Oggi ho tenuto un breve seminario online per l’Associazione IISFA – di cui sono socio e in passato sono stato membro del Direttivo – sulle modalità e strumenti di acquisizione forense di fonti di prova online. Il webinar ha riguardato principalmente le modalità di cristallizzazione e copia conforme a fini probatori di siti e pagine web utilizzate in ambito d’informatica forense per certificare la presenza online di pagine o siti web da utilizzare come prova in Tribunale a fini giudiziari.
La clonazione di siti web o di pagine prese da Internet a uso legale, ma anche di profili Facebook, Linkedin, Twitter, Instagram oltre che di chat, gruppi, canali o bot di applicazioni di messaggistica come Telegram, Whatsapp o Signal è ormai diventata un presupposto fondamentale per poter tutelare i propri diritti in sede penale o civile, ma anche stragiudiziale. Le prove ricavate da screenshot, stampe o salvataggi di pagine o siti possono essere facilmente contestate tramite i princìpi d’informatica forense, mentre se sono ricavate tramite apposite modalità, tecnologie e strumenti oltre a essere accompagnate da perizia informatica possono rappresentare un solido elemento su cui costruire una querela, una difesa, una causa civile o supportare accuse che poi possono sfociare in procedimenti penali. Il tutto partendo da una corretta e completa acquisizione forense di prove online.
Durante il seminario IISFA sulla raccolta di prove online a uso legale tramite tecniche d’informatica forense ho presentato le basi sulle quali si costruisce un’acquisizione forense di un sito web e la cristallizzazione probatoria di una pagina web, descrivendo i princìpi che permettono alla copia di essere il più conforme possibile all’originale, conservarne nel tempo in modo statico il contenuto e garantirne l’esistenza in un dato periodo temporale. La copia forense di una pagina web o di un sito web, ma anche la clonazione di un profilo o pagina Facebook a fini probatori deve essere resistente a contestazioni, disconoscimento o accuse di plagio, falso, manipolazione o carenza di scientificità che con una strumentazione e metodologia adeguata possono essere fugate dimostrando invece l’attendibilità e scientificità delle operazioni svolte e quindi l’effettiva esistenza del contenuto di cui si certifica in sostanza la presenza online.
Il webinar IISFA sull’acquisizione forense e il salvataggio come prova digitale informatica dei siti web, dei profili, pagine o post Facebook è visionabile sul canale Youtube dell’associazione IISFA. Gli strumenti e i servizi citati all’interno della presentazione sono in parte gratuiti e in parte commerciali: chi fosse interessato a sperimentarli può scaricare e utilizzare liberamente quelli gratuiti mentre spesso per i tool commerciali e talvolta anche per i servizi online sono disponibili versioni di prova con le quali fare pratica e valutarne il funzionamento. Altra fonte utile per eseguire raffronti sono i documenti che i produttori pubblicano sui loro siti, sui social network, accompagnati spesso da video di presentazione, esempi di acquisizione forense e manualistica in pdf o html.
Le slide del webinar IISFA sull’acquisizione delle prove online sono scaricabili dal link pubblicato sotto l’immagine al centro della pagina.
Il 23 ottobre 2019, dalle ore 9.00 alle 18.00, presso l’Empire Hotel Palace in Via Aureliana, 39 a Roma si terrà il primo “MSAB Mobile Forensics Summit”, dove parteciperò in veste di relatore insieme a Davide “Rebus” Gabrini, Mattia Epifani, Pier Luca Toselli, Raoul Chiesa e Selene Giupponi.
Gli argomenti trattati nel corso della conferenza MSAB verteranno su digital e mobile forensics, cyber threat intelligence, sistemi biometrici, acquisizione forense di chat Whatsapp e Telegram, analisi forense di dispositivi iOS tramite sistemi di bug reporting oltre che d’indagini digitali e indagini tradizionali.
Il programma della conferenza MSAB sulla mobile forensics, che si terrà a Roma presso l’Empire Hotel Palace di Via Aureliana 39, è il seguente:
08.15 – Registrazione
09.00 – Opening (Sacha Bianchi)
09.20 – Circonvenzione dei sistemi biometrici (Davide “Rebus” Gabrini)
10.00 – First responder mobile forensics workflow (Sacha Bianchi)
11.00 – Break
11.30 – Utilizzo di Apple Bug Reporting per l’analisi forense di dispositivi iOS (Mattia Epifani)
12.10 – Vehicle Forensics, tra tecnologia e diritto: dai veicoli connessi a quelli a guida autonoma (Gianfranco Gargiulo)
13.00 – Pranzo
14.00 – Acquisizione forense di chat Whatsapp e Telegram: stato dell’arte e soluzioni alternative (Paolo Dal Checco)
14.40 – Estrazione e analisi, punti di forza del 2019 e visione del 2020 (Sacha Bianchi)
15.40 – Break
16.10 – Indagine digital forensics ed indagine tradizionale: sinergie, criticità e futuro. (Pier Luca Toselli)
16.50 – Quando la Digital Forensics e la Cyber Threat Intelligence si incontrano (Raoul Chiesa & Selene Giupponi)
17.30 – Closing (Sacha Bianchi)
L’ingresso al seminario sulla mobile forensics è gratuito, previa registrazione sul sito MSAB. Le registrazioni sono al momento chiuse ma per qualsiasi registrazione dell’ultimo minuto è possibile contattare direttamente Sacha Bianchi all’indirizzo [email protected].
Gli interventi dei relatori al seminario MSAB di Roma saranno così dettagliati:
DAVIDE “REBUS” GABRINI – Circonvenzione dei sistemi biometrici
Il riconoscimento biometrico è sempre più diffuso come metodo di sblocco dei dispositivi mobili: la praticità d’uso e l’ampia diffusione dei sensori anche in dispositivi economici invoglia gli utenti a usufruire della funzione. Nel tempo sono stati documentati diversi attacchi più o meno praticabili verso questi metodi di riconoscimento, che potrebbero aiutare gli investigatori ad accedere a dispositivi altrimenti impenetrabili. La relazione descriverà il funzionamento dei diversi sensori biometrici, i principi su cui si basano gli attacchi, le possibilità reali della loro attuazione e gli interrogativi giuridici da risolvere.
MATTIA EPIFANI – Utilizzo di Apple Bug Reporting per l’analisi forense di dispositivi iOS
Apple mette a disposizione degli sviluppatori di applicazioni un sistema di reporting (Apple Bug Reporting) per l’individuazione di problemi legati all’utilizzo di servizi e API disponibili. Per utilizzare Apple Bug Reporting lo sviluppatore deve raccogliere e trasmettere ad Apple dei file di diagnostica: tali file possono essere estratti da dispositivi con sistemi operativi iOS e contengono molte informazioni utili da un punto di vista dell’analisi forense. Obiettivo della presentazione è quindi mostrare le metodologie per la generazione e l’acquisizione dei log di diagnostica e illustrare tecniche e strumenti per l’analisi.
PAOLO DAL CHECCO – Acquisizione forense di chat Whatsapp e Telegram: stato dell’arte e soluzioni alternative
Whatsapp e Telegram sono tra i canali di comunicazione più utilizzati sugli smartphone, almeno nel mondo occidentale, anche ovviamente per o durante la commissione di reati e illeciti. Spesso infatti l’acquisizione in ambito di perizia forense dei dispositivi mobili è finalizzata proprio ad acquisire tali artefatti, siano essi chat di testo o messaggi vocali tra due o più soggetti, gruppi o canali. Il problema è che, altrettanto spesso, i database cifrati e difficilmente accessibili rendono difficile estrarre i contenuti. Vedremo durante l’intervento alcuni dei principali ostacoli e possibili soluzioni e metodologie basate su tecniche e strumenti d’informatica forense per estrarre, in base al contesto e al dispositivo, quanto più possibile da queste due applicazioni e con il maggior valore probatorio.
PIER LUCA TOSELLI – Indagine digital forensics ed indagine tradizionale: sinergie, criticità e futuro.
La “sinergia” è definita come la reazione di due o più agenti che lavorano insieme per produrre un risultato non ottenibile singolarmente. Dopo aver definito brevemente cosa intendiamo con indagine digital forensics e tradizionale, con alcuni esempi, cercheremo di vedere se effettivamente oggi possiamo parlare di una “sinergia” tra questi due “agenti” oggi determinanti e strategici in ogni contesto investigativo. Lo faremo attraverso un “focus” sulle attività di indagine svolte dalla polizia giudiziaria e da tutte quelle figure che in qualità di ausiliari, specialisti, consulenti collaborano con quest’ultima e gli Organi Requirenti. Rifletteremo poi, su quali siano le criticità che ancora permangono, nell’intento di fornire agli operatori un momento di riflessione che possa portare in futuro alla soluzione delle stesse e al superamento di quelle difficoltà “oggettive” che ancora oggi si frappongono all’ottenimento di un risultato “sinergico” ed “efficiente” tra le due tipologie di indagine.
RAOUL CHIESA & SELENE GIUPPONI – Quando la Digital Forensics e la Cyber Threat Intelligence si incontrano.
Questo intervento vuole fornire una attenta overview sul delicato mondo della CYBINT, con casi di studio reali. A questo i relatori hanno deciso di unire e presentare ai partecipanti un nuovo approccio investigativo ed operativo ai crimini digitali un nuovo approccio metodologico alle Digital Investigations, che vede l’unione di due approcci altamente complementari.
Una brutta notizia per chi esegue attività di OSINT su protocollo Telegram: in risposta alla richiesta di aiuto lanciata su Twitter degli attivisti di Hong Kong, Telegram ha rafforzato ulteriormente il livello di privacy permettendo di nascondere il proprio numero di cellulare a tutti, non soltanto agli sconosciuti o a chi non ha tale numero in rubrica.
A maggio di quest’anno Telegram aveva già rafforzato la privacy delle impostazioni relative ai numeri di telefono dei propri utenti permettendo di scegliere chi potesse visionare il proprio numero con l’opzione “Chi può vedere il mio numero?”. Questa impostazione, descritta in modo poco chiaro nel blog di Telegram, seppur certamente utile aveva lasciato delusi molti esperti di sicurezza dato che permetteva (e permette ancora, essendo tutt’ora attivabile) semplicemente di mostrare il nostro numero anche a chi non ci ha inserito nella sua rubrica e magari condivide con noi un gruppo. Non permette, cioè, di nascondere il proprio numero a tutti: al contrario, aggiunge la possibilità di mostrarlo anche a chi senza quella impostazione non lo avrebbe potuto visionare, proprio a causa di recenti modifiche alla sicurezza di Telegram che avevano modificato il comportamento dei gruppi.
La funzione di ricerca a partire dal numero di telefono è sempre rimasta attiva e anzi, proprio questo – che gli attivisti di Hong Kong hanno definito “bug” – ha permesso per parecchio tempo a organizzazioni ed esperti OSINT di poter identificare utenze Telegram. Era infatti sufficiente inserire in rubrica parecchi numeri telefonici, anche a caso, per poter verificare chi tra quelli aveva un utenza Telegram e persino appurare se ci fossero gruppi in comune, cosa appunto piuttosto rischiosa per chi ha motivo di temere di essere identificato personalmente a seguito dell’appartenenza a un gruppo Telegram. Dal punto di vista investigativo, indagini OSINT e perizie informatiche, allo stesso modo era possibile – una volta identificata una rosa di sospetti – verificarne l’appartenenza a gruppi Telegram o risalire in ogni caso al nome utente, spesso con risultati di rilievo.
Con la modifica di settembre, anche questo limite viene rimosso ed è ora possibile nascondere il proprio telefono a chiunque, potendo quindi contare su un livello di privacy che si può definire elevato. Con disappunto di chi utilizzava tecniche OSINT su Telegram per trovare utenze a fini investigativi, infatti, compare ora una nuova voce “Chi può trovare il mio numero” che permette a chiunque di scegliere chi può verificare l’appartenenza a Telegram e i dettagli di un’utenza telefonica.
In sostanza, con la funzione di Telegram “Chi può trovarmi con il mio numero”, si può decidere cosa far vedere a chi il nostro numero lo ha, ovviamente non necessariamente perché glie lo abbiamo dato noi. Non andiamo infatti a impattare sugli sconosciuti che possono essere all’interno di un gruppo Telegram insieme a noi e non sanno chi siamo né hanno la nostra utenza telefonica. Andiamo invece a modificare ciò che vedrà chi il nostro numero lo possiede all’interno della sua rubrica, in particolare se anche noi lo abbiamo inserito nella nostra.
Le due voci disponibili per l’opzione “Chi può trovarmi con il mio numero” sono infatti le seguenti:
“Tutti“, che Telegram spiega precisando che: “Gli utenti che hanno il tuo numero salvato in rubrica lo vedranno anche su Telegram“;
“I miei contatti“, che Telegram spiega precisando che “Gli utenti che aggiungono il tuo numero ai loro contatti lo vedranno su Telegram solo se sono tuoi contatti“.
Questa scelta condiziona anche ciò che gli utenti vedranno quando, nella propria rubrica, accederanno al contatto telefonico dove è memorizzato un numero di telefono con il quale è stato registrato un account Telegram. Se l’impostazione è su “Tutti”, che siano nella nostra rubrica o meno, vedranno che abbiamo un account Telegram e potranno accedervi. Se l’impostazione è su “I miei contatti”, vedranno il nostro account Telegram solamente se sono stati inseriti esplicitamente, da noi, nei nostri contatti.
Selezionando “Tutti” alla voce “Chi può trovarmi con il mio numero” il comportamento rimane quello precedente di Telegram, cioè chiunque abbia a disposizione il nostro numero di telefono può scoprire il nostro account Telegram e sapere se ci sono gruppi in comune.
Da precisare che l’opzione “Condividi con”, presente nelle “Eccezioni” riguarda la scelta di “Chi può vedere il mio numero” e non “Chi può trovarmi con il mio numero”.
La scelta su chi può visionare il nostro profilo Telegram a partire dal numero di telefono, quindi, si fa in fin dei conti sia impostando correttamente le nuove opzioni fornite da Telegram, sia selezionando opportunamente chi inserire o meno nella propria rubrica dello Smartphone o di Telegram.
Il menù di Telegram che permette di operare la scelta sulla privacy e sicurezza del proprio numero cellulare o di telefono è raggiungibile tramite l’opzione “Impostazioni -> Privacy e Sicurezza -> Numero di Telefono” e soltanto chi ha aggiornato l’App per smartphone o Desktop la può utilizzare: se non la vedete, significa che non avete ancora aggiornato il software.
Telegram ha fatto questa scelta certamente “sofferta” (perché se tutti gli utenti la applicassero, l’utilizzo di Telegram come Instant Messenger da integrare alla propria rubrica diventerebbe più complesso almeno per la maggior parte degli utenti. Scelta “sofferta” ma debitamente pesata e limitata, perché come si vede, non è stata inserita l’opzione “Nessuno” nella scelta su “Chi può trovarmi con il mio numero”, cosa che invece è presente nella scelta su “Chi può vedere il mio numero”: in pratica, anche rafforzando al massimo le opzioni di sicurezza di Telegram, possiamo nasconderci da tutti ma non da chi ha il nostro numero in rubrica.
Le altre App di messaggistica non hanno ancora avuto tanto coraggio e per fortuna (per gli investigatori ed esperti di OSINT) o per sfortuna (per gli amanti della privacy) applicazioni come Whatsapp e Signal forniscono ancora la possibilità di ottenere informazioni dagli account a partire dai numeri di telefono.
Per chi ha Telegram configurato in inglese, le stesse voci si trovano nel menù “Settings -> Privacy and Security -> Phone Number” e le scelte del menù “Who can see my phone number” sono “Everybody”, “My Contacts” o “Nobody” mentre nella voce “Who can find me by my number” possiamo scegliere tra “Everybody” (“Users who have your number saved in their contacts will also see it on Telegram“) e “My Contacts” (“Users who add your number to their contacts will see it on Telegram only if they are your contacts.“).
Venerdì 31 maggio 2019 si terrà a Firenze il seminario organizzato dall’Osservatorio Nazionale d’Informatica Forense ONIF dal titolo “Orizzonte 2020 Informatica Forense a supporto di Autorità Giudiziaria, Studi Legali, Aziende, Forze dell’Ordine e Privati”. La conferenza avrà luogo nella Sala Verde presso il Palazzo Incontri, in Via de Pucci 1 e durerà tutta la mattinata del 31 maggio, con coffe break offerto dall’Associazione ONIF per i partecipanti.
Durante il seminario verranno trattati diversi argomenti relativi alle attività di perizia informatica e indagini digitali che i consulenti informatici forensi trattano quotidianamente durante il loro rapporto con l’Autorità Giudiziaria, gli Studi Legali, le Forze dell’Ordine, le aziende o i privati per cui prestano il loro servizio. In particolare, verranno approfonditi argomenti di attualità come la problematica della cloud forensics all’interno delle attività di mobile forensics, il rispetto per la Legge 48/2008, il registro olandese degli esperti NRGD, la manomissione di messaggi Whatsapp, l’utilità della digital forensics nella gestione di data breach e violazione dei dati e le tecniche di video forensics e perizia tecnica su immagini e video.
Il programma del convegno sull’Informatica Forense e Digital Forensics organizzato da ONIF a Firenze e moderato dalla Giornalista Dott.ssa Valentina Roselli è il seguente:
9:00 – Registrazione 9:15 – Apertura lavori: Banca Intesa Sanpaolo, Fondazione Forense di Firenze e Dott. Nanni Bassetti, Segretario Nazionale ONIF 9:30 – Le nuove regole e la revisione dell’albo CTU del Tribunale di Firenze, Ufficio di Presidenza del Tribunale di Firenze 10:00 – Il Netherlands Register of Court Experts (NRGD), Dott. Mattia Epifani 10:30 – Legge 48/2008, attesa quanto ignorata: dieci anni di casi reali, Ing. Paolo Reale e Avv. Elisabetta Guarnieri 11:00 – Break 11:20 – Analisi di dispositivi mobile: stato attuale, integrazione con il cloud e difficoltà future, Ing. Michele Vitiello e Dr. Paolo Dal Checco 11:40 – Rilevamento e conseguenze delle manomissioni sui messaggi WhatsApp Dott. Andrea Lazzarotto 12:00 – Digital Forensics Data Breach: perché gestire la violazione dei dati in maniera forense, Dott. Alessandro Fiorenzi 12:20 – Immagini e video digitali come fonte di prova, Dott. Massimo luliani 12:40 – Saluti e chiusura
La brochure del seminario sull’Informatica Forense organizzato da ONIF a Firenze è disponibile per il download al seguente link.
Si prega chi fosse interessato a partecipare all’evento di utilizzare, per l’iscrizione, il modulo presente sul sito EventBrite così da allocare i posti che sono, purtroppo, limitati a causa della dimensione della sala.
“Acquisizione e Produzione in Giudizio della Prova Digitale” sarà il titolo dell’intervento che terrò giovedì 29 novembre 2018, durante il convegno su “Tools, Applicativi e Piattaforme che semplificano la Professione“, organizzato dalla Commissione Informatica del C.O.A. di Verona che ringrazio per il cortese invito.
Il mio talk di Verona verterà specificatamente sull’importanza della fase di acquisizione forense delle prove digitali alla luce di una produzione delle stesse in Giudizio, nell’ambito di processi penali o civili ma anche in caso di utilizzo stragiudiziale delle prove informatiche. Molto spesso gli Studi Legali sono i primi a entrare in contatto con evidenze elettroniche di ogni tipo, che richiedono un’attenta fase di copia conforme precedente a quella di visione o analisi. La perizia informatica a uso legale, svolta ad esempio da consulenti tecnici di parte, implica una rigida metodologia di acquisizione delle prove per poterle poi produrre in Giudizio, metodologia che deve essere ben nota anche dai legali che in genere entrano in contatto per primi con il cliente, sia esso parte offesa o richieda un consulente della difesa come indagato o imputato.
La presentazione illustrerà le tecniche base d’informatica forense applicate alla raccolta di prove da supporti come pendrive, hard disk, dvd, cloud, internet, social network, siti web, smartphone, cellulare, email, PEC. Veranno indicate con metodo le fasi della perizia informatica che il consulente informatico forense esegue ad esempio tramite una copia conforme a uso legale di chat Whatsapp, pagine o profili Facebook (ad esempio per acquisire le prove una diffamazione via Facebook), siti Internet, registrazioni ambientali o telefoniche, SMS, fotografie, video, etc…
Il seminario, che si terrà presso l’Auditorium Banco BPM in Via della Nazioni, 4, Verona, durerà dalle 14:30 alle 17:30 e avrà il seguente programma:
Avv. Nicol aManzini – Delegato per l’informatica del C.O.A. Verona
Avv. Franco Zumerle – Coordinatore Comm. Informatica c/o C.O.A. Verona
Dr. Paolo Dal Checco – Consulente Informatico Forense
Prova Digitale: Acquisizione E Produzione In Giudizio
Avv. Claudio De Stasio – Avvocato in Grosseto
Dirittopratico.It: Utilità Pronte All’uso Per Il Professionista
Dr. Stefano Baldoni – Consulente IT in ambito legale
Slpct: L’alternativa Open Source Per Il Processo Telematico
Avv. Gianni Casale – Avvocato in Modena
Anthea: Un’applicazione Per Eliminare I Contrasti Familiari
Agenzia Entrate – Dr. Felice Ungheri – CapoUfficio Tecnologie e Innovazione Dir. Prov. Venezia
Fatturazione Elettronica: Il Punto Di Vista Dell’agenzia Delle Entrate
La locandina in PDF della Conferenza organizzata a Verona durante il quale parlerò di acquisizione forense delle prove informatiche è scaricabile da questo link. Ai partecipanti verranno conferiti 3 crediti formativi in materia obbligatoria, a seguito d’iscrizione su piattaforma Riconosco. Si ringrazia il Banco BPM per la concessione della sala.
