Gli standard dell'acquisizione forense

Elencare standard in una relazione e' facile. Rispettarli lo e' molto meno, e distinguere le due cose e' esattamente il mestiere di chi valuta una prova. Questa guida spiega che cosa impone ciascuno standard e come si riconosce chi lo cita senza applicarlo.

Una premessa che vale piu' dell'elenco

C'e' una differenza sostanziale tra riferimento di conformita' e certificazione. Un riferimento significa: questo strumento e' costruito secondo quella specifica, e produce artefatti che chiunque puo' controllare. Una certificazione e' un attestato rilasciato da un organismo accreditato, dopo un audit, con un ambito e una scadenza.

Molti prodotti espongono loghi che suggeriscono la seconda e valgono la prima. La domanda che smonta l'ambiguita' e' sempre la stessa: quale artefatto verificabile dimostra questa conformita'? Se la risposta e' un file che si puo' aprire ed esaminare, la conformita' e' sostanziale. Se e' un'immagine sul sito, no.

Uno standard non e' un logo da appendere: e' un vincolo che si vede negli artefatti prodotti. Se non lascia traccia nel file, non e' stato applicato.

Il quadro d'insieme

ISO/IEC 27037: il riferimento di processo

E' la norma internazionale sul trattamento delle evidenze digitali. Definisce quattro fasi — identificazione, raccolta, acquisizione, conservazione — e i requisiti di documentazione, tracciabilita' e ripetibilita' che devono accompagnarle.

Il punto su cui si misura davvero l'aderenza e' l'intervallo tra raccolta e acquisizione: e' li' che una catena di custodia si rompe. Chi documenta oggi e «certifica» la settimana prossima soddisfa la lettera dell'elenco ma lascia aperta la finestra che la norma vuole chiudere. Il tema e' sviluppato in la catena di custodia di una prova fotografica.

SWGDE: le linee guida operative

Lo Scientific Working Group on Digital Evidence pubblica documenti operativi ampiamente adottati nella pratica forense. Il piu' pertinente alla cattura sul campo e' il 18-F-002, «Best Practices for Digital Evidence Collection», che riguarda la raccolta della prova digitale.

Qui serve una avvertenza sul modo in cui questi documenti vengono citati, perche' l'imprecisione e' diffusa: i codici SWGDE identificano documenti dall'oggetto molto specifico, e usarli come etichette generiche e' scorretto. Due esempi che si incontrano spesso: il 17-V-002 non e' un documento generale su «video e audio forense» ma riguarda l'acquisizione di dati da videoregistratori digitali; il 23-I-001 non riguarda l'imaging nel senso di copia forense, ma il supporto legale e scientifico all'ammissibilita' degli esami sulle immagini. Prima di citare un codice, conviene aprire il documento e leggerne il titolo.

Vale infine la pena segnalare quale documento non e' pertinente: il 18-F-003 riguarda il dispositivo mobile come prova da cui estrarre dati — scenario completamente diverso da uno strumento che crea la prova sul campo. Rivendicarlo sarebbe sbagliato.

RFC 3161: la marca temporale

Definisce il protocollo con cui un'autorita' terza attesta che un dato esisteva a un certo istante. Il meccanismo e' descritto in la data di una foto: viaggia solo l'impronta, mai il contenuto.

Due precisazioni che separano l'uso corretto da quello approssimativo. La prima: una marca RFC 3161 non e' automaticamente qualificata. Le autorita' pubbliche di marcatura sono tecnicamente solide ma non sono prestatori qualificati ai sensi di eIDAS; l'aggettivo «accreditata» non equivale a «qualificata». La seconda: marcare solo il media lascia scoperto il resto del pacchetto — per questo la marca va applicata anche all'elenco firmato dei file di servizio.

BagIt (RFC 8493): il contenitore

Specifica un formato di impacchettamento pensato per il trasferimento affidabile di insiemi di file, nato alla Library of Congress. Prevede una cartella per il contenuto e file di servizio che ne dichiarano composizione e impronte.

La proprieta' che conta in ambito probatorio non e' solo la verifica di integrita', ma il controllo di completezza: ogni file presente nel contenuto deve essere dichiarato. Impedisce l'inserimento silenzioso di materiale dopo la sigillatura, che e' una manipolazione piu' insidiosa della modifica di un file esistente.

CASE / UCO: l'interoperabilita'

E' l'ontologia per rappresentare in modo strutturato dati investigativi — reperti, dispositivi, luoghi, relazioni tra entita'. Serve a un obiettivo pratico: che il fascicolo sia importabile negli strumenti di analisi che un consulente gia' usa, senza conversioni manuali.

Ha anche una funzione difensiva verso il fornitore: un pacchetto in formato standard sopravvive a chi lo ha prodotto. Se il produttore chiude, la prova resta leggibile. E' il criterio con cui valutare qualsiasi strumento di questo tipo.

EXIF 2.32: i metadati

Definisce i campi che una fotocamera scrive nel file. Nel contesto forense il requisito non e' arricchirli ma preservarli: marca, modello e data originale devono restare quelli scritti dal dispositivo, e ogni aggiunta deve essere dichiarata e distinguibile.

Attenzione a non attribuire agli EXIF un valore che non hanno: sono modificabili con strumenti gratuiti e non provano nulla da soli. Diventano affidabili solo se inclusi in un manifest firmato. La distinzione e' sviluppata in metadati EXIF: cosa provano davvero.

eIDAS: il piano giuridico

Il Regolamento (UE) 910/2014 e' l'unico riferimento dell'elenco che opera sul piano giuridico anziche' tecnico. Due disposizioni rilevanti:

• L'art. 41 stabilisce che una marca temporale elettronica qualificata gode della presunzione di accuratezza della data e dell'ora che indica e di integrita' dei dati ai quali tali data e ora sono associate.
• L'art. 46 stabilisce che a un documento elettronico non possono essere negati effetti giuridici e ammissibilita' come prova per il solo fatto della sua forma elettronica.

Da qui una precisazione utile: l'art. 46 dice che la forma elettronica non e' un motivo di esclusione. Non dice che qualunque file elettronico sia una prova solida — le contestazioni su data, integrita' e provenienza restano tutte disponibili alla controparte. E' un presupposto, non una garanzia.

Sulla provenienza del contenuto

Esiste un ambito in cui uno standard e' spesso citato impropriamente: la marcatura di provenienza del contenuto. LOCUS inserisce nel media un blocco informativo ispirato a C2PA e JUMBF, che pero' non e' C2PA standard e non e' leggibile con gli strumenti dell'ecosistema Content Credentials.

Lo diciamo perche' e' esattamente il tipo di affermazione che una controparte competente verifica — e trova falsa, se lo e'. Le garanzie autoritative restano il manifest firmato, le marche RFC 3161 e le impronte crittografiche: il blocco di provenienza e' un livello aggiuntivo e auto-asserito. Il tema e' trattato in autenticita' delle foto nell'era dell'IA.

Come si verifica una dichiarazione di conformita'

Tre domande, in ordine di efficacia:

Quale file lo dimostra? La conformita' a RFC 3161, BagIt, CASE/UCO produce file specifici, presenti nel pacchetto ed esaminabili. Se non ci sono, la conformita' e' dichiarata e basta.

Si verifica senza il software del produttore? Hash e marche temporali si controllano con strumenti di sistema. Se serve per forza l'applicazione del fornitore, la fiducia si concentra su di lui — cioe' il problema che gli standard esistono per evitare.

Che cosa dichiara di NON fare? E' la domanda piu' informativa. Uno strumento che elenca solo garanzie e nessun limite non e' stato descritto con precisione, ed e' proprio nei limiti taciuti che una controparte va a cercare.

Vedi anche la pagina standard e il glossario.