Source: http://www.teutas.it/societa-informazione/prova-elettronica/740-computer-forensics-aspetti-tecnici-e-legali.html
Timestamp: 2013-05-24 00:50:01+00:00

Document:
Computer Forensics: aspetti tecnici e legali
Programma per gli studenti frequentanti di Lettere 2012/13. Modulo BrogiSeminario: L’Azienda e Internet: copyright, data protection e aspetti giuslavoristici della presenza in rete-Firenze, 22 marzo 2013 AC Hotel-Via Bausi 6L’Agenda digitale europea e le prospettive di attuazione in Italia: brevi note.COM/2012/0203 final. Relazione della Commissione sull'applicazione della direttiva 2010/13/UE, Direttiva sui servizi di media audiovisiviChe cos’è un ‘dissidente digitale’, o ‘smart dissident’? Può l’attivismo online innescare una rivoluzione? Si può usare la tecnologia per proteggere i diritti umani? Computer Forensics: aspetti tecnici e legali
Scritto da Riccardo Cannavò	Domenica 20 Dicembre 2009 18:49	The essay outlines the main issues relating to computer forensics. This new discipline has its specific features, since it presupposes an appropriate knowledge in both technical and legal fields.1. Introduzione. Con la locuzione computer forensics[1] si intende quel complesso di attività volte ad identificare, estrarre, interpretare, conservare e documentare dati in formato elettronico[2], in seguito ad una analisi compiuta per l’acquisizione delle prove relative a un atto illecito[3]. La computer forensics è una branca delle scienze forensi, ovvero di quelle discipline mediche, biologiche, elettriche, meccaniche, elettroniche, informatiche, etc. che possono fornire evidenze tecnico-scientifiche “oggettive” quali elementi di giudizio sia nel caso di procedimenti civili che penali.
Il compito delle scienze forensi è quindi quello di produrre evidenze scientifiche da poter introdurre all’interno di un procedimento giudiziario sotto forma di mezzi di prova, sulle quali il giudice baserà il proprio convincimento e, quindi, la propria decisione. Si può sicuramente affermare che la computer forensics deve soddisfare sia esigenze di natura tecnico/metodologica che giuridico/legale. La nascita e lo sviluppo della computer forensics come branca indipendente sono strettamente correlati all’evoluzione della società dell’informazione (Information and Communication Technology, ICT).[4]In Italia, nel marzo del 2007 si costituisce il Capitolo Italiano dell’Information Systems Forensics Association Inc. (IISFA)[5] con l’obiettivo di promuovere lo studio e la formulazione di metodi e di standard inerenti le attività di Information Forensics, di istruire i membri che vi appartengono e di sviluppare e rafforzare le loro capacità professionali in relazione alle attività di information forensics. 2. L’evoluzione normativaSul tema in oggetto non esiste un’omogeneità nella produzione normativa; la disciplina può essere ricondotta ad almeno tre settori di interesse: i crimini commessi attraverso l’uso delle nuove tecnologie (diritto penale dell’informatica), i documenti elettronici e la sicurezza dei sistemi informatici, la tutela dei dati personali. In tutti i casi si tratta di una produzione normativa recente, sviluppatasi nell’arco temporale dell’ultimo ventennio.I reati informatici sono disciplinati nel codice penale e in alcune leggi speciali successive[6]. La convenzione di Budapest del 23 novembre 2001 del Consiglio d'Europa sulla criminalità informatica (ratificata con la legge 48/2008) può essere considerata il primo vero accordo internazionale riguardante i crimini commessi attraverso internet o altre reti informatiche, con l’obiettivo di realizzare una politica comune fra gli Stati sottoscrittori, attraverso l’adozione di una legislazione appropriata, che consenta di combattere il crimine informatico in maniera coordinata[7].La disciplina dei documenti elettronici si sviluppa attraverso una recente normativa a partire dai primi anni ’90[8].La tutela dei dati personali si è sviluppata, in Italia, attraverso due provvedimenti normativi, la legge 31 dicembre 1996 n. 675 e il Decreto Legislativo 30 giugno 2003 n. 196 “Codice in materia di protezione dei dati personali”[9].3. Aspetti tecnici della computer forensics 3.1 Generalità Dal punto di vista tecnico la computer forensics è una branca della più ampia digital forensics[10]; il fine della digital forensics consiste nell’analizzare fatti inerenti sistemi digitali in cui risultino violazioni di leggi civili, penali e/o di regolamenti interni ad organizzazioni. Se quindi non c'è una violazione di qualche tipo, il “forensics” non interviene. L'analisi condotta deve permettere di ottenere delle fonti di prova digitali, ossia dati che possano testimoniare, nella maniera più certa possibile, i fatti connessi alla violazione da accertare, evidenziando i tempi, gli eventi, i sistemi impiegati, le linee e i mezzi di comunicazione, nonché gli elementi identificativi come nomi utente, IP, MAC address, password, codici biometrici, etc.[11]Le fonti di prova acquisite in tal modo saranno utilizzate quali supporto alle decisioni attraverso il loro ingresso e la discussione in giudizio.Le caratteristiche essenziali della conduzione di una analisi di digital forensics[12] sono essenzialmente tre:1. impiego di procedure scientificamente accettate;2. determinismo e giusta tempistica delle attività svolte;3. ripetibilità degli accertamenti tecnici.1. L’impiego di procedure scientificamente accettate (accettabilità scientifica dei metodi) riveste un’importanza primaria nel campo dell’analisi; infatti, seguire procedure scientificamente non contestate (e difficilmente contestabili) faciliterà l’impiego dei mezzi di prova in giudizio, mettendo al riparo le evidenze e le risultanze dell’analisi da possibili contestazioni in giudizio. Allo stato attuale, non esistono delle procedure codificate per condurre un’analisi forense, per cui ciascun operatore e ciascuna forza di polizia e/o ente privato hanno sviluppato dei protocolli interni da seguire, che sono in costante evoluzione e miglioramento.2. La determinazione e la capacità di fronteggiare situazioni non previste sono qualità essenziali e non rinunciabili per qualsiasi operatore di analisi forense digitale; non di rado, infatti, eventi imprevedibili vanno a condizionare la scena analizzata. Inoltre, i risultati dell’analisi potrebbero dare esiti diversi a seconda del momento in cui viene condotto l’accertamento: al momento dell’illecito o, successivamente, in laboratorio. 3. Con l’espressione “ripetibilità degli accertamenti” si intende la possibilità di rieseguire integralmente le analisi su modelli assolutamente identici all'originale; la ripetibilità si configura, quindi, come un fattore chiave soprattutto quando si opera su reati e si devono presentare dei risultati in dibattimento per un'incriminazione. In altre parole, si presuppone la possibilità di realizzare uno studio post-mortem dei sistemi, limitando completamente le interazioni con l'esterno[13].Le fonti di prova digitali[14] validamente ottenute da procedure di digital forensics, dal punto di vista tecnico-scientifico, dovrebbero possedere le seguenti caratteristiche: integrità, coerenza e documentazione.Per integrità della fonte si intende la possibilità di congelare le evidenze riscontrate in modo da non consentirne l’alterabilità nel tempo. Dopo il prelievo della fonte, questa procedura comporta l’adeguata conservazione dei dati. La corretta conservazione si attua copiando i dati su un supporto di memoria di massa ad alta affidabilità, fault tolerant[15] e dalle caratteristiche di invarianza temporale ben studiate.La coerenza della fonte consiste nel dimostrare che le informazioni assunte durante le analisi di forensics evidenziano fatti logicamente correlati tra loro in una sequenza temporale che sia coerente con le altre informazioni processuali provenienti anche al di fuori dall’ambito digitale.Per disponibilità della documentazione si intende la procedura documentale certificata che dettaglia tutti i passi inerenti l’estrazione e l’individuazione delle fonti di prova, compresi i metodi e le procedure impiegate, i problemi incontrati, le soluzioni approntate ad hoc, le applicazioni impiegate con relativa versione e licenza, il personale che ha condotto l’analisi con le relative qualificazioni scientifiche, la catena di custodia dei reperti dalla scena del crimine fino al laboratorio, etc.Tutte le analisi di digital forensics si caratterizzano, nella pratica, per il compimento di quattro diverse tipologie di operazioni: l’identificazione e il prelievo dei reperti, la preservazione e l’archiviazione dei reperti, l’analisi dei reperti, la redazione della relazione tecnica contenente i risultati.Dopo aver identificato le procedure generali comuni a tutte le tipologie di analisi di digital forensics, è possibile passare ad esaminare, nello specifico, le procedure e le attività che sono oggetto esclusivo della computer forensics, ovvero tutti i rilevamenti di digital evidence operati sulle memorie dei personal computers.3.2 L’analisi forense condotta sul personal computer È necessaria a questo punto una panoramica tecnica sui personal computer per individuare quali componenti possano costituire oggetto di analisi forense. Preliminarmente occorre precisare che all’interno di un computer vi sono diversi dispositivi elettronici, meccanici o elettro-meccanici, e non tutti questi dispositivi possono immagazzinare dei dati. È possibile affermare con certezza che gli unici dispositivi in grado di registrare le informazioni sono le memorie. Le memorie si dividono in memorie primarie e memorie secondarie[16]. Le memorie primarie (chiamate anche memorie centrali o memorie principali) sono collegate alla scheda madre attraverso dei connettori chiamati socket e servono a contenere i programmi ed i dati nel momento in cui vengono elaborati. Per realizzare una memoria principale vengono normalmente utilizzate tecnologie a semiconduttore. Bisogna distinguere tra vari tipi di memorie primarie, a seconda della funzione svolta e delle loro caratteristiche peculiari. Di seguito vengono elencate quelle più importanti.RAM: acronimo per random access memory, ovvero “memoria ad accesso casuale”, è la memoria in cui vengono caricati i dati che devono essere utilizzati dal processore. La RAM è una memoria volatile e tutto il suo contenuto viene irrimediabilmente perduto all’atto dello spegnimento del computer. Inoltre, durante la normale attività, ha bisogno che il processore provveda a “rinfrescarne” periodicamente i dati (attività di refresh).Cache RAM: si tratta di una memoria integrata nel processore che ha la caratteristica di essere molto veloce; viene utilizzata esclusivamente per contenere i dati e le istruzioni utilizzati più di frequente. Non può essere direttamente utilizzata dall’utente e non necessita di attività di refresh. Come la memoria RAM, il suo contenuto viene azzerato all’atto dello spegnimento del computer.ROM: acronimo per read only memory, ovvero “memoria in sola lettura”, è una memoria permanente (cioè ha un contenuto fisso che non può essere cancellato) presente sulla scheda madre, che contiene le istruzioni che il processore deve caricare per consentire l'avvio del sistema e le routine di base che prendono il nome di BIOS (Basic Input-Output System); il suo contenuto non si cancella all’atto dello spegnimento del computer.Normalmente vi sono due caratteristiche tecniche da tenere in considerazione per tutti i tipi di memorie primarie: la capacità di lettura/scrittura;la volatilità;La capacità di lettura/scrittura è essenziale per una potenziale analisi forense. Le memorie della famiglia RAM possono essere lette e scritte e quindi possono contenere dei dati potenzialmente utili per un’analisi forense, mentre le memorie di tipo ROM sono passibili di sola lettura e pertanto non assumono, di norma, importanza forense.Con il termine “volatilità” si intende la incapacità della memoria di mantenere i dati scritti anche in assenza di alimentazione elettrica della macchina, ovvero a computer spento. Tutte le memorie RAM sono volatili e perdono il loro contenuto all’atto del turn off, al contrario le ROM lo mantengono inalterato.Per quanto esposto, relativamente alla volatilità e alla capacità di lettura/scrittura, risulta evidente che l’analisi forense delle memorie primarie riveste un ruolo di secondo piano e quasi marginale; in effetti le memorie ROM, non potendo essere scritte e utilizzate dall’utente; esse contengono dati di fabbrica normalmente registrati dai costruttori di hardware, mentre le RAM perdono il loro contenuto all’atto dello spegnimento del computer. L’unica procedura tecnica per effettuare la copia dei dati presenti, allo stato, sulla RAM è rappresentato dal dump. Il dump è un processo da eseguire in real-time su computer ancora accesi e consiste in un’applicazione che richiede al processore di effettuare in altra sede una copia fedele dei dati presenti in RAM, tipicamente in un file situato su memorie secondarie. Tale processo comporta comunque dei problemi di non secondaria importanza: il repertamento della RAM è considerato infatti accertamento irripetibile e inoltre la CPU può eseguire la richiesta di esecuzione del dump solo insistendo sulla stessa RAM da repertare che viene quindi ad essere inevitabilmente alterata dal caricamento di informazioni e dati che si aggiungono a quelli già presenti che dovrebbero costituire, solo essi, l’oggetto dell’analisi[17]. Le memorie secondarie (chiamate anche memorie di massa) rivestono una maggiore importanza nell’analisi forense. Senza tema di smentita è possibile affermare che costituiscono l’obiettivo primario dell’indagine per la ricerca di digital evidence. Come per le memorie primarie, anche le memorie di massa si distinguono in diverse tipologie: dischi magnetici, dischi ottici, nastri magnetici, flash memory e chiavi USB.I dischi magnetici, composti da uno o più dischi ricoperti di materiale ferromagnetico, vengono letti e scritti (cioè su questi dischi vengono salvati e recuperati i dati) mediante un braccio mobile dotato della testina di lettura/scrittura.I dati vengono trasferiti ai dischi magnetici tramite un buffer nella memoria centrale ed occupano successive posizioni lungo le tracce, sotto forma di differenti stati di magnetizzazione. I settori dei dischi vengono letti e scritti interamente, utilizzando il numero della superficie, della traccia e del settore. Di questa categoria fanno parte gli hard disk e i floppy disk. Esaminiamo più in dettaglio questi due tipi di dischi magnetici:- l’hard disk (anche chiamato disco rigido o disco fisso) è un dispositivo utilizzato per la memorizzazione a lungo termine dei dati in un computer. È costituito fondamentalmente da uno o più dischi in alluminio o vetro, rivestiti di materiale ferromagnetico in rapida rotazione, e da due testine per ogni disco (una per lato), le quali, durante il funzionamento si spostano alla distanza di poche decine di nanometri dalla superficie del disco leggendo e scrivendo i dati. I moderni hard disk hanno capacità e prestazioni enormemente superiori a quelle dei primi modelli; attualmente in commercio si trovano dischi rigidi con capacità comprese tra 250 gigabyte e 2 terabyte ed oltre. - il floppy disk è un supporto di memorizzazione che contiene, all'interno di un contenitore quadrato o rettangolare di plastica, un disco sottile e flessibile su cui vengono memorizzati magneticamente i dati. I floppy disk sono letti e scritti dal computer attraverso un floppy disk drive, contengono una quantità di informazioni assai inferiore agli hard disk e tendono attualmente a scomparire per esser sostituiti dalle chiavi USB.I dischi ottici sono composti da materiale riflettente ricoperto da una sostanza protettiva, dove l'informazione viene registrata realizzando modificazioni della superficie riflettente e viene letta mediante un raggio laser che riscontra le irregolarità della stessa superficie. I dischi ottici sono senza dubbio i supporti di memoria secondaria più diffusi: ne esistono di vari tipi, alcuni riscrivibili (cioè una volta scritti possono essere riscritti nuovamente) e altri non riscrivibili (una volta immagazzinati dei dati sul disco questo non è più riscrivibile con altri dati). Fanno parte di questa categoria i CDROM[18] e i DVD[19]. Questi supporti vengono letti e scritti dal computer attraverso degli appositi lettori-masterizzatori. I nastri magnetici sono dei supporti di materiale plastico che racchiudono una pellicola magnetizzata su cui è possibile memorizzare informazioni. Sono letti e scritti da apposite unità hardware chiamate DAT e possono contenere una quantità variabile di dati che può arrivare a 120 gigabyte ed oltre.Le flash memory (conosciute anche come memory card o schede di memoria) sono dei dispositivi elettronici portatili di ridotte dimensioni in grado di immagazzinare dati in forma digitale e di mantenerli in memoria anche in assenza di alimentazione elettrica. Ne esistono vari tipi: alcuni sono proprietari, ovvero funzionano solo sui dispositivi elettronici per i quali sono stati progettati, mentre altri sono compatibili con una grande varietà di dispositivi elettronici, rendendo così possibile lo scambio di dati tra di essi. Possono immagazzinare quantità variabili di dati, dai 4 megabyte fino a 80 gigabyte ed oltre[20].La chiave USB (detta anche pendrive o penna USB) è una memoria di massa costituita da una custodia in materiale plastico contenente al suo interno una flash memory il dispositivo si collega al computer attraverso l’interfaccia universale USB e attualmente sono in commercio chiavi USB che possono contenere dai 256 megabyte ai 64 gigabyte.3.3 Lo svolgimento dell’analisi e gli applicativi più utilizzati Dopo aver esaminato quali memorie possono costituire oggetto di analisi forense, è possibile descrivere come viene condotta l’analisi in concreto. Successivamente all’acquisizione dei reperti da analizzare, attuata con le procedure ordinarie di P.G. o in altro modo, riveste particolare importanza la preservazione degli stessi da danneggiamenti fisici ed elettromagnetici a cui possono andare incontro.La catena di custodia (insieme di verbali di sequestro, trasporto, consegna e deposito) deve essere perfettamente specificata stabilendo non solo presso quali sedi il reperto sosta, ma anche come viene trasportato. L'archivio dei reperti presso il quale deve sostare il materiale deve essere costituito da un ambiente chiuso, protetto fisicamente dagli accessi abusivi e fornito di apparati e/o procedure in grado di tracciare gli accessi autorizzati. Tale archivio deve essere climatizzato, privo di luce naturale, meglio se schermato e con un solo accesso[21]. In ogni caso deve essere garantita l’immodificabilità dei dati che dovranno essere analizzati. Le procedure di preservazione dei dati precedono l’analisi vera e propria e assicurano l'eventuale ripetibilità delle attività di indagine condotta.Posta la sicurezza dei supporti e dei dati da analizzare, è essenziale ottenere una copia fedele dei dati che dovranno costituire oggetto delle analisi; allo stato esistono tre diverse tipologie di copia utilizzabili, ciascuna con caratteristiche ben individuate:1. Copia di basso livello (fisico) o bitstream-copy dell'unità fisica, in cui il contenuto dell’unità fisica viene letto sequenzialmente caricando la minima quantità di memoria di volta in volta indirizzabile (ad es. negli hard disk il settore fisico, nelle ROM il byte, etc.) per poi registrarla nella stessa sequenza su di un comune file binario (che viene detto immagine fisica dell’unità).2. Copia di basso livello della partizione logica o cluster-copy, in cui il contenuto di una partizione logica (strutturatasi a seguito di una formattazione correlata ad un preciso file system) viene letto sequenzialmente caricando la minima quantità di memoria che il file system consente di indirizzare di volta in volta (ad es. il cluster in FAT32 o NTFS o il blocco in UFS-like) per poi registrarla nella stessa sequenza su di un comune file binario (che viene detto immagine di basso livello della partizione).3. Copia di alto livello o file system backup, in cui parte o tutto il contenuto di alto livello di una partizione logica (strutturatasi a seguito di una formattazione correlata ad un preciso file system), contenente file e directory evidenti (non cancellati), viene sottoposto a backup su di un file (file di backup) di particolare formato (dipendente dal tool impiegato).Il tipo di copia da impiegare per acquisire una memoria di massa dipende soprattutto dall’obiettivo della successiva analisi; in linea generale, le copie di livello fisico comprendono la maggioranza dei dati, ma il file immagine che viene generato è anche più oneroso da trattare, sia in termini di interpretazione che di ricerche. La copia di alto livello è veloce e più semplice da ottenere, ma perde tutto ciò che è stato prima cancellato in maniera definitiva. Le uniche copie che consentono il successivo recupero dei dati cancellati, sebbene con alcune differenze, sono le copie di basso livello: bitstream-copy e cluster-copy.È essenziale che la procedura di copia si svolga con le dovute garanzie per i soggetti del procedimento; tali garanzie includono l’applicazione di speciali dispositivi per il controllo di eventuali errori che possono generarsi durante la copia[22]. Ultimate le procedure di preservazione e copia dei dati è possibile passare all’analisi forense vera e propria[23] che viene compiuta, quindi, su file immagine di memorie di massa[24], ottenuti con uno o più dei metodi di copia sopra descritti. Fine ultimo dell’analisi è quello di dimostrare dei fatti riconducibili essenzialmente a due tipologie:fatti di natura tecnica (es. tentativo di intrusione nel sistema ad una certa ora proveniente da un certo indirizzo IP);fatti di natura giuridica (es. detenzione di immagini pedopornografiche, utilizzo di software pirata, modifica o contraffazione di dati o contenuti di documenti digitali, violazione della legge sulla protezione dei dati personali e altri atti che configurano una violazione della legge penale e/o un illecito di altra natura).Allo stato non vi sono protocolli specifici sulle modalità e sulle strategie relative alla conduzione di una analisi forense di dati, né teorie scientifiche universalmente accettate; pertanto, la procedura è lasciata al singolo investigatore/consulente o gruppo di lavoro.Nella pratica, l’analisi forense dei dati consiste in:Text searching (ricerche di testi e stringhe);Image searching (ricerca di immagini);Data recovery and identification (recupero di dati cancellati, apertura di documenti protetti, riconoscimento di file camuffati, etc.);Metadata recovery e Identification (es. date e orari, attributi di files, etc.);Altre attività;Vediamo in dettaglio queste cinque attività:1) Text searching (ricerche di testi e stringhe): è stata la prima tipologia di ricerca ad essere utilizzata e consiste nel condurre ricerche di tipo testuale all’interno dei dati, nomi di documenti, di file, di directory, estendendosi a tutte le strutture del file system. La visualizzazione dei file evidenti per i quali sia nota l'applicazione di creazione viene eseguita con l’applicazione medesima. L’analisi del contenuto di file con applicazione di creazione (creator) ignota viene effettuata con l’impiego di visualizzatori forensi in grado di interpretare numerosi formati, anche atipici, nonché di recuperare testo da qualsiasi formato. 2) Image searching (ricerca di immagini): la ricerca delle immagini digitali su file di vario formato (BMP, JPG, TIF, camuffati, etc), inclusi i fotogrammi di file video, riveste importanza per diverse ragioni sia legali che tecniche. Così è per:· indagini su truffe documentali;· riconoscimento di volti e quindi di persone;· dimostrazione dell'avvenimento di fatti e della presenza di soggetti interessati;· pedopornografia, violenze, soprusi, etc.;· steganografia[25] veicolata su immagini digitali, etc.La ricerca e la visualizzazione di file immagine non risulta semplice per la mole dei dati da esaminare, allo stato attuale esistono degli applicativi che possono attuare un sistema di filtraggio piuttosto grezzo con risultati non particolarmente apprezzabili. 3) Data recovery and identification (recupero di dati cancellati, apertura di documenti protetti, riconoscimento di file camuffati, etc.): questa parte dell’analisi riveste una particolare rilevanza per la quantità di informazioni che può fornire all’operatore ed è costituita da tre sub tipi di analisi:a) Data recovery: procedimento per recuperare dati presenti, cancellati o danneggiati da memorie di massa anche nel caso di danneggiamenti fisici o elettronici e/o di problemi di accessibilità;b) Data discovery: procedimento per scoprire dati nascosti da una memoria protetta o uno o più file protetti; comprende l’attività di cracking, di decryption e di contrasto al file misnaming;[26] c) Data carving: procedimento per l’identificazione di chunks all’interno di spazio allocato o non allocato di un file system, per la successiva associazione dei chunks a dati e la conseguente parziale o totale ricostruzione dei file contenenti i chunks. Questo tipo di analisi è condotta a un livello inferiore a quello dei file puntando all’analisi dei cluster[27], che possono essere suddivisi in quattro diverse tipologie a seconda del contenuto e della referenziazione mediante puntatori; sui cluster orfani - ovvero i cui settori fisici sono stati scritti almeno una volta e che non sono attualmente referenziati e facenti parte dell'area non allocata della partizione - si svolge l’attività di data carving. Pertanto, la funzione del data carving non è il recupero di file, bensì il recupero di porzioni di file (chunk) e il successivo processo di identificazione dei chunk rispetto ad una tipologia di file conosciuta e quindi il tentativo di ricostruire il file originale almeno in parte[28].4) Metadata recovery and identification (es. date e orari, attributi di files, etc.). I metadati sono dei dati che rivestono particolare importanza e comprendono informazioni di sistema o applicazioni a corredo della struttura di file system, file, cartelle, partizioni, etc. Si tratta di dati non prodotti direttamente dall’utente del sistema quanto dal sistema stesso[29]. Di particolare importanza per l’analisi forense sono i file log e, specificatamente, File System Journaling (FSJ). Si tratta di particolari file che registrano le attività del sistema operativo e della partizione. Attraverso l’esame di questo tipo di file è possibile, ad esempio, stabilire la data e la durata dell’ultima sessione di lavoro del computer.L’ultima attività dell’analisi forense dei dati consiste nella produzione della relazione conclusiva (report). L’aspetto redazionale del report non deve essere sottovalutato, rappresentando l’unico documento di interfaccia tra il mondo tecnico/informatico e quello giudirico/legale che dovrà prendere delle decisioni successivamente. Il report deve soddisfare due esigenze: lasciare traccia documentale del repertamento, della conservazione e, in generale, di tutte le attività compiute dal tecnico e presentare le fonti di prova riscontrate durante l’analisi a soggetti non in possesso di competenze tecniche. Queste due esigenze portano inevitabilmente ad una duplice struttura del report: una specificamente tecnica e l'altra semplificata ed orientata al campo giuridico/legale. La relazione deve anche specificare puntualmente la tipologia di procedura impiegata, il livello del personale che ha operato e le applicazioni impiegate nell’analisi. I software attualmente disponibili per svolgere attività di analisi forense sono classificati in due tipologie principali: quelli in dotazione esclusiva alle forze di polizia, militari e servizi segreti e quelli di libero utilizzo anche da parte di privati. I tool utilizzabili dai privati possono ulteriormente dividersi in commerciali e open source.I software commerciali sono forniti di particolari accorgimenti antipirateria, offrono un supporto tecnico esteso e hanno un costo non indifferente, mentre i tool open source sono disponibili gratuitamente, sono modificabili, analizzabili e disassemblabili e offrono un supporto tecnico minimo.Negli ultimi cinque anni la disponibilità e la varietà di software specifici (non riservati) sono aumentate notevolmente: allo stato attuale vi sono circa quindici diverse software house (e gruppi open source) che producono tool forensi. Per la conduzione di una buona e approfondita analisi forense risulta particolarmente opportuno l’uso di diversi tool di indagine, in quanto possono dare risultati diversi e scoprire evidences diverse (anche complementari) nelle indagini dello stesso caso[30].4. Aspetti legali della computer forensics Nonostante l’indubbia complessità dell’analisi dal punto di vista tecnico, in campo legale la disciplina della computer forensics non è altro che un sistema di creazione di mezzi di prova giudiziale che, dopo la discussione in contraddittorio, in giudizio potranno assurgere al rango di prove vere e proprie e quindi essere impiegate come base per le decisioni successive.La computer forensics è, per tale motivo, equiparata pienamente a tutte le altre attività tecnico-scientifiche (perizie mediche e medico-legali, biologiche, chimiche, balistiche, etc.) che possono contribuire a far luce su vicende riguardanti essenzialmente la violazione delle norme penali, ma anche, civili, amministrative e regolamentari. Nel processo penale italiano, ispirato ai criteri di carattere accusatorio, la formazione della prova avviene in contraddittorio tra le parti, non più un contraddittorio “sulla prova” a priori formata[31], ma un contraddittorio “per la prova”.Si recupera in questo modo l’autentica fisionomia del contraddittorio, in quanto la prova si forma progressivamente, in dibattimento, attraverso i contrapposti interventi delle parti, con il giudice in condizione di virgin mind[32] che forma il proprio convincimento attraverso l’immediato rapporto con la freschezza probatoria. È questo il principio, ben conosciuto dalla dottrina, dell’immediatezza, ovvero la possibilità per il giudice di cogliere intuitivamente e senza mediazioni tutta una serie di informazioni sul procedimento di formazione della prova.L’articolo 190 del codice di procedura penale dispone che “Le prove sono ammesse a richiesta di parte. Il giudice provvede senza ritardo con ordinanza escludendo le prove vietate dalle legge e quelle che manifestamente sono superflue.”Il giudice decide l’assunzione della prova in base a quattro criteri: la prova deve essere pertinente, deve cioè tendere a dimostrare l’esistenza di un fatto storico enunciato nell’imputazione; non deve essere vietata dalla legge; non deve essere superflua, cioè non deve tendere ad ottenere un risultato conoscitivo già acquisito e infine deve essere rilevante, ovvero che la sua ammissione determini un reale contributo all’accertamento del fatto da provare[33].È rilevante inoltre quanto disposto dall’articolo 189 c.p.p., in materia di prova atipica: la norma in oggetto prevede che, nel caso in cui venga richiesta al giudice l’ammissione di una prova non disciplinata dalla legge, il giudice può assumerla se essa risulta idonea ad assicurare l’accertamento dei fatti e non pregiudica la libertà morale della persona; prima di provvedere all’assunzione, il giudice deve sentire le parti.Per la sola prova documentale è prevista una disciplina diversa, potendo il giudice acquisire “de plano” i documenti spostando in un secondo momento l’eventuale ordinanza di ammissione o inutilizzabilità promossa con eccezione delle parti interessate. L’ordinanza, in questo caso, interviene in un momento processuale sicuramente successivo al deposito, ma comunque precedente all’utilizzazione della prova; se la prova documentale è ammessa, transita nel fascicolo del dibattimento.Dal combinato disposto degli artt. 492 e 493 del c.p.p. si evince che, dopo la dichiarazione di apertura del dibattimento[34] compiuta dal presidente, tutte le parti interessate possono chiedere l’ammissione delle prove riguardanti i fatti che intendono provare.Nel caso di analisi forensi, sia condotte dalla PG che da consulenti privati[35], il mezzo di prova è rappresentato dalla relazione conclusiva (report) prodotta alla fine dell’analisi, come descritto nel paragrafo precedente, ma anche dall’esame orale del personale che ha condotto il repertamento, in funzione di investigatore di PG, CTU o CTP[36].Secondo l’ordinamento italiano, i tecnici nominati da una delle parti rivestono il ruolo processuale di CTP (consulenti tecnici di parte) ausiliari della difesa o di CTU (consulenti tecnici d’ufficio) ausiliari del giudice o del PM; le nomine e il conferimento degli incarichi dei consulenti sono fatte ai sensi degli artt. 220-226 c.p.p. e artt. 38 e 73 delle norme di attuazione c.p.p. In particolare, nel caso di CTU, la perizia è ammessa quando occorre svolgere indagini o acquisire dati o valutazioni che richiedono specifiche competenze tecniche, scientifiche o artistiche. L’incarico è conferito ai sensi del 226 c.p.p. e il giudice formula i quesiti al CTU dopo aver sentito il perito, i consulenti tecnici, il PM e i difensori.Il perito, ricevuto l’incarico, procede alle operazioni necessarie ai sensi degli artt. 228-230 c.p.p. e indica il giorno, l’ora e il luogo in cui inizierà le operazioni peritali; di tale comunicazione si dà atto nel verbale e si dà comunicazione alle parti presenti in udienza.Particolare importanza rivestono le disposizioni ex art. 230 commi 1 e 2 c.p.p.; al primo comma si precisa che i periti di parte possono assistere al conferimento dell’incarico e presentare richieste, osservazioni e riserve in merito, di cui è fatta menzione nel verbale d’udienza. Al secondo comma l’articolo dispone che i periti di parte possono partecipare alle operazioni peritali del CTU, proponendo specifiche indagini e formulando osservazioni e riserve che devono essere incluse nella relazione.A norma dell’art. 495 c.p.p., il presidente decide con ordinanza l’ammissione o l’inammissibilità delle prove richieste, in ogni caso il giudice, prima della decisione, deve sentire le parti che possono esaminare i documenti di cui è richiesta l’ammissione. Il giudice, nel corso dell’istruzione dibattimentale, decide con ordinanza sulle eccezioni proposte dalle parti in ordine all’ammissibilità delle prove.Sempre durante l’istruzione dibattimentale il giudice, sentite le parti, può revocare con ordinanza l’ammissione di prove che risultano superflue o ammettere prove già escluse[37]. Quanto all’esame orale del perito che ha condotto l’analisi, l’art 501 c.p.p. dispone che per l’esame dei periti e dei tecnici si osservano le disposizioni sull’esame dei testimoni[38], in quanto applicabili, con in più la possibilità per i periti di consultare note, appunti, pubblicazioni che possono essere acquisite anche d’ufficio[39].Altra disposizione di rilievo è contenuta nell’art. 511 comma 3 c.p.p. che recita “la lettura della relazione peritale è disposta solo dopo l’esame del perito”; la lettera del comma appare chiara disponendo che la relazione può diventare prova solo dopo l’esame orale del perito e, per converso, che solo nel caso di richiesta accolta di omettere l’esame orale del perito la relazione potrà essere automaticamente letta ed eventualmente acquisita al fascicolo del dibattimento.Dato il sistema accusatorio del nostro processo penale, si corre frequentemente un pericolo non indifferente, ovvero il rischio, tutt’altro che scolastico, che anche presentando in dibattimento qualcosa di tecnicamente inadeguato, che però nessuno mette in discussione, si ottengano buone fonti di prova che andranno a costituire la base della successiva decisone[40].4.1 Un caso giudiziario emblematico Di interesse, ai fini del presente lavoro, risulta un breve esame della sentenza del tribunale penale monocratico di Bologna, I sezione, n. 1823/2005, depositata in cancelleria il 22 dicembre 2005. Si tratta del cosiddetto caso Vierika. Il capo di imputazione contestato all’imputato consisteva nell’aver creato un virus denominato Vierika, successivamente trasmesso in via informatica ai provider Tiscali e Infostrada e, per tramite di questi, a circa 900 ignari utenti. Attraverso il virus, l’indagato aveva acquisito dati anche riservati contenuti sui computer degli utenti causando alcuni danni al sistema operativo e ai software applicativi installati sui computer infettati. Tutti i fatti sono avvenuti sul territorio del comune di Bologna nel corso dell’anno 2001. Alla prima udienza di comparizione l’imputato veniva dichiarato contumace.Per tutto lo svolgimento del processo il tribunale si è avvalso della collaborazione di PG fornita dalla Guardia di Finanza; durante la perquisizione presso l’abitazione dell’imputato, di professione consulente informatico, lo stesso ammetteva la paternità del virus, indicava i files relativi al programma Vierika contenuti sul proprio disco rigido e forniva alcune copie del codice maligno alla PG. La Guardia di Finanza procedeva al sequestro delle copie lasciando nella disponibilità dell’imputato il computer.L’esame del codice, compiuto dal team specialistico della GdF, metteva in luce che Vierika è un virus programmato in Visual Basic che ha l’obiettivo di infettare computer con sistema operativo Windows 95 e 98 e, nello specifico, infettare e modificare i programmi Outlook e Internet Explorer, entrambi di Microsoft.Il virus danneggiava i programmi indicati e, attraverso un meccanismo di autoreplicazione, si inviava nuovamente a tutti gli indirizzi email presenti sulla rubrica del computer locale; tutto avveniva senza alcuna conoscenza da parte dell’utente. Il virus si inviava sotto forma di ingannevole allegato grafico.L’imputato, peraltro reo confesso, veniva condannato a mesi sei di reclusione, con pena sostitutiva della sanzione pecuniaria consistente nella multa di euro 6.840.Il caso giudiziario esaminato assume particolare rilievo in merito agli orientamenti espressi dal giudice con particolare riferimento al ruolo e al valore degli accertamenti tecnici eseguiti dalla polizia giudiziaria, in materia di computer forensics, senza il contraddittorio con la difesa.Dopo aver acquisito agli atti, con il consenso delle parti, copia delle regole e procedute forensi dello IACIS[41], il giudice disattese le argomentazioni difensive, dichiarando che l’onere di dimostrare che il metodo utilizzato dalla PG abbia prodotto alterazioni dei dati ricercati (e quindi errori nell’analisi con conseguenti risultati fuorvianti) ricadesse concretamente sulla difesa, anche nel caso in specie in cui l’analisi del reperto era stata effettuata al di fuori del contraddittorio. Argomenta infatti il giudice che la difesa avrebbe dovuto dimostrare “che nel caso concreto si è prodotta una qualche forma di alterazione o che avrebbe potuto prodursene alcuna, indicandone la possibile fonte, forma e fase di azione”. Afferma inoltre: “Gli accertamenti compiuti dalla PG in ordine alle tracce telematiche possono ritenersi pienamente attendibili alla luce del contesto probatorio complessivo” confermando, indirettamente, che il metodo utilizzato non ne ha alterato gli esiti e infine che “non può, inoltre, non evidenziarsi che la difesa si è limitata a porre suggestivamente la questione in ordine alla metodologia di sequestro del programma: non ha, invece, allegato la sua avvenuta alterazione in concreto, nonostante la disponibilità della versione da cui fu copiato il programma successivamente analizzato dalla PG, rimasta nel possesso dell’imputato, le avrebbe permesso l’accertamento e l’allegazione di eventuali anomalie. Non solo il disco rigido dell’indagato non fu sottoposto a sequestro, ma non risulta che vennero nemmeno rimossi i files trovati nel computer: venne, infatti, sottoposta a sequestro una loro copia masterizzata su cd, lasciando gli originali nella disponibilità dell’imputato.”In altre parole, in assenza dell’allegazione di fatti che suggeriscano che possa essersi astrattamente verificata una qualsiasi forma di alterazione dei dati, senza che venga indicata la fase della procedura durante la quale si ritiene essere avvenuta la possibile alterazione, non è permesso al tribunale escludere a priori i risultati di una tecnica informatica utilizzata a fini forensi solo perché alcune fonti ritengono che vi sia stata un’alterazione o che esistano metodi scientificamente più corretti per la conduzione dell’analisi[42]. Conclude il giudice: “In termini generali, quando anche il metodo utilizzato dalla PG non dovesse ritenersi conforme alla migliore pratica scientifica, in difetto di prova di una alterazione concreta, conduce a risultati che sono, per il principio di cui all’art. 192 c.p.p. liberamente valutabili dal giudice alla luce del contesto probatorio complessivo.”4.2 La computer forensics in ambito civile ed amministrativo Sebbene il maggior utilizzo giudiziario della computer forensics sia inevitabilmente nell’ambito del procedimento penale, al fine di documentare fatti costituenti reato (es. distribuzione di materiale pedopornografico), rimane nondimeno la possibilità di utilizzare tale tipo di consulenza tecnica anche all’interno dei processi civili ed amministrativi, qualora si renda necessaria al fine della responsabile decisione della controversia. Si pensi alla situazione tipica di atti o documenti, che rivestono importanza ai fini processuali, che vengono eliminati dalla memoria dell’elaboratore prima dell’inizio del processo o durante il suo svolgimento.Risulta manifesto l’interesse recente del legislatore per i temi dell’Information Technology e dei problemi relativi alla certezza delle transazioni compiute attraverso strumenti informatici in sede civile e amministrativa.Il presente paragrafo tratta brevemente la disciplina delle consulenze peritali in tali procedimenti.Nel giudizio civile la consulenza tecnica è ammessa e regolata dagli articoli di cui al libro primo, titolo 1, capo III (61-63) del codice di procedura civile rubricato “Del consulente tecnico, del custode, e degli altri ausiliari del giudice”. Dal punto di vista sostanziale, la funzione risulta la medesima rispetto al procedimento penale, ovvero fornire al giudice quel supporto di competenze tecniche che egli non possiede e che risulta importante (quando non indispensabile) per la decisione. Nel processo civile, similmente a quello penale, la consulenza peritale può essere disposta d’ufficio o rappresentare una attività ausiliaria della difesa tecnica delle parti private. Nella quasi totalità dei casi la consulenza tecnica è disposta dal giudice istruttore, che ne utilizza le risultanze nell’ambito dell’espletamento del suo compito di rendere la causa matura per la decisione. Tuttavia permane sempre la possibilità, anche per l’organo giudicante, di decidere con apposita ordinanza la riapertura della fase istruttoria, incaricando il giudice istruttore di disporre la consulenza tecnica[43].La nomina del consulente tecnico è disposta con ordinanza dal giudice istruttore ex 191 c.p.c.; con la stessa ordinanza egli fissa l’udienza in cui deve comparire il consulente. Dopo il giuramento del consulente in udienza, ex art. 193 c.p.c., il giudice istruttore formula i quesiti tecnici a cui il consulente dovrà dare risposta.Ai sensi dell’art 194 c.p.c., “Il consulente tecnico assiste alle udienze alle quali è invitato dal giudice istruttore e compie tutte le indagini ex art. 62 c.p.c.”, con o senza la presenza del giudice istruttore, a seconda delle disposizioni dello stesso giudice. Come già messo in luce nel processo penale, tutte le attività del consulente devono svolgersi in contraddittorio, pertanto alle indagini possono assistere tutte le parti con i loro CTP; le parti possono formulare osservazioni e istanze al CTU sia per iscritto che oralmente[44]. L’analisi forense viene quindi normalmente condotta in presenza dei CTP nominati dalle parti, le evidences riscontrate sulle memorie analizzate costituiranno oggetto del report finale del consulente. Riveste grande importanza la “ripetibilità degli accertamenti” qualora si renda necessario un controesame sulle memorie repertate.Tutte le attività di indagine sono descritte nella relazione peritale, che deve contenere anche le osservazioni e le istanze delle parti private; tale relazione è depositata in cancelleria[45] e viene acquisita al fascicolo del procedimento. Per chiudere la trattazione del processo civile occorre qui rappresentare che, in tale procedimento, riveste capitale importanza, in materia probatoria, la norma contenuta al comma 1 dell’articolo 116 secondo cui “Il giudice deve valutare le prove secondo il suo prudente apprezzamento, salvo che la legge disponga altrimenti”. Posto tale principio non è superfluo indicare come la computer forensics, rivesta, tra le materie di accertamento forense una particolare importanza destinata ad aumentare nel prossimo futuro.Negli ultimi anni, moltissimi settori della produzione e del commercio hanno radicalmente trasformato i loro apparati integrando i sistemi informatici come mezzi ordinari di lavoro. Tale incremento di apparati digitali ha portato inevitabilmente ad un aumento degli illeciti specifici accertabili unicamente con sistemi e metodi di analisi forense. In pochi anni si è assistito ad una crescita esponenziale di casi giudiziari in cui la perizia di un computer forenser ha rappresentato la chiave di volta del quadro probatorio; nessun’altra scienza forense ha mai conosciuto un tale sviluppo in un arco temporale così breve. Le medesime considerazioni possono essere svolte nei confronti del processo amministrativo, documenti importanti, ai fini della risoluzione del giudizio, potrebbero essere stati cancellati da elaboratori della PA; parimenti utile potrebbe essere disporre una perizia di computer forensics per individuare il funzionario che ha effettuato una certa operazione al terminale e il giorno e l’ora della stessa operazione.Il processo amministrativo evidenzia alcune particolarità specifiche: data la mancanza di un codice organico di procedura amministrativa, le disposizioni che governano il processo si ritrovano nelle norme di procedura di fronte il Consiglio di Stato[46] e nelle norme del c.p.c. in quanto applicabili, integrate da specifica disciplina[47]. Il processo amministrativo si configura essenzialmente come un procedimento documentale con una parte necessaria rappresentata da una pubblica amministrazione, normalmente in funzione di parte resistente. La disciplina processuale non prevede la presenza di un giudice istruttore e nemmeno una divisione tra fase istruttoria e di cognizione, ne deriva, pertanto, che la consulenza tecnica d’ufficio è sempre disposta dall’organo decidente; tutte le parti private hanno facoltà di nominare CTP che possano assisterle come già visto nei procedimenti penale e civile. Anche nel procedimento amministrativo opera il principio del libero convincimento del giudice ex art. 116 c.p.c.Per quanto attiene ai mezzi di prova, bisogna preliminarmente distinguere il tipo di giudizio in cui si procede; è infatti previsto che l’autorità giudiziaria amministrativa possa conoscere diversi tipi di giudizio: giudizio di legittimità, giurisdizione esclusiva e altri riti speciali[48].Nel giudizio di legittimità, l’istituto della verificazione giudiziale rappresenta il mezzo di prova che sostituisce la consulenza peritale, tuttavia le analogie tra i due istituti sono forti ed evidenti. A ben vedere, l’unica differenza che rileva è che la verificazione deve essere affidata necessariamente ad un funzionario che può essere dipendente della stessa amministrazione parte in causa, ovvero di altra amministrazione[49].Nel giudizio di merito (giurisdizione esclusiva), il giudice amministrativo può disporre di tutti i mezzi di prova previsti dal c.p.c. compresa la consulenza tecnica d’ufficio[50], esclusi solo l’interrogatorio formale e il giuramento[51].In mancanza di norme specifiche riguardanti il conferimento dell’incarico e la formulazione dei quesiti al consulente, trovano applicazione le norme del c.p.c.. Per completezza inerente le procedure processuali, si rappresenta che l’istituto della consulenza tecnica è conosciuto anche nei giudizi di fronte la Corte dei Conti. Sebbene con alcune inevitabili differenze di rito, la consulenza peritale è ammessa in tutti i giudizi che si celebrano di fronte la Corte: giudizio di conto[52], giudizio di responsabilità e giudizio pensionistico.4.3 La corporate forensics Un ultimo argomento a cui occorre brevemente accennare è rappresentato dalla cosiddetta computer forensics aziendale (detta anche corporate forensics). Si tratta di utilizzare tutte le attività di analisi forense già descritte in ambito aziendale, allo scopo di evidenziare violazioni regolamentari ed eventualmente avviare procedimenti disciplinari a carico dei dipendenti. L’oggetto di indagine rimane, allora, interno al complesso aziendale e mira a dimostrare non violazioni di leggi penali/civili/amministrative, bensì violazioni di regolamenti e protocolli aziendali. In tale situazione, il comportamento del tecnico che indaga deve essere improntato alla massima prudenza. Tipica situazione aziendale è rappresentata dalle ispezioni da remoto dei computer degli impiegati da parte del responsabile della sicurezza per la ricerca di tracce di virus o altro e tali situazioni sono piuttosto frequenti, ma non è detto che siano lecite[53]. Normalmente le grandi imprese sviluppano e adottano un regolamento aziendale sulla sicurezza informatica che prevede, tra l’altro, la possibile ingerenza dei tecnici della sicurezza sui computer degli impiegati per controllarne i dati ed anche il protocollo di primo intervento, nel caso di incidenti di natura informatica. Le imprese che adottano il regolamento ne impongono l’approvazione e la sottoscrizione a tutti i nuovi assunti destinati ad operare sui computer connessi alla rete aziendale.5. Conclusione L’elaborato cerca di inquadrare, le principali tematiche relative alla computer forensics. Questa nuova disciplina presenta dei connotati specifici, dato che presuppone conoscenze appropriate sia in campo tecnico che giuridico. Tale difficoltà di preciso collocamento scientifico non è indice di mero esercizio terminologico, ma riflette la differenza di mentalità e di impostazione organizzativa esistente tra ambito forense e scientifico-informatico e, di conseguenza, tra gli attori dei due ambiti. L’importanza della computer forensics quale nuovo metodo d’indagine e di produzione di evidences digitali è destinata a crescere velocemente nel tempo; già nel volgere dell’ultimo decennio i reati informatici (e i casi di procedimenti civili per cui è necessaria una attività di analisi forense) sono aumentati in modo esponenziale, basti pensare all’aberrante fenomeno della pedopornografia online per rendersi facilmente conto del problema.Più si alza il grado di tecnologia impiegata e più dovrà essere sottile la tecnica di indagine utilizzata; così come la società civile si evolve verso una società digitale, allo stesso modo le metodologie di indagine e repertamento di evidenze digitali si adattano alla ricerca e alla scoperta di elementi utili (quando non indispensabili) per la risoluzione di un procedimento giudiziario. Sarebbe auspicabile, nel prossimo futuro, la formazione di operatori specializzati forniti di capacità e competenze nei settori giuridico e informatico al fine di migliorare la qualità e la sicurezza delle analisi forensi e fornire, di conseguenza, un servizio sempre migliore ai giudici nel difficile compito di scoprire la verità e amministrare la giustizia.Bibliografia 1. Opere librarie e manuali Brookshear J., Informatica - Una panoramica generale, Milano, Pearson Education, 2004. Cassano G. - Giurdanella C., Il Codice della Pubblica Amministrazione Digitale - Commentario al D. Lgs. N. 82 del 7 marzo 2005, Milano, Giuffrè, 2005. Devaux C., ECDL Guida alla patente europea del computer, Milano, Apogeo, 2003. Ghirardini A. - Faggioli G., Computer Forensics, Milano, Apogeo, 2007. Mandrioli C., Diritto Processuale Civile, XIV ed., vol. II, Torino, Giappichelli, 2002. Palazzolo N. (Dir), Manuale di Informatica Giuridica, Catania, C.U.C.E.M., 2008. Siracusano D. - Galati A. - Tranchina G. - Zappalà E., Diritto Processuale Penale, II ed., Milano, Giuffrè, 1996. Virga P., Diritto amministrativo, VI ed., vol. 2, Milano, Giuffrè, 2001. 2. Articoli, interventi e riviste Berghella F., Sicurezza dei dati e dei sistemi, Roma, Università “La Sapienza”, 2007. Galdieri P., Il diritto penale dell’informatica – schede riassuntive, Roma, Università “La Sapienza”, 2008. Limone D. A., Codice dell’Amministrazione Digitale: pro e contro, in E-GOV, Rimini, Maggioli, n. 6, giugno 2005. Limone D. A., Il Codice: modifiche recenti, in E-GOV, Rimini, Maggioli, n. 7-8, luglio-agosto 2006. 3. Articoli, interventi e riviste consultati sul web Adduci M., Appunti di computer forensics, in «http://www.cybercrimes.it/ articoli/i_appunti.php». Adduci M., Cybercrime: riflessioni sulla produzione normativa in Italia, in «http://www.cybercrimes.it/articoli/ci_prodnorm.php». Atzori M., L’acquisizione della prova digitale, in «http://www.informaticagiudiziaria.it/menu/procedure.html». Ceroni C., Gli standard qualitativi nella Computer Forensics, in «http://www.cybercrimes.it/articoli/i_standard.php». Cuniberti M. - Gallus G. B. - Micozzi F. P. - Aterno S., La legge di ratifica della Convenzione di Budapest del 23 novembre 2001, 2008, in «http://www.altalex.com». Jones S., Computer Forensics, in «http://www.middlesexcc.edu/ faculty/steven_zale/Computer_Forensics.ppt». Kruse W. G. - Heiser J. G., What Exactly is Computer Forensics?, in «http://www.developer.com/java/other/article.php/3308361». Mattiucci M., Computer Forensics Technical Level 1, 2008, in «https://www.marcomattiucci.it». Mattiucci M., Digital Forensics Technical Level 1, 2008, in «https://www.marcomattiucci.it». The history of computer forensics, in «http://www.pc-history.org/forensics.htm». [1] Di tale espressione non esiste una esatta traduzione in lingua italiana; le definizioni più utilizzate sono “informatica forense” e “informatica legale”.[2] Specialmente contenuti su hard disk ma su anche floppy disk, su CD e DVD, su pendrive, su nastri magnetici e su altre memorie di massa.[3] M. Adduci, Appunti di computer forensics, in «http://www.cybercrimes.it/articoli/i_appunti.php».[4] La computer forensics ha una storia recente: nel 1984 viene elaborato, all’interno della Federal Bureau of Investigation (FBI), il Magnetic Media Program, divenuto qualche anno dopo Computer Analysis and Response Team (CART) configurato come gruppo di specialisti nell’indagine delle informazioni contenute negli elaboratori. Nel 1995 si costituisce l’Organizzazione Internazione sulle Evidenze Informatiche (International Organization on Computer Evidence, IOCE). Nel 1997 il comunicato del G8 di Mosca dichiara formalmente che “Le persone appartenenti ai settori giudiziario e di polizia devono essere addestrate e tecnicamente attrezzate per riconoscere e contrastare i crimini commessi attraverso le nuove tecnologie”. L’anno successivo si tiene il primo simposio internazionale di computer forensics organizzato dall’Interpol[4]. Nel 2000 l’FBI costruisce e pone in esercizio, sul territorio americano, il primo laboratorio regionale di computer forensics “Regional Computer Forensics Laboratory, RCFL”; attualmente sul territorio degli USA sono attivi 14 laboratori RCFL ed altri sono in via di sviluppo.[5] L’IISFA è raggiungibile all’indirizzo «http://www.iisfa.it».[6] Legge 23 dicembre 1993 n. 547, “Modificazioni ed integrazioni alle norme del codice penale e del codice di procedura penale in tema di criminalità informatica”; Legge 3 agosto 1998 n. 269, “Norme contro lo sfruttamento della prostituzione, della pornografia, del turismo sessuale in danno di minori, quali nuove forme di riduzione in schiavitù”; Legge 6 febbraio 2006 n. 38, “Disposizioni in materia di lotta contro lo sfruttamento sessuale dei bambini e la pedopornografia anche a mezzo Internet”; Legge 18 marzo 2008 n. 48, “Ratifica ed esecuzione della Convenzione del Consiglio d’Europa sulla criminalità informatica, fatta a Budapest il 23 novembre 2001, e norme di adeguamento dell’ordinamento interno”. Da considerare anche le seguenti raccomandazioni del Consiglio d’Europa: Raccomandazione CE 9 settembre 1989 n. R (89) 9 in materia di reati informatici; Raccomandazione CE 11 settembre 1995 n. R (95) 13 relativa ai problemi di procedura penale legati alla tecnologia dell'informazione.[7] M. Cuniberti - G. B. Gallus - F. P. Micozzi - S. Aterno, La legge di ratifica della Convenzione di Budapest del 23 novembre 2001, 2008, in «http://www.altalex.com/index.php?idnot=41438».[8] Decreto legislativo 12 febbraio 1993 n. 39, che istituisce l’Autorità per l’Informatica nella Pubblica Amministrazione (AIPA); Legge 15 marzo 1997 n. 59 (legge Bassanini 1), “Delega al Governo per il conferimento di funzioni e compiti alle regioni ed enti locali, per la riforma della Pubblica Amministrazione e per la semplificazione amministrativa”; Legge 15 maggio 1997 n. 127 (legge Bassanini 2), “Misure urgenti per lo snellimento dell'attività amministrativa e dei procedimenti di decisione e di controllo”; Decreto del Presidente della Repubblica 10 novembre 1997 n. 513, “Regolamento contenente i criteri e le modalità di applicazione dell'articolo 15, comma 2, della legge 15 marzo 1997, n. 59 in materia di formazione, archiviazione e trasmissione di documenti con strumenti informatici e telematici”; Decreto Legislativo 23 gennaio 2002 n. 10, “Recepimento della direttiva 1999/93/CE sulla firma elettronica”; Decreto Legislativo 30 giugno 2003 n. 196, “Codice in materia di protezione dei dati personali”, ex art. 176 comma 3 istituisce il CNIPA (Centro Nazionale per l’Informatica nella Pubblica Amministrazione) e provvede alla contestuale abolizione dell’AIPA; Decreto Legislativo 7 marzo 2005 n. 82, “Codice della Amministrazione Digitale” (CAD). Tale codice, entrato in vigore il primo gennaio 2006, rappresenta un’autentica rivoluzione normativa ed attua un’organica sistematizzazione delle disposizioni vigenti in materia; Decreto Legislativo 4 aprile 2006 n. 159, “Disposizioni integrative e correttive al decreto legislativo 7 marzo 2005 n. 82, recante codice dell'amministrazione digitale”. Sempre in materia di sicurezza dei dati e dei sistemi informatici è da rilevare l’attività normativa della International Standard Organization (ISO), specialmente le norme: UNI EN ISO 17799-2 del 2005, “Information technology - Security techniques - Code of practice for information security management”; Norma UNI EN ISO 27001 del 2005, “ISMS: Information technology - Security techniques - Information security management systems - Requirements”.[9] Il decreto fissa le misure di sicurezza minime per la tutela dei dati. I fondamenti degli obblighi di sicurezza cui tutti devono attenersi risiedono nei concetti di custodia e di controllo dei dati, insieme all’analisi dei rischi finalizzata a ridurre al minimo, mediante l'adozione di idonee e preventive misure, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme ai fini per i quali i dati sono stati raccolti. Alla base delle nuove misure minime, sono previste delle modalità per l’accesso ai dati da parte delle sole persone incaricate di poterlo fare, cui dovranno essere assegnate o associate credenziali per l'autenticazione informatica (parole chiave, codici identificativi, carte a microprocessore, token, certificati digitali, caratteristiche biometriche), nell’ambito di un sistema di autorizzazione per l’accesso ai trattamenti consentiti e preventivamente individuati. Tra le nuove misure rientrano alcune che, pur se indispensabili alla protezione dei dati, non erano state previste nella precedente disciplina, come: l’adozione di procedure per la generazione e la custodia di copie di sicurezza dei dati (back up) e il ripristino della disponibilità dei dati e dei sistemi entro tempi certi e compatibili con i diritti degli interessati.[10] Rientrano parimenti nella digital forensics: la network forensics (settore specializzato nell’analisi forense delle reti di computers), la mobile forensics (con oggetto di indagine tutti i dispositivi portatili, es. telefoni cellulari), la software forensics (con analisi compiute su software), la embedded system forensics (con oggetto di indagine apparecchiature speciali quali palmtop, sistemi di clonazione delle carte di credito, sistemi digitali di videosorveglianza, inneschi elettronici di ordigni esplosivi, sistemi GPS, apparecchi video-poker; etc.). Rientrano, inoltre, altre branche di indagini specialistiche quali la wireless forensics, la iPod forensics ed altre su cui non è utile soffermarsi oltre in questa sede.[11] M. Mattiucci, Digital Forensics Technical Level 1, 2008, in «https://www.marcomattiucci.it».[12] Ma a ben vedere valgono per qualsiasi indagine scientifica forense: medica, biologica, grafologica, etc.[13] Un sistema informatico in condizione post-mortem è un sistema statico in condizioni di mancanza di alimentazione dalla rete elettrica e mancanza di qualsivoglia tipologia di collegamento con l’esterno (es. LAN, WLAN, etc.). Il sistema non deve per alcuna ragione tornare in funzionamento per evitare alterazioni, anche minime, dei dati presenti sulle memorie. L’analisi forense viene condotta estraendo, la memoria da analizzare dal sistema e utilizzando speciali strumenti in grado di eseguire la copia fisica del contenuto su un supporto diverso.[14] Traduzione italiana dell’inglese “digital evidences”.[15] La fault tolerance di un sistema o supporto è la capacità di non subire fallimenti (cioè interruzioni e/o alterazioni) anche in presenza di guasti. Rappresenta un aspetto importante dell’affidabilità di un sistema/supporto.[16] Esistono in letteratura numerose altre distinzioni e sub distinzioni che per brevità non è possibile esaminare compiutamente in questa sede.[17] M. Mattiucci, Computer Forensics Technical Level 1, 2008, in «https://www.marcomattiucci.it».[18] CDROM è la sigla di Compact Disk Read Only Memory. Un CDROM contiene 700 MB di dati.[19] DVDROM è la sigla di Digital Versatile Disk Read Only Memory. Esistono diverse tipologie di DVD: singolo/doppio strato e singola/doppia faccia, la combinazione di questi due fattori determina la capacità massima del DVD che può essere: 4.7 GB - 8.5 GB - 9.4 GB o 17 GB.[20] Le tipologie di memory card più utilizzate sono: le PCMCIA (PC Card), le CF (Compact Flash), le SM (SmartMedia), le MMC (MultiMedia Card), le SD (Secure Digital) e le xD (xD Picture Card).[21] M. Mattiucci, Computer Forensics Technical Level 1, cit.[22] Si utilizzano dei dispositivi chiamati write blockers, sia hardware che software. Si tratta di sistemi in grado di assicurare che il flusso di dati vada in una sola direzione, praticamente applicando un write blockers a un hard disk sarà impossibile scrivere sul disco (perché il flusso di dati in ingresso viene bloccato dal dispositivo) ma sarà possibile la lettura per poter estrarre la copia da analizzare. In questo modo i dati sul supporto non subiscono alterazioni.[23] Anche durante l’analisi devono rispettarsi le garanzie viste sopra di cui alla nota precedente.[24] Pertanto la conduzione dell’analisi vera e propria si configura, nella sostanza, come una scrupolosa e minuziosa attività di ricerca ed estrazione (data mining) condotta su uno o più file immagine.[25] La steganografia è una tecnica che consente di occultare dei dati all’interno di file immagine, tipicamente si tratta di file di testo ma anche di altre immagini etc.[26] Il cracking consiste nella scoperta e nell’utilizzo di password per accedere ai documenti, l’attività di decryption si occupa di portare in chiaro file criptati, mentre il file misnaming porta l’inquirente all’individuazione di file nascosti con la tecnica della sostituzione delle indicazioni dell’applicazione che lo ha generato e lo impiega (ad esempio cambiando l’estensione di un documento generato con Microsoft Word da “.doc” a “.jpg” il file non sarà più riconosciuto come documento dal programma e pertanto non potrà più essere letto correttamente).[27] Tecnicamente un cluster rappresenta un numero fisso di settori fisici costituenti l'unità minima di allocazione che il file system individua, legge e scrive sulla partizione logica considerata.[28] M. Mattiucci, Computer Forensics Technical Level 1, cit.[29] Esempio tipico di metadati sono i file temporanei del sistema operativo Windows o del browser Internet Explorer.[30] Si riporta di seguito una breve panoramica dei principali applicativi attualmente impiegati: ILook Investigator è un pacchetto integrato di tool forensi nel settore del computer forensics per acquisire ed analizzare memorie digitali, attualmente giunto alla versione 8.0, ed è prodotto dalla Perlustro L. P.con sede a Edmond, Oklahoma, USA. Non è in commercio ed è riservato alle forze di polizia, militari e servizi segreti. EnCase è considerato attualmente lo standard dell’analisi forense, di gran lunga il più impiegato al mondo da consulenti privati e, praticamente, da tutte le forze di polizia. È un software di tipo commerciale, quindi sottoposto a contratto di licenza. Prodotto dalla Guidance Software di Pasadena, California, USA, l’ultima versione rilasciata è la 6.0. FTK segue EnCase nella lista dei software forensi più utilizzati; è un software di tipo commerciale prodotto dall’americana AccessData ed è attualmente giunto alla versione 2.0. Mount Image Pro permette il montaggio e l’esplorazione completa di immagini EnCase, dd, SMART ed ISO in ambiente Windows. È un software commerciale, l’ultima versione rilasciata è la 2.6 ed è prodotto dalla casa australiana GetData. Maresware The Suite è un software commerciale prodotto dall’americana Mares and company. P2 Command Kit, P2 Command Kit+ e P3 Command Kit+ sono dei tool forensi di tipo commerciale prodotti da Paraben Corporation. Helix è probabilmente il software forense open source più utilizzato, opera da CDROM bootable e fornisce diversi strumenti di analisi configurandosi come un insieme coordinato di tool. Attualmente la suite distribuita è la versione 1.9a. Altro tool forense open source è Live View, giunto alla versione 0.6. Il tool è stato sviluppato dall’Istituto di ingegneria del software (Software Engineering Institute - SEI) della Carnegie Mellon University di Pittsburgh, Pennsylvania, USA.[31] Modello tipico dei sistemi processuali inquisitori.[32] D. Siracusano - A Galati - G. Tranchina - E. Zappalà, Diritto Processuale Penale, II edizione, Milano, Giuffrè, 1996, pp. 350 e ss.[33] L’articolo 192 c.p.p. dispone inoltre che il giudice penale valuti la prova dando conto nella motivazione dei risultati acquisiti e dei criteri adottati.[34] In questo frangente, con la lettura dell’imputazione ad opera dell’ausiliario del giudice, viene fissato il thema probandum per tutta la durata del procedimento.[35] Indifferentemente se di nomina del PM o dovute ad attività investigativa della difesa dell’imputato o di altre parti private.[36] Il report non deve in alcun modo contenere opinioni personali o valutazioni del tecnico che ha condotto l’analisi. Solo nel caso di esame orale, dietro esplicita richiesta del giudice o di una delle parti, il tecnico può rappresentare il suo personale convincimento in ordine ai risultati riscontrati.[37] Art. 495 comma 4 c.p.c.[38] Di cui agli artt. 497-500 c.p.p.[39] Pertanto l’esame dei periti è condotto direttamente dal PM e dai difensori delle parti private. È previsto il controesame della parte avversaria ed anche la presentazione di contestazioni sul parere espresso dal tecnico o sulla relazione da lui prodotta.[40] M. Mattiucci, Computer Forensics Technical Level 1, cit.[41] L’International Association of Computer Investigative Specialist (IACIS) è un’organizzazione di volontari no-profit composta da professionisti delle forze di polizia dedicati all’istruzione nel campo della computer forensics.[42] Aggiunge il giudice: “Non ignora il tribunale l’emergere di un orientamento della Suprema Corte, non consolidato, che sembrerebbe adombrare una qualche forma di cogenza della perizia, ogni qual volta la ricognizione del reato presupponga accertamenti di tipo tecnico (Cass. pen., sez. III, n. 4686/05, Corsi; Cass. pen., sez. V, n. 5672/05, Scoppa).”[43] Nel giudizio civile in cui deve intervenite il PM, ex art. 70 c.p.c., la consulenza può essere disposta anche da questi quale ausilio tecnico del proprio ufficio.[44] C. Mandrioli, Diritto Processuale Civile, XIV edizione, Torino, Giappichelli, 2002, pp. 190-195.[45] Come disposto dall’art. 195 c.p.c.[46] Regio Decreto n. 642 del 17 agosto 1907.[47] In particolare RD n. 1054 del 1924, legge n. 1034 del 1971, DPR n. 214 del 1973 e legge n. 186 del 1982.[48] Giudizio di ottemperanza, di silenzio-inadempimento, di accesso ai documenti amministrativi, di diniego di passaporto, in materia di operazioni elettorali e in materia di cittadini stranieri ed extra UE.[49] Art. 44 comma 1 RD n. 1054 del 1924.[50] Art. 44 commi 2 e 3 RD n. 1054 del 1924.[51] P. Virga, Diritto Amministrativo - Atti e ricorsi, VI edizione, Milano, Giuffrè, 2001, p. 344.[52] Più precisamente, nel giudizio derivante dall’opposizione contabile che impugna la decisione della Corte, tale opposizione è modellata sull’opposizione a decreto ingiuntivo del processo civile.[53] M. Mattiucci, Computer Forensics Technical Level 1, cit.Aggiungi questo articolo ai tuoi social bookmarks preferiti Ultimi Documenti

References: art. 230
 sentenza 
 art. 193
 art. 62
 art. 116
 art. 176
 Art. 495
 Cass. 
 art. 70
 Art. 44
 Art. 44