Informatica forense e conservazione delle prove

In un recupero conta il risultato: il file è tornato, tutto a posto. In un’acquisizione forense conta anche la strada percorsa. Chi ha avuto il supporto e quando? Con cosa è stato letto? Si può dimostrare che tra la presa in carico e l’analisi non è cambiato nulla?

Per questo all’inizio c’è un’acquisizione, sulla quale viene calcolato un checksum — una sorta di impronta digitale del set di dati. Ogni analisi successiva avviene su una copia di quell’acquisizione. Se il checksum può essere ricalcolato in qualsiasi momento, è dimostrato che la copia analizzata è rimasta invariata dal momento dell’acquisizione.

Per dischi rigidi e SSD si tratta di un’immagine completa, letta in sola lettura. Per gli smartphone un’immagine bit a bit spesso non è possibile, e ogni estrazione presuppone che il dispositivo sia in funzione e comunichi con il sistema di estrazione. Gli interventi necessari a tale scopo vengono quindi documentati.

Per Lei significa soprattutto una cosa: non ci metta mano prima. Un motivo frequente per cui un set di dati perde valore probatorio non è la manipolazione ma l’iniziativa in buona fede — un collega che ha «solo dato un’occhiata».

Container cifrati, archivi bloccati, supporti con password dimenticata: nei casi con un legittimo diritto di accesso lavoriamo con Passware. La cifratura in sé non viene rotta. Passware cerca la password in modo strutturato e può — se disponibili — ricavare le chiavi anche da immagini della memoria o da file di ibernazione.

Le prospettive di una ricerca della password dipendono da ciò che si sa: lunghezza approssimativa, schemi usati, vecchie varianti, consuetudini aziendali. Da simili indicazioni si può costruire uno spazio di ricerca abbastanza piccolo. Senza indizi e senza materiale delle chiavi non funziona, e preferiamo dirlo prima.