La catena di custodia di un file: cosa la tiene in piedi

Il punto debole di una prova digitale non e' quasi mai il momento in cui la si prende. E' tutto quello che viene dopo: chi l'ha tenuta, su cosa, e come si dimostra che il file di oggi e' identico a quello di allora. La catena di custodia serve a rispondere a quella domanda mesi dopo, davanti a qualcuno che ha tutto l'interesse a incrinarla.

Perche' l'impronta si calcola per prima

Un'impronta crittografica, in pratica uno SHA-256, e' una stringa che cambia interamente se cambia un solo bit del file. Calcolata al momento dell'acquisizione e messa a verbale, congela il contenuto: chiunque, in qualsiasi momento, puo' ricalcolarla e confrontarla.

Calcolarla dopo, quando il file e' gia' passato da tre supporti e da un client di posta, non e' inutile ma prova molto meno: certifica lo stato in cui il file si trovava a quel punto, non quello che aveva quando e' stato acquisito. Il valore dell'impronta sta tutto nel momento in cui la si prende.

Che cosa deve risultare dagli atti

Il criterio pratico e' semplice: dal fascicolo deve potersi ricostruire il percorso del dato senza dover chiedere niente a chi c'era. Cioe' data, ora, luogo, persone presenti, strumento usato, e il passaggio di mano di ogni supporto.

1. 1Da dove viene il dato: dispositivo, account, impianto di videosorveglianza, e chi lo aveva in disponibilita'.
2. 2Come e' stato preso: copia bit a bit, esportazione dall'applicativo, ripresa dello schermo. Sono tre cose diverse e vanno chiamate col loro nome.
3. 3L'impronta del file o dell'immagine forense, calcolata sul posto e trascritta per intero.
4. 4Chi ha ricevuto il supporto, quando, e dove e' stato custodito fino al passaggio successivo.
5. 5Le operazioni fatte sulla copia, mai sull'originale.

Originale e copia

La regola operativa e' che si lavora sulla copia e l'originale non si tocca piu'. Quando l'originale e' un supporto fisico, va sigillato e descritto in modo che il sigillo sia verificabile. Quando e' un flusso che non si puo' congelare, per esempio una diretta o un contenuto che sta per sparire, si documenta esattamente questo: che cosa impediva l'acquisizione ordinaria e come si e' proceduto.

La misura di una buona catena di custodia e' quanto poco bisogna fidarsi della memoria di chi l'ha formata.

Il verbale, riga per riga

Un verbale di acquisizione utile e' noioso di proposito. Descrive lo stato dei luoghi e del dispositivo, dice se era acceso o spento, riporta il modello e il numero seriale quando ci sono, indica l'orario di sistema e se questo divergeva dall'orario reale. Quest'ultimo dato sembra minore e non lo e': su una ricostruzione temporale, un orologio indietro di venti minuti sposta tutto.

• Le persone presenti e la qualita' in cui erano presenti.
• Gli avvisi dati e i diritti esercitati o rinunciati, con l'ora.
• L'elenco dei file acquisiti con nome, dimensione e impronta.
• Il supporto di destinazione, identificato in modo che non sia confondibile con un altro identico.

Cosa succede se un anello manca

Non c'e' un automatismo: un vuoto nella catena non rende la prova inutilizzabile per definizione, ma sposta la discussione dal contenuto del file alla sua affidabilita', ed e' una discussione che si perde spesso. Il rimedio non e' argomentare meglio dopo: e' non lasciare il vuoto.