클라우드 스토리지의 수사 활용가능 데이터 획득 방안 연구 : 구글 드라이브와 구글 포토를 중심으로

다국어 초록 (Multilingual Abstract)

Advances in network technology have enabled high-speed data transmission, and a ‘Cloud Storage’ has emerged that allows uploaded files to be viewed or downloaded regardless of the device and can expand the limited storage capacity in the device. Users of PCs and mobile devices can use this to upload files stored in the device to cloud storage or periodically synchronize and back up files. Google’s personal cloud storage stores and manages various data related to uploaded files, such as file creation, modification and access timestamps, and file operations history. Cloud storage can complement this situation when ‘Anti-forensics’ measures such as file encryption, data wiping, disk formatting, and initialization have made it difficult to acquire digital evidence for PCs and mobile devices. In this study, first, I conducted an experiment to verify and acquire data created and changed in the process of ‘Upload – Save - File Target Operations - Download’ of Google’s personal cloud storage services: ‘Google Drive’ and ‘Google Photos’. As a result of the experiment, the following contents were verified in each Google’s cloud storage: ‘Possibility of intentional or unintentional file upload by automatic synchronization and backup functions’, ‘Maintaining modification timestamp of the file system when uploading files’, ‘Changing photo and video files due to image quality conversion upload’ and ‘Changing timestamps and adding file operations history according to operations on files stored in Google’s cloud storage’. To obtain all kinds of data that can be viewed or downloaded within each Google cloud storage, Google's data download service, "Google Takeout", and web browsers, have been confirmed to be available through download and screen capture methods. In addition, the available data types of each download method were compared with each other, and a procedure for obtaining all data types was proposed. Lastly, I reviewed the following legal issues that may arise using proposed acquisition methods: ‘Issues of Criminal jurisdiction due to extra-territorial search and seizure’, ‘Legality of downloading all files stored on cloud storage to PCs in search locations’, ‘Relevance of file operations history’, ‘Acceptability of file operations history as circumstantial evidence’, and ‘Admissibility of evidence for photo and video files with converted quality’. It is expected that the proposed acquisition method will reduce unnecessary work during the extra-territorial search and seizure of Google’s cloud storage, enabling rapid and accurate digital evidence acquisition without duplicate data.

국문 초록 (Abstract)

네트워크 기술의 발전으로 초고속 데이터 전송이 가능해지면서, 인터넷 연결만으로 업로드한 파일을 기기 유형과 관계없이 확인하거나 다운로드할 수 있고 한정된 기기 내 저장 공간을 확장할 수 있는 ‘클라우드 스토리지’ 서비스가 등장하였다. PC와 모바일 기기의 사용자는 이를 이용하여 기기 내 저장된 파일을 클라우드 스토리지로 업로드하거나 주기적으로 동기화하여 백업할 수 있다. 구글의 클라우드 스토리지에는 파일의 생성·수정·접근시간 정보, 파일 대상 행위 정보 등 업로드된 파일과 관련하여 다양한 데이터를 저장·관리한다. 최근 PC 및 모바일 기기의 파일 암호화나 완전 삭제, 포맷, 초기화 등의 ‘안티 포렌식 행위’로 인해 디지털 증거의 확보가 어려워지고 있는 상황에서 클라우드 스토리지가 이를 보완하는 역할을 할 수 있게 되었다. 본 연구에서는 먼저 구글의 클라우드 스토리지 서비스인 ‘구글 드라이브’와 ‘구글 포토’상의 파일 ‘업로드-저장-파일 대상 행위-다운로드’ 과정에서 생성, 변경되는 데이터를 확인하고 이를 획득하기 위한 실험을 진행하였다. 실험 결과, 각 클라우드 스토리지에서 ‘자동 동기화 및 백업 기능에 의한 의도적 또는 비의도적 파일 업로드 가능성’, ‘파일 업로드 시 파일시스템 수정일시 유지’, ‘화질 변환 업로드로 인한 사진 및 동영상 파일 변경’, ‘클라우드 스토리지에 저장된 파일 대상 행위 시 시간 정보 변화 및 행위 기록’ 등을 확인할 수 있었다. 각 구글 클라우드 스토리지에서 확인할 수 있는 데이터 유형을 모두 확보하기 위해서는 구글에서 제공하는 데이터 다운로드 서비스인 ‘구글 테이크아웃’과 웹 브라우저를 통해 다운로드 및 화면 캡처 방식을 사용하여 획득 가능함을 확인하였으며, 각 다운로드 방식의 확보 가능 데이터 유형을 비교하여 중복된 데이터 없이 이를 모두 획득하는 절차를 제안하였다. 마지막으로, 역외 압수·수색으로 인한 관할권 침해 문제, 수색 장소 내 PC에 클라우드 스토리지에 저장된 모든 파일을 다운로드하는 방식의 적법성 문제, 행위 기록의 사건 관련성과 정황증거로써 허용 여부, 화질 변환된 사진 및 동영상 파일의 증거능력 여부 등 제안한 획득 방법을 적용 시 발생하는 다양한 법률적 문제에 관한 검토를 수행하였다. 제안한 획득 방법은 구글 클라우드 스토리지에 대한 역외 압수·수색 시 불필요한 작업을 줄여 중복된 데이터 없이 신속하고 정확한 디지털 증거 획득이 가능하도록 만들어 줄 것으로 기대한다.

목차 (Table of Contents)

• 제1장 서론 1
• 제1절 연구배경 및 목적 1
• 제2절 연구내용 및 방법 2
• 제2장 클라우드 스토리지 및 파일 메타데이터의 이해 7
• 제1절 클라우드 스토리지 7
• 1. 클라우드 스토리지의 정의 7
• 2. 구글의 클라우드 스토리지 관련 서비스 14
• 제2절 파일 메타데이터 20
• 1. 파일시스템 20
• 2. 파일 내부 메타데이터 28
• 제3장 구글 클라우드 스토리지 내 아티팩트 분석 40
• 제1절 실험 설계 40
• 제2절 실험 절차 43
• 제3절 실험 결과 43
• 1. 지원하는 업로드 방법 43
• 2. 업로드 시 파일시스템 시간 정보 저장 여부 47
• 3. 사진 및 동영상 파일 저장 방법 48
• 4. 파일 대상 행위 기록 여부 53
• 5. 행위별 파일 시간 정보 변화 59
• 6. 파일 다운로드 방법별 획득 가능 데이터 64
• 제4장 클라우드 스토리지의 데이터 획득 방법 제안과 법률적 검토 70
• 제1절 구글 클라우드 스토리지의 데이터 획득 방법 제안 70
• 1. 구글 드라이브의 데이터 획득 방법 70
• 2. 구글 포토의 데이터 획득 방법 77
• 3. 상용 클라우드 스토리지 분석 도구와의 비교 80
• 4. 획득 방법의 개선사항 82
• 제2절 제안한 획득 방법의 법률적 검토 83
• 1. 역외 압수·수색의 방법 83
• 2. 제안한 획득 방법의 문제점 86
• 3. 획득 방법의 법률적 검토 87
• 제5장 결론 101
• 참고문헌 105
• ABSTRACT 111