Acquisizione forense delle prove digitali
Quasi tutte le prove digitali che cadono in giudizio cadono qui, nel primo passaggio: qualcuno ha copiato un dato in un modo che non si può dimostrare, oppure lo ha alterato mentre lo copiava.
Il problema che l'acquisizione risolve
Un dato informatico è diverso da un documento cartaceo per una ragione elementare: si modifica senza lasciare traccia visibile. Accendere un computer sequestrato cambia decine di file di sistema; aprire una casella di posta con un normale programma marca i messaggi come letti e può riscaricarli, alterandone i metadati; collegare un disco a una macchina Windows le fa scrivere sopra qualcosa quasi subito.
L'acquisizione forense serve a produrre una copia di cui si possa dimostrare, in qualunque momento successivo, che è identica all'originale nel momento in cui è stata presa. Da lì in poi si lavora sulla copia e l'originale non si tocca più.
Come procedo
Supporti fisici: dischi, memorie, chiavette
Si crea un'immagine bit per bit dell'intero supporto, compreso lo spazio non allocato — che è dove vivono i file cancellati ma non ancora sovrascritti. La lettura avviene attraverso un blocco in scrittura, hardware o software, che impedisce fisicamente al sistema di modificare l'originale. Al termine si calcola il valore di hash dell'immagine e quello del supporto sorgente: se coincidono, la copia è integrale, e quel valore diventa il riferimento per ogni verifica futura.
Quando il supporto è danneggiato o si sta deteriorando la regola cambia: la priorità diventa salvare ciò che è leggibile prima che smetta di esserlo, e la parzialità della copia va documentata settore per settore, non taciuta.
Caselle di posta e archivi in cloud
Qui non esiste un supporto da copiare: esiste un servizio che risponde a delle richieste. L'acquisizione avviene tramite i protocolli del servizio, conservando i messaggi nel loro formato originale con tutte le intestazioni tecniche — che sono la parte probatoriamente rilevante e che quasi ogni esportazione «comoda» perde per strada. Il risultato viene poi trattato come un supporto: hash, verbale, sigillo.
Va anche verificato che cosa il fornitore conservi e per quanto. Molti servizi mantengono i registri di accesso per finestre brevi: se servono, vanno richiesti subito, e la richiesta va documentata anche quando riceve un rifiuto.
Anche alcune conversazioni rientrano in questa categoria, e non in quella dei supporti: le chat ordinarie di Telegram vivono sui server del servizio e si ripresentano su qualunque dispositivo collegato all'account, mentre le chat segrete non passano dal cloud ed esistono solo sui due telefoni che le hanno stabilite. La differenza cambia da dove si acquisisce, e va stabilita prima di muoversi: come si acquisisce una chat Telegram →
Pagine web e contenuti online
Una pagina pubblicata oggi può non esistere domani, e uno screenshot non dimostra che esistesse. L'acquisizione di un contenuto online documenta l'intera sessione: l'indirizzo richiesto, la risposta ricevuta dal server, gli indirizzi di rete coinvolti, la data e l'ora prese da una fonte indipendente, il contenuto integrale e non solo la porzione visibile a schermo. Il tutto viene chiuso con la consueta verifica di integrità.
Il verbale
Ogni acquisizione produce un verbale che riporta data e ora, luogo, persone presenti, descrizione e identificativi del materiale (marca, modello, numero di serie), strumenti impiegati con le loro versioni, procedura seguita, valori di hash calcolati e algoritmo usato, eventuali anomalie riscontrate. È il documento che permette, mesi dopo, di rispondere in modo verificabile a chi contesta la genuinità del materiale.
Quando l'acquisizione si svolge nel corso di operazioni disposte dal giudice, fra le persone presenti ci sono anche i consulenti nominati dalle parti (i CTP), che assistono e possono chiedere che le proprie osservazioni siano messe a verbale. È il momento in cui un'obiezione tecnica costa poco: sollevarla mesi dopo, quando la copia è già stata fatta in un certo modo, costa molto di più. Su chi sono le figure in campo e su che cosa può fare ciascuna: la differenza fra CTU e CTP →
Quadro di riferimento
Sul piano tecnico il riferimento internazionale è la norma ISO/IEC 27037, che descrive identificazione, raccolta, acquisizione e conservazione delle evidenze digitali e distingue i ruoli di chi raccoglie e di chi esamina.
Sul piano processuale, la legge 48 del 2008 — che ha ratificato la Convenzione di Budapest sulla criminalità informatica — ha inserito nel codice di procedura penale il principio per cui le attività su sistemi informatici devono adottare misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l'alterazione. È il fondamento normativo su cui si contesta un'acquisizione fatta male.
Se l'acquisizione è già avvenuta. Capita spesso che mi si chieda di intervenire dopo: il materiale è già stato copiato, magari male, magari da chi non aveva ragione di farlo con cura. In quel caso il lavoro non è riacquisire — di solito non è più possibile — ma stabilire che cosa quella copia possa ancora sostenere e che cosa non possa più. Anche questa è una risposta utile.
Approfondimento: copia forense e hash →
Approfondimento: la registrazione audio
come prova →
Ambiti collegati
Dispositivi mobili
Estrazione da smartphone e tablet: che cosa è recuperabile, che cosa no, e per quale ragione.
Email e PEC
Header SMTP, SPF, DKIM e ricevute PEC per stabilire chi ha spedito che cosa, e quando.
Data breach e analisi dei log
Ricostruire un'intrusione dai log e distinguere ciò che è stato esfiltrato da ciò che era solo raggiungibile.
Ha una questione in corso?
Mi scriva che cosa è successo e che cosa deve dimostrare. Le dico in una prima risposta se la strada tecnica esiste, quali dati servono e con che tempi — prima di qualunque impegno.