Nell’epoca che viviamo, ogni nostra azione lascia tracce digitali. Un telefono cellulare registra comunicazioni, fotografie, ricerche, accessi, spostamenti e dati delle applicazioni. Un computer conserva documenti, cronologie di navigazione, file cancellati, metadati. Un sistema di videosorveglianza archivia ore di riprese. Un’automobile moderna può memorizzare dati di percorso, velocità, frenate, eventi di bordo o connessioni. L’informatica forense, o “digital forensics“, è la disciplina che si occupa di individuare, acquisire, conservare, analizzare e presentare in giudizio queste tracce, garantendone per quanto possibile l’integrità e l’utilizzabilità processuale. Non è una disciplina recente, ma il suo peso nelle indagini cresce insieme alla quantità di dati che ogni persona produce quotidianamente.
La prova digitale ha caratteristiche che la distinguono: ha una componente immateriale, perché consiste in informazioni rappresentate da sequenze di bit, cioè zeri e uno; vive sempre dentro supporti e sistemi fisici: telefoni, computer, memorie, server, reti, sensori; è volatile, perché può essere modificata, sovrascritta o cancellata con estrema facilità, anche involontariamente; è replicabile, perché può essere copiata producendo duplicati tecnicamente identici, se la procedura è corretta e verificabile; ed è ubiqua, perché lo stesso dato può trovarsi contemporaneamente su più dispositivi, su un server remoto, in un servizio cloud, in un backup automatico. Queste proprietà rendono la prova digitale potente ma fragile: un’acquisizione condotta senza metodo può alterare i dati in modo irreversibile e un dato alterato o non correttamente documentato perde gran parte del suo valore processuale.
Il processo di informatica forense si articola in fasi successive. La prima è l’identificazione: riconoscere quali dispositivi presenti sulla scena possono contenere dati rilevanti. Non si tratta solo di computer e telefoni. Un navigatore GPS, una console di videogiochi, una smart TV, un assistente vocale, un dispositivo indossabile, una telecamera domestica o il sistema di bordo di un’automobile possono contenere informazioni utili. La seconda fase è la preservazione: i dispositivi individuati devono essere messi in sicurezza per evitare che i dati vengano alterati, cancellati o sovrascritti. Un telefono cellulare, se lasciato acceso e connesso alla rete, può ricevere comandi di cancellazione remota, sincronizzazioni o notifiche capaci di modificare lo stato dei dati. Un computer acceso o spento senza cautele può modificare metadati, log, file temporanei o far perdere informazioni presenti solo nella memoria volatile.
La terza fase, la più delicata, è l’acquisizione. Il principio generale è che, quando tecnicamente possibile, l’analisi non deve essere condotta direttamente sul dispositivo originale, ma su una copia forense, così da preservare la fonte del dato. La copia forense classica, detta anche “bit stream image”, è un duplicato integrale del supporto, eseguito bit per bit: non copia soltanto i file visibili, ma anche gli spazi non allocati, i frammenti di file cancellati e i metadati. Questo tipo di acquisizione è tipico dei supporti tradizionali, come hard disk, memorie esterne o altri dispositivi tecnicamente duplicabili in modo integrale. Nei telefoni cellulari, nei sistemi cifrati, nei servizi cloud e nei dispositivi più recenti, invece, può essere necessario ricorrere ad acquisizioni logiche, estrazioni del file system, backup forensi, esportazioni dal cloud o acquisizioni selettive, sempre documentando con precisione metodo, limiti e risultati.
Per eseguire una copia senza alterare l’originale, quando si lavora su supporti compatibili, si utilizzano dispositivi hardware chiamati “write blocker“, che consentono la lettura dei dati ma impediscono scritture sul supporto sorgente. Al termine della copia viene calcolato un codice di “hash“, una stringa alfanumerica generata da un algoritmo matematico applicato al contenuto acquisito. L’hash funziona come un controllo di integrità: se il contenuto cambia, anche in minima parte, il valore calcolato risulta diverso. Il confronto tra l’hash dell’originale, quando calcolabile, e quello della copia consente di verificare che la duplicazione sia avvenuta senza alterazioni rilevanti. Se i valori non corrispondono, l’operatore deve accertare la causa: errore di acquisizione, settore danneggiato, supporto instabile, acquisizione parziale, cifratura o diversa modalità tecnica di estrazione.
Esistono due grandi modalità di acquisizione. L’acquisizione su dispositivi spenti: il supporto di memoria viene estratto o collegato a una postazione forense, quando possibile tramite “write blocker“, e duplicato secondo procedure controllate. L’acquisizione su dispositivi accesi, quando spegnerli comporterebbe la perdita di dati importanti: contenuto della memoria RAM, chiavi di cifratura, connessioni di rete attive, processi in esecuzione, sessioni aperte. La “live forensics” è più complessa e più rischiosa, perché ogni interazione con il sistema in funzione può modificarne lo stato; in alcuni casi, però, è proprio l’unico modo per acquisire informazioni destinate altrimenti a scomparire.
La quarta fase è l’analisi. Sulla copia forense, o sui dati acquisiti con altra procedura documentata, il consulente cerca le informazioni rilevanti per l’indagine: file, documenti, fotografie, video, messaggi, email, cronologie di navigazione, registri di sistema, log di accesso, dati delle applicazioni, metadati. Un’attività spesso importante è il recupero dei dati cancellati. Nei supporti tradizionali, quando un file viene eliminato dal sistema operativo, può accadere che non venga immediatamente rimosso fisicamente: lo spazio che occupava viene soltanto contrassegnato come disponibile. Fino a quando quello spazio non viene sovrascritto, il file può essere recuperato, in tutto o in parte. Nei dispositivi moderni, però, il recupero dipende molto dalla tecnologia utilizzata: SSD, smartphone, cifratura, funzioni di pulizia automatica e gestione della memoria possono rendere il recupero molto più difficile, o impossibile.
I software di analisi forense consentono anche di costruire una “timeline“, cioè una sequenza cronologica delle operazioni compiute sul dispositivo: quando un file è stato creato, modificato, aperto, stampato, inviato, cancellato; quando un utente ha effettuato l’accesso; quando un’applicazione è stata utilizzata; quando un dispositivo si è collegato a una rete. Questa ricostruzione può essere molto importante per verificare un alibi, collocare un’attività nel tempo, confrontare il dato digitale con testimonianze, tabulati, immagini di videosorveglianza o altri elementi dell’indagine. Anche la “timeline“, però, non parla da sola: orari di sistema errati, fusi orari, sincronizzazioni automatiche e attività generate dal sistema possono alterare la lettura apparente degli eventi.
La “digital forensics” si articola in diverse specializzazioni. La “computer forensics” si occupa di personal computer, laptop, hard disk, memorie esterne. La “mobile forensics” tratta smartphone e tablet, dispositivi che spesso contengono una quantità di dati personali superiore a quella di un computer: rubrica, messaggi, chat, fotografie con dati di geolocalizzazione, applicazioni di navigazione, transazioni, accessi ai social network. La “network forensics” analizza il traffico di rete per ricostruire comunicazioni, accessi e trasferimenti di dati. La “cloud forensics” affronta il problema dei dati conservati su server remoti, spesso collocati in giurisdizioni diverse da quella dell’indagine, con complessità tecniche e giuridiche ulteriori.
In Italia il quadro normativo di riferimento è segnato dalla legge n. 48 del 2008, che ha ratificato la Convenzione di Budapest sul cybercrime del 2001 e ha modificato alcune norme del codice penale e del codice di procedura penale in materia di criminalità informatica. La legge non detta un protocollo tecnico unico, ma introduce un principio essenziale: le operazioni sui dati informatici devono essere condotte con modalità idonee a garantirne la conservazione, l’immodificabilità e la corretta acquisizione. Per questo, nella pratica, si fa riferimento alle buone prassi della comunità scientifica internazionale e a standard tecnici come ISO/IEC 27037, che fornisce linee guida per identificazione, raccolta, acquisizione e conservazione delle evidenze digitali.
Va segnalato anche il tema dell’”anti-forensics“, cioè l’insieme delle strategie che possono ostacolare o complicare l’analisi. La crittografia, di per sé, è uno strumento legittimo di sicurezza e riservatezza; diventa rilevante per l’indagine quando impedisce o limita l’accesso ai dati. Altre tecniche, come la sovrascrittura sicura, l’uso di software per la cancellazione profonda, la navigazione anonima o la manipolazione dei metadati, possono essere impiegate per nascondere attività, ritardare gli accertamenti o costruire falsi alibi informatici. L’esistenza di queste tecniche non rende impossibile l’analisi, ma la complica e richiede competenze sempre più specialistiche.
L’informatica forense condivide con tutte le altre discipline criminalistiche un principio di fondo: la prova non parla da sola. Un file trovato su un computer non dimostra automaticamente chi lo ha scritto, quando e perché. Un messaggio inviato da un telefono non dimostra, da solo, chi lo abbia digitato. Una posizione GPS non dimostra necessariamente chi tenesse in mano il dispositivo o chi si trovasse davvero in quel luogo. Un accesso a un account può dipendere dal titolare, da un’altra persona, da una sessione rimasta aperta, da un automatismo o da una compromissione informatica. L’analisi forense fornisce dati; l’interpretazione di quei dati richiede sempre il confronto con l’intero quadro investigativo.
La prova digitale è quindi una delle risorse più importanti delle indagini contemporanee, ma anche una delle più delicate. Può ricostruire spostamenti, contatti, abitudini, conversazioni, cancellazioni, tentativi di occultamento. Può rafforzare un’ipotesi investigativa o indebolirla. Ma il suo valore dipende dal modo in cui viene acquisita, conservata, analizzata e spiegata. In questo senso, l’informatica forense non è la semplice ricerca di un file nascosto dentro un computer. Bensì è il metodo che consente a un dato digitale di entrare nel processo senza perdere la propria affidabilità.
