Windows 환경에서의 iCloud 인증 정보 추출 및 활용에 관한 연구 = A Study on extracting and utilizing iCloud authentication information in Windows environments

국문 초록 (Abstract)

iCloud는 사진, 파일, 동영상과 같은 데이터들을 클라우드에 안전하게 저장하고, 모든 기기에서 최신 상태로 유지할 수 있도록 해주는 Apple의 핵심 서비스이다. 높은 인지도와 범용성을 가진 iCloud는 Windows 환경에서도 자주 사용된다. 디지털포렌식 관점에서 수사관이 사용자의 iCloud 계정에 로그인할 수 있으면 본 계정과 연동된 모든 Apple 서비스에 접근할 수 있어 수사에 도움이 될 수 있다. 그러나 iCloud는 일반적으로 계정에 등록된 또 다른 Apple 기기를 통한 추가적인 2단계 인증을 요구하며, 수사 현장에서 이를 위한 기기를 확보하는 상황을 항상 기대하기는 어렵다. 따라서 이러한 추가적인 인증 과정을 거치지 않고 iCloud 계정에 접근할 수 있는 실용적인 방안에 대한 연구가 필요하다. 본 논문에서는 Windows 환경에서의 활성 및 비활성 상태의 시스템 관점에서 iCloud 인증 정보(ID, 패스워드, 브라우저 신뢰토큰, PCS 세션)를 추출하는 방법을 소개하고, 이를 반영하여 2단계 인증을 우회할 수 있는 iCloud 디지털포렌식 수사 절차를 제안한다. 그리고 가상 시나리오 구성을 통해 제시한 절차의 타당성과 실현 가능성을 종합적으로 평가한다.

다국어 초록 (Multilingual Abstract)

iCloud is Apple's core service that securely stores data such as photos, files, and videos in the cloud and keeps them up to date on all devices. With high recognition and versatility, iCloud is commonly used even in Windows environments. From a digital forensics perspective, if investigators can log into a user's iCloud account, they can access all Apple services associated with that account, which can aid investigations. However, iCloud typically requires additional two-factor authentication via another Apple device registered to the account, making it difficult to always anticipate securing such a device for access in investigative scenarios. Therefore, research is needed into practical methods for accessing iCloud accounts without undergoing these additional authentication processes. This paper introduces a method for extracting iCloud authentication information (ID, password, browser trust token, PCS sessions) from both live and dead system in Windows environments, and proposes an iCloud digital forensics investigation procedure that circumvents two-factor authentication based on this extraction. It comprehensively evaluates the feasibility and practicality of the proposed procedure through virtual scenario construction.