In un articolo precedente ho delineato una mia idea, spero non utopica, di un ufficiale di polizia giudiziaria 4.0, figura come ho già detto imposta dal legislatore e contestualmente richiesta da un inarrestabile progresso tecnologico, che non permette più di affidarsi come un tempo a personale inesperto ed improvvisato.
Con un pizzico di nostalgia ricordo l’ufficiale di polizia 1.0 ovvero quei “pionieri” che si trovarono nel difficile compito di riconoscere, acquisire e conservare evidenze digitali, idonee ad essere introdotte quali prove in un processo. Spesso le tecniche erano lasciate più al buon senso o a qualche “illuminato” che in un modo o nell’altro riusciva a portare in dibattimento, quella che per il giudice, poteva definirsi, nel caso di specie, una prova integra, autentica, vera, non ripudiabile e completa.
Si potrebbe pensare allora che giunti all’ufficiale di polizia giudiziaria 4.0 molti dei problemi incontrati da quei pionieri siano stati in qualche modo risolti?
Indubbiamente, diversi interventi normativi hanno avuto il pregio di tratteggiare le caratteristiche minime che la cosiddetta “digital evidence” deve possedere, senza tuttavia blindare le procedure e le tecniche adottabili dagli operatori per addivenirvi, e quest’ultimo punto ritengo sia stata comunque una scelta arguta e vincente del nostro legislatore, il quale ha lasciato spazio alle innovazioni scientifiche e tecnologiche che potrebbero agevolare il lavoro degli addetti alla digital forensics, “latu sensu”.
Ad ogni buon conto, permangono al di là degli sforzi intrapresi da tutti gli attori coinvolti, diverse problematiche irrisolte e di non facile ed immediata soluzione, soprattutto quando si voglia contemperare un “giusto equilibrio”, tra i diritti di chi è sottoposto ad un procedimento penale e quelli di sicurezza ed investigazione; equilibrio costituzionalmente previsto e che purtroppo tende sempre a sbilanciarsi da una parte o dall’altra anche a cagione di un rapidissimo sviluppo tecnologico non sempre accompagnato da norme capaci di disciplinarne gli effetti.
Partiamo da un caso cosiddetto di scuola, una perquisizione informatica, in tali situazioni l’ufficiale di p.g. è munito di un decreto di perquisizione che nella migliore delle ipotesi indica in modo dettagliato uno specifico files da ricercare, si pensi ad una situazione nella quale l’ufficiale di p.g. viene chiamato a ricercare, nell’ambito dei diversi dispositivi digitali rinvenuti in un determinato luogo, uno specifico file concernente per esempio un disegno industriale coperto da segreto, inviato da un dipendente infedele ad un terzo. Altre volte il decreto di perquisizione non è così dettagliato, e spesso accade, faccia riferimento a non meglio precisati files riconducibili ai reati per cui si procede, ovvero l’oggetto della ricerca non è specificatamente indicato ed è lasciato all’ufficiale di polizia giudiziaria considerare operazione durante cosa sia pertinente, attinente o comunque riconducibile in qualche modo ai reati per cui si procede.
Non è questa la sede per discussioni dottrinali circa l’efficacia di un decreto così impostato, tuttavia è innegabile come talvolta l’oggetto ricercato attraverso la perquisizione sia spesso indeterminato nel senso che non vengono indicati specificatamente singoli files, ma attraverso la perquisizione si va alla ricerca di tutti quei files che in un modo o nell’altro al di là di costituire di per sé corpo del reato, sono comunque elementi utili al prosieguo delle indagini o prove cd. “indirette” di reati e fatti collegati o connessi a quest’ultimi, quelli che insomma mi piace definire “indizi”.
In tali ultimi casi è facile comprendere come nella ricerca di qualcosa di non dettagliatamente specificato (per esempio il file word del 01.01.2000; la mail da Tizio a Caio del 01.01.2000) le cose si complichino non poco in capo all’ufficiale di polizia giudiziaria che ha in mano un decreto indicate … file costituenti corpo del reato o file costituenti tracce pertinenti ai reati per cui si procede. Ecco che nell’ultima accezione si apre un mondo di files che in qualche modo potrebbero essere pertinenti ai reati per cui si procede. Mi sia concesso un esempio per non essere frainteso: procedimento penale per minacce via email. Orbene la mail contenente le minacce inviate da Tizio a Caio costituisce corpo del reato di minacce, ma assumono di certo rilevanza anche tutte quelle mail probabilmente non meglio identificate nel decreto (in quanto sconosciute) che comunque possono essere ritenute “pertinenti” ai reati per cui si procede, esempio uno o più email inviate da Tizio a Mevio nelle quali questi “prospetta” di minacciare in futuro Caio.
Ecco che allora in tali ultimi casi quando non è sufficiente o esaustiva una ricerca “sul posto” del corpo del reato e degli altri files pertinenti allo stesso, si deve ricorrere alla cosiddetta “bit stream image” dell’intero supporto digitale (lato sensu). Non potendosi “sul posto” esaurire compiutamente l’esame dello stesso.
Assistiamo ad un inarrestabile aumento delle prestazioni ed un contestuale ed esponenziale aumento dei volumi necessari alla memorizzazione dei dati (quasi non c’è ne fosse mai abbastanza), peraltro le più recenti “minacce” hanno spinto molti (anche se ancora pochi, per la mia esperienza) a dotarsi di sistemi di backup che rappresentano pur sempre una, ridondanza di dati, con un aumento quindi ulteriore ed esponenziale, dello spazio necessario a contenerli e conservarli. Ormai N.A.S. da diversi Tb sono presenti e necessari anche in piccoli uffici e, non è poi così raro riscontrarne la presenza anche presso abitazioni private, per la gestione dei file personali di famiglia.
Assistiamo anche, all’affacciarsi sulla “Crime scene” di nuovi dispositivi digitali, pensiamo per un attimo all’Iternet of Things, che già rappresenta una sfida sul piano della digital forensics. E che in un non lontano futuro potrebbe vedere l’ufficiale di p.g. 4.0. alle prese con un forno a microonde coinvolto in delitti di riciclaggio internazionale, a parte la battuta (sempre che lo sia), il tema è davvero interessante e sicuramente rivoluzionerà l’approccio e le tecniche di digital forensics. O ancora il mondo della “mobile device forensics” sempre più contraddistinto da strumenti che a cagione delle conseguenze insite nella loro agevole portabilità, vedono l’affacciarsi di sempre più nuove ed efficaci tecnologie (es. biometria, crittografia) capaci di tutelare sempre meglio i nostri dati …spesso molto personali.
Indipendentemente da ciò che ci riserverà il futuro, ancora oggi, le tecniche e gli strumenti per l’acquisizione della cosiddetta copia forense o “bit stream image dell’intero disco” segnano ancora il passo, anche solo nell’acquisizione dei più comuni dispositivi di memorizzazione con particolare riferimento ai dischi fissi o hard disk dei pc/notebook.
Le criticità sono da ricondursi essenzialmente al fatto che tali copie:
Ne consegue che ancora oggi chi è impegnato in operazioni che necessitano di acquisizioni di immagini “bit stream image” di interi dispositivi, non ha “vita facile” e spesso si trova anche impossibilitato per le ragioni su addotte, ad effettuare la copia forense sul posto.
Quante volte è poi capitato di dover risentire quel ritornello intonato da chi non è del mestiere (ed ha visto tutta la saga “Mission Impossible”) che recita … “ma quanto ci vuole ancora?” (in effetti nella filmografia degli ultimi tempi si vedono Tb trasferiti in pochi minuti … ma è un film! – La realtà è ben diversa!).
Ma torniamo, seriamente, al tema. In merito, mi hanno sempre affascinato tre aspetti, meritevoli a mio parere di un più approfondito dibattito, che andrebbe affrontato tra gli addetti ai lavori (tecnici, consulenti, magistrati, avvocati e forze dell’ordine) alla ricerca di soluzioni condivise e contemperanti gli inevitabili e contrapposti interessi in gioco:
Quanto al primo aspetto, ossia il cd. “overreaching seizure”, l’alternativa alla “bit stream image” sarebbe, per parte della dottrina, una ricerca “mirata” circa le sole mail/file attinenti l’oggetto del decreto ed una loro singola esportazione, nel rispetto delle “best practices”.
Tuttavia se quest’ultima soluzione dal punto di vista giuridico e degli interessi della parte destinataria del provvedimento di perquisizione e sequestro appare la più corretta; dal punto di vista investigativo presenta diverse ed incolmabili lacune : in primis la ricerca mirata su migliaia di email/files deve ricondursi a date ed oggetto diventando improbo procedere ad un esame del contenuto di ciascuno, in tempi accettabili; ed ancora qualsiasi ricerca per “parola chiave” presenta un elevato rischio di fallibilità in quanto chi vuole nascondere una contabilità parallela non chiama il file “black” , “scuro”, e tanto meno “nero” e chi invia minacce o richieste estorsive ricorre ad “oggetto” ben diverso dall’effettivo contenuto (mail con richieste estorsive “mascherate” sotto l’oggetto “Auguri di Buone Feste!”…… è solo un esempio!). Inoltre tale procedura non assicura in alcun modo di aver “ispezionato/controllato” molti altri settori del disco (lo spazio non allocato).
Circa il secondo aspetto, lo possiamo semplicemente leggere a contrario rispetto al primo; avremo modo attraverso la bit strem image di poter fare ricerche complete ma sicuramente avremo recato con noi migliaia di dati inutili o peggio non attinenti all’indagine, ricadendo nelle obiezioni mosse da parte della dottrina.
Circa il terzo, invece, va rilevato come oggi sia ampiamente aumentata la sensibilità da parte degli organi requirenti in tali contesti. Si cerca sempre più di evitare in estrema sintesi inutili disagi legati alla sottrazione (attraverso il sequestro) di hard disk definiti “strategici” per la prosecuzione delle attività aziendali, sanitarie ed industriali. Se un tempo il sequestro dell’intero pc senza se e senza ma era pratica ordinaria va riconosciuto che oggi vi è un aumentata attenzione ad evitare, quando possibile, di bloccare le summenzionate attività.
In ogni caso la cd, “copia forense” prende forza risultando l’unica soluzione capace di assicurare all’investigatore di poter svolgere “ex post” con attenzione ed efficienza quella “perquisizione” che nella realtà non è sempre effettuabile nell’immediatezza e sul posto.
Invero i dispositivi da esaminare posso essere costituiti da memorie di modeste dimensioni per le quali si può si procedere attraverso delle “preview” ad un vaglio circa la loro attinenza con l’oggetto del decreto di perquisizione, ma sempre più spesso ci si imbatte in dispositivi connaturati da elevate capacità di memorizzazione nei confronti dei quali la perquisizione “on site” è spesso irrealizzabile e per i quali si deve procedere al sequestro del supporto o alla realizzazione sul posto della “bit stream image”.
Nonostante gli sforzi di alcune aziende produttrici di hardware e software dedicato alle operazioni di clonazione/copia, le velocità effettive di acquisizione nella generalità dei casi, risultano ancora ben distanti da quelle “nominali” indicate ed ottenute in condizioni ideali (es. SSD to SSD di ultima generazione). Inoltre nella realtà operativa non è raro indipendentemente da tali hardware e software “performanti” imbattersi in dischi meccanici che di “performante” hanno ben poco, e vanno incontro al fenomeno del cosiddetto “collo di bottiglia” (sarà capitato a tutti!), che di fatto annulla le prestazioni dell’hardware e software quant’anche dedicati esclusivamente a tali scopi.
Si invocano allora “in materia” interventi tecnico/scientifici volti ad un ulteriore incremento delle velocità di clonazione/copia dei supporti (e lasciatemelo dire anche di calcolo dell’algoritmo di hash) ma anche, interventi legislativi volti a contemperare le contrapposte esigenze di tutela dei diritti della parte e dell’investigatore che tengano conto delle evoluzioni tecnologiche e delle nuove problematiche che queste recano sul piano della digital forensics, relativamente alla “bit stream image” che appare sempre più indispensabile per l’investigatore, ma si scontra anche inevitabilmente con diversi “diritti” della controparte.
A cura di: Pier Luca Toselli
Arrestato a Parigi il CEO di Telegram: cosa significa in termini di responsabilità delle piattaforme…
Introduzione In un contesto in cui la digitalizzazione sta crescendo costantemente, è importante sapere come…
Casi come Cellebrite Ufed v. Signal pongono in luce come la cybersecurity sia un fattore…
I Big Data stanno cambiando le regole del commercio online. Finalmente le aziende possono comprendere…
Dal punto di vista tecnico-operativo, le indagini di digital forensics vengono svolte utilizzando specifici strumenti…
Nell’ambito dell’email security esistono diversi protocolli volti a garantire l'autenticità, l'integrità e la riservatezza delle…