Acquisizione forense delle prove digitali

Quasi tutte le prove digitali che cadono in giudizio cadono qui, nel primo passaggio: qualcuno ha copiato un dato in un modo che non si può dimostrare, oppure lo ha alterato mentre lo copiava.

Il problema che l'acquisizione risolve

Un dato informatico è diverso da un documento cartaceo per una ragione elementare: si modifica senza lasciare traccia visibile. Accendere un computer sequestrato cambia decine di file di sistema; aprire una casella di posta con un normale programma marca i messaggi come letti e può riscaricarli, alterandone i metadati; collegare un disco a una macchina Windows le fa scrivere sopra qualcosa quasi subito.

L'acquisizione forense serve a produrre una copia di cui si possa dimostrare, in qualunque momento successivo, che è identica all'originale nel momento in cui è stata presa. Da lì in poi si lavora sulla copia e l'originale non si tocca più.

Come procedo

Supporti fisici: dischi, memorie, chiavette

Si crea un'immagine bit per bit dell'intero supporto, compreso lo spazio non allocato — che è dove vivono i file cancellati ma non ancora sovrascritti. La lettura avviene attraverso un blocco in scrittura, hardware o software, che impedisce fisicamente al sistema di modificare l'originale. Al termine si calcola il valore di hash dell'immagine e quello del supporto sorgente: se coincidono, la copia è integrale, e quel valore diventa il riferimento per ogni verifica futura.

Quando il supporto è danneggiato o si sta deteriorando la regola cambia: la priorità diventa salvare ciò che è leggibile prima che smetta di esserlo, e la parzialità della copia va documentata settore per settore, non taciuta.

Caselle di posta e archivi in cloud

Qui non esiste un supporto da copiare: esiste un servizio che risponde a delle richieste. L'acquisizione avviene tramite i protocolli del servizio, conservando i messaggi nel loro formato originale con tutte le intestazioni tecniche — che sono la parte probatoriamente rilevante e che quasi ogni esportazione «comoda» perde per strada. Il risultato viene poi trattato come un supporto: hash, verbale, sigillo.

Va anche verificato che cosa il fornitore conservi e per quanto. Molti servizi mantengono i registri di accesso per finestre brevi: se servono, vanno richiesti subito, e la richiesta va documentata anche quando riceve un rifiuto.

Pagine web e contenuti online

Una pagina pubblicata oggi può non esistere domani, e uno screenshot non dimostra che esistesse. L'acquisizione di un contenuto online documenta l'intera sessione: l'indirizzo richiesto, la risposta ricevuta dal server, gli indirizzi di rete coinvolti, la data e l'ora prese da una fonte indipendente, il contenuto integrale e non solo la porzione visibile a schermo. Il tutto viene chiuso con la consueta verifica di integrità.

Il verbale

Ogni acquisizione produce un verbale che riporta data e ora, luogo, persone presenti, descrizione e identificativi del materiale (marca, modello, numero di serie), strumenti impiegati con le loro versioni, procedura seguita, valori di hash calcolati e algoritmo usato, eventuali anomalie riscontrate. È il documento che permette, mesi dopo, di rispondere in modo verificabile a chi contesta la genuinità del materiale.

Quadro di riferimento

Sul piano tecnico il riferimento internazionale è la norma ISO/IEC 27037, che descrive identificazione, raccolta, acquisizione e conservazione delle evidenze digitali e distingue i ruoli di chi raccoglie e di chi esamina.

Sul piano processuale, la legge 48 del 2008 — che ha ratificato la Convenzione di Budapest sulla criminalità informatica — ha inserito nel codice di procedura penale il principio per cui le attività su sistemi informatici devono adottare misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l'alterazione. È il fondamento normativo su cui si contesta un'acquisizione fatta male.