Indagini forensi sui dispositivi

La computer forensics è quella disciplina della scienza forense legata all’acquisizione di prove da computer o altri dispositivi di memorizzazione digitale. Il fine è quello di esaminare il materiale elettronico seguendo processi di analisi forense (linee guida, pratiche condivisibili) allo scopo di identificare, preservare, acquisire, recuperare, analizzare e presentare delle prove in un contesto giudiziario, a sostegno di una tesi o di una ricostruzione di eventi. La prova dev’essere affidabile e non pregiudizievole, il che significa che in tutte le fasi dell’investigazione forense l’ammissibilità deve costituire l’elemento nodale.

La mobile forensics regola la fase di acquisizione, preservazione, analisi e reporting delle evidenze digitali estraibili da un dispositivo mobile, come telefoni obsoleti o con funzioni elementari, smartphone, sim card, dispositivi GPS portatili, tablet e droni. A differenza della computer forensics convenzionale, dove l’analisi delle “evidenze” avviene post mortem (a dispositivo spento), gli apparati mobili permangono attivi costantemente, anche durante l’acquisizione, e il loro contenuto viene continuamente aggiornato, presupponendo l’utilizzo di tecniche, modalità e strumentazioni idonee al caso specifico, onde scongiurare l’inutilizzabilità della prova eventualmente acquisita.

L’image forensics è un termine comunemente utilizzato per indicare l’analisi dell’autenticità di un file immagine, per valutare la presenza di falsi e per determinare il dispositivo di origine. Nel campo della medicina legale e in quello delle forze dell’ordine e/o dell’Autorità Giudiziaria, è invece impiegato, in modo più ampio, per segnalare un’indagine completa, vertente sia sull’autenticità dell’immagine che sull’analisi del suo contenuto.

Si riporta a riguardo la definizione del SWGIT (Scientific Working Group on Imaging Technologies): “Forensic Image Analysis is the application of image science and domain expertise to interpret the content of an image and/or the image itself in legal matters. Major subdisciplines of Forensic Image Analysis with law enforcement applications include: Photogrammetry, Photographic Comparison, Content Analysis, and Image Authentication.“

Oltre alle conoscenze di base, per l’espletamento degli accertamenti si rende necessario il ricorso a diversi strumenti software e procedure, facendo affidamento su svariati approcci e algoritmi, che devono essere convalidati e accettati dalla comunità scientifica; l’analisi deve essere inoltre ripetibile e riproducibile. Mantenere l’integrità della prova è difatti un elemento chiave in ambito giudiziario, poiché eventuali manipolazioni improprie potrebbero invalidare la prova. E’ basilare che la fonte originale non sia mai sottoposta a nessun tipo di rendering, di modifica o di trasformazione.

L’audio forensics è il campo della scienza forense relativo all’acquisizione, all’analisi e alla valutazione delle registrazioni sonore utilizzabili come fonti di prova in procedimenti giudiziari. Tra i principali aspetti della disciplina rientrano indubbiamente l’accertamento dell’autenticità della prova audio, l’ottimizzazione della registrazione (per migliorare, ove possibile, l’intelligibilità del parlato e l’udibilità dei suoni di basso livello), nonché l’interpretazione e la documentazione della prova fonica. Da non sottovalutare, ancor prima di avviare la fase forense, l’analisi del dispositivo elettronico che ha prodotto la registrazione, al fine di rilevare il comportamento idiosincratico dell’apparecchiatura generante.

La Network forensics è la branca dell’informatica forense che si occupa della registrazione e dell’analisi di eventi che si verificano nelle comunicazioni di rete (veicolate su precisi protocolli standard) al fine di ottenere informazioni utili allo svolgimento di indagini tecniche in ambito legale/giudiziario.

Il servizio recupero dati (in inglese data recovery) consiste nel recupero delle informazioni residenti nei supporti di memoria danneggiati, corrotti o “irraggiungibili”. In alcuni casi il “guasto” è di tipo logico, cioè legato al sistema logico di memorizzazione ovvero ad errori dell’operatore o altro e non comporta un malfunzionamento fisico del supporto, che risulta correttamente funzionante, pur inibendo il raggiungimento dei dati. In tali circostanze è opportuno astenersi da tentativi azzardati (che potrebbero compromettere irrimediabilmente la perdita definitiva del dato) rivolgendosi dunque a personale esperto, addestrato, che ricorrerebbe, con alta percentuale di successo, a software e/o hardware dedicati e progettati per il recupero dati.

Quando il “danno” invece è “fisico”, è raro che un intervento software possa essere risolutivo. Il danno fisico solitamente si manifesta con blocchi della lettura, impossibilità completa di accesso al supporto, rumori anomali, guasti di componenti. Usualmente gli interventi volti al recupero non sono alla portata dell’utente comune, bensì appannaggio di ditte specializzate dotate di attrezzature specifiche e laboratori muniti di ambienti protetti (camere bianche).