KR102155240B1 - 디지털 포렌식 데이터 복호화 장치 - Google Patents

Abstract

본 발명의 일 실시예에 따르면, UseAccountsModel모델의 loginresult필드의 데이터 중 암호화 된 문자열의의 내용을 전처리하여 식별값을 추출하는 전처리부; 및 상기 전처리부를 통하여 추출된 식별값에 AesCrypto함수를 적용하여 상기 암호화 된 문자열을 복호화하는 복호화부를 포함하는 디지털 포렌식 데이터 복호화 장치를 제공한다.

Description

디지털 포렌식 데이터 복호화 장치{DIGITAL FORENSIC DATA DECODING DEVICE}

본 발명의 일실시예는 디지털 포렌식 데이터 복호화 장치에 관한 것으로, 보다 상세하게는 사용자 정보를 테이블에 암호화하여 저장하는 어플리케이션에 적용될 수 있는 디지털 포렌식 데이터 복호화 장치에 관한 것이다.

스마트폰 초기 시장은 애플사의 iOS, 블랙베리사의 Blackberry 둥이 점유하였으나，구글과 삼성，엘지 등이 안드로이드 운영체제 기반의 스마트폰을 개발하면서 스마트폰 시장은 IOS와 안드로이드가 점유를 차지하게 되었다. 구글은 스마트폰뿐만 아니라 태플릿PC 등의 다양한 스마트기기를 발전시킴에 따라 사용자의 편의를 제공함과 동시에 사용자의 개인정보 및 데이터가 저장된 가장 밀접한 데이터보관매체가 되었다. 안드로이드 운영체제를 사용하는 스마트폰 제조사인 삼성과 엘지는 국내 2016년도 상반기에 70% 이상의 점유율을 차지하고 있다. 2016년 3월 기준 국내 스마트폰 보급률은 91%를 기록했으며 사용자는 일반적으로 하루 3시간 이상 사용하는 것으로 나타났다. 따라서 스마트폰은 사용자와 관련된 개인정보 및 데이터를 저장하고 있을 가능성이 높다.

스마트폰 보급이 확산됨에 따라 모바일을 통한 각종 사이버 범죄가 급속하게증가하고 있다. 사이버범죄란 인터넷 태플릿PC 스마트폰 등 정보통신기술을 이용하여 발생하는 범죄로써 정보보호 및 정보통신망 이용촉진 등에 관한 법률，형법 등을 위반한 행위를 말한다. 해당하는 범죄로는 해킹，피싱，바이러스 감염，스팸유포，악플，개인정보 탈취，온라인 명예훼손 음란물 유포 등이 존재한다. 하지만 사이버범죄는 법률 형법 등의 위반 한 행위가 존재함에도 처벌의 어려움이 있다.

사이버 공간에서 사이버범죄의 신고 접수는 실질적으로 처벌이 이루어지지 않거나 흑은 기존의 형사법을 위반 한 경우에 피해자의 정신적，물리적 피해가 존재하더라도 사이버 입법의 미비로 처벌의 한계가 존재한다. 사이버범죄도 현실세계의 범죄와 마찬가지로 범죄를 입증하기 위한 증거가 필요하지만 해당 증거자료는 디지털 형태의 자료이므로 용의자의 PC, 태블릿PC，스마트폰 등의 기기를 압수수색하여 증거자료를 수집하더라도 증거부족 혹은 증거의 신뢰성의 문제로 사이버범죄의 입증하는 것이 어려운 실정이다

따라서 현실적으로 사용자들이 가장 밀접하게 접근하고 디지털 증거 수집의매개체인 스마트폰의 데이터 증거자료를 법적효력 가치로 인정할 수 있는 디지털포렌식 분석 기술의 필요성이 높아지고 있다

본 발명이 이루고자 하는 기술적 과제는 디지털 데이터를 복호화하여 디지털 증거자료로 인정받을 수 있도록 하는 디지털 포렌식 데이터 복호화 장치를 제공하는데 있다.

본 발명의 일 실시예에 따르면, UseAccountsModel모델의 loginresult필드의 데이터 중 암호화 된 문자열의의 내용을 전처리하여 식별값을 추출하는 전처리부; 및 상기 전처리부를 통하여 추출된 식별값에 AesCrypto함수를 적용하여 상기 암호화 된 문자열을 복호화하는 복호화부를 포함하는 디지털 포렌식 데이터 복호화 장치를 제공한다.

상기 전처리부는 입력된 문자열을 Bae64로 디코딩하여 디코딩 된 문자열을 변수 AesCrypto.a값과 비교하여 동일하면 해당 내용을 문자열에서 제거하여 IV추출하고, 남은 문자열을 연접하여 암호문으로 사용할 수 있다.

복호화 되는 정보는 사용자의 아이디, 위치정보, 시간, 친구 정보 및 프로필 사진 정보 중 적어도 하나를 포함할 수 있다.

상기 복호화부는 AES암호화 알고리즘, CBC운용모드, PKCS7패딩 방식을 사용하여 복호화를 수행할 수 있다.

상기 UseAccountsModel모델은 사용자의 회원정보를 데이터베이스 파일의 한 테이블에 암호화된 상태로 저장하는 어플리케이션으로부터 추출될 수 있다.

본 발명인 디지털 포렌식 데이터 복호화 장치는 모바일 데이터의 수집 및 분석을 통하여 암호화 된 사용자 회원 정보를 복호화할 수 있다.

또한, 복호화를 통하여 친구 정보, 상태 정보, 위치 정보 등을 복호화 하여 디지털 증거 자료로 활용할 수 있다.

도1은 본 발명의 실시예에 따른 디지털 포렌식 데이터 복호화 장치의 구성블록도이다.
도2는 본 발명의 실시예에 따른 어플리케이션의 화면 구성을 설명하기 위한 도면이다.
도3은 본 발명의 실시예에 따른 데이터 암호화 과정을 설명하기 위한 개념도이다.
도4는 본 발명의 실시예에 따른 데이터 복호화 과정을 설명하기 위한 개념도이다.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예를 상세히 설명한다.

다만, 본 발명의 기술 사상은 설명되는 일부 실시 예에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있고, 본 발명의 기술 사상 범위 내에서라면, 실시 예들간 그 구성 요소들 중 하나 이상을 선택적으로 결합, 치환하여 사용할 수 있다.

또한, 본 발명의 실시예에서 사용되는 용어(기술 및 과학적 용어를 포함)는, 명백하게 특별히 정의되어 기술되지 않는 한, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 일반적으로 이해될 수 있는 의미로 해석될 수 있으며, 사전에 정의된 용어와 같이 일반적으로 사용되는 용어들은 관련 기술의 문맥상의 의미를 고려하여 그 의미를 해석할 수 있을 것이다.

또한, 본 발명의 실시예에서 사용된 용어는 실시예들을 설명하기 위한 것이며 본 발명을 제한하고자 하는 것은 아니다.

본 명세서에서, 단수형은 문구에서 특별히 언급하지 않는 한 복수형도 포함할 수 있고, "A 및(와) B, C 중 적어도 하나(또는 한 개 이상)"로 기재되는 경우 A, B, C로 조합할 수 있는 모든 조합 중 하나 이상을 포함할 수 있다.

또한, 본 발명의 실시 예의 구성 요소를 설명하는 데 있어서, 제1, 제2, A, B, (a), (b) 등의 용어를 사용할 수 있다.

이러한 용어는 그 구성 요소를 다른 구성 요소와 구별하기 위한 것일 뿐, 그 용어에 의해 해당 구성 요소의 본질이나 차례 또는 순서 등으로 한정되지 않는다.

그리고, 어떤 구성 요소가 다른 구성요소에 '연결', '결합' 또는 '접속'된다고 기재된 경우, 그 구성 요소는 그 다른 구성 요소에 직접적으로 연결, 결합 또는 접속되는 경우뿐만 아니라, 그 구성 요소와 그 다른 구성 요소 사이에 있는 또 다른 구성 요소로 인해 '연결', '결합' 또는 '접속' 되는 경우도 포함할 수 있다.

또한, 각 구성 요소의 "상(위) 또는 하(아래)"에 형성 또는 배치되는 것으로 기재되는 경우, 상(위) 또는 하(아래)는 두 개의 구성 요소들이 서로 직접 접촉되는 경우뿐만 아니라 하나 이상의 또 다른 구성 요소가 두 개의 구성 요소들 사이에 형성 또는 배치되는 경우도 포함한다. 또한, "상(위) 또는 하(아래)"으로 표현되는 경우 하나의 구성 요소를 기준으로 위쪽 방향뿐만 아니라 아래쪽 방향의 의미도 포함할 수 있다.

이하, 첨부된 도면을 참조하여 실시예를 상세히 설명하되, 도면 부호에 관계없이 동일하거나 대응하는 구성 요소는 동일한 참조 번호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다.

도 1은 본 발명의 실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)의 구성 블록도이다. 도1을 참조하면, 본 발명의 실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)는 전처리부(11) 및 복호화부(12)를 포함하여 구성될 수 있다.

본 발명의 실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)는 안드로이드 Blued어플리케이션의 암호화 된 데이터를 복호화하여 디지털 데이터의 증거 능력을 인정받을 수 있도록 할 수 있다. 본 발명의 실시예에 적용되는 Blued어플리케이션은 중국에서 개발된 소셜 어플리케이션으로, 위치 기반 주변 사용자 검색, 라이브 스트림, 문자, 음성, 스냅 사진, 플래시를 이용한 채팅 기능 등을 사용자에게 제공할 수 있다.

Blued 어플리케이션은 사용자에게 전술한 기능을 제공하기 위하여 필요한 개인 정보를 어플리케이션의 데이터 영역인 /data/data/com.blued.intemationaνdatabases의 blued2015.db 에 저장할 수 있다. blued- 2015.db는 아래 표1과 같이 구성될 수 있다.

blued2015.db는 UserAccountsModel 테이블의 일부를 제외한 모든 데이터를 평문으로 저장할 수 있다. UserAccountsModel테이블은 ID, ID 종류, 패스워드 해시 값 등의 로그인 정보와 로그인 후 화면에 표시되는 사용자 개인 정보를 저장할 수 있다. User AccountsModel 테이블을 구성하는 각 칼럼은 아래 표2와 같이 구성될 수 있다.

[표 2] 에서 사용자의 개인 정보를 저장하는 loginresult 칼럼은 로그인 성공 후 서버로부터 HTTP 통신을 통해 전송받은 사용자 개인 정보를 JSON 형식으로 저장할 수 있다. loginresult 칼럼의 필드 값은 data’키의 값 중 일부 값을 제외한 모든 데이터의 식별이 가능하다.

User AccountsModel 테이블은 UserAccountsManager.a() 함수 호출에 의해 그 내용이 애플리케이션에서 사용될 수 있다.

User AccountsManager.a() 함수는 UserInfo.u() 함수에 의하여 호출되어 사용된다. UserInfo.u() 함수는 User AccountsModel테이블의 내용을 파싱하여 저장할 수 있으며, UserInfo.a()라는 함수를 통해 loginresult 칼럼의 내용을 BluedLoginResult라는 클래스에 입력 후 반환할 수 있다. 반환된 클래스는 NULL 값인지 여부를 확인한 후 여러 가지 함수를 통해 호출된 뒤에 사용되는데， 대표적인 함수가 사용자의 개인 정보를 Blued 애플리케이션의 프로필 화면에 표시하는 기능을 가지는 UserInfoPresenter.a() 함수이다. UserlnfoPresenter.a() 함수가 실행되면 도2와 같은 프로필 화면이 표시될 수 있다

따라서 loginresult 칼럼에서 추출한 내용을 사용하는 UserlnfoPresenter.a () 함수가 사용자의 개인정보를 표시하므로 loginresult 칼럼에는 사용자의 개인정보가 포함될 수 있다. loginresult 칼럼의 키 정보는 아래 표3과 같이 구성될 수 있다.

상기 표 3 에서 loginresult 칼럼 값 중'data’외 키는 HTTP 통신에 관한 정보를 값으로 저장하므로, 사용자의 개인적인 정보는'data’키의 값으로만 저장될 수 있다. 하지만 'data’키 값에서 프로필 화면에 출력되는 개인 정보가 식벌이 어려우므로‘-’키 값이 암호화 된 것으로 분석되며 증거 수집 관점에서 ‘-’키 값에 대한 복호화가 필요하다.

본 발명의 실시예에서 전처리부(11)는 UseAccountsModel모델의 loginresult필드의 데이터 중 암호화 된 문자열의의 내용을 전처리하여 식별값(Initialization Vector, IV)을 추출할 수 있다.

전처리부(11)는 입력된 문자열을 Bae64로 디코딩하고, 디코딩 된 문자열을 변수 AesCrypto.a값과 비교하여 동일하면 해당 내용을 문자열에서 제거하여 IV추출하며, 남은 문자열을 연접하여 암호문으로 사용할 수 있다.

복호화부(12)는 전처리부(11)를 통하여 추출된 식별값에 AesCrypto함수를 적용하여 암호화 된 문자열을 복호화할 수 있다.

복호화부(12)는 AES암호화 알고리즘, CBC운용모드 및 PKCS7패딩 방식을 사용하여 복호화를 수행할 수 있다.

복호화되는 정보는 사용자의 아이디, 위치정보, 시간, 친구 정보 및 프로필 사진 정보 중 적어도 하나를 포함할 수 있다.

도 3은 본 발명의 실시예에 따른 데이터 암호화 과정을 설명하기 위한 개념도이고, 도 4는 본 발명의 실시예에 따른 데이터 복호화 과정을 설명하기 위한 개념도이다.

도 3 내지 도 4를 참조하면, 전처리부는 UserInfo.a() 함수를 이용하여 loginresult 필드에 JSON 포맷으로 저장된 데이터 중‘data’키의 값을 추출한 뒤， 추출한 내용 중 ‘-’키의 값을 v1 이라는 변수에 저장할 수 있다.

AesCrypto.c 함수는 loginresult 필드의 데이터 중 암호화된 ‘-’키 값의 내용을 전처리 및 복호화하는 함수이다. 함수 AesCrypto.c는 입력된 내용을 Base64로 디코딩한 후，디코딩된 문자열의 시작부분이 변수 AesCrypto.a값과 같으면 해당 내용을 문자열에서 제거한 뒤，복호화에 사용될 IV값을 추출한다. 예를 들면, 전처리부는 디코딩된 문자열의 임의 위치에서 16바이트 크기의 32개 문자열을 IV로 판별할 수 있다. 이때 추출위치는 변수 AesCrypto.a 값에 의해 결정된다. 전처리부는 IV 추출 후 남은 문자열을 연접하여 암호문으로 사용하고, AesCryto.b()함수를 호출하여 복호화 과정을 수행한다.

다음으로, 복호화부는 AesCrypto.bO 함수를 적용하여 v1 변수를 복호화 한 뒤에 그 내용을 전달하여 반환할 수 있다.

복호화부는 AesCrypto.b 함수를 호출하여 복호화를 수행할 수 있다. AesCrypto.b 함수는 복호화를 위해 javax.crypto.Cipher API를 사용할 수 있다. 따라서, javax.crypto.Cipher API를 참조하여 코드를 확인하면, AesCrypto.b 함수는 암호화 알고리즘은 AES 암호화， 운용모드는 CBC 모드를 사용하였으며， PKCS7 패딩을 사용함을 확인할 수 있다. AesCrypto.c 함수에서 AesCrypto.b 함수를 호출할 때 사용하는 세 가지 매개변수 중 키 값(AesCrypto.b 변수)으로 사용되는 첫 번째 매개변수는 AesCrypto 클래스 상에 명시되어 있다. 또한 복호화 과정 중 Base64 디코딩 이후에 시작부분을 확인하기 위한 특정한 값(AesCrypto.a 변수) 또한 AesCrypto 클래스 상에 명시되어 있다.

복호화되는 정보는 사용자의 아이디, 위치정보, 시간, 친구 정보 및 프로필 사진 정보 중 적어도 하나를 포함할 수 있다. 복호화부에 의하여 복호화 되는 정보의 예시는 아래 표 5와 같이 구성될 수 있다. 표5와 같이 본 발명에 따라 사용자의 아이디(닉네임，나의 상태)， 마지막 위치정보(경도，위도)， 시간(로그인，로그아웃 시간정보)， 친구(친구，그룹)， 프로필 사진 등 다양한 개인정보의 복호화가 가능하다.

안드로이드 어플리케이션은 로그인 시 사용자 계정정보(아이디， 패스워드，회원정보， 개인정보 등)를 저장한다. 저장 파일은 데이터베이스，XML파일，]SON 등 각 어플리케이션 개발자에 의해 정해진다. 로그아웃 시 사용자 계정정보는 저장파일에서 자동으로 삭제되지만， 같은 계정으로 재 로그인 시 신속한 접속을 위해 몇몇 데이터는 삭제시키지 않는 경우가 있다. 따라서 증거 인멸의 행위 중 하나인 로그아웃은 남아있는 데이터를 이용하여 증거 인멸， 증거 부족， 데이터 신뢰에 대한 증거 효력을 법적에서 인정받을 수 없다. 본 발명은 증거 가치로 인정받을 수 있도록 암호화 된 디지털 데이터를 높은 신뢰도로 복호화하는 기술을 제공할 수 있다.

본 발명의 실시예는 Blued어플리케이션에 한정하여 기술되었지만, 이와는 달리 사용자의 회원정보를 데이터베이스 파일의 한 테이블에 암호화된 상태로 저장하는 다양한 어플리케이션에 적용되는 것은 본 발명의 기술사상 범위에 포함된다 할 것이다.

따라서 본 발명은 디지털 데이터 분석을 통해 용의자의 범행동기 및 범행행적， 공범 등 파악이 가능하기 때문에 디지털 증거 자료로 활용될 수 있다.

본 실시예에서 사용되는 '~부'라는 용어는 소프트웨어 또는 FPGA(field-programmable gate array) 또는 ASIC과 같은 하드웨어 구성요소를 의미하며, '~부'는 어떤 역할들을 수행한다. 그렇지만 '~부'는 소프트웨어 또는 하드웨어에 한정되는 의미는 아니다. '~부'는 어드레싱할 수 있는 저장 매체에 있도록 구성될 수도 있고 하나 또는 그 이상의 프로세서들을 재생시키도록 구성될 수도 있다. 따라서, 일 예로서 '~부'는 소프트웨어 구성요소들, 객체지향 소프트웨어 구성요소들, 클래스 구성요소들 및 태스크 구성요소들과 같은 구성요소들과, 프로세스들, 함수들, 속성들, 프로시저들, 서브루틴들, 프로그램 코드의 세그먼트들, 드라이버들, 펌웨어, 마이크로코드, 회로, 데이터, 데이터베이스, 데이터 구조들, 테이블들, 어레이들, 및 변수들을 포함한다. 구성요소들과 '~부'들 안에서 제공되는 기능은 더 작은 수의 구성요소들 및 '~부'들로 결합되거나 추가적인 구성요소들과 '~부'들로 더 분리될 수 있다. 뿐만 아니라, 구성요소들 및 '~부'들은 디바이스 또는 보안 멀티미디어카드 내의 하나 또는 그 이상의 CPU들을 재생시키도록 구현될 수도 있다.

상기에서는 본 발명의 바람직한 실시예를 참조하여 설명하였지만, 해당 기술 분야의 숙련된 당업자는 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.

10: 디지털 포렌식 데이터 복호화 장치
11: 전처리부
12: 복호화부

Claims (5)

1. 안드로이드 어플리케이션의 데이터 영역에서 UseAccountsModel모델의 loginresult필드의 데이터 중 암호화 된 문자열의 내용을 전처리하여 식별값을 추출하는 전처리부; 및
   상기 전처리부를 통하여 추출된 식별값에 AesCrypto함수를 적용하여 상기 암호화 된 문자열을 복호화하는 복호화부를 포함하며,
   상기 전처리부는 입력된 문자열을 Base64로 디코딩하여 디코딩 된 문자열을 변수 AesCrypto.a값과 비교하여 동일하면 해당 내용을 문자열에서 제거하여 상기 식별값으로 추출하고, 남은 문자열을 연접하여 암호문으로 사용하되,
   상기 전처리부는 디코딩된 문자열의 임의 위치에서 16바이트 크기의 32개 문자열을 상기 식별값으로 추출하는 디지털 포렌식 데이터 복호화 장치.
   
2. 제1항에 있어서,
   상기 전처리부는 UserInfo.a() 함수를 이용하여 상기 loginresult 필드에 JSON 포맷으로 저장된 데이터 중 ‘data’키의 값을 추출한 뒤， 추출한 내용 중 ‘-’키의 값을 v1 변수에 저장하고,
   상기 복호화부는 AesCrypto.bO 함수를 적용하여 상기 v1 변수를 복호화 한 내용을 반환하는 디지털 포렌식 데이터 복호화 장치.
   
3. 제1항에 있어서,
   복호화 되는 정보는 사용자의 아이디, 위치정보, 시간, 친구 정보 및 프로필 사진 정보 중 적어도 하나를 포함하는 디지털 포렌식 데이터 복호화 장치.
   
4. 제1항에 있어서,
   상기 복호화부는 AES암호화 알고리즘, CBC운용모드, PKCS7패딩 방식을 사용하여 복호화를 수행하는 디지털 포렌식 데이터 복호화 장치.
   
5. 제1항에 있어서,
   상기 UseAccountsModel모델은 사용자의 회원정보를 데이터베이스 파일의 한 테이블에 암호화된 상태로 저장하는 어플리케이션으로부터 추출되는 디지털 포렌식 데이터 복호화 장치.

Images