ANALISI FORENSE DEI DISPOSITIVI MOBILI

Far analizzare i metadati digitali da professionisti

DOMANDE TIPICHE

Quando è necessaria questa analisi?

• ✔Dal punto di vista tecnico, un messaggio fa parte della chat visualizzata?

• ✔Un file multimediale è collegato a un determinato record di notizie?

• ✔Quali valori temporali sono stati registrati per la creazione, l'invio, la ricezione o la modifica dello stato?

• ✔Esistono relazioni tra database che confermano o relativizzano quanto mostrato nello screenshot?

• ✔Le lacune sono spiegabili con la cancellazione, la sincronizzazione, la migrazione dei dati o il comportamento delle app?

• ✔È possibile confrontare gli ID dei messaggi o i riferimenti ai thread con altri dispositivi o backup?

La generazione automatica degli strumenti non equivale a una valutazione definitiva. Gli schemi dei database e i significati dei campi possono variare da una versione all'altra dell'app. Pertanto, la verifica manuale, la convalida e l'interpretazione documentata sono indispensabili.

Il file system non gestisce solo il contenuto di un file, ma anche caratteristiche tecniche quali nome, percorso, dimensione, attributi e vari valori temporali. A seconda del sistema operativo e del file system, potrebbero essere disponibili ulteriori informazioni. Questi dati aiutano ad analizzare la posizione di un file, eventuali processi di copia e il collegamento con un’app.

Tuttavia, le date del file system non devono essere equiparate alla data di creazione effettiva del contenuto. Se una foto viene esportata da un’app di messaggistica, il nuovo file può assumere una data di creazione successiva, anche se l’immagine stessa è più vecchia. Al contrario, durante il ripristino da un backup, i valori temporali originali possono essere in parte mantenuti. La corretta interpretazione dipende quindi dal percorso specifico di archiviazione e trasmissione.

Le informazioni sulla posizione possono essere presenti direttamente nei file multimediali, nei database delle app, nei dati cartografici o di navigazione, nei riferimenti WLAN o in altri artefatti di sistema. Le coordinate GPS contenute in un’immagine sono solo una delle possibili fonti. Altri elementi possono rappresentare luoghi, spostamenti, ricerche di percorsi, posizioni salvate o riferimenti di rete.

I dati relativi alla posizione richiedono particolare cautela. Una posizione memorizzata può indicare la posizione del dispositivo, la destinazione di una ricerca, il luogo in cui è stato registrato un file o semplicemente una posizione ricavata da altri dati. Occorre inoltre verificare la precisione, il metodo di misurazione e il riferimento temporale. Un singolo dato di posizione non dovrebbe quindi mai essere presentato come prova di presenza senza un contesto.

Altre tracce correlate rilevanti riguardano il dispositivo e le applicazioni installate. Tra queste possono figurare informazioni sul modello e sul sistema, identificativi dei pacchetti delle app, riferimenti all’installazione o a Update, autorizzazioni, identificativi degli account, stato della sincronizzazione e informazioni sui backup. Tali dati aiutano, ad esempio, a verificare se una determinata applicazione fosse presente nel periodo di riferimento o se i dati possano essere stati sincronizzati su più dispositivi e servizi cloud.

Anche queste informazioni devono essere contestualizzate nel tempo. Lo stato attuale dell'installazione non dimostra necessariamente che un'app sia stata utilizzata attivamente in un momento precedente. Al contrario, possono rimanere tracce di un'app installata in precedenza, anche se questa è stata successivamente rimossa.

Molte applicazioni mobili memorizzano i dati in database SQLite. Oltre ai dati utente visibili, questi database contengono spesso campi tecnici, ID, valori di stato e relazioni tra le tabelle. In modalità WAL, le pagine aggiuntive o non ancora trasferite nel database principale possono essere presenti in un file WAL associato. Il file SHM supporta la gestione del funzionamento WAL.

Ai fini di un'analisi adeguata, il database principale, il WAL e l'SHM dovrebbero essere sottoposti a backup e documentati congiuntamente, qualora siano disponibili. Tuttavia, va tenuto presente che non tutti i record presenti in un file WAL sono automaticamente cancellati, obsoleti o rilevanti ai fini probatori. La loro posizione, la transazione, l’assegnazione della pagina e lo stato del database devono essere valutati da un esperto.

I metadati possono mettere in luce delle incongruenze. Una foto che si presume sia stata scattata direttamente con uno smartphone, ad esempio, può contenere informazioni tecniche che indicano un’elaborazione successiva. Uno screenshot di una chat potrebbe non corrispondere, dal punto di vista temporale o strutturale, alle voci presenti nel database. Un file può essere stato creato nel file system in un momento diverso da quello di registrazione in esso memorizzato.

Tali discrepanze, tuttavia, costituiscono inizialmente solo indicazioni da verificare. Possono infatti derivare anche da operazioni legittime quali esportazione, sincronizzazione su cloud, inoltro, modifica, cambio di fuso orario o ripristino da un backup. Un’analisi approfondita distingue quindi tra:

• ✔una discrepanza accertata dal punto di vista tecnico,

• ✔una spiegazione tecnica plausibile,

• ✔un'indicazione attendibile di una modifica successiva e

• ✔un processo di manipolazione effettivamente dimostrabile.

Neutralità forense: il mandato investigativo non deve essere finalizzato a confermare un’affermazione prestabilita. Sono determinanti le tracce oggettivamente presenti e le conclusioni ragionevoli che se ne possono trarre.

Precisare la domanda: quale affermazione deve essere verificata dal punto di vista tecnico?

Documentare gli elementi probatori: vengono registrati l'apparecchio, le condizioni, i segni distintivi e la consegna.

Backup forense dei dati: il metodo di backup più adatto viene scelto in base al dispositivo e all'incarico.

Documentare l'integrità: i file e le esportazioni vengono protetti – ove opportuno – con valori hash e copie di lavoro tracciabili.

Identificare le fonti rilevanti: si individuano i media, le banche dati, il sistema di file, i log, gli artefatti cloud e delle app.

Verifica dei formati e dei significati: vengono convalidati il formato dell'ora, il fuso orario, il campo del database e la semantica tecnica.

Correlazione dei metadati: le singole tracce vengono confrontate con fonti indipendenti.

Verificare le possibili cause alternative: si terrà conto della sincronizzazione, dell'esportazione, della migrazione, del backup e del comportamento del software.

Documentare i risultati in modo riproducibile: vengono registrati le fasi di lavoro, gli strumenti, le versioni, le query e i limiti.

Distinguere tra risultati e valutazione: si opera una chiara distinzione tra constatazioni tecniche e conclusioni peritali.

• ✔Un singolo timbro temporale viene definito, senza alcuna verifica, „data di creazione“.

• ✔Si tende a confondere l'UTC, l'ora locale e l'ora legale.

• ✔L'ora del file system e l'ora di registrazione del contenuto vengono considerate equivalenti.

• ✔La mancanza di dati EXIF viene automaticamente interpretata come un indizio di manomissione.

• ✔I dati GPS vengono presentati come prova di presenza senza che se ne verifichi il significato.

• ✔I risultati degli strumenti analizzati automaticamente vengono acquisiti senza alcuna convalida manuale.

• ✔Le versioni delle app e i diversi schemi di database non vengono presi in considerazione.

• ✔Una copia o un'esportazione viene trattata come il file originale.

• ✔Le incongruenze non vengono confrontate con eventuali operazioni di sincronizzazione o di backup.

• ✔L'assenza di tracce viene interpretata come prova del fatto che un evento non abbia avuto luogo.

I metadati possono essere rimossi, modificati, sovrascritti o ricreati da normali operazioni di sistema. Alcune applicazioni memorizzano solo poche informazioni; altre utilizzano strutture di dati crittografate o proprietarie. I moderni sistemi operativi limitano l’accesso a determinate aree. Inoltre, manipolazioni sofisticate o errori software sconosciuti possono rendere più difficile l’analisi.

Un'analisi seria non promette quindi di poter ricostruire ogni evento in modo inequivocabile. Descrive piuttosto quali fonti di dati erano disponibili, quali metodi sono stati utilizzati, quali risultati sono riproducibili e dove permangono incertezze tecniche.

• ✔Verifica dell'autenticità o della datazione di foto e video,

• ✔Indagine sulle presunte manipolazioni delle chat,

• ✔Ricostruzione dei flussi di comunicazione e delle sequenze degli eventi,

• ✔Verifica della provenienza dei file, dell'esportazione o della modifica,

• ✔Analisi dei dati relativi alla posizione e agli spostamenti,

• ✔indagini interne e risposta agli incidenti,

• ✔Preparazione di una perizia privata o giudiziaria,

• ✔Verifica di plausibilità delle prove digitali.