Acquisizione di dati informatici, il binomio “alterabilità-urgenza” negli accertamenti tecnici non ripetibili

Questione di fondamentale importanza nell’ambito dell’informatica forense è quella che attiene alla natura giuridica delle operazioni tecniche di acquisizione e duplicazione di dati informatici poste in essere nella fase delle indagini preliminari, nonché se queste operazioni rivestano il carattere della ripetibilità o irripetibilità, giacché da tale distinzione deriva l’applicabilità o meno del regime degli atti assistiti dalle garanzie di informazione e intervento delle parti processuali private.

Il punto di partenza della nostra riflessione è che, in linea di principio e non senza eccezioni, ogni interazione o accesso ai sistemi informatici e telematici potrebbe comportare cambiamenti irreversibili dello stato del sistema: invero, considerato che i dati in essi archiviati sono codificati in bit, ad ogni loro variazione – seppur minima – corrisponde una variazione dei dati, quindi, una variazione e spesso una perdita – a prescindere dalla volontà e dalla competenza degli operatori (ufficiali di p.g., consulenti tecnici o periti) – di quelle informazioni che possono risultare utili alla corretta ricostruzione di fatti penalmente rilevanti, come ad esempio un orario, una data, un nome, un luogo.

Ne discende, pertanto, che se il nostro sistema penal-processuale impone la formazione delle prove nel contraddittorio tra le parti, nel campo della digital evidence il rispetto di tale principio è salvaguardato dagli artt. 360 c.p.p. e 117 disp. att. c.p.p., mentre costituiscono eccezione le norme dedicate agli atti a sorpresa nelle ipotesi di urgenza – intesa come indifferibilità – dell’accertamento.

Ciononostante, anche quando si procede ex art. 354 c.p.p. “unilateralmente” tramite accertamento urgente è necessario garantire, quanto meno, il contraddittorio “postumo” sull’evidenza digitale acquisita, recuperabile solo se gli ufficiali di polizia giudiziaria, «in relazione ai dati, alle informazioni e ai programmi informatici o telematici» adottino, «le misure tecniche» o impartiscano «le prescrizioni necessarie ad assicurarne la conservazione e ad impedirne l’alterazione e l’accesso»^[1], provvedendo, «ove possibile, alla loro immediata duplicazione su adeguati supporti, mediante una procedura che assicuri la conformità della copia all’originale e la sua immodificabilità»^[2].

Aspetti tecnico-giuridici della fase di acquisizione della prova informatica

È dunque importante focalizzare la nostra attenzione su quelle che sono le best practice di riferimento. Due sono i requisiti fondamentali che devono caratterizzare l’attività sui dati informatici:

1. l’attendibilità del metodo utilizzato nel “trattamento”, che trae fondamento sia nella garanzia di “conservazione” e “non modificabilità” del dato – il ché avviene impedendo alterazioni successive dell’originale e della copia – sia in termini di “genuinità”, assicurando l’esatta corrispondenza tra la copia e l’originale nel momento stesso in cui viene realizzata la copia forense;
2. l’idoneità del metodo ad essere sottoposto a controllo, quanto meno differito.

Per raggiungere tali obiettivi, a livello internazionale sono state adottate linee guida – le c.d. best practice – per l’identificazione e gestione delle fonti di prova digitale che rappresentano la traduzione, sul piano operativo, delle prescrizioni legislative connotate da generalità e astrattezza, volte a garantire l’autenticità dell’evidenza digitale nel processo penale e non solo.

L’incontro del diritto con l’informatica ha così alimentato lo sviluppo dell’informatica forense o digital forensics^[3], nel cui ambito l’ISO (Organizzazione Internazionale per la Standardizzazione) e l’IEC (Commissione Elettrotecnica Internazionale) formano il sistema specializzato per la standardizzazione delle procedure a livello mondiale^[4], tra le quali rileviamo lo standard ISO/IEC 27037/2012 (Guidelines for identification, collection, acquisition and preservation of digital evidence).

Quest’ultimo, emesso in versione definitiva il 15 ottobre 2012, ha come obiettivo quello di stabilire delle linee guida per l’identificazione, la raccolta, l’acquisizione, la conservazione e il trasporto di evidenze digitali, definendone i principi generali, gli aspetti chiave e le fasi di gestione al fine di ottenere potenziali prove efficacemente utilizzabili in sede processuale.

Lo standard è internazionale e, quindi, va contestualizzato sulla base delle norme vigenti nel nostro ordinamento, nonché è applicabile in qualsiasi ambito (civile, penale, stragiudiziale).

Orientamenti sulla natura della copia forense

Nel contesto dell’attività investigativa finalizzata ad assicurare fonti di prova di natura digitale appare opportuno concentrare l’attenzione sulla fase dell’acquisizione dei dati.

Tale step procedurale, successivo a quello relativo all’individuazione e al riconoscimento della fonte di prova^[5], è sicuramente il più delicato di tutto il processo di digital forensics ed è la fase che presenta maggiori criticità, perché finalizzata a garantire l’inalterabilità dell’elemento che viene ad essere repertato e ad assicurarne la fissazione nel tempo.

Ciò in quanto, come già anticipato, ogni interazione o accesso ai dispositivi informatici, hardware o software che siano, generalmente comporta cambiamenti irreversibili dello stato del sistema, ovvero dei dati in esso archiviati.

Di fondamentale importanza è, pertanto, il “congelamento” della prova digitale, durante la quale si vanno a preservare i dati contenuti nei supporti originali con la creazione di una bit stream image^[6] (copia forense o copia bit a bit), al fine di garantire l’integrità del supporto o dei file originali: successivamente il supporto da copiare viene collegato ad un write blocker^[7] e si procede alla sua duplicazione (due-tre copie) attraverso programmi open source^[8] o commerciali^[9] presenti sul mercato, o hardware mediante duplicatori esterni^[10].

Terminata l’acquisizione seguirà il calcolo del codice hash^[11], a comprova dell’aderenza assoluta delle copie effettuate rispetto all’originale: in altri termini, con l’apposizione di tale “sigillo digitale” verrà garantita l’assoluta identità tra le copie ottenute e l’originale.

Sul versante più strettamente giuridico la giurisprudenza di legittimità avrebbe individuato nell’attività di copia forense un’operazione sempre ripetibile in dibattimento^[12], sempreché si agisca secondo le best practice di riferimento che garantiscano la non alterazione della fonte di prova originale^[13].

Diametralmente opposto è invece un orientamento di matrice dottrinale che ravvisa, sempre e comunque, il carattere non ripetibile delle attività tecniche di natura digitale a causa della potenziale alterabilità dei dati in fase sia di semplice lettura, sia di acquisizione da parte dei software di analisi forense: ciò in quanto la modificabilità degli originali è in re ipsa e deriva dalla dematerialità dell’oggetto di indagine, con la conseguenza che il rispetto del diritto di difesa esige sempre l’esecuzione di tali operazioni nella forma dell’accertamento tecnico non ripetibile ex art. 360 c.p.p.^[14].

Chi scrive è, invece, del parere per cui l’adesione ad una delle due tesi citate limiterebbe l’esame dell’attività acquisitiva solo da un punto di vista teorico ed astratto, quando invece la prassi operativa ci insegna che occorrerebbe prendere atto della complessità del fenomeno, da valutarsi tenendo conto delle circostanze del caso concreto e, quindi, ragionando in termini di urgenza piuttosto che di irripetibilità^[15].

Peraltro, il problema di fornire le dovute garanzie durante l’acquisizione delle fonti di prova è una peculiarità caratterizzante tutta l’attività di polizia giudiziaria non ripetibile.

Tuttavia, ci sono operazioni da svolgere nell’immediatezza del fatto che non sempre consentono la tempestiva instaurazione del contraddittorio e non ne consentono il differimento, pena il pregiudizio irrimediabile dell’ulteriore corso delle indagini.

In altre parole, i termini della questione sono, da un lato, la non rinviabilità di alcune azioni accertative, dall’altro, la paralisi del controllo difensivo in assenza di adeguato contraddittorio.

Tra i due estremi, l’area di compromesso si configura laddove si consideri che non ogni modificazione è concretamente rilevante e non ogni azione accertativa è insuscettibile del breve differimento necessario ad assicurare la presenza del difensore.

Qualora il compromesso risulti impraticabile, alle garanzie della difesa e al processo di formazione del convincimento del giudice può soccorrere il controllo esercitabile ex post mediante un’adeguata documentazione dell’attività di accertamento, in grado di verificare l’effettiva incidenza sui risultati conseguiti, giacché qualsiasi errore in fase di acquisizione di dati digitali, da una fonte di prova informatica, si ripercuote inevitabilmente sul valore investigativo e processuale dell’intera evidenza digitale potenzialmente disponibile^[16].

Metodi di acquisizione dell’evidenza digitale

Al fine di raggiungere gli obiettivi di affidabilità della fonte e di genuinità dell’elemento di prova indicati dal Codice, i metodi di acquisizione descritti nelle best practice, variabili a seconda dei dispositivi sottoposti ad esame, prevedono che:

1. se il sistema è “spento” e l’acquisizione dei dati non riveste carattere d’urgenza, nella fase di primo intervento ci si dovrebbe limitare al sequestro materiale del supporto opportunamente repertato^[17]. Regola fondamentale di tale circostanza è quella di astenersi dall’interagire con le evidenze rilevate sulla scena criminis, evitando – nella maniera più assoluta – di accendere un computer, uno smartphone o un qualunque altro dispositivo con capacità computazionali, in quanto ciò provoca un’interazione tra dati, memorie e sistema operativo che, in termini di gestione forense dell’evidenza, deve sempre essere considerata come una modifica, ovvero un’alterazione di tali dati e, dunque, del reperto stesso;
2. se il sistema è “spento”, ma è comunque necessario dare seguito, per esigenze investigative e tecniche, all’acquisizione dei dati, si procederà all’avvio “controllato” della macchina e all’acquisizione dei dati digitali on site. In tale situazione, dopo aver disconnesso i supporti da analizzare, si procederà all’avvio della macchina tramite accesso al BIOS: dalle impostazioni di quest’ultimo si cambierà il boot di avvio del sistema operativo che avverrà tramite software contenuti su dispositivi esterni (es. tools avviabili da dischi ottici o memorie USB). Solo dopo aver eseguito tale operazione si potranno ricollegare i supporti da analizzare. Quindi, verrà avviata la macchina che caricherà il sistema operativo presente sul dispositivo esterno per cui, a questo punto, si potrà analizzare il supporto ed effettuare la copia bit stream di quanto in esso contenuto, anche in modalità write blocker. Per contro, l’attivazione della macchina con procedura ordinaria avrebbe avviato il sistema operativo e altri programmi specificati nel file system contenuti sul supporto da trattare e programmati per essere eseguiti automaticamente all’accensione, suscettibili di alterare alcuni dati del dispositivo (quali, ad esempio, i dati contenuti nei vari registri cronologici, i dati contenuti nella memoria virtuale ecc.);
3. se il sistema è “acceso”, ma è possibile acquisirlo (rectius sequestrarlo) per una successiva analisi, si procederà al suo spegnimento mediante una procedura che garantisca l’integrità o, quanto meno, sia la meno lesiva di tutti i dati ivi contenuti. In questo caso anche il semplice spegnimento della macchina deve seguire un preciso protocollo che dipende, in genere, dal sistema operativo utilizzato dal dispositivo oggetto di interesse investigativo. Con alcuni sistemi, il metodo preferibile di spegnimento della macchina è quello che si ottiene agendo sul pulsante di switch off; con altri sistemi operativi, invece, questo comporterebbe la irrimediabile perdita di dati e di informazioni, sicché è consigliabile procedere “staccando” la spina lato elaboratore. Infatti, sebbene tale operazione possa apparire poco ortodossa dal punto di vista della correttezza metodologica – non bisogna dimenticare che, in estrema ratio, la priorità nell’attività acquisitiva non è preservare il sistema nel suo complesso, ma l’evidenza digitale nello specifico – togliere la spina lato elaboratore e non lato presa a muro produce, come effetto, l’immediato spegnimento della macchina con conseguente “congelamento” di ogni attività, preservando eventuali informazioni presenti nella cache o nei file temporanei. Senza altresì contare il fatto che esistono software che installati rimangono “silenti ed invisibili” all’operatore e che possono essere impostati in modo da distruggere determinate porzioni di disco nel momento in cui si effettuano le ordinarie procedure di spegnimento;
4. se il sistema è “acceso” ed è altresì necessario, per esigenze investigative o tecniche, procedere all’acquisizione dei dati on site, si dovrà adottare una procedura che, finalizzata a garantire l’integrità dei dati, rappresenti il giusto compromesso tra l’esigenza di continuità del sistema e quella di rapidità dell’esecuzione.

Nelle ipotesi sub lett. a. e c. l’acquisizione è giuridicamente inquadrabile come attività di natura tecnica connotata da irripetibilità, ma priva del requisito dell’urgenza^[18]: di conseguenza la copia forense dovrebbe essere fatta in laboratorio, previa instaurazione del contraddittorio con la difesa ex art. 360 c.p.p..

Negli altri due casi (sub lett. b. ed d.) invece l’attività è caratterizzata sia dalla non ripetibilità che dall’urgenza: pertanto l’acquisizione dovrà avvenire necessariamente on site, nel rispetto dei protocolli indicati dalle best practice e il difensore potrà assistere all’atto senza aver diritto di essere previamente avvisato.

Peraltro, in ipotesi della specie – c.d. live data forensics^[19] – è fondamentale il principio per cui «l’accertamento, come atto di acquisizione unilaterale, è ammesso soltanto (e a condizione) che sia possibile assicurare l’oggetto non soltanto in modo inalterato, ma anche in modo che le parti possano controllare successivamente l’affidabilità della fonte e la genuinità dell’elemento di prova»^[20].

In termini più pragmatici, il principio in parola potrà ritenersi rispettato quando le procedure e gli strumenti utilizzati, quantomeno, risultino il meno invasivi possibili e quando le inevitabili – perché fisiologiche – alterazioni prodotte siano note e documentate.

In tali circostanze la controllabilità ex post del metodo assurge a garanzia irrinunciabile: non importa provare ad ogni costo, ciò che conta è avere una prova controllabile, poiché il fine non giustifica i mezzi (la procedura), ma sono i mezzi a legittimare il fine^[21].

Il binomio “alterabilità-urgenza”

Da quanto sopra esposto emerge, dunque, la considerazione per cui nelle indagini preliminari le parole chiavi che permettono di individuare la disciplina giuridica applicabile alle operazioni “tecniche” condotte in ambito digitale sono essenzialmente due: l’ “alterabilità” e l’ “urgenza”; ed è dalla loro combinazione che si configurano differenti scenari, tali da ricomprendere situazioni nelle quali il contradditorio potrà essere debole, ma anticipato (atti garantiti ex art. 360 c.p.p.) o solo eventuale^[22] (atti a sorpresa ex art. 354, co. 2 c.p.p.).

Pensiamo, in tale ultima ipotesi, a quelle situazioni in cui il preavviso alla controparte potrebbe essere difficile se non addirittura impossibile da realizzare: la difficoltà verrebbe ravvisata in tutti i casi nei quali il sequestro rappresenta lo sbocco naturale di un precedente e preliminare atto a sorpresa (tipicamente, una perquisizione), incompatibile con qualsiasi tipo di preavviso; oppure i casi in cui, sempre in sede di sopralluogo, non esiste ancora nessun soggetto iscritto nel registro degli indagati da avvisare in funzione di garanzia.

Ciò che qualifica, quindi, l’urgenza negli “atti a sorpresa” ex art. 354, co. 2 c.p.p. è l’indifferibilità dell’atto, il quale non può che essere svolto nell’immediatezza dei fatti, pena l’impossibilità del suo successivo svolgimento.

Ma indifferibilità non vuol dire irripetibilità: ad esempio, in corso di sopralluogo la polizia giudiziaria è legittimata a svolgere rilievi non ripetibili solo se essi sono al tempo stesso urgenti, ossia indifferibili; quando, invece, esiste la possibilità del differimento, la mera non ripetibilità dell’atto non ne giustifica il compimento in maniera unilaterale, ma in contraddittorio anticipato e debole^[23].

Con un’ultima precisazione: le operazioni tecniche non ripetibili ed urgenti (rectius indifferibili) dovrebbero sempre potersi svolgere in modo tale da preservare gli elementi di prova originali; ciononostante, qualsiasi inevitabile modifica dovrà essere documentata e controllabile a posteriori, perché la controllabilità rappresenta il recupero, sul piano processuale, del vulnus determinato dall’inevitabile intervento unilaterale che ha relegato il contraddittorio ad una mera eventualità.

NOTE

1. Le tecniche utilizzate per gestire gli elementi digitali devono essere cioè in grado di lasciare inalterato l’originale, sia nella fase di acquisizione, sia nella fase successiva di conservazione. ↑
2. In altri termini, rispetto alla copia l’investigatore deve offrire idonee garanzie di “genuinità” e di “conservazione”: garantire la genuinità significa assicurare l’esatta corrispondenza tra la copia e l’originale (“sigillo” digitale o funzione di hash) nel momento stesso in cui viene realizzata la copia forense (bit stream image); conservazione del dato, invece, significa impedire alterazioni successive dell’originale e della copia attraverso, ad esempio, un write blocker hardware o software. ↑
3. La digital forensics può essere definita come una branca delle cosiddette scienze forensi, essendo la stessa, di fatto, uno strumento utilizzato per la raccolta, conservazione ed analisi di dati ed informazioni di interesse giuridico-investigativo. Tale disciplina ha assunto oggi la connotazione di “macro categoria”, in quanto al suo interno racchiude diverse sottocategorie, quali la computer forensics, la mobile forensics, la network forensics, la cloud forensics e la whatever forensics. ↑
4. Nell’ambito dell’Information Technology, ISO e IEC hanno formato un comitato tecnico congiunto, denominato ISO/IEC Joint Technical Committee 1. ↑
5. Con specifico riferimento alle fasi dell’attività di digital forensics, generalmente si afferma che il punto di partenza di ogni attività investigativa è il sopralluogo sulla “scena del crimine”, ossia un mezzo di ricerca della prova che mira a descrivere il più fedelmente possibile, e a proteggere da ogni contaminazione esterna, il luogo in cui è stato commesso il fatto: l’area interessata deve essere presidiata da personale e delimitata in modo che non possano accedervi persone non autorizzate. Il first responder, ossia il primo ad arrivare sulla scena, deve iniziare un meticoloso inventario e preservare lo stato dei luoghi finché non arriveranno i tecnici informatici, procedendo, se del caso, ad un accertamento urgente ex art. 354 c.p.p.: “Se vi è pericolo che le cose, le tracce e i luoghi si disperdano o comunque si modifichino e il Pubblico Ministero non può intervenire tempestivamente, gli ufficiali di Polizia Giudiziaria compiono i necessari accertamenti e rilievi sullo stato dei luoghi e delle cose …”. ↑
6. A differenza di un semplice backup, che comporta il salvataggio su un supporto differente di una copia dei dati presenti sul disco originale, una bit stream image è un duplicato esatto dell’intero supporto originale, in quanto si sostanzia nella registrazione di tutte le parti del dispositivo, quali file cancellati, frammenti, slack space e spazio non allocato, elementi tutti di fondamentale importanza per la successiva fase investigativa. ↑
7. Il write blocker è un dispositivo indispensabile per assicurare che l’operatore non abbia la possibilità, anche involontaria, di alterare il contenuto della memoria target. Può essere di tipo:- software: composto da un programma che intercetta tutte le “chiamate” di input/output del sistema operativo (a tutti i livelli) verso il dispositivo protetto;- hardware: dispositivo fisico interposto tra workstation e memoria di massa, detto anche forensics bridge, che analizza i segnali tra i due sistemi e valuta se siano dannosi o meno per l’integrità dei dati;

   – firmware based: software che inibisce la scrittura utilizzando le istruzioni base del BIOS. ↑

8. Ad esempio, CAINE (acronimo di Computer Aided INvestigative Environment) scaricabile dal sito ufficiale. ↑
9. OSForensics, Access Data FTK, Imager UFED 4PC eccetera. ↑
10. Tableau TD2u, Logicube Forensics Falcon eccetera. ↑
11. Si tratta di un algoritmo matematico che mappa dei dati di lunghezza arbitraria in una stringa binaria di dimensione fissa chiamata valore di hash. Tale funzione è progettata per essere unidirezionale (one-way), ovvero difficile da invertire. Esempi di funzioni hash sono MD5, SHA-1, SHA-256 e via dicendo. ↑
12. «Non rientra nel novero degli atti irripetibili l’attività di estrazione di copia di “file” da un computer oggetto di sequestro, dal momento che essa non comporta alcuna attività di carattere valutativo su base tecnico-scientifica, né determina alcuna alterazione dello stato delle cose, tale da recare pregiudizio alla genuinità del contributo conoscitivo nella prospettiva dibattimentale, essendo sempre comunque assicurata la riproducibilità d’informazioni identiche a quelle contenute nell’originale» (Cass., sez. I, 5 marzo 2009, n. 14511, in CED Cass., 243150). ↑
13. Cass. pen., sez. I, 26 febbraio 2009, n. 11863, in CED Cass. 2009, n. 243922, secondo cui «l’estrazione dei dati contenuti in un supporto informatico, se eseguita da personale esperto in grado di evitare la perdita dei medesimi dati, costituisce un accertamento tecnico ripetibile». ↑
14. L. Luparia, G. Ziccardi, Investigazione penale e tecnologica informatica. L’accertamento del reato tra progresso scientifico e garanzie fondamentali, Milano, Giuffré, 2007; E.M. Mancuso, l’acquisizione di contenuti e-mail, in a. Scalfati (a cura di), “Indagini atipiche. Leggi penali tra regole e prassi”, Torino, Giappichelli, 2014. ↑
15. A. Chelo, Le prime indagini sulla scena del crimine. Accertamenti e rilievi urgenti di polizia giudiziaria, Padova, Cedam, 2014. ↑
16. M. Torre, Aspetti giuridici e tecnici relativi al trattamento della prova digitale nel processo penale. La prova informatica nella legge 18 marzo 2008, n. 48, in “Informatica e diritto”, XLI annata, Vol. XXIV, 2015, n. 1-2. ↑
17. Tutti i dispositivi spenti al momento del sopralluogo dovrebbero essere riposti in buste antistatiche, per il loro successivo trasporto e analisi in laboratorio. ↑
18. In particolare, si tratta di “rilievi” la cui irripetibilità deriva dal fatto che il loro compimento, in un certo qual modo, altera, disperde o comunque modifica l’evidenza digitale. ↑
19. È l’acquisizione del contenuto della memoria RAM con il dispositivo acceso (dump), in modo tale da preservarne le informazioni e successivamente condurre l’analisi del suo contenuto, dei processi, delle connessioni di rete, degli ultimi file aperti, dei registri di sistema, ecc. Le metodologie seguite nelle ipotesi A) e B) vengono, invece, denominate post mortem forensics, poiché le operazioni concernenti i dati avvengono a dispositivo spento. ↑
20. P. Tonini, Il documento informatico: problematiche civilistiche e penalistiche a confronto, in “Corriere giuridico”, 2012, n. 3. ↑
21. M. Torre, Aspetti giuridici e tecnici relativi al trattamento della prova digitale nel processo penale. La prova informatica nella legge 18 marzo 2008, n. 48, cit. ↑
22. Pensiamo a quelle situazioni in cui il preavviso alla controparte potrebbe essere difficile se non addirittura impossibile da realizzare: tale difficoltà verrebbe ravvisata in tutte le ipotesi in cui il sequestro rappresenta lo sbocco naturale di un precedente e preliminare atto a sorpresa (tipicamente, una perquisizione), incompatibile con qualsiasi tipo di preavviso, ovvero, in tutti i casi in cui, in sede di sopralluogo, non esiste ancora nessun soggetto iscritto nel registro degli indagati da avvisare in funzione di garanzia. ↑
23. Peraltro, tale distinzione emerge chiaramente ex artt. 360 c.p.p. e 117 disp. att. c.p.p., laddove si precisa che la non ripetibilità dell’accertamento tecnico può dipendere dal suo oggetto («persone, cose o luoghi il cui stato è soggetto a modificazione») o dalle modalità del suo svolgimento (quando «l’accertamento tecnico determina modificazioni delle cose, dei luoghi o delle persone tali da rendere l’atto non ripetibile»). ↑