안드로이드 풀 파일 시스템 추출이란? FFS 포렌식 원리부터 삭제 데이터 분석까지

스마트폰 포렌식에 관심이 있다면 **안드로이드 풀 파일 시스템 추출(Full File System Extraction)**이라는 용어를 한 번쯤 들어보셨을 겁니다.

휴대폰에 저장된 문자메시지나 사진뿐 아니라 카카오톡 대화, 앱 데이터베이스, 시스템 기록까지 분석하려면 어떤 방식으로 데이터를 확보해야 할까요?

일반적인 스마트폰 백업만으로는 확인하기 어려운 데이터가 있기 때문에 디지털포렌식에서는 다양한 추출 방식을 활용합니다.

그중 하나가 바로 FFS(Full File System) 추출입니다.

안드로이드 풀 파일 시스템 추출이란 스마트폰의 파일시스템에서 접근 가능한 파일과 디렉터리 구조, 앱 데이터, 시스템 관련 파일 등을 최대한 확보하는 포렌식 데이터 추출 방식입니다.

다만 모든 안드로이드 기기에서 FFS 추출이 가능한 것은 아니며, 추출에 성공하더라도 모든 데이터가 확보되거나 삭제된 파일이 반드시 복구되는 것은 아닙니다.

이번 글에서는 안드로이드 FFS 추출의 원리부터 일반 논리 추출과의 차이, 앱 데이터 분석, 암호화 및 보안 패치의 영향까지 자세히 알아보겠습니다.

 

---

목차

1. 안드로이드 풀 파일 시스템 추출이란?
2. FFS 추출과 논리 추출의 차이
3. FFS 추출과 물리 추출은 같은 기술일까?
4. 안드로이드 FFS 추출로 확인할 수 있는 데이터
5. 카카오톡과 앱 데이터베이스 분석
6. 삭제된 데이터도 복구할 수 있을까?
7. 안드로이드 암호화와 FFS 추출의 관계
8. 기종과 보안 패치에 따른 추출 가능성
9. 안드로이드 포렌식 장비의 역할
10. FFS 추출 후 데이터 분석 과정
11. 디지털 증거로 활용할 때 주의사항
12. 안드로이드 FFS 추출 FAQ

---

1. 안드로이드 풀 파일 시스템 추출이란?

안드로이드 풀 파일 시스템 추출은 흔히 Android FFS Extraction이라고 부릅니다.

스마트폰 내부의 파일시스템에 접근하여 분석 가능한 파일과 폴더 구조를 확보하는 방식입니다.

일반적인 백업에서는 사용자가 접근할 수 있는 데이터나 운영체제가 허용한 정보만 확보되는 경우가 많습니다.

반면 FFS 추출은 기기의 보안 상태와 추출 기술이 허용하는 범위에서 앱 내부 저장소, 데이터베이스, 설정 파일 등 더 폭넓은 자료를 확보할 수 있습니다.

여기서 중요한 것은 Full이라는 표현이 스마트폰의 모든 데이터를 100% 확보한다는 의미는 아니라는 점입니다.

실제 확보 범위는 기종, 운영체제, 잠금 상태, 암호화 및 추출 도구의 지원 여부에 따라 달라집니다.

2. FFS 추출과 논리 추출의 차이

안드로이드 포렌식에서는 목적과 기기 상태에 따라 여러 추출 방식을 사용합니다.

대표적인 방식은 논리 추출(Logical Extraction)과 풀 파일 시스템 추출(FFS Extraction)입니다.

논리 추출은 운영체제나 공식 인터페이스가 제공하는 경로를 이용해 접근 가능한 데이터를 확보하는 방식입니다.

연락처, 통화기록, 일부 메시지와 미디어 파일 등이 대상이 될 수 있습니다.

반면 FFS 추출은 파일시스템 수준에서 접근 가능한 파일과 디렉터리를 보다 폭넓게 확보하는 것을 목표로 합니다.

따라서 일반적인 논리 추출로는 확보하기 어려운 앱 내부 파일이나 데이터베이스가 분석 대상에 포함될 가능성이 있습니다.

다만 FFS가 항상 모든 논리 추출 결과를 포함하거나 더 완전한 결과를 제공하는 것은 아닙니다. 기기와 추출 방법에 따라 차이가 발생할 수 있습니다.

3. FFS 추출과 물리 추출은 같은 기술일까?

FFS 추출과 물리 추출은 서로 다른 개념입니다.

**물리 추출(Physical Extraction)**은 저장장치의 물리적 또는 저수준 데이터 영역을 확보하는 방식을 의미합니다.

반면 FFS 추출은 파일시스템을 통해 접근 가능한 파일과 디렉터리를 확보하는 방식입니다.

즉, FFS 추출은 저장장치의 모든 영역을 비트 단위로 복제하는 것과 동일하지 않습니다.

특히 최신 안드로이드 스마트폰은 암호화와 하드웨어 기반 보안 기능을 사용하기 때문에 저장장치의 원시 데이터를 확보하더라도 이를 곧바로 해석할 수 있는 것은 아닙니다.

따라서 실제 포렌식에서는 단순한 추출 방식의 명칭보다 어떤 데이터가 어떤 상태로 확보되었는지가 더 중요합니다.

 

4. 안드로이드 FFS 추출로 확인할 수 있는 데이터

FFS 추출을 통해 확보할 수 있는 데이터는 기기마다 다르지만, 일반적으로 다음과 같은 항목을 분석 대상으로 검토합니다.

• 앱 내부 데이터베이스 및 설정 파일
• 사진과 동영상 등 미디어 파일
• 문자메시지 및 통화기록 관련 데이터
• 연락처 관련 데이터베이스
• 일부 메신저 앱 데이터
• 앱 캐시 및 임시파일
• 시스템 설정 및 일부 로그
• 파일 생성·수정 관련 메타데이터

다만 목록에 포함된 데이터가 모든 기기에서 반드시 확보된다는 의미는 아닙니다.

앱 자체 암호화, 저장 위치, 접근 권한 및 데이터 보존 상태에 따라 확보와 해석 가능성이 달라집니다.

5. 카카오톡과 앱 데이터베이스 분석

안드로이드 FFS 추출이 주목받는 이유 중 하나는 앱 내부 데이터 분석 가능성 때문입니다.

안드로이드 앱은 SQLite 데이터베이스나 다양한 형식의 파일을 이용해 데이터를 저장할 수 있습니다.

카카오톡을 비롯한 메신저 앱도 기기와 앱 버전에 따라 로컬 데이터베이스, 미디어 파일, 캐시 등의 데이터를 저장할 수 있습니다.

FFS 추출을 통해 이러한 파일이 확보된다면 포렌식 분석 도구로 구조와 내용을 검토할 수 있습니다.

하지만 카카오톡 데이터베이스 파일을 확보했다고 해서 모든 대화 내용을 바로 읽을 수 있는 것은 아닙니다.

앱 버전과 암호화 방식, 필요한 키의 확보 여부, 데이터 보존 상태 등에 따라 분석 결과가 달라질 수 있습니다.

또한 서버에만 존재하는 데이터는 단말기의 FFS 추출만으로 확보할 수 없습니다.

6. 삭제된 데이터도 복구할 수 있을까?

많은 분이 가장 궁금해하는 질문입니다.

“FFS 추출에 성공하면 삭제된 카카오톡 대화나 사진도 복구할 수 있나요?”

답은 가능한 경우도 있지만 보장할 수는 없다입니다.

FFS 추출로 확보한 데이터베이스에 삭제된 레코드의 일부 흔적이 남아 있거나, 관련 WAL 파일·캐시 등에 데이터가 보존되어 있다면 추가 분석을 검토할 수 있습니다.

그러나 이미 데이터가 정리되거나 덮어쓰기 되었고 관련 흔적도 남아 있지 않다면 복구가 어려울 수 있습니다.

특히 최신 안드로이드 스마트폰은 암호화와 플래시 저장장치 관리 기능을 사용하므로 삭제된 원본 데이터를 직접 복구하는 데 제약이 있습니다.

FFS 추출 성공과 삭제 데이터 복구 성공은 서로 다른 문제입니다.

 

7. 안드로이드 암호화와 FFS 추출의 관계

최신 안드로이드 기기는 사용자 데이터를 보호하기 위해 다양한 암호화 기술을 적용합니다.

대표적인 기술이 **FBE(File-Based Encryption)**입니다.

FBE 환경에서는 파일과 사용자 데이터 영역에 따라 서로 다른 암호화 정책과 키가 적용될 수 있습니다.

특히 기기가 재부팅된 뒤 사용자가 처음 잠금을 해제하기 전인 BFU(Before First Unlock) 상태와, 한 번 이상 잠금을 해제한 이후인 AFU(After First Unlock) 상태는 데이터 접근 가능 범위에 영향을 줄 수 있습니다.

다만 AFU 상태라고 해서 모든 데이터가 항상 접근 가능한 것은 아닙니다.

기기의 잠금 상태와 보안 설정, 하드웨어 보안 구조, 추출 도구의 지원 여부를 종합적으로 고려해야 합니다.

8. 기종과 보안 패치에 따른 추출 가능성

안드로이드 FFS 추출은 모든 스마트폰에서 동일하게 작동하지 않습니다.

예를 들어 같은 제조사의 갤럭시 스마트폰이라도 모델, 칩셋, 안드로이드 버전, 보안 패치 수준에 따라 지원되는 추출 방식이 달라질 수 있습니다.

또한 제조사 보안 기능이나 부트로더 정책도 추출 가능성에 영향을 줄 수 있습니다.

따라서 특정 기종에서 과거에 FFS 추출이 가능했다는 사실만으로 현재 동일한 방식이 지원된다고 판단해서는 안 됩니다.

정확한 가능성은 기종명, 모델번호, 운영체제 버전, 보안 패치 수준, 기기 상태를 확인한 뒤 판단해야 합니다.

9. 안드로이드 포렌식 장비의 역할

안드로이드 FFS 추출과 분석에는 전문적인 디지털포렌식 도구가 활용됩니다.

대표적인 제품군으로는 다음과 같은 도구가 있습니다.

• Cellebrite UFED
• Cellebrite Physical Analyzer
• Magnet AXIOM
• MSAB XRY
• MSAB XAMN
• Oxygen Forensic Detective

이러한 도구는 지원되는 기기에서 데이터를 추출하거나 확보된 데이터를 분석하는 데 활용될 수 있습니다.

다만 제품마다 추출 기능과 분석 기능이 다르며, 특정 제품이 모든 안드로이드 기기의 FFS 추출을 지원하는 것은 아닙니다.

실제 지원 여부는 제품 버전과 라이선스, 기기 보안 상태 등에 따라 달라집니다.

10. FFS 추출 후 데이터 분석 과정

안드로이드 FFS 추출은 데이터를 확보하는 단계이며, 실제 포렌식 분석은 그 이후에도 이어집니다.

일반적인 작업 과정은 다음과 같습니다.

① 분석 목적 및 적법한 권한 확인

분석 대상과 필요한 데이터, 기기 접근 권한을 확인합니다.

② 기기 상태 확인

모델번호, 운영체제, 보안 패치, 잠금 및 암호화 상태 등을 확인합니다.

③ 추출 방식 검토

기기에서 지원되는 논리 추출 또는 FFS 추출 등의 방법을 검토합니다.

④ 데이터 확보 및 무결성 관리

가능한 범위에서 데이터를 확보하고, 추출 결과와 작업 과정을 기록합니다.

⑤ 데이터베이스 및 파일 분석

앱 데이터베이스, 미디어, 시스템 기록 등 확보된 자료를 분석합니다.

⑥ 분석 결과 정리

확인된 사실과 분석의 한계사항을 구분하여 보고서로 정리합니다.

11. 디지털 증거로 활용할 때 주의사항

안드로이드 FFS 추출 결과는 사건과 관련된 디지털 자료를 분석하는 데 활용될 수 있습니다.

예를 들어 민사소송이나 형사사건에서 문자메시지, 앱 데이터, 파일 사용 흔적 등이 쟁점이 될 수 있습니다.

이 경우 데이터의 확보 과정과 무결성 관리, 분석 방법을 기록하는 것이 중요합니다.

또한 확보된 데이터의 시간정보는 앱과 운영체제의 저장 방식에 따라 해석에 주의해야 합니다.

무엇보다 분석 과정에서 실제로 확인된 사실과 분석자의 추정을 구분해야 합니다.

스마트폰에는 민감한 개인정보가 포함될 수 있으므로 적법한 접근 권한과 분석 범위를 확인해야 하며, 포렌식 보고서가 작성되었다는 이유만으로 법원에서 자동으로 증거로 인정되는 것은 아닙니다.

 

---

12. 안드로이드 FFS 추출 자주 묻는 질문(FAQ)

Q1. 안드로이드 풀 파일 시스템 추출이란 무엇인가요?

안드로이드 스마트폰의 파일시스템에서 접근 가능한 파일과 디렉터리, 앱 데이터 등을 폭넓게 확보하는 포렌식 추출 방식입니다.

Q2. FFS 추출을 하면 모든 데이터를 확보할 수 있나요?

아닙니다. 기종, 운영체제, 잠금 상태, 암호화, 추출 도구의 지원 여부에 따라 확보 가능한 데이터가 달라집니다.

Q3. FFS 추출로 삭제된 카카오톡 대화를 복구할 수 있나요?

관련 데이터베이스나 WAL 파일 등에 삭제 데이터의 흔적이 남아 있다면 분석 가능성을 검토할 수 있습니다. 하지만 모든 삭제 대화가 복구되는 것은 아닙니다.

Q4. FFS 추출과 물리 추출은 무엇이 다른가요?

FFS 추출은 파일시스템에서 접근 가능한 데이터를 확보하는 방식이며, 물리 추출은 저장장치의 저수준 데이터 영역을 확보하는 방식입니다. 두 기술은 동일하지 않습니다.

Q5. 최신 갤럭시 스마트폰에서도 FFS 추출이 가능한가요?

기종과 모델번호, 운영체제, 보안 패치, 잠금 상태 및 포렌식 도구의 지원 여부에 따라 달라집니다. 최신 기종이라고 해서 모두 가능하거나 모두 불가능한 것은 아닙니다.

---

마무리｜안드로이드 FFS 추출의 핵심은 데이터 확보 범위와 정확한 분석입니다

안드로이드 풀 파일 시스템 추출은 일반적인 논리 추출보다 폭넓은 파일과 앱 데이터를 확보할 수 있는 포렌식 기술입니다.

특히 앱 내부 데이터베이스와 파일시스템 관련 자료를 분석해야 하는 사건에서 중요한 역할을 할 수 있습니다.

하지만 FFS 추출이 모든 데이터를 확보하는 기술은 아니며, 삭제된 카카오톡이나 사진이 반드시 복구되는 것도 아닙니다.

실제 분석 가능성은 스마트폰의 기종, 운영체제, 암호화 상태, 보안 패치 및 데이터 보존 여부에 따라 달라집니다.

따라서 안드로이드 포렌식에서는 어떤 추출 방식을 사용했는가보다 실제로 어떤 데이터가 확보되었고, 그 데이터를 얼마나 정확하게 해석할 수 있는가가 더욱 중요합니다.

디지털포렌식의 목적은 원하는 결과를 만들어내는 것이 아니라 확보된 데이터를 근거로 객관적인 사실관계를 확인하는 것입니다.

 

파주포렌식데이터복구기술원 경기 파주시 금바위로 42