La perizia informatica: come lavoro

Una perizia informatica vale quanto la sua ripetibilità. Se un altro tecnico, partendo dagli stessi dati e leggendo la relazione, non arriva allo stesso risultato, quella relazione non è una prova: è un'opinione.

Identificazione: che cosa serve davvero

Il primo passaggio non è tecnico. Prima di toccare un dispositivo bisogna sapere quale fatto si deve dimostrare e quale norma lo rende rilevante, perché è da lì che discende che cosa acquisire. Acquisire tutto è costoso, lento e a volte controproducente: un'estrazione integrale di uno smartphone porta con sé la vita privata di terzi che con la causa non c'entrano nulla, e apre problemi di proporzionalità che si potevano evitare delimitando l'oggetto.

In questa fase si stabilisce anche che cosa è ancora recuperabile. È una domanda con una scadenza: i log di un fornitore cloud, i tabulati di un provider, le copie di sicurezza rotative hanno finestre di conservazione limitate, e ciò che non viene congelato in tempo semplicemente non esiste più.

Acquisizione e integrità

Il principio è uno solo: non si lavora mai sull'originale. Si produce una copia che riproduca il supporto bit per bit, si calcola su di essa un valore di hash e da quel momento ogni verifica successiva può dimostrare che il materiale esaminato è rimasto identico a quello acquisito.

L'hash è la ragione per cui la copia regge. È il risultato di una funzione che, applicata a una sequenza di byte, produce un valore di lunghezza fissa: cambiando anche un solo bit, il valore cambia in modo imprevedibile. Non serve a nascondere nulla, serve a fissare un istante: questo era il contenuto, in quel momento. Sulle funzioni ancora considerate solide oggi — la famiglia SHA-2 — non esistono tecniche pratiche per costruire due contenuti diversi con lo stesso valore, mentre su MD5 e su SHA-1 sì: sono funzioni che è ancora ragionevole affiancare per continuità con la documentazione esistente, non da usare da sole.

Quando l'originale non è copiabile — un servizio online, una casella accessibile solo via web, una pagina che domani non ci sarà più — l'acquisizione cambia forma ma non principio: si documenta la sessione, si registrano gli identificativi tecnici della connessione e si fissa il risultato con la stessa verifica di integrità.

L'acquisizione forense in dettaglio →

Catena di custodia

La catena di custodia è il racconto documentato di dove è stato il materiale e chi lo ha maneggiato, dal momento del sequestro o della consegna fino all'esame. Non è burocrazia: è ciò che permette di rispondere alla domanda più semplice e più letale del controesame, «come fa a escludere che qualcuno l'abbia modificato nel frattempo?».

Nella pratica significa verbali che indicano data, ora, luogo, persone presenti, numeri di serie, valori di hash calcolati alla consegna e ricalcolati all'apertura, supporti sigillati e identificati. Ogni passaggio di mano è un anello: se ne manca uno, l'intera catena è attaccabile.

Analisi

L'analisi si svolge sulla copia, con strumenti dei quali dichiaro nome e versione, e con passaggi descritti in modo che possano essere ripercorsi. Dove uso uno script scritto da me, lo allego: uno strumento che nessuno può ispezionare non è verificabile, e ciò che non è verificabile in giudizio conta poco.

La regola che mi sono dato è quella di non far dire ai dati più di quanto dicano. Un file che risulta modificato alle 3:14 dice che il sistema operativo ha registrato quella modifica su quel supporto, con l'orologio che quel sistema aveva in quel momento. Non dice chi era davanti alla tastiera, né che l'orologio fosse corretto, né che il documento sia stato scritto in quell'istante. La distanza fra queste affermazioni è dove si vincono e si perdono le cause.

La relazione

La relazione è scritta perché la legga un giurista, non un informatico. Contiene: il quesito, il materiale esaminato con i suoi identificativi e i valori di hash, la descrizione del metodo e degli strumenti, i risultati, e le conclusioni.

Nelle conclusioni tengo separati tre piani, e li chiamo per nome: ciò che è accertato (il dato è questo e chiunque può riverificarlo), ciò che è una valutazione tecnica (i dati sono compatibili con questa ricostruzione e incompatibili con quell'altra, con questo grado di confidenza) e ciò che resta ignoto (non è determinabile con i dati disponibili). Una relazione che confonde i tre piani è una relazione che si sgretola al controesame.

Quello che una perizia non può fare

Vale la pena dirlo prima di iniziare, perché evita aspettative che poi diventano delusioni costose.

• Non attribuisce un'azione a una persona. I dati collegano un'azione a un account, a un dispositivo, a un indirizzo di rete. Il passaggio da «quel dispositivo» a «quella persona» è un ragionamento probatorio che spetta al giudice, e la perizia può solo fornirgli elementi.
• Non recupera ciò che è stato sovrascritto. Il dato cancellato è spesso recuperabile; il dato sovrascritto no, e nessuno strumento cambia questo fatto.
• Non supera la crittografia. Senza la chiave o la collaborazione del titolare, un contenuto correttamente cifrato resta inaccessibile.
• Non certifica la veridicità del contenuto. Si può dimostrare che un messaggio è stato inviato da un certo account in un certo momento; che ciò che dice sia vero è un'altra questione.