애플 Siri 서비스의 포렌식 분석 연구

A Forensic Study on Apple's Siri Service

Abstract

음성 기반 디지털 비서는 일상적으로 활용되고 있으며, 사용자와의 상호작용 기록은 디지털 포렌식 분석에서 사용자의 행위 재구성과 증거 확보에 중요한 단서를 제공한다. 본 논문은 Apple의 Siri를 대상으로, 사용 이력이 저장되는 로컬 데이터베이스인 SiriAnalytics.db의 존재 여부와 내부 구조를 실험적으로 분석하였다. iOS 13.4.1부터 18.5까지 다양한 환경을 비교한 결과, iOS 18.5를 제외한 모든 버전에서 해당 데이터베이스가 확인되었으며, Siri 응답이 JSON 형식의 평문으로 저장되고 실행 시각이 기록됨을 확인하였다. 또한 Frida 기반 동적 분석과 Ghidra 정적 분석을 통해 assistantd 프로세스가 SiriAnalytics.db를 생성 및 갱신하는 주체임을 규명하였으며, iOS 18.5에서는 해당 프로세스가 더 이상 확인되지 않음에 따라 Siri 로깅 구조가 변경되었을 가능성을 확인하였다. 이러한 결과를 바탕으로, SiriAnalytics.db가 iOS 18.5 이전 환경에서 포렌식 증거 자료로 활용될 수 있음을 확인하였으며, 동시에 iOS 18.5 이후 환경에서는 Siri 로깅 구조 변화 가능성을 보여주는 중요한 단서를 제공한다.

Voice-based digital assistants are widely used, and their interaction records can provide crucial clues for activity reconstruction and digital evidence in forensic investigations. This study focuses on Apple's Siri and experimentally analyzes the existence and structure of the local SiriAnalytics.db database. A comparison of iOS 13.4.1 to 18.5 environments confirmed the presence of this database in all versions except iOS 18.5, with Siri responses stored in plaintext JSON along with execution timestamps. Frida-based dynamic analysis and Ghidra-based static analysis further revealed that the assistantd process is responsible for creating and updating SiriAnalytics.db, while its absence in iOS 18.5 suggests a change in Siri's data storage structure. These findings demonstrate that SiriAnalytics.db is a valuable forensic artifact in pre-18.5 environments, while also indicating potential structural changes in later versions.

I. 서론

인공지능 기술과 인공지능 기반 음성 비서 기술의 발전으로, 글로벌 환경에서 음성 기반 인터페이스의 활용은 지속적으로 확대되고 있다. 2024년 기준 전 세계적으로 84억 개 이상의 음성 비서가 사용되고 있으며, 이는 이미 전 세계 인구수를 상회하는 수준으로, 음성 기반 서비스가 일상생활 전반에 널리 사용되고 있음을 의미한다[1]. 또한 미국에서는 2025년 기준 약 1억 5,350만 명이 음성 비서를 사용하는 것으로 보고되고 있어, 해당 기술이 광범위하게 활용되고 있음을 확인할 수 있다[2]. 스마트폰 보급률이 높은 한국에서도 음성 비서 시장은 가파르게 성장하고 있다. 2024년 음성 비서 시장 규모는 1억 8,260만 달러였으며, 2025년부터 2030년까지 연평균 32.8%의 성장률을 기록하며 2030년에는 10억 540만 달러에 이를 것으로 예상된다[3].

이와 같은 음성 비서 사용의 확산은 사용자와 시스템 간 상호작용 기록이 갖는 포렌식적 가치에 대한 관심을 증대시키고 있다. 음성 비서 서비스는 단순한 명령 수행을 넘어 사용자 질의, 응답 내용, 실행 시점 등 다양한 메타데이터를 생성하며, 이러한 정보는 사건 분석 과정에서 사용자 행위 재구성 및 디지털 증거 확보를 위한 중요한 자료로 활용될 수 있다.

최근 음성 비서 기술은 단순 음성 명령 인식 단계를 넘어, 대규모 언어 모델(LLM)과 온디바이스 인공지능 처리를 결합한 지능형 상호작용 시스템으로 발전하고 있다. 이러한 변화로 인해 음성 비서는 사용자 질의의 의미 해석, 맥락 유지, 복합 응답 생성 등 더욱 정교한 기능을 수행하게 되었으며, 이에 따라 생성 및 저장되는 데이터의 양과 복잡성 또한 증가하고 있다. 이러한 기술적 진화는 음성 비서 내부 데이터 구조와 로깅 메커니즘이 기존 버전과 다르게 설계될 가능성을 높이며, 결과적으로 디지털 포렌식 관점에서 해당 데이터가 어떤 형태로 보존되고 활용 가능한지에 대한 체계적인 검증이 필요하다.

특히 Apple의 Siri는 iOS 운영체제에 기본적으로 내장된 대표적인 음성 비서 서비스로, 광범위한 사용자 기반을 바탕으로 상당한 규모의 상호작용 데이터를 지속적으로 생성하고 있다. 더불어 최근 Apple Intelligence의 도입으로 Siri의 대화 처리능력과 지능형 응답 기능이 강화되면서, Siri가 생성·관리하는 데이터의 구조와 성격 또한 변화하고 있을 가능성이 제기되고 있다[4]. 이러한 변화는 Siri 관련 데이터의 포렌식적 접근 가능성과 증거 가치에 대한 체계적인 검증 필요성을 더 증대시킨다.

이에 본 연구는 대표적인 음성 비서 서비스인 Siri를 대상으로, 사용 이력이 저장되는 로컬 데이터베이스인 SiriAnalytics.db에 주목한다. 본 논문에서는 iOS 13.4.1부터 18.5까지 다양한 iOS 버전을 대상으로 SiriAnalytics.db의 존재 여부, 내부 데이터 구조, Siri 응답 내용의 평문 저장 가능성을 실험적으로 분석하고, 이를 바탕으로 해당 데이터베이스의 디지털 포렌식 자료로서의 활용 가능성을 제시한다.

본 논문의 구성은 다음과 같다. 먼저 관련 연구를 통해 기존 Siri 데이터 분석 연구와 Siri 보안·프라이버시 연구를 검토하여 연구의 배경과 위치를 정립한다. 이후 실험 환경과 분석 방법을 설명하고, 다양한 iOS 버전에서 SiriAnalytics.db의 생성 여부 및 구조를 비교 분석한 결과를 제시한다. 이어서 해당 데이터베이스의 내부 필드 구조와 저장 데이터의 특징을 분석하고, 디지털 포렌식 관점에서의 활용 가능성과 한계를 논의한다. 마지막으로 최신 iOS 환경에서 확인된 Siri 데이터 저장 구조 변화의 의미를 정리하고, 향후 연구 방향을 제시한다.

II. 관련연구

기존의 Siri 관련 디지털 포렌식 연구는 주로 Siri 사용 과정에서 생성되는 데이터가 어떠한 형태로 저장되고 관리되는지에 대한 구조적 분석을 수행하거나, 제한적인 범위에서 특정 데이터 항목을 추출·해석하는 접근 방식으로 이루어져왔다. 일부 연구에서는 Siri 사용 과정에서 생성되는 데이터가 사용자 프라이버시 측면에서 잠재적인 위험 요소가 될 수 있음을 지적하며, 관련 아티팩트의 포렌식적 활용 가능성을 탐색하였다.

대표적인 예로, Siri 관련 로컬 저장소 중 하나인 siriremembers.sqlite3 데이터베이스를 분석한 연구가 보고되었다[5]. 해당 연구는 Biome 및 interactionC 데이터베이스와 통합된 형태의 siriremembers 데이터베이스 구조를 파싱하고, intents 테이블 내 AppIntent 관련 메타데이터가 일정 기간 보존된다는 사실을 확인하였다. 이 데이터베이스에는 메시지, 통화 및 기타 애플리케이션과 관련된 상호작용 메타데이터가 저장되며, 일부 삭제된 상호작용 역시 일정 기간 접근 가능함이 보고되었다. 다만, 해당 데이터베이스는 상호작용의 속성(metadata) 중심으로 유지되며, Siri가 실제로 사용자에게 반환한 응답 텍스트 자체는 저장하지 않는다는 한계가 존재한다. 이로 인해 Siri 상호작용의 결과를 복원하는 데에는 제약이 따른다.

또한 PreviousConversation 파일의 경우 사용자와 Siri 간의 최근 대화 세션 일부가 보존된다는 사실이 확인되었으며, 이를 통해 단편적인 대화 기록을 확인할 수 있다는 가능성이 제시되었다[6]. 그러나 이러한 연구들은 대부분 특정 세션 혹은 제한된 구간에서만 데이터가 수집된다는 한계를 가지며, Siri가 반환한 전체 응답 텍스트를 체계적으로 확보하기 어렵다는 문제점을 내포하고 있다. 다시 말해, Siri 상호작용 기록을 장기적인 맥락에서 연속적으로 추적 및 재구성하기에는 기존 데이터만으로는 충분하지 않다는 제약이 존재한다.

Siri 자체를 보안 위협 관점에서 분석한 연구도 존재한다. 대표적으로 iOS 11.2.5 환경에서 Siri 호출 및 대화와 같은 상호작용을 활용하여 잠금 화면을 우회하는 실험이 수행된 바 있으며, 이를 통해 기기 잠금 상태에서도 Siri 음성 명령을 통해 연락처, 메시지, 일정, 통화 기록 등 일부 민감한 정보에 제한적으로 접근 가능하다는 점이 입증되었다[7]. 해당 연구는 Siri가 사용자 인증 경계와 보안 정책에 미치는 영향을 조명했다는 점에서 중요한 의의가 있지만, 초점이 기기 접근성 및 취약점 검증에 맞추어져 있어 Siri 상호작용 데이터의 저장 메커니즘, 데이터 구조, 장기적 기록 보존 가능성 등에 대해서는 상세히 다루지 않았다.

Siri의 데이터 처리 방식과 개인정보 보호 측면에 주목한 연구도 수행된 바 있다. 최근 도입된 Apple Intelligence 환경에서 Siri를 사용할 경우, 사용자 요청 처리 과정에서 다양한 형태의 개인 정보가 애플 서버로 전송될 가능성이 제기되었다[8]. 해당 연구에 따르면, 위치 정보가 사용자 질의와 직접적으로 관련되지 않은 상황에서도 위치 데이터가 함께 전송될 수 있으며, 사용자가 음성 명령을 수행할 때 관련 애플리케이션을 스캔하여 얻은 정보 역시 서버로 전송되는 문제가 관찰되었다. 또한 서버 전송 과정에서 기기에서 재생 중인 오디오가 함께 포함되는 사례도 확인되었다. 특히 Siri를 통해 WhatsApp과 같은 플랫폼으로 전송되는 메시지 내용이 애플 서버로 전달될 수 있음이 보고되면서, 기존에 WhatsApp이 제공하는 종단간 암호화(end-to-end encryption)의 실효성에 대한 의문이 제기되었다.

다만 이러한 결과는 제한된 환경에서 수행된 실험을 기반으로 하고 있어, 모든 iOS 버전과 모든 서비스 환경에 동일하게 적용된다고 단정하기는 어렵다는 한계가 존재한다. 또한 Apple Intelligence의 내부 처리 구조와 데이터 전송 메커니즘이 공개되지 않고 있어, 전송 데이터의 실제 처리 방식과 저장 여부를 완전히 검증하기에는 제약이 따른다. 그런데도 해당 연구는 Siri 및 Apple Intelligence 환경에서 사용자 데이터가 처리되는 과정에서 잠재적인 개인정보 유출 가능성을 제기하고, 향후 포렌식 및 개인정보 보호 관점에서 추가적인 기술적·정책적 검증이 필요함을 시사한다.

음성 비서 서비스가 수집한 음성 데이터가 단순한 기능 로그를 넘어 사용자 존재 여부 및 참여 여부를 추론 가능한 민감 정보임을 보여준 연구도 존재한다[9]. 해당 연구는 Siri를 포함한 실제 음성 비서 시스템을 대상으로 사용자의 음성을 학습에 사용했는지를 사용자 수준(User-level)에서 판별할 수 있음을 실험적으로 입증하였으며, 이는 음성 데이터가 단순한 음성 입력이 아니라, 사용자의 존재 여부·참여 이력 및 시스템 이용 흔적을 외부에서 역추적할 수 있는 정보 자산임을 의미하며, 결과적으로 음성 비서 데이터가 잠재적인 프라이버시 위협 요소가 될 수 있음을 보여준다. 이러한 연구 결과는 Siri 내부 로깅 데이터가 포렌식 관점에서 유용할 뿐만 아니라, 개인정보 보호 측면에서도 중요한 분석 대상으로 고려되어야 함을 시사한다.

다만 해당 연구는 사용자의 음성이 모델 학습 데이터로 활용되었는지를 외부에서 판별하는데 초점을 둔 것으로, Siri 사용 이후 기기 내부에 남는 로컬 데이터베이스 및 로깅 아티팩트를 직접 분석하는 본 연구의 관점과는 연구 초점이 다르다.

이에 비해 본 연구에서 주목하는 SiriAnalytics.db 파일은 기존 연구에서 활용된 데이터와 다른 특성을 가진다. 기존Siri 관련 아티팩트들이 단일 이벤트 또는 특정 세션에 국한된 메타데이터를 제공하는 데 그쳤다면, SiriAnalytics.db는 Siri가 반환한 응답 텍스트를 평문형태로 저장하며, 일정 기간에 걸쳐 누적된 상호작용 기록을 포괄적으로 보존한다는 점에서 근본적인 차별성을 가진다. 이러한 특성은 Siri 상호작용을 시간 흐름에 따라 연속적으로 재구성할 수 있게 하여, 기존 메타데이터 중심 아티팩트로는 불가능했던 타임라인 기반 포렌식분석을 가능하게 한다.

따라서 본 연구에서는 Siri 서비스 사용이 후기기 내부에 생성되는 로컬 데이터베이스인 SiriAnalytics.db를 실제 분석 대상으로 설정하고, 해당 데이터베이스가 어떠한 구조로 Siri 상호작용 정보를 저장하는지, 그리고 디지털포렌식 조사 과정에서 어떠한 형태의 단서와 증거를 제공할 수 있는지를 실험적으로 검증하였다. 특히 다양한 iOS 버전 및 기기 환경을 대상으로 SiriAnalytics.db의 존재 여부, 저장 구조, 기록 항목의 특성을 비교 분석함으로써, 이 데이터베이스가 기존 Siri 관련 포렌식 아티팩트와 비교하여 어떠한 차별성과 추가적인 의미를 가지는지를 체계적으로 규명하고자 하였다.

이러한 분석을 통해 SiriAnalytics.db가 단순한 로그 파일을 넘어, 사용자 질의 내용과 서비스 응답, 실행 시점 등의 정보가 결합된 정교한 타임라인 기반 포렌식 자료로 활용될 수 있음을 제시하며, 향후 Siri뿐만 아니라 음성 비서 기반 서비스 전반에 대한 포렌식 분석 연구 확장 가능성을 논의한다. Table 1은 기존 관련 연구들이 다루고 있는 Siri 데이터 아티팩트, 보안·프라이버시 분석, 모델 기반 개인정보 위험 연구의 주요 내용과 한계점을 정리하고, 이를 본 연구에서 분석한 SiriAnalytics.db와 비교하여 제시한다.

Table 1. Summary of Existing Siri-Related Forensic Research

III. 아티팩트 분석 방법

본 연구는 다양한 iOS 버전을 실행하는 여러 기기를 대상으로 Siri 호출 시 생성되는 로컬 데이터베이스(SiriAnalytics.db)의 존재 여부와 내부 저장 구조를 체계적으로 검증하였다.

Table 2는 실험에 사용된 기기종류, iOS 버전, 탈옥 여부, 그리고 SiriAnalytics.db 파일의생성 여부를 정리한 것이다.

Table 2. Experimental Devices and SiriAnalytics.db Availability Across iOS Version

실험은 모든 기기에서 동일한 절차와 시나리오를 적용하여 수행되었다. 각 기기에서 Siri를 활성화한 뒤, 타이머 설정, 날씨 확인, 현재 날짜 및 시간 조회, 정보 검색과 같이 사용자가 일상적으로 활용할 수 있는 대표적 명령을 반복 수행하도록 구성하였다. 이러한 명령은 시스템 리소스 접근, 네트워크 요청, UI 응답 등 다양한 Siri 내부 처리 과정을 유발한다는 점에서, 일반적인 Siri 사용 환경을 구현할 수 있도록 설계되었다. 각 명령 수행 이후 생성되는 데이터가 SiriAnalytics.db에 기록되는지와 그 저장 형식을 함께 분석함으로써, SiriAnalytics.db가 단발성 상황이 아닌 일반적인 사용자 상호작용 환경에서도 일관되게 생성 및 활용되는 데이터베이스인지 검증하였다. 또한 동일한 명령을 각 조건에서 3회 반복 수행하여, 데이터 저장 여부가 일시적인 현상인지 아니면 지속적인 시스템 동작 특성인지를 확인하였다.

모든 Siri 명령은 Table 3에 제시된 동일한 환경에서 반복 수행되었으며, 명령 간 수행 간격은 각 명령이 독립적인 이벤트로 처리되어 데이터베이스에 기록되는지를 확인하기 위해 1분으로 설정하였다. 네트워크 상태에 따른 변수를 최소화하기 위해 안정적인 Wi-Fi 환경에서 실험을 수행하였다. 이와 같은 실험 설정은 동일한 환경에서의 반복 실험을 통해 연구 결과의 재현성을 확보하기 위함이다.

Table 3. Experimental Conditions for Siri Interaction Tests

SiriAnalytics.db 파일의 추출은 주로 Sysdiagnose 도구를 활용하여 이루어졌다. Sysdiagnose는 Apple이 제공하는 공식 시스템 진단 도구로, 운영체제 내부 로그, 프로세스 상태 정보, 서비스 동작 기록 등을 포함한 대규모 로그 번들을 생성한다. 본 연구에서는 이 로그 번들 내부에 SiriAnalytics.db가 포함되어 있음을 확인하였으며, 해당 파일을 통해 Siri 사용 이력을 수집할 수 있는 구조를 확인하였다. 특히 Sysdiagnose 기반 추출 방식은 탈옥과 같은 비일반적 환경 설정 없이도 Siri 관련 포렌식 아티팩트를 확보할 수 있다는 점에서 실무적 활용 가능성이 크다. 이는 실제 포렌식 조사 과정에서 비탈옥 상태의 일반 사용자 기기를 대상으로 Siri 데이터를 확보할 수 있음을 의미하며, SiriAnalytics.db가 이론적 분석 대상으로만 존재하는 것이 아니라 현실적인 조사 환경에서도 접근할 수 있는 아티팩트임을 보여준다.

다만 iOS 13.4.1 환경에서는 Sysdiagnose 로그 번들 내부에 SiriAnalytics.db가 포함되지 않는 현상이 확인되었다. 이에 따라 해당 기기에서는 /private/var/mobile/Library/Assistant/ 경로에 직접 접근할 수 있는 탈옥 환경을 구성하고, 파일 시스템을 통해 SiriAnalytics.db를 직접 추출하였다. 이는 초기 iOS 버전에서는 Siri 관련 데이터 저장 구조가 시스템 로그 번들에 통합되지 않았거나, 저장 정책이 이후 버전과 상이했을 가능성을 시사한다. 한편, iOS 18.5 환경에서는 동일한 실험 시나리오를 반복적으로 수행하였음에도 불구하고 SiriAnalytics.db 파일이 생성되지 않는 것이 관찰되었다. Siri 호출을 다수 수행하고 다양한 유형의 명령을 실행했음에도 데이터베이스 생성이 확인되지 않았다는 점에서, 이는 단순 오류나 특정 조건 미충족 문제라기보다는 구조적 변화 가능성을 반영하는 것으로 해석된다.

IV. Siri 로그 생성 프로세스 분석

본 절에서는 SiriAnalytics.db가 단순히 결과 데이터 저장소로서 수동적으로 존재하는지, 혹은 특정 시스템 프로세스에 의해 생성 및 갱신되는 능동적 저장 구조를 갖는지 규명하기 위해 내부 생성 메커니즘을 추가로 분석하였다. 이를 위해 탈옥 환경에서 동적 분석 도구인 Frida를 활용하여 Siri 실행과정에서 발생하는 데이터베이스 접근 함수 호출을 후킹 하였으며, 실행 파일 수준에서 내부 구조 및 문자열 참조 관계를 확인하기 위해 Ghidra 기반 정적분석을 병행하였다. 이러한 이중 분석 접근은 단일 실험 환경에 의존하지 않고, 실행시점 행위 기반 증거와 바이너리 내부 구조 기반 증거를 상호 검증하는 형태로 진행되었다. Figure 1은 Frida를 활용한 동적 분석 과정에서 확인된 결과로, Siri 실행 도중 assistantd 프로세스가 SiriAnalytics.db 파일을 생성하고 접근하는 사실을 보여준다. 실험 과정은 먼저 iOS 14 환경의 assistantd 프로세스에 Frida를 attach한 뒤, libsqlite3.dylib 내의 sqlite3_open 및 sqlite3_open_v2 함수 호출을 대상으로 후킹 스크립트를 구성하였다. 특히 해당 함수 호출 시 전달되는 파일 경로 인자를 실시간으로 기록하도록 설정하여, Siri 동작 과정에서 어떠한 데이터베이스 파일이 실제로 열리고 사용되는지를 직접 관찰할 수 있도록 하였다. 실험은 Siri 실행 직후부터 수행되었으며, 초기 준비 단계부터 명령 처리완료 단계까지의 전 구간을 포괄하여 반복적으로 수행하였다.

Fig. 1. Runtime Evidence of SiriAnalytics.db Being Opened During Siri Execution Captured via Frida

이러한 분석 절차의 개요는 Figure 2에 제시된 의사코드로 정리하였다.

Fig. 2. Pseudocode for Frida-based Hooking of sqlite3_open Calls during Siri Execution

SiriAnalytics.db 파일이 어떤 시점에서 어떤 프로세스에 의해 열리는지를 확인하기 위해, assistantd 프로세스를 강제로 재시작한 뒤 프로세스 재실행 직후에 Frida 스크립트를 자동으로 주입하는 방식을 사용하였다. 이를 위해 다음과 같은 쉘루프를 구성하여, assistantd가 시스템에 의해 다시 생성되는 시점을 주기적으로 감시하면서, 프로세스 생성이 감지되는 즉시 Frida를 attach하도록 하였다. 본 연구에서 구현한 해당 자동 재시도 루프 코드 일부를 Figure 3에 제시하였다.

Fig. 3. Automatic Frida Attachment Loop for Monitoring assistantd Restart and Database Access

위와 같은 루프 구조는 백그라운드 데몬인 assistantd의 특성상, 부팅 이후 이미 실행 중인 프로세스에 뒤늦게 attach하는 경우 SiriAnalytics.db 파일의 open이 이미 완료된 상태일 수 있다는 한계를 보완하기 위한 것이다. 실제 실험에서도 루프 구조 없이 실험을 진행했을 때에는 SiriAnalytics.db가 open되는 시점을 확인하기에는 어려움이 있었다. 따라서 본 연구에서는 먼저 assistantd 프로세스를 강제로 종료(kill)한 뒤, 시스템이 해당 데몬을 자동 재시작하는 시점을 루프를 통해 감시하면서, 재시작 직후에 Frida 스크립트를 주입하였다. 이를 통해 Siri 상호작용 수행 이전 단계부터 SiriAnalytics.db 파일 접근 여부를 정밀하게 관찰할 수 있었다.

실험 결과, assistantd 실행 과정에서 SiriAnal ytics.db가 열리는 것이 확인되었다. 이는Siri 실행 프로세스 흐름에서 assistantd가 SiriAnalytics.db를 생성함을 입증하는 결과이다.

Figure 4는 Ghidra를 이용한 정적분석에서도 assistantd가 SiriAnalytics.db를 생성함을 보여준다. Ghidra 기반 정적 분석을 수행한 결과, assistantd 바이너리 내부에서 “SiriAnalytics.db” 문자열이 명시적으로 정의되어 있을 뿐만 아니라, 해당 문자열이 Analytics 처리 및 로그 기록과 관련된 다수의 관련 함수에 참조가 연결되어 있는 구조가 확인되었다. 이는 해당 데이터베이스가 단순 참조가 아닌 설계 차원에서 assistantd 내부에 통합된 구성 요소임을 의미하며, 앞선 Frida 기반 동적 분석 결과와 상호 일치하는 증거를 제공한다. 즉, assistantd는 SiriAnalytics.db를 생성하고, Siri 응답 처리 이후 데이터를 기록하는 프로세스임이 교차 검증되었다.

Fig. 4. Static Analysis Result Showing Internal Reference to “SiriAnalytics.db” in assistantd Binary

그러나 iOS 18.5 펌웨어 이미지를 마운트하여 동일한 방식으로 확인한 결과, 이전 버전에서 확인되던 assistantd 실행 파일이 더 이상 존재하지 않았다. 이는 앞선 실험에서 iOS 18.5 환경에서 SiriAnalytics.db 자체가 생성되지 않았다는 결과와 일치하며, Siri 로깅 구조가 근본적으로 변경되었음을 시사한다. 특히 iOS 18.4 이후 AppleIntelligence가 도입되며 Siri가 문맥을 파악하는 기능이 강화되는 등 응답 생성 구조 개선 및 Gpt 검색 기능 도입과 같이 서버· 디바이스 혼합 처리 체계가 도입된 점을 고려할 때, 기존 assistantd 기반 로컬 저장 방식이 제거되었거나 다른 통합 프로세스로 이관되었을 가능성이 크다.

Table 4는 iOS 14.1, iOS 17.7, iOS 18.0.1, iOS 18.1, iOS 18.5의 다섯 가지 버전에서 assistantd가 존재하는지와 SiriAnalytics.db의 존재 여부를 표로 정리한 것이다. Table 2에 제시된 iOS 13.4.1 탈옥 기기는 SiriAnalytics.db의 존재 여부 확인을 위한 초기 실험에 사용되었다. 그러나 해당 버전에서는 최신 분석 도구 및 프레임워크와의 호환성 문제로 인해 assistantd에 대한 정밀한 정적·동적 분석 수행이 제한적이었다. 이에 따라 내부 로그 생성 메커니즘에 대한 심화 분석은 도구 호환성이 확보된 iOS 14.1 탈옥 환경에서 추가적으로 수행되었으며, 해당 기기가 Table 4에 별도로 제시되었다.

Table 4. Comparison of assistantd Existence and SiriAnalytics.db Generation Across iOS Versions

종합적으로, iOS 14.1부터 iOS 18.0.1까지의 환경에서는 assistantd가 SiriAnalytics.db 생성 및 관리의 핵심적인 역할을 수행하는 구조가 확인되었다. 그러나 iOS 18.1부터는 해당 프로세스가 제거되었으며, 동시에 SiriAnalytics.db 역시 더 이상 생성되지 않는 근본적인 구조 변화를 관찰할 수 있었다. 이는 Siri 데이터 저장 메커니즘이 Apple Intelligence 도입과 함께 재설계되고 있음을 의미하며, 향후 Siri 관련 데이터가 로컬 데이터베이스가 아닌 새로운 저장 구조, 혹은 Private Cloud Compute 기반 처리 환경과 연계될 가능성을 제기한다. 또한 이러한 구조 변화는 디지털 포렌식 관점에서 기존 분석 기법의 재검토와 새로운 아티팩트 식별 전략의 수립을 요구한다. 이에 따라 iOS 18.1 이후 환경에서 Siri 응답 데이터가 어떠한 경로와 구조로 관리되는지에 대한 후속 연구가 필요하다.

V. SiriAnalytics.db 파일 분석 결과

앞 절에서 SiriAnalytics.db의 생성 주체와 내부 기록 메커니즘을 규명한 결과를 바탕으로, 본 절에서는 해당 데이터베이스의 실제 저장 구조를 보다 구체적으로 분석하고, 디지털 포렌식 관점에서의 활용 가능성을 평가한다. 수집된 SiriAnalytics.db 데이터베이스는 DB Browser for SQLite를 이용하여 분석하였다. Table 5는 SiriAnalytics.db의 events 테이블의 전체 스키마 구조를 제시하며, 각 필드의 데이터 유형과 저장 형식을 통해 기록 방식의 특성을 확인할 수 있다.

Table 5. Structure of the events table in SiriAnalytics.db

본 연구에서는 Siri 응답 데이터가 어떠한 형태로 저장되고, 시간 정보가 어떻게 부여되는지를 중점적으로 검토하였다. context_data 필드와 date_created 필드에 주목하여 데이터 특성과 포렌식적 활용 가능성을 검토하였다. Table 6는 해당 필드의 주요 특징을 요약한 것이다.

Table 6. Major Fields in the events Table

분석 결과, context_data 필드는 Siri 응답 내용을 포함한 구조화된 JSON 데이터를 저장하고 있으며, 호출 트리거 정보, 응답 텍스트, 카드 표시 정보 등이 함께 기록되는 것을 확인하였다. 또한 date_created 필드는 UNIX 타임스탬프 형식으로 이벤트 발생 시각을 저장하고 있어, Siri 상호작용의 시간적 흐름을 정밀하게 재구성할 수 있었다.

이와 같은 결과는 SiriAnalytics.db가 단일 이벤트 단위가 아닌 일정 기간에 걸친 Siri 상호작용 기록을 포괄적으로 보존하는 데이터베이스임을 보여주며, 대부분의 iOS 버전에서 포렌식 증거 자료로 활용할 수 있음을 실증적으로 확인하였다. 반면 iOS 18.5에서 해당 데이터베이스가 생성되지 않는 현상은 Siri 로깅 구조의 변화 가능성을 나타내며, 향후 Apple Intelligence 환경에서의 새로운 데이터 저장 구조 분석 필요성을 제기한다.

Figure 5는 DB Browser for SQLite를 통해 확인한 SiriAnalytics.db의 events 테이블 내부 구조를 예시로 보여준다. 이 중 핵심 필드인 context_data는 JSON 형식으로 저장되며, Siri가 반환한 응답 내용을 포함하는 구조화된 데이터로 구성되어 있다. 해당 JSON 내부에는 speakableText와 text 항목이 존재하며, 각각 음성 출력과 화면 출력에 해당하는 값을 기록한다.

Fig. 5. Example of events Table and context_data Field in SiriAnalytics.db

예를 들어 사용자가 “5분 타이머 설정” 명령을 수행한 경우, speakableText 필드에는 기기가 음성으로 출력한 “오 분, 지금 시작합니다”와 같은 문장이 저장되고, text 필드에는 화면 UI에 표시되는 “5분, 지금 시작합니다.”와 같은 출력 문자열이 저장되는 방식이다.

이러한 결과는 SiriAnalytics.db가 Siri 응답 결과를 평문 형태로 저장함을 명확히 보여주며, 포렌식 분석 시 사용자가 어떤 서비스 응답을 경험했는지 직접 확인할 수 있는 중요한 자료로 활용될 수 있음을 의미한다. 그러나 Siri 명령의 원본 음성(raw audio)이나 사용자가 발화한 문장 텍스트 자체는 저장되지 않으며, 이는 Siri가 사용자 입력보다는 시스템 응답 중심으로 기록을 설계하고 있음을 보여준다.

date_created 필드는 Siri 이벤트 발생 시점을 기록하는 시간 정보로, 부동소수점 형식의 UNIX 타임스탬프값으로 저장된다. 이는 1970년 1월 1일 00시 00분 00초 UTC를 기준으로 경과된 시간을 의미하며, 정밀한 시간 기록을 제공한다.

본 연구에서는 Python 스크립트를 활용하여 해당 값을 사람이 이해할 수 있는 일반적인 시각 형식으로 변환하였다. 예를 들어, date_created 값이 1750293858.43295인 경우, 이는 한국 표준시 기준으로 2025년 6월 19일 오전 9시 44분 18초에 대응함을 확인하였다. 이러한 변환 과정을 통해 Siri 사용 기록의 시간적 연속성을 구성할 수 있으며, Siri 상호작용이 언제 발생했는지에 대한 정확한 타임 라인을 재구성할 수 있다.

Figure 6은 Python을 통해 date_created값을 변환한 예시를 제시한다. 이를 통해 SiriAnalytics.db에 저장된 각 이벤트가 실제 어느 시점에 발생했는지를 명확히 확인할 수 있으며, 사건 발생 시점과 Siri 사용 기록 간의 상관관계를 분석하는 데에도 활용할 수 있다.

Fig. 6. Example of Converting date_created Field to Human-Readable Time Format

따라서 본 연구에서 확보된 SiriAnalytics.db는 단일 이벤트 단위 분석을 넘어, 일정 시간 동안 누적된 Siri 상호작용을 시간 흐름에 따라 재구성할 수 있다는 점에서 포렌식적으로 중요한 의미가 있다. 예를 들어 사용자가 약 10분 동안 Siri를 연속적으로 활용한 상황을 가정하면, 타이머 설정, 날씨 확인, 일정 확인, 정보 검색 등 서로 다른 유형의 Siri 명령이 순차적으로 수행되었을 때, 각 상호작용에 대한 응답 내용이 context_data 필드에 평문으로 저장되고, 해당 시점 정보가 date_created 값으로 축적된다. 이를 시간순으로 정렬하면 사용자의 활동 흐름을 연속적인 타임라인으로 재구성할 수 있으며, 사용자가 어떤 요청을 했는지뿐만 아니라, 어떤 정보를 확인했고 어떤 서비스를 이용했는지를 명확하게 파악할 수 있다. 이러한 특성은 SiriAnalytics.db가 단순 로그 데이터가 아니라, 사건 발생 전후의 사용자 행위를 시간 축 기반으로 설명할 수 있는 정황 증거로 활용될 수 있음을 의미한다.

VI. 논의

6.1 법적 증거 능력 및 포렌식적 함의

본 연구에서 분석한 SiriAnalytics.db는 iOS 환경에서 Siri 사용 과정 중 자동으로 생성되는 시스템 로그 데이터베이스로, 사용자 행위 재구성에 유용한 디지털 증거가 될 수 있는 잠재력을 가진다. 해당 파일은 사용자 애플리케이션이 아닌 시스템 프로세스인 assistantd에 의해 생성 및 관리되므로, 일반적인 사용자 인터페이스를 통한 직접적인 조작이 어렵다는 특징을 가진다. 이러한 점은 데이터의 신뢰성을 높이는 요소로 작용할 수 있다.

그러나 SiriAnalytics.db는 SQLite 형식의 데이터베이스 파일로 저장되기 때문에, 탈옥 환경이나 루트 권한이 확보된 상황에서는 데이터 수정 또는 삭제가 기술적으로 가능하다. 또한 타임스탬프 값 역시 시스템 시간 변경 등을 통해 간접적으로 조작될 수 있으므로, 단일 파일만으로 사건의 사실관계를 단정하기에는 한계가 존재한다. 따라서 해당 데이터는 다른 시스템 로그, 네트워크 기록, 사용자 활동 로그 등과의 교차 검증을 통해 해석되어야 한다.

포렌식 절차 측면에서는 데이터 추출 과정에서 원본 보존 및 무결성 검증이 필수적이다. 특히 논리 추출(Logical Acquisition) 방식으로 파일을 확보하는 경우 시스템 동작에 의해 데이터가 변경될 가능성이 있으므로, 추출 직후 해시값을 산출하여 증거 보존 절차를 준수해야 한다. 가능하다면 물리적 추출(Physical Acquisition) 또는 파일 시스템 수준의 이미지 획득을 통해 데이터의 원본성을 확보하는 것이 바람직하다.

또한 SiriAnalytics.db는 저장 용량 제한 또는 운영체제의 로그 관리 정책에 따라 과거 데이터가 삭제되거나 덮어쓰기 될 가능성이 있으며, iOS 버전 업데이트에 따라 데이터 구조가 변경될 수 있다. 이러한 특성은 장기간의 행위 분석에는 제한 요소로 작용할 수 있으며, 증거 보존 기간과 관련된 법적 판단에도 영향을 미칠 수 있다.

종합적으로 볼 때, SiriAnalytics.db는Siri 사용 행위 및 관련 이벤트를 추적할 수 있는 중요한 보조 증거로 활용될 수 있으나, 단독 증거로 사용되기보다는 다른 디지털 아티팩트와 함께 종합적으로 분석될 때 법적 증거로서의 신뢰성과 해석력이 더욱 강화될 것으로 판단된다.

6.2 연구의 한계

본 연구는 다양한 iOS 버전 환경에서 SiriAnalytics.db의 존재 여부와 내부 저장 구조를 분석하여 해당 데이터베이스의 포렌식적 가치를 규명하였으나, 몇 가지 한계가 존재한다.

첫째, SiriAnalytics.db에 저장되는 데이터의 범위는 Siri 상호작용의 일부 정보에 국한되며, 모든 사용자 발화 내용이나 시스템 내부 처리 과정이 완전하게 기록되는 것은 아니다. 특히 Siri 요청의 종류, 실행 결과, 네트워크 상태, 개인정보 보호 설정 등에 따라 저장되는 정보의 양과 내용이 달라질 수 있으므로, 해당 데이터만으로 사용자의 전체 행위를 포괄적으로 재구성하는 데에는 제한이있다.

둘째, 데이터 보존 기간 및 관리 정책에 대한 명확한 규명이 이루어지지 못하였다. SiriAnalytics.db는 운영체제의 로그 관리 정책이나 저장 용량 제한에 따라 과거 데이터가 자동 삭제되거나 덮어쓰기 될 가능성이 있으나, 장기간 관찰을 통한 보존 특성 분석은 본 연구 범위를 넘어서는 요소로 남아 있다. 따라서 특정 시점 이전의 Siri 사용 기록이 존재하지 않는다고 해서 해당 행위가 실제로 발생하지 않았다고 단정할 수 없으며, 이는 포렌식 해석 과정에서 주의가 필요한 부분이다.

셋째, 분석 대상 기기 및 환경의 제한이 존재한다. 본 연구는 특정 iOS 버전과 일부 기기 모델을 중심으로 수행되었으며, 다양한 하드웨어 구성, 지역 설정, 언어 환경 또는 사용자 설정에 따른 데이터 생성 양상의 차이는 충분히 반영하지 못하였다. 특히 iOS 업데이트에 따라 시스템 구조가 변화할 경우 동일한 분석 결과가 재현되지 않을 가능성도 존재한다.

넷째, iOS의 보안 구조상 파일 접근 권한이 제한되기 때문에, 일부 분석은 탈옥 환경 또는 특수한 접근 권한을 전제로 수행되었다. 이러한 환경은 실제 수사 상황에서 항상 확보 가능한 것은 아니며, 정상(non-jailbroken) 환경에서의 데이터 접근 가능성과 분석 절차에 대해서는 추가적인 연구가 필요하다.

마지막으로, iOS 18.1 이후 환경에서 SiriAnal ytics.db가 더 이상 생성되지 않는 구조적 변화가 확인됨에 따라, 본 연구 결과는 주로 해당 파일이 존재하는 iOS 버전에 한정된다는 점도 중요한 제약으로 작용한다. 향후 Siri 데이터가 어떠한 새로운 방식으로 기록·관리되는지에 대한 추가 분석이 이루어지지 않는 한, 최신 iOS 환경에 본 연구의 분석 방법을 그대로 적용하기에는 어려움이 있다.

이러한 한계에도 불구하고, 본 연구는 SiriAnalytics.db가 존재하는 iOS 환경에서 Siri 상호작용 기록을 분석하기 위한 기초 자료와 방법론을 제시하였다는 점에서 의의를 가진다.

6.3 보안 및 프라이버시 논의

SiriAnalytics.db에 저장되는 Siri 응답 데이터는 단순한 시스템 로그를 넘어, 사용자 질의에 대한 응답 내용을 포함한다는 점에서 프라이버시 측면의 잠재적 영향을 내포한다. 예를 들어 사용자가 Siri를 통해 일정, 위치, 연락처, 메시지 전송, 개인화된 정보 조회와 같은 기능을 수행할 경우, 해당 요청에 대한 Siri의 응답 내용이 평문 형태로 데이터베이스에 기록될 수 있으며, 이는 사용자의 일상 활동, 관심사, 사회적 관계 또는 시간대별 행동 패턴을 간접적으로 추론할 수 있는 단서로 작용할 수 있다.

특히 응답 데이터가 실행 시점 정보와 함께 누적 저장된다는 특성은, 단일 이벤트를 넘어 사용자 행위의 맥락적 흐름을 재구성할 가능성을 제공한다는 점에서 프라이버시 민감도가 더욱 높다.

보안 관점에서 볼 때, SiriAnalytics.db는 운영체제 내부 프로세스에 의해 자동 생성·관리되는 로컬 데이터베이스로서 포렌식적 가치가 있는 아티팩트이지만, SQLite 기반 구조로 인해 이론적으로는 접근권한을 획득한 주체에 의한 데이터 수정 또는 삭제 가능성을 완전히 배제할 수는 없다. 따라서 해당 데이터베이스는 강한 의미의 tamper-resistant 아티팩트라기보다는, 적절한 무결성 검증 절차와 함께 분석되어야 하는 포렌식 자료로 이해하는 것이 타당하다.

이러한 특성을 종합하면, SiriAnalytics.db는 단독 증거로서보다는 다른 시스템 로그, 애플리케이션 아티팩트, 네트워크 기록 등과 함께 분석될 때 포렌식적 신뢰성과 해석 가능성이 강화되는 보조 증거로 활용되는 것이 바람직하다. 동시에 SiriAnalytics.db에 저장되는 응답 데이터의 내용적 특성은 디지털 포렌식 분석 과정에서 개인정보 최소화 및 목적 제한 원칙을 함께 고려해야 할 필요성을 시사하며, 이는 향후 음성 비서 기반 서비스 전반에 대한 보안 및 프라이버시 논의로 확장될 수 있다.

VII. 결론

7.1 연구 요약 및 주요 결과

본 연구는 다양한 iOS 버전을 대상으로 Siri 상호작용 이후 생성되는 SiriAnalytics.db의 존재 여부와 내부 저장 구조를 체계적으로 분석하고, 해당 데이터가 디지털 포렌식 측면에서 가지는 의미와 활용 가능성을 실증적으로 검증하였다. 실험 결과, iOS 13.4.1부터 18.0.1까지의 환경에서는 SiriAnalytics.db가 안정적으로 생성됨을 확인하였으며, 특히 context_data 필드에 Siri 응답 내용이 JSON 형식의 평문으로 저장된다는 점을 확인하였다.

또한 date_created 필드가 Siri 동작 시점을 타임스탬프로 기록하고 있어 Siri 사용 행위를 시간 흐름에 따라 재구성할 수 있음을 확인하였고, 이를 통해 Siri 서비스 이용 이력을 타임라인 기반 디지털 포렌식 분석에 활용할 수 있음을 입증하였다.

7.2 내부 로그 생성 메커니즘 분석 및 구조 변화 확인

본 연구는 데이터베이스 현존 여부 확인에 그치지 않고, Siri 로그가 어떠한 내부 프로세스를 통해 생성·관리되는지를 규명하기 위해 정적 및 동적 분석을 병행하였다. Frida 기반 동적 분석과 Ghidra 기반 정적 역공학을 수행한 결과, iOS 18.0.1 이하 환경에서는 SiriAnalytics.db가 assistantd 프로세스에 의해 생성 및 관리된다는 사실을 확인하였다.

assistantd 내부 함수 호출 흐름과 데이터 처리 루틴을 분석한 결과, Siri 요청 처리 과정과 로그 생성 과정이 밀접하게 연계되어 있음을 확인할 수 있었다. 그러나 iOS 18.1 이후 환경에서는 assistantd 프로세스가 시스템에서 제거되었으며, 이에 따라 SiriAnalytics.db 역시 더 이상 생성되지 않는 구조적 변화가 명확하게 관찰되었다.

이는 단순히 데이터베이스 파일이 사라진 현상적 변화가 아니라, Siri 데이터 기록 및 저장 아키텍처 자체가 Apple Intelligence 도입과 함께 근본적으로 재설계되었음을 의미한다는 점에서 중요한 학술적 의의를 갖는다.

이러한 결과는 SiriAnalytics.db가 기존 iOS 환경에서 Siri 상호작용을 분석하기 위한 핵심 포렌식 아티팩트로 기능하였음을 확인하는 동시에, iOS 18.1 이후 환경에서는 기존 포렌식 접근 방식이 더 이상 동일하게 적용될 수 없음을 분명히 보여준다.

Apple Intelligence 도입 이후 Siri 서비스는 GPT 기반 생성 모델 및 온디바이스·클라우드 혼합 처리 구조를 활용하는 방향으로 전환되었으며, 이에 따라 Siri 데이터가 단일 로컬 데이터베이스에 의존하지 않는 새로운 데이터 관리 체계로 이동하고 있을 가능성이 크다. 이는 개인정보 보호 강화 및 보안 정책 고도화라는 측면에서는 긍정적 변화일 수 있으나, 동시에 디지털 포렌식 분석 환경에는 새로운 제약과 도전을 일으킨다는 점에서 중요한 논의 대상이 된다.

7.3 향후 연구 방향

또한, iOS 18.1 이후 환경에서 Siri 데이터가 어떠한 새로운 프로세스 및 시스템 구성요소를 통해 처리·기록되는지를 규명하는 작업이 필수적이다. 특히 Biome 기반 로깅 시스템, KnowledgeC 계열 데이터베이스, 새로운 프레임워크 내부의 로그 캐시 등 다양한 가능성을 종합적으로 고려한 분석이 요구된다. 이는 기존 assistantd 중심의 로컬 데이터베이스 기반 포렌식 접근 방식이 더 이상 적용되지 않을 가능성을 시사한다.

또한 Apple Intelligence 환경에서 도입된 보안 정책 및 데이터 보호 메커니즘이 Siri 관련 데이터의 생성, 저장, 접근 방식에 어떠한 변화를 가져왔는지를 분석하고, 이러한 변화가 디지털 포렌식 증거 수집 절차와 증거 해석에 미치는 영향을 평가하는 연구 역시 병행되어야 한다. 이러한 후속 연구는 기술적 분석을 넘어, 최신 음성 비서 환경에서의 디지털 포렌식 실무 적용성과 법적 정당성 확보라는 측면에서도 중요한 의미를 가질 것이다.

추가적으로 macOS 환경에서도 SiriAnalytics. db 파일의 존재 여부를 확인하였다. macOS 환경에서는 SiriAnalytics.db 파일이 존재하였으나, iOS 환경과 달리 Siri 응답 내용이 데이터베이스에 저장되지 않는 것으로 확인되었다. 이는 Siri 데이터 저장 방식이 iOS와 macOS 간에 상이하게 설계되어 있음을 시사하며, SiriAnalytics.db가 모든 Apple 운영체제에서 동일한 포렌식 아티팩트로 기능하지는 않음을 보여준다.