법률총서 · 제1총서 › 제IV부 수사 절차와 증거 › 제26권 · 초판
디지털 포렌식의 무결성: 해시값과 연계 보관
포렌식 결과의 동일성과 무결성을 확인하는 절차를 검토합니다.
이 권의 목차
초록
이 권은 디지털 포렌식의 결과가 법정에 이르렀을 때 그 동일성과 무결성이 어떻게 증명되고 어떻게 기록되는지를 검토한다. 먼저 디지털 증거가 원래 그대로임의 증명을 따로 요구하는 까닭을 묻고, 형사소송법 제313조와 증거조사 방식 규정, 압수 조문이 저장된 정보에 관해 무엇을 정하고 무엇을 비워 두는지를 차례로 읽는다. 이어 출력 문건의 증거능력 요건과 동일성의 증명 방법, 전자정보에 같은 요건이 적용되는 방식을 판례를 통해 살피고, 해시값의 일치가 무엇까지를 보여 주는지 구분한다. 다시 수집과 봉인, 복제와 분석, 법정에 이르는 단계마다 무엇이 기록되는지를 견주고, 분석 도구와 분석자의 신뢰성이 어떻게 심사되는지를 검토한다. 수사관이 압수 현장에서 노트북 하드디스크를 복제하고 해시값 확인서에 서명을 받았으나 보관 기록에 아홉 날의 빈칸이 남고 여러 항목이 미정인 상황을 합성 사례로 두고, 이 사례를 각 장의 물음에 되물어 본다. 끝으로 해시 기록의 결손, 도구 신뢰성의 증명 한계, 원격 저장소와 메신저 서버에서 받은 자료의 원본이 무엇인지에 관한 물음을 남은 과제로 남긴다.
합성 사례
이 권 전체가 따라가는 가상의 사례입니다. 실제 사건이 아니며, 사실관계는 법적 판단이 아닙니다.
수사관은 압수 현장에서 노트북 하드디스크의 내용을 복제하고 해시값을 확인서에 적은 뒤 피압수자 무의 서명을 받았다. 법정에 제출된 것은 그 복제본에서 뽑은 파일 300개와 분석 보고서이며, 보관 기록에는 9일간의 빈칸이 있다. 해시값을 처음 계산한 시점이 언제인지, 그 9일 동안 복제본이 누구의 손에 있었는지, 사용한 분석 도구의 종류와 설정은 미정이다. 파일 300개를 뽑은 기준과 그 선택이 누구의 판단에 따른 것인지도 미정이다.
14개 장과 각 장의 물음
- 01흔적 없이 바뀌는 정보, 따로 세워야 하는 증명
디지털 증거는 왜 내용이 원래 그대로라는 증명을 일반적인 증거와 달리 따로 요구하는가?
13분 - 02진술서등 조문이 정보저장매체를 다루는 방식
형사소송법 제313조는 저장된 정보에 관해 무엇을 정하고 무엇을 남겨 두는가?
12분 - 03증거조사 방식이 정한 것과 비워 둔 자리
제292조의3과 형사소송규칙 제134조의7·제134조의8은 디지털 증거의 조사에서 무엇을 정하는가?
9분 - 04압수 단계에서 법정 근거가 미치는 곳
압수 조문은 매체를 손에 넣는 시점의 절차를 어디까지 규율하는가?
9분 - 05출력 문건이 법정에 서기 위한 조건
저장매체에서 출력한 문건의 증거능력에 판례는 무엇을 요구하는가?
11분 - 06동일성과 무결성을 증명하는 방법들
원본과 사본이 같다는 점은 어떤 방법으로 증명될 수 있는가?
12분 - 07같은 요건이 전자정보에 적용되는 방식
2017도13263은 전자정보의 동일성과 무결성에 같은 요건을 어떻게 적용하는가?
11분 - 08해시값의 일치가 말하는 것과 말하지 못하는 것
두 시점의 해시값이 같다는 사실은 무엇까지를 증명하는가?
13분 - 09처음 값을 계한 시점의 문제
해시값을 처음 계산하기 전의 구간은 어떻게 다루어져야 하는가?
12분 - 10수집과 봉인의 고리
수집에서 봉인과 운반까지의 연속성은 무엇으로 기록되는가?
9분 - 11복제와 분석의 고리
매체를 복제하고 파일을 뽑는 동안의 연속성은 무엇으로 남는가?
10분 - 12법정에 이르는 고리
제출과 증거조사 단계에서 수집 시점의 것과 같은지가 어떻게 확인되는가?
8분 - 13도구와 손에 대한 심사
분석 도구와 분석자의 신뢰성은 법정에서 어떻게 심사되는가?
10분 - 14남는 물음과 다시 물어야 할 조건
이 권이 다루지 못한 물음은 무엇이고, 어떤 사정이 생기면 앞의 결론을 다시 검토해야 하는가?
11분