Il nostro laboratorio di informatica forense a Colonia

Acquisizione forense di supporti dati

Di norma, la prima fase di un’indagine forense è rappresentata dal backup. Ove tecnicamente possibile, il supporto dati originale viene protetto da accessi in scrittura e viene innanzitutto creato un backup forense. L’ulteriore analisi viene poi effettuata, di norma, sulla base di tale backup o di una copia di lavoro da esso ricavata.

Perché la protezione da scrittura è importante per i supporti originali

Anche il semplice collegamento di un supporto dati a un normale computer può modificare i dati. Il sistema operativo, ad esempio, crea file o aggiorna i timestamp. Per i supporti dati supportati utilizziamo quindi dei write blocker hardware. Questi consentono l’accesso in lettura e impediscono accessi in scrittura involontari sul supporto originale collegato. In questo modo è possibile verificare in un secondo momento su quale stato dei dati si basi l’analisi.

Salvataggio controllato e verifica dell'integrità tramite valori hash

Per il backup sono disponibili sistemi di imaging forense specializzati. Per ogni backup calcoliamo i valori hash. Si tratta di una sorta di impronta digitale: anche una minima modifica ai dati comporta un valore diverso. Se i valori hash coincidono, è dimostrato che la copia esaminata corrisponde ai dati salvati.

Per saperne di più: Analisi forense di Windows · I dispositivi di protezione contro la scrittura nell'analisi forense di Linux

Perché non esiste un unico metodo valido per tutti gli smartphone

I dati che è possibile recuperare dipendono da diversi fattori: produttore e modello, versione del sistema operativo, stato di sicurezza (bloccato o sbloccato, crittografato) e la specifica problematica. A seconda della situazione di partenza, è quindi possibile prendere in considerazione diverse procedure di estrazione e analisi. Per ogni analisi documentiamo quale procedura utilizziamo e quali sono i suoi limiti.

Verifica della presenza di malware e monitoraggio

In caso di sospetto di spyware, stalkerware o altro malware, analizziamo i dispositivi Android e iOS con sistemi di analisi specializzati. Un risultato negativo non significa che si possa escludere una compromissione. Per questo motivo illustriamo il significato di ogni risultato.

Quando non è più possibile leggere correttamente i dati da un dispositivo

Danni causati dall'acqua, rotture, componenti difettosi o un dispositivo che non si avvia più: in questi casi, spesso non è possibile eseguire il backup dei dati tramite le normali porte di connessione. In questi casi, occorre prima intervenire sull'hardware affinché sia possibile, in primo luogo, leggere i dati.

Microscopia, tecniche di saldatura e di rilavorazione

Molti componenti presenti sulle moderne schede elettroniche possono essere valutati e lavorati in modo sicuro solo con l'ausilio di un ingrandimento. La postazione di lavoro dedicata all’elettronica è dotata a tal fine di un microscopio digitale, di attrezzature per la saldatura e la rilavorazione con sistema di aspirazione dei fumi di saldatura, nonché di superfici di lavoro protette contro le scariche elettrostatiche (ESD). Le superfici ESD proteggono i componenti elettronici sensibili dalle scariche elettrostatiche.

Metodi di accesso basati sull'hardware: JTAG e Chip-Off

Se un dispositivo non risponde tramite le sue normali connessioni nemmeno dopo un intervento sull'hardware, si possono prendere in considerazione procedure basate sull'hardware. Nel caso del JTAG, si accede alla memoria tramite connettori di test e verifica presenti sulla scheda; nel caso del Chip-Off, il chip di memoria viene dissaldato e letto con un programmatore. Entrambe le procedure vengono eseguite presso la nostra postazione di lavoro dedicata all’elettronica. La loro opportunità dipende dal dispositivo, dall’architettura della memoria e dai meccanismi di sicurezza. In molti smartphone moderni i dati sono crittografati e legati all’hardware del dispositivo. Una memoria letta direttamente fornisce quindi dati grezzi, ma non necessariamente dati utente utilizzabili. Prima di procedere, chiariremo con voi se tale procedura abbia prospettive di successo nel caso specifico.

Recupero dati sul banco da lavoro in camera bianca

Alcuni interventi sui supporti dati devono essere eseguiti al riparo dalla polvere. A tal fine, in laboratorio è disponibile un banco da lavoro per camera bianca, che alimenta l’area di lavoro con aria purificata tramite un filtro HEPA di classe H14. I filtri di questa classe, secondo la norma EN 1822, trattengono almeno il 99,995% delle particelle della dimensione più difficile da separare. Si tratta di una postazione di lavoro controllata per supporti dati aperti e componenti elettronici sensibili, non di una camera bianca classificata.

I supporti danneggiati vengono poi esaminati nella postazione di analisi utilizzando un software specializzato per il recupero dei dati.

Per saperne di più: Recupero dati a Colonia