Relazioni tecniche giudiziarie

Quando si parla di processi giudiziari, ovviamente, si affrontano tematiche molto delicate e diventa sempre più indispensabile rispettare certi confini.

Oggi non esiste reato che non possa essere provato mediante l’acquisizione della copia forense del cellulare o del pc. Infatti mail, messaggi, dati del gps, ecc.. sono indispensabili per gli inquirenti al fine di provare la commissione di un fatto.

La prima cosa da sapere è che il sequestro del supporto, dal quale effettuare la copia digitale, deve essere temporaneo: la copia integrale costituisce solo una copia mezzo, cioè una copia che consente di restituire il contenitore, ma che non legittima il trattenimento dell’insieme dei dati appresi: la copia integrale consente la verifica di quali, tra i dati contenuti nel contenitore, siano quelli pertinenti rispetto al reato. 

Di contro, una inammissibile ed illecita diffusione di dati che appartengono alla sfera personale del soggetto, che è inviolabile, e la cui violazione potrebbe generare la divulgazione di fatti lesivi dell’onorabilità e della reputazione altrui:

tendenze sessuali;

opinioni politiche;

opinioni religiose;

sfera privata;

rapporti sentimentali;

dati sanitari;

ecc.

La copia forense viene disposta dal Pubblico Ministero e dalla polizia giudiziaria, che si avvarranno di un loro tecnico di fiducia.

Nel caso in cui accidentalmente la polizia giudiziaria dovesse venire a conoscenza di altri fatti costituenti reato, anche se privi di valore probatorio ai fini dell’accertamento del reato per il quale si procede, non possono essere riversati all’interno del relativo procedimento ma devono formare oggetto di separata comunicazione di reato.

Strumenti per la copia forense: hardware e software per evidenze digitali

Dal punto di vista tecnico, la copia forense si ottiene mediante l’uso di particolari strumenti hardware con funzione di write blocking che, una volta collegati al sistema contenente i dati da acquisire, permettono la duplicazione dei dati in sicurezza all’interno della memoria di destinazione, oppure usando appositi software di estrazione dati installati sul dispositivo che si adopera per la manovra. È chiaro che nel caso in cui detti strumenti siano difettosi o settati non correttamente, la duplicazione potrebbe presentare delle difformità rispetto alla memoria sorgente, con conseguenti problemi in ordine all’attendibilità delle operazioni.

Occorre pertanto che in sede di esecuzione delle operazioni venga specificato con quale strumento si stia procedendo, in modo da poterne verificare – anche a posteriori – l’attendibilità.

Firma digitale e funzione di hash: garanzia di autenticità delle evidenze digitali

Infine, per garantire l’integrità e l’identicità della copia forense e la conformità delle copie forensi che si possono estrarre dalla medesima, è necessario apporvi la firma digitale mediante la c.d. funzione di hash.

Una volta ottenuta la copia forense, infatti, è necessario che la stessa non subisca alterazioni, così da mantenerne l’identicità all’originale. Per garantire tale identicità la copia va, per l’appunto, “firmata” mediante il calcolo della funzione di hash, che offre la possibilità di verificare l’integrità del documento per poterne stabilire la veridicità nelle successive fasi investigative e giudiziali, marchiandolo con un’impronta digitale individualizzante, in grado di dare completa certezza relativamente all’origine del reperto e all’integrità del suo contenuto.

Verifica dell’integrità: il ruolo del valore di hash nelle evidenze digitali

La funzione di hash consiste in un calcolo matematico (o meglio un algoritmo) non invertibile, ossia è che opera in una sola direzione, che applicato al documento ne traduce il contenuto – inteso come testo di lunghezza arbitraria – riducendolo a una stringa di lunghezza fissa. Tale stringa, chiamata valore di hash e anche detta checksum crittografico o message digest, costituisce l’impronta digitale univoca che caratterizza il documento sottoposto al processo di hashing.

La creazione di tale stringa – che più semplicemente è costituita da una serie prefissata di bit frutto della traduzione mediante calcolo di hash del testo originale – permette di verificare che non vi siano state modifiche, anche accidentali, sul dato digitale che si analizza.

Per la verifica è sufficiente paragonare la stringa che si sta esaminando con quella del documento dalla quale è stata estratta copia: se le due stringhe risultano identiche significa che vi è altresì identicità del contenuto digitale sul quale sono state apposte, con conseguente certezza riguardo all’integrità.

Copia forense: la clonazione perfetta delle evidenze digitali

Più propriamente la copia forense, anche detta bit stream image o copia bit a bit, consiste nella copiatura integrale del contenuto digitale della memoria del sistema inquisito, che si esegue, per l’appunto, trascrivendo su un altro dispositivo ogni singolo bit presente al suo interno, compresi gli spazi vuoti tra files e gli elementi cancellati (ma non definitivamente eliminati) dal sistema, o loro frammenti. In buona sostanza, quindi, la copia forense è l’identica riproduzione, in perfetta clonazione, della memoria oggetto di indagine, che materialmente si utilizzerà per l’effettuazione dei successivi passaggi del procedimento di digital forensics.

Se correttamente eseguita e opportunamente documentata, anche mediante videoregistrazione, l’acquisizione in copia forense permette di mantenere intatti i dati contenuti nella memoria di origine, consentendo in un secondo momento di poter valutar e l’attendibilità dei dati estratti, anche al fine di verificare che sia avvenuto correttamente il trasferimento nel dispositivo di destinazione.

Sotto un altro aspetto, l’importanza della bit stream image si riflette poi nella fase di determinazione cronologica degli eventi, in quanto tale metodo di copiatura permette di mantenere inalterati anche i metadati relativi ai file acquisiti (come data e ora di salvataggio), permettendo di ricostruire con precisione la timeline delle operazioni condotte sul dispositivo originale. Ricostruzione cronologica che, tuttavia, potrebbe risultare inesatta in caso di applicazione di tecniche di anti forensics sul dispositivo sorgente atte a complicare o depistare le indagini, come ad esempio l’utilizzo di programmi di crittografia per cifrare i dati o l’attuazione di stratagemmi volti alla precostituzione del c.d. alibi informatico.

Hai un problema con uno di questi dispositivi?

MrDisk è un Laboratorio Specializzato nel Data Recovery dotato di tutta la strumentazione necessaria per consentire il ripristino dei dati persi da qualsiasi tipologia di caso ci venga presentato.

Nei nostri laboratori operano solamente tecnici specializzati e con anni di esperienza nel campo del recupero dati professionale, al fine di offrire ai nostri clienti il miglior servizio possibile.

Alcune caratteristiche importanti:

• Possibilità di avere un tecnico dedicato al proprio caso
• Costante attività di ricerca e sviluppo
• Tecnici specializzati su singoli supporti o brand
• Possibilità di interventi anche estremi in camera bianca
• Possibilità di ricevere aggiornamenti in tempo reale sullo stato di avanzamento della lavorazione

E’ possibile il totale recupero dati nei seguenti casi:

• Danno logico (software): in cui il supporto venga ancora riconosciuto dal BIOS del sistema.
• Danno fisico, sia elettrico che elettronico o meccanico (hardware): in cui il supporto venga o non venga più riconosciuto dal BIOS.

Il procedimento del recupero dati in camera bianca si suddivide in due fasi: la fase di diagnosi e la procedura di recupero dati.

Il cliente viene costantemente informato sullo stato del recupero dati.

Richiedi un'analisi gratuita cliccando sulla pagina contattaci!