1. 하드디스크 SSD(Solid State Disk)의 이해

플래시 기반의 SSD(Solid State Disk)는 램과 하드디스크 사이의 2차 캐시로서 스토리지 시스템의 성능을 크게 향상 시킬 수 있다. 플래시 메모리는 충격에 강하며, SSD는 용량면에서 DRAM보다 크고 하드디스크보다 작고, 성능 측면에서 DRAM보다 크고 느리고 하드 디스크보다 빠르며, 가격 측면에서 DRAM보다 싸고 하드 디스크보다 비싸다. 플래쉬 메모리의 장점을 활용하여 하드디스크 드라이브(HDD)와 동일한 형태로 개발된 대용량 플래시 메모리이며, HDD와 동일한 연결 인터페이스를 사용하지만, 자기장을 이용하는 HDD와 달리 NAND 플래시 반도체를 이용하여 정보를 저장매체 이다.

2. 하드디스크 SSD(Solid State Disk) 특징

1) 하드디스크드라이브(HDD)를 대체하는 차세대 대용량 저장장치 원판의 재질이 반도체(Solid State)로 이루어짐 사용되는 반도체 종류 NAND , D-RAM으로 이루어져 있다.

2) 하드디스크 SSD(Solid State Disk)는 NAND 플래시를 사용 하기 때문에 읽기, 쓰기, 접근시간이 기존HDD에 비해 매우 빠르고 소비전력, 소음, 발열이 낮다.

3. 플래시 메모리 저장매체(Flash Memory Storage)

1) 전기적으로 데이터를 지우고 재 기록 가능한 비휘발성 기억장치이다.

2). 전기적으로 고쳐 쓰기가 가능하다는 점에서는 ROM과 다르며, 데이터를 고쳐 쓰기전에 소거 동작이 필요하고 데이터가 지워지지 않는다는 점에서 ROM과 RAM의 중간 성격을 띄는 메모리 이다.

4. NOR 플래시 메모리

속도는 빠르지만 대용량으로 구성하기에는 부적합 MMC 카드나 Compact 플래시 메모리를 포함하여 휴대폰이나 셋탑박스 등에 주로 이용된다.

5. NAND 플래시 메모리

플래시 메모리는 충격에 강하고 저전력으로 동작이 가능하다는 장점 덕에 녹음기, MP3, 디지털카메라, 휴대폰과 스캐너, USB 플래시메모리로 널리 사용된다.

6. 플래시 메모리의 특성

32MB부터 64GB까지 다양한 용량이 있으며, 크기가 작고 휴대가 편리하며 비교적 저렴하여 전세계적으로 널리 쓰이고 있다.

7. USB(Universal Serial Bus) 플래시메모리

1) 사용자가 전원 공급의 비 이상적인 전원 차단 및 불안전한 전압으로 손상된 경우.

8. USB(Universal Serial Bus) 메모리의 디지털 포렌식 관점

USB(Universal Serial Bus) 메모리를 대상으로 데이터를 수집할 때에는 USB 메모리의 용량과 실제 디스크의 크기가 동일한 지를 확인하여 암호화 영역이나 숨겨진 영역이 존재하는지 점검 해야 한다.

11. SSD(Solid State Disk), USB, CF, SD카드 디지털 포렌식의 데이터 복구

1) SSD, USB, CF, SD카드 저장매체 물리 손상에 의한 복구

데이터는 플래터 에 자기장을 사용해 인코딩되어 있는데 플래터를 제외한 나머지 구성 요소들이 손상된 경우 해당 요소를 교체하여 플래터의 내용을 복구할 수 있다. 한 플래터가 손상된 경우에도 손상 정도에 따라 복구가 가능한 경우도 있다. 한편 플래시 메모리의 경우 데이터를 장한 칩을 제 외한 나머지 부품이 손상된 경우 칩을 제거한 후 리볼링 (Re-Balling) 방법을 통해 복구가 가능하다.

2) SSD, USB, CF, SD카드 논리 데이터 복구

장비매체의 물리인 하드웨어에 기반하여 복구하는 기법이 아닌 논리인 파일시스템이나 일에 기반 하여 복구하는 기법이다. 논리 데이터 복구 는 크게 파일시스템 메타정보를 이용한 복구, 데이터 카빙 복구, 덮어써진 파일 복구할 수 있다.

3) SSD, USB, CF, SD카드 메타 정보를 이용한 파일 복구

파일시시스템의 이러한 특성은 삭제된 파일의 메타 영역이 새로운 파일로 덮어써지지 않는다면 메타 영역의 파일위치 및 크기 정보를 이용해 데이터 영역에 저장된 일의 실제 데이터를 비교 쉽게 획득으로 파일복구 할 수 있다.

4) SSD, USB, CF, SD카드 데이터 카빙 복구

조각나지 않은 파일 카빙 기법은 헤더/푸터 시그니처를 이용하거나 램슬랙(Ram Slack)을 이용하여 복구하는 기법 이다]. 조각난 일 카빙 기법은 일 구조체, 내용 및 엔트로피에 기반하여 복구하는 방법으로 아직까지 가능한 포맷이 제한이고 많은 시간이 요구된다.

5) SSD, USB, CF, SD카드 덮어써진 파일 복구

덮어써진 일 복구는 (그림 1)에서 메타 역과 데이터 역이 모두 새로운 데이터로 덮어써진 경우에 복구하는 방 법이다. 현실적으로 불가능해 보이지만 1996년 Peter Gutmann에 의해 복구 가능성이 드러났다. 하드디스크의 경우 데이터는 자기장을 사용해 인코딩 된다. 이러한 상황에서 데이터가 덮어써질 경우 STM(Scanning Tunneling Microscopy)을 통해 자기장의 변이를 관찰하면 덮어쓰기 이전의 데이터 흐름을 알 수 있다는 것이다. 하지만 이는 매우 제한인 상황에서 일부 비트들의 복구가 가능한 것으로 현실적으로 원본의 데이터를 완벽하게 복구하는 것은 매우 힘들다.