WO2014193058A1 - 원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법 - Google Patents

원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법 Download PDF

Info

Publication number
WO2014193058A1
WO2014193058A1 PCT/KR2013/010837 KR2013010837W WO2014193058A1 WO 2014193058 A1 WO2014193058 A1 WO 2014193058A1 KR 2013010837 W KR2013010837 W KR 2013010837W WO 2014193058 A1 WO2014193058 A1 WO 2014193058A1
Authority
WO
WIPO (PCT)
Prior art keywords
evidence
data
analysis
collection
collecting
Prior art date
Application number
PCT/KR2013/010837
Other languages
English (en)
French (fr)
Inventor
강성구
전민철
조영준
최재덕
김신규
서정택
Original Assignee
한국전자통신연구원
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 한국전자통신연구원 filed Critical 한국전자통신연구원
Priority to US14/889,988 priority Critical patent/US9734346B2/en
Publication of WO2014193058A1 publication Critical patent/WO2014193058A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • G06F15/16—Combinations of two or more digital computers each having at least an arithmetic unit, a program unit and a register, e.g. for a simultaneous processing of several programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G06F21/445—Program or device authentication by mutual authentication, e.g. between devices or programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
    • G06F21/78—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure storage of data

Definitions

  • the present invention relates to a device and method for providing security in a remote digital forensic environment, and in particular, to collect digital evidence from a system to be analyzed at a remote location, and to provide security in a remote digital forensic environment based on the collected digital evidence.
  • a device and a method thereof To a device and a method thereof.
  • Digital forensics refers to a digital investigation process that collects and analyzes digital data existing in digital devices and systems such as computers and mobile phones to identify a specific user's behavior or identify the cause of an incident.
  • Conventional digital forensics protect the original data through write protection from nonvolatile storage media, such as disks, by disconnecting the power supply to collect evidence data from the system under analysis.
  • the conventional digital forensics uses a method of generating an evidence copy and delivering the generated evidence to the evidence analyst, thereby allowing the evidence analyst to perform the analysis.
  • Korean Patent Laid-Open Publication No. 10-2009-0079568 "Evidence Data Collection Apparatus and Method” describes an apparatus and method for collecting evidence data to secure evidence capability for data that is difficult to secure. .
  • Evidence data collected by using digital forensic technology covers all data existing in the system, and thus may be sensitive information of the system user such as information related to user privacy and confidential information related to providing system services.
  • the evidence data collected by using digital forensic technology provides online based service in the case of remote digital forensics, so data leakage and alteration of existing IT environment, disguised as a normal evidence collector, denial of transmission and reception of evidence data, and evidence In addition to the purpose of the data, it can be exposed to security threats such as usage (abuse) and cause problems.
  • An object of the present invention is to provide a device and method for collecting digital evidence from a system to be analyzed at a remote location, and providing security in a remote digital forensic environment based on the collected digital evidence.
  • the security providing device making an evidence collection request of the evidence collection target device to the evidence collection agent; Receiving evidence data corresponding to the evidence collection request from the evidence collection agent; Verifying the evidence data based on a signature value of the evidence data received from the evidence collection agent; Generating evidence analysis data based on the verified evidence data; Verifying the evidence analysis data based on the signature value of the evidence analysis data; And providing security of the apparatus for collecting evidence based on a result of verifying the evidence analysis data.
  • the generating of the evidence analysis data may include generating the evidence analysis data by using the evidence analysis method of the evidence analysis token corresponding to the verified evidence data.
  • the evidence analysis token may include information on the evidence data, a preset evidence analysis method, a evidence analysis period, a decryption method of evidence data, and a decryption key.
  • verifying the evidence data may further include verifying the evidence collection token received from the evidence collection agent together with the evidence data.
  • the evidence collection token is characterized in that it comprises the information of the evidence collection target device, the kind of evidence set in advance and evidence collection method, the collection permission information, evidence collection period.
  • the security providing device in a remote digital forensic environment according to an embodiment of the present invention
  • An evidence collecting unit for making a request for collecting evidence of a device to collect evidence from an evidence collecting agent and collecting evidence data corresponding to the request for collecting evidence;
  • An evidence management unit verifying the evidence data based on a signature value of the evidence data received from the evidence collection agent;
  • An evidence analyzer for generating evidence analysis data based on the evidence data verified by the evidence management unit and verifying the evidence analysis data based on a signature value of the evidence analysis data;
  • an evidence controller providing security of the apparatus for collecting evidence based on a result of verifying the evidence analysis data by the evidence analyzer.
  • the evidence analyzer may generate the evidence analysis data by using the evidence analysis method of the evidence analysis token corresponding to the verified evidence data.
  • the evidence analysis token may include information on the evidence data, a preset evidence analysis method, a evidence analysis period, a decryption method of evidence data, and a decryption key.
  • the evidence analysis unit is characterized in that for verifying the evidence collection token received with the evidence data.
  • the evidence collection token is characterized in that it comprises the information of the evidence collection target device, the kind of evidence set in advance and evidence collection method, the collection permission information, evidence collection period.
  • an apparatus and method for providing security in a remote digital forensic environment respond to a security threat that may occur when collecting and analyzing digital evidence from a target device and a target system in a remote digital forensic environment, and control the processing of sensitive information.
  • a security threat that may occur when collecting and analyzing digital evidence from a target device and a target system in a remote digital forensic environment, and control the processing of sensitive information.
  • FIG. 1 is a block diagram schematically illustrating a security providing apparatus in a remote digital forensic environment according to an embodiment of the present invention.
  • FIG. 2 is a flowchart illustrating a security providing method in a remote digital forensic environment according to an embodiment of the present invention.
  • FIG. 3 is a diagram illustrating a process of collecting evidence in a remote digital forensic environment according to an embodiment of the present invention.
  • FIG. 4 is a diagram illustrating a process of analyzing evidence collected in a remote digital forensic environment according to an embodiment of the present invention.
  • FIG. 5 is a diagram showing the configuration of a token according to an embodiment of the present invention.
  • FIG. 6 is a diagram illustrating a configuration of collection evidence data according to an embodiment of the present invention.
  • FIG. 7 is a diagram illustrating a configuration of provision evidence data according to an embodiment of the present invention.
  • FIG. 8 is a diagram illustrating a configuration of evidence analysis data according to an embodiment of the present invention.
  • FIG. 1 is a block diagram schematically illustrating a security providing apparatus in a remote digital forensic environment according to an embodiment of the present invention.
  • a remote digital forensic environment includes a security providing apparatus 100, an evidence collecting agent 200, and an evidence collecting target device 300.
  • the security providing apparatus 100 may include an evidence collecting unit 110, an evidence managing unit 120, an evidence controlling unit 130, and an evidence analyzing unit 140.
  • the evidence collecting unit 110 receives the evidence collection request from the evidence control unit 130 and makes a request for collecting the evidence to the evidence collecting agent 200 to collect the evidence from the evidence collecting target device 300. At this time, the token is received from the evidence controller 130 as well as the evidence collection request.
  • the evidence collecting unit 110 receives the evidence data corresponding to the evidence collection request, and verifies the signature value of the received evidence data and signs the evidence data when it is collected normally, and transmits the evidence data to the evidence management unit 120. do.
  • the evidence management unit 120 verifies the token corresponding to the evidence data received from the evidence collection unit 110, and transmits the evidence data to the evidence analysis unit 140 based on the verified result. Next, the evidence management unit 120 verifies the token corresponding to the evidence analysis data received from the evidence analysis unit 140, and verifies and stores the evidence analysis data.
  • the evidence control unit 130 determines the necessary evidence type and evidence collection method through the evidence collection target device 300, and transmits the evidence collection request to the evidence collection unit 110 based on the determination. At this time, the evidence control unit 130 delivers the token together with the evidence collection request.
  • Tokens is the target system information created by the evidence control unit 130, that is, the information of the evidence collection target device 300, a predetermined type of evidence and evidence collection method (for example, evidence format, compression Method, integrity method, encryption method and encryption key, etc.), collection permission information, evidence collection period, and the like.
  • a predetermined type of evidence and evidence collection method for example, evidence format, compression Method, integrity method, encryption method and encryption key, etc.
  • the evidence analysis unit 140 generates evidence analysis data based on the evidence data received from the evidence management unit 120, and transmits the generated evidence analysis data to the evidence management unit 120.
  • the evidence control unit 130 may provide security of the evidence collecting target device 300 based on the result of verifying the evidence analysis data received through the evidence management unit 120.
  • the evidence collection agent 200 serves as a relay between the security providing device 100 and the evidence collecting target device 300.
  • the evidence collection agent 200 provides the security providing apparatus 100 with evidence data existing in the evidence collection target device 300 according to the evidence collection request of the security providing apparatus 100.
  • the evidence collection agent 200 verifies the token corresponding to the evidence collection request of the security providing device 100.
  • the encryption key included in the token is a key value negotiated in advance so that only the evidence collection agent 200 can read it, or encrypts and processes it by encrypting it with the public key of the evidence collection agent 200.
  • the evidence collection agent 200 checks whether the signature value corresponding to the evidence controller 130 is the signature value using the signature value of the token, and confirms whether the collection permission information of the token is the same as the authentication permission information of the authenticated evidence collection unit 110. And verify that the evidence collection period is valid. Next, the evidence collection agent 200 generates evidence data through format processing, compression processing, integrity processing, and encryption processing. The evidence collection agent 200 signs the generated evidence data and delivers the evidence data to the evidence collection unit 110.
  • the evidence collection target device 300 corresponds to a device that is the subject of an accident investigation, and delivers evidence data necessary for the investigation of the incident to the security providing device 100 through the evidence collection agent 200, and through this, the security providing device. Security is provided from 100.
  • FIG. 2 is a flowchart illustrating a security providing method in a remote digital forensic environment according to an embodiment of the present invention.
  • the security providing apparatus 100 sets the evidence collection request as the evidence collection agent 200 (S210). In this case, the security providing apparatus 100 transmits the token as well as the evidence collection request to the evidence collection agent 200.
  • the evidence collection agent 200 serves as a relay between the security providing device 100 and the evidence collecting target device 300. That is, when the evidence collection agent 200 receives the evidence collection request from the security providing apparatus 100, the evidence collection agent 200 receives the evidence data corresponding to the evidence collection request from the evidence collection target device 300.
  • the security providing apparatus 100 receives evidence data corresponding to the request of step S210 (S220).
  • the security providing apparatus 100 verifies the evidence data received in step S220 using a token corresponding to the evidence data (S230).
  • the security providing apparatus 100 generates evidence analysis data through the verified evidence data (S240).
  • the security providing apparatus 100 verifies the evidence analysis data generated in step S240 using a token corresponding to the evidence analysis data (S250).
  • the security providing method in the remote digital forensic environment may be described by dividing the process of collecting evidence and analyzing the collected evidence.
  • FIG. 3 is a diagram illustrating a process of collecting evidence in a remote digital forensic environment according to an embodiment of the present invention.
  • a security providing device 100 and an evidence collecting agent 200 are required to collect evidence of the evidence collecting target device 300 in a remote digital forensic environment.
  • the security providing apparatus 100 includes, but is not limited to, an evidence collecting unit 110, an evidence managing unit 120, and an evidence controlling unit 130.
  • the evidence controller 130 may perform mutual authentication with the evidence collection unit 110 to collect evidence (S301), thereby ensuring a secure communication channel.
  • the evidence control unit 130 may include the target system information created by the evidence control unit 130, that is, the information of the apparatus for collecting the evidence 300, a predetermined type of evidence, and a method of collecting the evidence (for example, evidence format, compression method, and integrity). Method, encryption method and encryption key, etc.), collection allowance information, evidence collection period (hereinafter referred to as "token") including the evidence is issued (S302).
  • the encryption key included in the evidence collection token is a key value negotiated in advance so that only the evidence collection agent 200 can read it, or encrypts and processes it by encrypting it with the public key of the evidence collection agent 200.
  • the evidence control unit 130 determines the necessary evidence type and evidence collection method through the evidence collection target device 300, and transmits the evidence collection request to the evidence collection unit 110 based on the determination (S303). At this time, the evidence control unit 130 transmits the evidence collection token issued in step S302 to the evidence collection unit 110.
  • the evidence collection unit 110 may perform mutual authentication with the evidence collection agent 200 to collect the evidence (S304), thereby ensuring a secure communication channel.
  • the evidence collection unit 110 transmits the evidence collection request received in step S303 to the evidence collection agent 200 (S305). At this time, the evidence collection unit 110 also delivers the evidence collection token issued in step S302 to the evidence collection agent 200.
  • the evidence collection agent 200 verifies a token corresponding to the evidence collection request (S306).
  • the encryption key included in the token is a key value negotiated in advance so that only the evidence collection agent 200 can read it, or encrypts and processes it by encrypting it with the public key of the evidence collection agent 200.
  • the evidence collection agent 200 checks whether the signature value corresponds to the evidence control unit 130 using the signature value of the token, and the collection permission information of the token is the same as the authentication permission information of the evidence collection unit 110 authenticated. Check that the evidence collection period is valid.
  • the evidence collection agent 200 generates evidence data through format processing, compression processing, integrity processing, and encryption processing (S307).
  • the evidence collection agent 200 signs and transmits the generated evidence data to the evidence collection unit 110 (S308).
  • the evidence collection unit 110 receives the evidence data corresponding to the evidence collection request (S305), verifies the signature value of the received evidence data, and signs the evidence data when it is collected normally (S309).
  • the evidence management unit 120 may perform a mutual authentication with the evidence collection unit 110 to manage the evidence data collected by the evidence collection unit 110 (S310), thereby ensuring a secure communication channel.
  • the evidence collection unit 110 transmits the evidence data signed in step S309 to the evidence management unit 120 (S311). At this time, the evidence collection unit 110 delivers the token received from the evidence control unit 130 in step S303 as well as the signed evidence data.
  • the evidence management unit 120 verifies the token by confirming whether the token is issued by the evidence control unit 130 using the signature value of the token corresponding to the evidence data received from the evidence collection unit 110, and verifying the token. By checking whether the collection allowance information is the same as the authentication allowance information of the authenticated evidence collection unit 110, the evidence data is verified (S312). In addition, the evidence management unit 120 stores the verified evidence data and notifies the evidence collection unit 110 that the storage is completed (S313).
  • the evidence collection unit 110 notifies the evidence control unit 130 that the evidence collection is completed in response to the storage completion notification (S314).
  • FIG. 4 is a diagram illustrating a process of analyzing evidence collected in a remote digital forensic environment according to an embodiment of the present invention.
  • the evidence collecting unit 110 In order to analyze the evidence collected by the evidence collecting target device 300 in the remote digital forensic environment, the evidence collecting unit 110, the evidence managing unit 120, and the evidence analyzing unit 140 are required.
  • the evidence control unit 130 determines the evidence data to be analyzed and the evidence analysis method corresponding thereto among the collected evidence data, and designates the evidence analysis unit 140 to perform the evidence analysis.
  • the evidence control unit 130 may perform a mutual authentication with the evidence analysis unit 140 specified above for evidence analysis (S401), thereby ensuring a secure communication channel.
  • the evidence control unit 130 may include evidence data information created by the evidence control unit 130, a pre-determined evidence analysis method (for example, an analysis data format, a compression method, an integrity method, an encryption method, and an encryption key), and an evidence analysis unit (
  • An evidence analysis token (hereinafter referred to as "token") including information such as analysis permission information, evidence analysis period, evidence data decryption method, and decryption key of 140) is issued (S402).
  • token An evidence analysis token (hereinafter referred to as "token") including information such as analysis permission information, evidence analysis period, evidence data decryption method, and decryption key of 140) is issued (S402).
  • the encryption key and the decryption key included in the token are values negotiated in advance so that only the evidence analysis unit 140 can read them, or they are encrypted or processed with the public key of the evidence analysis unit 140.
  • the evidence control unit 130 instructs the evidence analysis unit 140 to analyze the evidence (S403). In addition, the evidence control unit 130 also transmits the evidence analysis token issued in step S402 to the evidence analysis unit 140.
  • the evidence analyzer 140 may perform mutual authentication with the evidence manager 120 for evidence analysis according to the evidence analysis instruction of step S403 (S404), thereby ensuring a secure communication channel.
  • the evidence analysis unit 140 requests the evidence management unit 120 for evidence data necessary to perform the evidence analysis instruction of step S403 (S405). At this time, the evidence analysis unit 140 also transmits the received evidence analysis token to the evidence management unit 120 while receiving the evidence analysis instruction.
  • the evidence management unit 120 verifies the evidence analysis token received with the evidence data request (S406).
  • the evidence management unit 120 transmits the evidence data to the evidence analysis unit 140 based on the result of verifying the evidence analysis token (S407).
  • the evidence analyzer 140 transmits not only the evidence data but also the evidence analysis token to the evidence analyzer 140.
  • the evidence analyzer 140 analyzes the evidence data received through the token's evidence data decryption method and the decryption key, and generates evidence analysis data using the token's evidence analysis method (S408).
  • the evidence analysis unit 140 transmits the evidence analysis data generated in step S408 to the evidence management unit 120 (S409). At this time, the evidence analyzer 140 transmits not only the evidence analysis data but also the evidence analysis token.
  • the evidence management unit 120 verifies the token by checking whether the signature value corresponds to the evidence control unit 130 using the signature value of the evidence analysis token received along with the received evidence analysis data (S410). In addition, the evidence management unit 120 verifies and analyzes the analysis data by checking whether the analysis permission information of the evidence analysis token is the same as the analysis permission information of the authenticated evidence analysis unit 140 (S411).
  • the evidence management unit 120 transmits the analysis data to the evidence analysis unit 140 in step S411 (S412). Then, the evidence analyzer 140 notifies the evidence controller 130 that the evidence analysis is completed (S413).
  • FIG. 5 is a diagram showing the configuration of a token according to an embodiment of the present invention.
  • a token receives a "serial number" that is not duplicated with another token to identify a token, "issuer identification information" of a subject that issued the token (for example, the evidence controller 130) and a token.
  • the subject eg, the evidence collection agent 200 and the evidence management unit 120
  • the subject to receive and use the token (for example, evidence collection unit ( 110) and "requester identification information” corresponding to identification information of the evidence analysis unit 140).
  • the issuer identification information is information used in the process of verifying whether the evidence collection agent 200 or the evidence management unit 120 that received the token is a token generated by the previously authenticated evidence control unit 130.
  • Receiving object identification information is information used in the process of validating whether the token is a token processed by the user, compared to the identification information of the evidence collection agent 200 or the evidence management unit 120 that received the token.
  • the requestor identification information is information used in the process of validating whether the token can be delivered by the corresponding user by comparing the identification information of the evidence collecting unit 110 or the evidence analyzing unit 140 that delivered the token.
  • the token specifies a period during which the token can be utilized, including the "valid start time” and “valid expiration time” that issued the token to determine the validity of the token itself.
  • the evidence collection agent 200 or the evidence management unit 120 that receives and validates such a token determines whether the token is in a valid period (corresponding to the valid expiration time to valid expiration time). Determine whether or not.
  • the token shall be labeled as “collected” or “analyzed” to limit the use of the token, and includes “event identification” which is the identification of the event to be collected and analyzed for evidence to indicate the reason for which the token was issued. do.
  • data compression related information for processing of evidence data generated by the evidence collection agent 200 or evidence analysis data generated by the evidence analyzer 140.
  • data encryption related information encryption, hash, signature algorithm
  • the use of the token according to the embodiment of the present invention is a collection, it includes only the “evidence data encryption key” for encrypting the collected evidence data, and when the use of the token is analysis, "evidence” for encrypting the evidence analysis data.
  • the key used for encryption / decryption is encrypted by including a secret key shared with a receiver or a public key.
  • a secret key shared with a receiver or a public key.
  • it may contain sensitive information such as user privacy information. Therefore, encryption is performed to prevent information exposure from internal and external threat agents. Only the subjects generating the collected evidence data and the evidence analysis data (for example, the evidence collection agent 200 and the evidence analysis unit 140) and the evidence control unit 130 may be known and generated when the key is delivered.
  • the evidence control unit 130 Encrypts and delivers the key that is passed through the pre-negotiated key value or the subject's public key so only the subject knows
  • the evidence control unit 130 knows the encrypted collected evidence data and the key of the evidence analysis data, so that if there is a subject that needs the data for the purpose of analysis, reading, etc., it can authenticate and decrypt the subject. By providing a key, you can restrict the data so that only the requesting subject can decrypt it.
  • the evidence control unit 130 signs the “hash information (hash algorithm, hash value)" and hash value of the token. "Issuer signature information (signing algorithm, signature value)”.
  • evidence data generated by the evidence collection agent 200 that is, evidence data collected by the evidence collection unit 110 (hereinafter also referred to as “collection evidence data”) will be described in detail with reference to FIG.
  • FIG. 6 is a diagram illustrating a configuration of collection evidence data according to an embodiment of the present invention.
  • the collected evidence data includes a file signature, a version of the evidence data structure, a type of collected evidence data, and size information of the evidence data.
  • the collected evidence data includes hash information, for example, a hash algorithm and a hash value, for the integrity of the evidence data and non repudiation of generation, and is received before being transmitted to the evidence management unit 120 by the evidence collection unit 110. It contains the generator and requestor's signature information (eg signature algorithm, signature value) for non repudiation.
  • providing evidence data (hereinafter also referred to as “providing evidence data") provided by the evidence management unit 120 will be described in detail with reference to FIG.
  • FIG. 7 is a diagram illustrating a configuration of provision evidence data according to an embodiment of the present invention.
  • the provided evidence data includes token information used when the evidence analyzer 140 requests evidence data, event identification information related to generation of evidence data, evidence data identification information, and the like. It includes.
  • the collected evidence data includes hash information of the provided evidence data and signature information of the creator of the evidence data for integrity and non-repudiation of the provided evidence data.
  • FIG. 8 is a diagram illustrating a configuration of evidence analysis data according to an embodiment of the present invention.
  • the evidence analysis data includes token information (eg, token serial number) used for analysis, identification information of a provider who provided evidence analysis data, an event identification number related to generating evidence analysis data, and evidence analysis data. Identification numbers and the like.
  • the evidence analysis data includes the evidence analysis data itself to be provided and includes hash information of the evidence analysis data and signature analysis of the analyst for the integrity and non-repudiation of the evidence analysis data.
  • the apparatus and method for providing security in a remote digital forensic environment are sensitive to security threats that may occur when collecting and analyzing digital evidence from a target device and a target system in a remote digital forensic environment.
  • the security of the evidence data and analysis data can be improved more effectively.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 원격지에서 분석 대상이 되는 시스템으로부터 디지털 증거를 수집하고, 수집한 디지털 증거를 토대로 원격 디지털 포렌식 환경에서 보안성을 제공할 수 있도록 하는 장치 및 그 방법에 관한 것이다. 보안 제공 방법은 원격 디지털 포렌식 환경에서 보안 제공 장치가 증거 수집 에이전트로 증거 수집 대상 장치의 증거 수집 요청을 하는 단계, 증거 수집 요청에 대응하는 증거 데이터를 증거 수집 에이전트로부터 수집하는 단계, 증거 수집 에이전트로부터 수집한 증거 데이터의 서명값을 토대로 증거 데이터를 검증하는 단계, 검증된 증거 데이터를 토대로 증거 분석 데이터를 생성하는 단계, 증거 분석 데이터의 서명값을 토대로 증거 분석 데이터를 검증하는 단계 및 증거 분석 데이터를 검증한 결과를 토대로 증거 수집 대상 장치의 보안성을 제공하는 단계를 포함한다.

Description

원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법
본 발명은 원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법에 관한 것으로, 특히 원격지에서 분석 대상이 되는 시스템으로부터 디지털 증거를 수집하고, 수집한 디지털 증거를 토대로 원격 디지털 포렌식 환경에서 보안성을 제공할 수 있도록 하는 장치 및 그 방법에 관한 것이다.
본 발명은 2013년 5월 30일 출원된 한국특허출원 제10-2013-0061425호의 출원일의 이익을 주장하며, 그 내용 전부는 본 명세서에 포함된다.
디지털 포렌식은 컴퓨터, 휴대전화 등과 같은 디지털 기기 및 시스템에 존재하는 디지털 데이터를 수집 및 분석하여, 특정 사용자의 행위를 파악하거나 발생된 사건의 원인을 파악하는 디지털 수사과정을 의미한다.
이와 같은, 디지털 포렌식은 그 용어에서 찾아볼 수 있듯이 디지털 데이터를 다루게 되므로 디지털 데이터의 특성상 복제가 쉽고 원본과 사본의 구분이 어려워 디지털 데이터가 법적 효력을 가지기 위해 데이터 처리에 있어 적절한 통제를 통해 증거 데이터의 진정성, 무결성, 신뢰성, 원본성 등을 확보하여 증거가 될 수 있도록 처리 및 관리되어야 한다.
종래의 디지털 포렌식은 분석 대상 시스템의 증거 데이터 수집을 위해 전원을 분리하여 디스크와 같은 비휘발성 저장매체로부터 쓰기방지 기능을 통해 원본의 데이터를 보호한다. 또한, 종래의 디지털 포렌식은 증거사본을 생성하고, 생성한 증거사본을 증거 분석자에게 전달함으로써, 증거 분석자가 분석을 수행하도록 하는 방식을 사용하였다.
그러나, 최근 비휘발성 저장매체의 용량이 커지므로 증거수집비용이 증가하고, 특정 서비스를 지속적으로 제공해야 되는 시스템과 같이 서비스의 가용성이 중요해 지며, 비휘발성 증거 데이터 외에 휘발성 증거 데이터의 중요성이 높아짐에 따라, 종래의 디지털 포렌식과 같이 전원을 제거하고 증거를 수집 및 분석하는 행위가 제한되고 있다. 또한, 디지털 포렌식 대상이 될 수 있는 시스템들의 수가 점차 많아지고 있으며, 특정 사고의 경우 무엇보다 신속한 증거 수집 및 분석을 통한 대응의 필요성이 높아지고 있다.
예를 들어, 한국공개특허 제10-2009-0079568호 "증거 데이터 수집 장치 및 그 방법"은 저장매체 확보가 어려운 데이터에 대하여 증거 능력을 확보하도록 하는 증거 데이터 수집 장치 및 그 방법에 관하여 기재하고 있다.
이와 같이, 분석이 필요한 대상 시스템의 가용성을 보장하고, 휘발성 및 비휘발성 증거 데이터를 모두 수집할 수 있으며, 신속한 대응을 위해 분석 대상 시스템에 물리적으로 직접 연결하여 수집하지 않아도, 원격에서 증거 데이터를 수집하거나 분석할 수 있는 온라인 기반의 원격 디지털 포렌식의 요구가 증대되고 있다.
디지털 포렌식 기술을 활용하여 수집되는 증거 데이터는 시스템에 존재하는 모든 데이터를 다루게 되므로, 사용자의 프라이버시와 관련한 정보, 시스템 서비스 제공과 관련한 기밀 정보 등 시스템 사용자의 민감한 정보들이 될 수 있다. 또한, 디지털 포렌식 기술을 활용하여 수집되는 증거 데이터는 원격 디지털 포렌식 경우에 온라인 기반의 서비스가 이루어지므로 기존 IT환경이 가지고 있는 데이터 유출 및 변조, 정상적인 증거수집가로 위장, 증거 데이터 송?수신 부인, 증거 데이터의 목적 외에 사용(남용) 등의 보안위협에 그대로 노출될 수 있어 문제를 야기할 수 있다.
따라서, 보안 위협을 대응하고, 민감한 정보들의 처리를 통제할 수 있도록 수집되는 증거 데이터들의 기본적인 디지털 포렌식 요구사항을 충족하고, 더 나아가 증거 데이터의 접근을 통제함으로써 증거 데이터의 보안성을 제공할 수 있는 장치 및 방법이 요구된다.
본 발명의 목적은 특히 원격지에서 분석 대상이 되는 시스템으로부터 디지털 증거를 수집하고, 수집한 디지털 증거를 토대로 원격 디지털 포렌식 환경에서 보안성을 제공할 수 있는 장치 및 그 방법을 제공하는 것이다.
상기한 목적을 달성하기 위한 본 발명에 따른 원격 디지털 포렌식 환경에서 보안 제공 방법은
보안 제공 장치가 증거 수집 에이전트로 증거 수집 대상 장치의 증거 수집 요청을 하는 단계; 상기 증거 수집 요청에 대응하는 증거 데이터를 상기 증거 수집 에이전트로부터 수신하는 단계; 상기 증거 수집 에이전트로부터 수신한 상기 증거 데이터의 서명값을 토대로 상기 증거 데이터를 검증하는 단계; 검증된 증거 데이터를 토대로 증거 분석 데이터를 생성하는 단계; 상기 증거 분석 데이터의 서명값을 토대로 상기 증거 분석 데이터를 검증하는 단계; 및 상기 증거 분석 데이터를 검증한 결과를 토대로 상기 증거 수집 대상 장치의 보안성을 제공하는 단계를 포함한다.
이 때, 상기 증거 수집 요청을 하는 단계 이전에 상기 증거 수집 에이전트와 상호 인증을 수행하는 것을 특징으로 한다.
이 때, 상기 증거 분석 데이터를 생성하는 단계는 검증된 증거 데이터에 대응하는 증거 분석 토큰의 증거 분석 방법을 이용하여 상기 증거 분석 데이터를 생성하는 것을 특징으로 한다.
이 때, 상기 증거 분석 토큰은 상기 증거 데이터의 정보, 사전에 설정한 증거 분석 방법, 증거 분석 기간, 증거 데이터의 복호화 방법, 복호화 키를 포함하는 것을 특징으로 한다.
이 때, 상기 증거 데이터를 검증하는 단계는 상기 증거 수집 에이전트로부터 상기 증거 데이터와 같이 수신한 증거 수집 토큰을 검증하는 단계를 더 포함하는 것을 특징으로 한다.
이 때, 상기 증거 수집 토큰은 상기 증거 수집 대상 장치의 정보, 사전에 설정한 증거의 종류와 증거 수집 방법, 수집 허용 정보, 증거 수집 기간을 포함하는 것을 특징으로 한다.
또한, 본 발명의 일실시예에 따른 원격 디지털 포렌식 환경에서 보안 제공 장치는
증거 수집 에이전트로 증거 수집 대상 장치의 증거 수집 요청을 하고, 상기 증거 수집 요청에 대응하는 증거 데이터를 수집하는 증거 수집부; 상기 증거 수집 에이전트로부터 수신한 상기 증거 데이터의 서명값을 토대로 상기 증거 데이터를 검증하는 증거 관리부; 상기 증거 관리부에서 검증된 증거 데이터를 토대로 증거 분석 데이터를 생성하고, 상기 증거 분석 데이터의 서명값을 토대로 상기 증거 분석 데이터를 검증하는 증거 분석부; 및 상기 증거 분석부에서 상기 증거 분석 데이터를 검증한 결과를 토대로 상기 증거 수집 대상 장치의 보안성을 제공하는 증거 제어부를 포함한다.
이 때, 상기 증거 수집부에서 상기 증거 수집 에이전트로 증거 수집 요청을 하기 이전에, 상기 증거 수집부와 상기 증거 수집 에이전트 간의 상호인증을 수행하는 것을 특징으로 한다.
이 때, 상기 증거 분석부는 검증된 증거 데이터에 대응하는 증거 분석 토큰의 증거 분석 방법을 이용하여 상기 증거 분석 데이터를 생성하는 것을 특징으로 한다.
이 때, 상기 증거 분석 토큰은 상기 증거 데이터의 정보, 사전에 설정한 증거 분석 방법, 증거 분석 기간, 증거 데이터의 복호화 방법, 복호화 키를 포함하는 것을 특징으로 한다.
이 때, 상기 증거 분석부는 상기 증거 데이터와 같이 수신한 증거 수집 토큰을 검증하는 것을 특징으로 한다.
이 때, 상기 증거 수집 토큰은 상기 증거 수집 대상 장치의 정보, 사전에 설정한 증거의 종류와 증거 수집 방법, 수집 허용 정보, 증거 수집 기간을 포함하는 것을 특징으로 한다.
본 발명에 따르면, 원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법은 원격 디지털 포렌식 환경에서 대상 기기 및 대상 시스템으로부터 디지털 증거를 수집 및 분석 시 발생할 수 있는 보안 위협에 대응하고, 민감한 정보의 처리를 통제할 수 있도록, 수집되는 증거 데이터를 보호하고, 증거 데이터의 접근을 통제함으로써 보다 효과적으로 증거 데이터 및 분석 데이터의 보안성을 높일 수 있다.
도 1은 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 보안 제공 장치를 개략적으로 나타내는 구성도이다.
도 2는 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 보안 제공 방법을 나타내는 흐름도이다.
도 3은 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 증거를 수집하는 과정을 나타내는 도면이다.
도 4는 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 수집한 증거를 분석하는 과정을 나타내는 도면이다.
도 5는 본 발명의 실시예에 따른 토큰의 구성을 나타내는 도면이다.
도 6은 본 발명의 실시예에 따른 수집 증거 데이터의 구성을 나타내는 도면이다.
도 7은 본 발명의 실시예에 따른 제공 증거 데이터의 구성을 나타내는 도면이다.
도 8은 본 발명의 실시예에 따른 증거 분석 데이터의 구성을 나타내는 도면이다.
본 발명을 첨부된 도면을 참조하여 상세히 설명하면 다음과 같다. 여기서, 반복되는 설명, 본 발명의 요지를 불필요하게 흐릴 수 있는 공지 기능, 및 구성에 대한 상세한 설명은 생략한다. 본 발명의 실시형태는 당 업계에서 평균적인 지식을 가진 자에게 본 발명을 보다 완전하게 설명하기 위해서 제공되는 것이다. 따라서, 도면에서의 요소들의 형상 및 크기 등은 보다 명확한 설명을 위해 과장될 수 있다.
이하, 본 발명에 따른 바람직한 실시예 따른 원격지에서 분석 대상이 되는 시스템으로부터 디지털 증거를 수집하고, 수집한 디지털 증거를 토대로 원격 디지털 포렌식 환경에서 보안성을 제공할 수 있도록 하는 장치 및 그 방법에 대하여 첨부한 도면을 참조하여 상세하게 설명한다.
도 1은 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 보안 제공 장치를 개략적으로 나타내는 구성도이다.
도 1을 참고하면, 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에는 보안 제공 장치(100), 증거 수집 에이전트(200) 및 증거 수집 대상 장치(300)가 있다.
보안 제공 장치(100)는 증거 수집부(110), 증거 관리부(120), 증거 제어부(130) 및 증거 분석부(140)를 포함한다.
증거 수집부(110)는 증거 제어부(130)로부터 증거 수집 요청을 전달받고, 증거 수집 대상 장치(300)로부터 증거를 수집하기 위하여 증거 수집 에이전트(200)에 증거 수집 요청을 한다. 이때, 증거 제어부(130)로부터 증거 수집 요청뿐만 아니라 토큰을 전달받는다.
다음, 증거 수집부(110)는 증거 수집 요청에 대응하는 증거 데이터를 전달받고, 전달받은 증거 데이터의 서명값을 검증하여 정상적으로 수집되었을 경우 증거 데이터에 서명을 하여, 이를 증거 관리부(120)에 전달한다.
증거 관리부(120)는 증거 수집부(110)로부터 전달받은 증거 데이터에 대응하는 토큰을 검증하고, 검증한 결과를 토대로 증거 데이터를 증거 분석부(140)로 전달한다. 다음, 증거 관리부(120)는 증거 분석부(140)로부터 전달받은 증거 분석 데이터에 대응하는 토큰을 검증하고, 증거 분석 데이터를 검증 및 저장한다.
증거 제어부(130)는 증거 수집 대상 장치(300)를 통해 필요한 증거 종류와 증거 수집 방법을 결정하고, 결정한 것을 토대로 증거 수집 요청을 증거 수집부(110)로 전달한다. 이때, 증거 제어부(130)는 증거 수집 요청과 함께 토큰을 전달한다.
본 발명의 실시예에 따른 토큰은 증거 제어부(130)에 의해 작성된 대상 시스템 정보 즉, 증거 수집 대상 장치(300)의 정보, 사전에 결정한 증거 종류와 증거 수집 방법(예를 들어, 증거 포맷, 압축 방법, 무결성 방법, 암호화 방법 및 암호화 키 등), 수집 허용 정보, 증거 수집 기간 등을 포함한다.
증거 분석부(140)는 증거 관리부(120)로부터 전달받은 증거 데이터를 토대로 증거 분석 데이터를 생성하고, 생성한 증거 분석 데이터를 증거 관리부(120)로 전달한다.
증거 제어부(130)는 증거 관리부(120)를 통해 전달받은 증거 분석 데이터를 검증한 결과를 토대로 증거 수집 대상 장치(300)의 보안성을 제공할 수 있다.
증거 수집 에이전트(200)는 보안 제공 장치(100)와 증거 수집 대상 장치(300)의 중계자 역할을 수행한다.
구체적으로, 증거 수집 에이전트(200)는 보안 제공 장치(100)의 증거 수집 요청에 따라 증거 수집 대상 장치(300)에 존재하는 증거 데이터를 보안 제공 장치(100)에 제공한다.
또한, 증거 수집 에이전트(200)는 보안 제공 장치(100)의 증거 수집 요청에 대응하는 토큰을 검증한다. 여기서, 토큰이 포함하는 암호화 키는 증거 수집 에이전트(200) 만이 열람할 수 있도록 사전에 협의된 키 값으로, 암호화 하거나 증거 수집 에이전트(200)의 공개키로 암호화하여 처리한다.
증거 수집 에이전트(200)는 토큰의 서명값을 이용하여 증거 제어부(130)에 해당하는 서명값인지 확인하고, 토큰의 수집 허용 정보가 인증한 증거 수집부(110)의 인증 허용 정보와 동일한지를 확인하며 증거 수집 기간이 유효한지 확인한다. 다음, 증거 수집 에이전트(200)는 포맷 처리, 압축 처리, 무결성 처리, 암호화 처리를 통해 증거 데이터를 생성한다. 증거 수집 에이전트(200)는 생성한 증거 데이터를 서명하여 증거 수집부(110)로 전달한다.
증거 수집 대상 장치(300)는 사고조사의 대상이 되는 장치에 해당하는 것으로, 사고 조사에 필요한 증거 데이터를 증거 수집 에이전트(200)를 통해 보안 제공 장치(100)로 전달하고, 이를 통해 보안 제공 장치(100)로부터 보안성을 제공받는다.
다음, 원격 디지털 포렌식 환경에서 보안 제공 방법을 도 2를 참조하여 상세하게 설명한다.
도 2는 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 보안 제공 방법을 나타내는 흐름도이다.
도 2를 참고하면, 원격 디지털 포렌식 환경에는 보안 제공 장치(100)는 증거 수집 요청을 증거 수집 에이전트(200)로 한다(S210). 이때, 보안 제공 장치(100)는 증거 수집 요청뿐만 아니라 토큰을 증거 수집 에이전트(200)로 전달한다.
증거 수집 에이전트(200)는 보안 제공 장치(100)와 증거 수집 대상 장치(300)의 중계자 역할을 수행한다. 즉, 증거 수집 에이전트(200)는 보안 제공 장치(100)로부터 증거 수집 요청을 전달받으면, 증거 수집 요청에 대응하는 증거 데이터를 증거 수집 대상 장치(300)로부터 전달받는다.
보안 제공 장치(100)는 S210 단계의 요청에 대응하는 증거 데이터를 수신한다(S220).
보안 제공 장치(100)는 S220 단계에서 수신한 증거 데이터를 증거 데이터에 대응하는 토큰을 이용하여 검증한다(S230).
보안 제공 장치(100)는 검증된 증거 데이터를 통해 증거 분석 데이터를 생성한다(S240).
보안 제공 장치(100)는 S240 단계에서 생성한 증거 분석 데이터를 증거 분석 데이터에 대응하는 토큰을 이용하여 검증한다(S250).
이와 같이, 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 보안 제공 방법은 증거를 수집하는 과정 및 수집한 증거를 분석하는 과정으로 나눠서 설명할 수 있다.
다음, 원격 디지털 포렌식 환경에서 증거를 수집하는 과정 및 수집한 증거를 분석하는 과정을 도 3 및 도 4를 참조하여 상세하게 설명한다.
도 3은 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 증거를 수집하는 과정을 나타내는 도면이다.
도 3을 참고하면, 원격 디지털 포렌식 환경에서 증거 수집 대상 장치(300)의 증거를 수집하기 위해서는 보안 제공 장치(100) 및 증거 수집 에이전트(200)가 필요하다. 여기서, 보안 제공 장치(100)는 증거 수집부(110), 증거 관리부(120) 및 증거 제어부(130)를 포함하며, 이에 한정되지 않는다.
먼저, 증거 제어부(130)는 증거 수집을 위하여 증거 수집부(110)와 상호 인증을 수행(S301)함으로써, 안전한 통신 채널을 보장할 수 있다.
증거 제어부(130)는 증거 제어부(130)에 의해 작성된 대상 시스템 정보 즉, 증거 수집 대상 장치(300)의 정보, 사전에 결정한 증거 종류와 증거 수집 방법(예를 들어, 증거 포맷, 압축 방법, 무결성 방법, 암호화 방법 및 암호화 키 등), 수집 허용 정보, 증거 수집 기간 등을 포함하는 증거 수집 토큰(이하 "토큰"라고도 함)을 발행한다(S302). 여기서, 증거 수집 토큰이 포함하는 암호화 키는 증거 수집 에이전트(200) 만이 열람할 수 있도록 사전에 협의된 키 값으로, 암호화 하거나 증거 수집 에이전트(200)의 공개키로 암호화하여 처리한다.
증거 제어부(130)는 증거 수집 대상 장치(300)를 통해 필요한 증거 종류와 증거 수집 방법을 결정하고, 결정한 것을 토대로 증거 수집 요청을 증거 수집부(110)로 전달한다(S303). 이때, 증거 제어부(130)는 S302 단계에서 발행한 증거 수집 토큰을 증거 수집부(110)로 전달한다.
증거 수집부(110)는 증거 수집을 위하여 증거 수집 에이전트(200)와 상호 인증을 수행(S304)함으로써, 안전한 통신 채널을 보장할 수 있다.
증거 수집부(110)는 S303 단계에서 수신한 증거 수집 요청을 증거 수집 에이전트(200)에 전달한다(S305). 이때, 증거 수집부(110)는 S302 단계에서 발행한 증거 수집 토큰도 함께 증거 수집 에이전트(200)에 전달한다.
증거 수집 에이전트(200)는 증거 수집 요청에 대응하는 토큰을 검증한다(S306). 여기서, 토큰이 포함하는 암호화 키는 증거 수집 에이전트(200) 만이 열람할 수 있도록 사전에 협의된 키 값으로, 암호화 하거나 증거 수집 에이전트(200)의 공개키로 암호화하여 처리한다. 또한, 증거 수집 에이전트(200)는 토큰의 서명값을 이용하여 증거 제어부(130)에 해당하는 서명값인지 확인하고, 토큰의 수집 허용 정보가 인증한 증거 수집부(110)의 인증 허용 정보와 동일한지를 확인하며 증거 수집 기간이 유효한지 확인한다.
다음, 증거 수집 에이전트(200)는 포맷 처리, 압축 처리, 무결성 처리, 암호화 처리를 통해 증거 데이터를 생성한다(S307). 증거 수집 에이전트(200)는 생성한 증거 데이터를 서명하여 증거 수집부(110)로 전달한다(S308).
증거 수집부(110)는 증거 수집 요청(S305)에 대응하는 증거 데이터를 전달받고, 전달받은 증거 데이터의 서명값을 검증하여 정상적으로 수집되었을 경우 증거 데이터에 서명을 한다(S309).
증거 관리부(120)는 증거 수집부(110)에서 수집한 증거 데이터 관리를 위하여, 증거 수집부(110)와 상호 인증을 수행(S310)함으로써, 안전한 통신 채널을 보장할 수 있다.
증거 수집부(110)는 S310 단계와 같이 상호 인증이 완료되면, S309 단계에서 서명한 증거 데이터를 증거 관리부(120)로 전달한다(S311). 이때, 증거 수집부(110)는 서명한 증거 데이터뿐만 아니라 S303 단계에서 증거 제어부(130)로부터 전달받은 토큰을 전달한다.
증거 관리부(120)는 증거 수집부(110)로부터 전달받은 증거 데이터에 대응하는 토큰의 서명값을 이용하여 증거 제어부(130)에서 발행한 토큰의 서명값인지를 확인함으로써 토큰을 검증하고, 토큰의 수집 허용 정보가 인증한 증거 수집부(110)의 인증 허용 정보와 동일한지를 확인함으로써, 증거 데이터를 검증한다(S312). 또한, 증거 관리부(120)는 검증한 증거 데이터를 저장하고, 저장이 완료된 것을 증거 수집부(110)로 통보한다(S313).
그러면, 증거 수집부(110)는 저장 완료 통보에 대응하게 증거 수집이 완료 된 것을 증거 제어부(130)로 통보한다(S314).
도 4는 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 수집한 증거를 분석하는 과정을 나타내는 도면이다.
도 4를 참고하면, 원격 디지털 포렌식 환경에서 증거 수집 대상 장치(300)에서 수집한 증거를 분석하기 위해서는 증거 수집부(110), 증거 관리부(120) 및 증거 분석부(140)라 필요하다.
먼저, 증거 제어부(130)는 수집한 증거 데이터 중에서 분석이 필요한 증거 데이터와 이에 해당하는 증거 분석 방법을 결정하고, 증거 분석을 수행할 증거 분석부(140)를 지정한다.
증거 제어부(130)는 증거 분석을 위하여 앞에서 지정한 증거 분석부(140)와 상호 인증을 수행(S401)함으로써, 안전한 통신 채널을 보장할 수 있다.
증거 제어부(130)는 증거 제어부(130)에 의해 작성된 증거 데이터 정보, 사전에 결정한 증거 분석 방법(예를 들어, 분석 데이터 포맷, 압축 방법, 무결성 방법, 암호화 방법 및 암호화 키), 증거 분석부(140)의 분석 허용 정보, 증거 분석 기간, 증거 데이터 복화화 방법 및 복호화 키 등의 정보를 포함하는 증거 분석 토큰(이하 "토큰"라고도 함)을 발행한다(S402). 여기서, 토큰이 포함하는 암호화 키와 복호화 키는 증거 분석부(140)만이 열람할 수 있도록 사전에 협의된 값으로, 암호화하거나 증거 분석부(140)의 공개키로 암호화하여 처리한다.
증거 제어부(130)는 증거 분석부(140)에 증거 분석 지시를 한다(S403). 또한, 증거 제어부(130)는 S402 단계에서 발행한 증거 분석 토큰도 함께 증거 분석부(140)에 전달한다.
증거 분석부(140)는 S403 단계의 증거 분석 지시에 따라 증거 분석을 위하여 증거 관리부(120)와 상호 인증을 수행(S404)함으로써, 안전한 통신 채널을 보장할 수 있다.
증거 분석부(140)는 S403 단계의 증거 분석 지시를 수행하는데 필요한 증거 데이터를 증거 관리부(120)에 요청한다(S405). 이때, 증거 분석부(140)는 증거 분석 지시를 수신하면서 전달받은 증거 분석 토큰도 함께 증거 관리부(120)에 전달한다.
증거 관리부(120)는 증거 데이터 요청과 함께 받은 증거 분석 토큰을 검증한다(S406). 증거 관리부(120)는 증거 분석 토큰을 검증한 결과를 토대로 증거 데이터를 증거 분석부(140)로 전달한다(S407). 이때, 증거 분석부(140)는 증거 데이터뿐만 아니라 증거 분석 토큰도 함께 증거 분석부(140)로 전달한다.
증거 분석부(140)는 토큰의 증거 데이터 복호화 방법 및 복호화 키를 통해 전달받은 증거 데이터를 분석하고, 토큰의 증거 분석 방법을 이용하여 증거 분석 데이터를 생성한다(S408).
증거 분석부(140)는 S408 단계에서 생성한 증거 분석 데이터를 증거 관리부(120)로 전송한다(S409). 이때, 증거 분석부(140)는 증거 분석 데이터뿐만 아니라 증거 분석 토큰도 함께 전송한다.
증거 관리부(120)는 전달받은 증거 분석 데이터와 함께 전달받은 증거 분석 토큰의 서명값을 이용하여 증거 제어부(130)에 해당하는 서명값인지 확인함으로써 토큰을 검증한다(S410). 또한, 증거 관리부(120)는 증거 분석 토큰의 분석 허용 정보가 인증한 증거 분석부(140)의 분석 허용 정보와 동일한지를 확인함으로써, 분석 데이터를 검증 및 저장한다(S411).
증거 관리부(120)는 S411 단계에서 분석 데이터가 저장되었음을 증거 분석부(140)로 전달한다(S412). 그러면, 증거 분석부(140)는 증거 분석이 완료되었음을 증거 제어부(130)로 통보한다(S413).
다음, 토큰의 구성을 도 5를 참조하여 상세하게 설명한다.
도 5는 본 발명의 실시예에 따른 토큰의 구성을 나타내는 도면이다.
도 5를 참고하면, 토큰은 토큰을 식별하기 위하여 다른 토큰과 중복되지 않는 "일련번호", 토큰을 발행한 주체(예를 들어, 증거 제어부(130))의 "발행자 식별정보"와 토큰을 수신하여 검증하는 주체(예를 들어, 증거 수집 에이전트(200) 및 증거 관리부(120))의 식별정보에 해당하는 "수신 대상 식별정보", 토큰을 발급 받아 활용할 주체(예를 들어, 증거 수집부(110) 및 증거 분석부(140))의 식별정보에 해당하는 "요청자 식별정보"를 포함한다.
발행자 식별정보는 토큰을 수신한 증거 수집 에이전트(200) 도는 증거 관리부(120)가 사전에 인증된 증거 제어부(130)에 의해 생성된 토큰인지 검증하는 과정에서 사용되는 정보이다.
수신 대상 식별정보는 토큰을 수신한 증거 수집 에이전트(200) 또는 증거 관리부(120) 자신의 식별정보와 비교하여 토큰이 자신에 의해 처리되는 토큰인지 유효성을 검증하는 과정에서 사용되는 정보이다
요청자 식별정보는 토큰을 전달한 증거 수집부(110) 또는 증거 분석부(140)의 식별정보와 비교하여 해당 사용자에 의해 전달될 수 있는 토큰인지 유효성을 검증하는 과정에서 사용되는 정보이다.
본 발명의 실시예에 따른 토큰에서는 발행자 식별정보, 수신 대상 식별정보 및 요청자 식별 정보를 통해 토큰이 누구에 의해 발행되었는지, 누구에 의해 활용될 것인지, 누구에게 수신될 것인지 통큰에 명시된 사용자만이 활용될 수 있도록 제한한다.
또한, 본 발명의 실시예에 따른 토큰에서는 토큰 자체의 유효성을 판단하기 위하여 토큰을 발행한 "유효 개시시간"과 "유효 만기시간"을 포함하여 토큰이 활용될 수 있는 기간을 명시한다. 이와 같은 토큰을 수신하여 유효성을 검증하는 증거 수집 에이전트(200) 또는 증거 관리부(120)는 토큰이 유효한 기간(유효 개시시간부터 유효 만기시간까지에 해당.)에 있는지 판단하여 증거 처리를 수행할 지 여부를 결정한다.
또한, 토큰은 토큰의 용도를 제한하기 위하여 "수집" 또는 "분석"으로 표시하며, 토큰이 발행된 근거를 표시하기 위하여 증거 수집 및 분석 대상이 되는 사건의 식별정보인 "사건 식별정보"를 포함한다.
본 발명의 실시예에 따른 토큰에서는 증거 수집 에이전트(200)에 의해 생성되는 증거 데이터 또는 증거 분석부(140)에 의해 생성되는 증거 분석 데이터의 처리과정을 위하여 "데이터 압축 관련 정보(사용 알고리즘)"및 " 데이터 암호화 관련 정보 (암호화, 해시, 서명 알고리즘)"을 포함한다.
본 발명의 실시예에 따른 토큰의 용도가 수집일 경우에는 수집된 증거 데이터를 암호화하기 위한 "증거 데이터 암호화 키" 만을 포함하며, 토큰의 용도가 분석일 경우에는 증거 분석 데이터를 암호화하기 위한 "증거 데이터 암호화 키"와 증거 관리부(120)로부터 제공 받을 암호화된 증거 데이터를 복호화 할 수 있는 "분석 데이터 암호화 키"를 포함한다.
암/복호화에 사용되는 키는 수신대상과 공유한 비밀키 또는 수신대상 공개키로 암호화하여 포함한다. 수집된 증거 데이터와 증거 분석 데이터의 경우 사용자의 사생활 정보 등 정보 노출에 민감한 정보들이 포함될 수 있으므로, 내/외부 위협원들로부터 정보 노출을 방지하기 암호화를 수행하며, 암호화에 사용되는 키 값의 경우 수집된 증거 데이터와 증거 분석 데이터를 생성하는 주체(예를 들어, 증거 수집 에이전트(200)와 증거 분석부(140))와 증거 제어부(130)만이 알 수 있는 값으로 하며, 키 전달 시 생성하는 주체만이 알 수 있도록 미리 협상된 키 값 또는 주체의 공개키로 전달 되는 키를 암호화하여 전달한다. 증거 제어부(130)는 암호화 처리가 된 수집된 증거 데이터와 증거 분석 데이터의 키를 알고 있으므로, 해당 데이터를 분석, 열람 등의 목적으로 필요로 하는 주체가 있을 경우 해당 주체를 인증하여 복호화 할 수 있는 키를 제공하여 요청한 주체만이 데이터를 복호화할 수 있도록 제한할 수 있다.
마지막으로, 토큰 자체의 무결성을 보장하고 증거 제어부(130)에 의해 발행된 토큰임을 부인방지하기 위해 토큰의 "해시 정보(해시 알고리즘, 해시 값)"와 해시 값에 증거 제어부(130)가 서명한 "발행자 서명 정보(서명 알고리즘, 서명 값)"를 포함한다.
다음, 증거 수집 에이전트(200)에 의해 생성된 증거 데이터 즉, 증거 수집부(110)에서 수집한 증거 데이터(이하 "수집 증거 데이터"라고도 함)를 도 6을 참조하여 상세하게 설명한다.
도 6은 본 발명의 실시예에 따른 수집 증거 데이터의 구성을 나타내는 도면이다.
도 6을 참고하면, 수집 증거 데이터는 파일 시그네이쳐, 증거 데이터 구조의 버전, 수집한 증거 데이터의 타입, 증거 데이터의 사이즈 정보를 포함한다. 또한, 수집 증거 데이터는 증거 데이터의 무결성과 생성 부인방지를 위하여, 해시 정보 예를 들어, 해시 알고리즘, 해시 값을 포함하며, 증거 수집부(110)에 의해 증거 관리부(120)에 전달 되기 전 수신 부인 방지를 위해 생성자와 요청자의 서명 정보(예를 들어, 서명 알고리즘, 서명값)를 포함한다.
다음, 증거 관리부(120)에 의해 제공되는 증거 데이터(이하 "제공 증거 데이터"라고도 함)를 도 7을 참조하여 상세하게 설명한다.
도 7은 본 발명의 실시예에 따른 제공 증거 데이터의 구성을 나타내는 도면이다.
도 7을 참고하면, 제공 증거 데이터는 증거 분석부(140)가 증거 데이터 요청 시 활용되는 토큰 정보, 증거 데이터의 생성과 관련된 사건 식별 정보, 증거 데이터 식별 정보 등을 포함하며, 제공될 증거 데이터 자체를 포함한다. 또한, 수집 증거 데이터는 제공 증거 데이터의 무결성과 부인방지를 위하여 제공 증거 데이터의 해시 정보와 증거 데이터 생성자의 서명정보를 포함한다.
다음, 증거 분석부(140)에 의해 생성되는 증거 분석 데이터를 도 8을 참조하여 상세하게 설명한다.
도 8은 본 발명의 실시예에 따른 증거 분석 데이터의 구성을 나타내는 도면이다.
도 8을 참고하면, 증거 분석 데이터는 분석에 활용되는 토큰 정보(예를 들어, 토큰 일련번호), 증거 분석 데이터를 제공한 제공자의 식별정보, 증거 분석 데이터 생성과 관련된 사건 식별번호, 증거 분석 데이터 식별 번호 등을 포함한다. 또한, 증거 분석 데이터는 제공될 증거 분석 데이터 자체를 포함하며, 증거 분석 데이터의 무결성과 부인방지를 위하여 증거 분석 데이터의 해시 정보와 분석자의 서명 정모를 포함한다.
이와 같이, 본 발명의 실시예에 따른 원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법은 원격 디지털 포렌식 환경에서 대상 기기 및 대상 시스템으로부터 디지털 증거를 수집 및 분석 시 발생할 수 있는 보안 위협에 대응하고, 민감한 정보의 처리를 통제할 수 있도록, 수집되는 증거 데이터를 보호하고, 증거 데이터의 접근을 통제함으로써 보다 효과적으로 증거 데이터 및 분석 데이터의 보안성을 높일 수 있다.
이상에서와 같이 도면과 명세서에서 최적의 실시예가 개시되었다. 여기서 특정한 용어들이 사용되었으나, 이는 단지 본 발명을 설명하기 위한 목적에서 사용된 것이지 의미 한정이나 특허청구범위에 기재된 본 발명의 범위를 제한하기 위하여 사용된 것은 아니다. 그러므로, 본 기술 분야의 통상의 지식을 가진자라면 이로부터 다양한 변형 및 균등한 타 실시예가 가능하다는 점을 이해할 것이다. 따라서, 본 발명의 진정한 기술적 보호범위는 첨부된 특허청구범위의 기술적 사상에 의해 정해져야 할 것이다.

Claims (12)

  1. 원격 디지털 포렌식 환경에서 보안 제공 장치가 증거 수집 에이전트로 증거 수집 대상 장치의 증거 수집 요청을 하는 단계;
    상기 증거 수집 요청에 대응하는 증거 데이터를 상기 증거 수집 에이전트로부터 수집하는 단계;
    상기 증거 수집 에이전트로부터 수집한 상기 증거 데이터의 서명값을 토대로 상기 증거 데이터를 검증하는 단계;
    검증된 증거 데이터를 토대로 증거 분석 데이터를 생성하는 단계;
    상기 증거 분석 데이터의 서명값을 토대로 상기 증거 분석 데이터를 검증하는 단계; 및
    상기 증거 분석 데이터를 검증한 결과를 토대로 상기 증거 수집 대상 장치의 보안성을 제공하는 단계
    를 포함하는 보안 제공 방법.
  2. 청구항 1에 있어서,
    상기 증거 수집 요청을 하는 단계 이전에
    상기 증거 수집 에이전트와 상호 인증을 수행하는 것을 특징으로 하는 보안 제공 방법.
  3. 청구항 1에 있어서,
    상기 증거 분석 데이터를 생성하는 단계는
    검증된 증거 데이터에 대응하는 증거 분석 토큰의 증거 분석 방법을 이용하여 상기 증거 분석 데이터를 생성하는 것을 특징으로 하는 보안 제공 방법.
  4. 청구항 3에 있어서,
    상기 증거 분석 토큰은
    상기 증거 데이터의 정보, 사전에 설정한 증거 분석 방법, 증거 분석 기간, 증거 데이터의 복호화 방법, 복호화 키를 포함하는 것을 특징으로 하는 보안 제공 방법.
  5. 청구항 1에 있어서,
    상기 증거 데이터를 검증하는 단계는
    상기 증거 수집 에이전트로부터 상기 증거 데이터와 같이 수신한 증거 수집 토큰을 검증하는 단계를 더 포함하는 것을 특징으로 하는 보안 제공 방법.
  6. 청구항 5에 있어서,
    상기 증거 수집 토큰은
    상기 증거 수집 대상 장치의 정보, 사전에 설정한 증거의 종류와 증거 수집 방법, 수집 허용 정보, 증거 수집 기간을 포함하는 것을 특징으로 하는 보안 제공 방법.
  7. 원격 디지털 포렌식 환경에서 증거 수집 에이전트로 증거 수집 대상 장치의 증거 수집 요청을 하고, 상기 증거 수집 요청에 대응하는 증거 데이터를 수집하는 증거 수집부;
    상기 증거 수집 에이전트로부터 수집한 상기 증거 데이터의 서명값을 토대로 상기 증거 데이터를 검증하는 증거 관리부;
    상기 증거 관리부에서 검증된 증거 데이터를 토대로 증거 분석 데이터를 생성하고, 상기 증거 분석 데이터의 서명값을 토대로 상기 증거 분석 데이터를 검증하는 증거 분석부; 및
    상기 증거 분석부에서 상기 증거 분석 데이터를 검증한 결과를 토대로 상기 증거 수집 대상 장치의 보안성을 제공하는 증거 제어부
    를 포함하는 보안 제공 장치.
  8. 청구항 7에 있어서,
    상기 증거 수집부에서 상기 증거 수집 에이전트로 증거 수집 요청을 하기 이전에, 상기 증거 수집부와 상기 증거 수집 에이전트 간의 상호인증을 수행하는 것을 특징으로 하는 보안 제공 장치.
  9. 청구항 7에 있어서,
    상기 증거 분석부는
    검증된 증거 데이터에 대응하는 증거 분석 토큰의 증거 분석 방법을 이용하여 상기 증거 분석 데이터를 생성하는 것을 특징으로 하는 보안 제공 장치.
  10. 청구항 9에 있어서,
    상기 증거 분석 토큰은
    상기 증거 데이터의 정보, 사전에 설정한 증거 분석 방법, 증거 분석 기간, 증거 데이터의 복호화 방법, 복호화 키를 포함하는 것을 특징으로 하는 보안 제공 장치.
  11. 청구항 7에 있어서,
    상기 증거 분석부는
    상기 증거 데이터와 같이 수신한 증거 수집 토큰을 검증하는 것을 특징으로 하는 보안 제공 장치.
  12. 청구항 11에 있어서,
    상기 증거 수집 토큰은
    상기 증거 수집 대상 장치의 정보, 사전에 설정한 증거의 종류와 증거 수집 방법, 수집 허용 정보, 증거 수집 기간을 포함하는 것을 특징으로 하는 보안 제공 장치.
PCT/KR2013/010837 2013-05-30 2013-11-27 원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법 WO2014193058A1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/889,988 US9734346B2 (en) 2013-05-30 2013-11-27 Device and method for providing security in remote digital forensic environment

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR1020130061425A KR101496318B1 (ko) 2013-05-30 2013-05-30 원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법
KR10-2013-0061425 2013-05-30

Publications (1)

Publication Number Publication Date
WO2014193058A1 true WO2014193058A1 (ko) 2014-12-04

Family

ID=51989049

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2013/010837 WO2014193058A1 (ko) 2013-05-30 2013-11-27 원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법

Country Status (3)

Country Link
US (1) US9734346B2 (ko)
KR (1) KR101496318B1 (ko)
WO (1) WO2014193058A1 (ko)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016011506A1 (en) * 2014-07-24 2016-01-28 Schatz Forensic Pty Ltd System and method for simultaneous forensic acquisition, examination and analysis of a computer readable medium at wire speed
US10657262B1 (en) 2014-09-28 2020-05-19 Red Balloon Security, Inc. Method and apparatus for securing embedded device firmware
US9888031B2 (en) * 2014-11-19 2018-02-06 Cyber Secdo Ltd. System and method thereof for identifying and responding to security incidents based on preemptive forensics
US10217498B2 (en) 2016-09-12 2019-02-26 Qualcomm Incorporated Techniques for preventing tampering with PROM settings
US10546133B2 (en) * 2017-06-12 2020-01-28 The Travelers Indemnity Company Digital forensics system
KR102112581B1 (ko) * 2018-11-06 2020-05-19 엘에스웨어(주) 드론 포렌식을 이용한 사고 원인 분석 방법 및 장치
CA3089711A1 (en) * 2019-08-12 2021-02-12 Magnet Forensics Inc. Systems and methods for cloud-based management of digital forensic evidence

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008156328A2 (en) * 2007-06-21 2008-12-24 Ubitas Co., Ltd. Digital forensic system and method
US20090150998A1 (en) * 2003-06-23 2009-06-11 Architecture Technology Corporation Remote collection of computer forensic evidence
KR20090064699A (ko) * 2007-12-17 2009-06-22 한국전자통신연구원 증거 수사를 위한 디지털 포렌식 서버 및 그 방법
KR100987064B1 (ko) * 2009-09-11 2010-10-11 유앤아이비즈니스솔루션 (주) 가상 환경을 이용한 디지털 포렌식 시스템 및 방법
KR20110070767A (ko) * 2009-12-18 2011-06-24 한국전자통신연구원 네트워크 기반 원격 포렌식 시스템

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7197143B2 (en) * 2002-01-18 2007-03-27 The Johns Hopkins University Digital video authenticator
EP2092710B1 (en) * 2006-10-23 2013-03-20 Evidence Talks Limited System and method for remote forensic access
GB0816556D0 (en) * 2008-09-10 2008-10-15 Univ Napier Improvements in or relating to digital forensics
US8959353B2 (en) * 2009-03-31 2015-02-17 Topaz Systems, Inc. Distributed system for multi-function secure verifiable signer authentication
KR101078288B1 (ko) * 2009-08-21 2011-10-31 한국전자통신연구원 증거 수집 방법 및 장치
KR101293605B1 (ko) 2009-08-27 2013-08-13 한국전자통신연구원 증거 데이터 수집 장치 및 그 방법
US20110153748A1 (en) * 2009-12-18 2011-06-23 Electronics And Telecommunications Research Institute Remote forensics system based on network
US8938157B2 (en) * 2010-02-23 2015-01-20 City University Of Hong Kong Digital chip and method of operation thereof
KR101407060B1 (ko) 2010-10-27 2014-06-13 한국전자통신연구원 인터넷을 통해 수집한 데이터의 분석과 증거화 방법 및 이를 이용한 데이터 분석과 증거화 시스템

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090150998A1 (en) * 2003-06-23 2009-06-11 Architecture Technology Corporation Remote collection of computer forensic evidence
WO2008156328A2 (en) * 2007-06-21 2008-12-24 Ubitas Co., Ltd. Digital forensic system and method
KR20090064699A (ko) * 2007-12-17 2009-06-22 한국전자통신연구원 증거 수사를 위한 디지털 포렌식 서버 및 그 방법
KR100987064B1 (ko) * 2009-09-11 2010-10-11 유앤아이비즈니스솔루션 (주) 가상 환경을 이용한 디지털 포렌식 시스템 및 방법
KR20110070767A (ko) * 2009-12-18 2011-06-24 한국전자통신연구원 네트워크 기반 원격 포렌식 시스템

Also Published As

Publication number Publication date
US9734346B2 (en) 2017-08-15
KR101496318B1 (ko) 2015-03-03
US20160078240A1 (en) 2016-03-17
KR20140140717A (ko) 2014-12-10

Similar Documents

Publication Publication Date Title
WO2014193058A1 (ko) 원격 디지털 포렌식 환경에서 보안 제공 장치 및 그 방법
WO2018012747A1 (ko) 앱 위변조 탐지 가능한 2채널 인증 대행 시스템 및 그 방법
WO2018124857A1 (ko) 블록체인 기반의 모바일 아이디를 이용하여 사용자를 비대면 인증하는 방법, 단말 및 이를 이용한 서버
WO2018101727A1 (ko) 인증프로세스의 단계분할과 생체인증을 접목한 개인정보침해 방어 방법 및 시스템
JP3779837B2 (ja) コンピュータ及びプログラム記録媒体
WO2017119564A1 (ko) 본인인증용 정보 보안 전송시스템 및 방법
WO2014175538A1 (ko) Puf 기반 하드웨어 otp 제공 장치 및 이를 이용한 2-factor 인증 방법
WO2012046907A1 (ko) 프라이버시 보호를 위한 영상 보호처리 장치와, 그를 이용한 영상 보안 시스템 및 그 방법
KR100783446B1 (ko) 유에스비 디바이스를 이용한 데이터 보안 시스템, 장치 및방법
WO2013012120A1 (ko) 생체이미지 정보를 포함하는 일회용 비밀번호를 이용한 인증방법 및 장치
WO2020013381A1 (ko) 온라인 월렛 장치 및 이의 생성과 검증 방법
WO2012067371A1 (ko) 능동형 보안 인증 제공 방법, 이를 지원하는 단말기 및 시스템
WO2010087678A2 (ko) 클립보드 보안 시스템 및 방법
RU2003118755A (ru) Способы создания, системы и архитектуры защищеннх медиаканалов
WO2018056601A1 (ko) 콘텐츠 파일 접근 제어를 이용한 랜섬웨어 차단 장치 및 차단 방법
WO2012053817A2 (ko) 바코드를 이용한 발급문서 진위확인 방법 및 장치
EP2732399A2 (en) Method and apparatus for using non-volatile storage device
WO2020034527A1 (zh) 用户个人信息加密授权方法、装置、设备及可读存储介质
WO2019088688A1 (ko) 블록체인기술을 이용한 컨텐츠 유통 관리 시스템 및 방법
WO2015069028A1 (ko) 이동통신단말기를 이용한 다채널 인증과 금융 이체 방법 및 시스템
CN104104650A (zh) 数据文件访问方法及终端设备
WO2020190099A1 (en) Electronic device for managing personal information and operating method thereof
JP2003173381A5 (ko)
WO2019103443A1 (en) Method, apparatus and system for managing electronic fingerprint of electronic file
WO2018216991A1 (ko) 다중 사용자의 인증요소를 조합하여 보안키를 생성하는 보안인증방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13885560

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14889988

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13885560

Country of ref document: EP

Kind code of ref document: A1