Mi occupo di consulenza tecnica informatica forense, come consulente tecnico di parte e per la redazione di relazioni tecniche stragiudiziali, in collaborazione con diversi studi legali. Acquisisco e analizzo le evidenze digitali e preparo una relazione che ne descriva il contenuto e le modalità di trattamento.
Ambiti di intervento
- Acquisizione di evidenze digitali da dispositivi mobili e computer, con il calcolo dell'impronta (hash) di ogni elemento acquisito e la verbalizzazione delle operazioni svolte, in modo che l'integrità del materiale sia verificabile in ogni fase successiva.
- Chat e messaggistica: acquisizione ed esame di conversazioni, ricostruzione della cronologia, verifica della coerenza tra contenuti, allegati e metadati.
- File e documenti: verifica dell'integrità, analisi dei metadati, elementi utili alla datazione e all'attribuzione di documenti, fotografie e registrazioni.
- Email: analisi delle intestazioni, verifica del percorso di consegna e degli elementi di autenticazione del mittente.
- Relazioni tecniche di parte e stragiudiziali, che descrivono le evidenze esaminate, le metodologie adottate e le conclusioni in una forma comprensibile anche a lettori senza competenze tecniche.
Metodo
Ogni acquisizione è documentata in modo che possa essere ripetuta e verificata da terzi: per ciascun elemento vengono registrati l'origine, l'impronta SHA-256, gli orari e gli strumenti utilizzati, con la versione e l'impronta dell'eseguibile. Le analisi si svolgono su copie del materiale acquisito, senza alterare gli originali.
Per l'acquisizione di file da dispositivi mobili ho sviluppato Quickshare, uno strumento open source rilasciato con licenza GPLv3: trasferisce i file dal telefono al computer attraverso un hotspot dedicato, senza installare nulla sul dispositivo. Per ogni file si calcola l'impronta SHA-256 sia sul telefono sia sul computer e si confrontano i due risultati. Le operazioni vengono riportate in un registro sigillato da allegare al verbale.