계를 사용자가 정의할 수 있는데, 이러한 사용자 정의의 파트와 사용자 정의의 관계가 Microsoft Office 2007 파일에 정보를 숨기는 데에 핵심적인 역할을 한다. Microsoft Office 응용 프로그램으로 만들어진 파일에는 이러한 사용자 정의의 파트와 파트간 관계가 존재하지 않으므로 이러한 요소의 존재 여부로, 정보가 은닉되었는지의 여부를 판단할 수도 있다. Information hiding is a very important technology recently. Having this technology can be a competitive power for secure communication. In this paper, it will be showed that hiding data in MS Office 2007 file is possible. Considering Microsoft (MS) Office 2007 file format is based on Open XML format, the feature of Open XML format makes it possible to hide data in MS Office 2007 file. In Open XML format, unknown XML files and their relationships can be defined by user. These parts and relationships are used to hide data in MS Office 2007 file. Considering unknown parts and unknown relationships are not in normal MS Office 2007 file, the hidden data can be detected by confirming of unknown parts and unknown relationships.

비할당 영역 데이터 파편의 문서 텍스트 추출 방안에 관한 연구

유병영(Byeongyeong Yoo),박정흠(Jungheum Park),방제완(Jewan Bang),이상진(Jewan Bang) 한국정보보호학회 2010 정보보호학회논문지 Vol.20 No.6

디지털 포렌식 관점에서 디스크의 비할당 영역의 데이터를 분석하는 것은 삭제된 데이터를 조사할 수 있다는 점에서 의미가 있다. 파일 카빙(Carving)을 이용하여 비할당 영역의 데이터를 복구할 경우 일반적으로 연속적으로 할당된 완전한 파일은 복구 가능하지만, 비연속적으로 할당되거나 완전하지 않은 형태의 단편화된 데이터 파편(Fragment)은 복구하기 어렵다. 하지만 데이터 파편은 많은 양의 정보를 포함하고 있기 때문에 이에 대한 분석이 필요하다. Microsoft Word, Excel, PowerPoint, PDF 문서 파일은 텍스트와 같은 정보들을 압축된 형태로 저장하거나 문서 내부에 특정 형식을 이용하여 저장한다. 앞서 언급한 문서 파일의 일부분이 데이터 파편에 저장되어 있을 경우 해당 데이터 파편에서 데이터의 압축 여부를 판단하거나 문서 내부 형식을 이용하여 텍스트 추출이 가능하다. 본 논문에서는 비할당 영역 데이터 파편에서 특정 문서파일의 텍스트를 추출하는 방안을 제시한다. It is meaningful to investigate data in unallocated space because we can investigate the deleted data. Consecutively complete file recovery using the File Carving is possible in unallocated area, but noncontiguous or incomplete data recovery is impossible. Typically, the analysis of the data fragments are needed because they should contain large amounts of information. Microsoft Word, Excel, PowerPoint and PDF document file's text are stored using compression or specific document format. If the part of aforementioned document file was stored in unallocated data fragment, text extraction is possible using specific document format. In this paper, we suggest the method of extracting a particular document file text in unallocated data fragment.

안드로이드 운영체제의 Ext4 파일 시스템에서 삭제 파일 카빙 기법

김도현(Dohyun Kim),박정흠(Jungheum Park),이상진(Sangjin Lee) 한국정보보호학회 2013 정보보호학회논문지 Vol.23 No.3

많은 리눅스 운영체제와 안드로이드 운영체제에서 Ext4 파일 시스템을 사용하고 있어 디지털 포렌식 관점에서 Ext4 파일 시스템 상의 삭제 파일 복구가 현안이 되고 있다. 본 논문은 Ext4 파일 시스템에서 파일의 할당, 삭제 시 특징을 분석함으로써 삭제된 파일에 대한 복구 방법을 제시하였다. 특히 안드로이드 운영체제의 파일 할당 정책을 바탕으로 비 할당 영역에 조각나 있는 삭제된 파일에 대한 복구 방법을 제시한다. A lot of OS(Operating Systems) such as Linux and Android selected Ext4 as the official file system. Therefore, a recovery of deleted file from Ext4 is becoming a pending issue. In this paper, we suggest how to recover the deleted file by analyzing the entire structure of Ext4 file system, the study of metadata area, the distinct feature when file is assigned and deleted. Particularly, we focus on studying the features of file which is assigned in Ext4 file system in Android OS and also suggest the method to recover the deleted file that is fragmented from the un-allocated area.

Microsoft Office 진단 로그 분석 및 포렌식 활용 방안

임연재(Yeonjae Im),박정흠(Jungheum Park),이상진(Sangjin Lee) 한국디지털포렌식학회 2021 디지털 포렌식 연구 Vol.15 No.2

IP 카메라 보안의 문제점 분석 및 보완 방안 연구

신승진 ( Seungjin Shin ),박정흠 ( Jungheum Park ),이상진 ( Sangjin Lee ) 한국정보처리학회 2023 정보처리학회논문지. 컴퓨터 및 통신시스템 Vol.12 No.3

세계적으로 사이버 공격이 증가하고 있으며 CCTV, IP 카메라 해킹과 같은 개인의 사생활에 대한 공격도 증가하고 있다. 유튜브나 SNS, 다크웹과 같은 공간에서 IP 카메라 해킹 방법에 대해 검색해보면 손쉽게 자료를 구할 수 있고, 해킹 프로그램 또한 판매되고 있다. 해킹 프로그램이 이용하는 취약점이 존재하는 IP 카메라를 사용하면 비밀번호를 주기적으로 변경하거나 특수문자와 영어 대소문자, 숫자를 포함한 복잡한 암호를 사용하더라도 쉽게 해킹 피해를 본다. 뉴스나 언론 매체를 통해 IP 카메라 보안성에 대해 문제를 제기하고 피해 방지를 위한 대책을 제시하였으나 해킹 사건은 꾸준히 발생하고 있다. 이러한 해킹 피해를 막기 위하여 해킹 사건 원인을 파악하고 이에 대한 구체적인 대응 방안이 필요하다. 먼저 IP 카메라 해킹 사건의 원인으로 취약한 계정 설정과 IP 카메라의 웹 서버 취약점을 분석하고 이에 대한 해결 방법을 제시하였다. 그리고 해킹에 대한 구체적인 대응 방안으로 IP 카메라에 접속하면 알림이 오도록 하는 기능과 접속 기록을 저장하는 기능이 추가되어야 한다고 제안하였다. 이와 같은 기능이 있다면 피해 사실을 즉각 알아차릴 수 있고, 범인을 검거하는 데 중요한 자료를 남길 수 있다. 따라서 본 논문에서는 IP 카메라에 접속 알림 기능과 로깅 기능을 사용하여 해킹으로부터 안전성을 높이는 방법을 제시하였다. Cyber attacks are increasing worldwide, and attacks on personal privacy such as CCTV and IP camera hacking are also increasing. If you search for IP camera hacking methods in spaces such as YouTube, SNS, and the dark web, you can easily get data and hacking programs are also on sale. If you use an IP camera that has vulnerabilities used by hacking programs, you easily get hacked even if you change your password regularly or use a complex password including special characters, uppercase and lowercase letters, and numbers. Although news and media have raised concerns about the security of IP cameras and suggested measures to prevent damage, hacking incidents continue to occur. In order to prevent such hacking damage, it is necessary to identify the cause of the hacking incident and take concrete measures. First, we analyzed weak account settings and web server vulnerabilities of IP cameras, which are the causes of IP camera hacking, and suggested solutions. In addition, as a specific countermeasure against hacking, it is proposed to add a function to receive a notification when an IP camera is connected and a function to save the connection history. If there is such a function, the fact of damage can be recognized immediately, and important data can be left in arresting criminals. Therefore, in this paper, we propose a method to increase the safety from hacking by using the connection notification function and logging function of the IP camera.

중국산(XINUO XF-1069) GPS 플로터에 대한 포렌식 기법 연구

이현지(Hyunji Yi),윤우성(Woosung Yun),박정흠(Jungheum Park),이상진(Sangjin Lee) 한국디지털포렌식학회 2021 디지털 포렌식 연구 Vol.15 No.3

어선의 사고가 증가함에 따라 어선에서 주로 사용하고 있는 GPS 플로터에 대한 분석의 중요도가 점차 높아지고 있다. 또한, 서해에서 불법 조업을 하는 중국 어선으로 인해 중국 항해장비를 분석하는 경우도 증가하고 있다. 본 논문에서는 GPS 플로터에서 기본적으로 아티팩트를 수집하는 방법인 SD 카드를 통해 백업 파일을 추출하여 데이터를 분석하는 방법을 제시한다. GPS 플로터를 분석함으로써 해양사고 발생 시 증거로 활용할 수 있고 중국 GPS 플로터의 경우 중국 어선 나포 시 분석 대상이 될 수 있어 본 연구에서 분석한 방법을 적용할 수 있을 것이다. As the number of accidents on fishing boats increases, the importance of analyzing GPS plotters, which are mainly used by fishing boats, is gradually increasing. In addition, the analysis of Chinese navigation equipment is increasing due to Chinese fishing boats operating illegally in the West Sea. In this paper, we present a method for analyzing data by extracting backup files from the SD card, which is a method of collecting artifacts in a GPS plotter basically. By analyzing the GPS plotter, it can be used as evidence in case of a marine accident, and in the case of a Chinese GPS plotter, it can be analyzed when a Chinese fishing boat is captured, so the analysis method in this study can be applied.

macOS Mojave에서의 포렌식 분석 절차 연구

정지용(Jiyong Jung),최지성(Jisung Choi),박정흠(Jungheum Park),이상진(Sangjin Lee) 한국디지털포렌식학회 2019 디지털 포렌식 연구 Vol.13 No.2

macOS는 윈도우 운영체제에 이어 마주할 가능성이 높은 운영체제로 디지털 포렌식에서 중요한 운영체제다. 그러나 macOS의 높은 보안성과 빈번한 운영체제 업데이트는 애플의 PC 제품에 대한 디지털 포렌식 분석을 어렵게 만들고 있다. 또한 기존의 macOS에 대한 디지털 포렌식 연구들은 Log, Plist 등에 기록된 정보에 초점을 맞춰 연구가 진행되어 정보들을 연관지어 분석하는 방법에 대한 연구는 부족한 상황이다. 본 논문에서는 macOS의 최신 버전인 Mojave를 기반으로 디지털 포렌식 분석 시 제한 사항을 도출하고 도출된 사항들로부터 적합한 분석절차를 제안한다. 또한 macOS의 주요 아티팩트 간의 연관성을 분석하고 이를 토대로 분석 방법론을 제안한다. macOS is an operating system that is likely to be encountered following Windows OS and is an important operating system in the digital forensics. But the high security of macOS and frequent operating system updates make it difficult for Apple to analyze digital forensics for its PC products. In addition, traditional macOS digital forensics studies focus on information recorded in Log, Plist, and others, and lack research on how to correlate and analyze information. Based on Mojave, the latest version of macOS, limitations are derived in digital forensics analysis and suitable analysis procedures are proposed from the derived ones. It also analyzes the association between major artifacts in macOS and proposes an analysis methodology based on them.