Articolo Pubblicazioni

Catena di custodia della prova digitale: cos’è e come documentarla

di · Pubblicato il 14 novembre 2026

Abstract

La catena di custodia è la storia documentata di un reperto, dal momento in cui viene raccolto a quando arriva in aula. Per una prova digitale pesa in modo particolare, perché il dato si altera senza lasciare segni visibili. L’articolo spiega che cosa deve contenere la documentazione, come si collegano hash, sigilli e verbali, come si gestiscono copie e trasferimenti e quali errori ricorrono nelle perizie contestate.

Vincenzo Calabrò | Catena di custodia della prova digitale: cos’è e come documentarla
 

Una storia senza vuoti

Un reperto passa per molte mani. Chi lo sequestra, chi lo trasporta, chi lo conserva in deposito, chi ne fa la copia, chi la analizza. La catena di custodia registra ognuno di questi passaggi, in modo che in qualunque momento si possa dire dove si trovava il reperto, chi lo aveva in carico e che cosa ne è stato fatto. Un buco nella storia apre lo spazio per una contestazione, perché nessuno può più escludere che in quel periodo il dato sia stato modificato.
Per una prova digitale il problema è più serio che per un oggetto fisico. Un coltello manomesso porta segni visibili, un file modificato no. La ISO/IEC 27037 tratta la catena di custodia come parte integrante della preservazione, e la legge 48 del 2008 impone nel processo penale misure tecniche dirette ad assicurare la conservazione dei dati originali e a impedirne l’alterazione. La catena di custodia è il documento che dimostra che quelle misure sono state applicate.

Che cosa registrare

  • Identificazione del reperto, con un codice univoco, la descrizione, marca, modello, numero di serie, stato fisico e fotografie;
  • Origine, cioè luogo, data e ora della raccolta, persona che l’ha eseguita, provvedimento o incarico che la autorizzava e stato del dispositivo, acceso o spento, bloccato o sbloccato;
  • Ogni passaggio di mano, con data, ora, chi consegna, chi riceve, motivo e firma di entrambi;
  • Ogni operazione, con lo strumento usato e la sua versione, l’esito e gli hash calcolati;
  • Conservazione, cioè dove il reperto è custodito, con quali sigilli e in quali condizioni.

Hash, sigilli e verbali

L’impronta hash è il legame tecnico fra i passaggi. Si calcola sul supporto originale o sulla prima copia al momento dell’acquisizione e si riporta nel verbale. Ogni volta che la copia viene trasferita, duplicata o riaperta per l’analisi si ricalcola, e la coincidenza dimostra che il contenuto è rimasto identico. Oggi l’algoritmo di riferimento è SHA-256, spesso affiancato da un secondo algoritmo per compatibilità con i verbali più vecchi.
I sigilli proteggono il supporto fisico. Una busta per reperti numerata, chiusa con nastro antieffrazione e firmata sui lembi, mostra subito se qualcuno l’ha aperta. Il numero del sigillo va nel verbale, e ogni apertura va verbalizzata con il nuovo sigillo applicato alla chiusura. Per le copie digitali il ruolo del sigillo lo svolgono la firma digitale e la marca temporale apposte sui file e sul registro dell’acquisizione.

Copie, trasferimenti e analisi

L’analisi si fa sempre su una copia di lavoro, mai sulla copia master. La master resta sigillata e serve per le verifiche e per eventuali nuove copie richieste dalle altre parti. Quando le copie viaggiano, su un disco consegnato a mano o attraverso un canale cifrato, il trasferimento entra nel registro con gli hash calcolati all’arrivo. Le note di analisi devono indicare su quale copia si è lavorato e con quali strumenti, così che un consulente di parte possa ripetere le operazioni sulla propria copia e ottenere gli stessi risultati.

Dati acquisiti da remoto

Una parte crescente delle prove si trova presso servizi in cloud, caselle di posta e piattaforme social, e viene acquisita senza un supporto fisico da sigillare. La catena di custodia cambia forma e resta necessaria. Il registro dell’acquisizione deve indicare l’account, il metodo usato, cioè l’esportazione del servizio, l’accesso con le credenziali messe a disposizione o la risposta del fornitore a una richiesta dell’autorità, la postazione e la rete da cui si è operato e l’orario di inizio e fine in UTC.
Ogni file ottenuto riceve il proprio hash al momento dello scaricamento, e l’elenco degli hash viene firmato digitalmente e marcato temporalmente. Quando possibile l’intera sessione viene registrata in video, così da documentare anche le schermate visualizzate e le scelte fatte durante l’acquisizione. Se i dati arrivano dal fornitore, la lettera di trasmissione, il canale usato e gli eventuali hash comunicati dal fornitore stesso entrano nel registro come primo anello della catena.
Il punto delicato è la riproducibilità. Un servizio in cloud cambia nel tempo, e chi ripete l’acquisizione un mese dopo può trovare dati diversi. Per questo la documentazione deve permettere di verificare la copia ottenuta, anche quando l’operazione non si può ripetere identica.

Gli errori più frequenti

  • l’hash calcolato solo alla fine dell’analisi, o mai, che lascia scoperto il periodo fra sequestro e copia;
  • il telefono lasciato acceso e connesso, che riceve messaggi, aggiornamenti o un comando di cancellazione remota;
  • gli orari annotati senza fuso orario o con l’orologio del dispositivo dato per esatto;
  • le consegne informali, senza firma, fra uffici o fra tecnici;
  • gli strumenti non indicati o indicati senza versione, che impediscono di ripetere l’operazione;
  • le modifiche inevitabili, come lo sblocco di uno smartphone, eseguite senza annotarle e senza spiegarne il motivo.
Una catena di custodia completa toglie alla prova il punto debole più facile da attaccare e sposta la discussione sul contenuto dei dati, dove deve stare. La verità di quel contenuto resta da valutare con l’analisi.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn