모바일 포렌식 획득기법의 특성에 관한 연구 = Characteristics of Mobile Forensic Acquisition Methods and Techniques

국문 초록 (Abstract)

정보통신기기 중 모바일기기는 짧은 생명주기로 인해 새로운 제품이 빠르게 출시되고 있으며, 최신 운영체제와 하드웨어가 탑재되고 해킹 등 외부 위협으로부터 개인정보보호 등을 위해 다양한 보안기술이 적용되고 있다. 이러한 추세는 모바일기기에서 데이터를 획득하는 모바일포렌식 획득기법에 직접적인 영향을 미치고 있으며, 기존 획득기술의 사용이 불가능해지고 지속적으로 새로운 기술이 연구·개발되면서 이들 간의 특성에 따른 적용 가능 여부와 획득 가능 데이터 범위의 차이를 비교·분석할 필요성이 제기된다. 본 논문은 국내외 유관기관, 모바일포렌식 도구 개발업체 등에서 제시하는 획득기법에 대해 살펴보았다. 초기에는 획득하는 데이터의 형식에 따라 크게 물리 획득과논리 획득으로 구분하였으나, 현재는 데이터 획득 시 권한 상승 여부를 기준으로 파일시스템 획득을 추가 정의하고 있다. 이러한 획득기법의 변화는 모바일기기의 보안기술강화와 직접적으로 관련되어 있으며, 데이터 획득을 위해 취약점을 악용하여 보안기술을 우회·파괴·비활성화하고 루팅·탈옥 등 권한 상승을 수행하거나 일반 사용자 권한으로 제조사 또는 운영체제에서 제공하는 백업 프로그램 및 서비스를 활용하는 기술이사용되고 있다. 이러한 획득기법 및 기술별 차이와 획득 가능 데이터 범위를 비교하고, 수사 실무에서 모바일기기로부터 데이터를 획득할 시 직접 참조 활용할 수 있도록 정리하였다.

다국어 초록 (Multilingual Abstract)

Owing to the short life cycle of mobile devices, new products are being released quickly, the latest operating system and hardware are installed, and various security technologies are applied to protect personal information from external threats such as hacking. This trend has a direct impact on mobile forensic acquisition methods and techniques that acquire data from mobile devices, and the use of existing acquisition techniques becomes impossible and new techniques are continuously researched and developed. Thus, it is necessary to compare and analyze the differences in the applicability according to the characteristics and the range of possibilities to acquire data between methods or techniques. This paper examines acquisition methods and techniques suggested by domestic and foreign related organizations, mobile forensic tool developers, and other sources. The initial acquisition methods are largely divided into physical acquisition and logical acquisition depending on the format of data to be acquired, and in most cases after that, file system acquisition is additionally classified based on whether or not to be privilege escalation when acquiring data. This change in acquisition methods and techniques is directly related to the strengthening of security technologies for mobile devices. For this reason, techniques are used for acquiring data by exploiting vulnerabilities to bypass, destroy, or deactivate security technologies, and perform privilege escalation such as rooting and jailbreaking, or by using backup programs and services provided by the manufacturer and the operating system in the normal user permission.
Finally, the differences between these acquisition methods and techniques, and the range of obtainable data were compared and arranged so that they can be directly utilized when acquiring data from mobile devices in investigation practice.