Registri della catena di custodia

L'affidabilità di una prova dipende dalla sua storia. La catena di custodia è la registrazione documentata e ininterrotta di chi ha avuto un reperto, quando, dove, perché e in quali condizioni, dal momento della raccolta fino alla restituzione o alla distruzione. Una lacuna in questa registrazione è una delle prime cose che la controparte cerca, e la registrazione riguarda le immagini forensi tanto quanto i dispositivi da cui provengono. Il sequestro e il confezionamento sono trattati nel Modulo 3, mentre i valori hash che dimostrano che una copia è rimasta invariata sono trattati nel Modulo 4.

Perché la catena deve essere ininterrotta

Un tribunale, un esperto della controparte o un auditor porrà due domande su qualsiasi reperto: è lo stesso reperto che è stato raccolto e qualcuno potrebbe averlo modificato da allora? La catena di custodia risponde a entrambe. Ogni persona che ha avuto il controllo del reperto costituisce un anello, e ogni passaggio tra queste persone viene registrato. Una lacuna, come una giornata durante la quale nessuno sa dire dove si trovasse un telefono, non dimostra che qualcosa sia stato alterato, ma fa venir meno la prova che nulla lo sia stato. A seconda dell'ordinamento giuridico e delle circostanze, una lacuna può ridurre il valore probatorio attribuito alla prova, costringere i testimoni a fornire lunghe spiegazioni o portare all'esclusione della prova.

La catena di custodia rende possibile la verificabilità descritta nel Modulo 1: una persona indipendente dovrebbe poter ricostruire ogni spostamento di ciascun reperto basandosi esclusivamente sui registri, senza affidarsi alla memoria di nessuno.

Cosa contiene un registro di custodia

I moduli variano da un'organizzazione all'altra, ma un registro completo contiene due tipi di informazioni: una descrizione del reperto, riportata una sola volta, e una voce per ogni passaggio.

• Identificativo univoco: un numero di reperto che compare sul reperto stesso, sul suo imballaggio, negli appunti, su tutte le immagini ricavate da esso e nella relazione.
• Descrizione: tipo di reperto, marca, modello e numero di serie, oltre a segni distintivi quali danni, adesivi o un'etichetta inventariale.
• Dettagli della raccolta: dove e quando è stato raccolto, da chi e in base a quale autorizzazione o riferimento del caso.
• Ogni passaggio: chi lo ha consegnato, chi lo ha ricevuto, la data e l'ora con il fuso orario e la finalità, ad esempio trasporto, conservazione, esame o presentazione in tribunale.
• Condizioni del reperto e stato del sigillo a ogni passaggio: il numero del sigillo, se era integro e qualsiasi cambiamento nelle condizioni del reperto.
• Firme sia della persona che consegna il reperto sia di quella che lo riceve.

Anche la conservazione costituisce custodia. Mentre un reperto si trova in un deposito reperti, il custode responsabile del deposito ne è il detentore, e ogni prelievo e restituzione costituisce un passaggio.

Sigilli e numeri dei sigilli

Un sigillo antimanomissione è un'etichetta, un nastro o una chiusura di un sacchetto che non può essere rimosso senza danni visibili. La maggior parte riporta un numero univoco stampato. Il numero del sigillo viene annotato nel registro di custodia e negli appunti, affinché chiunque riceva il reperto possa verificare che lo stesso sigillo sia ancora presente e integro. I sigilli non impediscono le manomissioni: le rendono visibili.

Quando un esaminatore ha bisogno del reperto, apre personalmente l'imballaggio, registra l'apertura e poi lo richiude con un nuovo sigillo, il cui numero viene anch'esso registrato. Apporre le iniziali e la data a cavallo del sigillo e dell'imballaggio aggiunge un ulteriore controllo. Un sigillo non viene mai riutilizzato.

Reperti fisici e copie digitali

La custodia non si limita al dispositivo. Anche un'immagine forense è una prova, e di solito è la prova che viene effettivamente esaminata. Ogni immagine, esportazione o insieme di file estratti necessita di un proprio registro:

• L'identificativo del reperto di origine e un identificativo distinto per la copia.
• I valori hash calcolati al momento dell'acquisizione, in modo che qualsiasi copia successiva possa essere verificata confrontandola con tali valori.
• Ogni copia effettuata: quando, da chi, su quale supporto o in quale posizione di archiviazione e per quale finalità.
• Chi ha avuto accesso a ciascuna copia e quando questa è stata eliminata o distrutta.

I supporti che contengono copie delle prove, come le unità esterne utilizzate per trasportare le immagini, vengono tracciati come reperti a sé stanti, con numeri di serie e voci nel registro di custodia.

Sistemi elettronici di custodia

Molti laboratori e organizzazioni registrano la custodia tramite software anziché su carta: un sistema di gestione dei casi, un sistema di gestione delle informazioni di laboratorio (LIMS) o un sistema dedicato di gestione delle prove digitali. I reperti sono dotati di etichette con codice a barre o RFID che vengono scansionate a ogni passaggio. I vantaggi sono voci leggibili, campi uniformi e un registro di audit: una registrazione automatica, con marcatura temporale, di ogni azione, come la visualizzazione, il prelievo, il download o la modifica di una voce, associata a un account utente individuale.

L'affidabilità di un sistema elettronico dipende dai suoi controlli. Ogni persona deve disporre del proprio account, il registro di audit deve essere protetto dalle modifiche, l'orologio di sistema deve essere preciso e le correzioni devono essere aggiunte come nuove voci anziché sovrascrivere quelle precedenti. Quando anche un modulo cartaceo accompagna il reperto, le due registrazioni devono concordare.

Quando qualcosa va storto

Gli errori accadono: un sigillo arriva strappato, manca una firma, un orario è stato annotato con il fuso orario sbagliato. La regola è documentare onestamente, non correggere mai senza darne evidenza.

• Registrare quanto riscontrato, quando e chi era presente; fotografare un sigillo o un imballaggio danneggiato prima di fare qualsiasi altra cosa.
• Segnalare il problema alla persona responsabile del caso.
• Aggiungere una correzione o una spiegazione datata. Non retrodatare mai una voce, non cancellarla e non chiedere a qualcuno di firmare per un passaggio al quale non ha assistito.
• Se esiste già un'immagine verificata, un nuovo hash dell'originale può mostrare se i dati in esso contenuti sono cambiati dopo l'acquisizione.

Un problema dichiarato e spiegato può solitamente essere gestito. Un problema nascosto che emerge durante il controesame danneggia la credibilità dell'esaminatore molto più dell'errore originario.

Un esempio svolto: dal sequestro al tribunale

Ana Ruiz, l'investigatrice di Northline Freight della Lezione 4.1, raccoglie un computer portatile dalla scrivania di un dipendente in base a un'autorizzazione per un'indagine interna. Registra marca, modello e numero di serie, assegna il numero di reperto LT-01, inserisce il portatile in un sacchetto per reperti e lo chiude con il sigillo S-104. Il registro viene quindi aggiornato a ogni passaggio:

Ogni riga è firmata da entrambe le persone. Parallelamente, l'immagine LT-01-IMG ha un proprio registro: il suo valore SHA-256 al momento dell'acquisizione, la copia master sul server delle prove del laboratorio e una copia di lavoro consegnata a M. Lind e successivamente eliminata previa autorizzazione. In udienza, Ana può dimostrare che il portatile presente in tribunale è LT-01 e che la sua storia non presenta lacune, e M. Lind può dimostrare che l'immagine da lei analizzata corrisponde all'hash di acquisizione.

Focus sull'esame: Un registro della catena di custodia ha contenuti prestabiliti: identificativo univoco, descrizione con numero di serie, dettagli della raccolta e, per ogni passaggio, persone che consegnano e ricevono il reperto, data e ora, finalità, numero e condizioni del sigillo e firme. Ricordare che i prelievi dal deposito sono passaggi e che anche le immagini forensi e le loro copie necessitano di registri di custodia. Sono previsti scenari relativi a sigilli rotti, firme mancanti e lacune: documentare e spiegare onestamente, senza mai correggere senza darne evidenza né retrodatare.