Che cosa rende i dati una prova

Ogni indagine che coinvolge un computer, un telefono o un account online si conclude con la stessa domanda: ci si può fidare di questi dati per ricostruire ciò che è accaduto? Un file su un computer portatile è soltanto un insieme di dati. Diventa una prova digitale quando è pertinente a una questione su cui qualcuno deve decidere e quando è stato gestito in modo da consentire ad altri di farvi affidamento. Distinguere le due cose e sapere come le norme internazionali valutano le prove digitali è il punto di partenza di ogni esaminatore.

Dati, informazioni e prove

È utile distinguere tre concetti che vengono spesso usati come se fossero equivalenti.

• I dati sono ciò che viene memorizzato: i byte di un file, un record di un database, una riga di log, il contenuto della memoria.
• Le informazioni sono dati interpretati nel loro contesto. Una riga nel database della cronologia di un browser è un dato; "questo account ha visitato questa pagina web alle 14:02 UTC" è un'informazione.
• Le prove sono informazioni che contribuiscono a dimostrare o confutare un fatto in esame e che sono state identificate, raccolte e preservate in modo da poterne dimostrare l'origine e l'integrità.

La norma ISO/IEC 27037, la linea guida internazionale per l'identificazione, la raccolta, l'acquisizione e la preservazione delle prove digitali, definisce una prova digitale come un'informazione o un dato, memorizzato o trasmesso in forma binaria, su cui si può fare affidamento come prova. Finché non viene esaminata, la norma la definisce potenziale prova digitale: nessuno sa ancora se sia rilevante, quindi deve essere gestita come se potesse esserlo.

Che cosa distingue le prove digitali

Le prove digitali seguono la stessa logica di qualsiasi altra prova, ma si comportano diversamente sotto aspetti che influenzano ogni fase del lavoro.

• Sono latenti. Nessuno può leggere un disco semplicemente guardandolo. Per rendere visibili i dati servono strumenti e un esaminatore, quindi il metodo stesso deve essere spiegato ed essere affidabile.
• Sono fragili. I dati possono essere modificati, sovrascritti o distrutti dal normale utilizzo del dispositivo, da un aggiornamento automatico o da un esaminatore poco attento. La lezione 1.2 tratta questo aspetto in dettaglio.
• È possibile crearne una copia esatta. A differenza di un'impronta digitale rilevata da un bicchiere, una copia bit per bit di un'unità è identica all'originale. Un valore di hash crittografico, come SHA-256, consente a chiunque di verificare che la copia non sia stata modificata (Modulo 4).
• Contengono metadati. File, messaggi e record sono accompagnati da dati che li descrivono: marcature temporali, autori, identificativi dei dispositivi, posizioni. I metadati spesso rispondono alla domanda meglio del contenuto.
• Sono abbondanti e di varia provenienza. Un solo telefono contiene anni della vita di una persona e dati appartenenti ad altre persone. Gli esaminatori devono individuare ciò che è pertinente senza andare oltre quanto sono autorizzati a esaminare (Modulo 2).
• Spesso si trovano altrove. Email, chat e documenti possono risiedere su server in altri Paesi, sincronizzati tra più dispositivi.

Tre criteri: pertinenza, affidabilità e sufficienza

La norma ISO/IEC 27037 indica tre principi che regolano le prove digitali. Costituiscono un'utile lista di controllo per ogni elemento che si intende raccogliere.

Sufficienza non significa raccogliere tutto. Significa raccogliere quanto basta per rispondere alla domanda e verificare altre spiegazioni, rimanendo entro i limiti dell'autorizzazione.

Quattro aspetti di una gestione corretta

La stessa norma elenca quattro aspetti che rendono difendibile la gestione delle prove digitali. Ricorrono in ogni modulo di questo corso.

1. Verificabilità: una persona indipendente può riesaminare ciò che è stato fatto, perché ogni azione è stata registrata.
2. Ripetibilità: lo stesso esaminatore, utilizzando lo stesso metodo e gli stessi strumenti nelle stesse condizioni, ottiene lo stesso risultato.
3. Riproducibilità: un altro esaminatore, con strumenti diversi o in un laboratorio diverso, utilizzando lo stesso metodo, ottiene lo stesso risultato.
4. Giustificabilità: ogni azione e decisione può essere spiegata come la migliore scelta disponibile nelle circostanze.

La ripetibilità e la riproducibilità sono il motivo per cui gli esaminatori lavorano su copie verificate ed evitano strumenti i cui risultati non possono essere controllati. La giustificabilità è importante quando non è stato possibile compiere il passaggio ideale: se è stato necessario esaminare un telefono mentre era acceso, le annotazioni devono indicarne il motivo.

Prove per entrambe le parti

Le prove che sostengono un'accusa sono dette a carico; quelle che la indeboliscono sono dette a discarico. Un esaminatore cerca entrambe. Un log che mostra un account mentre copia dei file è una prova a carico; lo stesso log che mostra che l'account era in uso mentre il suo titolare era in volo è una prova a discarico e deve essere riportato con altrettanta chiarezza. L'esame forense è al servizio dell'accertamento dei fatti, non di una delle parti.

Idee errate comuni

Quattro convinzioni causano la maggior parte degli errori iniziali nella gestione delle prove digitali.

• "Eliminato significa scomparso." L'eliminazione di un file di solito rimuove soltanto il riferimento al file; il contenuto spesso rimane finché non viene sovrascritto. È vero anche il contrario: alcuni sistemi, come le unità a stato solido, cancellano rapidamente i dati eliminati (Lezione 1.2).
• "Una schermata è sufficiente." Una schermata mostra ciò che era visualizzato su uno schermo, non la provenienza dei dati. È un utile elemento orientativo, non un sostituto della fonte.
• "Lo strumento ha sempre ragione." Gli strumenti forensi analizzano i dati in base a ciò che i loro sviluppatori hanno compreso. I risultati devono essere verificati, soprattutto nel caso di nuove versioni dei sistemi operativi e delle applicazioni.
• "Più dati sono sempre meglio." Raccogliere tutto può oltrepassare i limiti dell'autorizzazione, violare la riservatezza di altre persone e rendere difficili da individuare gli elementi pertinenti. Occorre raccogliere ciò che le domande richiedono e quanto è necessario per verificare spiegazioni alternative.

Un esempio svolto

Un'azienda sospetta che un dipendente abbia inviato un listino prezzi riservato a un concorrente prima di dimettersi. Il primo file che emerge è una schermata di un'email inoltrata da un collega.

• La schermata è pertinente, ma debole sul piano dell'affidabilità: può essere modificata e non mostra dati di intestazione che dimostrino chi ha inviato il messaggio, quando e a chi.
• La casella di posta sul server di posta aziendale, esportata con le relative intestazioni e verificata mediante valori di hash, è molto più affidabile.
• Per garantire la sufficienza, l'esaminatore preserva anche la cartella della posta inviata, i log di trasporto del server di posta e il computer portatile del dipendente, in modo da poter verificare altre spiegazioni, come un account con accesso delegato o una password condivisa.

Lo stesso fatto, "questa email è stata inviata", costituisce una prova debole o forte a seconda della sua provenienza e di come è stato gestito.

Focus sull'esame: Occorre avere chiara la differenza tra dati, informazioni e prove digitali; conoscere i tre principi della norma ISO/IEC 27037 (pertinenza, affidabilità, sufficienza) e i suoi quattro aspetti di gestione (verificabilità, ripetibilità, riproducibilità, giustificabilità), e distinguere la ripetibilità dalla riproducibilità. Le domande verificano anche ciò che rende diverse le prove digitali: sono latenti, fragili, copiabili esattamente e verificabili mediante valori di hash, ricche di metadati. Occorre ricordare che gli esaminatori cercano sia prove a discarico sia prove a carico.