Newsgroup: it.lavoro.informatica
Titolo: [semi-ot] lavorare al computer, un alibi?

Nelle indagini per l'omicidio di Perugia la situazione del ragazzo 
italiano s'č aggravata perchč gli investigatori hanno constatato che sul 
portatile, seppur sempre rimasto acceso, non c'era stata alcuna 
interazione umana tra le 21.10 e le 5.32.
Secondo voi che tecniche di indagine hanno usato per stabilire questo ?
Dimostrare se qualcuno ha navigato in internet credo sia banale in ogni 
caso (dai log del provider, dall'ip e dal nic address), anche se non 
sono sicuro al 100% nel caso di ip dinamici.
Dimostrare che qualcuno ha effettivamente "usato" il pc la vedo piů 
dura. Per capirci, se giochi 8 ore al campo minato non credo che ne 
rimangano tracce sul disco. Inoltre tutti i log legati al timestamp 
potrebbero essere sviati da uno spostamento del time.
Pareri?
ciao, U.

 ha scritto:

E se uno si collega al PC di casa da remoto e ha lancia qualche script che 
simula la navigazione e poi ha cancella i log della connessione remota (e lo 
script di simulazione)?
Per me l'uso del PC non č un alibi.

 script di simulazione)?
i metodi ci sono, pure se hai formattato l' hd puoi risalire a quelle
informazioni (a meno che non lo hai formattato in maniera particolare,
con strumenti e conoscenze adatte...)


possiamo dire che basta copiarsi 10-100-1000
documenti inutili da 100 mb su quell'HD ?
magori dopo una defrag e una formattazione,
giusto per non farci mancare niente :)
felice_pago
.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 documenti inutili da 100 mb su quell'HD ?
Se l'alternativa è finire in galera anche un bel magnete tosto può andar 
bene... ;)
Però credo che il dubbio dell'OP fosse il contrario: dimostrare (non 
nascondere) che il pc è stato usato.
Ciao,
Paolo

 rimangano tracce sul disco.
mentre tu giochi il sistema operativo nel frattempo fa altre cosette...e 
se usi windows non potrai mai sapere *cosa* sta facendo :-)


usano software speciali per interrogare e analizzare il disco .
Se tu gli dai solo il pc , non se ne fanno niente.
Copiano il disco prima di tutto , poi ci fanno girare questi sw speciali 
dell'FBI , e ti vedi sul monitor
una marea di dati e log che manco te l'immagini.
Sono software forensi dedicati e progettati apposta .
Ad es. se hai spostato l'ora se ne accorgono subito. 

 se usi windows non potrai mai sapere *cosa* sta facendo :-)
Neanche se usi un altro SO, sempre che uno non si sia letto tutti i 
sorgenti e compilato kernel, moduli, ogni singola applicazione o 
libreria; e per essere sicuri bisognerebbe anche verificare il compilatore.
Ciao,
Paolo


si, ma win le cosette le fa anche se se lasci il computer acceso e sei 
in giro, che so, a sgozzare studentesse :)


Esatto,
si clona il disco con un software tipo partition magic o simili, o se
la perizia richiesta è fatta su un PC seuqestrato direttamente sul
disco incriminata a macchia spenta, e si fa un'analisi forense
cosidetta "post-mortem".
Mi viene da pensare all'ottimo tool Encase, dove l'analisi viene fatta
appunto, su un hard disk collegato all'interfaccia IDE di un'altro PC.
Oltre a focalizzarsi sull'analisi grezza del file system, si può
analizzare anche il file di swap per trovare eventuali tracce di
processi input/output(da qui potrebbero aver verificato l'interazione
o meno del PC).
I metodi sono svariati, e non  la vedo tanto impossibile e
fantascientifca questa cosa: ci sono aziende che campano su questi
task apparentemente "impossibili"....

 task apparentemente "impossibili"....
Forse conviene aggiungere che un normale utente non si preoccupa di
coprire ogni minima traccia di quello che fa, ad esempio cancellare
file di swap, log vari, registri,  punti di ripristino, ecc.
Tutto ciò non è certo fantascientifico, ma è efficace in moltissimi
casi.
Si dice inoltre che con lettori ultasensibili è possibile leggere hd
anche formattati più volte a basso livello.
A parte il fatto che "interazione umana" può anche significare
semplicemente
rilevare particolari tracce delle dita sulla tastiera.

 potrebbero essere sviati da uno spostamento del time.
beh è una questione di lana caprina. non devono dimostrare che
qualcuno ha usato il pc, semmai il contrario. o per meglio dire
cercano riscontri alle dichiarazioni del tizio che dice di averlo
usato. non vedo che interesse possa aver avuto il tizio a cancellare
le tracce.

 potrebbero essere sviati da uno spostamento del time.
Delle evidenze si trovano, volendo. Soprattutto, è abbastanza facile
usare questo tipo di analisi come "prova negativa": lo scopo, in
questo caso come altri, credo sia smontare degli alibi, più che
provarli.
Cioè, anche con l'analisi più accurata del mondo puoi al limite
accertare che *qualcuno* ha usato un PC in una certa fascia oraria, ma
chi dice sia davvero il sospettato?
Viceversa, di fronte ad una dichiarazione di aver svolto una certa
attività su un PC in una certa fascia oraria, in caso di mendacità è
abbastanza facile trovare delle discrepanze (penso che ne basti anche
solo una, se macroscopica).
bye!

 ciao, U.
ciao Nicola


 bye!


>> Viceversa, di fronte ad una dichiarazione
ma tanto la stanno buttando tutta sull'hascis :
dopo una canna , secondo loro , non ti ricordi cosa hai fatto , dove hai 
dormito , con chi eri , cosa hai visto e udito,
se hai fatto l'amore con qualcuno , se hai cenato oppure no etc etc ...
Cioè gli avvocati spostano il terreno di confronto dall'informatica ( 
scienza esatta ) alla medicina ( scienza non esatta )
quindi va finire tarallucci e vino se non salta fuori qualche testimone 
nuovo. 

 Pareri?
Esistono pacchetti specializzati nel ripulire il PC dalle tracce delle 
attivita' svolte lasciate, ad esempio, nello swap file, nei file index.dat 
generati da explorer etc. etc.
Dai un'occhiata qui:
http://www.evidence-eliminator.cc/
Nella parte finale della pagina troverai la descizione di cio' che il 
pacchetto in questione ripulisce (e quindi di quello che si puo' trovare se 
il disco non viene "ripulito").
bye 

 con strumenti e conoscenze adatte...)
ma quali conoscenze adatte.....ci sono programmi scaricabili free  da 
internet che formattano i dischi  da pc riempiendoli di caratteri ....ci 
vuole solo un po' piu' di tempo a formattare... ma dopo non "rileggi" 
proprio nulla.
ciao
fm 

 proprio nulla.
In laboratorio si riescono a rileggere dati anche sottoposti fino a 20
sovrascritture. Tutto dipende da quanto tempo e quanti soldi ci vuoi
spendere. Comunque, in questo caso nessuno aveva interesse a
cancellare nulla, anzi...
bye!

 e per essere sicuri bisognerebbe anche verificare il compilatore.
Anche se hai appena ricompilato il compilatore la cosa potrebbe comunque non 
bastare ;-)
http://catb.org/jargon/html/B/back-door.html
Massimo

 non bastare ;-)
Per quello ho scritto "verificato il compilatore" e non "ricompilato il 
compilatore". Perché con cosa lo compili un compilatore? E chi ha 
compilato il compilatore che usi per ricompilare il tuo compilatore? ;)
Ciao,
Paolo


Sì, ma alla scientifica mica analizzano l'hd attaccandolo al portatile
dell'appuntato.... Usano macchine "un poco" più sofisticate (sempre
se il ministero gli dà i soldi, visti i tempi) :-)

UC wrote:
:: Pareri?
In un file system NTFS viene registrata anche la data e l'ora di accesso in 
lettura al file
cosi come per i vari rami di registry. Se hai giocato a Campo minato avrai 
letto
i parametri di configurazione. Gli Application Log ed il System Log sono un 
altro indicatore.
Poi ce ne sta un altro ancora: il file di paging. E non ti dico altro.

gattica wrote:
::: Pareri?

Basta il file di paging per sapere quel che hai fatto nelle ultime ore.

 file di swap, log vari, registri,  punti di ripristino, ecc.
più che altro nel caso di specie l'utente sostiene come prova a sua 
difesa di aver usato il pc, non il contrario. quindi se non sono state 
trovate tracce di utilizzo l'ipotesi che l'utente le abbia accuratamente 
cancellate dal punto di vista investigativo non ha alcun senso.

altro, non so , ma la domanda e' interessantissima
L'elenco di tutti i file acceduti in un determinato arco temporale?
Saluti.
-- 
Living in Barbaropoli
http://gensuke.blogspot.com

 sovrascritture.
come farebbe un hd "da pc" a mantenere memoria della magnetizzazione 
precedente?
Hai qualche riferimento certo?....articoli, libri, siti internet 
attendibili....
grazie
ciao
fm

 attendibili....
Sottomano no, prova a googlare.
bye!



esatto... basta il semplice comando linux badblock con 4 passate
casuali...

 interazione umana tra le 21.10 e le 5.32.
Come fanno a capire che a effettuare le operazioni sia stato 
un umano o meno... nel senso mi faccio un programma che che 
mi scrive la tesi intanto vado a fare un reato, ho l'alibi 
del pc.
Oppure lo potrebbe usare anche un'altra persona.
Per me non e' un alibi, ma evidentemente i giornalisti non 
sapevano che altro scrivere.
Cia'

 ciao, U.
Beh se usi Windows, credo basti anche un semplice controllo dell'event
viewer, io di solito lo utilizzo per completare alla fine del mese i
miei rapportini che come al solito dimentico di completare:)

 Cia'
Ciao

 un umano o meno...
Un umano usa fisicamente tastiera, mouse, pulsanti di accensione.
Almeno per adesso.... :-)
Non è detto che l'analisi sul computer si esaurisca nell'ambito
strettamente informatico.

 miei rapportini che come al solito dimentico di completare:)
http://www.filedudes.com/Index_dat_Analyzer-download-41648.html
Io ho trovato questo, freeware e già ti fa il controllo di tutta
l'history, che non è poco. Ma immagino che, pagando, trovi programmi
che ti dicono quando il programma X è stato avviato e addirittura se
c'è stato input da tastiera.
Senza contare una banalissima rilevazione delle impronte, per
completare il tutto.


A me basta che scriva il rapportino in automatico senza dovermi
smazzare ogni volta i filtri, se lo fa allora è ottimo :)

 completare il tutto.
Le impronte non danno l'orario


 Inviato viahttp://
arianna.libero.it/usenet/


Non è detto. Un'impronta di 1 mese fa è chimicamente "fresca"
come quella di 1 ora fa? Ne dubito.