Articolo Pubblicazioni

Evidenza digitale e tracce informatiche: cosa sono e come si raccolgono

di · Pubblicato il 3 maggio 2009 - Aggiornato il 14 novembre 2026 · Tratto da «Evidenza Digitale e Informatica Forense»

Abstract

L’articolo riprende il seminario «Evidenza Digitale e Informatica Forense» del 3 maggio 2009. Spiega che cosa sono le tracce informatiche e perché sono immateriali e fragili, a quali condizioni una traccia diventa evidenza digitale, che cosa ha cambiato la ratifica della Convenzione di Budapest e quale metodologia seguire. Elenca poi gli errori più frequenti, dalla contaminazione dei reperti alla confusione fra utente e persona, dalla gestione degli orari all’interpretazione dei dati, e i criteri per valutare strumenti e analisti.

Vincenzo Calabrò | Evidenza digitale e tracce informatiche: cosa sono e come si raccolgono
 

Le tracce informatiche

Chi usa un dispositivo elettronico lascia sui supporti collegati degli artefatti, le tracce informatiche o digitali. Sono tracce i file prodotti dalle applicazioni, i file di sistema come i log, le informazioni che il sistema operativo gestisce sui file, come le date di creazione e di modifica, e i dati trasmessi fra computer collegati a Internet.
Le tracce digitali sono immateriali. Consistono in sequenze di bit registrate su un dispositivo, e per raggiungerle bisogna accedere al dispositivo. I supporti possono essere persistenti, come dischi, penne USB, CD e DVD, nastri e schede di memoria, oppure volatili, come la RAM di un computer o di un telefono, che perde i dati quando manca l’alimentazione.

Quando una traccia diventa evidenza

Lo Scientific Working Group on Digital Evidence definisce l’evidenza digitale come qualsiasi informazione con valore probatorio memorizzata o trasmessa in formato digitale. Perché una traccia abbia valore probatorio deve essere:
  • autentica, con una provenienza certa. La presenza di un file può dipendere da un virus o da un terzo, oltre che da un’azione volontaria dell’utente;
  • integra, cioè priva di alterazioni. Accendere un computer spento modifica molti file, esplorare un disco cambia le date di ultimo accesso e spegnere un computer cancella la memoria volatile;
  • veritiera, cioè interpretata correttamente. La sequenza 1111101 può essere il numero 125, il numero -3 in complemento a due su sette bit o il carattere «}», e l’informazione nasce solo dall’interpretazione del dato;
  • completa, cioè valutata insieme alle altre informazioni collegate;
  • legale, cioè raccolta nel rispetto delle norme.
L’informatica forense studia metodi e strumenti per raccogliere, interpretare, analizzare e conservare le evidenze garantendo questi requisiti. Quando sono presenti tutti insieme, l’evidenza diventa difficile da ripudiare e utilizzabile in giudizio.

La legge e le best practice

Fino al 2008 la gestione dell’evidenza digitale non aveva regole specifiche. La ratifica della Convenzione di Budapest, con la legge 48/2008, ha introdotto nel codice di procedura penale l’obbligo, nelle perquisizioni e nei sequestri di dati, di adottare misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l’alterazione. L’acquisizione deve avvenire con una copia su adeguato supporto, con una procedura che assicuri la conformità dei dati acquisiti agli originali e la loro immodificabilità.
La legge non dice quali procedure seguire. La risposta viene dalle best practice, come quelle dell’Association of Chief Police Officers nel Regno Unito e del National Institute of Justice negli Stati Uniti, citate nel seminario nelle edizioni del 2004 e del 2007. La metodologia si articola in congelamento, acquisizione, ricostruzione della disposizione dei dispositivi, estrazione delle evidenze e correlazione. Le prime fasi seguono le best practice, l’analisi dipende dall’esperienza e dalla competenza dell’analista.

Gli errori più frequenti

La contaminazione dei reperti

Gli errori più comuni sono collegare un disco a un computer senza write blocker, con modifiche ai dati o ai metadati e impronte di hash che non coincidono, riaccendere un computer sequestrato e collegarlo a Internet, lasciando proseguire download e scambi di file, e ispezionare un computer acceso senza documentare le operazioni.

Utente e persona

Le evidenze permettono di individuare il nome utente con cui sono state compiute certe azioni. Questo da solo non stabilisce chi fosse la persona davanti allo schermo. Nella relazione l’analista dovrebbe attribuire le attività a un utente definito nel sistema operativo, lasciando l’identificazione della persona ad altri elementi di prova.

Gli orari

Le informazioni temporali sono le più delicate. Il seminario indicava tre errori tipici:
  1. non rilevare e documentare data e ora del BIOS al momento del sequestro, da cui dipendono gli orari MACE del file system, i log e i metadati delle applicazioni;
  2. non verificare se l’orologio di sistema sia stato modificato in passato, cosa che rende corretti alcuni orari e sbagliati altri;
  3. sbagliare la conversione dei valori, che variano per unità di misura, per istante di riferimento, come il 1° gennaio 1970 per i sistemi Unix e il 1° gennaio 1601 per Windows, e per fuso orario, UTC o locale, ora solare o legale.
Va ricordato anche che il mancato ritrovamento di modifiche non prova che non ci siano state. Occorre raccogliere il maggior numero possibile di elementi a sostegno dell’ipotesi.

Il quadro d’insieme e l’interpretazione

Una traccia può avere più cause, e vanno escluse tutte le ipotesi che non la spiegano. Il ritrovamento di file illeciti su un computer, da solo, non dimostra che l’utente li abbia scaricati di proposito. Bisogna verificare se si trovano nei file temporanei di Internet o in cartelle organizzate, se ci sono virus o trojan che possono averli trasferiti e se sono arrivati con finestre pop-up o reindirizzamenti automatici. Una conoscenza imprecisa del sistema operativo e delle applicazioni porta a leggere male un record di log o una data MACE.

Gli errori del software

Ogni programma contiene difetti, e molti software di analisi forense sono commerciali e a sorgente chiuso, quindi non ispezionabili. L’analista deve validare i propri risultati, anche con strumenti diversi.

Strumenti e analisti affidabili

Il seminario richiamava i criteri del test Daubert per valutare un metodo o uno strumento, cioè la verifica sperimentale, un tasso di errore noto, la pubblicazione in sedi con revisione scientifica e l’accettazione da parte della comunità di riferimento. Per l’analista valevano quattro regole, riprese da Monga. Sapere che cosa si fa, saperlo fare in più modi, seguire gli standard che seguono gli altri e documentare tutto in modo che possa essere esaminato in contraddittorio.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn