Articolo Pubblicazioni

Acquisizione forense di pagine web e contenuti online: metodi e strumenti

di · Pubblicato l’8 maggio 2019 - Aggiornato il 14 novembre 2026 · Tratto da «Acquisizione forense di evidenze in rete»

Abstract

L’articolo riprende la lezione «Acquisizione forense di evidenze in rete» del corso di Digital Forensics del 2019. Spiega perché stampe e screenshot si prestano a contestazioni, come si raccolgono le informazioni di contorno su un contenuto online e quando si sceglie l’acquisizione a distanza. Descrive poi le tre modalità di acquisizione, rapida, completa e in macchina virtuale, i casi particolari di contenuti multimediali, cloud, app ed email e la chiusura del lavoro con firma digitale, marca temporale e relazione tecnica.

Vincenzo Calabrò | Acquisizione forense di pagine web e contenuti online: metodi e strumenti
 

I limiti dello screenshot

Blog, forum, chat e social network hanno moltiplicato i reati commessi in rete, dalla diffamazione allo stalking, dal furto d’identità alle truffe online. Le informazioni coinvolte sono spesso volatili, facili da modificare o rimuovere, e vanno fissate prima che scompaiano con un’acquisizione forense del contenuto contestato così come appare.
La stampa su carta o in PDF e lo screenshot difficilmente reggono in giudizio, perché non garantiscono l’integrità delle evidenze raccolte con strumenti adeguati e metodo scientifico. Anche la fotografia dello schermo può essere contestata, perché ritrae qualcosa di facilmente artefatto, e durante la lezione si mostrava quanto sia semplice alterare una pagina nel browser prima di catturarla. La stampa certificata da un notaio o da un pubblico ufficiale è più solida, però spesso non permette di identificare l’autore. Per un post diffamatorio serve anche l’identificativo univoco del profilo, che permette di ritrovarlo dopo un cambio di nome o di indirizzo. Resta fermo il libero convincimento del giudice previsto dall’art. 192 c.p.p.

Identificare prima di acquisire

Prima di acquisire si raccolgono le informazioni di contorno, cioè l’indirizzo e il proprietario del sito o del servizio, la tecnologia con cui è realizzato, l’identificativo dell’autore e quello del contenuto, con data e ora. Servizi come DomainTools per il whois, ipinfo.io per gli indirizzi IP, Wappalyzer per le tecnologie del server e Shodan per i dispositivi esposti aiutano a profilare il bersaglio. Si documentano anche la connettività e la postazione da cui si opera, con l’indirizzo IP pubblico, l’ora esatta e la configurazione di rete. Con queste informazioni si costruisce lo storyboard dei contenuti da acquisire per rappresentare il fatto e dimostrare chi lo ha pubblicato.

In sede o a distanza

Le strade possibili sono la copia forense presso il fornitore del servizio, la richiesta di estrazione dei dati, il sequestro del contenuto o la copia a distanza. In sede si possono prelevare la copia della memoria dei server, i log di web server, application server e database, i log del traffico dei provider coinvolti e dei DNS, i tabulati telefonici e la copia del client da cui è partito il reato.
L’acquisizione a distanza si sceglie quando il server non è identificabile o raggiungibile, come per le grandi piattaforme social, quando si è in fase precontenziosa e non si può chiedere la copia a un terzo, quando il server è all’estero e servirebbe una rogatoria, quando il contenuto è molto volatile o quando i tempi dell’indagine non sono compatibili con le altre strade. Perché sia valida, l’operatore deve compiere le operazioni corrette, l’ambiente di acquisizione deve essere idoneo, la connessione affidabile e le attività riscontrabili nei log. Si acquisiscono i comandi eseguiti, il traffico di rete, le richieste e le risposte del servizio, gli oggetti ricevuti e le informazioni di contorno. I formati di riferimento sono MHTML (RFC 2557), che riunisce in un file la pagina e i suoi elementi, e WARC (ISO 28500), il formato degli archivi web.

Tre modalità di acquisizione

Qualunque modalità si scelga, l’acquisizione vale se il metodo è replicabile e verificabile, se le operazioni sono descritte in una relazione dettagliata e se tutti i contenuti acquisiti sono firmati digitalmente con marca temporale.
  • Rapida (on-the-fly), un’istantanea del contenuto con servizi di archiviazione come perma.cc, la Wayback Machine o archive.is, da usare quando il contenuto rischia di sparire. È veloce e, svolta con servizi terzi, imparziale, però non contiene il traffico di rete e gli elementi incorporati e va completata da un’acquisizione completa;
  • Completa (full), su più livelli. Si registra il video della postazione, per esempio con OBS Studio, si cattura il traffico con Wireshark o tcpdump, salvando le chiavi TLS con la variabile SSLKEYLOGFILE, e si scaricano i contenuti con wget, con il browser in MHTML o, per le sessioni autenticate, con strumenti come Hunchly, Webrecorder, OSIRT o FAW;
  • In macchina virtuale (paranoid), che esegue gli stessi passi in una macchina virtuale pulita e preconfigurata, poi chiusa e firmata nel suo insieme, con sistema operativo, programmi, configurazioni, log e cache del browser.
La sequenza dell’acquisizione completa prevede l’avvio della registrazione video e della cattura del traffico, la sincronizzazione dell’ora, il controllo di rete, DNS e proxy, un tracert verso il bersaglio, la navigazione e il salvataggio delle risorse, la chiusura delle catture, la firma digitale con marca temporale di tutto il materiale e la relazione.

Casi particolari

Per i file presenti sul web si acquisisce la pagina di origine, si documentano URL e protocollo e si scarica il file. Per i video in streaming si identifica l’URL del flusso e lo si scarica con strumenti dedicati oppure si registra la riproduzione, documentando sempre la pagina di provenienza. I contenuti rimossi si cercano nella cache dei motori di ricerca, nella Wayback Machine e nei file robots.txt e sitemap.xml.
Nel cloud l’oggetto cambia con il modello di servizio. Per un SaaS si acquisiscono le pagine dell’area pubblica e riservata, la configurazione, il registro degli eventi e il backup, per un PaaS lo spazio di archiviazione e il suo contenuto, per un IaaS l’interfaccia di amministrazione e la macchina virtuale. Se necessario si cambia la password per evitare manipolazioni. Per le app si fa la copia del dispositivo o della cartella dell’app, si catturano le schermate significative e si acquisiscono le stesse informazioni sul sito collegato, che spesso mostra dati diversi. Per l’email si usa la webmail per i singoli messaggi, scaricandoli in formato EML con gli header, oppure un client configurato in IMAP per l’intera casella, lasciando gli originali sul server.
Le difficoltà ricorrenti sono le aree riservate, la cifratura del traffico, una postazione o una connessione condivise e non verificate, la localizzazione, la lingua e lo user agent della postazione, che cambiano il contenuto servito, e i contenuti dinamici in HTML5 o AJAX. Per i casi più complessi esistono servizi a richiesta e software commerciali dedicati.

Relazione, firma e marca temporale

La relazione rende conto dell’origine delle fonti di prova, del metodo, degli strumenti, della procedura e dei risultati, e risponde al quesito. Va scritta in modo semplice e chiaro per destinatari che di solito non hanno competenze informatiche, sapendo che la leggerà anche il consulente della controparte, e senza giudizi non sostenuti dai dati. La firma digitale, disciplinata dall’art. 24 del Codice dell’amministrazione digitale, lega il materiale a chi lo ha acquisito, e la marca temporale associa al documento una data e un’ora opponibili ai terzi, anche a file non firmati.
Sul piano processuale la legge 48 del 2008, di ratifica della Convenzione di Budapest, ha introdotto negli artt. 244 e 247 c.p.p. l’obbligo di adottare misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l’alterazione. Per le aree riservate conviene farsi autorizzare e consegnare le credenziali in modo formale, e acquisire quando possibile i log dei fornitori del servizio per rafforzare le evidenze raccolte a distanza.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn