TrueSnap 증거 패키지 해부 — 6종 파일 각각의 역할과 활용법

TrueSnap으로 캡처 버튼을 한 번 누르면, 루트에 캡처 이미지와 증명서 PDF가 생성되고, 검증 파일은 포렌식 검증데이터/에 묶입니다. "그냥 스크린샷 하나면 되는 거 아닌가?"라고 생각할 수 있지만, 법원이 디지털 증거에 요구하는 **3가지 조건(출처의 진정성, 내용의 무결성, 시점의 객관적 증명)**을 충족하려면 이 파일들이 모두 필요합니다.

왜 여러 파일인가? 각 파일은 법원이 요구하는 서로 다른 증명 요건을 담당합니다.

하나라도 빠지면 상대방의 반박에 취약해집니다.

대법원 포렌식 특수감정인이 수많은 감정 사건에서 "법원이 가장 많이 물어보는 것"을 기준으로 설계한 구조입니다.

실제 증거 패키지 구성

{날짜} {시각} {도메인}/
├── {날짜} {시각} {도메인}_디지털증거수집증명서.pdf  ← 포렌식 증명서
├── {날짜} {시각} {도메인}_캡처.png                   ← 풀페이지 스크린샷
└── 포렌식 검증데이터/
    ├── evidence-hash.json        ← SHA-256 해시 + 블록체인 기록
    ├── integrity-report.json     ← 실행 환경 무결성 점검
    ├── interaction-log.json      ← 사용자 행동 로그
    ├── metadata.json             ← 수집 시각·환경 메타정보
    ├── network.har               ← 네트워크 통신 기록
    ├── page-source.html          ← 페이지 HTML 원본
    ├── tampering-analysis.json   ← 위변조 탐지 결과
    └── tls-verification.json     ← TLS 인증서 검증

❶ 풀페이지 스크린샷 (PNG)

무엇인가: 웹페이지 전체를 위에서 아래까지 한 장의 이미지로 캡처한 파일입니다. 일반 스크린샷과 달리, F12 개발자 도구가 완전히 차단된 상태에서 촬영됩니다.

왜 필요한가: 법정에서 "이 화면이 어떻게 보였는지" 시각적으로 설명하는 가장 직관적인 증거입니다. 판사와 변호사가 내용을 빠르게 파악할 수 있습니다.

활용법: 소장·준비서면에 첨부, 법정에서 모니터 또는 인쇄물로 제시, 수사기관 진정서 첨부

일반 스크린샷과의 차이: TrueSnap의 PNG는 "조작 불가 환경에서 캡처됨"이 나머지 5종 파일에 의해 증명됩니다.

단독으로는 일반 스크린샷과 같지만, 패키지 전체가 이 스크린샷의 진정성을 보증합니다.

❷ 페이지 소스 (HTML)

무엇인가: 캡처 시점의 웹페이지 HTML 소스 코드 전체를 저장한 파일입니다. 이미지에는 보이지 않는 텍스트, 링크, 숨겨진 요소까지 모두 포함됩니다.

왜 필요한가: PNG 이미지는 "화면에 보인 것"만 기록하지만, HTML은 "데이터 자체"를 보존합니다. 상대방이 "이미지가 조작된 것"이라고 주장할 때, 원본 소스 코드로 반박할 수 있습니다.

활용법: 텍스트 검색·인용 가능, 숨겨진 메타 정보 확인, 페이지 구조 분석 근거

❸ 네트워크 로그 (HAR)

무엇인가: HTTP Archive의 약자로, 브라우저와 서버 사이의 모든 요청과 응답을 기록한 파일입니다. 접속한 URL, 서버 IP, 요청·응답 헤더, 바디, 타이밍 정보가 포함됩니다.

왜 필요한가: 출처 증명의 핵심입니다. "이 데이터가 실제로 해당 서버에서 온 것"임을 네트워크 레벨에서 증명합니다. 서버 IP, 응답 코드, TLS 핸드셰이크 정보가 모두 기록되어 있어, 데이터의 출처를 객관적으로 증명할 수 있습니다.

활용법: 서버 출처 증명, 통신 시점 확인, 서버 응답 원문 확인, 기술 감정 시 핵심 자료

법정에서의 활용: "이 스크린샷이 정말 네이버에서 캡처한 것이 맞나요?"라는 질문에, HAR 파일의 서버 IP(예: 223.130.195.x)와 TLS 인증서(*.naver.com)를 제시하면 출처를 객관적으로 증명할 수 있습니다.

❹ 메타데이터·무결성 (JSON)

무엇인가: 증거 수집 환경과 무결성 검증 결과를 담은 구조화된 데이터 파일입니다. SHA-256 해시값, 수집 시각, TLS 인증서 검증 결과, 사용자 상호작용 기록, F12 차단 상태 등이 포함됩니다.

왜 필요한가: 위변조 탐지의 핵심입니다. 파일을 나중에 수정하면 SHA-256 해시가 변하므로, 증거가 수집 이후 단 한 글자도 바뀌지 않았음을 수학적으로 증명합니다.

활용법: 해시 검증으로 무결성 확인, 수집 환경 신뢰성 증명, TLS 인증서로 사이트 정당성 확인

SHA-256 해시란? 파일 내용을 64자리 고유 지문으로 변환하는 암호화 함수입니다.

파일이 1바이트라도 바뀌면 해시값이 완전히 달라지므로, "이 파일은 수집 이후 변경되지 않았다"를 수학적으로 증명합니다.

❺ 포렌식 증명서 (PDF)

무엇인가: 증거 수집 절차, 구성 요소, 검증 결과를 하나의 문서로 정리한 포렌식 증거 수집 증명서입니다. 파일명은 {날짜} {시각} {도메인}_디지털증거수집증명서.pdf입니다.

왜 필요한가: 법률 전문가(판사, 변호사)가 기술적 배경 없이도 증거의 신뢰성을 이해할 수 있도록, 패키지 전체를 하나의 문서로 설명합니다. 법정 제출 시 가장 먼저 보는 문서입니다.

포함 내용: 수집 대상 URL, 캡처 시각, 구성 파일 목록, 각 파일의 SHA-256 해시값, 블록체인 TXID, TLS 검증 결과, 수집 환경 정보

활용법: 소장·준비서면에 증거설명서로 첨부, 수사기관 진정서 첨부, 변호사에게 증거 전달 시 요약 문서

❻ 해시·블록체인 기록 (evidence-hash.json)

무엇인가: 각 증거 파일의 SHA-256 해시와, 결합 해시(Evidence Fingerprint)를 Polygon 블록체인에 기록한 결과입니다. TXID(트랜잭션 ID), 블록 번호, 기록 시각이 blockchain 필드에 포함됩니다.

왜 필요한가: 시점 증명의 핵심입니다. 블록체인에 기록된 정보는 수정·삭제가 불가능하므로, "이 증거가 이 시점에 존재했음"을 제3자가 객관적으로 검증할 수 있습니다. 파일 날짜 조작 의혹에 대한 결정적 반박 증거입니다.

검증 방법: polygonscan.com에서 TXID를 조회하면 누구나 기록 시점과 해시값을 확인할 수 있습니다.

활용법: 시점 다툼 시 결정적 증거, 제3자 검증 요청 시 TXID 제공, 증거 날짜 조작 의혹 반박

이 파일들이 법원의 3가지 요건을 어떻게 충족하는가

출처의 진정성·HAR (네트워크 로그)·tls-verification.json·page-source.html

내용의 무결성·evidence-hash.json (SHA-256)·캡처 PNG·page-source.html

시점의 객관적 증명·evidence-hash.json의 블록체인 기록·metadata.json·HAR (통신 시각)

실전 활용 — 이렇게 제출합니다

변호사에게 전달할 때: 증거 패키지 폴더 전체를 ZIP으로 압축하여 전달합니다. 변호사는 PDF 증명서를 먼저 확인하고, 필요한 파일을 선택적으로 활용합니다.

법정에 제출할 때: ① _캡처.png (내용 확인용) ② _디지털증거수집증명서.pdf (증거 설명서) ③ 포렌식 검증데이터/ (기술적 검증 근거)의 순서로 제출합니다.

수사기관에 제출할 때: 진정서에 PDF 증명서와 PNG를 첨부하고, 패키지 전체를 USB 또는 클라우드 링크로 함께 제공합니다.

중요: 패키지를 분리하지 마세요 캡처·증명서·포렌식 검증데이터는 하나의 패키지로서 서로의 진정성을 보증합니다.

스크린샷만 따로 떼어 제출하면, 일반 스크린샷과 다를 바 없는 약한 증거가 됩니다.

반드시 패키지 전체를 함께 보관·제출하세요.