Newsgroup: it.lavoro.informatica
Titolo: Quesito di informatica forense

Tempo fa parlavo con una amica avvocato il cui studio segue un cliente 
che ï¿œ nei guai per truffe varie.
Tra le prove a disposizione ci sono le analisi dei computer 
dell'indagato.
Mi stava dicendo che il loro "addetto ict", consulente, smanettone 
etceteraetcetera ha consigliato loro di contestare le perizio tecniche 
perchï¿œ, testuali parole, "i periti hanno usato software non opensource 
per la verifica e nessuno ci dice cosa succede con quel software quando 
fa le verifiche".
 
In pratica ï¿œ una scatola nera che lascia un risultato, ma sto risultato 
su cosa si basa ?
 
A mio avviso ï¿œ una puttanata galattica, giusto per curiositï¿œ, voi che ne 
pensate? 
Avete qualche esperienza in materia ?
 

 pensate?
 
Informaticamente parlando è una puttanata. I software forensi danno risutati 
indicando anche come li hanno ottenuti, giusto per fare un esempio "Trovato 
file cancellato ai settori 1234567-1234999 con questo contenuto".
 
Tu, sulla tua copia puoi fare altrettanto e se il risultato non torna lo 
contesti.
 
Poi, legalmente, può essere tutto e il contrario di tutto.
 
Ma IMHO se il tizio è colpevole è meglio che cerchi altre strade. Se invece 
è innocente è bene che si tuteli avendo in mano una copia dei dati generata 
davanti ai suoi occhi con hash verbalizzato.
 
Ciao,

 fa le verifiche".
 
In teoria se in fase di perquisizione hanno trovato il pc spento , la prima cosa che hanno fatto
e' farne una copia settore per settore (anche quelli illeggibili con ddrescue),
e fare un hash di tutto il file ottenuto , registrato l'ora del bios e quella UTC in quel momento.
 
Ora sia voi che l'accusa dovreste avere questo file e il suo hash (sha-128 almeno) e l'ora del bios + ora utc presi dalla macchina avviata senza disco(per
capire se ci possono essere discordanze nelle date dei file), indipendentemente dal software usato per l'analisi i risultati possono essere condordanti o 
discordanti, se discordano e hanno un altra spiegazione dovrete nella vostra perizia spiegare il perche' altrimenti se concordano ciccia....
 
Giulia
 
 

 ha scritto:

forse ï¿œ meglio che consigli alla amica di cambiare "addetto ict"...
 

 Avete qualche esperienza in materia ?
 
immagino che lui voglia contestare qualcosa del tipo "chi ti dice che 
quel software, di cui non si conoscono i sorgenti, non abbia alterato il 
disco che ha analizzato?". 
diciamo che come battuta da newsgroup non è male, ma immagino l'avvocato 
saprà bene non può andare in tribunale e contestare una perizia giurata 
con delle illazioni. alterare deliberatamente le prove e per giunta 
durante una perizia giurata è un reato anzichè no, ma anche denunciare un 
rischio di alterazione accidentale ci vuole un po' più di una semplice 
illazione. altrimenti tutto è contestabile (chi ti dice che abbiano 
davvero usato quel software? chi ti dice che non abbiano modificato prima 
i dati sul disco? etc...).
 

che � nei guai per truffe varie.
 
Esperienza personale non mia ma di mia moglie, che era avvocato e partecipava
con il titolare dello studio dove lavorava ad un collegio di difesa. 
Tra le prove vi erano delle intercettazioni telefoniche.
Uno degli altri avvocati del collegio di difesa riusci' a dimostrare, con una
perizia svolta da una societa' di Torino di cui non ricordo il nome, che il
software utilizzato per le registrazioni non garantiva l'integrita' della
registrazione (in pratica la registrazione si avviava in automatico qualche
millisecondo dopo l'avvio effettivo della conversazione sul numero
intercettato). 
Non essendo garantita l'integrita' delle registrazioni queste non furono ammesse
come prove.  

Avete qualche esperienza in materia ?
 
E' una puttanata.
 
Qualsiasi software forense che si rispetti non fa altro che farti una
copia 1:1 del disco dandoti poi la possibilita' di guardarne il
contenuto senza alterarlo.
 
Sfortunatamente i pacchetti closed che girano su windows sono piu'
completi o meglio integrati delle controparti open (es. winhex vs
sleuthkit).
 
Per essere sicuri che i dati non sono stati alterati durante la copia,
e se e' possibile, di solito si preferisce installare un "write
blocker" tra il disco e la schea madre prima di procedere alla copia a
uso master forense, idem quando dal master devi fare N copie meno
pregiate a uso analisi.
 
Non mi stupirebbe se lo smanettone non avesse idea di concetti quali
catena della custodia, integrita' della prova a e via dicendo...
 
-- 
Living in Barbaropoli
http://www.barbaropoli.com
 

 
 
Questo se sono furbi
 
Se invece hanno semplicemente portato via tutto il discorso si fa piu' complicato

 quella UTC in quel momento.
 
Famoso il caso dell'omicidio di chiara poggi( accusato Stasi): i cc 
sequestrarono il pc,lui torna in caserma con una chiavetta usb "posso 
prendere solo il file della mia tesi?" senn� sono bloccato non posso 
laurearmi!
I CC acconsentono,copiano il file della tesi e poi spengono.
 
Quando i ris lo vennero a saper che avevano cos� sputtanato tutti gli orari 
dei files e del pc ,i cc ammisero di non sapere di aver fatto un guaio,ma 
ormai ..... 
 
 

 
 
almeno a quel soggetto la tesi ï¿œ servita a qualcosa ;)
 

 come prove.
 
 
Se si trattava di conversazioni vocali telefoniche, mi sembra una posizione estremamente rigida. Forse bisognava anche dimostrare cosa si poteva dire in quei millisecondi mancanti. Una pernacchia accelerata 1000 volte? :-)

Una pernacchia accelerata 1000 volte? :-)
 
Il punto credo sia diverso, il garantire l'integrita' della registrazione sta a
significare che cio' che ascoltiamo e' effettivamente accaduto  e non frutto di
un qualche artificio. Se gia di per se lo strumento utilizzato non garantisce
tale integrita' viene meno la certezza che quello che e' stato registrato sia
stato effettivamente detto e non piuttosto frutto di un "montaggio" audio fatto
ad arte. Non a caso se leggi i verbali degli interrogatori di chi e' stato
intercettato (spesso pubblicate dai giornali nelle piu' svariate inchieste) una
domanda specifica che gli investigatori propongono e' se l'indagato riconosce di
aver pronunciato certe parole piuttosto di aver svolto una certa conversazione
con tizio vertente sul motivo dell'indagine o dell'interrogatorio. Altro
problema che avevano tempo fa' era pure quello della conservazione dei nastri,
che avevano una durata di una decina d'anni.

 ad arte. 
 
Nella fattispecie, dando per scontato che qualunque sistema di registrazione scatta con un certo delta di ritardo, sarebbe interessante sapere perchè il giudice ha ritenuto inaccettabile il ritardo di qualche millisecondo (che per una conversazione vocale mi sembra minimo), piuttosto che di microsecondi o nanosecondi.
Sinceramente sono più portato a credere che il giudice non abbia per niente valutato la questione tecnica dell'inevitabile ritardo, ma abbia scelto la via più semplice escludendo la registrazione toutcourt, magari perchè c'erano altre prove più tradizionali (leggi: le cartuscelle a cui alcuni sono affezionati :-). 

 piuttosto che di microsecondi o nanosecondi.
 
da quello che è stato detto non è stata la questione ritardo ma il fatto 
che l'avvocato ha dimostrato che il metodo di registrazione non garantiva 
l'integrità. faccio un esempio che mi è più congeniale e che rende 
l'idea: tutte le misurazioni vengono espresse con una incertezza che 
dipende dalla precisione garantita dallo strumento, ma se scopri che lo 
strumento non ti garantisce la precisione tu non sei in grado di dire 
quale sia l'incertezza della tua misurazione. di conseguenza la 
misurazione diventa un numero del lotto. 


Nel messaggio Suarez dice che l'inaffidabilità è stata decisa sulla base di quel famoso ritardo all'avvio di qualche millisecondo, e non dice nulla di più. Ma comunque può essere come dici, per cui il software è stato ritenuto non valido in quanto questo ritardo non era dichiarato esplicitamente "in targa". E pertanto si possono avanzare legittimi dubbi sulla presenza di altre caratteristiche o difetti non esplicitati.
Però la motivazione diventa un pò più articolata, legata cioè alla corrispondenza tra le prestazioni dichiarate e quelle accertate, non legata alla validità in assoluto della prestazione dichiarata.

 nulla di più. 
 
no, dice che partendo da quel ritardo hanno dimostrato al giudice che il 
software utilizzato non garantiva l'integrità della registrazione. il 
punto chiave è questo, non il ritardo in se che ovviamente è di entità 
irrilevante.
 

quel famoso ritardo all'avvio di qualche millisecondo, e non dice nulla di pi�. 


 >>intercettato).
 
Da come è scritta la frase si desume solo che il software si avviava con un ritardo di qualche millisecondo (causa) e pertanto non garantiva l'integrità, cioè si perdeva dei pezzi *all'inizio* della conversazione (effetto). Nulla si dice di cosa accadeva nel mezzo od alla fine.
Siccome ovviamente in qualche millisecondo non ci sta nessuna parte utile di conversazione (forse perfino un giudice od avvocato lo sa :-), è giusto desumere che ci sia una spiegazione più articolata, tipo quella di rootkit.
Altrimenti resterebbe che, alla lettera, il giudice ha respinto la prova solo perchè mancava qualche millisecondo *all'inizio* della conversazione. Il che lo valuto troppo rigido (eufemismo :-)