Source: http://docplayer.it/978463-Deftcon-2012-torino-30-marzo-2012-michele-ferrazzano-michele-ferrazzano-unibo-it-art-600-ter-pornografia-minorile-produzione-e-commercio.html
Timestamp: 2018-01-23 12:20:58+00:00

Document:
DEFTCON 2012 Torino - 30 marzo Michele Ferrazzano. Art. 600-ter Pornografia minorile. Produzione e commercio - PDF
DEFTCON 2012 Torino - 30 marzo Michele Ferrazzano. Art. 600-ter Pornografia minorile. Produzione e commercio
Download "DEFTCON 2012 Torino - 30 marzo 2012. Michele Ferrazzano. michele.ferrazzano@unibo.it. Art. 600-ter Pornografia minorile. Produzione e commercio"
1 DEFTCON 2012 Torino - 30 marzo 2012 emuleforensic Michele Ferrazzano Scenario normativo Art. 600-ter c.p. Art. 600-ter Pornografia minorile Produzione e commercio 1. Chiunque, utilizzando minori degli anni diciotto, realizza esibizioni pornografiche o produce materiale pornografico ovvero induce minori di anni diciotto a partecipare ad esibizioni pornografiche è punito [ ] 2. Alla stessa pena soggiace chi fa commercio del materiale pornografico di cui al primo comma. 1
2 Scenario normativo Art. 600-ter c.p. Art. 600-ter Pornografia minorile Divulgazione (anche a titolo gratuito) 3. Chiunque, al di fuori delle ipotesi di cui al primo e al secondo comma, con qualsiasi mezzo, anche per via telematica, distribuisce, divulga, diffonde o pubblicizza il materiale pornografico di cui al primo comma, ovvero distribuisce o divulga notizie o informazioni finalizzate all adescamento o allo sfruttamento sessuale di minori degli anni diciotto, é punito [ ] 4. Chiunque, al di fuori delle ipotesi di cui ai commi primo, secondo e terzo, offre o cede ad altri, anche a titolo gratuito, il materiale pornografico di cui al primo comma, è punito [ ] Scenario normativo Art. 600-ter c.p. Art. 600-ter Pornografia minorile Ingente quantità 5. Nei casi previsti dal terzo e dal quarto comma la pena è aumentata in misura non eccedente i due terzi ove il materiale sia di ingente quantità. 2
3 Scenario normativo Art. 600-quater c.p. Art. 600-quater Detenzione di materiale pornografico Detenzione 1. Chiunque, al di fuori delle ipotesi previste dall articolo 600-ter, consapevolmente si procura o detiene materiale pornografico realizzato utilizzando minori degli anni diciotto, è punito [ ] 2. La pena è aumentata in misura non eccedente i due terzi ove il materiale detenuto sia di ingente quantità. Scenario normativo Altri aspetti Art. 600-quater.1 Pornografia virtuale Pornografia virtuale e definizione 1. Le disposizioni di cui agli articoli 600-ter e 600-quater si applicano anche quando il materiale pornografico rappresenta immagini virtuali realizzate utilizzando immagini di minori degli anni diciotto o parti di esse, ma la pena è diminuita di un terzo. 2. Per immagini virtuali si intendono immagini realizzate con tecniche di elaborazione grafica non associate in tutto o in parte a situazioni reali, la cui qualità di rappresentazione fa apparire come vere situazioni non reali. Art. 600-sexies Circostanze aggravanti ed attenuanti Età dei minori 1. Nei casi previsti dagli articoli 600-bis, primo comma, 600-ter, primo comma, e 600-quinquies la pena è aumentata da un terzo alla metà se il fatto è commesso in danno di minore degli anni quattordici [ ] 3
4 Keywords 600-ter Detenzione Consapevolezza Ingente quantità 600-quater.1 Pedopornografia virtuale Divulgazione Minore anni sexies Produzione Commercio 600-ter Ingente quantità Analisi per detenzione: workflow Copia forense Cercare ed estrarre file Immagini: JPG Video: AVI Archivi: ZIP Caselle Scompattare: JPG AVI Visionare file Calcolare hash file Classificare Verificare date di ultima lettura Individuare materiale Quantificare Provenienza Log P2P: emule Cronologia web Analisi dei log del P2P Verificare organizzazione file system Fonte è il P2P? Contare file positivi consapevoli 4
5 Analisi per divulgazione: workflow Copia forense Cercare ed estrarre file Immagini: JPG Video: AVI Archivi: ZIP Cronologia web Scompattare: JPG AVI Calcolare hash file e classificare Visionare file e classificare Verificare date di ultima lettura Quantificare Profitto Individuare destinatari Log P2P: emule Caselle Analisi dei log del P2P Verificare organizzazione file system Divulgati su P2P? Contare file positivi consapevoli Obiettivi dell analisi forense 1. Individuare e quantificare file a contenuto pedopornografico Se possibile, classificare il materiale per età dei soggetti raffigurati (possibilità di utilizzo di tecniche di riconoscimento automatico) 2. Individuare le fonti 3. Individuare elementi che consentano di determinare la consapevolezza Keyword di ricerca, organizzazione del materiale sul file system, date di accesso, competenza dell utente, utilizzo di software di anonimizzazione 4. Individuare elementi che consentano di determinare se c è stata divulgazione e in che quantità 5
6 Obiettivi dell analisi forense 1. Individuare, quantificare e classificare i file Attività più semplice Ricerca e conta dei file presenti sui supporti Se possibile, classificare il materiale per età dei soggetti raffigurati Tecniche di riconoscimento automatico Chi fa analisi forense è esperto di informatica, non di anatomia! Difficile stabilire con esattezza l età (es: visi asiatici) Obiettivi dell analisi forense 2. Individuare le fonti File sharing Siti internet Gruppi di chat Copia da altri supporti Concentriamoci sul file sharing con emule 6
7 Obiettivi dell analisi forense 3. Stabilire consapevolezza Finora abbiamo parlato di elementi oggettivi Individuare file presenti, contare, determinare la fonte La consapevolezza è un concetto astratto Il consulente tecnico si limita a mettere in evidenza elementi concreti Il giudice valuta gli elementi ed esprime il giudizio Quali elementi utili per determinare la (in)consapevolezza? Parole chiave di ricerca Organizzazione dei file nel file system Date di ultima lettura, ultima modifica e di creazione Competenze dell utente Utilizzo di software di anonimizzazione Nomi dei file (file fake) Obiettivi dell analisi forense 4. Divulgazione Nel caso del file sharing su P2P? La divulgazione di file è automatica ed incontrollabile Anche quando un file è ancora in scaricamento... e magari non corrispondente ai propri interessi Necessità di analizzare i log dell applicazione 7
8 emule Software di file sharing su rete P2P (edonkey, ibrida) Open source Ultima versione 0.50a (eseguibile e codice sorgente) È il software più scaricato da sourceforge Fini forensi oltre di download Dal sorgente è possibile comprendere come vengono gestiti i file e i trasferimenti, procedendo alla ricostruzione dei fatti dopo che questi si sono verificate emule - I file Ogni file è identificato nella rete con un File ID Hash MD4 (128 bit) Il nome del file non è identificativo del file È utilizzato unicamente in fase di ricerca Dopo aver individuato il file, emule prende in considerazione il file-id associato al file su cui si fa doppio click Il nome del file su cui si fa doppio click sarà utilizzato anche come nome del file nel sistema in cui si scarica il file 8
9 emule I file File.txt Hanno lo stesso contenuto (cioè hanno lo stesso hash MD4) Hanno nomi diversi, sono salvati/creati in giorni diversi Saluto.txt In emule sono lo stesso file File.txt Non hanno lo stesso contenuto (cioè non hanno lo stesso hash MD4) Hanno nomi uguali, sono salvati/creati lo stesso giorno File.txt In emule sono file diversi emule - I file (ricerca) 9
10 emule I file Cosa pensa l utente Cosa fa emule Ricerca con keyword Spiagge zero Doppio clic sul file Renato Zero Spiagge.mp3 Voglio scaricare la canzone Spiagge di Renato Zero Ecco la canzone che stavo cercando. La scarico! L utente vuole la lista di file nel cui nome compaiono le parole Spiagge e zero L utente vuole scaricare il file con hash 466FFA817B36189DED61F D4F15 emule I file (scaricamento) 10
11 emule I file Il filename non è identificativo, né univoco File con contenuti identici hanno stesso hash, ma possono avere nomi diversi Renato Zero - spiagge.mp3 Renato_Zero-spiagge.mp3 Vasco Rossi - Bollicine.mp3 13yo sex ass young preteen pthc raygold.zip [ ] File con contenuti diversi hanno hash diversi, ma possono avere stesso nome 12101AB43A BCDE39283BCD BACDEEE AA34C 3875CDE456AA121ABCDF D45CD [ ] 12101AB43A BCDE39283BCD45 Renato Zero - spiagge.mp3 emule I file Il filename non è identificativo, né univoco Le ricerche di file si basano sul filename, ovvero sulla presenza nel nome del file delle parole chiave utilizzate in fase di ricerca Rischio di fake Il filename e l estensione non forniscono una rappresentazione del contenuto Esempio: il file Pinocchio.avi non necessariamente contiene un cartone animato; potrebbe trattarsi di un film di altro genere, di un brano musicale, di un file zippato, di un video pedopornografico 11
12 Effetti dei file fake Utente Tizio Ricerca con keyword Vasco Rossi Doppio click su Discografia Vasco Rossi al 2011.zip File scaricato con contenuto pedopornografico Filename Negativo Hash/contenuto pedopornografico Positivo Intenzione di ricercare materiale pedornografico No Utente Caio Ricerca con keyword sex young Doppio click su 13yo sex ass young raygold.zip File scaricato con contenuto pedopornografico Filename Positivo Hash/contenuto pedopornografico Negativo Intenzione di ricercare materiale pedornografico Si Effetti dei file fake Positivo Negativo Tizio Caio 12
13 emule Gli utenti Ogni istanza di emule è identificata nella rete da uno User ID Costituito da 128 bit Generato casualmente al primo avvio di emule Simile ad un hash, ma non lo è Scopi Sistema dei crediti Ogni utente mantiene traccia degli utenti remoti con i quali c è stato almeno uno scambio in download e in upload Ogni utente conserva in un file (clients.met) l elenco degli User ID dei corrispondenti remoti e il volume dello scambio Scopo forense Utilizzando opportunamente gli User ID e incrociando gli hash dei file è possibile ricostruire la divulgazione dei file utilizzando emule emuleforensic 13
14 Analisi forense senza emuleforensic Ricerca di file nel disco Indipendente dalla fonte File sharing, siti web Identificazione dei file positivi Visualizzazione del contenuto Visualizzazione delle varie immagini e dei vari video Con alcuni software di riconoscimento automatico Parole chiave nel filename (metodo insufficiente) Alcuni esempi: lolita, 9yo, 13yo, preteen, raygold Hash dei file Calcolo del digest tutti i file presenti sul disco Necessità di un database di hash di file positivi 14
16 Analisi forense di emule utilizzando DEFT ed emuleforensic 16
17 emuleforensic Semplifica e velocizza l analisi forense per ricostruire le attività dell utente di emule Analizza file di configurazione di emule per evidenziare Parole chiave utilizzate per la ricerca di file Elemento forte per stabilire la consapevolezza, più del contenuto del file File condivisi Conoscenza di nome, hash, dimensione, data di ultima modifica dei file senza necessità di visualizzarli Utenti remoti con cui c è stata comunicazione Ricostruire relazioni di scambio tra utenti File divulgati Quantità di invii (quante volte e quanti byte, massima informazione disponibile) emuleforensic Semplifica e velocizza l analisi forense per ricostruire le attività dell utente di emule Output in formato XML Linguaggio di markup, definisce documenti strutturati Possibilità di incrociare dati di utenti diversi La versione base è disponibile via web (http://emuleforensic.cirsfid.unibo.it) e nella distribuzione DEFT 7.1. In fase di sviluppo una versione Java portable che comprende anche analisi degli hash e analisi incrociata per costruire grafo delle relazioni 17
18 Analisi forense con emuleforensic Detenzione e consapevolezza File di configurazione di emule AC_SearchString.dat Elenco di keyword di ricerca Known.met Filename È possibile associare i file scaricati con le keyword utilizzate in fase di ricerca File known.met visualizzato con un editor esadecimale Hash Disponendo di un archivio di hash di file positivi, è possibile determinare le informazioni presenti in un file senza visualizzarne il contenuto File known.met visualizzato con un editor di testo Vari file (principale srchybrid/packet.cpp) <known.met> <File details list> <File details> <known.v04.met> <File details v04> <Date> <File hash> <Part hash list> <Meta tag list> <Meta tag> ::= 0x0e <File details list> ::= DWORD <File details>* ::= 0x02 <Date> <File hash> <Meta tag list> ::= 0x0e DWORD <File details v04>* ::= <Date> <File hash> <Part hash list> <Meta tag list> ::= DWORD ::= HASH ::= WORD HASH* ::= DWORD <Meta tag>* ::= 0x00 Undefined = 0x01 <Meta tag name> HASH = 0x02 <Meta tag name> <String> = 0x03 <Meta tag name> DWORD = 0x04 <Meta tag name> FLOAT = 0x05 <Meta tag name> BOOL = 0x06 <Meta tag name> BOOL Array = 0x07 <Meta tag name> BLOB 18
19 Vari file (principale srchybrid/packet.cpp) <Meta tag name> ::= WORD <Special tag> = <String> <emule special tag> ::= 0x20 // Compression = 0x21 // UDP client port = 0x22 // UDP version = 0x23 // Source exchange = 0x24 // Comments = 0x25 // Extended request = 0x26 // Compatible client <String> ::= <String length> DATA <String length> ::= WORD DATA : Data of custom length DWORD : 4 bytes integer HASH : MD4 (16 byte) <Special tag> ::= 0x01 // name = 0x02 // size: size of file = 0x03 // type: Audio, Video... = 0x04 // format: file extension = 0x05 // Collection (depricated) = 0x06 // Part Path = 0x07 // Part Hash = 0x08 // copied = 0x09 DATA // gap start = 0x0a DATA // gap end = 0x0b // description = 0x0c // ping = 0x0d // fail = 0x0e // preference = 0x0f // port = 0x10 // ip = 0x11 // version = 0x12 // tempfile = 0x13 // priority = 0x14 // status = 0x15 // availability = 0x16 // QTime = 0x17 // Parts = <emule special tag> Analisi forense con emuleforensic Divulgazione File di configurazione di emule Preferences.dat User ID dell utente indagato Clients.met nell esempio 90257D2DB80E4CEC6D B0936F1D User ID utenti remoti Possibilità di determinare il volume di dati scambiati in upload e in download File preferences.dat visualizzato con un editor esadecimale File clients.met visualizzato con un editor esadecimale Possibilità di incrociare questi due file con il file known.met per definire le relazioni di scambio X I file scambiati tra X e Y appartengono all insieme Hash(Known.met[X]) Hash(Known.met[Y]) Y 19
20 srchybrid/preferences.h struct Preferences_Ext_Struct{ uint8 version; uchar userhash[16]; WINDOWPLACEMENT EmuleWindowPlacement; }; srchybrid/clientcredits.h struct CreditStruct_29a{ uchar abykey[16]; // userhash uint32 nuploadedlo; // uploaded TO him uint32 ndownloadedlo; // downloaded from him uint32 nlastseen; uint32 nuploadedhi; // upload high 32 uint32 ndownloadedhi; // download high 32 uint16 nreserved3; }; struct CreditStruct{ uchar abykey[16]; // userhash uint32 nuploadedlo; // uploaded TO him uint32 ndownloadedlo; // downloaded from him uint32 nlastseen; uint32 nuploadedhi; // upload high 32 uint32 ndownloadedhi; // download high 32 uint16 nreserved3; uint8 nkeysize; uchar abysecureident[maxpubkeysize]; }; 20
21 Analisi forense con emuleforensic Associazione tra utenti Possibilità di incrociare dati dei file Preferences.dat Clients.met Known.met per definire le relazioni di scambio X I file scambiati tra X e Y appartengono all insieme Hash(Known.met[X]) Hash(Known.met[Y]) Y Analisi forense con emuleforensic Associazione tra utenti (Clients.met) User-ID degli utenti remoti di X (Preferences.dat) User-ID di Y 21
22 Analisi forense con emuleforensic Associazione tra utenti (Clients.met) User-ID degli utenti remoti di Y (Preferences.dat) User-ID di X X conosce Y, Y conosce X => X e Y hanno scambiato dei file Analisi forense con emuleforensic Associazione tra utenti File-ID dei file dell utente X File-ID dei file dell utente Y File scambiato 22
23 emuleforensic Esempio emuleforensic Esempio <?xml version="1.0"?> <case> <info> <timestart>07/05/10-04:46:30</timestart> <code>001</code> <description>descrizione</description> <examinator>michele</examinator> </info> <search> <keyword>fisting</keyword> <keyword>printmusic</keyword> [ ] </search> <userinfo> <code>001</code> <userhash>90257d2db80e4cec6d386092b0936f1d</userh ash> </userinfo> 23
24 emuleforensic Esempio <clients> <client id="1"> <code>001</code> <hash>6c8ae577fd0eeccfb26e6ec57d246f78</hash> <nuploaded> </nuploaded> <ndownloaded>0</ndownloaded> <nlastseen>mon Dec 10 23:14: </nLastSeen> </client> [ ] </clients> emuleforensic Esempio <knownmet files="13706"> <file id="0"> <code>001</code> <date>fri Nov 30 17:20: </date> <hashfile>851bd2cb7180b4795a8cc57e6f83ae68</hashfile> <filename>lp jpg</filename> <size>145756</size> </file> <file id="1"> <code>001</code> <date>thu Jan 4 12:36: </date> <hashfile>71ca38be0db2ef9bbe85240d655105ea</hashfile> <filename>new! pedo 9yo Tori 006 lsm kdquality childlover pthc kidzilla(2).mpg</filename> <size> </size> </file> [ ] </knownmet> </case>... 24
25 emuleforensic Esempio web emuleforensic - Esempio 25
27 emuleforensic Esempio di divulgazione Incrociando gli output è possibile dedurre possibili connessioni tra due utenti. Non ci sono dati chiari ed espliciti nei log La funzione di incrocio dei dati non è attualmente implementata ma può essere realizzata in maniera molto semplice (es: Access) Mario Neri 90257D2DB80E4CEC6D386092B0936F1D Detentore 625A3A073C0E6C09B96E6ADF01996FAC Carlo Verdi Detentore e divulgatore 27
28 emuleforensic Rappresentazione grafica delle divulgazioni emuleforensic (versione Java in sviluppo) 28
29 emuleforensic (versione Java in sviluppo) emuleforensic (versione Java in sviluppo) 29
30 emuleforensic (versione Java in sviluppo) emuleforensic (versione Java in sviluppo) 30
31 Grazie dell attenzione DEFTCON 2012 Michele Ferrazzano 31

References: Art. 600
 Art. 600
 Art. 600
 Art. 600
 Art. 600
 Art. 600
 Art. 600
 Art. 600
 Art. 600
 Art. 600
 Art. 600
 articolo 600
 Art. 600
 Art. 600