디지털 증거의 동일성 입증을 위한 해시함수의 한계점과 이를 보완하기 위한 다양한 입증 방법의 필요성 doc_id PCY_201810250544571971_2

그런데 해시함수는 지문·DNA·거짓말탐지기와 달리 유죄를 입증하는 증거가 아니라 디지털증거의 동일성을 입증하는 기술에 해당한다. 거짓말탐지기결과, 필적감정, 위드마크(Widmark), 지문과 달리 수학적 알고리즘으로 전문가 수준의 지식·기술·경험을 요구하지 않는다. 수사현장에서도 사이버수사관, 디지털분석관 뿐만 아니라 일반 수사관도 사용하고 있다. 동일한 증거에 동일한 해시도구를 사용하면 누가 사용해도 동일한 해시값이 산출되기 때문에 사용자의 지식·경험에 따른 오류가 발생하지 않는다. 따라서 앞서 정의한 개념을 전제로 하면 해시함수는 과학적 증거에 해당한다고 볼 수 없다. 이는 과학적 증거에 포함되지 않는 것이 아니라 과학적 증거로 논의하는 것 자체가 타당하지 않다는 것을 의미한다. 서버가 운영 중이면 해당 파일이 실시간으로 변경될 수 있어 압수 직후에 해시값을 생성하더라도 다를 수 있다. 스마트폰을 압수하여 물리적인 통제 상태에 놓였다 하더라도 피의자 또는 공범이 킬 스위치(Kill switch)를 이용하거나 원격에서 조작하는 방법으로 데이터를 변경하면 해시값이 달라진다. 물리 메모리 영역에서 수집하는 경우 정보가 계속 변경되고, 휘발성이 있기 때문에 마찬가지의 경우가 발생한다. MS-Office 2003 이전 버전에서는 엑셀 파일을 열람만 해도 원본의 해시값이 변경된다. CD 등 보조기억장치는 아무런 접촉이 없어도 장시간 경과할 경우 데이터에 손상이 발생하여 해시값이 변경될 수 있다. IoT 등 임베디드(Embedded) 장비는 제조사 마다 하드웨어의 인터페이스가 다르기 때문에 디지털증거를 추출하기 어렵고, 그 과정에서 데이터가 변경되기도 한다. SSD(Solid State Drive) 메모리는 가비지 컬렉션(Garbage Collection) 기능이 있어 불필요한 데이터를 수시로 삭제하기 때문에 원본이 계속 변경된다. 원본이나 사본에 베드섹터(Bad sector)가 있으면 그 상태에 따라 해시값이 매번 다르게 나타날 수 있다. 해시도구가 베드섹터(Bad sector)를 어떻게 읽었느냐에 따라서 입력값이 달라지기 때문이다. 한글파일을 암호화하는 경우 원본 파일, 암호화된 파일, 암호를 해제한 파일, 암호를 변경한 파일의 해시값이 모두 다르다. 복제본에 대한 해시값을 생성하였는데, 운반 과정에서 복제본 안에 저장되어 있는 개별 파일에 기술적 문제가 발생한 경우 전체의 해시값이 변경되기도 한다. 유사한 사례로 법원의 영장 별지에 따라 복제본에서 혐의사실과 관계없는 정보를 삭제하면 복제본 전체의 해시값이 달라지게 된다. 이때 복제본에서 압수파일에 대한 해시값을 별도로 생성하지 않았다면 복제본을 가지고 있지 않는 이상 그 파일이 최초에 압수되었던 상태 그대로임을 입증할 수 없게 된다. 수사기관이 압수·수색영장으로 포털회사로부터 전자우편 내용을 회신 받거나 전기통신사업자로부터 특정기지국에 대한 역발신 자료를 회신 받을 때 해시값을 생성하지 않기 때문에 동일성을 입증할 수 없다. 제3자의 시스템에 저장되어 있는 원본과 수사기관에게 회신해준 사본 간의 동일성을 증명할 방법이 없다. 제3자가 전자우편이나 역발신 자료를 편집하여 제출하는 경우가 대부분이라면 해시값 비교도 의미가 없다. 형사소송법상 당연히 증거능력이 있는 통상문서(제315조)라고 해석한다 하더라도 디지털증거이고 복제되어 전달된다면 동일성 입증은 필요하다. 전기통신감청은 시간이 경과함에 따라 원본이 소멸되고 별도의 저장장치에 남아있는 증거밖에 없기 때문에 원본과 사본에서 각각의 해시값을 생성해 비교하는 것이 불가능하다. 수사기관이 공개된 게시판이나 P2P 사이트 등에서 범죄혐의와 관련된 내용을 갈무리하거나 다운받을 때에도 해시값을 산출하지 않아 동일성 입증이 안 된다. 수사기관이 인터넷 공간에서 채증을 하거나 피의자로부터 디지털증거를 임의제출을 받을 때에도 해시값을 산출하고 있지 않다. 이때 해시값 산출이 필요한지 논란이 될 수 있는데 최근에 법원에서 임의 제출하는 경우에도 영장과 같은 엄격한 절차를 요구하기는 어렵지만 제출자로부터 원본이 조작되지 않았다는 취지의 확인을 받은 후 원본을 압수하거나 복사하는 경우에 사본을 봉인하여 무결성에 대한 합리적인 의심이 들지 않을 정도의 증명이 필요하다고 판결하였다. 나아가 현재 사용하는 해시도구는 메타데이터의 동일성을 증명하지 못한다. 파일을 복제하면 생성시간 등 메타데이터가 변경되고, 복제가 언제 생성되었는지를 확인할 수 있는 시점확인 서비스(Time Stamping Service) 기능도 없다. 해시값을 생성할 때 데이터 영역에 있는 정보만을 입력값으로 사용하고, 메타데이터 영역에 있는 데이터는 활용하지 않기 때문이다. 그래서 파일을 압수한 후에 파일의 이름, 확장자, 시간을 변경해도 해시값은 바뀌지 않기 때문에 동일성을 담보할 수 없다. 대법원은 왕재산 사건에서 동일성 입증의 원칙적 방법으로 해시함수를 규정하고 조사자 증언·진술, 보관연속성 증명, 법정에서 원본과 사본의 대조, 영상촬영물 등을 예외로 규정하였지만, 이석기 사건과 조세범처벌법 사건에서 다양한 입증방법을 종합적으로 검토하도록 규정하였다. 해석에서 모호함이 있지만 수사기관은 여전히 ‘원칙과 예외’의 기준을 활용하고 있다. 해시함수가 낮은 비용으로 높은 신뢰성을 가져오기 때문에 원칙으로 규정하여 활용하는 것도 분명 의미가 있다. 하지만 ‘원칙과 예외’는 예외적인 방법이 자칫 부차적인 수단으로 전락할 우려가 있고, 다양한 입증 방법을 만들어야할 동인을 제거하게 된다. 그래서 ‘원칙과 예외’는 수사현장에서 여건과 상황에 따라서 판단할 문제이지 대법원에서 규정할 사안은 아니다. 물리적 증거에서 증거능력이 인정되는 관련자 증언·진술, 검증·감정결과, 영상촬영물 등이 디지털증거에서 예외적 요건으로 인용되는 것도 납득하기 어렵다. 현장을 고스란히 촬영한 영상녹화물이나 복제본을 밀봉하여 보관연속성(Chain of Custody)이 증명된 디지털증거의 동일성 증명방법이 해시값보다 못하다고 할 수 없다. 해시값이 정상적으로 생성된 경우 동일성 증명에 아무런 문제가 없지만, 해시값이 쉽게 변경되거나 해시값으로 동일성을 증명할 수 없는 경우에는 다양한 입증 방법을 개발하고 활용해야 한다. 대법원에서 동일성 입증 방법으로 해시값 뿐만 아니라 사람의 증언이나 진술, 보관연속성, 영상녹화물 등 다양한 방법을 인정하고 있는 만큼 해시값 변경이 가능한 다양한 기술적 상황에 대한 실험과 검증을 통해 인과관계를 규명하는 노력을 해야 한다. 하드웨어의 문제로 해시값이 다른 경우 동일한 조건의 하드웨어에서 반복적으로 해시값을 산출하여 변경된 해시값이 반복적으로 산출된다는 것을 증명하면 될 것이다. IoT장비와 같이 원본의 데이터 추출을 위하여 부득이 증거의 손상이 발생하는 경우나 원본 자체와 동일성을 비교할 수 없는 전기통신감청의 경우에는 전문가를 참관시키는 것도 방법일 것이다. 나아가 이러한 상황을 체계화하여 기술표준으로 정립하여 집행방법을 객관적으로 인정받는 노력도 필요하다.