L'Alibi Informatico: aspetti tecnici e giuridici

di Vincenzo Calabrò, Gerardo Costabile, Stefano Fratepietro, Mario Ianulardo e Giuseppe Nicosia · Pubblicato l'8 marzo 2011 su IISFA Memberbook 2010 DIGITAL FORENSICS

LEGGI IL WHITE PAPER: "L'Alibi Informatico: aspetti tecnici e giuridici." Calabrò V., Costabile G., Fratepietro S., Ianulardo M., Nicosia G., IISFA Memberbook, 2010

---

Che cos’è un alibi informatico

Alibi è un avverbio latino che significa altrove. Nel processo indica un’allegazione difensiva secondo cui l’imputato si trovava in un altro luogo o comunque non poteva commettere il fatto. Si distingue dalle cause di giustificazione, perché un alibi fondato dimostra che l’imputato non ha commesso il reato, mentre la scriminante ne esclude la punibilità. Alla difesa basta che l’alibi sia ragionevole e coerente, tale da impedire all’accusa di superare il ragionevole dubbio.

Il capitolo separa poi l’alibi fallito, cioè non dimostrato, che resta processualmente neutro, dall’alibi falso, costruito ad arte. Secondo la giurisprudenza citata, quest’ultimo può essere valutato contro l’imputato solo se la falsità è certa e si inserisce in un quadro di prove a suo carico.

Casi giudiziari

Gli autori ripercorrono casi italiani e statunitensi. Le date dei file su un floppy disk hanno scagionato l’uomo sospettato di essere il telefonista delle Brigate Rosse nell’omicidio D’Antona, e un aggiornamento di Facebook pubblicato un minuto prima di una rapina a Brooklyn ha fatto rilasciare un diciannovenne di New York.

Per i processi di Garlasco e di Perugia il testo, scritto nel 2010, riporta le sentenze di primo grado. A Garlasco l’analisi dei metadati del portatile aveva sostenuto l’alibi dell’imputato, assolto. A Perugia l’analisi del computer aveva smentito l’alibi di uno degli imputati, condannato. Entrambe le sentenze sono state poi ribaltate nei gradi successivi.

Le otto domande

Per verificare un alibi informatico il capitolo propone otto domande, cinque sull’oggetto (chi, cosa, quando, dove, perché) e tre sul soggetto (quanto, in che modo, con quali mezzi). La paternità è il punto più delicato. Una firma digitale, un dato biometrico o un accesso con password pesano più di un documento anonimo o di un log senza dati personali. Una singola evidenza raramente è sufficiente, e un’e-mail, per esempio, acquista solidità se la confermano i log dei server da cui è transitata.

Sei tipi di alibi

Rispetto al tempo il capitolo distingue sei ipotesi. Le prime quattro riguardano tracce prodotte mentre si consuma il reato, le ultime due tracce false create prima o dopo:

• Da remoto. L’imputato genera tracce a distanza con strumenti di controllo remoto, hardware o software.
• Automatismi. Un sistema esegue azioni pianificate che simulano la presenza dell’utente.
• Terzi. Una persona o un sistema registra tracce che collocano l’imputato altrove.
• Complice. Qualcuno agisce per conto dell’imputato su un dispositivo lontano dalla scena del crimine.
• Prova creata ex novo. La traccia viene prodotta in un altro momento con riferimenti temporali compatibili con il reato.
• Traccia riutilizzata. Una traccia esistente viene alterata nei dati che la collegano al momento del reato.

Per ogni ipotesi sono indicate le verifiche tecniche, come la ricerca di dispositivi di controllo remoto, l’esame della configurazione di router e firewall e i log del fornitore di connessione.

Timeline e simulazioni di laboratorio

Ordinare in una timeline gli eventi di creazione, accesso e modifica di file e cartelle ha senso solo se l’orologio del sistema è sempre stato corretto, per esempio tramite NTP. Il controllo va fatto al sequestro o prima di ogni altra analisi. Per generare la timeline gli autori usano fls e mactime di The Sleuth Kit.

Immaterialità, anonimato, virtualizzazione e mediazione tecnologica rendono le tecnologie informatiche adatte a costruire un alibi. Lo mostrano quattro simulazioni di laboratorio, basate sul controllo remoto via hardware e via software, sull’automazione dell’uso del computer e sulla modifica dell’orologio del BIOS. Per ciascuna gli autori descrivono che cosa trova l’analisi forense e come semplici tecniche di anti-forensics possano cancellare anche quelle tracce.

Le conclusioni

La digital forensics è una disciplina giovane, riconosciuta dall’American Academy of Forensic Sciences nel febbraio 2008. Gli autori richiamano il Daubert test e la Rule 702 delle Federal Rules of Evidence statunitensi e dubitano che il giudice, peritus peritorum, sappia davvero valutare una consulenza tecnica informatica. Per loro una traccia informatica nasce come indizio e acquista valore di prova solo con riscontri ulteriori, anche dalle indagini tradizionali.

Come citare

Calabrò, V., Costabile, G., Fratepietro, S., Ianulardo, M. e Nicosia, G. (2010). L’alibi informatico: aspetti tecnici e giuridici. In IISFA Memberbook 2010 Digital Forensics (pp. 297-328). Experta. PDF

Riferimenti principali

• Dominioni, O. (2005). La prova penale scientifica. Giuffrè.
• Luparia, L. e Ziccardi, G. (2007). Investigazione penale e tecnologia informatica. Giuffrè.
• Daubert v. Merrell Dow Pharmaceuticals, Inc., 509 U.S. 579 (1993).
• Federal Rules of Evidence, Rule 702.
• Carrier, B. The Sleuth Kit.

---

---