Newsgroup: it.comp.sicurezza.varie
Titolo: Re: Dimissioni e conservazioni email per propria difesa

 email fino ai termini della prescrizione?
 
puoi scaricare e archiviare per conto tuo la casella postale.
 

 tali email piene zeppe di dati personali e sensibili?
 
Potresti usare thunderbird se riesci a importarle, poi le
esporti tutte, mail per mail in formato .eml, che è
praticamente testo. Dopodiché se pure potrebbe diventare
costosetto a seconda di quante emails sono, prendi un
numero di marche temporali che copra le emails che ti
interessano e le marchi una per una. Dopodiché fai un bel
contenitore veracrypt e le lasci da una parte o in cloud.
Non vedo tecnicamente alcun problema nel salvare le emails
che ti interessano. Se usi una password lunga su 
veracrypt, a meno che non ci siano in ballo delicate 
questioni internazionali, difficilmente verrà fatto lo 
sforzo necessario per forzare l'archivio.
 
Suggerisco la data certa anche se non è una prova perché
se un domani hai problemi potrebbero contestarti che hai
falsificato la mail alla bisogna (cosa banale se il
provider non ha più i logs come possiamo dare per certo);
se invece un eventuale giudice vede la data certa vicina
al momento in cui lasci l'incarico è almeno un elemento di
convincimento "al contorno". Inoltre la marca temporale ti 
evita di doverti affidare a terzi per provare la data 
dell'archivio. Tieni tutto sul PC o dove ti fa comodo.
 
Il motivo del perché suggerisco di marcarle una per una è
che se pure potresti metterle tutte in un archivio e
marcare temporalmente solo l'archivio, se un giorno
dovesse servirti una specifica emails, il perito o chi per
lui, per dimostrare la data certa, dovrebbe avere accesso
a tutte le altre con i problemi del caso. Marcandole una
per una puoi tirar fuori quelle che strettamente ti
servono senza mettere in mezzo altre persone o altre faccende.
 

 zeppe di dati personali e sensibili?
 
sollevi una questione non banale. è possibile (anzi probabile, anzi quasi 
certo) che l'azienda vieti espressamente da regolamento gdpr di salvare i 
dati su dispositivi personali.
 
tuttavia mi permetto un parere personale da prendere così com'è: essendo 
tu in procinto di interrompere il rapporto, un concreto problema legale 
potresti averlo se ci fosse un data breach (un furto, ad esempio) o un 
uso improprio da parte tua. escludendo la seconda ipotesi sulla prima 
potresti attuare le misure classiche: criptare i dispositivi e usare 
password forti.

 ed ecco che cominciano i guai.
 
Ora capisco, se per caso hai sentito che ti trattassi come
un analfabeta informatico mi spiace... Sul fronte legale
direi questo. Meglio parlare con un avvocato (credo che i
giuslavoristi possano essere una figura adatta) per capire
cosa fare ora che sei lì. Dopodiché, se un lontano domani
succedesse qualcosa è chiaro che il rapporto tra te e il
giudice è mediato dal tuo legale quindi sarà lui a capire
cosa è meglio e se tirare fuori le emails, fino a quel 
momento restano in un cassetto e lo sai solo tu.
 
Per non lasciare la cosa nel vuoto direi che per analogia
dovrebbe essere tuo diritto conservare tutta la
documentazione in cui appari. Per le conversazioni
telefoniche è permesso se l'interessato prende parte alla
conversazione, altrimenti è intercettazione. Direi che la
situazione è pressoché identica: tu sei persona coinvolta
e interessata, quindi dovresti avere il diritto di
conservare e utilizzare il materiale come prova a tua difesa.
 
Credo che il problema sia sapere se c'è altro da fare
finché sei lì e puoi ancora raccogliere elementi a tua
difesa se saranno necessari. Calcola che è legale
registrare conversazioni se sei uno degli interlocutori
quindi se con qualche telefonata ai colleghi o altro
riesci a farli parlare un po' non sarebbe male conservare
anche quelle registrazioni e soprattutto marcare tutto con
la marca temporale.
 

 ecco che cominciano i guai.
 
credo che in quel caso saresti assistito da un avvocato che saprà bene 
come è opportuno difenderti (è il suo mestiere). 

  l� se necessario
 
Probabilmente c'è qualcosa che non sappiamo o non hai
detto, dovrebbe essere un ente pubblico con una "filiera"
che assicuri che i documenti siano sempre tracciati e non
possano sparire.
 
Oltretutto una copia la devi comunque avere perché se fai
un'affermazione basata su un documento che non hai e che
il giudice dovrebbe ordinare di consegnare vedo tutto un
po' labile. Come minimo devi avere il documento per farlo
leggere all'avvocato, ma proprio come minimo. Il quale al
limite ti potrà dire se procedere facendo richiesta al
giudice di acquisire la documentazione dall'ufficio. Come
può un difensore basarsi su un tuo ricordo? La volta che
devi annotare date e appunti tanto vale che ti copi tutto
e te lo tieni.
 
In ogni caso fossi io a dover ordinare cose irregolari
almeno prove così evidenti cercherei di farle sparire :D e
se fossi il tuo avvocato non imposterei mai una difesa
sulla base di quello che ricordi tu del contenuto della
mail, come minimo la vorrei leggere.
 
 

Ci sarebbe un'ulteriore possibilità ma inizia a essere
contorta, non credo tu sia nelle posizioni apicali dei
servizi di informazione... Potresti usare la
steganografia, nascondendo le email in jpeg che potrebbero
essere le foto di documenti dall'apparenza innocenti (che
so, scansioni di cataloghi o ricevute, etc.) e lasciandole
nella vostra directory condivisa sottoposta a backup.
 
Fossi il tuo capo perfido e volessi far sparire tutto
forse non lo noterei se i jpg fossero convincenti, mentre
un file che potrebbe essere un contenitore veracrypt lo
noterei prima o poi.
 
Resta il punto debolissimo di cui dicevo: se non è
garantitissimo che non verrà cancellato nulla ti
resterebbe in mano il classico pugno di mosche. E per
quanto detto, a te la copia di tutto comunque serve.
 

 la marca temporale.
 
Interessante, ma come si fa?
Può Thunderbird o altro client email effettuare questa Marca temporale 
certa?
Chi certifica la data?

 Chi certifica la data?
 
E' un servizio di Aruba (che è certificata
dall'amministrazione statale) ma suppongo di altri
provider. In pratica installi un loro programma, paghi una
miseria per marca (ovviamente in vari tagli di costo a
seconda del numero) e se vuoi marcare un file lo trascini
nella finestra del software. Ne esce un file di identico
nome ma con un'estensione sua, che può essere accettato in
tribunale, e che codifica la data certa. Dato che ci mette
sempre molto poco anche per file grandi suppongo non
trasmetta il file al provider ma calcoli in locale
un qualche hash che viene trasmesso ai loro server e
conservato in appositi log.
 
Credo che non esisterà mai un addon per TH ma basta 
salvare in eml ed è fatta.
 
Come alternativa mi suggerirono nel NG di diritto un'idea
piuttosto figa, ovvero calcolare da soli l'hash, scriverlo
su una cartolina o qualcosa di simile, e spedirselo (mi
pare l'idea sia sia stata dell'utentessa gIulia) in modo
che resti il timbro dell'ufficio postale. Ancora non c'è
giurisprudenza ma credo che un perito sia di parte sia del
giudice non avrebbe difficoltà a capire che le possibilità
di un falso/collisione sono oltre ogni ragionevole dubbio.
Dato che la possibilità che Aruba o chi per loro possano
perdere i log è remotissima ma non impossibile, se fosse
in ballo tutta la mia vita penso che oltre le marche
temporali userei questo sistema con 3-4 hash diversi,
terrei da parte i programmi con cui sono stati calcolati e
pregare di capitare con un giudice con un minimo di
alfabetizzazione informatica :D
 

 viene trasmesso ai loro server e conservato in appositi log.
 
non ho capito, di che servizio parli?
e a parte questo, una mail datata e firmata dal destinatario che razza di 
valore legale può avere? come dire: tu mi mandi un documento, io lo 
lascio lì a candire per un mese poi ci applico questa fantomatica marca 
temporale. che senso ha?
 

corte dei conti l'email con l'ordine del superiore gerarchico
 
Ti posso dare una risposta paracula.
 
Se ti domandano, "perché hai fatto questo?", grazie alla tua incredibile
memoria che somiglia quasi a un backup segreto di Thunderbird, dici "Era
una richiesta di X a me, il 15 marzo 2017. Basta recuperare quella email
e vedere".
 
Al che ti possono dire "Quella mail non è mai esistita", al che rispondi
"E invece sì, perché <suoindirizzo:mioindirizzo:data:subject:sha> esiste
nel mio elenco di metadati ragionevolmente legittimi da me archiviato su
supporto durevole subito dopo la fine rapporto, e l'MD5 di quel DVD ecco
che risulta marcato con data certa il giorno successivo."
 
Prima di tirare fuori l'elenco, fai un po' di sceneggiata - più la gente
strilla che una cosa non esiste e peggio ne esce quando salta fuori. Fai
notare che è estremamente ingiusto che loro non abbiano copia della mail
e a te non sia stato consentito conservarla per difenderti, *e* l'accusa
sia arrivata dopo che tale possibilità ti era stata tolta.
 
Nel caso veramente grave in cui dicessero che la mail esiste e l'oggetto
ti dà apparentemente ragione ma la mail parlava di altro, senza produrre
la mail o producendone una artefatta, e il giudice ci credesse e la pena
prevista fosse disagevole, guardi bene su un vecchio backup spuntato dai
ravanamenti in soffitta e trovi il file EML, il cui hash SHA corrisponde
a quanto archiviato sul DVD. Ti tocca soggiacere alla eventuale pena per
chi si dimentica di cancellare i backup, ma è un caso estremo. Inoltre a
quel punto loro nel penale non dico che ci sarebbero entrati, ma proprio
ci avrebbero fatto un siuski di quelli col sentimento.
 
(La volta che potrebbe o potrebbe non essere successo a me - fra l'età e
le libagioni, e la spiccata tendenza al romanzo, non sono affidabile - è
stato sufficiente far pervenire l'EML originale per via privata e subito
le parti in causa si resero conto che la email che avevano prodotto loro
era, non già falsa, bensì la email sbagliata; inoltre uno si ricordò che
effettivamente le cose erano andate come avevo detto io. Il caso terminò
quindi nel nulla e con tante scuse per avermi tirato in ballo in cose in
cui non c'entravo. Ma ripeto, potrei essermi sognato tutto).
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

 marca temporale. che senso ha?
 
Nessuno, ovvio. E' così facile falsificare
una email che non sarebbe presa in considerazione nemmeno
con la data certa. Non per niente ho parlato di "elemento
di convincimento" del giudice in presenza della data 
certa, non certo di "prova". Tutto quello che proverebbe è 
che in quella data quel documento esisteva, non che fosse 
autentico.
 
Penso che l'unico modo è che qualcosa resti negli archivi
del posto di lavoro di Leonardo; potrebbe pure essere un
campo X- in una email editata prima della spedizione,
contentente l'hash dei documenti di cui si desidera
provare la provenienza, e poi archiviata da qualche parte
(magari disseminandola in più documenti), l'essenziale è
che i dati da conservare passino inosservati e non venga 
la tentazione di cancellarli. E' chiaro che di espedienti 
se ne possono trovare parecchi, ma sono uno più contorto 
dell'altro. Tutto dipende dalla delicatezza dell'incarico, 
dalla posta in gioco eccetera eccetera. Fossi io, andrei 
di steganografia se ci sono documenti in jpg e/o campi X- 
nelle emails, basta che sia roba conservata.
 

 che senso ha?
 
Può dimostrare che in una determinata data quel documento esisteva, ma 
non può dimostrare che sia autentico.
Però se ti muovono una accusa e tu presenti un documento che ti scagiona 
e che incontrovertibilmente esisteva, che so, due anni prima che 
l'accusa ti fosse mossa, perlomeno è certo che il documento non è stato 
creato ad arte dopo l'accusa stessa. Questa informazione dovrà pure 
valere qualcosa.
 
-- 
Saluti
VITRIOL

 sensibili).
 
Non sapevo che i documenti non si possano archiviare su chiavetta
 personale, gli assessori vecchi lo fanno quando arriva
la nuova
 Giunta. E sono pubblici ufficiali, o no?
 
Comunque da profano suggerisco: stampare tutte le email ricevute,
 sia nel formato "da lettura" del client di posta elettronica, sia
 in formato originale che include le intestazioni internet? Che ne
 dici?
 
Oppure conservare tutte le email su un Cloud (tipo Google Drive)?
 
Hai provveduto a registrare le telefonate, almeno quelle più
 "scottanti",  con cui ti ordinavano di fare X?
 
Se non lo hai fatto, potresti sempre cominciare contattando i tuoi
 superiori ora che stai per licenziarti.
 
Se te lo suggerisco, sono una brutta persona?  ;-)
 
Secondo me con questa privacy ci marciano a sproposito, *e va
 ripensata la legge sulla privacy*, che non serve a niente,
 altrimenti a mia madre non arriverebbe nemmeno una telefonata dei
 call center per cambiare gestore di acqua, luce,
 gas...
-- 

 valere qualcosa.
 
l'accusa ti contesterebbe la stessa cosa, cioè che tu quel documento l'hai 
a suo tempo creato ad arte. se non c'è prova di autenticità stai datando 
della fuffa, da qui chiedersi che senso abbia.

 a suo tempo creato ad arte.
 
Tutto è possibile, ma forse Nostradamus sarebbe facilitato in questo 
compito :-)
 
-- 
Saluti
VITRIOL

 alfabetizzazione informatica :D
 
Concordo... :/

 veramente quanto a date.
 
Vero, hai ragione... Così non dovrebbero proprio
sussistere dubbi.
 

 avrebbero fatto un siuski di quelli col sentimento.
 
Fantastico :))))
 


beh mica tanto. supponiamo che io debba fare una azione per cui mi serve 
una tua autorizzazione scritta che non ho: intanto mi faccio 
l'autorizzazione, ci metto la data di oggi, faccio quello che devo fare e 
quando mi contesterai l'azione io "dimostrerò" che ero già autorizzato :-P

 autorizzato :-P
 
 
Teoricamente hai ragione tu, però credo conti il caso
specifico. Un qualsiasi documento non prescinde mai
totalmente dal contesto, possono esserci informazioni
nella email che rendono la prova solida. Penso alla
donazione di Costanino che venne dimostrata apocrifa e non
poteva essere stata scritta alla sua epoca. Gli originali
ammesso che fossero mai esistiti erano perduti da un pezzo
eppure il lessico usato, sintassi e tanti dettagli
provarono la falsità del documento. C'è sempre qualcosa
della donazione di Costantino in qualsiasi documento, o quasi.
 
Il discorso è "intanto pararsi per quanto possibile", poi
si fa sempre in tempo a valutare e capire se un giudice
accetterebbe il documento, uno se lo tiene nel cassetto e 
si imposta una linea di difesa differente.
 

 quella data.
 
Se ne parlava in altro ramo del thread: è facilissimo
avere la data certa, più facile che col notaio. Il
problema è che non c'è prova della veridicità del
contenuto; se cancellassero tutti i log e tutte le copie
il giudice potrebbe solo prendere atto che in quella data
il documento esisteva ma se sia una prova a discolpa è un
altra faccenda.
 
 

 email fino ai termini della prescrizione?
 
non ho letto tutto il 3d , ti propongo la seguente soluzione
 
a) chiedi al vostro ced una copia di tutta la casella postale
b) fai un veracrypt di tutto il materiale ricevuto
c) consegni il malloppo all'ufficio legale della tua amministrazione, 
con lo spiegone del caso
d) NON CONSEGNI LA PASS DI veracrypt
e) fai un print screen della condivisione ove depositi il tutto
f) protocolli il tutto con lo spiegone di rito " e' qui presente tutto 
il contenuto della casella ..... casomai servisse in futuro .... "
g) tieni la ricevuta del protocollo
 
a questo punto quando avrai problemi in futuro potrai dire all'azienda
" ho agito per ordine ricevuto. nella casella mail c'e' traccia di tutto 
, prendiamo l'archivio che e' sui vostri server e vediamo "
 
cosi' facendo non porti mail fuori dall'azienda, e nello stesso tempo 
hai un'arma da giocare. se hai la ricevuta di un protocollo ove c'e' il 
path dell mail,  allora non resta che consultarle.
solo tu hai la chiave di veracrypt, quindi non posso essere modificate.
 
mi pare risolva tutto.

 certa direzione.
 
devi conservarle
basta la copia completa degli header, se vuoi mandatele ad una pec

 d'azione.
 
Sicuramente una persona poliedrica ed esperta tecnicamente più di tanti 
altri, a lei un doveroso riconoscimento.

 e contenuto di tutte le email ... ;-)
 
Capisco, ma non so se mi fiderei, in caso di grane legali, di
un backup tenuto dalla controparte...
Oltre quanto detto da Leo Serni, ti giro il consiglio passatomi
a suo tempo da un certo professore:
copia tutto, cifralo con la cifratura più dura che trovi, possibilmente
in doppio passaggio di due sistemi diversi, fanne una doppia copia
su due DVD diversi, e dalle a un notaio, che ne certifichi la data di
consegna, li sigilli e gestisca la conservazione separatamente
delle password e dei DVD per un tot di
anni - chiedi a lui
quanti, io direi almeno cinque - per una cifra forfettaria.
Fai tutto tu, lui si limita a mettere un paio di firme per certificare
la presa in carico e relativa data, la cifra non dovrebbe essere
troppo alta.
In caso di rogne, segui i consigli del Serni, e i dati saranno già
"certificati" dal notaio.
Sì, ti potrebbero rompere le scatole per aver tenuto dei dati
blablabla, ma tu potrai obiettare A) di averli protetti a
regola d'arte, e B) di averli tenuti perché temevi contestazioni,
"e avete visto che avevo ragione di farlo?"
 
Bye, G.
 
 
----Android NewsGroup Reader----
https://piaohong.s3-us-west-2.amazonaws.com/usenet/index.html
 

 "e avete visto che avevo ragione di farlo?"
 
infatti. e ad ogni modo dando per scontato non si tratti di documenti 
ufficiali (che in caso può essere chiesto ovviamente di produrli a chi è 
tenuto ad archiviarli) se lui è destinatario o mittente sono 
comunicazioni che è assolutamente legittimo ne sia in possesso, nessuno 
gli chiederà conto di questo e non è tenuto a rivelare che si è 
archiviato indiscriminatamente tutta la casella postale, come e perché.
chiaramente se fa una cosa del genere deve pararsi il didietro 
soprattutto dal rischio di leaks, come furto, smarrimento o in generale 
il rischio che qualcun altro ne possa venire in possesso (anche parenti 
stretti). ma questo si risolve "facile" con la crittografia.
 

 zeppe di dati personali e sensibili?
 
Ovunque, io direi anche su più supporti e con diverse "tecnologie", ma 
comunque sempre protette da password robusta con algoritmo "almeno" AES256.
 
E anche per il GDPR sei a posto.
 
M.

 della fuffa, da qui chiedersi che senso abbia.
 
Ni, l'accusa mi chiede un documento, io lo fornisco, a loro l'onere di 
dimostrarne la falsità.
 
M.

 linea di difesa differente.
 
Amen!
Anche perche' ogni giudice e' un caso a se' stante e non prevedibile a 
priori.
 
M.


beh la mia era una risposta ad un messaggio che opponeva lo stesso 
argomento e aveva il senso di "se vale per me, allora vale anche per te".
 

 Ma ripeto, potrei essermi sognato tutto).
 
BTDTGTTS ;-D !
 

 cui non c'entravo. Ma ripeto, potrei essermi sognato tutto).
 
:D
 
M.

cui non c'entravo. Ma ripeto, potrei essermi sognato tutto).
 
Almeno con te si sono scusati.
Io le sto ancora aspettando (da una intera procura e da un paio di
avvocati che difendono spammer) le scuse per quello che mi ha fatto 10
anni fa la polizia postale *corrotta* di Milano...
 
 
PS: e no, io non mi sono sognato un bel niente. E' stato un incubo,
altroché, le cui conseguenze le subisco ancora adesso.
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

 anni.
 
A parte che 5 anni anni sono pochi, mi sembra lo stesso discorso dei 
promoter delle banche quando dicono che i loro prodotti finanziari sono 
"quotati"...

 lacca su una busta chiusa, allora sarebbe cosa certa e funzionante.
 
mi pare tu sopravvaluti il ruolo di un notaio.
il notaio non ha il potere sovrannaturale di far diventare autentiche 
cose che non lo sono. nella fattispecie tu hai una corrispondenza fra te 
e un'altra persona, e dici che consegnandola tu unilateralmente ad un 
notaio in busta chiusa questa acquisti una qualche valenza di autenticità. 
eh non è così che funziona. 

Rispondo qui sotto a rootkit


> cui non c'entravo. Ma ripeto, potrei essermi sognato tutto).
 
Ehhhh, ho sognato certe cose che voi umani non potete neanche immaginare. Meno
male che sono sempre stati solo innocui sogni :-)
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(