디스크 암호화 소프트웨어로 데이터를 암호화 하는 경우 패스워드를 획득하기 전까지 암호화 데이터의 원본 데이터를 추출하기 위해서는 많은 어려움이 있다. 이러한 디스크 암호화 소프트웨어의 암호화 키는 물리 메모리 분석을 이용하여 암호화 키를 추출할 수 있다. 물리 메모리에서 암호화 키 탐색을 수행하는 경우 일반적으로 메모리 전체를 대상으로 탐색을 수행하기 때문에 메모리 크기에 비례하여 많은 시간이 요구된다. 하지만 물리 메모리 데이터에는 시스템 커널 오브젝트, 파일 데이터와 같이 암호화 키와 관련이 없는 많은 데이터가 포함되어 있음으로, 이를 분석하여 키 탐색에 필요한 유효한 데이터를 추출하는 방법이 요구된다. 본 논문에서는 윈도우즈 커널 가상 주소 공간 분석을 통해 물리 메모리에서 디스크 암호화 키가 저장되는 메모리 영역만 수집하는 효율적인 방법을 제시하고자 한다. 실험을 통해 제안된 방법이 기존 방법보다 암호화 키 탐색 공간을 효율적으로 줄임으로써 우수함을 증명한다.
It is hard to extract original data from encrypted data before getting the password in encrypted data with disk encryption software. This encryption key of disk encryption software can be extract by using physical memory analysis. Searching encryption key time in the physical memory increases with the size of memory because it is intended for whole memory. But physical memory data includes a lot of data that is unrelated to encryption keys like system kernel objects and file data. Therefore, it needs the method that extracts valid data for searching keys by analysis. We provide a method that collect only saved memory parts of disk encrypting keys in physical memory by analyzing Windows kernel virtual address space. We demonstrate superiority because the suggested method experimentally reduces more of the encryption key searching space than the existing method.
