I. 서론
정보화 시대가 도래함에 따라 우리생활은 편리해졌지만 반대로 사이버 범죄가 늘어나고 있다. 이 보고서에서는 사이버 범죄를 수사하는 기법인 디지털 포렌식에서 사용되는 암호화 기법과 디지털 포렌식을 범죄수사에 활용한 사례를 서술하였다.
II. 본론
1. 디지털 포렌식에서 사용되는 암호화 기법
디지털 포렌식에서는 증거 수집시 비트 스트림 복제(Bit Stream Clone) 방식으로 저장매체를 전체 복사하고 이미지를 생성한 다음 해시 알고리즘을 사용하여 복사한 이미지의 해시 값과 원본 디스크의 해시 값을 저장하여 무결성을 주장하는데, 이때 해시 함수가 사용된다.
1) MD5 해시함수
(1) 개요
MD5(Message-Digest algorithm 5)는 1991년 로널드 라이베스트가 MD4를 대체하기 위해 고안한 128비트 암호학적 해시함수이다. RFC1321로 지정되어 있고 주로 파일이 원본 그대로인지를 확인하는 무결성 검사 등에 사용된다.
(2) 결함
MD5는 1996년에 설계상 결함이 발견되었다. 매우 치명적인 결함은 아니었지만 암호학자들은 해시용도로 당시 SHA-1 등의 대안 알고리즘을 권장하였다. 하지만 2004년 더욱 심한 결함이 발견되었고, 2006년에는 노트북 한 대로 1분내에 해시 충돌을 찾을 정도의 빠른 알고리즘이 발표되어 현재는 파일의 무결성 검사 이외에는 거의 사용되지 않고 있고, 보안 관련 용도로는 권장되지 않고 있다.
(3) 알고리즘
MD5는 가변 길이의 메시지(variable-length message)를 입력받아, 128비트짜리 고정 길이의 출력 값을 낸다. 입력 메시지는 우선 *패딩 하여 512 비트로 나누어떨어질 수 있는 길이가 되게 하고, 512 비트 블록들로 쪼개진다. *패딩은 우선 첫 단일 비트, 1을 메시지 끝부분에 추가한다. 512 비트의 배수 길이보다 64 비트가 적은 곳까지 0으로 채운다. 나머지 64 비트는 최초의(오리지널) 메시지의 길이를 나타내는 64 비트 정수 값으로 채운다.
*패딩 : 블록의 크기를 일정하게 맞추기 위해 빈 부분을 채워주는 것을 말한다.
2) SHA 해시함수
(1) 개요
SHA(Secure Hash Algorithm)는 1993년부터 미국 국가안보국(NSA)이 제작하고 미국 국립표준기술연구소 (NIST)에서 표준으로 채택한 암호학적 해시 함수이다.
(2) 종류
SHA 해시함수도 여러 가지 종류가 있는데 SHA-0, SHA-1, SHA-2가 있다. [이미지 1]
① SHA-0
SHA-0 해시 함수는 1993년 미국 국립표준기술연구소(NIST)가 발표한 안전한 해시 표준(SHS)에서 FIPS PUB 180 이름으로 최초 발표 됐다. SHA-0 이라고 이름을 붙인 이유는 다른 함수들과 구별하기 위해서였다.
② SHA-1
SHA-0 해시 함수가 발표되고 얼마 지나지 않아 미국 국가안보국(NSA)은 SHA-0의 표준인 FIPS PUB 180을 폐기하고, 개정된 알고리즘인 SHA-1(FIPS PUB 180-1)을 발표했다. 미국 국가안보국은 SHA-1은 SHA-0 알고리즘에서 압축 함수 비트 회전 연산을 하나 추가하여 결함을 수정한 해시 알고리즘이라고 밝혔으나, 실제 결함 내용은 공개되지 않았다. 추가로 SHA-1은 MD5 해시 알고리즘과 매우 비슷하지만 SHA 해시 값의 길이가 더 길다.
③ SHA-2
SHA-2는 미국 국립표준연구소(NIST)가 발표한 해시 값의 길이가 SHA-1보다 긴 4개의 변형 해시 알고리즘(SHA-224, SHA-256, SHA-384, SHA-512)을 통칭한 것이다.
[이미지 1 : SHA 알고리즘 비교표, 출처 : http://wiki.hash.kr/index.php/SHA]
2. 국내 디지털 포렌식 사례
1) 숙명여고 쌍둥이 시험지 유출사건
(1) 개요
숙명여고 쌍둥이 시험지 유출사건은 2018년 7월 중순 숙명여자고등학교의 2학년 1학기 기말고사에서 시험지 검토 및 결재 권한을 가진 현경용 (당시 교무부장)의 쌍둥이인 두 딸이 부정한 방법으로 유출된 시험 문제의 정답을 암기하여 각각 문/이과 전교 1등을 차지하였는데 이에 의혹 민원이 제기되어 경찰 수사결과 수차례 혐의를 부인하다 디지털 포렌식으로 확실하게 혐의가 입증된 사건이다. [이미지 2]
[이미지 2 : 숙명여고 시험지 유출사건 일지, 출처 : https://www.seoul.co.kr/news/newsView.php?id=20200813009006]
(2) 디지털 포렌식 진행내용 및 결과
경찰은 숙명여고 쌍둥이가 시험지에 적어놓은 정답, 휴대폰에 남아있는 영어 서술형 답안을 부정행위의 증거라고 하였지만 피의자인 숙명여고 쌍둥이측은 시험지의 정답은 검토를 위해 적어놓은 것이고 영어 서술형 답안은 문제집에 있던 내용을 옮겨 적은 것 이라고 반박 하여 의혹은 더 커져만 갔다. 따라서 경찰이 휴대폰을 디지털 포렌식 하였는데, 서술형 답안이 시험 전에 캡처된 것으로 확인되어 확실하게 혐의를 입증할 수 있게 되었다. [이미지 3]
[이미지 3 : 포렌식을 통해 시험 전에 캡처된 것으로 확인된 답안, 출처 : https://www.hankyung.com/society/article/2018122108417]
2) 홍익대학교 누드 몰카사건
(1) 개요
홍익대학교 누드 몰카사건은 2018년 5월 1일 홍익대 회화과에서 남녀 각각 2명씩 4명의 누드모델을 대상으로 누드 스케치 실기 수업을 했는데, 동료 여성 누드모델이 다른 남성 누드모델과 말다툼을 벌인 뒤 얼굴과 성기를 몰래 촬영하여 남성 혐오 커뮤니티에 업로드 한 사건이다. 피의자가 휴대전화를 한강에 던져 증거를 인멸하고, 디지털 포렌식을 실시할 때 공기계를 제출하여 비록 디지털 포렌식으로 피의자를 특정하지는 못하였지만 디지털 포렌식을 병행하였기 때문에 디지털 포렌식 사례라고도 할 수 있다.
(2) 디지털 포렌식 진행내용 및 결과
당시 홍익대학교 학생회는 당시 누드 스케치 실기 수업에 참여한 학생들을 대상으로 자백을 유도하였으나 사진 촬영 당사자가 나타나지 않아 경찰에게 수사를 요청했다. 경찰에서 수사망을 좁혀오자 범행에서 사용된 휴대폰을 한강에 던져 증거를 인멸하고 경찰이 디지털 포렌식을 위해 제출하라고 하였을 때 “휴대전화 2대중 1대를 분실했다”며 다른 휴대전화를 제출했다. 또한 해당 커뮤니티 관리자에게 이메일을 보내 “IP주소와 로그기록, 활동내역을 삭제해 달라”고 요청까지 한 정황이 포착되어 경찰은 피의자를 긴급 체포하였고 피의자는 결국 자신의 혐의를 인정하였다.
3) 조희팔 사건
(1) 개요
조희팔 사건이란 2008년 11월 경찰발표로 알려진 대한민국 역사상 최대 규모의 금융 다단계 사기사건이다. 조희팔은 ‘의료기기 임대사업’명목으로 투자 유치를 권유해 좌우 투자자를 세우고 그에 따라 계급을 상승 시켜주는 방식(일명 피라미드식 다단계)을 이용해 투자자를 모집해 투자를 받고 투자를 받은 돈을 또 다른 투자자에게 돌려주는 방식을 사용하여 사기를 쳐 약 4조원의 피해액을 냈다. [이미지 4]
[이미지 4 : 조희팔 사건 어떻게 흘러왔나, 출처 : https://www.chosun.com/site/data/html_dir/2015/10/12/2015101200127.html]
(2) 디지털 포렌식 진행내용 및 결과
사건 당시 조희팔 일당은 중국으로 도주하며 범행에 관련된 서버에 있던 하드디스크를 모두 포맷하는 치밀함을 보였다. 대검찰청 과학수사부의 수사결과 가장 중요한 데이터베이스 서버에 대해 대용량 파일을 30회 덮어쓰기 하여 복구가 불가능한 상태로 만들어 놓았다는 것이 밝혀져 사건은 더 미궁으로 빠지는 듯 했으나 우연히 데이터베이스 서버가 아닌 웹서버를 분석하는 과정에서 임시 데이터베이스 서버를 사용한 흔적을 발견하였는데 다행히 해당 서버는 여러 번 삭제가 진행되지 않았고 이를 대검찰청 포렌식 수사팀의 지원으로 디지털 포렌식을 이용해 복구해 비할당 영역에서 데이터베이스 파일의 일부분을 찾아낼 수 있었다. [이미지 5] 또한 디지털 포렌식 방법으로 복원한 파일을 이용하여 종전의 수사에서는 명확히 규명하지 못했던 기간들에 대한 추가적인 피해액을 확인할 수 있었고 해당 데이터를 이용해 범죄 수익을 세탁한 고철무역업자의 은닉재산 710억을 환수하고 채권단 공동대표 3명 등을 전원 구속처리 하여 사법처리 할 수 있었고 당시 고철무역업자를 도왔던 공무원 또한 적발할 수 있었다.
[이미지 5 : 디지털 포렌식 당시 복원해낸 자료, 출처 : https://cpuu.postype.com/post/220456]
4) 버닝썬 게이트
(1) 개요
버닝썬 게이트는 대한민국의 서울특별시 강남구에 있는 “르 메르디앙 서울” 호텔에 있던 나이트클럽 “버닝썬”에서 벌어진 폭행 사건을 계기로 연예계와 연관된 경찰 유착·마약·성범죄·조세 회피·불법 촬영물 공유 혐의 등의 사실이 밝혀진 사건이다. [이미지 6]
[이미지 6 : 버닝썬(승리)게이트 일지 출처 : https://news.mt.co.kr/mtview.php?no=2019031309405487288]
(2) 디지털 포렌식 진행내용 및 결과
버닝썬 게이트의 성관계 동영상을 불법 촬영해 유포한 혐의로 조사를 받은 가수 정준영이 소위‘황금폰’(불법 성관계 동영상 촬영 및 공유에 사용한 휴대전화) 등 3대를 경찰에 제출했다. 또한 정준영 외에도 승리(본명 이승현), 유인석 유리홀딩스 대표, 강남 유명클럽 아레나의 전 직원도 각각 휴대폰 1대씩을 경찰에 제출했다. 더불어 피해자뿐만이 아닌 참고인 신분으로 조사받은 이들 대부분이 휴대폰을 제출했으며 58대의 휴대폰을 디지털 포렌식을 진행했다. 초반에는 피의자인 승리(본명 이승현)가 자신의 혐의를 전면 부인하였으나 디지털 포렌식 결과 범행의 증거인 카카오톡, 문자 등이 사실로 밝혀졌고, 정준영의 소위 ‘황금폰’또한 디지털 포렌식으로 증거를 잡아냈다.
III. 결론
최근 디지털 포렌식은 범죄 사건의 피의자 또는 피해자의 컴퓨터, 스마트폰 등을 덤프 하여 법정에서 유/무죄를 주장할 결정적인 증거를 찾는데 사용된다. 그러나 사법처리의 증거로 사용됨으로 증거 채집시 해시 등을 이용해 해당 증거의 무결성을 확실히 하여야 하고 증거를 수집한 저장장치 또한 봉인해야한다. 그렇지 못한 경우 2014년 원세훈 전 국정원장의 자택에 화염병을 투척한 피의자의 범행 장면이 찍힌 CCTV 증거 영상이 증거를 저장한 장치가 봉인되지 않아 무결성,기밀성을 잃어 증거로 채택되지 못하여 피의자의 혐의를 증명하지 못한 것과 유사한 사례가 발생될 수 있다. 따라서 디지털 포렌식 진행시에는 반드시 무결성, 기밀성 등을 유지 하여야하며 혹여나 증거수집 과정에서 잘못된 것이 있는지 반드시 확인해야한다.
IV. 참고문헌
1. 인터넷 기사
[1] 조선일보, 2018.5.10.,"‘홍대 男누드모델 몰카’ 유출 용의자는 동료 女누드모델", https://www.chosun.com/site/data/html_dir/2018/05/10/2018051003004.html
[2] 중앙일보, 2018.5.11., 경찰, ‘홍대 누드모델 몰카’ 휴대폰 수색…한강 현장검증, https://news.joins.com/article/22615657
[3] 테크플러스, 2019.3.18., 승리 ‘버닝썬 게이트’파헤친 디지털 포렌식‘ 수사 뭐길래?, https://m.blog.naver.com/tech-plus/221491316814
[4] 이데일리, 2019.3.15., 경찰, ‘정준영 황금폰’ 등 휴대폰 6대 확보…“디지털 포렌식 중”, https://www.edaily.co.kr/news/read?newsId=02751926622423648&mediaCodeNo=257
아시아경제, 2019.3.18., 경찰, ‘버닝썬’ 휴대폰 58대 포렌식…‘판도라 상자’ 승리·정준영 카톡방 열릴까, https://www.asiae.co.kr/article/2019031812454064311
[5] 뉴스클레임, 2020.7.13., 포렌식 뜻?… 최순실 국정농단·정준영 황금폰에 사용, http://newsclaim.co.kr/View.aspx?No=911780
[6] 법률신문, 2014.8.21., 원세훈 집에 화염병 30대 회사원 2심도 무죄, https://m.lawtimes.co.kr/Content/Case-Curation?serial=86804
2. 인터넷 블로그
[7] 법률사무소 위드, 2019. 6. 5, 숙명여고 쌍둥이 사건 정리, https://m.blog.naver.com/webdog7/221554932467
[8] 한국디지털포렌식센터, 2018.11.14., 숙명여고 쌍둥이 발목잡은 디지털포렌식, https://post.naver.com/viewer/postView.nhn?volumeNo=17098885
[9] 더블파트너스, 2018.7.10., 사이버 수사 기법 ‘디지털 포렌식, https://m.blog.naver.com/koreamnger/221316184035
[10] CPUU의 Daydreamin, 2016.6.30., 디지털포렌식 활용 수사사례 - 조희팔 사건, https://cpuu.postype.com/post/220456
3. 인터넷 백과
[11] 위키백과, 2018.5.23.판, MD5, https://ko.wikipedia.org/w/index.php?title=MD5&oldid=21368914
[12] 해시넷, 2020.1.13.판, 패딩, http://wiki.hash.kr/index.php?title=%ED%8C%A8%EB%94%A9&oldid=211560
[13] 위키백과, 2019.12.10.판, SHA, https://ko.wikipedia.org/w/index.php?title=SHA&oldid=25365660
[14] 해시넷, 2019.7.28.판, SHA, http://wiki.hash.kr/index.php?title=SHA&oldid=114756
4. 기타
[15] 서울과학기술대학교 박종혁 교수, 2012, 무결성 유지 기술, http://www.parkjonghyuk.net/lecture/2012-2nd-lecture/computersecurity/chap09.pdf