한글(HWP) 클립보드 임시파일과 텔레메트리 데이터를 활용한 문서 편집 이력 추적 연구

Abstract

디지털 문서는 개인정보, 사내 기밀, 회계 데이터 등을 저장하기 때문에 범죄 조사에 매우 중요한 디지털 증거가 될 수 있 다. 이러한 디지털 문서에 대한 진정성을 입증할 때, 문서 파일의 생성 시점부터 마지막 수정 시점까지의 이력을 추적하는 것 이 중요하다. 하지만 디지털 포렌식 수사 시 활용되는 운영체제 아티팩트는 주로 문서 파일의 생성 시점과 마지막 수정 시점 에 대한 정보만 저장된다. 이를 극복하기 위해 문서 내 개체들의 작성 순서를 파악하거나 문서의 중간 편집 시간을 식별할 수 있는 연구는 많이 있었지만, 문서 편집 시간과 내용을 함께 특정하는 것은 매우 어렵다. 국내 공공기관 및 교육기관에서 가장 많이 사용하는 문서 편집 소프트웨어는 한글과컴퓨터(이하 한컴)의 한컴오피스이며 현재 한컴오피스 2022 버전과 웹한글 기안기 솔루션인 한컴스페이스까지 출시된 상황이다. 이에 따라 새로운 문서 편집 소프트웨어에서 생성된 파일에 대한 편집 이력을 확인할 수 있는 연구가 필요하다. 본 논문에서는 한컴오피스와 한컴스페이스를 활용하여 문서 파일을 수정했을 때 해당 문서의 파일 편집 이력을 추적하는 방법 을 소개한다. 그리고 한컴오피스에서 제공하는 사용성 데이터를 통해 문서 실행, 사용자의 행위, 문서 종료 흔적을 확인할 수 있 다. 마지막으로 새로 제안한 문서 편집 추적 방법과 Windows 아티팩트를 활용하여 타임라인을 구성하는 방법을 제안한다.