휴대폰에서 찾아낸 메시지가 결정적인 증거처럼 보여도, 상대방이 “그 자료는 조작된 것”이라고 주장하면 이야기가 달라집니다. 디지털 자료는 쉽게 복사되고 수정될 수 있기 때문입니다. 그래서 디지털 증거에서는 내용만큼이나 그 자료가 처음 모습 그대로라는 점을 보여 주는 일이 중요합니다. 핸드폰 포렌식에서 해시값과 증거 무결성이 왜 중요한지 정리했습니다.
무결성이란 무엇인가
무결성은 자료가 수집된 이후 바뀌지 않았다는 성질을 말합니다. 디지털 증거를 다룰 때는 원본과 사본이 같은지, 수집한 뒤 누군가 내용을 고치지 않았는지가 중요한 쟁점이 됩니다. 아무리 중요한 내용이라도 무결성을 설명하지 못하면 증거로서의 신뢰가 흔들릴 수 있습니다.
해시값의 원리
해시값은 파일 전체를 일정한 계산식에 넣어 얻은 고유한 문자열입니다. 파일 속 글자 하나, 점 하나만 바뀌어도 해시값은 완전히 다른 값으로 바뀝니다. 그래서 수집 시점의 해시값과 나중에 다시 계산한 해시값이 같다면, 그 사이에 파일이 바뀌지 않았다고 볼 수 있습니다.
| 상황 | 해시값 비교 결과 | 의미 |
|---|---|---|
| 파일을 그대로 복사 | 같음 | 원본과 동일한 사본 |
| 글자 하나 수정 | 완전히 다름 | 내용이 변경됨 |
| 파일 이름만 변경 | 같음 | 내용은 그대로 |
| 캡처 후 편집 | 다름 | 원본과 다른 파일 |
대표적인 계산 방식으로는 MD5, SHA-1, SHA-256 등이 있습니다. 실무에서는 신뢰성을 높이기 위해 두 가지 이상의 방식을 함께 기록하기도 합니다.
원본은 건드리지 않는다
포렌식의 기본 원칙은 원본을 직접 분석하지 않는 것입니다. 원본 데이터를 복제한 이미지 파일을 만들고, 원본과 복제본의 해시값이 같은지 확인한 뒤 복제본으로만 분석합니다. 원본 기기는 봉인해 보관하고, 필요할 때 같은 과정을 다시 거쳐 결과를 재현할 수 있게 합니다.
- 원본 기기 상태 기록
- 원본 데이터 복제
- 원본과 복제본 해시값 비교
- 복제본으로 분석 진행
- 분석 결과와 해시값을 보고서에 기록
관리 연속성의 의미
해시값과 함께 중요한 것이 관리 연속성입니다. 증거가 언제, 누구의 손을 거쳐, 어디에 보관되었는지를 빠짐없이 기록하는 것입니다. 기록이 중간에 끊기면 그 사이에 자료가 바뀌었을 가능성을 배제하기 어려워집니다.
개인이 할 수 있는 무결성 관리
전문 분석을 맡기기 전이라도 개인이 할 수 있는 일이 있습니다. 증거가 담긴 휴대폰을 계속 쓰면 새 데이터가 쌓이고 일부 기록이 덮어써질 수 있습니다. 가능하면 증거가 담긴 기기는 사용을 줄이고, 새 기기를 따로 쓰는 편이 좋습니다.
| 해야 할 일 | 피해야 할 일 |
|---|---|
| 기기 사용 최소화 | 초기화나 운영체제 업데이트 |
| 충전 상태 유지 | 앱 삭제 후 재설치 |
| 잠금 비밀번호 기록 | 제3자에게 기기 맡기기 |
| 캡처와 백업 별도 보관 | 캡처 이미지 편집이나 자르기 |
보고서에서 확인할 부분
분석 보고서를 받으면 결과뿐 아니라 무결성에 관한 기록도 함께 확인해야 합니다. 원본과 복제본의 해시값이 적혀 있는지, 추출 일시와 담당자, 사용한 장비와 소프트웨어가 기록되어 있는지 살펴보시기 바랍니다. 이런 기록이 있어야 다른 전문가가 같은 결과를 재현해 확인할 수 있습니다.
- 원본과 복제본 해시값
- 데이터 추출 일시와 담당자
- 사용 장비와 소프트웨어 버전
- 기기 인수인계 기록
법정에서 쟁점이 되는 이유
디지털 자료가 증거로 제출되면 상대방은 자료가 조작되었거나 일부만 골라낸 것이라고 주장할 수 있습니다. 이때 원본이 보존되어 있고, 해시값으로 동일성이 확인되며, 관리 과정이 기록되어 있다면 이런 반박에 대응하기가 훨씬 수월해집니다. 구체적인 증거 능력 판단은 사건마다 다르므로 법률 전문가와 상의하시기 바랍니다.
자주 묻는 질문
캡처 화면은 무결성을 인정받기 어렵나요
캡처는 손쉬운 증거지만 편집 가능성에 대한 반박을 받을 수 있습니다. 원본 기기를 함께 보존해 두면 필요할 때 원본 데이터를 확인할 수 있습니다.
해시값은 누가 계산하나요
보통 데이터를 추출하는 분석가가 추출 직후 계산해 기록하고, 보고서와 함께 제공합니다.
마무리
디지털 증거의 힘은 내용과 함께 그 내용이 처음 그대로라는 사실에서 나옵니다. 원본을 지키고, 해시값으로 동일성을 확인하고, 관리 과정을 기록하는 것이 증거의 신뢰를 지키는 기본입니다.
해시값은 내용의 진실성을 증명하는 것이 아니라 수집 이후 자료가 바뀌지 않았다는 점을 보여 주는 도구라는 점을 구분해서 이해하는 것이 중요합니다.
같은 파일이라도 메신저로 다시 보내거나 클라우드에 올렸다 내려받으면 압축이나 변환이 일어나 해시값이 달라질 수 있으니 원본 파일을 따로 보관해 두시기 바랍니다.
증거 자료를 여러 사람에게 공유할수록 관리 과정이 복잡해지므로 꼭 필요한 사람에게만 전달하고 전달 기록을 남겨 두는 편이 좋습니다.
무결성 관리는 분석 업체만의 일이 아니라 기기를 처음 손에 쥔 순간부터 시작된다는 점을 기억해 두시기 바랍니다.
보고서에 적힌 해시값은 나중에 다른 기관이 같은 자료를 확인할 때 비교 기준이 되므로 보고서 원본을 잘 보관해야 합니다.
원본 기기를 오래 보관해야 한다면 배터리 방전과 습기에 주의하고, 봉투에 넣어 접수 정보와 함께 보관하는 것이 좋습니다.
작은 절차 하나가 증거의 신뢰를 좌우할 수 있으니 처음부터 원칙을 지켜 다루는 습관을 들이시기 바랍니다.
디지털 증거를 다룰 때는 무엇을 찾았느냐만큼 어떻게 찾았느냐가 중요하다는 점이 일반 증거와 가장 큰 차이입니다.
해시값 비교는 분석가만 할 수 있는 어려운 작업이 아니라 공개된 도구로도 확인할 수 있어, 보고서에 적힌 값을 다른 전문가가 다시 검증할 수 있습니다.
수사 기관에 기기를 제출할 때도 제출 일시와 받은 사람, 기기 상태를 적은 확인서를 받아 두면 관리 연속성을 이어 가는 데 도움이 됩니다.
여러 차례 분석을 맡겨야 하는 경우에도 매번 같은 원본 이미지와 해시값을 기준으로 삼으면 결과를 서로 비교하고 검증하기가 쉬워집니다.
의뢰 전 업체에 원본 보존과 해시값 기록을 기본으로 하는지 물어보는 것만으로도 신뢰할 수 있는 곳인지 가늠할 수 있습니다.
증거의 신뢰는 한 번 흔들리면 되돌리기 어려우므로 처음부터 원칙에 맞게 다루는 것이 가장 확실한 방법입니다.
기기에서 자료를 옮길 때는 원본 파일을 그대로 복사하고, 편집이 필요하다면 반드시 사본에서만 작업하는 습관을 들이시기 바랍니다.
작은 기록 하나가 나중에 큰 차이를 만들 수 있으니 기기를 다룬 날짜와 내용을 짧게라도 적어 두시기 바랍니다.