Articolo Pubblicazioni

Mobile cloud forensics: acquisire prove da smartphone e servizi cloud collegati

di · Pubblicato il 6 ottobre 2016 - Aggiornato il 14 novembre 2026 · Tratto da «Mobile Device and Mobile Cloud Computing Forensics»

Abstract

L’articolo riprende il seminario «Mobile Device and Mobile Cloud Computing Forensics» del 6 ottobre 2016. Spiega perché lo smartphone è la principale fonte di prova nelle indagini, quali fasi segue l’analisi forense secondo la ISO/IEC 27037 e quali ostacoli pongono le protezioni dei costruttori. Confronta due casi di studio, l’acquisizione bit a bit di un dispositivo Android e quella logica di un iPhone, e presenta un metodo per acquisire i backup nel cloud tramite le API ufficiali, con l’esempio del backup di WhatsApp su Google Drive.

Vincenzo Calabrò | Mobile cloud forensics: acquisire prove da smartphone e servizi cloud collegati
 

Perché lo smartphone

Lo smartphone è la principale fonte di informazioni nelle indagini giudiziarie. È diffuso ovunque, registra contatti e scambi di informazioni, contiene dati personali e riservati, memorizza gli spostamenti e le abitudini quotidiane. È un diario multimediale capace di raccontare la vita di chi lo usa.
La mobile forensics è la branca della digital forensics che identifica, raccoglie, conserva, acquisisce, analizza, valuta e presenta le evidenze digitali dei dispositivi mobili. Seguendo la ISO/IEC 27037 il lavoro si divide in quattro fasi:
  • sequestro e isolamento, con la valutazione della scena, l’isolamento del dispositivo dalle reti e il suo imballaggio, trasporto e conservazione;
  • acquisizione, con l’identificazione del dispositivo, la scelta degli strumenti e del metodo e la gestione dei supporti esterni;
  • esame e analisi, con la selezione delle evidenze, la scelta degli strumenti di analisi, il recupero dei dati cancellati e la costruzione della timeline;
  • reporting, con la documentazione, la presentazione delle evidenze, la verifica del metodo e la validazione dei risultati.

Il problema delle protezioni

PIN, password, sequenze di sblocco e crittografia, introdotti dai costruttori per proteggere gli utenti, limitano molto il campo d’azione dell’analista. Il seminario indicava tre strade:
  1. aggirare i blocchi con tecniche di hacking, cracking e ingegneria sociale per ottenere una copia bit a bit;
  2. acquisire solo le evidenze disponibili, con una copia logica;
  3. estendere la ricerca agli ambienti con cui il dispositivo ha interagito, a partire dal cloud.

Due casi di studio

Il primo caso era l’acquisizione bit a bit di un tablet Android 5.0. Ottenuti i privilegi di root, la memoria veniva copiata per intero su un supporto esterno con il comando dd. Il secondo era l’acquisizione logica di un iPhone 4S con iOS 7.1.1 protetto da codice. Si recuperava il certificato di associazione con il computer, si forzava la password del backup e si acquisivano i dati attraverso il servizio usato da iTunes per i backup.
I risultati mostravano vantaggi e limiti opposti:
  • la copia bit a bit restituisce il file system completo, i file cancellati, lo spazio non allocato da cui recuperare dati e una timeline dettagliata, ma richiede privilegi elevati, comporta un rischio alto di perdita dei dati, si scontra con i blocchi di sicurezza e pone vincoli legali;
  • la copia logica è veloce, a basso rischio e senza bisogno di privilegi o strumenti forensi specifici, però restituisce un file system parziale, nessun file cancellato e una timeline incompleta, e non sempre rispetta i requisiti di un’acquisizione forense.

Il cloud come estensione del dispositivo

Gli smartphone possono salvare i dati dell’utente sul cloud, Google Drive per Android e iCloud per iOS, e molte applicazioni, come WhatsApp, Facebook, Gmail e Skype, usano il cloud per i propri backup. Le evidenze raccolte sul dispositivo e presso gli operatori possono quindi essere integrate con quelle conservate nei servizi di archiviazione online.
I metodi tradizionali per acquisire dal cloud sono l’acquisizione manuale, l’estrazione degli artefatti lasciati dai programmi sul client e la richiesta diretta al fornitore, spesso con una rogatoria internazionale. Il seminario presentava un approccio basato sulle API ufficiali dei fornitori, proposto da Roussev, Barreto e Ahmed, articolato in tre fasi:
  1. la scoperta dei contenuti del servizio;
  2. la selezione dei file di interesse;
  3. l’acquisizione dei file con i relativi metadati.

Il caso del backup di WhatsApp su Google Drive

Nel caso di studio l’accesso al servizio avveniva con il protocollo OAuth 2.0, chiedendo un’autorizzazione in sola lettura. Con le API di Google Drive si elencavano i file, si individuava il database cifrato dei messaggi di WhatsApp e se ne scaricavano i metadati, fra cui nome originale, dimensione, date di creazione e modifica, proprietario e impronta MD5. Poi si acquisiva e si decodificava il file.
Il metodo basato sulle API ha alcuni pregi rispetto agli altri. Permette di recuperare o integrare le evidenze, si appoggia a interfacce documentate, rende facile dimostrare completezza e riproducibilità del processo, funziona come acquisizione per interposto servizio e fornisce metadati affidabili. Restavano aperti tre fronti, cioè estendere i protocolli ad altri tipi di servizio cloud, definire livelli di servizio che sostengano l’analisi forense e bilanciare il diritto alla riservatezza con le esigenze di giustizia. Ogni accesso a un account cloud richiede inoltre un’autorizzazione dell’autorità giudiziaria che ne definisca l’ambito.
 
Vedi anche: l’articolo del 2008 Introduzione alla Mobile Forensics e l’articolo del 2025 Mobile Forensics: metodologia, tecniche e strumenti.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn