디지털 조사에 필요한 데이터에 접근하기 위해 기기를 확보하는 것만으로는 더 이상 충분하지 않을 수 있습니다. 스마트폰, 암호화폐 지갑, 저장 장치 및 임베디드 시스템을 통해 팀은 기기를 식별하고 소프트웨어 환경의 일부를 검사할 수 있지만, 파일, 통신 또는 거래 기록은 하드웨어 계층에서 작동하는 메커니즘으로 보호된 상태로 남아 있을 수 있습니다.
이것이 Marc Witteman, Thomas Ostrowski, Craig Mackson이 작성하고 Semiconductor Engineering이 게재한 글의 핵심 내용입니다. 글은 보안 부팅, 보안 요소(Secure Element), 신뢰 실행 환경(TEE), 암호화된 저장 장치 및 기타 하드웨어 지원 보호 수단이 기기의 시작 방식, 접근 승인 방식, 보호된 데이터에 접근할 수 있는 구성 요소를 결정할 수 있다고 설명합니다.
디지털 조사에서 무엇이 달라지는가?
전통적인 조사는 대개 운영 체제, 파일 시스템, 백업 또는 이용 가능한 애플리케이션 인터페이스에서 시작합니다. 그러나 필요한 정보가 칩이나 보안 구성 요소가 실행하는 장벽 뒤에 있다면, 문제는 더 이상 데이터를 추출하는 방법에만 국한되지 않습니다. 팀은 먼저 접근을 막는 요소가 무엇인지, 보호 메커니즘이 어디에서 실행되는지, 그리고 이를 검사할 수 있는 기술적 경로가 있는지를 파악해야 합니다.
특히 기기가 압수되었거나, 소유권이 있거나, 오래되었거나, 무단 접근을 막도록 설계된 경우에는 기기 회로도, 소스 코드 또는 엔지니어링 문서가 제공되지 않을 수 있습니다. 따라서 이 글은 기기를 직접 특성화할 것을 제안합니다. 여기에는 중요한 구성 요소를 식별하고, 이용 가능한 인터페이스를 검사하며, 보안상 민감한 작업 중 동작을 관찰하고, 접근을 통제하는 구성 요소를 파악하려는 시도가 포함됩니다. 이러한 특성화의 목적은 기기의 모든 부분을 분석하는 것이 아니라, 조사관과 사건 관련 데이터 사이를 가로막는 메커니즘을 식별하는 것입니다.
더 깊은 계층이 필요할 때의 두 가지 도구
이 글은 사이드채널 분석(Side-Channel Analysis)과 결함 주입(Fault Injection)을 고급 조사에서 사용할 수 있는 두 가지 잠재적 방법으로 언급합니다. 사이드채널 분석은 기기가 특정 작업을 실행하는 동안 발생하는 물리적 신호를 측정하며, 일반적인 소프트웨어 인터페이스를 통해서는 드러나지 않는 내부 활동을 밝혀낼 수 있습니다.
결함 주입은 기기 작동 중에 제어된 교란을 일으켜 특정 보안 절차에 영향을 줄 수 있는지를 확인하는 방식입니다. 글은 방법의 선택이 기기의 유형, 보호 메커니즘 및 팀이 접근하려는 정보에 따라 이루어져야 한다고 강조합니다. 연구할 수 있는 채널로는 시간, 전력, 전자기 방출 및 빛이 있으며, 각 채널의 적합성은 접근 가능성과 보호 수준에 따라 달라집니다.
예를 들어 이 글은 전자기 방출 검사가 물리적 수정을 하지 않고 암호화 유형이나 구현 방식을 연구하는 데 도움이 될 수 있다고 설명합니다. 또한 연구자들은 비밀번호 검증 절차를 시험하기 위해 적절한 시간 교란을 사용할 수 있습니다. 이러한 예시는 민감한 기술에 해당하므로, 법적 권한과 통제되고 재현 가능한 포렌식 절차 안에서만 수행되어야 합니다.
적절한 역량은 어떻게 구축하는가?
하드웨어 보안 테스트가 조사와 무관한 독립적인 목표가 되어서는 안 됩니다. 목표는 증거의 무결성을 유지하고, 단계를 문서화하며, 결과를 재현할 수 있도록 하면서 사건과 관련된 정보에 접근하는 것입니다. 따라서 이 글은 기관이 내부 실험실을 구축하기 전에 실무적인 질문을 평가할 것을 제안합니다. 여기에는 보호된 기기로 인해 접근이 차단되는 조사의 수, 가장 어려운 기기의 유형, 일반적으로 필요한 정보, 이용 가능한 전문 지식과 장비, 내부적으로 수행해야 할 작업과 전문 기관에 맡길 수 있는 작업이 포함됩니다.
보호된 휴대전화, 암호화폐 지갑, 임베디드 시스템 또는 맞춤형 전자 장치를 반복적으로 다루는 조직에는 내부 전문 역량을 개발하는 것이 더 합리적일 수 있습니다. 반면 사례가 드문 경우에는 필요 규모에 맞지 않는 대형 실험실을 구축하기보다 외부 전문가를 활용하는 것이 적절할 수 있습니다.
이 소식이 중요한 이유
여기서 실제로 일어나는 변화는 디지털 포렌식 조사의 일부가 소프트웨어를 통한 데이터 추출에서 데이터 접근을 통제하는 물리적 보호 메커니즘의 이해로 이동한다는 점입니다. 이는 실험실에 필요한 기술의 범위를 넓히지만, 모든 보호 기기가 침해 가능하거나 모든 기술이 유효한 증거를 산출한다는 의미는 아닙니다. 결과는 기기의 설계, 구성 요소에 대한 접근 가능성, 보호 유형, 법적 제약 및 방법론의 무결성에 따라 달라집니다.
이 글은 후원자 블로그 형식으로 게재되었으며, 저자들은 Keysight Technologies와 연관되어 있습니다. 글에서는 Keysight Technologies가 디지털 포렌식 팀을 위한 도구, 실험실 및 교육을 제공한다고 설명합니다. 따라서 이 글은 필요성을 판단하는 데 유용한 프레임워크를 제공하지만, 특정 도구의 성능에 대한 독립적인 평가를 의미하지 않으며, 특정 기기나 사건에 대한 검증된 테스트 결과를 제시하지도 않습니다.