Sequestro, imballaggio e trasporto

Una volta che la scena è stata messa in sicurezza e documentata, i reperti vengono presi in custodia oppure i loro dati vengono copiati sul posto. In entrambi i casi, le prove devono raggiungere il laboratorio nelle condizioni in cui sono state rinvenute e chiunque deve poter verificare che non siano state aperte o sostituite durante il tragitto. Le modalità di creazione delle copie sono trattate nel Modulo 4 e quelle di registrazione dei trasferimenti nel Modulo 5.

Sequestrare il reperto o copiare i dati

Prendere in custodia un dispositivo consente all'esaminatore di disporre dell'originale, del tempo necessario e di un ambiente controllato. La copia sul posto, che costituisce un'acquisizione (Modulo 4), è talvolta l'unica opzione e talvolta quella migliore.

• Sequestrare quando il dispositivo è portatile, l'autorizzazione lo consente, l'esame richiederà tempo oppure il dispositivo stesso è rilevante, ad esempio per esaminare l'hardware di un telefono o dimostrare chi lo possedeva.
• Copiare sul posto quando il sistema non può essere rimosso o arrestato, come nel caso di un server aziendale o di un array di archiviazione; quando i dati sono cifrati e leggibili solo mentre il sistema è in funzione; quando il sequestro dell'hardware sarebbe sproporzionato (Modulo 2); oppure quando i dati risiedono in un servizio cloud.

Alcuni casi richiedono entrambe le operazioni: una copia a sistema acceso della memoria e di un volume sbloccato, seguita dal sequestro del dispositivo.

Etichettatura e contrassegno

A ogni reperto viene assegnato un numero identificativo univoco che lo accompagna in ogni registrazione e relazione. Molte organizzazioni combinano il riferimento del caso, le iniziali di chi ha raccolto il reperto e un numero progressivo. Le parti separabili, come un computer portatile, il suo caricabatterie e una scheda di memoria rinvenuta al suo interno, ricevono ciascuna un proprio numero e vengono registrate come correlate.

• Fotografare ogni reperto con l'etichetta visibile prima di imballarlo.
• Applicare le etichette sull'imballaggio oppure utilizzare cartellini da legare, senza coprire numeri di serie, porte o viti sul dispositivo stesso.
• Inserire nell'elenco dei reperti il numero identificativo, una descrizione, il luogo di rinvenimento, la data e l'ora e il nominativo di chi ha effettuato il sequestro.

Imballaggio

L'imballaggio protegge i reperti da danni fisici, elettricità statica, segnali radio e manomissioni.

• I sacchetti antistatici proteggono le unità prive di involucro, i moduli di memoria e le schede elettroniche dalle scariche elettrostatiche, che possono danneggiare i componenti. I comuni sacchetti di plastica possono accumulare elettricità statica e non vengono utilizzati per i componenti elettronici privi di involucro.
• Le scatole rigide imbottite proteggono da schiacciamenti e urti. Le unità disco rigido, che contengono parti mobili, sono particolarmente sensibili agli urti.
• I sacchetti o le buste di carta sono adatti ai reperti che potrebbero essere umidi, poiché la plastica sigillata può trattenere l'umidità.
• Le borse di Faraday (borse schermanti RF) bloccano i segnali di rete mobile, Wi-Fi e Bluetooth da e verso telefoni, tablet e dispositivi indossabili.

Borse di Faraday e consumo della batteria

Un telefono all'interno di una borsa schermante continua a cercare una rete, consumando di norma la batteria più rapidamente del normale. Se la batteria si esaurisce, il telefono si spegne e, al riavvio, gran parte dei dati potrebbe rimanere cifrata fino all'inserimento del codice di accesso. Mantenere carichi i telefoni isolati, utilizzando una batteria esterna all'interno della borsa oppure una borsa dotata di una porta di ricarica schermata; un cavo di ricarica fatto passare attraverso l'apertura della borsa può veicolare segnali all'interno e vanificare la schermatura. Aprire la borsa solo all'interno di un contenitore o di un locale schermato, altrimenti il telefono si riconnetterà. Verificare periodicamente le borse, ad esempio chiamando un telefono di prova collocato al loro interno.

Sigillatura

Ogni confezione viene chiusa con nastro antimanomissione e la persona che la sigilla appone firma e data a cavallo del sigillo, in modo che la firma si estenda sia sul nastro sia sulla confezione. Qualsiasi successivo tentativo di apertura lacera il nastro o interrompe il tratto della firma. Quando un esaminatore apre in seguito la confezione, la taglia in un punto lontano dal sigillo originale, registra l'apertura e la richiude con nuovo nastro e una nuova firma, in modo che l'intera cronologia rimanga visibile.

Cavi, caricabatterie e alimentatori

Sequestrare i caricabatterie e gli alimentatori appartenenti ai dispositivi sequestrati. Telefoni e computer portatili possono utilizzare connettori proprietari e un telefono conservato in una borsa schermante avrà bisogno di alimentazione nel giro di poche ore. Le unità esterne e i dispositivi NAS possono richiedere il proprio alimentatore per essere letti e, in seguito, potrebbero essere necessari docking station, cavi speciali e chiavi di sicurezza hardware per accedere ai dati. Ogni accessorio riceve un proprio numero identificativo del reperto, collegato al dispositivo a cui appartiene.

Trasporto

• Tenere i reperti lontani da fonti di calore, come un'automobile parcheggiata al sole, e dal freddo che può causare condensa quando vengono portati al chiuso.
• Tenerli lontani da magneti potenti, come quelli presenti nei grandi altoparlanti, che possono danneggiare i supporti magnetici.
• Proteggerli da umidità, vibrazioni e urti e fissare le scatole in modo che non possano scivolare o cadere.
• Non lasciare le prove incustodite in un veicolo; trasportarle direttamente in un luogo di conservazione sicuro.
• Registrare ogni trasferimento tra persone o luoghi, con data, ora e firme, nel registro della catena di custodia (Modulo 5).

Un server di un centro dati a confronto con un computer portatile personale

Due sequestri nello stesso caso mostrano la differenza. A casa della persona sospettata, il computer portatile personale è spento. Il gruppo lo fotografa, etichetta il dispositivo e il relativo caricabatterie, lo imballa in una scatola imbottita, lo sigilla e lo porta via.

Presso il datore di lavoro della persona sospettata, i dati rilevanti risiedono invece su una macchina virtuale in un centro dati, su un array di archiviazione condiviso da decine di sistemi che devono rimanere in funzione. Il sequestro dell'hardware non è né possibile né proporzionato. Con l'aiuto degli amministratori di sistema e nei limiti dell'ambito concordato, uno specialista acquisisce invece sul posto i file dei dischi della macchina virtuale e i log pertinenti (Modulo 4), registra i valori hash di ciascuna copia, annota chi ha svolto ogni operazione in ciascuna fase e documenta la configurazione: piattaforma di virtualizzazione, disposizione dell'archiviazione e impostazioni dell'ora. Qualora fosse necessario rimuovere dischi fisici da un array RAID, le posizioni dei rispettivi alloggiamenti vengono etichettate, poiché senza tale ordine l'array potrebbe non essere ricostruito correttamente. Vengono quindi imballate e trasportate le copie, non il server.

Imballaggio per tipo di dispositivo

Focus sull'esame: La maggior parte delle domande parte da una decisione: sequestrare il reperto o copiare i dati sul posto. Occorre inoltre conoscere le modalità di assegnazione dei numeri identificativi e delle etichette dei reperti e sapere quale imballaggio è adatto a ciascun dispositivo: sacchetti antistatici per le unità, scatole rigide imbottite, carta per i reperti umidi, borse di Faraday per i telefoni. Sono previste domande sul consumo accelerato della batteria causato dalle borse di Faraday e su come mantenere carichi i telefoni senza compromettere la schermatura, sull'apposizione della firma a cavallo dei sigilli antimanomissione, sui rischi del trasporto (calore, magneti, umidità, urti, veicoli incustoditi) e sui server i cui dati vengono acquisiti sul posto anziché essere sequestrati.