Articolo Pubblicazioni

Social network come prova: Facebook, MySpace e le prime regole per acquisire profili e messaggi

di · Pubblicato il 6 dicembre 2004

Abstract

Nel 2004 i siti di social network sono passati dai circoli di appassionati a decine di milioni di utenti. Friendster, MySpace, Orkut e il nuovo Facebook, aperto a febbraio agli studenti di Harvard, raccolgono profili, foto, messaggi e commenti che possono diventare prova di diffamazioni, minacce o molestie. L’articolo descrive dove si trovano questi dati, perché la semplice stampa della pagina è una prova debole e come acquisirli con un metodo che ne garantisca integrità e verificabilità.

Vincenzo Calabrò | Social network come prova: Facebook, MySpace e le prime regole per acquisire profili e messaggi
 

Una nuova fonte di prova

Il 2004 è l’anno in cui le comunità online sono diventate un fenomeno di massa. Friendster conta milioni di iscritti, MySpace cresce rapidamente fra musicisti e adolescenti, Google ha lanciato Orkut a gennaio e a febbraio un gruppo di studenti di Harvard ha aperto TheFacebook, che a fine anno ha già superato il milione di utenti nelle università statunitensi. In Italia la stessa dinamica passa per i forum, i blog ospitati da piattaforme come Splinder e le chat.
Questi siti contengono informazioni che le persone non avrebbero mai pubblicato pochi anni fa, cioè nome, foto, scuola, amicizie, interessi, messaggi pubblici e privati. Inevitabilmente cominciano a comparire nelle controversie, per esempio quando un profilo falso viene usato per diffamare qualcuno, quando arrivano minacce attraverso un messaggio o quando un commento offensivo resta visibile a tutti.

Dove si trovano i dati

Per chi deve acquisire queste informazioni, la prima cosa da capire è che i dati non stanno sul computer dell’utente. Si trovano su tre livelli diversi:
  • sui server del gestore del servizio, che conservano profili, messaggi, indirizzi IP di registrazione e di accesso;
  • sul computer di chi ha consultato o scritto il contenuto, nella cache del browser, nella cronologia e nei file temporanei;
  • sui sistemi dei fornitori di connettività, nei log che collegano un indirizzo IP a un abbonato in un certo momento.
Ognuno di questi livelli richiede strumenti diversi. Il contenuto pubblico si può acquisire direttamente dalla rete, mentre i dati riservati e i log richiedono una richiesta formale al gestore, spesso con sede all’estero, attraverso i canali dell’assistenza giudiziaria.

I limiti della stampa

La prassi più diffusa è stampare la pagina o salvarne un’immagine e allegarla a una denuncia. È un punto di partenza, ma come prova è debole. Una pagina web è composta da elementi che arrivano da server diversi e possono cambiare a seconda di chi la visita. Una stampa non dice da quale indirizzo è stata scaricata, in quale momento e con quale contenuto originale, e chiunque abbia un minimo di dimestichezza con un programma di grafica può modificare un’immagine senza lasciare tracce evidenti.
Se la controparte contesta il documento, chi lo ha prodotto deve dimostrare che corrisponde a ciò che era effettivamente pubblicato. Senza altri elementi, questa dimostrazione è difficile.

Un metodo per acquisire

Le stesse regole che valgono per la copia di un disco si possono adattare alle pagine online. Un’acquisizione affidabile prevede alcuni passaggi:
  1. usare un computer dedicato, con orologio sincronizzato su una fonte esterna, e annotare data e ora di ogni operazione;
  2. registrare le informazioni sul dominio e sull’indirizzo IP del server che ospita la pagina;
  3. scaricare la pagina completa, con il codice e gli elementi che la compongono, usando strumenti come wget, oltre a salvarne la visualizzazione;
  4. registrare se possibile il traffico di rete durante lo scaricamento;
  5. calcolare i valori di controllo MD5 e SHA-1 dei file ottenuti e riportarli nel verbale;
  6. conservare tutto su un supporto non riscrivibile, come un CD, e descrivere le operazioni in modo che altri possano ripeterle.
Il valore di controllo dimostra che i file non sono cambiati dopo l’acquisizione. La descrizione del metodo permette a un consulente di parte di verificare che cosa è stato fatto. Per dare ulteriore certezza alla data si può far assistere un testimone o affidare l’acquisizione a un pubblico ufficiale.

I messaggi privati e l’identità dell’autore

I messaggi privati scambiati attraverso un social network non sono visibili all’esterno. Possono essere acquisiti dal computer di chi li ha ricevuti, con il suo consenso, oppure chiesti al gestore. Lo stesso vale per l’identità di chi ha creato un profilo. Il nome dichiarato non prova nulla, perché nessuno di questi servizi verifica i dati degli iscritti e chiunque può aprire un profilo a nome di un’altra persona usando una sua foto. Servono gli indirizzi IP di registrazione e di accesso conservati dal gestore e i dati del provider che ha assegnato quegli indirizzi, ottenuti prima che vengano cancellati.

Prima acquisire, poi chiedere la rimozione

Chi subisce una diffamazione su un profilo o in un forum tende a chiedere subito al gestore di cancellare il contenuto. È una reazione comprensibile, ma se la richiesta arriva prima dell’acquisizione la prova rischia di sparire. Conviene invertire l’ordine. Prima si acquisisce la pagina con il metodo descritto, poi si chiede al gestore la conservazione dei dati di registrazione e di accesso e solo dopo la rimozione. I tempi di conservazione dei dati di traffico telematico sono brevi e variano da un gestore all’altro, e un ritardo di qualche settimana può rendere impossibile risalire all’autore.
Nel verbale di acquisizione è utile descrivere anche il contesto della pagina, cioè l’indirizzo completo, il nome del profilo, i commenti collegati e il numero di persone che potevano vederla. Sono elementi che il giudice valuta per stabilire la diffusione del contenuto e quindi la gravità del fatto.

Che cosa aspettarsi nei prossimi anni

La diffusione di questi servizi è appena cominciata. È facile prevedere che i contenuti dei social network diventeranno una fonte di prova frequente, nei procedimenti penali e nelle cause civili, dalle separazioni alle controversie di lavoro. Chi si occupa di indagini informatiche farebbe bene a definire fin d’ora una procedura scritta per l’acquisizione delle pagine online, a conservare le copie con cura e a ricordare a clienti e avvocati che un’immagine dello schermo è un indizio da completare con un’acquisizione tecnica, da eseguire il prima possibile.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn