iOS 포렌식 분석

iOS 포렌식 분석은 iPhone, iPod touch, iPad를 심층적으로 분석하는 과정을 담고 있다. 책에 설명된 방법 및 절차는 위의 기기들에 대한 포렌식 수사에서도 적용할 수 있는 유용한 정보이다. 이 책은 이전에 출판되지 않았던 iOS에 대한 정보와 급변하는 환경에서 발전하고 있는 IT 환경에 대한 분석이 가능할 수 있는 정보를 제공함으로써, 조사관 및 포렌식 전문가들이 증거를 수집하고 신뢰할 수 있는 정보를 추출할 수 있도록 도와준다.



이 책에서 알아 볼 내용:



- iPhone이나 iPad와 같은 iOS 기기들에 있는 통화 기록과 메시지 데이터를 수집 및 분석하는 방법과 그 툴들

- 탈옥(jail-breaking)과 디지털 저작권 관리의 합법적 효과

- Apple 모바일 기기의 GPS 데이터 수집 및 분석 방법

- E-mail과 네트워크 데이터를 분석하는 툴들

- iOS 포렌식 증거를 취급 및 보존하는 모범 사례들



이 책은 컴퓨터 포렌식 전문가, 법 집행, 변호사, 보안 전문가, 위와 같은 항목들에 관심이 있는 사람들, 그리고 교육자들을 위한 것이다. 또한 이 책은 컴퓨터 포렌식, 정보 보안, e-discovery 커뮤니티에 주된 관심사가 될 뿐만 아니라 포렌식 전문 훈련기관이나 교육기관에서도 이용될 수 있다.



지은이 머리말



이 책은 2007년 1월 iPhone 2G의 출시와 함께 시작되었다. 이 매력적인 엔지니어링 작품은 휴대폰 마켓에서 대성공을 거두었다. 그 이후 제조업체들은 스마트폰 시장에서 Apple을 꺾기 위해 할 수 있는 모든 것을 시도했다. Android가 선전하긴 했지만 Apple에 비해서 부족했던 것은 사실이다. Apple은 iPod으로 멀티미디어를 소비하는 방식을 변화시켰다. iPhone으로는 소통하고 휴대폰을 사용하는 방식을 변화시켰다. iPad는 또다른 변수가 될 수 있다. iPad는 넷북 판매량을 짓눌러버릴지도 모른다. 이러한 기기들의 인기가 상승하면서, 그것들은 점점 범죄 사건들에서 빠질 수 없는 항목이 되었다.



이 책은 이러한 기기들을 검사하는 방법을 하드웨어에서 소프트웨어까지에 걸쳐서 알려줄 것이다. 이러한 기기들에 대한 사건 대응에서부터 iDevice(iPhone, iPad, 또는 iPod)를 검사하는 데 도움을 주는 툴들까지, 또한 GPS에서부터 property lists까지의 포렌식의 모든 측면을 검사해볼 것이다. iPhone과 탈옥을 포함한 몇 가지의 법적인 의미를 알아볼 것이다. 이 책에서 볼 수 있듯이, 포렌식 규범은 유지되어야 하고, 언더그라운드 소스에서 파생된 방법들은 알고 있더라도 마지막 수단으로 사용해야 한다. 대부분의 침입에 대한 최소한의 침입 과정은 모바일 포렌식에서 중요하다는 것을 배울 것이다. 수사관들은 꼭 전통적인 포렌식에 얽매이지 않고도 휴대폰을 더 신속하게 검사하기 위해 끊임없이 노력하고 있다. 이 책은 논리적 공간에 거대한 양의 artifacts가 있을 수도 있다는 것을 보여줄 것이다. 즉시 휴대폰을 탈옥하는 것은 좋은 방법이 아니다. 곧 이러한 방법들이 파괴적이므로 사건 해결에 부정적일 수 있다는 것을 알 수 있을 것이다. 현재 이 기기들과 관련된 애플리케이션은 서드파티 Cydia 스토어의 애플리케이션을 제외하고 300,000개 이상이 존재한다. 이러한 애플리케이션 중 몇몇은 그렇게 보이지 않지만 매우 위험할 수도 있다. 수사관들은 서드파티 애플리케이션을 간과하는 경향이 있다. 이 책은 범죄를 해결하는 데에 도움을 줄 수 있는 aritifacts를 찾기 위한 적절한 애플리케이션을 알려줄 것이다.



이 책은 또한 artifact 검색이나 분석을 위한 전 형성에 도움을 줄 것이다. 분석을 위해 당신에게 한 개의 iPhone이 주어졌다면 어떻게 하겠는가? 이 책은 전략을 공식화 하는 데에 도움을 줄 것이고, 이러한 기기들에서 발견할 수 있는 데이터를 최대화시킬 것이다. 당신은 논리적 포렌직 틀들을 사용하고 있으며, 또한 당신은 저 수준의 장치에 접근하기 위해 아이폰을 해킹하거나 분석하고 있는가? 이러한 질문은 포렌식 분석가로서 증거에 대한 훼손으로부터 발생할 수 있는 다양한 가능성을 최소화 할 수 있도록 조언을 받아야 한다.



미래에 Apple이 어떤 제품을 내놓을 것인지밖에 추측할 수 없지만, 향후의 iDevice는 내부적으로 데이터 구조가 많이 달라지지는 않을 것이란 것은 확실하다. 그래서 iOS 포렌식에 대한 기초는 미래에 Apple에서 출시할 기기들을 분석하는 것에 도움이 된다. 이 책은 그러한 기초를 제공하여 당신이 어떠한 iDevice라도 분석하고 artifacts를 보고할 수 있게 할 것이다.



옮긴이의 글



이 책은 스마트폰 포렌식 분석에 관심이 있거나, 관련 분야의 업무 수행을 시작하려는 분들에게는 좋은 참고 서적이 될 것이다. 특별히 스마트폰 기기 중 많은 사용자들이 사용하고 있는 iPhone이나, iPad 등에 대한 분석 시 실질적인 도움이 되는 기술이나 방법에 대해서 소개하고 있다.



그간, 역자가 iOS 포렌식 서비스나, 스마트폰 모의 해킹 및 악성코드 분석 등의 업무를 수행하면서, 사용하던 방법과 툴들이 이 책에서는 아주 상세히 기록되어 있다. 특별히 해당 분야를 시작하는 사람들에게 스마트폰 포렌식 분야에 어떻게 접근해야 하는지 고민하는 사람들에게 적극 추천한다. 이 책을 읽고 해당 기술을 바탕으로 실무를 하게 된다면 훌륭한 포렌식 전문가가 될 수 있을 것이다.

CHAPTER 1 : Apple 휴대 기기의 역사 1



iPod 2

iPhone의 진화 3

ROCKR 3

iPhone 2G 4

iPhone 3G 6

The 3G[S] iPhone 7

iPhone 4 8

The Apple iPad 9

iPhone과 iPad 하드웨어 10

2G iPhone의 내부 10

3G iPhone의 내부 14

iPhone 3G[S]의 내부 15

iPhone 4의 내부 17

iPad의 내부 18

The Apple App Store 21

증가하는 iPhone 해커들 24

요약 25



CHAPTER 2 : iOS 운영 시스템과 파일 시스템 분석 27



iOS 기능의 변화 27

iOS 버전 1 28

iOS 버전 2 29

iOS 버전3 31

iOS 버전 4 32

애플리케이션 개발 34

The iOS 파일 시스템 36

HFS+ 파일 시스템 36

HFSX 39

iPhone 파티션과 볼륨 정보 40

운영체제 파티션 44

iOS 시스템 파티션 45

iOS 데이터 파티션 48

SQLite 데이터 베이스 51

전화번호부 데이터베이스 51

문자 메세지 데이타베이스 52

통화 목록 데이타베이스 52

데이터베이스의 구동 53

SQLite 데이터베이스 검색 55

속성 목록 63

속성 목록 정보 보기 65

요약 69



CHAPTER 3 : 수색, 압류 및 사건 대응 71



미 헌법 제 4 수정안 72

휴대폰을 통한 개인 추적 73

합리적인 체포를 위한 휴

대폰 수색 74

변화되는 기술과 Apple iPhone 75

Apple Device에 대한 대응 77

기기 격리 81

비밀번호 잠금 83

탈옥된 iPhone 식별 85

iPhone의 정보 수집 86

iPhone이 연결된 Mac/Windows에 대한 대응 89

요약 90

출처 90



CHAPTER 4 : iPhone 데이터 수집 93



iPhone, iPod, iPad로부터 데이터 수집 93

Mdhelper를 이용한 iPhone의 데이터 수집 94

사용 가능한 툴과 소프트웨어 99

Lantern 99

Susteen Secure View 2 119

Paraben Device Seizure 127

Oxygen Forensic Suite 2010 131

Cellebrite 144

툴의 비교 149

주의할 사항 149

Paraben Device Seizure 수행결과 150

Oxygen Forensic Suite 2010 수행 결과 150

Cellebrite 수행 결과 151

Susteen Secure View 2 수행 결과 151

Katana Forensics Lantern 수행 결과 151

지원 이슈 152

요약 152



CHAPTER 5 : 데이터 분석 153



포렌식을 위한 환경 구축 153

Library 영역 159

주소록(AddressBook) 160

캐시 163

통화 내역 165

설정 프로파일 168

쿠키(Cookies) 168

키보드 170

로그 172

지도 174

Map History 175

노트 176

설정 176

사파리 177

접속 유지 상태의 웹페이지(SuspendedState) 179

SMS와 MMS 181

음성메일 183

웹클립 184

웹킷 185

시스템 설정 데이터 188

미디어 영역 190

미디어 디렉터리 191

Photos.sqlite 데이터베이스 196

PhotosAux.sqlite 데이터베이스 196

Recordings 디렉터리 197

아이포토 사진들 197

멀티미디어 199

타사 응용 프로그램들 200

소셜 네트워킹 애플리케이션 분석 200

Skype 201

Facebook 204

AOL AIM 205

LinkedIn 206

Twitter 207

MySpace 207

Google Voice 208

Craigslist 213

Analytics 214

iDisk 215

Google Mobile 216

Opera 217

Bing 217

문서 파일 218

포렌식을 어렵게 만드는 애플리케이션 221

이미지보호 애플리케이션 222

Picture Safe 222

Picture Vault 224

Incognito 웹브라우저 225

Invisible 웹 브라우저 226

tigertext 226

탈옥 232

요약 232



CHAPTER 6 : Mac과 Windows 컴퓨터에 잠재된 증거물 233



Mac에서 발견 가능한 증거물 233

Property List 234

MobileSync 데이터베이스 235

백업 파일을 차츰 변화시켜온 애플 235

잠금 인증서 237

Windows에서 발견 가능한 증거물 238

iPodDevices.xml 238

MobileSync 백업 파일 240

잠금 인증서 240

iDevice 백업 분석 240

iPhone Backup Extractor 241

JuicePhone 243

mdhelper 244

Oxygen Forensics Suite 2010 246

Windows 포렌식 툴과 백업 파일 248

FTK Imager 249

FTK 1.8 249

Tips and Tricks 251

요약 253



CHAPTER 7 : GPS 분석 255



지도 애플리케이션 255

이미지 및 비디오의 위치 정보 태그 지정 266

Cell Tower Data 277

GeoHunter 284

내비게이션 애플리케이션 289

Navigon 289

Tom Tom 293

요약 294



CHAPTER 8 : 매체 추출 295



디지털 저작권 관리는 무엇인가? 296

DRM의 법적 요소 296

주요 사례 : iPhone의 탈옥 299

주요 사례 : Apple과 Psystar 301

주요 사례 : 온라인 음원 다운로드 302

주요 사례 : Sony BMG 사건 303

DRM의 미래 304

매체 추출 305

매체 추출 도구 305

이미지 유효성 검사 315

요약 317

출처 319



CHAPTER 9 : 매체 추출 분석 321



매킨토시를 이용한 분석 321

메일 325

IMAP 326

POP 메일 327

Exchange 328

Carving 330

MacForensicsLab 330

Access Data사의 Forensic Toolkit 334

FTK 그리고 이미지 337

EnCase 345

Spyware 349

Mobile Spy 349

FlexiSpy 353

요약 354



CHAPTER 10 : 네트워크 분석 355



증거 관리의 고려 사항 356

네트워킹 101: 기초 357

Networking 201: 고급 주제 364

DHCP 364

무선 암호화 및 인증 366

포렌식 분석 367

네트워크 트래픽 분석 370

요약 376

Sean Morrissey 저자 Sean Morrissey은 현재 연방 기관에서 컴퓨터 및 모바일 포렌식 분석가로 활동하고 있으며, Digital Forensics 매거진의 편집자로도 기여하고 있다. Sean은 아내인 Dawn과 23년간 결혼생활을 해오고 있고, 미군인 아들 Robert를 두고 있다. Sean은 Creighton 대학교를 졸업했고, 이후의 칼리지에서는 미군 장교였다. 병역 생활 후에, Sean은 그가 Maryland에서 경찰관과 보안관보였을 때 맡았던 법 집행 분야로 직장을 옮겼다. 법 집행관으로서의 생활 후에 교육은 Sean의 발전에 중요한 부분이 되었다. Sean은 아프리카에서 군사 교육자였으며, Defense Cyber Crime Center에서 강사를 했다. 이 때 Sean은 Certified Digital Media Colletor(CDMC)와 Certified Digital Forensic Examiner(CDFE)에서 인증서를 받았으며, Mac OS X, iPod, and iPhone Forensic Analysis (Syngress, 2008)라는 책의 주요 필자로 참여했다. Sean은 또한 고가의 툴들에 대한 접근 권한이 없었던 부서들의 법 집행 책임자로서 Katana Forensics를 설립했다. Katana는 법 집행의 모든 단계에서 사용할 수 있는 포렌식 툴들을 만들어내기 위해 만들어졌다.