모바일기기의 특수성으로 인한 예외적 원본 압수

​

형사소송법 제106조(압수) 3항에 따르면, 정보저장매체에 저장된 데이터를 범위를 정하여 출력하거나 복제하여 제출받아야 한다고 규정하고 있다. 정보저장매체는 수많은 프라이버시를 포함할 수 있으므로 해당 압수의 목적과 관련된 정보가 포함된 데이터만 검색(수색)하여 선별적으로 수집해야 한다는 것이 다. 즉, 선별적 압수를 해야 한다는 것이다. 하지만 현실적으로 이것이 불가능한 경우를 위해 3항은 다 음과 같은 항목도 포함하고 있다. ‘다만, 범위를 정하여 출력 또는 복제하는 방법이 불가능하거나 압수의 목적을 달성하기에 현저히 곤란하다고 인정되는 때에는 정보저장매체 등을 압수할 수 있다.’ 즉, 데이터 수집에 대한 과학적, 기술적 한계 등으로 해당 조사와 관련된 데이터를 검색(수색) 등이 불가능한 경우 에는 예외적 원본 압수를 허용한다는 것이다. 데스크톱과 노트북과 같이 메인보드에 보조기억장치인 HDD(Hard disk drive)나 SSD(Solid-sate drive)를 케이블을 통해 연결하는 컴퓨터 시스템은 첫째, 정보저장매체를 메인보드로부터 분리하고 둘째, 이것에 쓰기방지 장치를 연결한 후 셋째, 쓰기방지 장치가 연결된 정보저장매체와 디지털 포렌식 전용 시스템(파일 시스템과 운영체제 등의 데이터를 검색 및 분석할 수 있는 소프트웨어2)가 설치된)을 연결 한다. 넷째, 이 시스템에 설치된 디지털 포렌식 전용 소프트웨어를 통해 키워드 검색, 운영체제 아티팩트 분석 등을 통해 조사에 필요한 파일들을 검색하고 추출함으로써 선별적 압수를 수행한다. 하지만, 모바일 기기는 이와 다르다. 모바일 기기는 [그림 1]과 같은 SoC(System on Chip)으로 단일칩 내부에 AP(Application Processor), Flash Memory 등이 모두 포함되어 있다. 즉, [그림 2]와 같이 정보저장매체인 Flash Memory가 메인보드와 케이블로 연결된 것이 아니라 칩 자체에 부착된 것이다. 따라서 데스크톱이나 노트북처럼 HDD나 SSD를 분리하여 포렌식 시스템에 연결하여 내부 데이터 중에 서 조사와 관련된 데이터를 분석할 수 없다. 따라서 모바일 기기는 이러한 과학적, 기술적 한계점으로 인해 형사소송법 제106조(압수) 3항에 따라 예외적 원본 압수에 해당하며 디지털 포렌식 조사 현장에서 압수한 모바일기기는 수사기관의 연구실(또는 분석실)에서 이미징을 통해 데이터를 수집한다.

​

모바일기기의 데이터 수집 방법

​

모바일기기의 플래시 메모리로부터 데이터를 수집하는 방법은 크게 3가지가 있다. (2010년도 중반 이 후에 출시되는 모바일기기는 JTAG(Joint Test Action Group)포트 연결이 불가능하므로 JTAG을 이용한 데이터 수집 방법은 제외했다.) 1. Chip-off 후 데이터 수집: 칩셋에서 플래시 메모리를 물리적으로 분리하고 전용 리더기를 통해 플래 시 메모리의 데이터를 이미징 하는 방법 2. 시스템 펌웨어 취약점을 이용한 데이터 수집: 기기를 부팅하는 과정에서 시스템 펌웨어에 포함된 부 트로더, 커널 등의 취약점을 통해 루팅 후 논리적으로 플래시 메모리의 데이터를 이미징 하는 방법 3. 운영체제 및 애플리케이션 취약점을 이용한 데이터 수집: 기기가 부팅된 상태에서 애플리케이션의 RCE(Remote Code Execution), 시스템의 SBX(Sanbox Escape), 커널의 LPE(Local Privilege Escalation) 등의 취약점을 통해 루팅 후 논리적으로 플래시 메모리의 데이터를 이미징 하는 방법 첫 번째인 Chip-off 방식은 모바일기기가 파손되기 때문에 일반적으로 잘 사용하지 않는다. 따라서 본 고에서는 두 번째, 세 번째 방법에 대해서만 논의한다.

​

시스템 펌웨어 취약점을 이용한 데이터 수집 방법

​

모바일 기기의 시스템 펌웨어는 칩셋의 종류에 따라 상이하며 이것은 부트로더와 커널(boot, recovery), 시스템 이미지 등을 포함한다. 이 분야에 관한 연구는 2010년도 초반부터 이뤄져 왔으며 초 반에는 부트로더가 boot 및 recovery 커널의 무결성을 검사하는 기능에 대한 취약점을 이용하여 boot 와 recovery 커널의 램디스크를 수정하여 Init 프로세스의 설정 정보를 변경함으로써 루팅하는 방법을 사용했다. 이후에는 안드로이드 커널 무결성 검사에 대한 기능이 강화되면서 이를 우회하기 위해 커널 소스에서 무결성 검사를 하지 않도록 수정하여 커널을 빌드하는 등의 취약점을 사용했다. 안드로이드는 이러한 보안 취약점을 강화하기 위해 Primary Boot Loader, Secondary Boot Loader 등의 부팅 프로세스에서 로딩되는 데이터의 무결성을 연계적으로 검사하는 Secure Boot/Verified Boot mitigation을 추가했고, 커널 동작 초기 시점에 Init 프로세스가 중요 파티션의 무결성을 검사하는 dm-verity mitigation를 추가하기도 했다. 이 외에도 SE-Linux를 안드로이드에 적용한 SE-Android를 추가하기도 했다. 안드로이드 외에도 각 모바일기기 칩셋 제조사는 자사가 배포한 펌웨어가 아니면 모바 일 기기에 적용(플래싱)하지 못하도록 OEM-Lock이 설정된 부트로더를 사용하는 mitigation을 적용하기 도 했다. 삼성은 KNOX라는 독자적인 보안 프레임워크를 개발하여 SE-Android를 더 강화하기도 했다.

​

운영체제 및 애플리케이션의 취약점을 이용한 데이터 수집 방법

​

이 수집 방법은 시스템 펌웨어의 취약점을 이용할 수 없는 경우 사용할 수 있는 방법으로, 모바일 기 기를 정상 부팅 시킨 후 exploit을 통해 권리자 권한을 획득한 후 플래시 메모리의 데이터를 수집하는 것이다. 이 과정에서 LPE 취약점을 사용하여 한 번에 관리자 권한을 획득하는 것이 모바일 기기의 데이 터 무결성 훼손을 최소화하는 것이며 이것이 불가능한 경우 RCE, SBX, LPE 등의 취약점들을 연계하여 사용할 수 있다. 이 방법을 사용하는 경우 안드로이드의 mitigation으로 인해 모바일 기기가 factory-re set 되지 않도록 하는 것이 가장 중요하다. 이러한 exploit을 활용하는 취약점을 이용하는 데이터 수집 방법은 UFED Ultimate 모바일 포렌식 도 구가 거의 유일하며 이 회사는 2010년대 초부터 안드로이드와 iOS에 대한 exploit을 자체적으로 연구 개발 하고 있다.
 

 <사진 출처 : freepik.com>