La catena di custodia di un file: cosa la tiene in piedi

Il punto debole di una prova digitale non è quasi mai il momento in cui la si prende. È tutto quello che viene dopo: chi l'ha tenuta, su cosa, e come si dimostra che il file di oggi è identico a quello di allora. La catena di custodia serve a rispondere a quella domanda mesi dopo, davanti a qualcuno che ha tutto l'interesse a incrinarla.

Perché l'impronta si calcola per prima

Un'impronta crittografica, in pratica uno SHA-256, è una stringa che cambia interamente se cambia un solo bit del file. Calcolata al momento dell'acquisizione e messa a verbale, congela il contenuto: chiunque, in qualsiasi momento, può ricalcolarla e confrontarla.

Calcolarla dopo, quando il file è già passato da tre supporti e da un client di posta, non è inutile ma prova molto meno: certifica lo stato in cui il file si trovava a quel punto, non quello che aveva quando è stato acquisito. Il valore dell'impronta sta tutto nel momento in cui la si prende.

Che cosa deve risultare dagli atti

Il criterio pratico è semplice: dal fascicolo deve potersi ricostruire il percorso del dato senza dover chiedere niente a chi c'era. Cioè data, ora, luogo, persone presenti, strumento usato, e il passaggio di mano di ogni supporto.

1. 1Da dove viene il dato: dispositivo, account, impianto di videosorveglianza, e chi lo aveva in disponibilità.
2. 2Come è stato preso: copia bit a bit, esportazione dall'applicativo, ripresa dello schermo. Sono tre cose diverse e vanno chiamate col loro nome.
3. 3L'impronta del file o dell'immagine forense, calcolata sul posto e trascritta per intero.
4. 4Chi ha ricevuto il supporto, quando, e dove è stato custodito fino al passaggio successivo.
5. 5Le operazioni fatte sulla copia, mai sull'originale.

Originale e copia

La regola operativa è che si lavora sulla copia e l'originale non si tocca più. Quando l'originale è un supporto fisico, va sigillato e descritto in modo che il sigillo sia verificabile. Quando è un flusso che non si può congelare, per esempio una diretta o un contenuto che sta per sparire, si documenta esattamente questo: che cosa impediva l'acquisizione ordinaria e come si è proceduto.

La misura di una buona catena di custodia è quanto poco bisogna fidarsi della memoria di chi l'ha formata.

Il verbale, riga per riga

Un verbale di acquisizione utile è noioso di proposito. Descrive lo stato dei luoghi e del dispositivo, dice se era acceso o spento, riporta il modello e il numero seriale quando ci sono, indica l'orario di sistema e se questo divergeva dall'orario reale. Quest'ultimo dato sembra minore e non lo è: su una ricostruzione temporale, un orologio indietro di venti minuti sposta tutto.

• Le persone presenti e la qualità in cui erano presenti.
• Gli avvisi dati e i diritti esercitati o rinunciati, con l'ora.
• L'elenco dei file acquisiti con nome, dimensione e impronta.
• Il supporto di destinazione, identificato in modo che non sia confondibile con un altro identico.

Cosa succede se un anello manca

Non c'è un automatismo: un vuoto nella catena non rende la prova inutilizzabile per definizione, ma sposta la discussione dal contenuto del file alla sua affidabilità, ed è una discussione che si perde spesso. Il rimedio non è argomentare meglio dopo: è non lasciare il vuoto.