디지털 포렌식은 디지털 데이터를 대상으로 증거를 수집하고 분석한다.
디지털 데이터란 0과 1로만 이루어진 데이터를 의미하는데, 디지털 데이터를 법정에서 증거로 사용하려고 하다 보니, 물리적 실체를 가지는 기존의 증거와는 그 특성이 다른 점이 많아 어려운 점들이 있었다.
비가시성이란, 디지털 데이터가 사람의 눈으로 볼 수 없는 형태를 띈다는 의미이다.
메모장을 이용해 열람한 사진 파일
Hex 에디터를 이용해 열람한 사진 파일
위 사진들은 사진 파일 하나를 데이터를 메모장(위쪽), Hex 에디터(아래쪽)를 이용해서 각각 열어본 모습이다. 디지털 데이터는 0과 1로만 이루어진 데이터이고, 실제로는 사람이 직접적으로 읽을 수 없는 형태로 되어 있다. 따라서 디지털 데이터를 읽을 때에는 적절한 도구가 필요하다. 위의 사진처럼 적절하지 않은 도구를 이용했을 때에는 올바른 형태로 표시할 수 없다.
Windows “사진” 프로그램을 이용해 열람한 사진 파일
지금은 Windows에서 제공하는 “사진” 프로그램을 통해 디지털 데이터를 열어보았다. 디지털 데이터를 올바른 프로그램을 이용해 열었더니 사람이 인지할 수 있는 형태로 바뀌는 것을 확인할 수 있다. 이와 같이, 데이터를 읽기 위해서는 많은 하드웨어 및 소프트웨어 도구의 도움이 필요하다.
우리가 생각하는 것보다 매우 다양한 디지털 데이터들이 증거로 활용된다. 해당 데이터들은 건축 설계 도면일 수도 있고, 병원에서 사용하는 특수한 형태의 결과물일 수도 있다. 이렇게 다양한 디지털 데이터들은 본질적으로 인간이 볼 수 없는 형태를 가지기 때문에, 신뢰할 만한 도구 혹은 사람에게 의존하여 그 형태를 확인하게 된다.
따라서 비가시성으로 인해 도구의 신뢰성, 분석가의 전문성이 중요해진다. 분석에 사용한 디지털 포렌식 도구가 정말 신뢰할 수 있는 것인지 확인하기 위해서 여러 개의 도구를 동시에 동작한 뒤, 그 결과를 서로 비교하는 것을 교차검증이라고 한다. 교차 검증은 신뢰성을 위해 필요하다.
한편, 분석을 수행한 수사관이 올바르게 데이터를 분석했는지 검증할 필요도 있다. 법정에서는 전문성을 가진 수사관이 직접 분석을 시연하기도 하고, 제3자 입장의 외부 전문가를 불러 질문할 수 있도록 하기도 한다. 이러한 절차들은 분석가의 전문성을 검증하기 위한 과정이다.
[판례 읽어보기] (2007도7257)
소개: 이 사건은 국가보안법 위반과 관련된 “일심회 사건”이다. 디지털 포렌식 관련 판례가 많지 않던 2007년에 등장한 판례였기 때문에, 매우 중요한 의미를 가지는 판례이다.
판례: 특히 디지털 저장매체 원본을 대신하여 저장매체에 저장된 자료를 ‘하드카피’ 또는 ‘이미징’한 매체로부터 출력한 문건의 경우에는 디지털 저장매체 원본과 ‘하드카피’ 또는 ‘이미징’한 매체 사이에 자료의 동일성도 인정되어야 할 뿐만 아니라, 이를 확인하는 과정에서 이용한 컴퓨터의 기계적 정확성, 프로그램의 신뢰성, 입력·처리·출력의 각 단계에서 조작자의 전문적인 기술능력과 정확성이 담보되어야 한다.
해설: 디지털 데이터를 다룰 때는 컴퓨터 및 프로그램이 신뢰할 수 있는지, 조작하는 사람이 충분한 전문성을 가지고 있는지 검증해야 한다는 의미를 가지고 있다.