디지털 포렌식 원리, 삭제된 데이터를 어떻게 복구하는 걸까?

디지털 포렌식을 이해하려면 1999년 발생한 영남위원회 사건을 알아야 합니다. 영남위원회 사건은 조선민주주의인민공화국의 지령을 받아 대한민국 내에서 지하 정당 활동을 하던 민족민주혁명당이 적발된 사건입니다.

이 사건에서 경찰은 영남위원회의 활동 내역이 담긴 디스켓을 압수하여 법정에 증거물로 제출했지만, 증거로 인정받지 못했습니다.

당시 법정은 경찰이 디스켓의 파일을 열람하고 문서의 자간과 문단 모양을 수정했기 때문에 증거로 인정할 수 없다고 판단했습니다.

법정에서는 경찰의 데이터 접근 과정에서 의도적이든 비의도적이든 데이터가 훼손되었을 가능성을 배제할 수 없다고 본 것입니다.

이 사건을 계기로 경찰은 '데이터 이미징'이라는 기법을 도입하기 시작했습니다. 데이터 이미징이란 원본 데이터의 완벽한 복제본을 만드는 과정입니다.

이는 원본 저장장치의 모든 내용을 비트 단위로 정확하게 복제하여, 이후의 모든 분석은 이 복제본을 대상으로 진행합니다.

이러한 방식으로 원본 데이터의 무결성을 보장할 수 있게 되었고, 이는 디지털 증거가 법적 효력을 가지기 위한 필수 조건을 충족하게 되었습니다.

디지털 기기에서의 데이터 저장과 삭제 과정을 이해하면 포렌식을 통한 복구가 가능한 이유를 알 수 있습니다.

모든 디지털 정보는 0과 1로 구성된 이진수 형태로 저장되며, 각각의 파일은 두 부분으로 나뉩니다. 하나는 파일의 위치와 특성을 나타내는 '메타 정보'이고, 다른 하나는 실제 파일의 '내용'입니다.

파일을 삭제할 때 운영체제는 실제 내용을 즉시 제거하지 않습니다.

대신 메타 정보만 삭제하여 해당 저장 공간을 '사용 가능' 상태로 표시합니다. 이는 파일의 실제 내용은 그대로 남아있지만, 그 내용을 찾아가는 '주소'가 사라진 상태와 같습니다.

디지털 포렌식 전문가들은 이러한 특성을 활용하여 삭제된 데이터를 복구합니다.

다만 복구된 파일은 완전하지 않을 수 있습니다.

파일 조각들이 저장 장치의 여러 영역에 흩어져 있을 수 있으며, 일부는 새로운 데이터에 의해 덮어써졌을 수 있기 때문입니다.

따라서 파일이 부분적으로만 복구되거나, 복구되더라도 내용을 알아보기 어려울 수 있습니다.

결과적으로 디지털 포렌식을 통한 데이터 복구는 가능하지만, 그 성공 여부는 여러 요인에 따라 달라집니다.

특히 삭제된 후 얼마나 많은 새로운 데이터가 저장되었는지가 중요한 변수가 됩니다.