KR102387169B1 - Digital forensic data decoding device - Google Patents

Digital forensic data decoding device Download PDF

Info

Publication number
KR102387169B1
KR102387169B1 KR1020200146844A KR20200146844A KR102387169B1 KR 102387169 B1 KR102387169 B1 KR 102387169B1 KR 1020200146844 A KR1020200146844 A KR 1020200146844A KR 20200146844 A KR20200146844 A KR 20200146844A KR 102387169 B1 KR102387169 B1 KR 102387169B1
Authority
KR
South Korea
Prior art keywords
password
media file
encryption key
encrypted
original
Prior art date
Application number
KR1020200146844A
Other languages
Korean (ko)
Inventor
이창훈
서승희
박진성
남기훈
Original Assignee
서울과학기술대학교 산학협력단
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 서울과학기술대학교 산학협력단 filed Critical 서울과학기술대학교 산학협력단
Priority to KR1020200146844A priority Critical patent/KR102387169B1/en
Application granted granted Critical
Publication of KR102387169B1 publication Critical patent/KR102387169B1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G06F21/46—Structures or tools for the administration of authentication by designing passwords or checking the strength of passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)

Abstract

According to an embodiment of the present invention, provided is a device for decrypting digital forensic data. The device comprises: a preprocessing unit extracting a password from an application encrypting a media file and a password to the same encryption key and an initialization vector (IV); and a decrypting unit decrypting the encrypted media file by using the password.

Description

디지털 포렌식 데이터 복호화 장치{DIGITAL FORENSIC DATA DECODING DEVICE} Digital forensic data decoding device {DIGITAL FORENSIC DATA DECODING DEVICE}

본 발명의 일실시예는 미디어 데이터 복호화 장치에 관한 것으로, 보다 구체적으로는 사진, 동영상, 문서 등의 파일을 보안 저장하는 어플리케이션에 적용될 수 있는 디지털 포렌식 데이터 복호화 장치에 관한 것이다.One embodiment of the present invention relates to a media data decryption apparatus, and more particularly, to a digital forensic data decryption apparatus that can be applied to an application for securely storing files such as photos, moving pictures, and documents.

스마트폰 보급이 확산됨에 따라 모바일을 통한 각종 사이버 범죄가 급속하게증가하고 있다. 사이버범죄란 인터넷 태플릿PC 스마트폰 등 정보통신기술을 이용하여 발생하는 범죄로써 정보보호 및 정보통신망 이용촉진 등에 관한 법률，형법 등을 위반한 행위를 말한다. 해당하는 범죄로는 해킹，피싱，바이러스 감염，스팸유포，악플，개인정보 탈취，온라인 명예훼손 음란물 유포 등이 존재한다. 하지만 사이버범죄는 법률 형법 등의 위반 한 행위가 존재함에도 처벌의 어려움이 있다.With the spread of smartphones, various cyber crimes through mobile devices are rapidly increasing. Cybercrime is a crime that occurs using information and communication technologies such as Internet, tablet, PC, and smartphone, and refers to acts that violate the Act on Information Protection and Promotion of Information and Communications Network Utilization, etc. and the Criminal Act. Such crimes include hacking, phishing, virus infection, spam distribution, malicious comments, personal information theft, and online defamation of pornography. However, cyber crimes have difficulties in punishing them even though there are violations of laws and criminal laws.

사이버 공간에서 사이버범죄의 신고 접수는 실질적으로 처벌이 이루어지지 않거나 흑은 기존의 형사법을 위반 한 경우에 피해자의 정신적，물리적 피해가 존재하더라도 사이버 입법의 미비로 처벌의 한계가 존재한다. 사이버범죄도 현실세계의 범죄와 마찬가지로 범죄를 입증하기 위한 증거가 필요하지만 해당 증거자료는 디지털 형태의 자료이므로 용의자의 PC, 태블릿PC，스마트폰 등의 기기를 압수수색하여 증거자료를 수집하더라도 증거부족 혹은 증거의 신뢰성의 문제로 사이버범죄의 입증하는 것이 어려운 실정이다There is a limit to punishment due to the lack of cyber legislation, even if there is mental and physical damage to the victim in case there is no practical punishment for receiving a report of a cyber crime in cyberspace or if the existing criminal law is violated. Cybercrime, like real-world crimes, requires evidence to prove a crime, but the evidence is in digital form, so even if the suspect's PC, tablet PC, smartphone, etc. Or, it is difficult to prove cybercrime due to the problem of reliability of evidence.

최근에는 개인정보 보호 관심 증대에 따라 사진， 동영상， 문서 등의 파일을 별도의 저장소에 암호화하여 저장하고 사용자 인증을 통한 접근을 허용하는 다수의‘Vault App’이 등장하고 있다. 이러한 어플리케이션은 일부 데이터를 암호화하여 저장함으로써 포렌식 수사 과정에서 데이터 분석 수행에 어려움을 제공하는 원인이 되고 있다. 또한, 실제 특정 범죄 행위와 관련한 증거를 은닉 또는 은폐하는데 악용되고 있다는 문제가 있다.Recently, as interest in personal information protection increases, a number of 'Vault Apps' that encrypt and store files such as photos, videos, and documents in a separate storage and allow access through user authentication are emerging. These applications encrypt and store some data, making it difficult to perform data analysis in the process of forensic investigations. In addition, there is a problem in that it is being used to hide or cover up evidence related to a specific criminal act.

본 발명이 이루고자 하는 기술적 과제는 디지털 데이터를 복호화하여 디지털 증거자료로 인정받을 수 있도록 하는 디지털 포렌식 데이터 복호화 장치를 제공하는데 있다.An object of the present invention is to provide a digital forensic data decoding apparatus capable of decoding digital data to be recognized as digital evidence.

실시예에 따르면, 미디어 파일 및 패스워드를 동일한 암호키 및 초기화 벡터(Initialization Vector, IV)로 암호화하는 어플리케이션으로부터 패스워드를 추출하는 전처리부; 및 상기 패스워드를 이용하여 암호화 된 미디어 파일을 복호화하는 복호화부를 포함하는 디지털 포렌식 데이터 복호화 장치를 제공한다.According to an embodiment, a preprocessor for extracting a password from an application that encrypts a media file and a password with the same encryption key and an initialization vector (Initialization Vector, IV); and a decryption unit for decrypting the encrypted media file using the password.

상기 전처리부는 상기 원본 미디어 파일, 상기 암호화 된 상기 미디어 파일 및 상기 암호키에 XOR연산을 적용하여 상기 패스워드를 추출할 수 있다.The preprocessor may extract the password by applying an XOR operation to the original media file, the encrypted media file, and the encryption key.

상기 전처리부는 하기 수학식 1에 따라 상기 패스워드를 추출할 수 있다.The preprocessor may extract the password according to Equation 1 below.

Figure 112020118288116-pat00001
Figure 112020118288116-pat00001

상기 수학식 1에서, C1, C2는 각각 암호화 된 패스워드, 미디어 파일이고, P1, P2는 각각 암호화 되지 않은 원문 패스워드, 원문 미디어 파일이고, K는 원문 패스워드 및 원문 미디어 파일을 암호화할 때 적용된 암호키일 수 있다.In Equation 1, C 1 and C 2 are encrypted passwords and media files, respectively, P 1 and P 2 are unencrypted original passwords and original media files, respectively, and K is to encrypt the original password and original media files. It may be an encryption key applied when

상기 복호화부는 해시 함수 및 AES (Advanced Encryption Standard)알고리즘에 따라 상기 미디어 파일을 복호화할 수 있다.The decryption unit may decrypt the media file according to a hash function and an Advanced Encryption Standard (AES) algorithm.

상기 해시 함수는 SHA-1함수이고, 상기 AES알고리즘은 AES-128-CTR알고리즘일 수 있다.The hash function may be a SHA-1 function, and the AES algorithm may be an AES-128-CTR algorithm.

본 발명인 디지털 포렌식 데이터 복호화 장치는 모바일 데이터의 수집 및 분석을 통하여 암호화 된 사진, 동영상 등의 미디어 파일을 복호화할 수 있다.The digital forensic data decryption apparatus of the present invention can decrypt encrypted media files such as photos and videos through collection and analysis of mobile data.

도1은 실시예에 따른 디지털 포렌식 데이터 복호화 장치의 구성 블록도이다.
도2 내지 도4는 실시예에 따른 전처리부의 동작을 설명하기 위한 도면이다.
도5는 실시예에 따른 복호화부의 동작을 설명하기 위한 도면이다.
도6은 실시예에 따른 디지털 포렌식 데이터 복호화 방법의 순서도이다.1 is a block diagram of a digital forensic data decoding apparatus according to an embodiment.
2 to 4 are diagrams for explaining the operation of the preprocessor according to the embodiment.
5 is a diagram for explaining an operation of a decoder according to an embodiment.
6 is a flowchart of a digital forensic data decoding method according to an embodiment.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예를 상세히 설명한다.Hereinafter, preferred embodiments of the present invention will be described in detail with reference to the accompanying drawings.

다만, 본 발명의 기술 사상은 설명되는 일부 실시 예에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있고, 본 발명의 기술 사상 범위 내에서라면, 실시 예들간 그 구성 요소들 중 하나 이상을 선택적으로 결합, 치환하여 사용할 수 있다.However, the technical spirit of the present invention is not limited to some embodiments described, but may be implemented in various different forms, and within the scope of the technical spirit of the present invention, one or more of the components may be selected between the embodiments. It can be used by combining or substituted with .

또한, 본 발명의 실시예에서 사용되는 용어(기술 및 과학적 용어를 포함)는, 명백하게 특별히 정의되어 기술되지 않는 한, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 일반적으로 이해될 수 있는 의미로 해석될 수 있으며, 사전에 정의된 용어와 같이 일반적으로 사용되는 용어들은 관련 기술의 문맥상의 의미를 고려하여 그 의미를 해석할 수 있을 것이다.In addition, terms (including technical and scientific terms) used in the embodiments of the present invention may be generally understood by those of ordinary skill in the art to which the present invention belongs, unless specifically defined and described explicitly. It may be interpreted as a meaning, and generally used terms such as terms defined in advance may be interpreted in consideration of the contextual meaning of the related art.

또한, 본 발명의 실시예에서 사용된 용어는 실시예들을 설명하기 위한 것이며 본 발명을 제한하고자 하는 것은 아니다.In addition, the terminology used in the embodiments of the present invention is for describing the embodiments and is not intended to limit the present invention.

본 명세서에서, 단수형은 문구에서 특별히 언급하지 않는 한 복수형도 포함할 수 있고, "A 및(와) B, C 중 적어도 하나(또는 한 개 이상)"로 기재되는 경우 A, B, C로 조합할 수 있는 모든 조합 중 하나 이상을 포함할 수 있다.In the present specification, the singular form may also include the plural form unless otherwise specified in the phrase, and when it is described as "at least one (or more than one) of A and (and) B, C", it is combined as A, B, C It may include one or more of all possible combinations.

또한, 본 발명의 실시 예의 구성 요소를 설명하는 데 있어서, 제1, 제2, A, B, (a), (b) 등의 용어를 사용할 수 있다.In addition, in describing the components of the embodiment of the present invention, terms such as first, second, A, B, (a), (b), etc. may be used.

이러한 용어는 그 구성 요소를 다른 구성 요소와 구별하기 위한 것일 뿐, 그 용어에 의해 해당 구성 요소의 본질이나 차례 또는 순서 등으로 한정되지 않는다.These terms are only for distinguishing the component from other components, and are not limited to the essence, order, or order of the component by the term.

그리고, 어떤 구성 요소가 다른 구성요소에 '연결', '결합' 또는 '접속'된다고 기재된 경우, 그 구성 요소는 그 다른 구성 요소에 직접적으로 연결, 결합 또는 접속되는 경우뿐만 아니라, 그 구성 요소와 그 다른 구성 요소 사이에 있는 또 다른 구성 요소로 인해 '연결', '결합' 또는 '접속' 되는 경우도 포함할 수 있다.And, when it is described that a component is 'connected', 'coupled' or 'connected' to another component, the component is not only directly connected, coupled or connected to the other component, but also with the component It may also include a case of 'connected', 'coupled' or 'connected' due to another element between the other elements.

또한, 각 구성 요소의 "상(위) 또는 하(아래)"에 형성 또는 배치되는 것으로 기재되는 경우, 상(위) 또는 하(아래)는 두 개의 구성 요소들이 서로 직접 접촉되는 경우뿐만 아니라 하나 이상의 또 다른 구성 요소가 두 개의 구성 요소들 사이에 형성 또는 배치되는 경우도 포함한다. 또한, "상(위) 또는 하(아래)"으로 표현되는 경우 하나의 구성 요소를 기준으로 위쪽 방향뿐만 아니라 아래쪽 방향의 의미도 포함할 수 있다.In addition, when it is described as being formed or disposed on "above (above) or under (below)" of each component, top (above) or under (below) is one as well as when two components are in direct contact with each other. Also includes a case in which another component as described above is formed or disposed between two components. In addition, when expressed as “upper (upper) or lower (lower)”, a meaning of not only an upper direction but also a lower direction based on one component may be included.

이하, 첨부된 도면을 참조하여 실시예를 상세히 설명하되, 도면 부호에 관계없이 동일하거나 대응하는 구성 요소는 동일한 참조 번호를 부여하고 이에 대한 중복되는 설명은 생략하기로 한다.Hereinafter, the embodiment will be described in detail with reference to the accompanying drawings, but the same or corresponding components are given the same reference numerals regardless of reference numerals, and overlapping descriptions thereof will be omitted.

도1은 실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)의 구성 블록도이다. 도1을 참조하면, 실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)는 전처리부(11) 및 복호화부(12)를 포함할 수 있다.1 is a block diagram of a digital forensic data decoding apparatus 10 according to an embodiment. Referring to FIG. 1 , an apparatus 10 for decoding digital forensic data according to an embodiment may include a preprocessor 11 and a decoder 12 .

실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)는 카운터(Counter,　CTR) 방식의 블록 암호화 운영 모드에 적용될 수 있다. 카운터 방식은 블록 암호를 스트림 암호로 바꾸는 구조를 가지는 방식으로, 카운터 방식에서는 각 블록마다 현재 블록이 몇 번째인지 값을 얻어, 그 숫자와 nonce를 결합하여 블록 암호의 입력으로 사용할 수 있다. 이를 통하여 각 블록 암호에서 연속적인 난수를 얻은 다음 암호화하려는 문자열과 XOR연산을 수행한다. 카운터 모드는 각 블록의 암호화 및 복호화가 이전 블록에 의존하지 않으며, 따라서 병렬적으로 동작하는 것이 가능하다. 혹은 암호화된 문자열에서 원하는 부분만 복호화하는 것도 가능하다.The digital forensic data decryption apparatus 10 according to the embodiment may be applied to a counter (Counter, CTR) type block encryption operation mode. The counter method has a structure that converts a block cipher into a stream cipher. In the counter method, the current block number is obtained for each block, and the number and nonce are combined to be used as an input of the block cipher. Through this, successive random numbers are obtained from each block cipher, and then an XOR operation is performed with the string to be encrypted. In counter mode, encryption and decryption of each block does not depend on the previous block, so it is possible to operate in parallel. Alternatively, it is also possible to decrypt only the desired part of the encrypted string.

실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)는 LockMyPix 등의 'Vault App'의 사진, 동영상, 문서 등의 파일을 복호화할 수 있다. 실시예에 적용되는 어플리케이션은 'Vault app'의 일종으로 미디어 파일 및 패스워드를 동일한 암호키 및 초기화 벡터를 이용하여 암호화 한 후, 저장하는 모든 어플리케이션을 의미할 수 있다.The digital forensic data decryption apparatus 10 according to the embodiment may decrypt files such as photos, videos, and documents of a 'Vault App' such as LockMyPix. The application applied to the embodiment is a type of 'Vault app' and may refer to any application that stores media files and passwords after encrypting them using the same encryption key and initialization vector.

실시예에서, 전처리부(11)는 미디어 파일 및 패스워드를 동일한 암호키 및 초기화 벡터(Initialization Vector, IV)로 암호화하는 어플리케이션으로부터 패스워드를 추출할 수 있다. In an embodiment, the preprocessor 11 may extract a password from an application that encrypts the media file and the password with the same encryption key and initialization vector (IV).

실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)가 적용되는 어플리케이션은 도 2에 도시된 바와 같이 SHA-1함수로 해시한 해시값의 상위 128비트 값을 암호키와 초기화 벡터로 생성하고, 추출한 암호키와 초기화 벡터를 AES(Advanced Encryption Standard)-128-CTR알고리즘에 적용하여 미디어 파일을 암호화 한 후 저장할 수 있다. The application to which the digital forensic data decryption apparatus 10 according to the embodiment is applied generates the upper 128-bit value of the hash value hashed by the SHA-1 function as an encryption key and an initialization vector as shown in FIG. 2, and the extracted encryption By applying the key and initialization vector to AES (Advanced Encryption Standard)-128-CTR algorithm, the media file can be encrypted and then stored.

또한, 실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)가 적용되는 어플리케이션은 도 3에 도시된 바와 같이 SHA-1함수로 해시한 해시값의 상위 128비트 값을 암호키와 초기화 벡터로 추출하고, 추출한 암호키와 초기화 벡터를 AES-128-CTR알고리즘에 적용하여 패스워드를 암호화 한 후 저장할 수 있다. 암호화 된 패스워드는 파일명 '.ini.keyfile.ctr'로 명명되어 지정된 저장공간에 저장될 수 있다.In addition, the application to which the digital forensic data decryption apparatus 10 according to the embodiment is applied extracts the upper 128-bit value of the hash value hashed by the SHA-1 function as an encryption key and an initialization vector as shown in FIG. 3, By applying the extracted encryption key and initialization vector to the AES-128-CTR algorithm, the password can be encrypted and then stored. The encrypted password is named '.ini.keyfile.ctr' and can be stored in a designated storage space.

즉, 실시예에 따른 디지털 포렌식 데이터 복호화 장치(10)가 적용되는 어플리케이션은 SHA-1함수로 해시한 해시값의 상위 128비트 값을 암호키 및 초기화 벡터로 추출한 후, 동일한 암호키 및 초기화 벡터를 이용하여 패스워드와 미디어 파일을 암호화 할 수 있다. 이에, 전처리부(11)는 패스워드 및 미디어 파일이 동일한 암호키 및 초기화 벡터에 따라 암호화 되는 과정을 역으로 추적하여 암호키를 추출할 수 있다.That is, the application to which the digital forensic data decryption apparatus 10 according to the embodiment is applied extracts the upper 128-bit value of the hash value hashed by the SHA-1 function as an encryption key and an initialization vector, and then uses the same encryption key and initialization vector. You can use it to encrypt passwords and media files. Accordingly, the preprocessor 11 may extract the encryption key by tracing the process in which the password and the media file are encrypted according to the same encryption key and initialization vector in reverse.

예를 들면, 전처리부(11)는 원본 미디어 파일, 암호키로 암호화 된 미디어 파일 및 암호키를 이용하여 패스워드를 생성할 수 있다. 전처리부(11)는 원본 미디어 파일, 암호화 된 미디어 파일 및 암호키에 XOR연산을 적용하여 패스워드를 추출할 수 있다.For example, the preprocessor 11 may generate a password using the original media file, the media file encrypted with the encryption key, and the encryption key. The preprocessor 11 may extract the password by applying an XOR operation to the original media file, the encrypted media file, and the encryption key.

예를 들면, 전처리부(11)는 하기 수학식 2에 따라 패스워드를 추출할 수 있다.For example, the preprocessor 11 may extract the password according to Equation 2 below.

Figure 112020118288116-pat00002
Figure 112020118288116-pat00002

수학식 2에서, C1, C2는 각각 암호화 된 패스워드, 미디어 파일이고, P1, P2는 각각 암호화 되지 않은 원문 패스워드, 원문 미디어 파일일 수 있다. 또한, 수학식 2에서, K는 패스워드 및 미디어 파일을 암호화할 때 적용된 암호키일 수 있다.In Equation 2, C 1 and C 2 may be encrypted passwords and media files, respectively, and P 1 and P 2 may be unencrypted original passwords and original media files, respectively. Also, in Equation 2, K may be a password and an encryption key applied when encrypting a media file.

수학식 2를 참조하면, 패스워드와 미디어 파일이 동일한 암호키 K에 XOR연산자를 적용하여 각각 암호화 됨을 알 수 있다. 따라서, 전처리부(11)는 암호화 된 패스워드 및 암호화 된 미디어 파일에 XOR연산자를 적용한 결과값이 원문 패스워드 및 원문 미디어 파일에 XOR연산자를 적용한 결과값과 동일함을 이용하여 패스워드를 추출할 수 있다.Referring to Equation 2, it can be seen that the password and the media file are each encrypted by applying the XOR operator to the same encryption key K. Therefore, the preprocessor 11 can extract the password by using the same result value of applying the XOR operator to the encrypted password and the encrypted media file as the original password and the result of applying the XOR operator to the original media file.

도4는 수학식 2를 기반으로 전처리부(11)가 패스워드를 추출하는 과정을 설명하는 도면이다.4 is a view for explaining a process in which the preprocessor 11 extracts a password based on Equation 2;

도4를 참조하면, 전처리부(11)는 원본 미디어 파일 및 암호화 된 미디어 파일 한 쌍과, 암호화 된 패스워드 'ini. keyfile. Ctr'에 XOR 연산자를 적용하여 패스워드(PIN/PASSWORD)를 추출할 수 있다. 전처리부(11)는 저장공간 중 '%external storage%/. LockMyPix/ db/ sort. db'에 명시된 경로에서 원본 미디어 파일을 추출하고, '%external storage%/. LoCkMyPix/. encrypt/'에 명시된 경로에서 암호화 된 미디어 파일을 추출하고, '%external stroage%/. LockMyPix/'에 명시된 경로에서 'ini. keyfile.ctr'파일을 추출할 수 있다. 전처리부(11)는 각각 명시된 경로에서 추출한 원본 미디어 파일, 암호화 된 미디어 파일 및 'ini. keyfile.ctr'파일에 순차적으로 XOR연산자를 적용하여 패스워드를 추출할 수 있다.Referring to FIG. 4 , the pre-processing unit 11 includes an original media file and a pair of encrypted media files, and an encrypted password 'ini. keyfile. You can extract the password (PIN/PASSWORD) by applying the XOR operator to Ctr'. The pre-processing unit 11 '%external storage%/. LockMyPix/ db/ sort. db', extract the original media file from the path specified in '%external storage%/. LoCkMyPix/. Extract the encrypted media file from the path specified in 'encrypt/' and '%external storage%/. LockMyPix/' in the path specified in 'ini. keyfile.ctr' file can be extracted. The preprocessor 11 extracts the original media file, the encrypted media file, and the 'ini. You can extract the password by sequentially applying the XOR operator to the 'keyfile.ctr' file.

복호화부(12)는 패스워드를 이용하여 암호화 된 미디어 파일을 복호화할 수 있다.The decryption unit 12 may decrypt the encrypted media file using a password.

복호화부는 해시 함수 및 AES (Advanced Encryption Standard)알고리즘에 따라 미디어 파일을 복호화할 수 있다.The decryption unit may decrypt the media file according to a hash function and an AES (Advanced Encryption Standard) algorithm.

실시예에서, 해시 함수는 SHA-1함수이고, AES알고리즘은 AES-128-CTR알고리즘일 수 있다.In an embodiment, the hash function may be a SHA-1 function, and the AES algorithm may be an AES-128-CTR algorithm.

도5는 실시예에 따른 복호화부의 동작을 설명하기 위한 도면이다. 도5를 참조하면, 복호화부(12)는 전처리부(11)에서 추출한 패스워드를 SHA-1함수에 입력하여 해시값의 상위 128비트값을 암호키와 초기화 벡터로 추출할 수 있다. 복호화부(12)는 암호키, 초기화 벡터 및 암호화 된 미디어 파일을 AES-128-CTR알고리즘에 입력하여 원본 미디어 파일을 복호화할 수 있다. 이 때, 암호화 된 미디어 파일은 지정된 저장공간 중 '%external storage%/ . LockMyPix/.encrypt/'에 명시된 경로에 위치할 수 있다.5 is a diagram for explaining an operation of a decoder according to an embodiment. Referring to FIG. 5 , the decryption unit 12 may input the password extracted from the preprocessor 11 into the SHA-1 function and extract the upper 128-bit value of the hash value as an encryption key and an initialization vector. The decryption unit 12 may decrypt the original media file by inputting the encryption key, the initialization vector, and the encrypted media file to the AES-128-CTR algorithm. At this time, the encrypted media file is stored in '%external storage%/ . It can be located in the path specified in 'LockMyPix/.encrypt/'.

도6은 실시예에 따른 디지털 포렌식 데이터 복호화 방법의 순서도이다.6 is a flowchart of a digital forensic data decoding method according to an embodiment.

도6을 참조하면, 전처리부는 미디어 파일 및 패스워드를 동일한 암호키 및 초기화 벡터(Initialization Vector, IV)로 암호화하는 어플리케이션으로부터 패스워드를 추출할 수 있다. 예를 들면, 전처리부는 원본 미디어 파일, 암호키로 암호화 된 미디어 파일 및 전처리부에서 추출한 암호키를 이용하여 패스워드를 추출할 수 있다. 전처리부는 원본 미디어 파일, 암호화 된 미디어 파일 및 암호키에 XOR연산을 적용하여 패스워드를 추출할 수 있다(S610).Referring to FIG. 6 , the preprocessor may extract a password from an application that encrypts a media file and a password with the same encryption key and an initialization vector (IV). For example, the preprocessor may extract the password using the original media file, the media file encrypted with the encryption key, and the encryption key extracted from the preprocessor. The preprocessor may extract the password by applying an XOR operation to the original media file, the encrypted media file, and the encryption key (S610).

다음으로, 복호화부는 전처리부에서 추출한 패스워드를 SHA-1함수에 입력하여 해시값의 상위 128비트 값을 암호키와 초기화 벡터로 추출할 수 있다(S620). Next, the decryption unit may input the password extracted from the preprocessor into the SHA-1 function to extract the upper 128-bit value of the hash value as an encryption key and an initialization vector (S620).

다음으로, 복호화부는 암호키, 초기화 벡터 및 암호화 된 미디어 파일을 AES-128-CTR알고리즘에 입력하여 원본 미디어 파일을 복호화할 수 있다(S630).Next, the decryption unit may decrypt the original media file by inputting the encryption key, the initialization vector, and the encrypted media file to the AES-128-CTR algorithm (S630).

실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 기록 매체에 기록될 수 있다. 이때, 매체는 컴퓨터로 실행 가능한 프로그램을 계속 저장하거나, 실행 또는 다운로드를 위해 임시 저장하는 것일 수도 있다. 또한, 매체는 단일 또는 수 개의 하드웨어가 결합된 형태의 다양한 기록수단 또는 저장수단일 수 있는데, 어떤 컴퓨터 시스템에 직접 접속되는 매체에 한정되지 않고, 네트워크 상에 분산 존재하는 것일 수도 있다. 매체의 예시로는, 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 `매체, CD-ROM 및 DVD와 같은 광기록 매체, 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical medium), 및 ROM, RAM, 플래시 메모리 등을 포함하여 프로그램 명령어가 저장되도록 구성된 것이 있을 수 있다. 또한, 다른 매체의 예시로, 어플리케이션을 유통하는 앱 스토어나 기타 다양한 소프트웨어를 공급 내지 유통하는 사이트, 서버 등에서 관리하는　기록매체　내지 저장매체도 들 수 있다.The method according to the embodiment may be implemented in the form of program instructions that can be executed through various computer means and recorded in a computer-readable recording medium. In this case, the medium may be to continuously store a program executable by a computer, or to temporarily store it for execution or download. In addition, the medium may be various recording means or storage means in the form of a single or several hardware combined, it is not limited to a medium directly connected to any computer system, and may exist distributed over a network. Examples of the medium include hard disks, magnetic 'media such as floppy disks and magnetic tapes, optical recording media such as CD-ROM and DVD, magneto-optical medium such as floppy disks. , and those configured to store program instructions, including ROM, RAM, flash memory, and the like. In addition, examples of other media include an app store that distributes applications, and a recording medium or storage medium managed by a site or server that supplies or distributes other various software.

본 실시예에서 사용되는 '~부'라는 용어는 소프트웨어 또는 FPGA(field-programmable gate array) 또는 ASIC과 같은 하드웨어 구성요소를 의미하며, '~부'는 어떤 역할들을 수행한다. 그렇지만 '~부'는 소프트웨어 또는 하드웨어에 한정되는 의미는 아니다. '~부'는 어드레싱할 수 있는 저장 매체에 있도록 구성될 수도 있고 하나 또는 그 이상의 프로세서들을 재생시키도록 구성될 수도 있다. 따라서, 일 예로서 '~부'는 소프트웨어 구성요소들, 객체지향 소프트웨어 구성요소들, 클래스 구성요소들 및 태스크 구성요소들과 같은 구성요소들과, 프로세스들, 함수들, 속성들, 프로시저들, 서브루틴들, 프로그램 코드의 세그먼트들, 드라이버들, 펌웨어, 마이크로코드, 회로, 데이터, 데이터베이스, 데이터 구조들, 테이블들, 어레이들, 및 변수들을 포함한다. 구성요소들과 '~부'들 안에서 제공되는 기능은 더 작은 수의 구성요소들 및 '~부'들로 결합되거나 추가적인 구성요소들과 '~부'들로 더 분리될 수 있다. 뿐만 아니라, 구성요소들 및 '~부'들은 디바이스 또는 보안 멀티미디어카드 내의 하나 또는 그 이상의 CPU들을 재생시키도록 구현될 수도 있다.The term '~ unit' used in this embodiment means software or hardware components such as field-programmable gate array (FPGA) or ASIC, and '~ unit' performs certain roles. However, '-part' is not limited to software or hardware. '~' may be configured to reside on an addressable storage medium or may be configured to refresh one or more processors. Accordingly, as an example, '~' indicates components such as software components, object-oriented software components, class components, and task components, and processes, functions, properties, and procedures. , subroutines, segments of program code, drivers, firmware, microcode, circuitry, data, databases, data structures, tables, arrays, and variables. The functions provided in the components and '~ units' may be combined into a smaller number of components and '~ units' or further separated into additional components and '~ units'. In addition, components and '~ units' may be implemented to play one or more CPUs in a device or secure multimedia card.

상기에서는 본 발명의 바람직한 실시예를 참조하여 설명하였지만, 해당 기술 분야의 숙련된 당업자는 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다. Although the above has been described with reference to the preferred embodiment of the present invention, those skilled in the art can variously modify and change the present invention within the scope without departing from the spirit and scope of the present invention as described in the claims below. You will understand that it can be done.

10: 디지털 포렌식 데이터 복호화 장치
11: 전처리부
12: 복호화부10: Digital forensic data decoding device
11: preprocessor
12: decryption unit

Claims (5)

카운터(Counter,　CTR) 방식의 블록 암호화 운영 모드에 적용되는 디지털 포렌식 데이터 복호화 장치에 있어서,
미디어 파일 및 패스워드를 동일한 암호키 및 초기화 벡터(Initialization Vector, IV)로 암호화하는 어플리케이션으로부터 패스워드를 추출하는 전처리부; 및
상기 패스워드를 이용하여 암호화 된 미디어 파일을 복호화하는 복호화부를 포함하며,
상기 전처리부는 하기 수학식 3에 따라 상기 패스워드를 추출하는 디지털 포렌식 데이터 복호화 장치.
[수학식 3]
Figure 112021150033852-pat00010

(수학식 3에서, C1, C2는 각각 암호화 된 패스워드, 미디어 파일이고, P1, P2는 각각 암호화 되지 않은 원문 패스워드, 원문 미디어 파일이고, K는 원문 패스워드 및 원문 미디어 파일을 암호화할 때 적용된 암호키이다)
In the digital forensic data decryption device applied to the counter (Counter, CTR) type block encryption operation mode,
a preprocessor for extracting a password from an application that encrypts a media file and a password with the same encryption key and an initialization vector (IV); and
A decryption unit for decrypting the encrypted media file using the password,
The preprocessor extracts the password according to Equation 3 below.
[Equation 3]
Figure 112021150033852-pat00010

(In Equation 3, C 1 , C 2 are encrypted passwords and media files, respectively, P 1 , P 2 are unencrypted original passwords and original media files, respectively, and K is to encrypt the original password and original media files. It is the encryption key applied when
 제1항에 있어서,
상기 전처리부는 원본 미디어 파일, 상기 암호화 된 상기 미디어 파일 및 상기 암호키에 XOR연산을 적용하여 상기 패스워드를 추출하는 디지털 포렌식 데이터 복호화 장치.
According to claim 1,
The pre-processing unit applies an XOR operation to the original media file, the encrypted media file, and the encryption key to extract the password.
 삭제delete 제1항에 있어서,
상기 복호화부는 해시 함수 및 AES (Advanced Encryption Standard)알고리즘에 따라 상기 미디어 파일을 복호화하는 디지털 포렌식 데이터 복호화 장치.
According to claim 1,
The decryption unit decrypts the media file according to a hash function and an Advanced Encryption Standard (AES) algorithm.
 제4항에 있어서,
상기 해시 함수는 SHA-1함수이고, 상기 AES알고리즘은 AES-128-CTR알고리즘인 디지털 포렌식 데이터 복호화 장치.5. The method of claim 4,
The hash function is a SHA-1 function, and the AES algorithm is an AES-128-CTR algorithm.
KR1020200146844A 2020-11-05 2020-11-05 Digital forensic data decoding device KR102387169B1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020200146844A KR102387169B1 (en) 2020-11-05 2020-11-05 Digital forensic data decoding device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020200146844A KR102387169B1 (en) 2020-11-05 2020-11-05 Digital forensic data decoding device

Publications (1)

Publication Number Publication Date
KR102387169B1 true KR102387169B1 (en) 2022-04-15

Family

ID=81212190

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020200146844A KR102387169B1 (en) 2020-11-05 2020-11-05 Digital forensic data decoding device

Country Status (1)

Country Link
KR (1) KR102387169B1 (en)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102571199B1 (en) 2022-12-23 2023-08-25 서울과학기술대학교 산학협력단 Method for guessing password based on hangeul using transform rules
KR102571215B1 (en) 2022-12-23 2023-08-28 서울과학기술대학교 산학협력단 Method for guessing password based on hangeul

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120131738A (en) * 2011-05-26 2012-12-05 고려대학교 산학협력단 Encryption apparatus and method according to CTR mode of AESadvanced encryption standard
KR20130125706A (en) * 2012-05-09 2013-11-19 한국전자통신연구원 Forensic marking apparatus and method for realtime contents service

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120131738A (en) * 2011-05-26 2012-12-05 고려대학교 산학협력단 Encryption apparatus and method according to CTR mode of AESadvanced encryption standard
KR20130125706A (en) * 2012-05-09 2013-11-19 한국전자통신연구원 Forensic marking apparatus and method for realtime contents service

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
‘암호 이용 안내서’, 방송통신위원회, 한국인터넷진흥원, 2010.01. *
윤병철 외 2인, ‘윈도우에서의 말랑말랑 톡카페 데이터베이스 암호화 프로세스 분석 및 삭제된 메시지 복구 연구’, Journal of The Korea Institute of Information Security & Cryptology, VOL.30, NO.3, Jun. 2020. *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102571199B1 (en) 2022-12-23 2023-08-25 서울과학기술대학교 산학협력단 Method for guessing password based on hangeul using transform rules
KR102571215B1 (en) 2022-12-23 2023-08-28 서울과학기술대학교 산학협력단 Method for guessing password based on hangeul

Similar Documents

Publication Publication Date Title
US10607027B1 (en) Secretless secure data distribution and recovery process
US9906513B2 (en) Network authorization system
US20210152351A1 (en) Computer System Implemented Method for Generating a Symmetric Encryption Key Used for Encrypting and Decrypting a Computer System User's Hidden Data
US9313185B1 (en) Systems and methods for authenticating devices
US10686764B2 (en) Executable coded cipher keys
KR102387169B1 (en) Digital forensic data decoding device
US11140196B1 (en) Malware fingerprinting on encrypted transport layer security (TLS) traffic
CN106778292B (en) A kind of quick restoring method of Word encrypted document
CN111614467B (en) System backdoor defense method and device, computer equipment and storage medium
CA3066701A1 (en) Controlling access to data
Kumar Cloud computing security issues and its challenges: a comprehensive research
Yang et al. TPEIP: Thumbnail preserving encryption based on sum preserving for image privacy
Pavan Kumar et al. Server security in cloud computing using block-chaining technique
WO2020044095A1 (en) File encryption method and apparatus, device, terminal, server, and computer-readable storage medium
AU2019101343B4 (en) A computer system implemented method for generating a symmetric encryption key for encrypting and decrypting secure data
CN111698253A (en) Computer network safety system
Blasco et al. Hindering data theft with encrypted data trees
WO2023014895A1 (en) Information dispersal for secure data storage
Rahaman et al. Keylogger Threat to the Android Mobile Banking Applications
George et al. GLEnc Algorithm to Secure Data in Public Cloud Environment
Mbae et al. Secure Cloud Based Approach for Mobile Devices User Data
KR102256231B1 (en) Digital forensic data decoding device
CN117499160B (en) Network security protection method and system based on electronic file
Rathore et al. Data Storage Security Issues and Solutions in Cloud Computing
KR102311996B1 (en) Device and method for anti-forensic unlocking for media files

Legal Events

Date Code Title Description
E701 Decision to grant or registration of patent right
GRNT Written decision to grant