Articolo Pubblicazioni

Digital forensics: peculiarità e criticità della prova informatica

di · Pubblicato il 9 aprile 2022 - Aggiornato il 14 novembre 2026 · Tratto da «Peculiarità e criticità della Digital Forensics»

Abstract

L’articolo riprende il seminario «Peculiarità e criticità della Digital Forensics» tenuto nel 2022 al corso di aggiornamento professionale della Camera Penale di Reggio Calabria. Definisce la prova digitale e le sue quattro caratteristiche, richiama gli standard di riferimento e il quadro della legge 48 del 2008 e spiega quando l’accertamento tecnico su un dispositivo diventa non ripetibile. Esamina poi le criticità dei dispositivi mobili, dei sistemi di protezione, della cifratura, del captatore informatico e delle acquisizioni attraverso la rete, e chiude con le sei garanzie che il consulente tecnico deve assicurare.

Vincenzo Calabrò | Digital forensics: peculiarità e criticità della prova informatica
 

Che cosa rende diversa la prova digitale

La fonte di prova digitale è qualsiasi informazione con valore probatorio, memorizzata o trasmessa in formato digitale. Può essere creata da una persona, generata in autonomia da un sistema, come un log, oppure nascere dall’interazione fra i due. Quattro caratteristiche la distinguono e non possono essere ignorate.
  • Immaterialità, perché la prova coincide con il contenuto, indipendente dal supporto su cui si trova;
  • Dispersione, perché può essere distribuita su dispositivi anche molto lontani fra loro;
  • Promiscuità, perché convive con informazioni estranee all’indagine;
  • Congenita modificabilità, perché si altera con estrema facilità.
Quasi ogni azione umana passa ormai per strumenti informatici, e lo stesso vale per i reati, informatici in senso stretto, commessi contro sistemi o attraverso di essi, o semplicemente capaci di lasciare tracce su un dispositivo. La prova digitale entra anche nei procedimenti civili, di lavoro, amministrativi e tributari.

Metodo e norme

Lo scopo dell’informatica forense è identificare, conservare, acquisire, documentare e interpretare i dati presenti su una memoria digitale. Dopo la legge 48 del 2008, che ha ratificato la Convenzione di Budapest, le attività probatorie sui dati digitali nel processo penale devono usare tecniche idonee ad assicurare la conservazione degli originali e a impedirne l’alterazione. I metodi devono quindi reggere le contestazioni ed essere verificabili, ripetibili, riproducibili e giustificabili. I riferimenti sono la ISO/IEC 27037:2012, per identificazione, raccolta, acquisizione e preservazione, e la ISO/IEC 27042:2015, per analisi e interpretazione.

Quando l’accertamento non è ripetibile

L’accertamento tecnico non è ripetibile quando riguarda persone, cose o luoghi il cui stato è soggetto a modificazione. Per un dispositivo digitale accade in tre casi principali, cioè quando al contenuto si accede solo accendendo il dispositivo, per memoria non rimovibile, cifratura o assenza di connettività, quando i dati si trovano in una memoria volatile o in una sessione attiva, e quando non è possibile spegnere o scollegare l’apparato. In queste situazioni l’acquisizione modifica lo stato del reperto, e le garanzie per le parti cambiano di conseguenza.

Smartphone, protezioni e cifratura

I dispositivi mobili moltiplicano le difficoltà, tra frammentazione del mercato, nuovi modelli e aggiornamenti continui dei sistemi operativi, passcode e cifratura, milioni di app e grandi volumi di dati sincronizzati con il cloud. PIN, password e sistemi di autenticazione non sempre si possono aggirare, e comunque rimuoverli modifica lo stato del dispositivo, mentre forzarli può compromettere la genuinità dei dati o il funzionamento dell’apparato. La cifratura, a sua volta, obbliga spesso ad accendere il dispositivo per copiarlo e impedisce il recupero dei dati cancellati, perché con il dato si cancella anche la chiave che lo proteggeva.

Il captatore informatico

Il captatore è un software malevolo che consente di aggirare la cifratura acquisendo le informazioni direttamente sul dispositivo acceso, in modo silenzioso. Secondo le norme in vigore può attivare il microfono, localizzare il dispositivo, scattare foto e leggere la memoria. Si installa con tecniche di attacco, come un messaggio o un’email, un download o un aggiornamento, l’ingegneria sociale o lo sfruttamento di una vulnerabilità, e viene comandato da un server di controllo.
Dopo l’installazione l’apparato è alterato, perché non può tornare allo stato iniziale, vulnerabile, perché il captatore abbassa le difese e può bloccare gli aggiornamenti, e compromesso, perché il software è difficile da rimuovere e riutilizzabile. Per la verificabilità serve un log che documenti l’intero ciclo di vita, dall’installazione alla gestione, dalla memorizzazione alla consultazione, con i comandi impartiti e le informazioni acquisite.

Acquisizioni attraverso la rete e analisi

Molte informazioni vanno acquisite attraverso la rete, perché il dispositivo è lontano, perché servirebbe una rogatoria, perché il dato si trova in un cloud difficile da localizzare, perché è volatile, come su un social network, o perché esiste solo sulla piattaforma, come un backup o uno spazio di archiviazione online. L’analisi si esegue sempre sulla copia e deve essere riproducibile, con la regola delle cinque W per ricostruire chi, che cosa, quando, dove e perché. La valutazione finale stabilisce se il reperto è integro, autentico e attendibile e se le procedure di acquisizione sono state legittime.

Le sei garanzie del consulente

  1. conservare inalterato il dato originale nella sua genuinità;
  2. impedirne l’alterazione successiva;
  3. formare una copia conforme all’originale;
  4. assicurare l’immodificabilità della copia;
  5. apporre sigilli informatici sui documenti acquisiti;
  6. garantire la riproducibilità e la verificabilità del proprio operato.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn