iOS 포렌식 분석 (아이폰 아이패드 아이팟 터치에 대한 과학수사 기법)

Sean Morrissey

저자 Sean Morrissey은 현재 연방 기관에서 컴퓨터 및 모바일 포렌식 분석가로 활동하고 있으며, Digital Forensics 매거진의 편집자로도 기여하고 있다. Sean은 아내인 Dawn과 23년간 결혼생활을 해오고 있고, 미군인 아들 Robert를 두고 있다. Sean은 Creighton 대학교를 졸업했고, 이후의 칼리지에서는 미군 장교였다. 병역 생활 후에, Sean은 그가 Maryland에서 경찰관과 보안관보였을 때 맡았던 법 집행 분야로 직장을 옮겼다. 법 집행관으로서의 생활 후에 교육은 Sean의 발전에 중요한 부분이 되었다. Sean은 아프리카에서 군사 교육자였으며, Defense Cyber Crime Center에서 강사를 했다. 이 때 Sean은 Certified Digital Media Colletor(CDMC)와 Certified Digital Forensic Examiner(CDFE)에서 인증서를 받았으며, Mac OS X, iPod, and iPhone Forensic Analysis (Syngress, 2008)라는 책의 주요 필자로 참여했다. Sean은 또한 고가의 툴들에 대한 접근 권한이 없었던 부서들의 법 집행 책임자로서 Katana Forensics를 설립했다. Katana는 법 집행의 모든 단계에서 사용할 수 있는 포렌식 툴들을 만들어내기 위해 만들어졌다.

CHAPTER 1 : Apple 휴대 기기의 역사 1

iPod 2
iPhone의 진화 3
ROCKR 3
iPhone 2G 4
iPhone 3G 6
The 3G[S] iPhone 7
iPhone 4 8
The Apple iPad 9
iPhone과 iPad 하드웨어 10
2G iPhone의 내부 10
3G iPhone의 내부 14
iPhone 3G[S]의 내부 15
iPhone 4의 내부 17
iPad의 내부 18
The Apple App Store 21
증가하는 iPhone 해커들 24
요약 25

CHAPTER 2 : iOS 운영 시스템과 파일 시스템 분석 27

iOS 기능의 변화 27
iOS 버전 1 28
iOS 버전 2 29
iOS 버전3 31
iOS 버전 4 32
애플리케이션 개발 34
The iOS 파일 시스템 36
HFS+ 파일 시스템 36
HFSX 39
iPhone 파티션과 볼륨 정보 40
운영체제 파티션 44
iOS 시스템 파티션 45
iOS 데이터 파티션 48
SQLite 데이터 베이스 51
전화번호부 데이터베이스 51
문자 메세지 데이타베이스 52
통화 목록 데이타베이스 52
데이터베이스의 구동 53
SQLite 데이터베이스 검색 55
속성 목록 63
속성 목록 정보 보기 65
요약 69

CHAPTER 3 : 수색, 압류 및 사건 대응 71

미 헌법 제 4 수정안 72
휴대폰을 통한 개인 추적 73
합리적인 체포를 위한 휴
대폰 수색 74
변화되는 기술과 Apple iPhone 75
Apple Device에 대한 대응 77
기기 격리 81
비밀번호 잠금 83
탈옥된 iPhone 식별 85
iPhone의 정보 수집 86
iPhone이 연결된 Mac/Windows에 대한 대응 89
요약 90
출처 90

CHAPTER 4 : iPhone 데이터 수집 93

iPhone, iPod, iPad로부터 데이터 수집 93
Mdhelper를 이용한 iPhone의 데이터 수집 94
사용 가능한 툴과 소프트웨어 99
Lantern 99
Susteen Secure View 2 119
Paraben Device Seizure 127
Oxygen Forensic Suite 2010 131
Cellebrite 144
툴의 비교 149
주의할 사항 149
Paraben Device Seizure 수행결과 150
Oxygen Forensic Suite 2010 수행 결과 150
Cellebrite 수행 결과 151
Susteen Secure View 2 수행 결과 151
Katana Forensics Lantern 수행 결과 151
지원 이슈 152
요약 152

CHAPTER 5 : 데이터 분석 153

포렌식을 위한 환경 구축 153
Library 영역 159
주소록(AddressBook) 160
캐시 163
통화 내역 165
설정 프로파일 168
쿠키(Cookies) 168
키보드 170
로그 172
지도 174
Map History 175
노트 176
설정 176
사파리 177
접속 유지 상태의 웹페이지(SuspendedState) 179
SMS와 MMS 181
음성메일 183
웹클립 184
웹킷 185
시스템 설정 데이터 188
미디어 영역 190
미디어 디렉터리 191
Photos.sqlite 데이터베이스 196
PhotosAux.sqlite 데이터베이스 196
Recordings 디렉터리 197
아이포토 사진들 197
멀티미디어 199
타사 응용 프로그램들 200
소셜 네트워킹 애플리케이션 분석 200
Skype 201
Facebook 204
AOL AIM 205
LinkedIn 206
Twitter 207
MySpace 207
Google Voice 208
Craigslist 213
Analytics 214
iDisk 215
Google Mobile 216
Opera 217
Bing 217
문서 파일 218
포렌식을 어렵게 만드는 애플리케이션 221
이미지보호 애플리케이션 222
Picture Safe 222
Picture Vault 224
Incognito 웹브라우저 225
Invisible 웹 브라우저 226
tigertext 226
탈옥 232
요약 232

CHAPTER 6 : Mac과 Windows 컴퓨터에 잠재된 증거물 233

Mac에서 발견 가능한 증거물 233
Property List 234
MobileSync 데이터베이스 235
백업 파일을 차츰 변화시켜온 애플 235
잠금 인증서 237
Windows에서 발견 가능한 증거물 238
iPodDevices.xml 238
MobileSync 백업 파일 240
잠금 인증서 240
iDevice 백업 분석 240
iPhone Backup Extractor 241
JuicePhone 243
mdhelper 244
Oxygen Forensics Suite 2010 246
Windows 포렌식 툴과 백업 파일 248
FTK Imager 249
FTK 1.8 249
Tips and Tricks 251
요약 253

CHAPTER 7 : GPS 분석 255

지도 애플리케이션 255
이미지 및 비디오의 위치 정보 태그 지정 266
Cell Tower Data 277
GeoHunter 284
내비게이션 애플리케이션 289
Navigon 289
Tom Tom 293
요약 294

CHAPTER 8 : 매체 추출 295

디지털 저작권 관리는 무엇인가? 296
DRM의 법적 요소 296
주요 사례 : iPhone의 탈옥 299
주요 사례 : Apple과 Psystar 301
주요 사례 : 온라인 음원 다운로드 302
주요 사례 : Sony BMG 사건 303
DRM의 미래 304
매체 추출 305
매체 추출 도구 305
이미지 유효성 검사 315
요약 317
출처 319

CHAPTER 9 : 매체 추출 분석 321

매킨토시를 이용한 분석 321
메일 325
IMAP 326
POP 메일 327
Exchange 328
Carving 330
MacForensicsLab 330
Access Data사의 Forensic Toolkit 334
FTK 그리고 이미지 337
EnCase 345
Spyware 349
Mobile Spy 349
FlexiSpy 353
요약 354

CHAPTER 10 : 네트워크 분석 355

증거 관리의 고려 사항 356
네트워킹 101: 기초 357
Networking 201: 고급 주제 364
DHCP 364
무선 암호화 및 인증 366
포렌식 분석 367
네트워크 트래픽 분석 370
요약 376

iOS 포렌식 분석은 iPhone, iPod touch, iPad를 심층적으로 분석하는 과정을 담고 있다. 책에 설명된 방법 및 절차는 위의 기기들에 대한 포렌식 수사에서도 적용할 수 있는 유용한 정보이다. 이 책은 이전에 출판되지 않았던 iOS에 대한 정보와 급변하는 환경에서 발전하고 있는 IT 환경에 대한 분석이 가능할 수 있는 정보를 제공함으로써, 조사관 및 포렌식 전문가들이 증거를 수집하고 신뢰할 수 있는 정보를 추출할 수 있도록 도와준다.

이 책에서 알아 볼 내용:

- iPhone이나 iPad와 같은 iOS 기기들에 있는 통화 기록과 메시지 데이터를 수집 및 분석하는 방법과 그 툴들
- 탈옥(jail-breaking)과 디지털 저작권 관리의 합법적 효과
- Apple 모바일 기기의 GPS 데이터 수집 및 분석 방법
- E-mail과 네트워크 데이터를 분석하는 툴들
- iOS 포렌식 증거를 취급 및 보존하는 모범 사례들

이 책은 컴퓨터 포렌식 전문가, 법 집행, 변호사, 보안 전문가, 위와 같은 항목들에 관심이 있는 사람들, 그리고 교육자들을 위한 것이다. 또한 이 책은 컴퓨터 포렌식, 정보 보안, e-discovery 커뮤니티에 주된 관심사가 될 뿐만 아니라 포렌식 전문 훈련기관이나 교육기관에서도 이용될 수 있다.

지은이 머리말

이 책은 2007년 1월 iPhone 2G의 출시와 함께 시작되었다. 이 매력적인 엔지니어링 작품은 휴대폰 마켓에서 대성공을 거두었다. 그 이후 제조업체들은 스마트폰 시장에서 Apple을 꺾기 위해 할 수 있는 모든 것을 시도했다. Android가 선전하긴 했지만 Apple에 비해서 부족했던 것은 사실이다. Apple은 iPod으로 멀티미디어를 소비하는 방식을 변화시켰다. iPhone으로는 소통하고 휴대폰을 사용하는 방식을 변화시켰다. iPad는 또다른 변수가 될 수 있다. iPad는 넷북 판매량을 짓눌러버릴지도 모른다. 이러한 기기들의 인기가 상승하면서, 그것들은 점점 범죄 사건들에서 빠질 수 없는 항목이 되었다.

이 책은 이러한 기기들을 검사하는 방법을 하드웨어에서 소프트웨어까지에 걸쳐서 알려줄 것이다. 이러한 기기들에 대한 사건 대응에서부터 iDevice(iPhone, iPad, 또는 iPod)를 검사하는 데 도움을 주는 툴들까지, 또한 GPS에서부터 property lists까지의 포렌식의 모든 측면을 검사해볼 것이다. iPhone과 탈옥을 포함한 몇 가지의 법적인 의미를 알아볼 것이다. 이 책에서 볼 수 있듯이, 포렌식 규범은 유지되어야 하고, 언더그라운드 소스에서 파생된 방법들은 알고 있더라도 마지막 수단으로 사용해야 한다. 대부분의 침입에 대한 최소한의 침입 과정은 모바일 포렌식에서 중요하다는 것을 배울 것이다. 수사관들은 꼭 전통적인 포렌식에 얽매이지 않고도 휴대폰을 더 신속하게 검사하기 위해 끊임없이 노력하고 있다. 이 책은 논리적 공간에 거대한 양의 artifacts가 있을 수도 있다는 것을 보여줄 것이다. 즉시 휴대폰을 탈옥하는 것은 좋은 방법이 아니다. 곧 이러한 방법들이 파괴적이므로 사건 해결에 부정적일 수 있다는 것을 알 수 있을 것이다. 현재 이 기기들과 관련된 애플리케이션은 서드파티 Cydia 스토어의 애플리케이션을 제외하고 300,000개 이상이 존재한다. 이러한 애플리케이션 중 몇몇은 그렇게 보이지 않지만 매우 위험할 수도 있다. 수사관들은 서드파티 애플리케이션을 간과하는 경향이 있다. 이 책은 범죄를 해결하는 데에 도움을 줄 수 있는 aritifacts를 찾기 위한 적절한 애플리케이션을 알려줄 것이다.

이 책은 또한 artifact 검색이나 분석을 위한 전 형성에 도움을 줄 것이다. 분석을 위해 당신에게 한 개의 iPhone이 주어졌다면 어떻게 하겠는가? 이 책은 전략을 공식화 하는 데에 도움을 줄 것이고, 이러한 기기들에서 발견할 수 있는 데이터를 최대화시킬 것이다. 당신은 논리적 포렌직 틀들을 사용하고 있으며, 또한 당신은 저 수준의 장치에 접근하기 위해 아이폰을 해킹하거나 분석하고 있는가? 이러한 질문은 포렌식 분석가로서 증거에 대한 훼손으로부터 발생할 수 있는 다양한 가능성을 최소화 할 수 있도록 조언을 받아야 한다.

미래에 Apple이 어떤 제품을 내놓을 것인지밖에 추측할 수 없지만, 향후의 iDevice는 내부적으로 데이터 구조가 많이 달라지지는 않을 것이란 것은 확실하다. 그래서 iOS 포렌식에 대한 기초는 미래에 Apple에서 출시할 기기들을 분석하는 것에 도움이 된다. 이 책은 그러한 기초를 제공하여 당신이 어떠한 iDevice라도 분석하고 artifacts를 보고할 수 있게 할 것이다.

옮긴이의 글

이 책은 스마트폰 포렌식 분석에 관심이 있거나, 관련 분야의 업무 수행을 시작하려는 분들에게는 좋은 참고 서적이 될 것이다. 특별히 스마트폰 기기 중 많은 사용자들이 사용하고 있는 iPhone이나, iPad 등에 대한 분석 시 실질적인 도움이 되는 기술이나 방법에 대해서 소개하고 있다.

그간, 역자가 iOS 포렌식 서비스나, 스마트폰 모의 해킹 및 악성코드 분석 등의 업무를 수행하면서, 사용하던 방법과 툴들이 이 책에서는 아주 상세히 기록되어 있다. 특별히 해당 분야를 시작하는 사람들에게 스마트폰 포렌식 분야에 어떻게 접근해야 하는지 고민하는 사람들에게 적극 추천한다. 이 책을 읽고 해당 기술을 바탕으로 실무를 하게 된다면 훌륭한 포렌식 전문가가 될 수 있을 것이다.