선별압수 시 난수성 검정을 통한 안티포렌식 파일 압수 방안 연구

Abstract

현재의 수사기관의 범죄 사실 증거 수집을 위한 압수수색은 선별 압수를 원칙으로 하고 있다. 개인의 기본권 및 사생활 보호를 위하여 디지털 증거에 대한 압수수색 실무에서는 대상물은 정보저장매체로 하되, 실제적으로 압수하는 결과물은 사건과 관련성이 있는 선별된 파일 로 한정하는 방식을 원칙으로 접근하고 있는 것이다. 선별 압수 시 디지털증거 파일을 키워드 및 확장자를 이용하여 선별하는데 위의 기준으로 선별되지 않는 암호파일이 존재한다. 선별되지 않는 암호파일의 경우 압수수색 현장에서 해당 파일을 확보할 수 없고 파일을 인지했더라도 관련성을 확인할 수 없기에 해당 파일을 압수하지 못하는데 사건 관련하여 핵심 내용이 담겨져 있는 암호파일이라면 압수수색에서 중요한 부분을 놓칠 수 있게 된다. 예를 들어 간첩 사건과 관련된 공안 사건이나 해커나 컴퓨터전문가와 관련된 첨단·기술유출 사건의 경우에 사건의 특성 상 파일이나 증거들이 기밀을 유지할 수 있게끔 첨단 수법으로 암호화 되어 있는 파일들이 많이 존재하게 된다. 해당 디지털 증거가 암호화 되어 있어서 관련성 확인 부재를 통해 압수할 수 없다면 사건의 중요한 증거를 확보할 수 없게 된다. 그렇다면 선별되지 않는 암호 파일에 대하여 관련성을 확인할 수 없다고 하여 압수를 할 수 없는 것인가. 암호는 구별불능성과 예측불가능한 랜덤한 특성을 가지고 있다. 암호의 특성에 기반하여 본 논문에서는 난수성 검정을 통해 암호파일을 압수해야 함을 주장하고자 한다. NIST는 15가지 난수성 검정 방법을 제안하고 있는데 본 논문에서는 3가지 난수성 검정 방법인 Frequency Test, Block Frequency Test, Cumulative Sums Test를 통해 평문파일, 압축파일, 암호파일의 hwp, xslx, jpeg, mp3, exe 파일에 대해 126, 258, 526 비트별로 실험을 진행하였다. 각각 파일의 난수성 비교를 통해 암호파일은 평문파일과는 다르게 난수의 특성이 존재함을 확인하였고, 난수성 검정을 통해 선별압수 시 선별이 불가능한 암호파일 및 은닉파일에 대해 모두 압수해야 함을 주장하고자 한다. 나아가 압수를 위해서는 영장에 기재되어야 함에 따라 난수성 검정을 통한 선별 압수를 위해 영장에 적시하는 방안도 주장하고자 한다. 영장에 적시를 통해 난수성 검정을 포함하는 디지털 압수수색 프로세스를 생각해 보았다. 1단계로 키워드 검색 및 확장자 분류를 통해 혐의사실과의 연관성을 확인하여 선별압수를 진행하고, 2단계로 1단계의 과정을 통해 선별되지 않은 파일에 대하여 탐색을 진행하여 시그니처와 확장자 확인을 통해 안티포렌식 파일로 추정되는 파일들을 선별하고 3단계로 해당 선별된 파일들에 대하여 압축을 실행해 본다. 4단계로 3단계에서 실행한 압축을 통해 압축율이 저하되는 파일들에 대하여 난수성을 의심하여 난수성 검정을 진행한다. 5단계로 난수성 검정을 통해 난수성이 확인되는 파일들에 대하여 상세분석으로 위하여 모두 압수하도록 한다. 디지털 증거 선별압수 시 난수성 검정을 활용한 방안에 대해서 많은 논의가 필요할 것으로 예상된다. 과학적인 방법을 활용하여 수사에서의 더 많은 증거를 확보하기 위한 방안임에 따라 활발한 논의를 통하여 선별압수 시 활용되기를 기대해본다.