La perizia informatica: come lavoro

Una perizia informatica vale quanto la sua ripetibilità. Se un altro tecnico, partendo dagli stessi dati e leggendo la relazione, non arriva allo stesso risultato, quella relazione non è una prova: è un'opinione.

Identificazione: che cosa serve davvero

Il primo passaggio non è tecnico. Prima di toccare un dispositivo bisogna sapere quale fatto si deve dimostrare e quale norma lo rende rilevante, perché è da lì che discende che cosa acquisire. Acquisire tutto è costoso, lento e a volte controproducente: un'estrazione integrale di uno smartphone porta con sé la vita privata di terzi che con la causa non c'entrano nulla, e apre problemi di proporzionalità che si potevano evitare delimitando l'oggetto.

In questa fase si stabilisce anche che cosa è ancora recuperabile. È una domanda con una scadenza: i log di un fornitore cloud, i tabulati di un provider, le copie di sicurezza rotative hanno finestre di conservazione limitate, e ciò che non viene congelato in tempo semplicemente non esiste più.

Da dove arriva l'incarico cambia il perimetro. Quando il quesito è formulato dal giudice, l'oggetto è fissato dal provvedimento e vale per tutti; quando l'incarico arriva da una delle parti, il perimetro lo sceglie la difesa, e di norma conviene sceglierlo stretto su ciò che si deve dimostrare. Alle due posizioni processuali e al modo in cui si incrociano durante le operazioni ho dedicato un approfondimento: la differenza fra CTU e CTP.

Acquisizione e integrità

Il principio è uno solo: non si lavora mai sull'originale. Si produce una copia che riproduca il supporto bit per bit, si calcola su di essa un valore di hash e da quel momento ogni verifica successiva può dimostrare che il materiale esaminato è rimasto identico a quello acquisito.

L'hash è la ragione per cui la copia regge. È il risultato di una funzione che, applicata a una sequenza di byte, produce un valore di lunghezza fissa: cambiando anche un solo bit, il valore cambia in modo imprevedibile. Non serve a nascondere nulla, serve a fissare un istante: questo era il contenuto, in quel momento. Sulle funzioni ancora considerate solide oggi — la famiglia SHA-2 — non esistono tecniche pratiche per costruire due contenuti diversi con lo stesso valore, mentre su MD5 e su SHA-1 sì: sono funzioni che è ancora ragionevole affiancare per continuità con la documentazione esistente, non da usare da sole.

Quando l'originale non è copiabile — un servizio online, una casella accessibile solo via web, una pagina che domani non ci sarà più — l'acquisizione cambia forma ma non principio: si documenta la sessione, si registrano gli identificativi tecnici della connessione e si fissa il risultato con la stessa verifica di integrità.

L'acquisizione forense in dettaglio →

Catena di custodia

La catena di custodia è il racconto documentato di dove è stato il materiale e chi lo ha maneggiato, dal momento del sequestro o della consegna fino all'esame. Non è burocrazia: è ciò che permette di rispondere alla domanda più semplice e più letale del controesame, «come fa a escludere che qualcuno l'abbia modificato nel frattempo?».

Nella pratica significa verbali che indicano data, ora, luogo, persone presenti, numeri di serie, valori di hash calcolati alla consegna e ricalcolati all'apertura, supporti sigillati e identificati. Ogni passaggio di mano è un anello: se ne manca uno, l'intera catena è attaccabile.

Analisi

L'analisi si svolge sulla copia, con strumenti dei quali dichiaro nome e versione, e con passaggi descritti in modo che possano essere ripercorsi. Dove uso uno script scritto da me, lo allego: uno strumento che nessuno può ispezionare non è verificabile, e ciò che non è verificabile in giudizio conta poco.

La regola che mi sono dato è quella di non far dire ai dati più di quanto dicano. Un file che risulta modificato alle 3:14 dice che il sistema operativo ha registrato quella modifica su quel supporto, con l'orologio che quel sistema aveva in quel momento. Non dice chi era davanti alla tastiera, né che l'orologio fosse corretto, né che il documento sia stato scritto in quell'istante. La distanza fra queste affermazioni è dove si vincono e si perdono le cause.

Che cosa si riesca concretamente ad accertare dipende poi dal supporto: in una perizia su computer e PC pesano i registri di sistema e le tracce dei dispositivi collegati; in una perizia su smartphone pesano la cifratura e il livello di estrazione ottenibile. Sono due mestieri diversi che rispondono a domande diverse.

La relazione

La relazione è scritta perché la legga un giurista, non un informatico. Contiene: il quesito, il materiale esaminato con i suoi identificativi e i valori di hash, la descrizione del metodo e degli strumenti, i risultati, e le conclusioni.

Nelle conclusioni tengo separati tre piani, e li chiamo per nome: ciò che è accertato (il dato è questo e chiunque può riverificarlo), ciò che è una valutazione tecnica (i dati sono compatibili con questa ricostruzione e incompatibili con quell'altra, con questo grado di confidenza) e ciò che resta ignoto (non è determinabile con i dati disponibili). Una relazione che confonde i tre piani è una relazione che si sgretola al controesame.

Quello che una perizia non può fare

Vale la pena dirlo prima di iniziare, perché evita aspettative che poi diventano delusioni costose.

• Non attribuisce un'azione a una persona. I dati collegano un'azione a un account, a un dispositivo, a un indirizzo di rete. Il passaggio da «quel dispositivo» a «quella persona» è un ragionamento probatorio che spetta al giudice, e la perizia può solo fornirgli elementi.
• Non recupera ciò che è stato sovrascritto. Il dato cancellato è spesso recuperabile; il dato sovrascritto no, e nessuno strumento cambia questo fatto.
• Non supera la crittografia. Senza la chiave o la collaborazione del titolare, un contenuto correttamente cifrato resta inaccessibile.
• Non certifica la veridicità del contenuto. Si può dimostrare che un messaggio è stato inviato da un certo account in un certo momento; che ciò che dice sia vero è un'altra questione.

Quanto costa

Dipende da fattori precisi — quanti dispositivi e in che stato, l'ampiezza dell'oggetto, l'analisi richiesta oltre l'acquisizione, l'urgenza — e ogni caso serio si valuta su un preventivo scritto che dica che cosa viene acquisito, come, e che cosa viene consegnato. Ai fattori che muovono il prezzo, agli ordini di grandezza del mercato e a come leggere un preventivo ho dedicato un approfondimento: quanto costa una perizia informatica.