스마트폰은 통화와 메시지뿐 아니라 금융, 업무, 위치, 사진, 인간관계가 축적되는 ‘디지털 분신’에 가깝습니다. 따라서 범죄 수사나 법적 분쟁에서는 매우 중요한 증거원이 되지만, 최신 기기는 하드웨어 기반 암호화와 보안 프로세서를 사용하므로 단순한 파일 복사만으로 데이터를 확보하기 어렵습니다.
법적·윤리적 안내
이 글은 모바일 포렌식의 원리와 증거보존 절차를 설명하는 교육용 자료입니다. 타인의 스마트폰 잠금을 허가 없이 해제하거나 데이터를 복사·열람하는 행위는 접근 방식과 자료의 종류에 따라 개인정보, 통신비밀, 정보통신망 침입 및 형사법상 책임이 문제될 수 있습니다. 본인 소유이거나 적법한 영장·동의·권한이 있는 기기만 다뤄야 합니다.
핵심 요약
- 스마트폰 잠금 해제는 일반 비밀번호 파일에 대한 GPU 공격과 다르며, 기기 모델·OS·보안패치·전원 상태에 따라 가능성이 달라집니다.
- 현대 모바일 포렌식에서는 원시 메모리 덤프보다 복호화된 전체 파일 시스템과 앱 데이터베이스가 더 유용한 경우가 많습니다.
- 삭제 파일은 전체 추출에 성공해도 반드시 복구되는 것이 아닙니다.
- 스마트폰은 실행 중 계속 변하는 시스템이므로 HDD처럼 완전한 쓰기방지를 적용하기 어렵습니다.
- 해시값은 수집된 파일이 이후 변경되지 않았는지 검증하는 수단이지, 수집 전후의 스마트폰 상태가 완전히 같다는 뜻은 아닙니다.
1. 최신 스마트폰의 보안 구조
최신 스마트폰은 저장장치 전체를 하나의 비밀번호로만 보호하지 않습니다. 기기마다 생성된 하드웨어 키, 사용자의 PIN·패턴·비밀번호, 운영체제의 암호화 정책, 앱별 샌드박스가 결합돼 데이터를 보호합니다.
Apple Secure Enclave
Apple의 Secure Enclave는 메인 프로세서와 분리된 보안 하위 시스템입니다. 암호화 연산과 키 보호, 사용자 인증 관련 정책을 담당하며, 메인 운영체제가 침해되더라도 민감한 키 자료를 별도로 보호하도록 설계됐습니다. 따라서 부트 단계에서 코드 실행 권한을 얻었다고 해서 사용자 파일이 곧바로 복호화되는 것은 아닙니다.
Android TrustZone과 파일 기반 암호화
Android의 파일 기반 암호화(File-Based Encryption, FBE)는 서로 다른 파일을 서로 다른 키로 암호화하고 독립적으로 잠금 해제할 수 있게 합니다. 또한 기기 부팅 직후 사용할 수 있는 영역과 사용자가 처음 잠금을 해제한 뒤 접근 가능한 영역을 구분할 수 있습니다.
중요한 구분
스마트폰 보안은 하나의 장벽이 아니라 부트 보안, 하드웨어 키, 사용자 인증, 파일별 암호화, 앱 샌드박스가 겹쳐진 다층 구조입니다.
2. 잠금 해제와 보안 우회의 실제 원리
모바일 포렌식의 첫 단계는 기기 상태를 보존하고, 적법한 범위에서 접근 가능한 추출 방법을 결정하는 것입니다. 모든 기기에 통하는 범용 잠금 해제 방법은 없습니다.
부트 ROM·부트로더 취약점과 임시 실행 환경
일부 구형 기기에서는 부트 ROM 또는 부트로더 취약점을 이용해 제조사가 서명하지 않은 임시 실행 환경을 구동할 수 있습니다. 특정 세대 Apple 칩에 영향을 준 Checkm8 계열이 대표적인 사례입니다. 그러나 지원 기기와 칩 세대가 제한되며, 임시 환경 실행에 성공해도 사용자 데이터 보호 키가 자동으로 풀리는 것은 아닙니다.
잠금 시도 제한의 완화
일부 지원 기기와 취약점에서는 잠금 시도 지연이나 횟수 제한을 우회·완화하는 방법이 사용될 수 있습니다. 그러나 보안 프로세서의 상태를 모든 기기에서 자유롭게 초기화할 수 있는 것은 아닙니다. 잘못된 시도는 영구 잠금, 재부팅 또는 데이터 손실로 이어질 수 있습니다.
암호 후보 검증과 사전 공격
최신 스마트폰의 잠금번호는 일반적인 ZIP 암호나 유출된 비밀번호 해시처럼 GPU에 옮겨 초당 수백만 번 검사하는 구조로 단순화할 수 없습니다. 기기별 하드웨어 키와 보안 프로세서가 암호 검증에 관여하기 때문입니다.
실무에서는 사용자가 자주 선택하는 패턴, 사건 관련 날짜, 전화번호, 기기 정책에 맞는 후보 목록 등을 우선 적용할 수 있습니다. 실제 검증 속도는 기기 모델, OS, 보안패치, 암호 길이, 사용 가능한 취약점 및 접근 방식에 따라 크게 달라집니다.
3. BFU와 AFU: 같은 잠금 화면이라도 상태가 다르다
스마트폰은 화면이 잠겨 있는지만 봐서는 접근 가능성을 정확히 판단하기 어렵습니다. 마지막 부팅 후 사용자가 한 번이라도 잠금을 해제했는지가 매우 중요합니다.
| 상태 | 의미 | 포렌식 관점 |
|---|---|---|
| BFU Before First Unlock | 재부팅 후 사용자가 아직 PIN·비밀번호를 입력하지 않은 상태 | 자격 증명으로 보호되는 많은 키가 활성화되지 않아 접근 가능한 데이터가 제한될 수 있음 |
| AFU After First Unlock | 재부팅 후 한 번 이상 잠금 해제한 뒤 화면이 다시 잠긴 상태 | 일부 암호화 키가 메모리에 유지돼 BFU보다 더 많은 데이터에 접근할 가능성이 있음 |
현장에서 전원이 켜진 기기를 무조건 재부팅하면 AFU 상태가 BFU로 바뀔 수 있습니다. 반대로 네트워크를 그대로 유지하면 원격 삭제, 동기화, 새 메시지 유입으로 데이터가 변경될 수 있습니다. 따라서 전원 유지·네트워크 차단·차폐 방식은 사건과 기기 상태에 따라 판단해야 합니다.
4. 모바일 데이터 획득 방식
모바일 포렌식은 흔히 논리적, 파일 시스템, 물리적 추출로 구분하지만 실제 실무에는 그 중간 단계와 변형이 존재합니다.
논리적 추출
운영체제가 제공하는 백업·동기화·콘텐츠 API를 이용해 연락처, 통화기록, 사진, 캘린더, 일부 메시지와 사용자 문서를 가져옵니다. 빠르고 비교적 안정적이지만 OS나 앱이 허용하지 않은 영역과 삭제 데이터는 확보하기 어렵습니다.
백업 기반 추출
iPhone 백업, Android 또는 제조사 백업을 분석합니다. 암호화된 백업은 더 많은 데이터를 포함하는 경우도 있지만 비밀번호가 필요할 수 있습니다. 앱별 백업 정책에 따라 중요한 데이터가 제외될 수 있습니다.
선택적 파일 시스템 추출
사건과 관련된 특정 앱, 데이터베이스, 로그, 기간만 선별해 획득합니다. 개인정보 침해와 처리량을 줄일 수 있지만 처음에 제외한 영역에서 새로운 증거가 발견될 가능성이 있습니다.
전체 파일 시스템 추출
접근 가능한 앱 샌드박스, 시스템 설정, SQLite 데이터베이스, 로그, 캐시와 파일의 원래 경로를 최대한 보존합니다. 현대 모바일 포렌식에서 가장 실용적인 깊은 추출 방식으로 사용되는 경우가 많습니다.
에이전트 기반 추출
기기 안에서 임시 에이전트를 실행해 파일과 데이터베이스를 수집합니다. 이 방식은 프로세스, 임시파일, 네트워크 연결 또는 로그를 만들 수 있으므로 어떤 변화가 발생했는지 문서화해야 합니다.
원시·물리적 획득
저장장치나 파티션의 원시 데이터를 비트 단위로 획득합니다. 구형 피처폰과 일부 장치에서는 삭제 데이터 복구에 강력할 수 있습니다. 그러나 최신 스마트폰은 하드웨어 결합 키와 파일 기반 암호화를 사용하므로 원시 덤프만으로 사용자 데이터를 해석하지 못할 수 있습니다.
| 방식 | 장점 | 주요 한계 |
|---|---|---|
| 논리적 | 빠르고 안정적, 일반 데이터 확보 | 삭제·시스템·앱 내부 데이터 제한 |
| 백업 기반 | 기기 직접 접근이 어려울 때 활용 | 백업 정책·암호화·비밀번호에 영향 |
| 선택적 파일 시스템 | 사건 관련 영역에 집중, 개인정보 최소화 | 선정하지 않은 영역의 증거 누락 가능 |
| 전체 파일 시스템 | 앱 DB·로그·캐시·경로 구조 확보 | 지원 모델·OS·잠금 상태에 따라 제한 |
| 원시·물리적 | 구형 기기에서 비할당 영역 분석 가능 | 최신 암호화 기기에서는 원시 데이터 활용 제한 |
5. 삭제 데이터 복구는 왜 어려운가
전체 파일 시스템이나 물리적 추출에 성공했다고 해서 삭제된 문자, 사진, 메신저 대화가 반드시 복구되는 것은 아닙니다.
- 파일이 삭제될 때 해당 파일의 암호화 키가 폐기될 수 있습니다.
- 플래시 저장장치의 가비지 컬렉션이 삭제 영역을 빠르게 정리할 수 있습니다.
- 새 데이터가 같은 영역을 재사용할 수 있습니다.
- 앱 데이터베이스가 VACUUM이나 자동 정리를 수행할 수 있습니다.
- 앱 자체 암호화 또는 보안 저장소가 적용될 수 있습니다.
실무에서는 완전히 삭제된 원본 파일보다 SQLite 잔여 레코드, 알림, 캐시, 썸네일, 검색기록, 클라우드 백업, 상대방 기기에서 더 많은 흔적을 찾기도 합니다.
6. 추출과 분석은 서로 다른 단계다
추출은 기기와 백업에서 데이터와 메타데이터를 획득·보존하는 과정입니다. 분석은 SQLite, plist, protobuf, 로그, 캐시를 해석해 사용자 행동과 사건의 관계를 판단하는 과정입니다.
데이터 추출에 성공해도 앱 버전에 맞지 않는 파서가 값을 잘못 읽거나, UTC와 현지시간을 혼동하거나, 계정 명의자를 실제 사용자로 오인하면 잘못된 결론이 나올 수 있습니다.
자동 파싱 결과의 한계
포렌식 프로그램 화면에 표시된 메시지·위치·앱 활동은 원본 데이터베이스를 사람이 읽기 쉽게 변환한 결과입니다. 중요한 결과는 원본 DB, 다른 포렌식 도구, 서버 로그, 상대방 기기 또는 CCTV 등으로 교차 검증해야 합니다.
시간정보는 하나가 아니다
모바일 데이터에는 생성시간, 수정시간, 서버시간, 기기 현지시간, UTC, 수신시간이 혼재할 수 있습니다. 기기의 시간대 설정과 시계 오차, 앱 서버의 기준시간을 확인하지 않으면 사건 순서가 잘못 구성될 수 있습니다.
클라우드 포렌식
사진, 백업, 위치기록, 문서와 앱 데이터는 iCloud, Google 계정 또는 앱 사업자 서버에 존재할 수 있습니다. 기기 추출이 불완전해도 적법한 계정 접근이나 사업자 제공자료로 보완할 수 있습니다. 다만 계정 공유와 동기화 때문에 클라우드 계정 소유자와 실제 행위자가 일치한다고 단정해서는 안 됩니다.
7. 대표 모바일 포렌식 솔루션의 역할
상용 제품의 지원 범위는 기기 모델, OS, 보안패치, 라이선스, 제품 버전에 따라 계속 달라집니다. 아래 표는 제품의 일반적인 역할을 이해하기 위한 요약이며 특정 기기의 잠금 해제 성공을 보장하지 않습니다.
| 솔루션 | 주요 역할 | 강점 | 주의할 점 |
|---|---|---|---|
| Cellebrite Inseyets·UFED 계열 | 모바일 접근, 추출, 디코딩·분석 생태계 | 다양한 iOS·Android 기기와 전체 파일 시스템 워크플로 | 지원 여부는 모델·OS·패치·라이선스에 따라 다름 |
| Oxygen Forensic Detective | 모바일·컴퓨터·클라우드 데이터 추출 및 분석 | 앱·클라우드·다중 출처 분석과 관계·타임라인 기능 | 모든 잠금 기기를 단독으로 해제하는 범용 장비는 아님 |
| MSAB XRY·XRY Pro | 모바일 기기 추출·디코딩 | 다양한 스마트폰과 피처폰, 현장·연구소 워크플로 | 특정 모델과 앱 버전은 추출이 제한될 수 있음 |
| Magnet AXIOM·AXIOM Cyber | 모바일·컴퓨터·클라우드·차량 증거 통합 분석 | 여러 출처의 아티팩트와 타임라인 비교 | 잠금 해제는 별도 접근 도구 또는 연계 제품이 필요할 수 있음 |
8. 증거 무결성과 해시값
포렌식 도구는 생성된 추출 파일, 디스크 이미지, 내보낸 증거파일에 SHA-256과 같은 해시값을 계산할 수 있습니다. 이후 같은 파일을 복사·이송·분석할 때 해시를 다시 계산해 수집 이후 변경 여부를 검증합니다.
오해하면 안 되는 점
해시 일치는 살아 있는 스마트폰의 내부 상태가 추출 전후 완전히 같다는 뜻이 아닙니다. 스마트폰은 전원이 켜진 동안 로그, 알림, 배터리 상태, 캐시와 동기화 데이터가 계속 변할 수 있습니다.
해시값은 퍼센트 단위의 유사성을 의미하지 않습니다. 동일한 알고리즘으로 계산한 해시가 일치하면 두 파일이 동일한 바이트 배열을 가진 것으로 판단하는 강력한 근거가 됩니다. 새로운 검증 절차에서는 SHA-256 이상을 우선 사용하고, MD5나 SHA-1은 레거시 호환을 위한 보조값으로 취급하는 것이 적절합니다.
9. 스마트폰에서 쓰기방지가 어려운 이유
HDD는 하드웨어 쓰기방지 장치를 사용해 원본 저장장치에 쓰기 명령이 전달되는 것을 차단할 수 있습니다. 그러나 스마트폰은 실행 중인 운영체제와 통신하고, 잠금 해제 또는 에이전트 실행 과정에서 내부 상태가 일부 변할 수 있습니다.
따라서 모바일 포렌식에서는 ‘변화가 전혀 없다’고 주장하기보다 불필요한 쓰기를 최소화하고, 케이블 연결, 재부팅, 에이전트, 명령, 임시파일과 오류를 상세히 기록해 절차의 재현성과 투명성을 확보합니다.
10. 연쇄보관고리(Chain of Custody)
연쇄보관고리는 포렌식 프로그램이 출력한 자동 보고서만을 의미하지 않습니다. 증거물을 최초로 발견한 순간부터 압수·포장·이송·보관·분석·제출까지 누가 언제 어떤 목적으로 취급했는지 연속적으로 기록하는 관리 절차입니다.
연쇄보관고리 체크리스트
- 사건번호와 증거물 번호
- 기기 제조사·모델·일련번호
- 발견 장소·시간과 최초 발견자
- 압수·제출의 법적 근거 또는 동의
- 전원·잠금·네트워크·배터리 상태
- 포장과 봉인 상태
- 인계자·인수자와 인계 날짜·시간
- 보관 장소와 접근 기록
- 분석 시작·종료시간
- 사용한 도구·버전·추출 방식
- 생성된 추출 파일의 SHA-256
- 기기에 발생했거나 예상되는 변경사항
- 복사본 생성과 재분석 내역
11. 스마트폰 확보 직후 보존 순서
- 기기 앞면·뒷면·측면과 화면을 촬영합니다.
- 전원, 잠금 상태, 배터리 잔량과 현재 시간을 기록합니다.
- 알림, 통화, 네트워크 연결 상태를 기록합니다.
- SIM·eSIM·메모리카드와 연결된 주변기기를 확인합니다.
- 마지막 재부팅 여부와 AFU·BFU 가능성을 검토합니다.
- 임의로 비밀번호를 반복 입력하거나 재부팅하지 않습니다.
- 원격 삭제 위험과 네트워크 차단 필요성을 판단합니다.
- 인계·보관·분석 담당자를 기록합니다.
현장 상황은 기기마다 다르므로 ‘항상 전원을 끈다’ 또는 ‘항상 비행기 모드를 켠다’ 같은 단일 규칙은 위험할 수 있습니다. 중요한 사건에서는 모바일 포렌식 경험이 있는 담당자가 상태를 평가해야 합니다.
12. 자주 묻는 질문
Q. 최신 스마트폰은 상용 포렌식 도구로 모두 잠금 해제가 가능한가요?
A. 아닙니다. 모델, 칩셋, OS, 보안패치, 암호 길이와 제품 라이선스에 따라 지원 여부가 다릅니다. 같은 모델도 업데이트 이후 접근이 막힐 수 있습니다.
Q. 물리적 추출이 가장 완벽한 방법인가요?
A. 구형 장치에서는 강력할 수 있지만 최신 암호화 기기에서는 원시 덤프만으로 사용자 데이터를 복호화하지 못할 수 있습니다. 복호화된 전체 파일 시스템이 더 실용적인 경우도 많습니다.
Q. 전체 파일 시스템을 추출하면 삭제된 카카오톡이나 사진이 모두 복구되나요?
A. 보장되지 않습니다. 키 폐기, 저장공간 재사용, 앱 DB 정리와 암호화로 인해 삭제 데이터가 남지 않을 수 있습니다. 캐시, 알림, 백업, 상대방 기기에서 흔적을 찾는 경우도 있습니다.
Q. 해시값만 있으면 법정에서 증거가 인정되나요?
A. 해시값은 수집 이후 파일이 변경되지 않았는지를 보여주는 중요한 요소지만, 적법한 수집 권한, 연쇄보관고리, 도구 검증과 분석 해석까지 함께 설명해야 합니다.
Q. 본인 휴대폰 데이터를 무료 도구로 분석할 수 있나요?
A. 백업이나 이미 추출된 자료는 ALEAPP·iLEAPP 같은 오픈소스 파서로 일부 분석할 수 있습니다. 다만 이 도구들은 최신 스마트폰 잠금을 자동으로 해제하는 프로그램이 아닙니다.
결론: 더 깊은 추출보다 검증 가능한 해석이 중요하다
모바일 포렌식은 단순히 스마트폰 잠금을 풀고 모든 파일을 복사하는 기술이 아닙니다. 최신 기기는 Secure Enclave, TrustZone, 파일 기반 암호화, 사용자 인증정보와 결합된 키 관리, 앱 샌드박스가 함께 작동합니다. 같은 모델이라도 OS 버전, 보안패치, 전원 상태와 마지막 잠금 해제 여부에 따라 확보 가능한 데이터가 달라집니다.
과거에는 물리적 메모리 덤프가 가장 깊은 획득 방식으로 인식됐지만, 최신 환경에서는 원시 데이터를 많이 확보하는 것보다 복호화된 파일 시스템, 앱 데이터베이스, 클라우드와 상대방 기기의 흔적을 적법하게 연결하는 것이 더 중요할 수 있습니다.
포렌식 프로그램이 표시한 결과도 최종 사실 그 자체는 아닙니다. 분석가는 원본 데이터, 앱 버전, 시간대, 계정과 실제 사용자, 다른 증거를 교차 검증하고 수집 과정에서 발생한 변경사항을 기록해야 합니다.
결국 모바일 포렌식의 신뢰성은 특정 제품의 잠금 해제 성능만으로 결정되지 않습니다. 적법한 권한, 원본 보존, 재현 가능한 획득 절차, 정확한 해석과 연쇄보관고리가 함께 갖춰질 때 디지털 자료가 신뢰할 수 있는 증거가 됩니다.
참고자료
- Apple Platform Security – The Secure Enclave
- Apple Platform Security
- Android Open Source Project – File-based encryption
- NIST SP 800-101 Rev.1 – Guidelines on Mobile Device Forensics
- Cellebrite Inseyets Suite
이 글은 모바일 포렌식 기술의 일반 원리를 설명하며, 특정 제품의 성능이나 특정 기기의 잠금 해제 성공을 보장하지 않습니다. 제품 지원 범위와 법적 절차는 시점·지역·기기·사건에 따라 달라질 수 있습니다.