Enron non è semplicemente andata in rovina. È imploso. Quando il colosso energetico crollò nel dicembre 2001, lasciò centinaia di lavoratori disoccupati mentre i dirigenti sembravano andarsene con le tasche piene. Il Congresso degli Stati Uniti fiutava un gioco scorretto. Hanno avviato un’indagine che non si è basata solo sulle testimonianze o sui documenti triturati. Si basava sui dati. Una forza investigativa digitale specializzata è stata impiegata per setacciare centinaia di computer dei dipendenti. Stavano usando la informatica forense per ricostruire la scena del crimine in silicio e codice.
Questo campo esiste per cercare, conservare e analizzare le informazioni digitali per procedimenti legali. L’obiettivo è semplice: trovare prove. Ma l’esecuzione è disordinata. Mentre gli investigatori tradizionali sulla scena del crimine cercano impronte digitali e schizzi di sangue, i detective digitali vanno alla ricerca di metadati e frammenti cancellati. I principi sono simili. La realtà è molto diversa.
Considera questo: semplicemente aprendo un file lo si cambia. È una stranezza fondamentale del funzionamento dei sistemi operativi. Il computer registra la data e l’ora dell’accesso direttamente negli attributi del file. Se un detective si impossessa di un disco rigido e inizia a frugare in giro, sta alterando le prove. Stanno contaminando la scena. Gli avvocati questo lo sanno. Aspettano questo momento in tribunale per contestare la fondatezza delle prove. Se non puoi dimostrare che i dati non sono stati manomessi, sono inutili.
Ciò solleva la domanda scomoda. Perché fidarsi delle prove digitali? Gli scettici sostengono che, poiché i dati informatici vengono alterati così facilmente, non dovrebbero mai essere ammissibili in un processo. È fragile. È mutevole. Eppure molti paesi lo consentono ancora. Per ora. Se un caso di alto profilo fallisce perché un giudice dichiara inaffidabili le prove digitali, il precedente potrebbe cambiare tutto. La porta potrebbe chiudersi completamente all’analisi forense digitale.
La posta in gioco sta aumentando. I computer stanno diventando più veloci. I dischi rigidi si stanno espandendo da megabyte a terabyte. All’inizio, un singolo investigatore poteva esaminare manualmente ogni file su una macchina. Lo spazio di archiviazione era piccolo. Il compito era gestibile. Oggi? È un incubo. Setacciare terabyte di dati richiede nuovi strumenti, nuove strategie e risorse significative. Gli investigatori non possono più semplicemente aprire cartelle. Hanno bisogno di software specializzato per filtrare il rumore dal segnale.
Quindi, cosa succede realmente in un’indagine digitale? Come fanno gli esperti a trovare la verità in un mare di uno e zero? E perché alcuni specialisti della sicurezza cercano attivamente di violare questi sistemi?
L’argomentazione antiforense
Vincent Liu non è solo un critico. È un praticante. Specialista della sicurezza informatica, Liu una volta sviluppò applicazioni anti-forensi. Non lo ha fatto per aiutare i criminali a nascondersi. Non lo ha fatto per rendere la vita più difficile alle forze dell’ordine. Lo ha fatto per dimostrare un punto.
I dati del computer non sono affidabili. Non dovrebbe essere usato come prova in un tribunale.
Il lavoro di Liu evidenzia una vulnerabilità critica. Gli strumenti di informatica forense non sono infallibili. Hanno delle lacune. Hanno delle supposizioni. Se ti affidi ciecamente a loro, stai costruendo un caso su un terreno instabile. Liu sostiene che l’attuale affidamento alla informatica forense come fonte di verità è un errore. Gli strumenti possono essere aggirati. I dati possono essere manipolati. Le conclusioni tratte da tali dati possono essere errate.
Questo non è solo teorico. È un problema pratico che riguarda ogni processo che coinvolge prove digitali. Quando un detective afferma di aver trovato una prova evidente in un disco rigido, devi sapere come è arrivato lì. Hanno preservato la catena di custodia? Hanno tenuto conto delle modifiche ai metadati? Hanno utilizzato strumenti che introducono i propri errori?
Il campo deve evolversi. Non può rimanere statico. Man mano che lo spazio di archiviazione cresce e la crittografia diventa più sofisticata, i vecchi metodi cadono a pezzi. Gli investigatori stanno scavando più a fondo nei file system, alla ricerca di ombre di dati cancellati, recuperando frammenti che gli utenti pensavano fossero andati perduti per sempre. Ma è una corsa agli armamenti. Man mano che la scientifica migliora, migliora anche la capacità di nascondersi.
Cosa cercano realmente gli investigatori? Cercano i timestamp. Cercano chiavi di registro. Cercano i log di rete
L’evoluzione delle regole sulla prova digitale
L’informatica forense è ancora un campo neonato. All’inizio, i tribunali trattavano i dati come documenti cartacei. Ciò è cambiato quando i giudici si sono resi conto che i file digitali sono fragili. Puoi corromperli. Distruggili. Cambiali senza lasciare traccia.
Gli investigatori avevano bisogno di strumenti che non alterassero la fonte. Hanno collaborato con scienziati informatici. Insieme hanno creato procedure. Questi divennero il fondamento della moderna informatica forense.
Mandati e limiti della perquisizione
Gli investigatori di solito hanno bisogno di un mandato per perquisire la macchina di un sospettato. Non è un pass gratuito. Il documento specifica dove cercare. Definisce ciò che conta come prova. I termini vaghi vengono rifiutati. I giudici vogliono precisione.
Considera questo scenario. Un detective ottiene un mandato per un laptop. Arriva a casa del sospettato. Vede un PC desktop nell’angolo. Non può toccarlo. Non era sul mandato. A meno che non rientri in un’eccezione, l’hardware rimane vietato.
Gli investigatori fanno prima i compiti. Ricercano il sospettato. Restringono il campo di applicazione. Questa specificità fa risparmiare tempo in seguito.
Cosa determina la durata dell’indagine?
Non esistono due casi identici. Alcuni si concludono in una settimana. Altri si trascinano per mesi. Diverse variabili allungano la sequenza temporale.
- Competenza investigativa. I professionisti esperti si muovono più velocemente.
- Volume di dispositivi. Un’unità? Veloce. Dieci? Più lentamente.
- Capacità di archiviazione. L’ordinamento dei terabyte richiede tempo. Pen drive, CD, DVD: tutto si somma.
- Tattiche di offuscamento. Il sospettato ha eliminato i file? Nascondere le cartelle?
- Crittografia. I file protetti da password rallentano notevolmente gli investigatori.
La dottrina della visione semplice
Cosa succede se un detective vede qualcosa di incriminante mentre sta eseguendo un mandato? Si applica la dottrina della visione semplice.
Se il PC desktop del sospettato era acceso e mostrava prove di un crimine, l’investigatore può sequestrarlo. Anche se il mandato originale copriva solo il portatile. Le prove sono allo scoperto.
Ma c’è un problema. Il dispositivo deve essere attivo. Se lo schermo è nero, il detective non può accenderlo per controllare. Ciò violerebbe la portata del mandato. Quindi lo lasciano stare.
Questa distinzione è importante. Definisce il confine tra perquisizione legale e intrusione. Obbliga gli investigatori a stare attenti. Per rispettare lo stato dell’hardware. Capire che un computer spento è una stanza sigillata fino a prova contraria.
Il confine tra ammissibile e inammissibile spesso dipende da quell’unico interruttore. Acceso o spento. Visibile o nascosto.
La minaccia anti-forense
Pensi che l’eliminazione di un file lo ripulisca? Non è così. Il tuo computer contrassegna semplicemente quel settore come vuoto. I dati restano lì, come fantasmi, finché qualcosa di nuovo non li sovrascrive. Ecco perché gli strumenti di recupero funzionano così bene per i file cancellati. Ma alcuni criminali non si affidano all’eliminazione standard. Usano anti-forense.
Si tratta di tecniche progettate per ostacolare le indagini. Rendono le prove più difficili da trovare, più difficili da leggere o impossibili da dimostrare in tribunale. Se stai scavando nel sistema di un sospettato, non stai solo combattendo contro il tempo. Stai combattendo la resistenza attiva.
Perché le prove vengono eliminate
Judd Robbins, uno dei massimi esperti del settore, suddivide il flusso di lavoro forense in passaggi rigidi. Ne manchi uno e l’intero caso crolla. Diamo un’occhiata alla meccanica.
1. Isolare il sistema
Per prima cosa tagli il cavo. Se la macchina è online, disconnetterla. È necessario interrompere la cancellazione remota, la sincronizzazione cloud o la manomissione in tempo reale. Proteggi l’hardware. Nessuna mano non autorizzata. Se la catena di custodia si rompe qui, tutto ciò che segue è sospetto.
2. Clona, non toccare
Non lavorare mai sull’unità originale. L’accesso a un file ne modifica i metadati. I timestamp cambiano. I frammenti si muovono. Fai una copia bit per bit di ogni dispositivo di archiviazione coinvolto. Dischi rigidi. SSD. Chiavette USB. Recinti esterni. Interagisci solo con il clone. L’originale rimane intatto, custodito nelle prove.
3. Dai la caccia ai nascosti
I file non svaniscono semplicemente. Si nascondono. Gli investigatori utilizzano strumenti per:
– Recupera i dati cancellati dallo spazio non allocato (l’area del disco “inutilizzata” spesso contiene frammenti di vecchi file).
– Rivela i file nascosti che non vengono visualizzati nell’interfaccia del sistema operativo standard.
– Decrittografare i dati protetti da password o crittografati.
4. Documenta tutto
È qui che muore la maggior parte dei casi. Hai bisogno di una traccia cartacea. Ogni comando viene eseguito. Ogni strumento utilizzato. Ogni file trovato. Documentare il layout fisico del sistema. Annoti quali file sono stati crittografati. Registra lo stato dell’unità prima di iniziare. Possono passare anni prima del processo. Senza questo registro, il giudice non accetterà i tuoi risultati.
5. Mantieni la tua posizione
Il lavoro non è finito quando viene archiviata la denuncia. Potrebbe essere necessario testimoniare. In qualità di testimone esperto, spieghi come hai ottenuto le prove. Difendi i tuoi metodi. Resisti al controinterrogatorio. Se il tuo processo è stato sciatto, le prove vengono scartate.
La sfida crescente
Il primo passo, ovvero la messa in sicurezza del sistema, non è negoziabile. Ma è anche più difficile che mai. All’inizio sequestravi un PC e una pila di floppy disk. Semplice. Gestibile.
Oggi? Stai guardando un pasticcio di periferiche. Più laptop. Unità esterne ad alta capacità. Dispositivi intelligenti. Server Web. Gadget dell’IoT. La superficie d’attacco è esplosa. Ogni dispositivo è un potenziale caveau. Ogni caveau è un potenziale campo minato.
Inserisci l’anti-forense
I criminali lo sanno. Si sono adattati. Usano software creato appositamente per confondere gli investigatori. Gli strumenti antiforensi mirano a:
– Offusca : fa sì che i dati sembrino rumore.
– Cancella : cancella i dati in modo sicuro in modo che non possano essere recuperati.
– Impianto : Inserisci prove false per fuorviare le indagini.
– Ostruisci : crittografa i dati con chiavi impossibili da recuperare.
Questi non sono solo strumenti per la privacy. Sono armi contro la scoperta. Gli investigatori devono sapere come individuarli. Come disabilitarli. Come aggirarli.
La realtà della ripresa
Quando premi “Elimina”, non stai rimuovendo il file. Stai rimuovendo il puntatore. I pezzi effettivi rimangono al loro posto. Con il software giusto, puoi riportarli indietro. Ma solo se non sono stati sovrascritti.
Gli strumenti anti-forensi complicano tutto questo. Potrebbero riempire lo spazio libero con dati casuali. Potrebbero utilizzare una crittografia complessa. Potrebbero frammentare i file su più unità per nasconderli.
L’obiettivo non è solo trovare cosa c’è. È per dimostrare cosa c’era. E nell’era della resistenza digitale, tale prova diventa sempre più difficile da garantire.
Tracce nascoste: come l’anti-forense complica le indagini digitali
Gli investigatori forensi li odiano. Strumenti antiforensi. Sono costruiti per uno scopo: rendere impossibile o incredibilmente difficile il recupero dei dati durante un’indagine. Questi programmi, gadget e tecniche ostacolano attivamente il recupero delle prove digitali.
I metodi sono vari. Alcuni software manipolano le intestazioni dei file. Queste intestazioni sono invisibili agli esseri umani ma vitali per il sistema operativo. Identificano il tipo di file. Rinominare un MP3 in .gif? Il computer vede ancora l’intestazione MP3. Ma gli strumenti anti-forensi possono alterare queste intestazioni. Il sistema pensa che stia guardando una GIF. Gli investigatori che cercano file audio potrebbero saltare oltre le prove nascoste.
Conservazione dei dati nello Slack Space
Poi c’è lo spazio libero. I file spesso lasciano spazio inutilizzato alla fine. Strumenti specializzati possono suddividere un file in blocchi e nascondere ogni pezzo nello spazio libero di altri file. Il recupero di questi dati richiede molto più della semplice ricerca. Devi trovare ogni frammento e rimontarlo. È un processo noioso e impegnativo.
I file eseguibili sono un altro obiettivo. I Packer possono inserire un eseguibile in un tipo di file diverso. I raccoglitori possono unire più file eseguibili insieme. Questo offuscamento rende difficile isolare il malware o il programma.
Crittografia e manomissione dei metadati
La crittografia è lo scudo più semplice. Un algoritmo confonde i dati trasformandoli in sciocchezze. Solo la chiave lo apre. Gli investigatori devono decifrare l’algoritmo senza la chiave. Algoritmi migliori significano attese più lunghe.
Anche i metadati sono vulnerabili. Tiene traccia delle date di creazione, dei tempi di modifica e dei registri di accesso. Normalmente immutabili, i metadati possono essere riscritti. Immagina un file che afferma di essere stato creato nell’anno 2026 e che l’ultimo accesso è avvenuto nel 1920. Se i metadati sono falsi, l’affidabilità delle prove crolla. Diventa più difficile presentarsi in tribunale.
Strumenti autodistruttivi e controinvestigativi
Alcune applicazioni cancellano i dati se rilevano un accesso non autorizzato. Altri sono progettati per bloccare o attaccare il software forense stesso. Se un sospettato sa come funziona la scientifica, può costruire difese contro di essa. Gli investigatori devono usare estrema cautela e ingegnosità per aggirare queste trappole.
La questione giuridica
Perché farlo? Alcuni lo fanno per dimostrare che i dati digitali sono inaffidabili. Se non riesci a verificare quando è stato creato un file o se è mai esistito, puoi fidarti? Questa è una preoccupazione legale legittima. Gli standard di prova variano a seconda del paese. Alcuni accettano prontamente le prove digitali. Altri richiedono prove più rigorose.
Quali sono esattamente questi standard? Lo scopriremo nella prossima sezione.
Dimostrazione della catena di custodia digitale
Sbaglia l’hardware e l’intero caso crolla. Questa è la cruda realtà per gli investigatori statunitensi. Il manuale del Dipartimento di Giustizia Ricerca e sequestro di computer e acquisizione di prove elettroniche nelle indagini penali delinea le linee dure. Quando possono toccare la macchina? Cosa resta in tribunale? Le regole sul “sentito dire** e sull’ammissibilità non sono solo esercizi accademici. Sono i guardiani.
Considera il sequestro stesso. Se il sistema è solo un recipiente di stoccaggio, gli investigatori generalmente non possono prendere la scatola fisica. Sono limitati a ciò che possono vedere sul campo. Ma se il crimine è l’hardware, come un laptop rubato, possono sequestrare il dispositivo stesso. Lo portano in un laboratorio. La distinzione conta. Definisce l’ambito dell’indagine prima che un singolo bit venga analizzato.
Per ammettere questi dati, l’accusa deve autenticarli. Questo è il lavoro pesante. Devono dimostrare due cose: i dati provengono dalla macchina del sospettato e da allora non sono stati più modificati. La manomissione è facile. I tribunali lo sanno. Non scartano automaticamente le prove digitali perché potrebbero essere false. Richiedono prove di manomissione per buttarlo fuori. L’onere della prova passa alla difesa per dimostrare che i dati sono sporchi. Se non possono, le prove restano.
Poi c’è l’ostacolo del sentito dire. Il sentito dire è una dichiarazione extragiudiziale offerta per dimostrare la verità della questione. Di solito è vietato. Registri digitali? Di solito non per sentito dire. Il computer sta semplicemente registrando eventi. Ma le e-mail sono diverse. Queste sono affermazioni umane. I tribunali devono decidere se l’e-mail è affidabile. Questo accade caso per caso. Nessuna regola generale. Solo un giudice che valuta la fonte.
Recupero dati transfrontaliero
I crimini digitali ignorano i confini. Le leggi no. Questa discrepanza crea un incubo logistico per gli investigatori. Ciò che è un crimine in una nazione è legale in un’altra. Non esiste un protocollo internazionale unificato per la raccolta di prove informatiche. È un paesaggio frammentato.
Alcuni stanno cercando di risolverlo. Le nazioni del G8 – Stati Uniti, Canada, Francia, Germania, Regno Unito, Giappone, Italia, Russia – hanno redatto sei linee guida generali. L’obiettivo è ristretto: preservare l’integrità delle prove. Non stanno cercando di armonizzare le leggi. Solo il processo forense. È un inizio. Ma senza regole standardizzate, le richieste transfrontaliere rimangono lente e incerte. Gli investigatori devono ancora affrontare il muro della giurisdizione ogni volta che rintracciano un indirizzo IP all’estero.
Il kit di strumenti
La medicina legale non è magia. È un processo supportato da strumenti specifici. Queste applicazioni consentono agli esperti di copiare, analizzare e verificare i dati senza alterare la fonte originale. La sezione successiva analizza il software e l’hardware effettivamente utilizzati per trasformare i dati grezzi in fatti pronti per l’aula di tribunale.
Gli strumenti dietro l’indagine
I vincoli di budget e le competenze interne di solito determinano quali strumenti utilizzare i dipartimenti di polizia. Ma indipendentemente dal budget, l’hardware e il software principali rimangono sostanzialmente gli stessi. Hai bisogno di un modo per fermare una scena nel tempo digitale.
Il software di imaging del disco è la prima linea di difesa. Non si limita a copiare i file. Registra l’intera struttura di un disco rigido. Ciò preserva il modo in cui sono organizzati i file e le loro relazioni tra loro. Se copi solo i dati visibili, perdi il contesto. L’immagine cattura tutto.
Poi ci sono i blocchi di scrittura. Possono essere unità hardware o protocolli software. Garantiscono che quando gli investigatori copiano un’unità bit per bit, i dati originali non vengono mai toccati. Alcune configurazioni richiedono l’estrazione dell’unità dal computer del sospetto. Altri lavorano in linea. L’obiettivo è identico: creare una copia incontaminata senza alterare un singolo byte.
La verifica avviene successivamente. Gli strumenti di hashing generano un numero univoco per i dati sull’unità originale. Fanno lo stesso per la copia. Se gli hash corrispondono, la copia è una replica perfetta. Se differiscono, qualcosa è andato storto. Questo non è negoziabile in tribunale.
I dati cancellati non svaniscono immediatamente. I programmi di recupero file cercano i segni che dicono “elimina” ma non hanno ancora sovrascritto i bit effettivi. A volte il file ritorna intero. Spesso è frammentato. I file incompleti sono più difficili da analizzare, ma possono comunque costituire una prova.
La RAM è più complicata. È volatile. Spegni il computer e i dati evaporano. Un software specializzato cattura questa memoria prima che venga persa. Senza di esso, i registri volatili, le connessioni aperte e le chiavi di crittografia scomparirebbero per sempre.
La ricerca manuale è impossibile con l’archiviazione moderna. Gigabyte di dati riempiono una singola unità. Il software di analisi esamina tutto. Cerca contenuti specifici. I cookie sono un obiettivo primario. Rivelano le abitudini di navigazione. Altri strumenti eseguono la scansione di parole chiave o tipi di file. È un problema come un ago nel pagliaio risolto da algoritmi.
L’accesso ai dati protetti richiede molto più della semplice lettura dei file. Il software di decodifica della crittografia e i cracker di password sono essenziali. Rompono o aggirano le serrature. Non tutti i metodi sono legali o etici, ma fanno parte dell’arsenale.
La Catena di Custodia
Gli strumenti sono validi quanto la procedura. Gli investigatori devono seguire protocolli rigorosi. Spezza la catena e un avvocato difensore getterà le prove. L’argomentazione è semplice: se il processo è difettoso, i risultati non sono affidabili.
Gli esperti antiforensi non sono d’accordo. Sostengono che le prove informatiche sono intrinsecamente sospette. La loro posizione è che la manipolazione è possibile senza lasciare traccia. Se dimostrato, i tribunali potrebbero avere difficoltà a giustificare l’ammissione di prove digitali. Se queste affermazioni reggeranno nel prossimo decennio rimane una questione aperta.
Analisi forense mobile: il computer tascabile
I telefoni cellulari sono essenzialmente piccoli computer. Contengono un tesoro di informazioni. I fornitori di servizi forensi offrono dispositivi che copiano la memoria del telefono e generano report. Tirano tutto. Messaggi di testo. Registri delle chiamate. Suonerie. Foto. Video.
Il dispositivo si collega alla porta o all’interfaccia del telefono. Bypassa lo schermo. Legge la memoria grezza. Il risultato è un report completo della vita digitale del telefono.
Percorsi di carriera nell’investigazione digitale
L’informatica forense è una carriera praticabile? Richiede un mix di abilità tecnica e curiosità investigativa. Il campo è impegnativo. È emozionante. La domanda di professionisti qualificati è elevata.
Cosa fa realmente uno specialista forense informatico? Applicano tecniche di indagine per raccogliere e conservare prove dai dispositivi informatici. L’obiettivo è presentare tali prove in un modo che regga in tribunale. Riguarda la struttura. Riguarda la legalità. Si tratta di interpretare i dati in modo che una giuria possa comprenderli.
I requisiti educativi variano. Alcuni ruoli accettano certificazioni. La maggior parte degli specialisti possiede almeno una laurea. Le specializzazioni comuni includono informatica forense, informatica o sicurezza informatica. Il campo specifico inserito può dettare le esatte credenziali necessarie.
Il paesaggio cambia costantemente. Nuovi dispositivi. Nuova crittografia. Nuovi modi per nascondere i dati. Gli strumenti si adattano. I metodi evolvono. La domanda non è se le prove saranno accettate. La questione è se la verità può essere trovata nel rumore.
L’aldilà digitale
La pista non finisce con il sequestro. Si estende in un labirinto di precedenti, politiche e sfumature tecniche che definiscono il modo in cui le prove digitali sopravvivono al salto dal server all’aula di tribunale. Se stai cercando i meccanismi dietro la magia, o la sua mancanza, ci sono guide fondamentali che scompongono lo stack. Capire come bit e byte interagiscono con i modem via cavo o la memoria del computer non è solo accademico. È la differenza tra recuperare un file e recuperare un fantasma.
L’architettura del recupero
Non puoi aggiustare ciò che non capisci. Gli articoli principali che confluiscono in questo spazio spesso iniziano a livello di hardware o protocollo. Come funziona la memoria del computer rivela perché i file “eliminati” rimangono nello spazio non allocato. Come funziona la crittografia spiega perché quello spazio potrebbe essere incomprensibile. Come funziona la rete domestica mostra come si spostano i dati e come funzionano le intercettazioni illustra come possono essere intercettati.
È un ecosistema. Guardi le schede madri e vedi il silicio. Guardi i sistemi operativi e vedi le astrazioni. Ma quando arrivano gli investigatori forensi, vedono degli artefatti. Timestamp. Metadati. Ombre di attività.
Lo scudo legale
La tecnologia si muove velocemente. La legge si muove più lentamente. Questo divario è dove i casi vivono o muoiono. Le Regole federali sulle prove, in particolare la Regola 1001, definiscono ciò che costituisce un “originale” nell’era digitale. Una stampa è un originale? No. È una copia bit per bit? Forse. Dipende dall’integrità.
Orin Kerr, scrivendo per U.S. Dipartimento di Giustizia, sottolinea che i registri informatici sono complessi. Non sono solo testo. Sono sistemi. Preservarli richiede più di uno screenshot. Richiede una metodologia che soddisfi le Norme federali di prova catturando al tempo stesso la natura dinamica dell’archiviazione digitale. Il lavoro di Franklin Witter sugli aspetti legali della raccolta delle prove sottolinea questo: se la catena di custodia viene interrotta dall’ignoranza tecnica, le prove spariscono. Non solo escluso. Andato.
La corsa agli armamenti: anti-forense
Poi c’è l’opposizione. Antiforense. Non si tratta solo di nascondere i dati. Sta distorcendo la verità. “The Rise of Antiforensics” di Scott Berinato e i documenti di consenso di Ryan Harris descrivono in dettaglio un panorama in evoluzione. Gli aggressori non si limitano a eliminare file. Stanno modificando i timestamp. Iniezione di rumore nelle chiavi di registro. Utilizzando concetti di crittografia quantistica per rendere i propri segreti a prova di futuro (anche se la crittografia pratica e resistente ai quanti sta ancora emergendo).
Christian Peron e Michael Legary documentano queste tecniche di trasformazione dei dati. È una corsa agli armamenti. Gli investigatori utilizzano gli standard del Computer Forensics Tool Testing Project del NIST per garantire che i loro strumenti non alterino le prove. Il team CERT documenta come l’FBI indaga sulla criminalità informatica, sottolineando l’importanza della preservazione. Ma i pali sono sempre in movimento.
L’elemento umano
Gli strumenti sono validi quanto le mani che li utilizzano. Le pagine di Judd Robbins offrono spiegazioni che colmano il divario tra codice e tribunale. Lisa Oseles sostiene che la informatica forense è la chiave per risolvere il crimine, ma solo se la chiave si inserisce nella serratura. I manuali del Dipartimento di Giustizia degli Stati Uniti sulla ricerca e sequestro di computer forniscono il quadro giuridico, ma non possono tenere conto di ogni nuovo file system o architettura cloud.
Prendi Enron. La caduta di Enron non è stata solo una frode contabile. È stata una lezione sulla conservazione digitale. E-mail. Bozze eliminate. Cartelle nascoste. Le prove c’erano. Richiedeva solo la lente giusta. Thomas Fitzgerald ha osservato sul New York Times che i dati cancellati raramente scompaiono davvero. Sta solo aspettando.
Dove andremo da qui?
L’elenco dei riferimenti qui è una mappa, non il territorio. Indica How Safecracking Works, che è una metafora del reverse engineering. Indica Come funzionano le intercettazioni telefoniche, che ricorda le capacità di sorveglianza.
Ma la vera storia sta nell’implementazione. Quale strumento utilizzi è importante. Dove risiedono i dati è importante. Il modo in cui sono stati raccolti è importante.
La indagine digitale
