KR100935684B1

KR100935684B1 - 단말기 메모리 데이터 추출 장치 및 그 방법

Info

Publication number: KR100935684B1
Application number: KR1020070132676A
Authority: KR
Inventors: 김건우; 홍도원; 정교일
Original assignee: 한국전자통신연구원
Priority date: 2007-12-17
Filing date: 2007-12-17
Publication date: 2010-01-08
Also published as: US20090157716A1; KR20090065202A

Abstract

본 발명은 단말기의 메모리에 저장된 데이터로부터 유효한 데이터를 추출하는 장치 및 방법에 관한 것이다. 이를 위해 바이너리 데이터를 새로운 케이스 파일로 변환하여 저장하고, 유효 데이터 추출시 사본 케이스 파일을 생성하고 이의 무결성을 검증한 후 유효 데이터를 수집하고, 수집한 유효 데이터를 이용하여 보고서를 작성하고 이를 프린트 및 모니터로 출력하는 것을 특징으로 한다. 따라서, 본 발명에 따르면 단말기의 메모리에 저장된 데이터를 모두 획득하여 이를 새로운 포맷인 케이스 파일로 변경해 줌으로써 법적 증거 채택 및 수사기관에서 유용하게 사용가능하다.

단말기, 메모리, 케이스 파일, 무결성, 포렌식, 유효 데이터

Description

단말기 메모리 데이터 추출 장치 및 그 방법{Apparatus for acquiring memory data of mobile terminal and method thereof}

본 발명은 단말기 메모리 데이터 추출 장치 및 그 방법에 관한 것으로서, 더욱 상세하게는 단말기의 메모리에 저장된 데이터로부터 유효한 데이터를 추출하는 장치 및 그 방법에 관한 것이다.

본 발명은 정보통신부 및 정보통신연구진흥원의 IT신성장동력핵심기술개발사업의 일환으로 수행한 연구로부터 도출된 것이다. [2007-S019-01, 정보투명성 보장형 디지털 포렌식 시스템 개발(Development of Digital Forensic System for Information Transparency)].

기존의 단말기 메모리 수집방법은 컴퓨터와 단말기를 USB 케이블로 연결하여, 컴퓨터가 단말기에 접근하여 단말기 내부의 데이터를 추출하기 위해 논리적인 프로토콜을 사용한다. 그래서, 단말기 내에 저장된 플래쉬 메모리 데이터 및 파일 시스템을 복제하며, 현재 이를 위한 상용 소프트웨어도 존재한다. 하지만, 단말기 서비스 사업자, 단말기 제조사, 단말기 모델에 따라 논리적인 프로토콜이 동일하지 않아 모든 단말기에 공통적으로 적용하기가 어렵다.

한편, JTAG 인터페이스와 같은 Low level 접근 방법을 이용한 단말기 데이터 수집방법은 단말기로부터 수집된 바이너리 데이터에서 직접 유효한 데이터를 추출하는 방법을 사용한다. 이는 원본 바이너리 데이터를 그대로 이용하고 조사자, 증거수집날짜 등의 획득 조사 관련 정보가 없고 바이너리 데이터의 사본에 무결성 검증과정이 없어서 수사과정과 법적 증거 효력의 발생을 위해 적합하지 않다.

본 발명은 상기와 같은 문제점을 해결하기 위한 것으로서, 단말기의 메모리로부터 데이터를 획득하고, 획득한 바이너리 데이터를 포렌식 의미가 있는 수사와 법적증거 효력을 위해 새로운 형식인 케이스(Case) 파일로 변환해서 저장하고, 유효 데이터 추출시 저장된 원본 케이스 파일로부터 사본을 복사해서 사본의 무결성을 검증한 후, 사본 케이스 파일로부터 유효한 증거 데이터를 추출하고, 이를 보고서로 작성하여 출력하는 장치 및 방법을 제공하는 것을 목적으로 한다.

본 발명의 단말기 메모리 데이터 추출 장치는 바이너리 데이터를 법적 의미가 있는 형식으로 변환하여 원본 케이스 파일을 생성하는 포맷 변환부; 포맷 변환부에서 생성된 케이스 파일을 입력받아 이를 복사하여 사본 케이스 파일을 생성하는 원본 케이스 파일 복사부; 사본 케이스 파일의 무결성을 검증하는 무결성 검증부; 및 무결성 검증부를 통해 무결성이 검증된 사본 케이스 파일에서 유효 데이터를 추출하여 분석하는 유효 데이터 추출부를 포함한다.

특히, 유효 데이터 추출부는 무결성 검증부에 사본 케이스 파일의 무결성 검증을 요청하고, 무결성 검증부는 유효 데이터 추출부로부터 무결성 검증을 요청하는 호출이 있으면 사본 케이스 파일의 무결성을 검증하는 것이 바람직하다.

또한, 포맷 변환부는, 다수 개의 바이너리 파일을 입력받는 바이너리 데이터 입력부; 입력받은 다수 개의 바이너리 파일을 연접해서 하나의 바이너리 데이터로 만들고, 케이스 파일 헤드를 추가하는 변환부; 및 케이스 파일 헤드 및 하나로 연접된 상기 바이너리 데이터에 대한 해쉬값을 계산하는 해쉬 계산부를 포함하는 것이 바람직하다.

또한, 케이스 파일 헤드는, 데이터 추출 날짜, 데이터 추출 시간, 단말기 정보, 및 케이스 파일 길이를 포함하는 것이 바람직하다.

또한, 무결성 검증부는, 사본 케이스 파일의 해쉬 값과 원본 케이스 파일의 해쉬 값을 비교하여 사본 케이스 파일의 무결성을 검증하는 것이 바람직하다

또한, 유효 데이터 추출부는, 무결성 검증부를 호출하여 사본 케이스 파일의 무결성 검증을 요청하는 호출부; 무결성 검증부가 사본 케이스 파일의 무결성을 검증하면, 무결성이 검증된 사본 케이스 파일을 읽어오는 사본 케이스 파일 리딩부; 및 읽어온 사본 케이스 파일로부터 유효 데이터를 추출하고 이를 분석하는 유효 데이터 분석부를 포함하는 것이 바람직하다.

또한, 유효 데이터는 MIN, SMS, 전화번호부, 통화 내역, 사진, 동영상, 일정, 및 메모 중 하나 이상 포함하는 것이 바람직하다.

또한, 유효 데이터 추출부에서 분석된 유효 데이터를 기초로 유형별 보고서를 작성하여 케이스 파일 헤드 정보와 함께 프린트 및 모니터 화면으로 출력하는 보고서 출력부를 더 포함하는 것이 바람직하다.

또한, 보고서 출력부는, 유효 데이터 추출부에서 수집된 유효 데이터를 조회해서 가져오는 데이터 조회부; 데이터 조회부를 통해 조회된 유효 데이터를 기설정된 일정한 형식의 보고서로 구성하는 보고서 구성부; 및 기설정된 일정한 형식으로 구성된 보고서를 내용을 모니터 화면 또는 프린트로 출력하는 출력부를 포함하는 것이 바람직하다.

한편, 본 발명의 단말기 메모리 데이터 추출 방법은, A) 단말기의 메모리에 저장된 바이너리 데이터를 추출하는 단계; B) 추출된 바이너리 데이터를 법적 의미가 있는 형식으로 변환하여 원본 케이스 파일을 생성하는 단계; C) 생성된 원본 케이스 파일을 복사하여 사본 케이스 파일을 생성하는 단계; D) 상기 사본 케이스 파일의 무결성을 검증하는 단계; 및 E) 무결성이 검증된 사본 케이스 파일을 읽어와 유효 데이터를 추출하여 분석하는 단계를 포함한다.

특히, D) 단계는, 사본 케이스 파일에 대해 무결성 검증을 요청하는 호출이 있는 지를 판단하는 단계; 및 사본 케이스 파일의 무결성 검증을 요청하는 호출이 있으면 사본 케이스 파일의 무결성을 검증하는 단계를 더 포함하는 것이 바람직하다.

또한, 분석된 유효 데이터를 기초로 유형별로 보고서를 작성하여 케이스 파일 헤드 정보와 함께 프린트 및 모니터 화면으로 출력하는 단계를 더 포함하는 것이 바람직하다.

또한, B) 단계는, 다수 개의 바이너리 파일을 입력받는 단계; 입력받은 다수 개의 바이너리 파일을 연접해서 하나의 바이너리 데이터로 만들고, 케이스 파일 헤드를 추가하는 단계; 및 케이스 파일 헤드 및 하나로 연접된 바이너리 데이터에 대한 해쉬값을 계산하는 단계를 포함하는 것이 바람직하다.

또한, D) 단계는, 사본 케이스 파일의 해쉬 값과 원본 케이스 파일의 해쉬 값을 비교하여 사본 케이스 파일의 무결성을 검증하는 것이 바람직하다.

본 발명에 따르면, 단말기의 메모리에 저장된 데이터를 모두 획득하여 이를 새로운 포맷인 케이스 파일로 변경해 줌으로써 법적 증거 채택 및 수사기관에서 유용하게 사용가능하다. 또한, 유효 데이터 추출시 사본 케이스 파일을 대상으로 하기 때문에 바이너리 데이터와 원본 케이스 파일은 훼손없이 보존이 가능하다. 또한, 유효 데이터 추출결과를 다양한 형식을 사용하여 보고서로 작성 및 출력이 가능하다.

본 발명을 첨부된 도면을 참조하면 상세히 설명하면 다음과 같다. 여기서, 반복되는 설명, 본 발명의 요지를 불필요하게 흐릴 수 있는 공지 기능, 및 구성에 대한 상세한 설명은 생략한다. 본 발명의 실시형태는 당 업계에서 평균적인 지식을 가진 자에게 본 발명을 보다 완전하게 설명하기 위해서 제공되는 것이다. 따라서, 도면에서의 요소들의 형상 및 크기 등은 보다 명확한 설명을 위해 과장될 수 있다.

도 1은 본 발명의 일실시예에 따른 단말기 메모리 데이터 추출 장치를 설명하기 위한 도면이고, 도 2는 본 발명에 적용되는 케이스 파일의 포맷 구조를 설명하기 위한 도면이고, 도 3은 도 1의 세부 상세도이다.

도 1을 참조하면, 본 발명의 일실시예에 따른 단말기 메모리 데이터 추출 장치는 바이너리 데이터 추출부(100), 포맷 변환부(110), 원본케이스 파일 복사부(120), 케이스 파일 저장부(130), 무결성 검증부(140), 유효 데이터 추출부(150), 및 보고서 출력부(160)를 포함한다.

바이너리 데이터 추출부(100)는 단말기(10)의 메모리에 저장된 바이너리 데이터를 추출한다. 이때, 바이너리 데이터 추출부(100)는 JTAG 인터페이스를 이용해서 단말기(10)의 메모리에 저장된 바이너리 데이터를 추출하는 것이 바람직하다. 단말기(10)와 바이너리 데이터 추출부(100)를 연결하기 위해 단말기(100)를 분해해서 JTAG핀을 찾아서 연결하거나, TTA 표준 24핀 포트를 이용하여 연결할 수 있다. 바이너리 데이터 추출부(100)는 이를 위한 JTAG장비와 이를 제어하는 프로그램을 포함한다. 한편, 바이너리 데이터 추출부(100)는 단말기(10)의 메모리로부터 바이너리 데이터를 추출할 때 한번에 추출되는 바이너리 데이터의 크기를 다양하게 정할 수 있다. 예를 들어, 256MB 메모리를 추출할 때 16번으로 나누어 16MB씩 추출할 수 있다. 한번에 추출되는 바이너리 데이터의 크기는 JTAG 장비, 단말기(10)의 메모리 크기를 고려하여 신뢰 있게 추출가능한 크기로 설정된다. 이때, 바이너리 데이터 추출부(100)를 통해 추출되는 바이너리 데이터는 각각 B0, B1,...,Bn-1,Bn 이라 표기되어 파일형태로 출력된다. 단말기(10)의 메모리에 저장된 바이너리 데이터 를 추출하는 방법은 공지된 것으로서 더 이상의 상세한 설명은 생략하기로 한다.

포맷 변환부(110)는 바이너리 데이터 추출부(100)를 통해 추출된 바이너리 파일을 법적으로 의미가 형식으로 변환하여 케이스(Case) 파일을 생성한다. 이를 위해 바이너리 데이터 입력부(112), 변환부(114), 및 해쉬계산부(116)를 포함한다.

바이너리 데이터 입력부(112)는 바이너리 데이터 추출부(100)를 통해 추출된 B0, B1,...,Bn-1,Bn의 바이너리 파일을 선택적으로 입력받는다. 그리고, 변환부(114)는 입력받은 n개의 바이너리 파일을 연접해서 하나의 바이너리 데이터로 만든 뒤, 법적 의미가 있는 형식으로 변환하기 위해 케이스(Case) 파일 헤드를 추가한다. 상기한 케이스 파일 헤드에는 데이터 추출 담당자 이름, 데이터 추출 날짜, 데이터 추출 시간, 단말기 정보, 케이스 파일 길이 등이 기본적으로 포함되며, 이외에 다른 정보들이 포함될 수 있음은 물론이다. 이어, 해쉬 계산부(116)는 케이스 파일 헤드 및 하나로 연접된 바이너리 데이터에 대한 해쉬값을 계산하여 케이스 파일 헤드에 추가한다. 해쉬 계산부(116)에서 해쉬값을 계산할 때 SHA1, MD5 알고리즘 등이 사용될 수 있다. 상기한 해쉬 값은 추후 케이스 파일을 복사해서 사용할 경우 복사본의 무결성을 검증하기 위해 사용된다.

원본케이스 파일 복사부(120)는 포맷 변환부(110)에서 생성된 케이스 파일(이하, '원본 케이스 파일')을 입력받아 이를 복사하여 사본 케이스 파일을 생성한다. 이는, 추후 데이타 분석 또는 이동시에 원본 케이스 파일을 이용하지 않고 사본 케이스 파일을 이용하기 위함이다.

케이스 파일 저장부(130)는 포맷 변환부(110)에서 생성된 원본 케이스 파일 및 원본케이스 파일 복사부(120)에서 생성된 사본 케이스 파일을 저장하는 역할을 수행하며, 이를 위해 케이스 파일 관리부(132) 및 저장부(134)를 포함한다.

케이스 파일 관리부(132)는 다수의 원본/사본 케이스 파일을 관리하기 위해 각각의 케이스 파일의 저장위치를 관리하며, 사용자 요구에 의해 저장부(134)에 저장된 원본/사본 케이스 파일을 삭제한다.

무결성 검증부(140)는 유효 데이터 추출부(150)로부터 사본 케이스 파일의 무결성 검증을 요청하는 호출이 있으면 케이스 파일 저장부(130)에 저장된 사본 케이스 파일의 해쉬 값과 원본 케이스 파일의 해쉬 값을 비교하여 사본 케이스 파일을 무결성을 검증한다. 본 발명에서는 유효 데이터 추출부(150)로부터 사본 케이스 파일의 무결성 검증을 요청하는 호출이 있을 경우 케이스 파일 저장부(130)에 저장된 사본 케이스 파일의 무결성을 검증하지만, 이에 국한되는 것은 아니다. 상기 호출 신호가 없더라 저장된 사본 케이스 파일에 대하여 순차적으로 무결성 검증을 수행할 수 있음은 물론이다.

한편, 무결성 검증부(140)는 유효 데이터 추출부(150)로부터의 호출 신호에 따라 선택적으로 사본 케이스 파일의 무결성을 검증한다. 그리고, 원본 케이스 파일과 해쉬 값이 일치하는(즉, 무결성이 검증된) 사본 케이스 파일에서만 유효 데이터를 추출한다. 즉, 유효 데이터 추출부(150)는 원본 케이스 파일과 해쉬값이 일치하는 사본 케이스 파일만 유효 데이터를 추출하고, 원본 케이스 파일과 해쉬값이 다른 사본 케이스 파일에서는 유효 데이터를 추출하지 않는다.

유효 데이터 추출부(150)는 무결성 검증부(140)를 통해 무결성이 검증된 사본 케이스 파일에서 유효 데이터를 추출 및 분석하여 이를 저장한다. 유효 데이터 추출부(150)는 이를 위해 호출부(152), 사본 케이스 파일 리딩부(154), 유효 데이터 분석부(156), 및 유효 데이터 관리부(158)를 포함한다.

호출부(152)는 무결성 검증부(140)를 호출하여 케이스 파일 저장부(130)에 저장된 사본 케이스 파일의 무결성 검증을 요청한다. 이에, 전술한 바와 같이 무결성 검증부(140)가 사본 케이스 파일의 무결성을 검증하면, 사본 케이스 파일 리딩부(154)는 무결성이 검증된 사본 케이스 파일을 읽어와 온다. 그리고 유효 데이터 분석부(156)는 읽어온 사본 케이스 파일로부터 유효 데이터를 추출하고 이를 분석한다. 상기한 유효 데이터는 MIN, SMS, 전화번호부, 통화 내역, 사진, 동영상, 일정, 메모 등이 될 수 있다. 그리고, 상기한 유효 데이터 추출 및 분석방법은 이동 단말의 운영체제, 내장된 플래쉬 메모리의 파일 시스템, FTL(Flash Translation Layer), 플래쉬 제어기에 따라서 달라질 수 있다.

유효 데이터 관리부(158)는 유효 데이터 분석부(156)를 통해 추출 및 분석된 유효 데이터의 저장, 관리, 및 삭제를 담당한다.

보고서 출력부(160)는 유효 데이터 추출부(150)에서 수집된 유효 데이터를 기초로 유형별, 케이스(case)별로 보고서를 작성하여 케이스 파일 헤드 정보와 함께 프린트 및 모니터 화면으로 출력될 수 있게 한다. 이를 위해 보고서 출력부(160)는 데이터 조회부(162), 보고서 구성부(164) 및 출력부(166)를 포함한다.

데이터 조회부(162)는 유효 데이터 추출부(150)에서 수집된 유효 데이터를 조회해서 가져온다. 이에, 보고서 구성부(164)는 데이터 조회부(162)를 통해 조회된 유효 데이터를 기설정된 일정한 형식의 보고서로 구성한다. 이때 보고서는 널리 사용되는 워드프로세서, HTML, XML 등이 사용될 수 있다. 그리고, 출력부(166)은 기설정된 일정한 형식으로 구성된 보고서의 내용을 모니터 화면 및 프린트로 출력할 수 있게 한다.

이하에서는 본 발명의 일실시예에 따른 단말기 메모리 데이터 추출 방법에 대해서 설명하기로 한다.

도 4는 본 발명의 일실시예에 따른 단말기 메모리 데이터 추출 방법을 설명하기 위한 도면이다.

먼저, 바이너리 데이터 추출부(100)는 단말기(10)의 메모리에 저장된 바이어리 데이터를 추출한다(S10). 이때, 바이너리 데이터 추출부(100)를 통해 추출되는 바이너리 데이터는 각각 B0, B1,...,Bn-1,Bn 이라 표기되어 파일형태로 출력된다. 다음으로, 포맷 변환부(110)는 바이너리 데이터 추출부(100)를 통해 추출된 바이너리 파일을 법적으로 의미가 형식으로 변환하여 케이스 파일을 생성한다(S15). 상세하게는, 포맷 변환부(110)는 바이너리 데이터 추출부(100)를 통해 추출된 B0, B1,...,Bn-1,Bn 의 바이너리 파일을 선택적으로 입력받아 n개의 바이너리 파일을 연접해서 하나의 바이너리 데이터로 만든 뒤, 법적 의미가 있는 형식으로 변환하기 위해 케이스(Case) 파일헤드를 추가한다. 상기한 케이스(Case) 파일헤드에는 데이터 추출 담당자 이름, 데이터 추출 날짜, 데이터 추출 시간, 단말기 정보, 케이스 파일 길이 등이 기본적으로 포함된다. 이어, 포맷 변환부(110)는 케이스 파일 헤드 및 하나로 연접된 바이너리 데이터에 대한 해쉬값을 계산하여 헤드에 추가한다. 전술한 과정을 통해 생성된 케이스 파일은 케이스 파일 저장부(130)에 저장된다(S20). 그리고, 원본케이스 파일 복사부(120)는 포맷 변환부(110)에서 생성된 케이스 파일을 복사하여 사본 케이스 파일을 생성한 후 케이스 파일 저장부(130)에 저장한다(S25). 따라서, 케이스 파일 저장부(130)에는 포맷 변환부(110)에서 생성된 원본 케이스 파일 및 원본케이스 파일 복사부(120)에서 생성된 사본 케이스 파일이 저장된다. 이후, 무결성 검증부(140)는 유효 데이터 추출부(150)로부터 사본 케이스 파일의 무결성 검증을 요청하는 호출이 있는 지를 판단한다(S30). 무결성 검증부(140)는 사본 케이스 파일의 무결성 검증을 요청하는 호출이 있으면, 케이스 파일 저장부(130)에 저장된 사본 케이스 파일의 해쉬값과 원본 케이스 파일의 해쉬값을 비교하여 사본 케이스 파일을 무결성을 검증한다(S35). 원본 케이스 파일과 해쉬값이 일치하는 사본 케이스 파일만 추후 유효 데이터를 추출하고, 원본 케이스 파일과 해쉬값이 다른 사본 케이스 파일은 추후 유효 데이터를 추출하지 않는다. 유효 데이터 추출부(150)는 무결성 검증부(140)를 통해 무결성이 검증된 사본 케이스 파일(원본 케이스 파일과 해쉬값이 일치하는 사본 케이스 파일)을 읽어와 유효 데이터를 추출 및 분석하고 이를 저장한다(S40, S45). 상기한 유효 데이터는 MIN, SMS, 전화번호부, 통화 내역, 사진, 동영상, 일정, 메모 등이 될 수 있다. 마지막으로, 보고서 출력부(160)는 유효 데이터 추출부(150)에서 수집된 유효 데이터를 기초로 유형별, 케이스(case)별로 보고서를 작성하여 케이스 파일 헤드 정보와 함 께 프린트 및 모니터 화면으로 출력될 수 있게 한다(S50).

이상 본 발명의 바람직한 실시예에 대하여 도시하고 설명하였지만, 본 발명은 상술한 특정의 실시예에 한정되지 아니하며, 청구범위에서 청구하는 본 명의 요지를 벗어남이 없이 당해 발명이 속하는 기술분야에서 통상의 지식을 가진자에 의해 다양한 변형실시가 가능한 것은 물론이고, 이러한 변형 실시예들은 본 발명의 기술적 사상이나 전망으로부터 개별적으로 이해되어져서는 안될 것이다.

도 1은 본 발명의 일실시예에 따른 단말기 메모리 데이터 추출 장치를 설명하기 위한 도면이다.

도 2는 본 발명에 적용되는 케이스 파일의 포맷을 설명하기 위한 도면이다.

도 3은 도 1의 세부 상세도이다.

<도면의 주요 부분에 대한 부호의 설명>

100 : 바이너리 데이터 추출부 110 : 포맷 변환부

112 : 바이너리 데이터 입력부 114 : 변환부

116 : 해쉬 계산부 120 : 원본 케이스 파일 복사부

130 : 케이스 파일 저장부 132 : 케이스 파일 관리부

134 : 저장부 140 : 무결성 검증부

150 : 유효 데이터 추출부 152 : 호출부

154 : 사본 케이스 파일 리딩부 156 : 유효 데이터 추출부

158 : 유효 데이터 관리부 160 : 보고서 출력부

162 : 데이터 조회부 164 : 보고서 구성부

166 : 출력부

Claims

복수 개의 바이너리 파일을 연접해서 하나의 바이너리 데이터를 생성하고, 상기 바이너리 데이터에 케이스 파일 헤드를 추가하여 원본 케이스 파일을 생성하는 포맷 변환부;

상기 포맷 변환부에서 생성된 케이스 파일을 입력받아 이를 복사하여 사본 케이스 파일을 생성하는 원본 케이스 파일 복사부;

상기 사본 케이스 파일의 무결성을 검증하는 무결성 검증부; 및

상기 무결성 검증부를 통해 무결성이 검증된 사본 케이스 파일에서 유효 데이터를 추출하여 분석하는 유효 데이터 추출부를 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 장치.
청구항 1에 있어서,

상기 유효 데이터 추출부는 상기 무결성 검증부에 사본 케이스 파일의 무결성 검증을 요청하고, 상기 무결성 검증부는 상기 유효 데이터 추출부로부터 무결성 검증을 요청하는 호출이 있으면 상기 사본 케이스 파일의 무결성을 검증하는 것을 특징으로 하는 단말기 메모리 데이터 추출 장치.
청구항 1에 있어서,

상기 포맷 변환부는,

복수 개의 바이너리 파일을 입력받는 바이너리 데이터 입력부; 및

상기 케이스 파일 헤드 및 하나로 연접된 상기 바이너리 데이터에 대한 해쉬값을 계산하는 해쉬 계산부를 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 장치.
청구항 3에 있어서,

상기 케이스 파일 헤드는,

데이터 추출 날짜, 데이터 추출 시간, 단말기 정보, 및 케이스 파일 길이 중 하나 이상의 정보를 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 장치.
청구항 1에 있어서,

상기 무결성 검증부는,

상기 사본 케이스 파일의 해쉬 값과 상기 원본 케이스 파일의 해쉬 값을 비교하여 상기 사본 케이스 파일의 무결성을 검증하는 것을 특징으로 하는 단말기 메모리 데이터 추출 장치.
청구항 1에 있어서,

상기 유효 데이터 추출부는,

상기 무결성 검증부를 호출하여 사본 케이스 파일의 무결성 검증을 요청하는 호출부;

상기 무결성 검증부가 상기 사본 케이스 파일의 무결성을 검증하면, 무결성이 검증된 사본 케이스 파일을 읽어오는 사본 케이스 파일 리딩부; 및

읽어온 사본 케이스 파일로부터 유효 데이터를 추출하고 이를 분석하는 유효 데이터 분석부를 포함하는 것을 특징으로 하는 단말 메모리 데이터 추출 장치.
청구항 1에 있어서,

상기 유효 데이터는 MIN, SMS, 전화번호부, 통화 내역, 사진, 동영상, 일정, 및 메모 중 하나 이상 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 장치.
청구항 1에 있어서,

상기 유효 데이터 추출부에서 분석된 유효 데이터를 기초로 유형별 보고서를 작성하여 케이스 파일 헤드 정보와 함께 프린트 및 모니터 화면으로 출력하는 보고서 출력부를 더 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 장치.
청구항 8에 있어서,

상기 보고서 출력부는,

상기 유효 데이터 추출부에서 수집된 유효 데이터를 조회해서 가져오는 데이터 조회부;

상기 데이터 조회부를 통해 조회된 유효 데이터를 기설정된 일정한 형식의 보고서로 구성하는 보고서 구성부; 및

기설정된 일정한 형식으로 구성된 상기 보고서를 내용을 모니터 화면 또는 프린트로 출력하는 출력부를 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 장치.
A) 복수 개의 바이너리 파일을 연접해서 하나의 바이너리 데이터를 생성하는 단계;

B) 상기 바이너리 데이터에 케이스 파일 헤드를 추가하여 원본 케이스 파일을 생성하는 단계;

C) 생성된 상기 원본 케이스 파일을 복사하여 사본 케이스 파일을 생성하는 단계;

D) 상기 사본 케이스 파일의 무결성을 검증하는 단계; 및

E) 무결성이 검증된 사본 케이스 파일을 읽어와 유효 데이터를 추출하여 분석하는 단계를 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 방법.
청구항 10에 있어서,

상기 D) 단계는,

상기 사본 케이스 파일에 대해 무결성 검증을 요청하는 호출이 있는 지를 판단하는 단계; 및

상기 사본 케이스 파일의 무결성 검증을 요청하는 호출이 있으면 상기 사본 케이스 파일의 무결성을 검증하는 단계를 더 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 방법.
청구항 10에 있어서,

분석된 상기 유효 데이터를 기초로 유형별로 보고서를 작성하여 케이스 파일 헤드 정보와 함께 프린트 및 모니터 화면으로 출력하는 단계를 더 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 방법.
청구항 10에 있어서,

상기 B) 단계는,

상기 케이스 파일 헤드 및 하나로 연접된 상기 바이너리 데이터에 대한 해쉬값을 계산하는 단계를 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 방법.
청구항 13에 있어서,

상기 케이스 파일 헤드는,

데이터 추출 날짜, 데이터 추출 시간, 단말기 정보, 및 케이스 파일 길이 중 하나 이상의 정보를 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 방법.
청구항 10에 있어서,

상기 D) 단계는,

상기 사본 케이스 파일의 해쉬 값과 상기 원본 케이스 파일의 해쉬 값을 비교하여 상기 사본 케이스 파일의 무결성을 검증하는 것을 특징으로 하는 단말기 메모리 데이터 추출 방법.
청구항 10에 있어서,

상기 유효 데이터는 MIN, SMS, 전화번호부, 통화 내역, 사진, 동영상, 일정, 및 메모 중 하나 이상 포함하는 것을 특징으로 하는 단말기 메모리 데이터 추출 방법.