L' integrità delle prove digitali descrive la verificabile immutabilità di un determinato insieme di dati digitali rispetto a uno stato di riferimento documentato. Nell'ambito della digital forensics, è un prerequisito fondamentale per determinare in seguito se i dati esaminati corrispondono ancora allo stato di riferimento o se sono stati alterati nel frattempo.

Non si tratta solo di file. Le prove digitali possono includere, ad esempio, un'immagine forense di un disco rigido, un'estrazione da uno smartphone, un database, un archivio di email, un dump di memoria, un file di registro o un set di dati esportato dal cloud.

Tuttavia, l'integrità non equivale automaticamente ad autenticità, verità o paternità. Un set di dati tecnicamente inalterato potrebbe essere stato manipolato anche prima di essere sottoposto a backup. Pertanto, nell'ambito della computer forensics, è necessario distinguere con precisione tra ciò che può essere effettivamente dimostrato tramite un controllo di integrità e ciò che non può esserlo.

Che cosa si intende per integrità delle prove digitali?

In termini semplici, l'integrità significa che una certa quantità di dati non è stata modificata a partire da un determinato momento.

Questo momento è cruciale. Ad esempio, se viene creata un'immagine forense da un disco rigido e subito dopo viene calcolato un valore hash crittografico, si crea uno stato di riferimento verificabile.

Se la stessa immagine viene successivamente verificata nuovamente utilizzando lo stesso metodo di hashing e si ottiene lo stesso valore di hash, ciò suggerisce fortemente che il set di dati verificato non è cambiato rispetto al calcolo originale.

Il test di integrità collega quindi uno specifico insieme di dati a uno specifico stato documentato.

Perché l'integrità delle prove digitali è così importante?

Le informazioni digitali sono molto più facili da alterare rispetto a molti reperti fisici tradizionali. Un file può essere copiato, sovrascritto, cancellato o modificato senza che ciò sia necessariamente visibile dall'esterno.

Sono possibili anche modifiche involontarie. I sistemi operativi scrivono metadati, le applicazioni creano file temporanei e i dispositivi di archiviazione collegati possono essere modificati da processi di sistema automatici.

Un'indagine forense non deve quindi limitarsi a individuare tracce digitali interessanti, ma deve anche rendere comprensibile su quale insieme di dati si basa l'analisi.

Senza questo collegamento, potrebbe in seguito sorgere il dubbio se un reperimento fosse già presente sull'oggetto originario dell'indagine o se sia emerso solo durante una successiva lavorazione.

L'integrità inizia prima ancora dell'analisi vera e propria.

Un errore comune è quello di associare l'integrità esclusivamente al calcolo di un valore hash. In realtà, la protezione delle prove digitali inizia molto prima.

Anche l'acquisto di un dispositivo, il suo stato operativo, la scelta del metodo di backup e la gestione dell'originale possono influenzare i dati esaminati in seguito.

Ad esempio, se un disco rigido classico senza protezione da scrittura controllata viene collegato a un normale sistema operativo, possono verificarsi operazioni di scrittura automatiche.

Il valore hash calcolato successivamente può documentare in modo affidabile lo stato che si presenta in seguito. Tuttavia, non annulla le modifiche precedenti.

Che cos'è uno stato di riferimento?

Lo stato di riferimento è lo stato dei dati definito rispetto al quale vengono eseguiti i successivi controlli di integrità.

In pratica, potrebbe trattarsi, ad esempio, di un'immagine creata immediatamente dopo un esame forense.

A questo set di dati è associato un valore hash. Tale valore potrà essere successivamente utilizzato come riferimento.

È importante definire chiaramente quale specifico insieme di dati descrive il valore di riferimento.

Come viene verificata l'integrità delle prove digitali?

Un metodo fondamentale è l'utilizzo di funzioni hash crittografiche. Questo metodo prevede il calcolo di un checksum matematico a partire da un insieme definito di dati.

Per le moderne indagini forensi, ad esempio, si può utilizzare SHA-256.

Se in seguito viene generato nuovamente lo stesso valore SHA-256 a partire dallo stesso set di dati, è possibile utilizzarlo per verificare che non sia cambiato rispetto allo stato di riferimento.

I valori hash non sono quindi una mera formalità documentale, ma una componente tecnicamente verificabile della conservazione delle prove.

Cosa dimostra un valore hash identico?

Un valore hash crittografico identico, quando si utilizza un'opportuna funzione hash moderna, suggerisce fortemente che i set di dati controllati siano identici bit per bit.

Ciò consente, ad esempio, di verificare se un'immagine forense archiviata corrisponde ancora all'immagine documentata in origine.

Tuttavia, il valore hash non ci dice se i dati erano già stati modificati prima del primo calcolo dell'hash.

Cosa non dimostra un valore hash?

Un valore hash non dimostra che il contenuto di un file sia vero. Né dimostra chi ha creato, modificato o eliminato un file.

Inoltre, non è in grado di stabilire autonomamente se un documento fosse originariamente autentico.

Il valore hash risponde a una domanda tecnica molto più specifica: il set di dati che viene ora verificato è identico al set di dati per il quale è stato generato il valore di riferimento documentato?

Integrità e autenticità non sono la stessa cosa.

Questa distinzione è particolarmente importante per le prove digitali .

L'integrità descrive lo stato inalterato di un insieme di dati rispetto a uno stato di riferimento.

L'autenticità, d'altro canto, si riferisce alla sua origine o genuinità.

Un file PDF manipolato può, ad esempio, essere consegnato a un esperto e successivamente sottoposto a un'adeguata analisi forense. A partire da questo momento, la sua integrità può essere verificata in modo affidabile.

Tuttavia, il valore hash identico non dimostra che il PDF non sia mai stato manipolato prima di essere consegnato.

Integrità e valore probatorio non sono la stessa cosa.

Un set di dati completamente invariato potrebbe risultare irrilevante per una specifica domanda.

Al contrario, potrebbe esistere un risultato tecnicamente rilevante la cui documentazione storica non è ottimale.

L'integrità è quindi una caratteristica qualitativa del database, ma non una dichiarazione automatica circa la rilevanza probatoria di un particolare manufatto.

La rilevanza probatoria emerge unicamente dalla classificazione professionale nel contesto specifico del caso.

Perché uno screenshot non è sufficiente come prova di integrità?

Uno screenshot si limita a documentare una rappresentazione visibile del contenuto specifico di una schermata.

In genere non contiene le strutture dati sottostanti complete e non consente una verifica tecnica esaustiva dell'integrità del sistema sorgente.

In una chat di messaggistica, ad esempio, uno screenshot può mostrare una porzione visibile della conversazione. Tuttavia, non contiene automaticamente il database sottostante, gli identificativi interni dei messaggi, le informazioni di sistema o altri metadati.

Uno screenshot può quindi essere un documento rilevante, ma non equivale a una copia di backup forense dei dati originali.

Perché una normale copia di file non viene automaticamente considerata un backup forense?

Una copia standard di un file può trasferire correttamente il contenuto dei file selezionati. Tuttavia, non necessariamente cattura lo stato completo dell'archivio rilevante per un'indagine.

È possibile che manchino aree di dati eliminate, informazioni sul file system e altri artefatti tecnici.

Inoltre, deve essere possibile risalire al momento in cui i file sono stati copiati e se erano già state apportate modifiche prima della copia.

L'integrità dei file copiati può essere successivamente verificata utilizzando i valori hash. Tuttavia, questo non crea ancora un backup completo dei dati forensi su disco a partire dalla selezione originale dei file.

Qual è il significato di un backup bit a bit?

Con i supporti di memorizzazione dati tradizionali, il backup per settore o per blocco può creare una rappresentazione completa dell'area di memoria indirizzabile.

L'analisi può quindi essere eseguita su questo set di dati di backup, mentre l'originale rimane il più possibile intatto.

Ciò riduce il rischio che l'indagine vera e propria alteri il supporto dati originale.

Perché vengono utilizzati i blocchi di scrittura?

Un blocco di scrittura è progettato per impedire a un computer di indagine di trasmettere comandi di scrittura a un supporto dati originale.

Questo è importante perché i sistemi operativi possono eseguire operazioni di scrittura in modo indipendente quando è collegato un dispositivo di archiviazione.

È possibile ridurre questo rischio tramite hardware o software di protezione da scrittura adeguati.

Tuttavia, i dispositivi di blocco della scrittura non sono adatti a tutti i tipi di dispositivi. Smartphone, memorie saldate o sistemi in produzione richiedono strategie di backup diverse.

È possibile alterare le prove nonostante un blocco di scrittura?

Un blocco di scrittura correttamente implementato impedisce i comandi di scrittura attraverso il percorso dati controllato. Tuttavia, non risolve ogni possibile problema di integrità.

Ad esempio, i processi interni del controller possono avere un ruolo nella memoria flash. Inoltre, potrebbero essersi già verificati errori prima della connessione al blocco di scrittura.

Il blocco di scrittura è quindi uno strumento di protezione tecnico all'interno di un processo forense più ampio.

Che cosa si intende per integrità nel contesto di un disco rigido (HDD)?

Con i tradizionali dischi rigidi magnetici, la memoria indirizzabile logicamente può spesso essere sottoposta a backup in modo molto completo, settore per settore.

Se l'originale viene protetto dall'accesso in scrittura durante il processo di acquisizione e l'immagine risultante viene successivamente verificata, si crea una base di indagine altamente riproducibile.

Tuttavia, eventuali errori di lettura o aree danneggiate devono essere documentati.

Che cosa si intende per integrità nel contesto di un SSD?

La situazione è più complessa con gli SSD. Un controller con una propria gestione della memoria opera tra il sistema operativo e le celle fisiche della memoria flash.

TRIM, Garbage Collection e Wear Leveling influenzano l'organizzazione interna dei dati.

Un'immagine forense può quindi documentare l'integrità dei dati logici effettivamente acquisiti. Tuttavia, ciò non significa automaticamente che ogni singola cella di memoria flash sia rimasta inalterata o sia stata immediatamente accessibile.

Perché questa distinzione è importante per gli SSD?

Il termine "stato originale" può essere frainteso quando si fa riferimento ai moderni supporti di memorizzazione.

Un'unità SSD modifica parzialmente e autonomamente la propria organizzazione interna di archiviazione. Pertanto, la posizione fisica di determinati dati non deve necessariamente corrispondere in modo permanente all'indirizzo logico visibile al sistema operativo.

La documentazione forense dovrebbe pertanto descrivere con precisione quale livello di dati è stato effettivamente protetto.

Che cosa significa integrità nel contesto degli smartphone?

Gli smartphone rappresentano una sfida particolare. I dispositivi moderni utilizzano la crittografia basata su hardware, la gestione sicura delle chiavi e complessi meccanismi del sistema operativo.

Pertanto, un backup classico settore per settore, come quello effettuato con un disco rigido rimosso, spesso non è possibile.

L'integrità deve riferirsi all'effettivo set di dati estratto. Deve essere fornita la documentazione che indichi quale dispositivo è stato esaminato, quale metodo di estrazione è stato utilizzato e quale set di dati ne è derivato.

Perché una scansione con smartphone potrebbe alterare lo stato del dispositivo?

Uno smartphone acceso è un sistema dinamico. I processi in background continuano a essere eseguiti, i registri possono essere aggiornati e le applicazioni possono modificare i dati.

Stabilire una connessione con un computer di indagine può anche innescare modifiche tecniche di stato.

Alcuni metodi di acquisizione richiedono determinate interazioni controllate con il dispositivo.

L'integrità professionale non significa quindi l'affermazione irrealistica che in nessuna circostanza si debba alterare nemmeno un singolo bit del dispositivo originale. Ciò che è fondamentale è evitare, per quanto possibile, le alterazioni e documentare in modo tracciabile gli interventi necessari o tecnicamente inevitabili.

Che cosa significa integrità per un computer in funzione?

Anche un computer in funzione è in continuo cambiamento. RAM, file temporanei, registri eventi e stato della rete possono cambiare in pochi secondi.

Pertanto, una situazione iniziale completamente statica è tecnicamente irraggiungibile nelle indagini forensi in tempo reale.

Il compito, piuttosto, è quello di ottenere i dati necessari attraverso interventi quanto più controllati possibile e di documentare tali interventi in modo tracciabile.

Perché spegnere un computer può compromettere l'integrità delle prove?

Sebbene lo spegnimento impedisca ulteriori normali attività del sistema operativo, distrugge anche i dati volatili presenti nella RAM.

Inoltre, nei sistemi crittografati, lo stato attualmente decrittografato può andare perduto.

Pertanto, "spegnere immediatamente il dispositivo" non è una regola forense universalmente corretta.

La decisione deve essere presa in base allo stato del sistema e alla questione oggetto di indagine.

Che cosa significa integrità nei dati RAM?

La RAM è volatile e cambia costantemente durante il funzionamento.

Un'immagine RAM documenta quindi uno stato specifico raggiungibile durante un particolare processo di backup.

Il valore hash del dump di memoria generato può quindi essere utilizzato per verificarne la continua integrità.

Tuttavia, non può dimostrare che la memoria di lavoro non sia cambiata durante l'acquisizione stessa.

Cosa significa integrità per i dati nel cloud?

Con i servizi cloud, un investigatore in genere non ha accesso diretto ai supporti di archiviazione fisici del fornitore.

Il backup viene invece eseguito, ad esempio, tramite un'API, un'esportazione dell'account o altre interfacce fornite.

La documentazione sull'integrità dei dati deve pertanto concentrarsi sui dati effettivamente ricevuti.

Tra i fattori rilevanti figurano la fonte, l'account, il tempo di backup, il metodo utilizzato e i file generati.

È possibile verificare l'integrità fisica di un disco rigido nel cloud?

Di solito non direttamente, come investigatore esterno.

Pertanto, la propria dichiarazione forense dovrebbe limitarsi al livello di dati effettivamente accessibili e protetti.

È proprio questa demarcazione trasparente che accresce la qualità professionale di un'indagine.

Cosa significa integrità nelle email?

I controlli di integrità delle e-mail possono riguardare diversi livelli.

Un messaggio esportato può, ad esempio, essere sottoposto a hashing come file EML. Allo stesso modo, è possibile eseguire il backup e la verifica di un archivio completo di una casella di posta elettronica come set di dati.

Il valore hash di questo file documenta quindi il suo stato inalterato, ma non prova automaticamente l'autenticità del mittente originale.

Ciò potrebbe richiedere informazioni aggiuntive come intestazioni di posta elettronica, dati del server e altre tracce tecniche.

Cosa significa integrità nei file di log?

I file di registro possono svolgere un ruolo importante negli incidenti informatici, nelle fughe di dati o negli accessi non autorizzati.

Quando si esportano i log pertinenti, dovrebbe essere possibile risalire al sistema di provenienza, alla data di backup e all'eventuale successiva modifica dei dati esportati.

Un valore hash può verificare l'integrità dell'esportazione protetta.

Tuttavia, non può dimostrare da solo che il sistema di registrazione originale non sia mai stato manomesso prima del backup.

Che cosa significa integrità nei database?

I database sono spesso sistemi dinamici. Durante il funzionamento, i record di dati vengono modificati, gli indici vengono aggiornati e vengono eseguite transazioni.

Un backup forense deve quindi tenere conto se è stata creata una copia coerente, un'esportazione o un altro database definito.

Solo questo inventario generato può quindi essere trattato come stato di riferimento e protetto, ad esempio, tramite valori hash.

Che ruolo svolge la catena di custodia?

La catena di custodia integra la verifica tecnica dell'integrità con la tracciabilità organizzativa.

Un valore hash può indicare che un determinato insieme di dati è rimasto invariato. Tuttavia, non specifica chi ha ricevuto, trasportato, archiviato o esaminato le prove.

La catena di prove documenta questi eventi.

L'integrità tecnica e la catena di custodia non devono quindi essere confuse.

È possibile che una catena di custodia perfetta sostituisca i valori hash mancanti?

No. Un'accurata documentazione di passaggio di consegne e una verifica dell'integrità tecnica svolgono funzioni diverse.

Una catena di prove può documentare in modo eccellente chi ha memorizzato un'immagine. Tuttavia, senza informazioni di verifica tecnica, non si può automaticamente concludere che i dati in essa contenuti siano rimasti invariati.

Al contrario, un valore hash identico non può spiegare chi ha avuto accesso ai dati.

Perché l'originale dovrebbe essere conservato nel modo più protetto possibile?

Dopo un'efficace conservazione, le prove originali o le prove forensi primarie possono essere conservate come riferimento.

L'analisi vera e propria viene effettuata su una copia di lavoro, per quanto tecnicamente possibile.

Ciò consente ai programmi di analisi di creare file, costruire indici o eseguire altre fasi di elaborazione senza alterare il backup di riferimento archiviato.

Perché è utile una copia di lavoro?

I programmi di analisi forense elaborano grandi quantità di dati e spesso generano autonomamente database, indici, file di anteprima e risultati delle indagini.

Un ambiente di lavoro separato impedisce che tali processi di analisi si mescolino con il backup di riferimento non modificato.

Se in seguito si rendesse necessaria una nuova analisi, è possibile ricreare una base di lavoro a partire dal backup originale.

Cosa succede se il valore hash di un backup cambia?

Un valore hash iniziale diverso significa semplicemente che i due insiemi di dati confrontati differiscono.

Questo è un importante segnale di allarme, ma non ancora una spiegazione.

La causa potrebbe essere una modifica effettiva, un file danneggiato, un errore di trasmissione, una struttura del contenitore diversa o semplicemente il fatto che siano state utilizzate funzioni di hashing per aree di dati diverse.

La deviazione deve pertanto essere oggetto di un'indagine tecnica.

Un valore hash diverso costituisce automaticamente una prova di manipolazione?

No.

Innanzitutto, egli dimostra che i set di dati confrontati non sono identici, a condizione che la stessa funzione hash sia stata applicata correttamente a dati comparabili.

Il motivo per cui sono diversi non può essere determinato solo dal valore hash.

Cosa succede se si verificano errori di lettura durante un backup?

I supporti dati danneggiati possono contenere settori illeggibili o leggibili solo in modo inaffidabile.

Un'analisi forense può ancora recuperare una porzione significativa del supporto dati.

È fondamentale che gli errori di lettura siano documentati e che rimanga tracciabile il modo in cui lo strumento utilizzato ha gestito le aree illeggibili.

Il valore hash dell'immagine generata può quindi essere utilizzato per verificarne l'integrità. Tuttavia, ciò non dimostra che i settori precedentemente illeggibili siano stati letti correttamente.

Un'immagine danneggiata può ancora essere considerata integra?

Sì, se per "intero" si intende che il file è rimasto invariato da un determinato momento.

Un backup già incompleto o danneggiato può avere un valore hash stabile.

Ciò illustra ulteriormente perché integrità e completezza siano proprietà diverse.

Integrità non è sinonimo di completezza.

Un insieme di dati può rimanere completamente invariato eppure essere privo di informazioni.

Ad esempio, un'estrazione logica da uno smartphone può essere tecnicamente valida, anche se non contiene tutti i dati del dispositivo a causa del metodo di estrazione scelto.

Il controllo di integrità, pertanto, non dice nulla sulla capacità del metodo di backup di acquisire tutte le informazioni rilevanti per la questione in esame.

Integrità non è sinonimo di correttezza.

Anche le informazioni fattualmente errate possono essere perfettamente oneste.

Se qualcuno inserisce informazioni errate in un documento e il file successivamente rimane invariato, un valore hash conferma semplicemente che il file non è stato alterato.

Non è in grado di giudicare se l'affermazione ivi contenuta sia vera o falsa.

Integrità non è sinonimo di paternità dell'opera.

Un valore hash identico può indicare che due file hanno lo stesso contenuto.

Tuttavia, non è in grado di stabilire chi abbia creato il file.

Per attribuire le informazioni a un utente o a una persona fisica, è necessario esaminare ulteriori elementi e informazioni contestuali.

Qual è il significato dell'integrità nei casi di sospetto furto di dati?

In caso di furto di dati, le tracce digitali possono essere distribuite su più sistemi.

Un computer aziendale può contenere file provenienti da unità USB, un dispositivo di archiviazione esterno può contenere copie di file riservati e un server può contenere ulteriori registri di accesso.

Affinché queste informazioni possano essere confrontate, le rispettive fonti di dati devono essere chiaramente identificate e protette.

I valori hash possono, ad esempio, dimostrare che un file su un supporto esterno è identico nel contenuto a un file presente nell'archivio aziendale.

Tuttavia, il processo di copiatura effettivo e la persona coinvolta devono essere ricostruiti sulla base di ulteriori prove.

Che ruolo gioca l'integrità nel parere di un esperto?

Una perizia dovrebbe indicare su quali dati si basano le conclusioni tecniche.

Soprattutto nelle indagini digitali complesse, è pertanto consigliabile documentare in modo tracciabile gli oggetti dell'indagine, i metodi di sicurezza e i relativi controlli di integrità.

Ciò consente a una terza parte esperta di comprendere meglio il percorso che va dall'oggetto di indagine iniziale al set di dati valutato.

Anche il sito web dell'ufficio di esperti in informatica forense e dispositivi mobili descrive questo requisito per una conservazione e documentazione comprensibile delle prove.

Esempio pratico: il disco rigido di un computer aziendale

Un'azienda sospetta che un dipendente abbia copiato dati riservati prima di lasciare l'azienda.

Il dispositivo di archiviazione dati del computer aziendale viene sottoposto a backup in condizioni controllate. Per il set di dati generato viene documentato un valore SHA-256.

L'esame vero e proprio viene effettuato su una copia di lavoro.

Alcuni mesi dopo, un secondo esperto esaminerà l'analisi. Prima che questa revisione abbia inizio, viene ricalcolato il valore SHA-256 del backup in uscita archiviato.

Se questo valore corrisponde a quello documentato originariamente, si può verificare che questo set di dati è rimasto invariato dal backup originale.

Esempio pratico: file riservato su chiavetta USB

Sul server aziendale è presente un file di progetto riservato. Durante un'indagine, viene rinvenuto un file con lo stesso nome su una chiavetta USB.

Il solo nome del file non è sufficiente a dimostrare l'identità del contenuto.

Se entrambi i file producono lo stesso valore SHA-256, ciò suggerisce fortemente che i loro contenuti, dopo l'hashing, siano identici.

Tuttavia, ciò non dimostra quando il file è stato trasferito sulla chiavetta USB né chi lo ha copiato.

Esempio pratico: screenshot di Messenger

Una persona consegna uno screenshot di una presunta chat di messaggistica.

Lo screenshot può essere sottoposto a hashing immediatamente dopo l'invio. Questo permette di verificare in seguito se esattamente quel file immagine è stato modificato.

Tuttavia, il valore hash non dimostra né che la chat mostrata esistesse effettivamente sul presunto smartphone, né che i messaggi mostrati siano autentici.

Per un esame più approfondito, la fonte di dati originale risulterebbe significativamente più informativa.

Esempio pratico: estrazione da smartphone

L'estrazione dei dati viene effettuata da uno smartphone utilizzando uno strumento forense.

Il materiale estratto viene quindi documentato e protetto da modifiche.

L'integrità ora si riferisce precisamente a questo set di dati generato.

Se l'estrazione contenga tutte le informazioni disponibili sullo smartphone è un'altra questione e dipende dal dispositivo, dal sistema operativo, dallo stato di sicurezza e dal metodo di estrazione.

Esempio pratico: Esportazione dal cloud

Un set di dati viene esportato da un account cloud. Al termine del download, i file scaricati vengono sottoposti a backup e vengono generati i valori hash.

Ciò consente di monitorare la costante invarianza delle scorte esportate.

Tuttavia, il valore hash non dimostra che il fornitore di servizi cloud abbia consegnato tutti i dati mai esistiti o che nessun file sia stato eliminato prima dell'esportazione.

Errori tipici nella gestione dell'integrità delle prove

Un errore comune è quello di considerare un valore hash identico come prova completa di autenticità.

Altrettanto problematico è il presupposto che la conservazione forense debba essere possibile in tutte le circostanze tecniche senza alcuna modifica allo stato del sistema originale.

Questo è spesso irrealistico con sistemi in tempo reale e smartphone. Procedure controllate e documentazione trasparente sono fondamentali.

Ulteriori errori si verificano se non viene documentato quali dati sono stati sottoposti a hashing, se vengono confrontati algoritmi di hashing diversi o se l'integrità viene confusa con la completezza.

Come si dovrebbe documentare l'integrità?

La documentazione deve indicare chiaramente quale oggetto di indagine o quale insieme di dati è stato esaminato.

In un controllo hash, l'algoritmo utilizzato e il valore hash risultante devono essere chiaramente associabili al set di dati pertinente.

A seconda del caso oggetto di indagine, è possibile documentare anche l'ora, lo strumento utilizzato, l'identificativo della prova, il file immagine e gli eventuali errori di lettura verificatisi.

L'obiettivo non è produrre la documentazione più completa possibile fine a se stessa, bensì garantire la tracciabilità tecnica delle fasi investigative pertinenti.

Domande frequenti sull'integrità delle prove digitali

Cosa significa integrità delle prove digitali, spiegato in modo semplice?

Integrità significa che è possibile verificare se uno specifico set di dati digitali è cambiato rispetto a un punto di riferimento temporale documentato.

Come viene verificata l'integrità delle prove digitali?

Un metodo importante è il calcolo dei valori hash crittografici. L'utilizzo dello stesso valore hash per lo stesso insieme di dati definito consente un controllo tecnico molto rigoroso sulla sua integrità.

Cos'è un valore hash?

Un valore hash è una somma di controllo calcolata matematicamente di un insieme di dati digitali. Metodi moderni come SHA-256 vengono utilizzati, tra le altre cose, per il controllo dell'integrità.

L'algoritmo SHA-256 è adatto per le prove digitali?

Sì. SHA-256 è una funzione hash crittografica consolidata e adatta ai moderni controlli di integrità dei set di dati digitali.

Un valore hash identico dimostra l'autenticità di un file?

No. Conferma lo stato invariato rispetto allo stato di riferimento sottostante, non automaticamente l'autenticità o l'origine originali.

Un file manipolato può essere un numero intero?

Sì. Se un file già modificato viene successivamente sottoposto a hashing e poi non modificato ulteriormente, rimane intatto rispetto a questo stato di riferimento successivo.

L'integrità è sinonimo di autenticità?

No. L'integrità descrive l'immutabilità. L'autenticità riguarda la questione della genuinità e dell'origine.

L'integrità è sinonimo di completezza?

No. Un set di dati non modificato può essere incompleto. Ad esempio, un'estrazione da smartphone può essere accurata anche se il metodo utilizzato ha permesso di acquisire solo una parte dei dati disponibili.

L'integrità è sinonimo di valore probatorio?

No. L'integrità si riferisce alla qualità e all'inalterabilità dei dati. Il significato di un artefatto in una situazione specifica deve essere valutato separatamente.

Cosa succede se due valori hash sono diversi?

I set di dati sottoposti a hashing risultano quindi differenti. Le ragioni di tali differenze devono essere indagate.

Un valore hash diverso dimostra la manipolazione?

Non automaticamente. Errori tecnici, intervalli di dati diversi o stati variabili dei contenitori possono anch'essi portare a valori differenti.

Uno screenshot può essere un numero intero?

Sì. Il file dello screenshot stesso può essere sottoposto a hashing e quindi verificato rispetto a eventuali modifiche successive. Tuttavia, ciò non dimostra automaticamente l'autenticità del contenuto mostrato.

È possibile che la copia di un file normale sia un numero intero?

Sì. I file copiati possono quindi essere verificati tramite valori hash. Tuttavia, ciò non significa che la copia rappresenti un'immagine forense completa del supporto di memorizzazione originale.

Perché si utilizza un blocco di scrittura?

È progettato per impedire l'accesso in scrittura involontario al supporto dati originale e quindi ridurre le modifiche evitabili durante il backup.

È necessario un blocco di scrittura per ogni backup forense?

No. Dipende dalla classe del dispositivo e dal metodo di backup. Gli smartphone e alcuni sistemi in produzione richiedono procedure diverse.

È possibile esaminare uno smartphone senza apportare alcuna modifica?

Questo non può essere garantito in modo assoluto. Gli smartphone sono sistemi dinamici. La medicina legale professionale cerca di ridurre al minimo le modifiche e di documentare in modo tracciabile qualsiasi intervento tecnicamente necessario.

Un computer acceso può rimanere invariato?

No. Un sistema operativo in esecuzione modifica costantemente dati volatili e parzialmente persistenti. Pertanto, l'analisi forense in tempo reale richiede interventi controllati e documentati.

Spegnere un computer può distruggere le prove?

Sì. Il contenuto della RAM volatile viene perso durante il processo. Nei sistemi crittografati, anche lo stato precedentemente decrittografato può andare perso.

Che cos'è la catena di custodia?

La catena di custodia documenta la gestione delle prove e i relativi trasferimenti o cambiamenti di responsabilità. Essa integra la verifica tecnica dell'integrità, ma non la sostituisce.

Un valore hash può sostituire la catena di custodia?

No. Un valore hash controlla un insieme di dati. Non documenta quale persona ha ricevuto o modificato una prova e quando.

Perché l'analisi viene eseguita sulle copie di lavoro?

Ciò consente di mantenere inalterata la prova forense primaria come riferimento, mentre gli strumenti di analisi vengono utilizzati su base di lavoro separata.

È possibile utilizzare un'immagine forense nonostante gli errori di lettura?

Sì. I dati estratti possono comunque essere di notevole valore per la ricerca. Tuttavia, gli errori di lettura e la loro correzione devono essere documentati e presi in considerazione durante l'interpretazione.

È sufficiente un valore hash da solo per un parere di un esperto?

No. Si tratta di una componente tecnica del controllo di integrità. Un parere di un esperto verificabile richiede inoltre un database adeguato, una metodologia documentata, un'analisi da parte di esperti e un'interpretazione appropriata.

È possibile ripristinare l'integrità retroattivamente?

Un valore hash generato successivamente può definire uno stato di riferimento a partire da quel momento. Tuttavia, non può dimostrare a posteriori che i dati precedenti a quel momento siano rimasti invariati.

Perché la tempistica del primo backup è così importante?

Quanto prima i dati rilevanti vengono sottoposti a backup in modo controllato, tanto più chiaramente sarà possibile documentarne lo stato successivo. Le modifiche apportate prima del backup non possono essere annullate da successivi controlli di integrità.

Cosa dice realmente l'integrità delle prove digitali

L'integrità delle prove digitali risponde a una domanda ben definita: l'insieme di dati esaminato è ancora identico all'insieme di riferimento documentato?

Questa affermazione è estremamente preziosa per la digital forensics professionale, ma non va interpretata in modo eccessivo.

L'integrità non dimostra automaticamente l'autenticità, la completezza, la veridicità, la paternità o l'ammissibilità legale di una prova digitale.

Un'indagine affidabile, pertanto, combina diversi livelli: backup controllato dei dati, identificazione inequivocabile della fonte dei dati, verifica dell'integrità, tracciabilità della catena di custodia e analisi professionalmente rigorosa.

Questa separazione previene le interpretazioni errate. Un valore hash non diventa un sigillo di autenticità incondizionato, una copia forense non si trasforma automaticamente in una prova completa e un insieme di dati tecnicamente integro non diventa un'affermazione fattuale comprovata senza ulteriori esami.

L'integrità delle prove professionali significa quindi soprattutto una cosa: essere in grado di spiegare in qualsiasi momento e in modo comprensibile quale insieme di dati è stato esaminato, come è stato protetto e su quale base tecnica è possibile verificarne l'integrità.

Torna alla panoramica delle conoscenze