• home
• Digital Forensics
• email me

Domande, Commenti e Risposte

L'idea di questa pagina è venuta fuori da una necessità impellente: fornire delle risposte a domande molto simili che centinaia di studenti, esperti e visitatori di questo sito mi pongono sia per email che alla fine o durante le conferenze che svolgo.

Alcune delle domande che seguono sono state da me sintetizzate, altre sono state inviate direttamente da utenti del sito. In ogni caso sono state rese ad ampio spettro (per essere di maggiore interesse per tutti) e comunque sono sempre anonime.

Spero questa pagina aiuti più persone possibili a trovare delle piccole risposte in questo settore che, in massima umiltà, mi accingo a dare. E' mia ferma convinzione che in qualsiasi scienza le "mummie santificate" non debbano avere spazio e tutti devono poter essere messi in discussione (pubblica). Queste risposte (in realtà l'intero sito) sono il mezzo che vi fornisco per mettermi in discussione...

Numero di domande: 76
Data ultima modifica : 04 dicembre 2009

1) Domanda - AZIONI E STRUMENTI DEL RACIS

Questo modello di domanda è indicativo di centinaia di richieste via email che mi arrivano su questo sito. Ribadisco che questo sito è personale e non attiene l'Arma dei Carabinieri, nè è da essa supervisionato e nemmeno è sotto la sua responsabilità. Va quindi da se che non posso qui dare informazioni su come il Reparto opera e tantomeno sugli strumenti che impiega.

A questo va aggiunto non fornisco nè informazioni, nè commenti di nessun tipo su casi investigativi in trattazione o archiviati/chiusi. Nel primo caso è palesemente illegale a meno di specifiche direttive della magistratura, mentre nel secondo rimetto esclusivamente all'Arma dei carabinieri la decisione sul fatto che io ne parli.

2) Domanda - LAVORO AL RACIS

Anche questa domanda dovrebbe trovare esclusivamente risposta nel sito dell'Arma dei Carabinieri: http://www.carabinieri.it ma dato che soprattutto le richieste degli studenti neo-laureati è enorme fornisco alcune indicazioni generali che almeno possano sgombrare dei dubbi dalla mente. Riporto quindi indicazioni che si rilasciano comunemente nelle frequenti interviste pubbliche ai nostri militari.

Le informazioni di seguito elencate non sono necessariamente aggiornate e nemmeno hanno carattere di istituzionalità.

1) Il Raggruppamento Carabinieri Investigazioni Scientifiche possiede al suo interno il Reparto Tecnologie Informatiche che si compone di una Sezione Telematica che svolge indagini ed accertamenti tecnici nonchè di una Sezione Ricerca Scientifica.

2) Trattandosi di Reparti dell'Arma non si parla di assunzione ma di arruolamento. La differenza è che bisogna assumere lo status di militare con tutte le incombenze connesse. Non si tratta quindi di un impiego civile per cui la selezione può avvenire anche tramite semplice colloquio. Si deve entrare per concorso pubblico.

3) In particolare, nel RaCIS è possibile entrare da Ufficiale del ruolo tecnico (fisica, chimica, biologia, informatica, ecc.) superando uno specifico concorso annuale riservato a laureati.

4) E' possibile entrare, nel RaCIS, anche quale militare, di grado inferiore ad ufficiale, specialista di laboratorio superando un concorso interno cui segue un anno di corso di specializzazione nella specifica materia scientifica/forense per cui si è stati selezionati.

3) Domanda - ENFSI

L'ENFSI (http://www.enfsi.org) è il network europeo dei laboratori forensi di Polizia, Militari e della Magistratura ed è composto di personale che già opera in detti laboratori nei vari paesi dell'EU. Rappresentanti degli Istituti scientifico forensi di polizia e giudiziari si riuniscono annualmente per procedere alle elezioni dei responsabili dei vari gruppi di lavoro (Chimica, Biologia, IT, ecc.). Questi, seppur mantenendo la loro attività nella nazione di competenza, dirigono le interazioni e gli esercizi collaborativi tra gli appartenenti dello stesso gruppo tramite una VPN. In definitiva l'ENFSI non ha personale assunto ma è piuttosto una struttura basata soprattutto sulla comunicazione digitale.

4) Domanda - OPEN SOURCE

La polemica che affligge il mondo del Digital Forensics, soprattutto quello italiano, riguardo l'impiego di strumenti open source o commerciali non trova la mia approvazione. Ripeto quanto già espresso diverse volte in proposito sia durante le conferenze che in diverse lezioni:

(1) un esperto di computer forensics deve sempre avere (e saper impiegare) più di un tool (meglio se di natura e provenienza diverse) , sia per repertare (copiare) che per analizzare i dati, in quanto, per esperienza diretta, solo cambiando prontamente i tool si riescono a risolvere le situazioni anomale (con eccezioni) che poi sono le uniche a preoccuparci. Non attacchiamoci mai ad uno strumento che sia open source o meno. In questo settore la rigidità di impiego fa molto male. Un tecnico del forensics deve spesso impiegare più tool per poter confrontare i risultati dei suoi accertamenti tecnici perchè ognuno di essi ne può generare (spesso) di differenti.

(2) L'affidabilità di uno strumento non è basata sul fatto che sia open source o meno ma sui test ai quali è stato sottoposto ufficialmente. Si deve quindi sempre riferire al NIST e leggere i suoi report. Quelli sono risultati pubblicati a livello scientifico e sono un ottimo punto di riferimento che tutti hanno potuto vedere e discutere, anche esperti molto migliori di noi.

Gli strumenti open source legati al mondo Linux sono estremamente importanti ed alcuni di essi molto validi. Lo stesso dicasi per gli strumenti commerciali e per quelli riservati alle Forze di Polizia. Quello che è errato è invece chiudersi in uno solo di tali mondi ed escludere gli altri perchè si corre il rischio di fare errori clamorosi.

5) Domanda - REPERTO ORIGINALE

Sono necessari particolari accorgimenti tecnici per rendere la copia estremamente affidabile. Tale argomento è trattato in dettaglio nella lezione di Computer Forensics. In sintesi, le garanzie da predisporre sono almeno le seguenti:

(a) tool e procedimento di copia con abbondanza di controlli-errore e di logging (hash a blocchi e finale, una metodologia di skipping definita a priori per i settori danneggiati e/o per le informazioni mancanti, ecc.);

(b) repository di destinazione della copia di natura altamente affidabile o comunque ridondato secondo parametri di affidabilità certificati e misurabili;

(c) conservazione del repository garantita ma meccanismi di protezione contro campi elettromagnetici, umidità, azioni meccaniche, ecc.

Dal punto di vista legale la trascrizione dell'hash sul verbale è una parte minima delle garanzie ma sicuramente indispensabile. Può essere valido l'inserimento del LOG approfondito delle attività di copia in allegato ed infine il massimo delle garanzie si può determinare effettuando la copia in presenza della controparte e depositando poi uno dei cloni come nuovo reperto presso i competenti uffici (svolgendo di fatto la copia come accertamento irripetibile).

6) Domanda - COMPUTER DI BORDO

In Italia, le notizie che ho su indagini tecniche inerenti computer di bordo di autovetture rigaurdano casi molto rari al momento. Molto più frequente è l'indagine sui GPS e altri dispositivi elettronici tipicamente mantenuti a bordo.

In diverse altre nazioni europee, invece, esiste un preciso settore del digital forensics che si occupa del repertamento ed analisi delle "scatole nere" sia in ambito ferroviario che automobilistico in quanto esistono specifici obblighi per auto o autobus, treni, ecc. nel detenere attivo al loro interno un apparato protetto di "logging" di diverse tipologie di attività. In tal caso la rilevanza di tali strumenti nell'ambito ad esempio di incidenti o furti è notevole.

7) Domanda - STEALTH-PHONE

Non mi occupo direttamente ed intensivamente di intercettazione su stealth-phone, questo è più argomento del Reparto Tecnico del ROS, ad ogni modo una risposta approssimativa è che senza accedere direttamente all'hardware del cellulare l'intercettazione è praticamente impossibile.

8) Domanda - CELLULARI CIFRANTI

Nulla di preciso voglio riferire sull'URL fornito ma in generale si può asserire che esistono dei cellulari in commercio che possono rendere praticamente impossibile l'intercettazione.

9) Domanda - CONVENZIONE DI BUDAPEST

La questione da lei attenzionata è di estrema importanza per le Forze di Polizia e presto, quindi, mi verrà chiesto di analizzarla in dettaglio per il suo impatto nell'Arma. Ad ogni modo vengo al sodo della domanda, ossia se ci sarà un peggioramento delle fonti di prova. La risposta in linea di massima è si. Ciò nonostante considero il recepimento della convenzione come un atto di sicuro progresso. Mi spiego, sebbene inizialmente sotto la voce accertamenti urgenti informatici verrà incanalato di tutto per una questione di praticità e TUTTI si improvviseranno esperti nel settore, gli errori che ne conseguiranno porranno all'attenzione massima di tutti l'importanza di preparare le Forze di Polizia ed i consulenti nel settore del digital forensics e quindi aumenteranno gli investimenti in questa direzione e tutti ne guadagneranno.

10) Commento - CELL PHONE FORENSICS

Rif. R.Ayers, W.Jansen, N.Cilleros, R.Daniellou, (Ott. 2005), “Computer Security – Cell Phone Forensic Tools: an overview and analysis”, NISTIR 7250, Computer Security Division, IT Laboratory, NIST, Gaithersburg, MD 20988-8930 - http://csrc.nist.gov/publications/nistir/nistir-7250.pdf

11) Domanda - CLONAZIONE CELLULARE

E' bene differenziare tra terminale radiomobile e SIM ricordando che è la combinazione dei due sistemi ad essere identificata sulla rete cellulare.

Se si ipotizzano due terminali che possano essere il risultato di una perfetta clonazione (è possibile anche per due smartphone) con SIM diverse saranno quindi distinguibili una volta connessi. Il provider di servizi telefonici interessato, qualora entrambi i telefoni sono connessi, potrebbe svolgere una particolare query ai suoi data base per rilevare tale anomalia.

Se si ipotizzano invece terminali e SIM perfettamente identici, anche se con qualche problema, si realizza una sovrapposizione nelle trasmissione e quindi una sorta di intercettazione molto grezza.

In fase di intercettazione (sebbene ripeto questo non sia il mio settore dominante) si può porre sotto controllo, dal punto di vista teorico, sia il terminale radiomobile che la SIM ma i costi e le difficoltà per l'operatore sono differenti.

12) Domanda - ANALISI DI CELLULARE

Queste domande afferiscono in massima parte al codice di procedura penale. Vedrò di rispondere come un esperto di digital forensics e non come un esperto legale.

L'analisi di un telefono cellulare, quale attività tecnica approfondita, compiuta con mezzi specifici, può essere realizzata solo con la necessaria autorizzazione della magistratura. Ciò nell'ipotesi fondamentale che l'oggetto dell'analisi contenga dati che debbano essere impiegati in dibattimento come fonti di prova. Dal punto di vista investigativo, ossia se i dati sono necessari solo per proseguire le indagini il fatto cambia.

La comunicazione alle parti va fatta se si procede con un accertamento non ripetibile per cui bisogna averne contezza e prima di procedere in qualsiasi modo darne chiaro riscontro al magistrato che opera il quale deciderà di conseguenza.

Nello stesso modo solo il magistrato che dispone la copia può decidere di concederne ad una alle parti e questo ha senso, le basti pensare che concedendo una copia dei dati alla contro-parte (ad esempio) lei potrebbe restituirgli dei dati utili a proseguire un reato.

Alla domanda come evitare di alterare lo stato del sistema rispondo dicendo che ci sono specialisti, mezzi e procedure per svolgere correttamente le attività del mobile forensics. Ne dobbiamo essere avveduti.

13) Domanda - TULP2G

Un prodotto che ho avuto occasione di seguire direttamente in Olanda dalla sua nascita nel Netherlands Forensic Institute. Rif. http://www.forensics.nl e Paper. Per quanto a mia conoscenza è uno dei più impiegati sia dalle Forze di Polizia.

14) Domanda - SOFTWARE "SPIA" NEI CELL.

Se parliamo di software spia su mobile dobbiamo necessariamente parlare di smartphone. Bisogna considerare un smartphone come un personal computer perennemente connesso via rete. Chi, ormai, terrebbe il proprio PC connesso ad Internet senza antivirus e firewall attivi? Qualcuno forse ancora lo fa ma ne paga pesanti conseguenze in brevi periodi.

Bisogna quindi sapere quali processi sono attivi sul proprio smartphone, lo stato delle sue connessioni - IrDA - Wi-Fi / Wi-Max - Bluetooth, fare attenzione ai file che si scambiano ed ai software che si installano e magari analizzare il traffico dati in ingresso/uscita per verificare delle anomalie.

In definitiva la risposta alla sua domanda è che non è semplice. Esistono software installabili sia su PC che su cell che lasciano visibilità e traccia della loro attività praticamente irrilevanti anche agli "occhi" di parecchi software di protezione. A questo va aggiunto che la loro installazione può bypassare molto facilmente la volontà dell'utente.

15) Domanda - NOKIA PC SUITE PER ANALISI

Sfortunatamente la Nokia PC Suite è invasiva all'atto della connessione tra PC e cellulare, per cui definire che non comporta modifiche hardware/software del dispositivo è inesatto.

La domanda comunque è di natura più generica e si rivolge alla possibilità di avere una fonte di prova costituita dallo sfruttamento di un bug che porti poi in dibattimento ad una prova accettata ed impiegata. La risposta purtroppo è SI, non sempre fortunatamente, ma è possibile. Nello specifico per due ordini di motivi:

(a) spesso in dibattimento non si capisce cos'è un "bug" software...,

(b) il vero ed il falso in dibattimento è frutto del contraddittorio e quindi se la controparte accetta l'impiego della Nokia PC suite a livello forense o non la discute perchè magari ignara dei suoi problemi il gioco è fatto.

16) Domanda - PROT. DI REPERTAMENTO

Non esiste ad oggi un protocollo per il repertamento informatico accettato come tale e quindi un regolamento per tutte le FFPP.

Certo le "collisioni" tra azioni di repertamento e loro conformità in fase di didattimento esistono e sono sempre esistite (purtroppo - o meno sono una delle vie di fuga o attacco più impiegate dagli avvocati difensori. Giustamente attaccano quella che considerano una debolezza (quando la incontrano) ossia la mancanza di preparazione dovuta all'assenza di standardizzazione nelle procedure.

17) Domanda - PROT. DI REPERTAMENTO CC

Il citato protocollo è in fase di bozza ed ancora non approvato dal Comando Generale dell'Arma. Ha ragione nel dire che i documenti ufficiali dell'Arma sono di impiego ristretto al personale dell'Arma e/o di altre Forze di Polizia o Magistratura a seconda delle specifiche decisioni sempre del C.do G.le.. In ogni caso, una delle lezioni nell'area didattica è inerente esclusivamente il repertamento High Tech sulla scena del crimine, il tutto a livello accademico e tenendo fuori le parti specifiche che afferiscono esclusivamente gli aspetti militari e di polizia. Ad ogni modo le linee guida della lezione saranno fortemente inerenti il protocollo in parola e sarà possibile discuterne ampiamente come accade per le lezioni già esistenti. La libera discussione è alla base delle crescita di tutti: questo stesso principio ispira la mia faticosa creazione di questo sito e dell'area didattica...

Riguardo le fonti per la realizzazione del protocollo sono soprattutto FBI, ENFSI (gruppo di tutti i gabinetti di polizia scientifica d'Europa) e IOCE. Il tutto contestualizzato alla mia esperienza ed a quella di diversi altri tecnici forensi di livello nazionale ed internazionale con i quali sono in continuo contatto. Nella lezione sul repertamento le fonti saranno citate (quando possibile).

18) Domanda - SULLA SCENA DEL CRIMINE

Questa domanda può essere allargata a due punti chiave: (1) la formazione e l'aggiornamento del personale di polizia non specialista in ambiti di polizia scientifica o quanto meno di sopralluogo e repertamento sulla scena del crimine, (2) la disponibilità di tool che possano essere di ausilio nel primo intervento.

Tutto questo costa enormemente in termini economici, di tempo e di impiego del personale. Tutte le FFPP italiane cercano di restare al passo in questa corsa verso la scienza forense ma è veramente complicato. Diversi risultati sono stati ottenuti con la creazione di corsi specifici ma per farle capire l'entità del problema, contestualizzando all'Arma si hanno oltre 100.000 militari da gestire, anche ammettendo di formarne in maniera continuativa il 10% si avrebbe un onere in termini di risorse varie enorme.

Per chiudere la risposta è bene gettare uno sguardo alle FFPP oltre la realtà europea (non troppo dissimile da quella italiana). In Giappone, ad esempio, l'idea che al primo intervento sia un non specialista ad intervenire sui dispositivi digitali è considerata un'aberrazione. Esistono squadre di pronto intervento specialistico in vari settori della scientifica che operano con una capillarità enorme sul territorio. Il Giappone, quindi, ha investito sul potenziamento delle squadre piuttosto che sulla preparazione del comune personale di polizia (il quale comunque riceve un addestramento di base all'intervento). Questo ha un senso se contestualizzato alla dimensione del territorio considerato ed alla sua conformazione nonchè alla distribuzione delle persone su di esso.

19) Domanda - PROT. PER LE AZIENDE

Il protocollo in questione è interno all'azienda e non necessariamente deve essere concordato con le Forze di Polizia, con degli Enti governativi e/o con dei centri di ricerca nel settore. Talvolta accade, ma solo a seguito della buona volontà ed ottima preparazione del responsabile per la sicurezzza (oppure perchè in passato apparteneva, caso non infrequente, alle Forze di Polizia).

20) Domanda - DIGITAL FORENSICS

Il termine informatica forense introdotto in Italia a seguito della necessità di tradurre il termine Forensic Computing, non è sicuramente adatto ad indicare il Digital Forensics, sia per la vastità dei sub-settori di questa materia (in cui l'informatica è solo una parte e l'elettronica digitale è altresì determinante - cfr la lezione introduttiva al digital forensics dell''area didattica) che per la similitudine del termine ad informatica legale assolutamente fuorviante.

Il "digital forensics" è lo studio dei crimini ad alta tecnologia mediante sistemi digitali e come tale una materia della criminalistica ossia della scientifica investigativa, area ampiamente riconosciuta e studiata a livello accademico. Criminalistica, criminologia e diritto sono tre elementi che hanno molte intersezioni ma non coincidono affatto.

Per quanto a mia conoscenza non so di una tassonomia ufficiale italiana che includa una traduzione del termine "digital forensics". Dal mio punto di vista la traduzione non è necessaria.

21) Domanda - EMBEDDED SYS. FORENSICS

La risposta è in linea di massima si. Lei si sta riferendo all'Embedded System Forensics in cui si opera su videocamere, sistemi di registrazione e videocontrollo, ecc.. Può far riferimento alla lezione introduttiva sul Digital Forensics nell'area didattica in cui vengono presentati quasi tutti i settori di studio di questa materia.

22) Domanda - HARD DISK PROTETTO

L'inserimento della password per l'apertura dell'hard disk è un'operazione non ripetibile per cui deve essere svolta con le garanzie di cui al 360 CPP ed in presenza delle parti processuali con i previsti avvisi. Fanno eccezioni le previste situazioni in cui ci si può appellare al concetto di "accertamento urgente" (pericolo di repentina dispersione delle fonti di prova).

23) Domanda - SERVER ALL'ESTERO

Come indicato nella lezione di Network Forensics, se i dati da repertare o i rispettivi server sono all'estero prima si chiede collaborazione al provider straniero e poi, se questi si appella alla estraneità rispetto alla legge italiana si deve interpellare il magistrato competente affinchè avvi una rogatoria internazionale, ossia una procedura in cui le magistrature dei due paesi dovranno trovare un accordo (non scontato) per collaborare nella soluzione di un caso.

E' poi possibile anche riferirsi ad organi internazionali o accordi inter forza di polizia per accelerare le procedure legali ed investigative (es. Europol).

24) Domanda - SCENA DEL CRIMINE

In primo luogo la procedura di repertamento ed un gruppo di lavoro scientifico permanente che si occupi di aggiornarla e verificarla praticamente ad ogni caso investigativo sono elementi essenziali ai fini della domanda.

In linea generale bisogna poi dire che un sopralluogo perfetto, nel senso di prelevare sicuramente tutto ciò che è di interesse, in assoluto non esiste. Devono inceve esistere sopralluoghi in cui si evitano errori di repertamento.

Alcune informazioni investigative, infatti possono essere ottenute dopo un primo sopralluogo, magari a seguito di assunzione di informazioni dettagliate, approfondimenti o di accertamenti scientifici di cui sono già noti i risultati. In base a questa nuova conoscenza possono essere pensati nuovi schemi di repertamento e quindi possono risultare necessari nuovi sopralluoghi.

25) Domanda - POTERI DEL CT

I poteri del CT sono quelli dell'organo che lo incarica, quindi della magistratura. Se ad esempio il CT è del Pubblico Ministero che segue le indagini questi, in determinate condizioni potrebbe far presente al PM che necessita di tutti i dati presenti nella banca dati del maintainer e, se il PM autorizza per iscritto, tale insieme di informazioni personali può essere prelevata dal CT ed impiegata per le analisi. Alla domanda spontanea: e se non tutti tali dati sono inerenti il caso? In teoria dovrebbero essere prelevati solo i dati strettamente inerenti ma, nella realtà di tutti i giorni, la risposta è che il CT può comunque vedere tutto e la cosa passa in sordina a meno di denunce specifiche avverse... in ogni caso il CT è tenuto al più stretto riserbo riguardo i dati delle indagini e rischia non poco professionalmente e penalmente violando tale vincolo.

26) Domanda - LIMITI DELLA FUN. DI HASH

Per rispondere alla domanda rimando a: http://www.marcomattiucci.it/md5.php

27) Domanda - UNA SITUAZIONE

La domanda dovrebbe innanzitutto essere modificata in "si discute o meno in dibattimento una fonte di prova realizzata in questo modo?", ricordiamo infatti che il nostro approccio italiano, diversamente da quello anglosassone, non riconosce le prove digitali ma fonti di prova in generale che poi, discusse in dibattimento divengono prove vere e proprie (i legali che leggono mi scuseranno ma la mia semplificazione della procedura è soprattutto orientata ai tecnici). In definitiva (ed accade spesso...) anche presentando in dibattimento qualcosa di tecnicamente inadeguato, che però nessuno mette in discussione, si ottengono buone fonti di prova (quando per la prima volta capii questo, dato il mio background da ingegnere, feci fatica a non ridere...).

Isoliamo per un attimo i passi dell'attività che mi ha proposto:

(1) Acquisizione della memoria di massa, che ipotizziamo corretta, su un file (plain non compresso) che chiameremo IMAGE.DD;

(2) calcolo dell'hash, che ammettiamo affidabile, su IMAGE.DD nel file testo IMAGE.DD.MD5;

(3) calcolo dell'hash, della fonte (device), su DEVICE.MD5;

(4) verifica della coincidenza tra il contenuto di IMAGE.DD.MD5 e DEVICE.MD5;

(5) compressione con gzip ad ottenere IMAGE.DD.GZIP

Ammettiamo quindi che decomprimendo IMAGE.DD.GZIP si verifichino dei problemi e che gzrecover ci aiuti a recuperare IMAGE.DD.REC basta verificare che l'hash di IMAGE.DD.REC sia identico a quello in DEVICE.MD5 e IMAGE.DD.MD5 e tutto è perfettamente inappuntabile.

Se nel processo ha invece calcolato l'hash solo del file compresso IMAGE.DD.GZIP è ovviamente nei guai a meno che non abbia ancora a disposizione il reperto originale per effettuare una nuova acquisizione e comparazione con quanto in IMAGE.DD.REC.

In definitiva le acquisizioni forensi non vanno mai fatte direttamente in forma compressa. Il principio è che un repertamento dati è tanto meno appuntabile quanto più diretti e privi di elaborazioni intermedie sono le copie. La compressione è una forma di elaborazione notevole delle informazioni. Sicuramente è molto utile in diverse circostanze ma le informazioni caratterizzati la copia vanno prese fuori da essa.

28) Domanda - COSA ANALIZZARE?

Aderisco al commento ed unitamente a stampanti e scanner di rete suggerisco di verificare macchine fotografiche digitali, videocamere, ecc.

29) Commento - SEQUESTRARE ANCHE...

Aderisco al commento.

30) Domanda - FORZE DI POLIZIA E CTU

Bisogna considerare che Forze di Polizia e consulenti privati lavorano spesso insieme su ordine dell'autorità giudiziaria. In generale sono le Forze di Polizia ad intervenire per prime sul luogo del crimine e poi, su richiesta del PM, il consulente tecnico e talvolta il criminologo (inteso come specialista della scena del crimine e della psicologia criminale).

31) Domanda - LA PROCEDURA E LA PG

Il perito ha il dovere di rispondere all'incarico per il quale è stato chiamato garantendo la qualità delle attività che svolge a prescindere da ciò che è precedentemente accaduto al reperto e da qualsiasi altra considerazione.

La copia bitstream e la verifica dell'hash hanno lo scopo di avvalorare l'affidabilità e la ripetibilità dell'accertamento tecnico e quindi vanno impiegate a meno di specifiche controindicazioni tecniche. Se sono stati compiuti accessi di natura non corretta sarà verificato in fase di analisi e chi ne ha la responsabilità sarà chiamato a risponderne.

La giusta procedura, in questo caso, non garantisce la Polizia Giudiziaria operante ma piuttosto il consulente o perito, il quale può dare assicurazione sul corretto andamento delle attività tecniche solo dal momento che la catena di custodia testimonia la sua presa di possesso dei reperti.

32) Domanda - GHOST

Domanda interessante e ricorrente. A partire dal 2002 il software Ghost ha introdotto delle funzionalità dichiarate "forensics" dalla casa madre che si limitano sostanzialmente ad una copia di basso livello. In definitiva è quindi possibile (scegliendo accuratamente le opzioni del prodotto) impiegarlo per prelevare immagini di memorie di massa bitstream. Il problema sorge poi nell'analisi in quanto tali immagini devono essere convertite in altri formati per essere impiegabili dai comuni software forensi disponibili.

Massima attenzione alla funzionalità di restore delle immagini di Ghost perchè il software opera diversi riaggiustamenti sulla memoria destinataria per cui pensare di operare un restore per poi procedere ad un'analisi forense completa è sostanzialmente scorretto. Lo si può usare, invece, per visionare i file e le cartelle normalmente disponibili all'utente.

33) Domanda - PRIVACY & EMAIL

Un Mail-Server di una ditta di telecomunicazioni tratta inequivocabilmente dati personali rilevanti di migliaia di utenti. In conformità alla legge sulla privacy, tale repository di dati, a tutti gli effetti una banca dati di medie dimensioni, deve avere un responsabile ufficiale per la gestione, protezione ed estrazione delle informazioni. Dovrebbe essere redatto, inoltre, un documento specifico che ne regoli tali attività e che ne descriva le misure di protezione fisiche (accesso ai luoghi, distribuzione dei privilegi di accesso ai luoghi, logging degli accessi fisici, ecc.), nonchè quelle"virtuali" (sistema di crittazione dell'archivio delle caselle, tipo di algoritmo, distribuzione delle chiavi, possibilità di accesso e modifica da parte degli utenti, logging, ecc.). Tale documento per la privacy dei dati rimane inutilizzato e non controllato fino a quando non accade qualcosa di anomalo. Quando l'eventuale "guaio" accade viene richiesto e poi si cercano i responsabili... La sua idea di proteggere con una password i dati è segno di buona volontà ma ci vuole ben altro per cui le consiglio, con lettera scritta / raccomandata, di richiedere ai suoi dirigenti di applicare avvalendosi di un avvocato competente, le misure richieste per la privacy degli archivi elettronici. In questo modo, qualsiasi problema dovesse presentarsi potrà impiegare tale foglio ad eventuale discolpa (ma in genere tali fogli sortiscono l'effetto di far realizzare molto in fretta quanto necessario...).

34) Domanda - ATTENDIBILITA' DELLE MEMORIE

Una domanda molto interessante perchè l'argomento "attendibilità" delle memorie è centrale e scottante nel Computer Forensics.

Facciamo una prima ipotesi considerando l'attendibilità della memoria che ospita il reperto dati.

Quello che è certo è che nè prima nè durante l'impiego di tale memoria di massa a scopo forense si può essere sicuri che non si determinino errori fisici o danneggiamenti nella stessa.
Si può però ovviare considerando non l'attendibilità dell'intera memoria fisica quanto esclusivamente di quella impiegata (logicamente) per ospitare il reperto dati (la copia). In definitiva, se anche la memoria ospitante il reperto fosse soggetta ad errori fisici ma il sistema che la gestisce ne permette l'individuazione e la trattazione nonchè la possibilità di verificare se il reperto è interessato o meno, la situazione è risolta.

Questo può avvenire, ad esempio, con particolari sistemi RAID.

Seconda ipotesi è quella di considerare l'attendibilità del reperto fisico, ossia, ad esempio dell'hard disk che si va a repertare.
In questo caso ci si affida ai segnali del controller della memoria di massa per sapere se ci sono errori o meno durante le attività di lettura (copia o hashing) ed in tal caso l'unica possibilità che si ha è segnalarli nell'apposito verbale.

Terza ipotesi, la ripetizione delle attività di copia dopo molti anni di giacenza del reperto nell'archivio corpi di reato. In tal caso è data continua evidenza sperimentale che di errori fisici se ne presentano molti e spesso l'operazione non si riesce a completarla.

La ripetibilità, quindi, andrebbe più spesso riferita all'analisi di una copia certificata che all'intera procedura di repertamento ed analisi...

35) Domanda - RIPETIBILITA' DELL'ANALISI

Mi piacerebbe che fosse possibile ma purtroppo non posso che ripetere quanto scritto sopra: la ripetibilità basata sull'esistenza e mantenimento del reperto originale è sempre meno vera. Il tempo di mantenimento dei reperti in Procura è immenso rispetto al tempo di vita medio di un normale hard disk (dai 3 ai 5 anni medi), spesso in condizioni poco adatte alla "sopravvivenza" della memoria digitale...

36) Domanda - UN CASO ANOMALO

Casi di questo tipo purtroppo non sono rari. Gli elementi che mi ha dato non sono completi per rispondere esaustivamente alla domanda, ma proverò ad ipotizzare una situazione di validità generale, anche per rendere la questione di natura più accademica ed utile a tutti i visitatori del sito.

Ipotizzo che un consulente tecnico (CT) del PM abbia repertato i dati dell'hard disk di un reperto (R) lavorando poi sull'immagine così ottenuta (IMAGE.CT.DD) e rilevando delle informazioni di interesse per le indagini. Dopo X mesi, il Giudice incaricato potrebbe aver richiesto una perizia sempre su R. Il perito del Giudice (PER) preso R dall'ufficio corpi di reato ed effettuata l'acquisizione ottiene la nuova immagine IMAGE.PER.DD e confrontandone l'hash con quello fornito dal CT (scritto nella relazione tecnica del CT) si accorge che è differente.

Il PER dovrà asserire per iscritto che l'immagine svolta dal CT (IMAGE.CT.DD) risulta non perfettamente corrispondente a quella da lui rilevata su R (IMAGE.PER.DD). Se, a questo punto, il CT aveva depositato IMAGE.CT.DD presso la Procura il PER potrà procedere a confrontare direttamente i due file immagine e verificare l'entità della diversità. A seconda del risultato (di cui dovrà sempre dare atto per iscritto) potrà procedere a nuove analisi. Se invece IMAGE.CT.DD non è disponibile tutti i risultati del CT potrebbero, in linea di principio, essere messi in discussione.

37) Domanda - FILE SYSTEM PER DF

Come si può leggere nelle lezioni, per mantenere immagini di supporti clonati è necessario avere a disposizione articolate memorie di massa ad alta affidabilità e la scelta del file system poi diviene un passo successivo.

Bisogna quindi suddividere la risposta in almeno due parti:

(1) Qualora si intenda scaricare l'immagine come file su un singolo hard disk locale, agendo in economia e cercando di vedersi garantiti al massimo dalle alterazioni casuali la soluzione a mio avviso migliore è Ext3 in quanto alla possibilità di capire come il file system funzioni data l'apertura della sua documentazione ed in quanto anche alla positiva esperienza nel suo impiego sul campo per grandi file. Rimangono le avvertenze di avere a disposizione sempre l'hash di controllo e possibilmente di evitare di distribuire l'immagine su un unico file di dimensioni immense.

(2) Avendo a disposizione un budget economico discreto bisogna optare almeno per un RAID 5 (o soluzioni ancora più affidabili e costose) ridondato (macchina raddoppiata) dotato di sistema di gestione del versioning di basso livello ossia di un driver che, ad esaurimento dello spazio, memorizza tutte le versioni di qualsiasi file definendone così uno storico effettivo ed anche un LOG di fatto.

38) Domanda - HASH DA IMPIEGARE

Mi trovo ad evidenziare quanto più volte ripetuto: la contestazione, in ambito penale dibattimentale, dipende più dalle parti presenti che dalle regole tecniche di analisi che (purtroppo) ogni consulente, in Italia, decide ed usa dato che non vi sono direttive specifiche.

In definitiva la contestazione del MD5 è sempre possibile ma bisogna vedere quale grado di importanza le viene dato, quale grado di competenza ha il consulente tecnico di controparte ed in quale misura può poi effettivamente influenzare le sorti del processo.

39) Domanda - DEPOSITARE HD IN PROCURA

L'osservazione proviene da un problema reale che normalmente si affronta in sede di attività peritale per cui sono grato per questo commento. Che gli hard disk, attualmente, siano piuttosto inaffidabili è cosa certa. Puntualizzo dicendo che sono inaffidabili dal nostro punto di vista di tecnici forensi considerandoli come repository per dati da depositare poi all'ufficio corpi di reato o da dare alle controparti, proprio perchè i tempi (mi si consenta) elefantiaci dei nostri procedimenti si possono considerare in media tranquillamente da 3 anni a salire. All'aumentare del tempo di vita e dell'impiego tali memorie di massa tendono inevitabilmente a determinare errori e purtroppo in maniera random.

Dall'altro lato mi preme osservare che nel commento non è citato minimamente il concetto di hashing. Anche nella consegna in doppia copia del DVD - R è sempre buona norma riportare, sul verbale di consegna, il valore di hash calcolato sul contenuto masterizzato. Per quanto infatti i DVD-R (e ripeto "R") siano affidabili e non modificabili a sessioni chiuse o a superficie stampata non è detto che non possano intervenire guasti di natura particolare (come attacchi meccanici alla superficie). L'hash non preserva dagli errori ma permette quando meno di identificarli se ci sono, si tratta quindi di una garanzia. In questo senso ci si può cautelare anche nell'impiego degli hard disk.

Direttive nel senso della preservazione dei dati a scopo giudiziario penale non esistono per quanto a mia conoscenza.

Quando si estraggono grandi moli di dati di "estrema" importanza e si ha necessità di registrarli per depositarli ufficialmente si può ricorrere a tecnologie più evolute dei semplici HD o DVD-R. Ad esempio si possono registrare su sistemi di storage che implementano forme di RAID particolarmente ridondanti e robuste. Oppure si possono realizzare copie sofisticate in cui l'immagine del dato può essere ottenuto solo come ricostruzione di tipo fault tolerant (ossia a recupero automatico d'errore) di diversi file memorizzati su supporti fisicamente differenti. In questo senso esistono ditte che operano proprio al fine di garantire archiviazioni ad alta affidabilità (un riferimento è il seguente: http://www.nexsan.com/ ). Ovviamente si tratta di soluzioni di alto costo ma la spesa deve essere commisurata all'importanza dei dati.

40) Domanda - LIVE PC

Questa domanda è la ragione per cui esiste ancora un indaffarato settore di ricerca scientifica nel computer forensics interessato a come effettuare il repertamento sulla scena del crimine. Non esiste, per quanto a mia conoscenza, un protocollo generale in grado di coprire esaustivamente questa situazione. Si devono distinguere ovviamente due situazioni: (1) l'intervento è realizzato da personale tecnico qualificato; (2) l'intervento è realizzato da personale investigativo non specializzato.

Nella realtà è noto che le scene del crimine sono calcate inizialmente quasi sempre da personale non tecnico. Mentre quindi lo specialista potrebbe porre in atto dei meccanismi di copia su macchina attiva (operazione non ripetibile ma di sicura utilità - per quanto molto critica) per avere poi in laboratorio un clone leggibile (ed aggirare così il cripto), il non specialista può difficilmente essere guidato verso una procedura semplice e funzionale.

Un elemento importante è comunque, in entrambi i casi, la ripresa video dei contenuti video/sonori e delle azioni tecniche sulle macchine che possono successivamente fornire elementi importanti per le indagini e talvolta anche probatori.

41) Domanda - WRITE BLOCKER

Un write blocker software è un driver che intercetta tutte le chiamate di I/O del sistema operativo (a tutti i livelli) verso il dispositivo protetto e le valuta con una politica che dovrebbe assicurare sia l'impossibilità di scrivere sul dispositivo che un impiego del citato hardware che prevenga possibili rotture o danni (si pensi ad una lettura random massiccia su settori fisici molto "distanti" tra loro...).

Un write blocker hardware è un circuito che si interpone tra workstation e memoria di massa analizzando i segnali di comando e di risposta dei due sistemi e valutando se possano o meno essere nocivi per l'alterabilità o integrità dei dati. Essi operano sia bloccando determinati segnali e simulando determinate risposte dalla memoria di massa. Alcuni di essi (detti Tailgate device) risultano molto utili perchè possono anche realizzare una trasposizione di protocollo sul BUS interfacciando tra loro USB, IDE, FireWire, SATA.

Nella lezione sull'iPod Forensics l'argomento write blocker (hardware) viene affrontato in maggiore dettaglio per problematiche che tali apparati possono creare quando male-impiegati.

42) Domanda - GARANZIE SULLA COPIA

Ci sono diversi possibili approcci a questa problematica.

In alcuni casi si può dichiarare la copia irripetibile proceduralmente e quindi l'indagato può assistere con i suoi legali e tecnici di parte. In altri, più copie del reperto dati con il valore dell'hash scritto sul verbale di operazioni vengono consegnate, su supporto sigillato, a magistratura, all'indagato ed ai suoi tecnici ed alle altre eventuali parti per le rispettive analisi parallele a quelle inquirenti.

In generale, quando possibile e/o necessario la copia deve essere fatta in presenza delle parti così come il calcolo dell'hash. Purtroppo non sempre è possibile. Ad esempio quando la copia deve essere svolta come accertamento urgente in quanto l'originale è soggetto a deteriorarsi velocemente, oppure quando l'indagato non è stato ancora individuato.

43) Domanda - HELIX E LE COPIE

La domanda è formata da due parti:

(1) con dcfldd o dd può copiare la device a livello fisico e quindi preleva anche i dati "cancellati" e (giusta osservazione) non sovrascritti.

(2) il "senza modificare nulla" è soggetto sempre alla presenza di un write blocker hardware - sebbene Helix dia molte garanzie i blocchi in scrittura software sono soggetti spesso a problematiche non preventivabili per cui è buona norma impiegare hardware dedicato (costa poco e fornisce garanzie notevoli certificate dal NIST).

44) Domanda - CLUSTER-COPY

In linea di principio la cluster (o block) -copy è sufficiente per il recupero dei file cancellati in un ben specificato file system. Al contrario, non è sufficiente se si desidera recuperare un'azione di ripartizionamento della memoria di massa dato che i puntatori e le informazioni che riguardano tale attività non risiedono esclusivamente nella partizione copiata ma in altre aree della memoria che possono essere copiate solo in bit-stream.

45) Domanda - WIPING

La fase di preparazione delle memorie di massa della workstation forense per il repertamento e/o analisi dei dati è fondamentale per evitare problematiche di falsi positivi durante il searching, carving e recovery.

Nel sito vi è una pagina proprio inerente il wiping delle memorie di massa con limiti, possibilità, letteratura scientifica, ecc... ispirata proprio da questa domanda. Di seguito approfondisco un po' l'analisi.

Fissiamo alcuni paletti importanti: il data recovery, sia esso forensics o meno, si può distinguere in due settori (1) svolto tramite il controller del dispositivo e quindi prettamente software (2) svolto bypassando il controller e quindi tramite hardware esterni al dispositivo come particolari microscopi, sonde, ecc. L'attività dei CT che operano con EnCase, FTK, SleuthKit, ecc. è prettamente del tipo (1) e quindi generalmente ripetibile. Alcune ditte (soprattutto quelle che progettano gli hard disk) possono svolgere anche le attività (2), generalmente non ripetibili proprio perchè implicano lo smontaggio dell'apparato e molto (molto!) costose.

Assodato questo, procediamo.

Innanzitutto il supporto da impiegare per il repertamento dati (la prima copia) deve essere differente da quello che si impiega per l'analisi. Sebbene infatti gli strumenti forensi assicurino l'attività in sola lettura lo stress dell'analisi potrebbe causare rotture anche fisiche e perdite di dati o peggio ancora cattive interpretazioni.

Sono quindi almeno due i supporti da preparare e non solo uno...

Come si può rilevare dalla pagina sul wiping e basandosi sul documento del NIST ivi evidenziato, una sovrascrittura è più che sufficiente per contrastare qualsiasi attacco tramite software forensi.

Quindi, fino a quando il data recovery che si intende attuare è di tipo (1) i supporti da preparare possono essere semplicemente sovrascritti da un preciso pattern di bit (ad esempio tutti 0) ma la sovrascrittura deve ovviamente riguardare tutta l'area fisica.

Rimando infine alla pagina http://www.marcomattiucci.it/eliminazione.php.

46) Domanda - NASCONDERE FILE(S)

Un'interessante combinazione apparentemente difficile da districare ma bisogna fare molto attenzione ai software che si impiegano per effettuare tali operazioni:

(a) Impiegando un ".doc" almeno due o tre copie dei dati (magari parziali) sono già registrate in punti diversi della memoria di massa.

(b) Andando a criptare il file evidence (e non i tmp di cui prima) bisogna vedere com'è costruito il software di cripto perchè potrebbe lasciare ulteriori dati in chiaro sull'operazione di crittazione e sui dati che sono stati crittati.

(c) come viene cancellato l'originale?

(d) Quanto è grande il file originale e poi la sua versione cripto? il software di zip, qualunque esso sia, genererà dei tmp quasi con certezza se il file è grande in quanto comprimere un file cripto è difficile...

ecc. In definitiva non bisogna fermarsi alla prima visuale del problema o, che è lo stesso (e per nostra fortuna), l'anti-forensics non è un settore così chiaro ed automatizzabile...

47) Domanda - WIPING

Rimando all'esaustiva pagina http://www.marcomattiucci.it/eliminazione.php.

48) Domanda - ANALISI A PC SPENTO

L'estrazione fisica della memoria di massa ed il suo sequestro è una prassi in diverse situazioni. Sebbene alcune informazioni non possano essere più valutate (Es. BIOS, RAM) può essere di indubbia utilità se il PM ritiene di non dover privare il possessore dell'hardware del PC perchè magari impiegato a livello professionale. In generale l'estrazione, il repertamento e l'analisi di una memoria di massa si considera come un'attività forense post-mortem su reperto inattivo.

49) Domanda - ANALISI DELLA RAM

La domanda è interessante e segnala un problema ben più complesso di quello che potrebbe presentarsi su un semplice PC.
Nei server che operano per anni senza potersi mai spegnere la RAM è considerabile alla stregua di una particolare memoria di massa (sia per dimensione che per il mantenimento dei dati) e gli attacchi informatici o eventi illegali lasciano traccia quasi esclusivamente su di essa.

Sono stati quindi studiati diversi metodi di dump della RAM a scopo forense e compiuti diversi studi sul data-retention della RAM rispetto ai dati cancellati sia nelle aree di caching che di memoria virtuale, dei processi, ecc. Sfortunatamente c'è il problema dell'osservabilità ossia solo un processo può effettuare il dump della RAM ma esso può farlo solo insistendo sulla stessa RAM che copia e quindi alterandola. Da questo punto di vista l'affidabilità forense di questi sistemi di copia è minima e ciò nonostante sono impiegati perchè non c'è altro.

Normalmente sui sistemi a lunga vita vengono inseriti dei processi in background che garantiscono su richiesta il dump della RAM. In questo modo l'alterazione è ridotta al minimo e comunque è molto circoscritta (il processo ha già associata staticamente un'area di memoria).

50) Domanda - ANALISI DELLA RAM

Per la domanda (a) bisogna ricordare che l'acquisizione della RAM è un processo che si deve ritenere sempre irripetibile. Chi ha esperienza di scene del crimine sa bene che la decisione di effettuare sul posto attività tecniche irripetibili è sempre onerosa e necessita di specifiche autorizzazioni della magistratura per cui è bene agire in tal senso solo se non ci sono alternative. Il repertamento della RAM, quindi, lo realizzo generalmente quando sono plausibilmente sicuro che la memoria centrale è una fonte di prova determinante alla risoluzione del caso e prossima a scomparire o deteriorarsi. Ad esempio nel tracciamento di un attacco oppure nella rilevazione dell'attività di un software illegale su una macchina o server.

Le domanda (b), ossia come realizzare il dump della RAM e come disassemblarne il contenuto le lascerei alle lezioni di computer forensics nei livelli intermedio ed avanzato.

La domanda (c) è di natura più legale che tecnica ma ugualmente stimolante perchè testimonia una certa conoscenza di cosa accade sulla scena del crimine. La risposta in due parti:

(1) Che in ambito aziendale un team possa "con una certa libertà" scaricare la RAM, ad esempio, delle macchine dei dipendenti non è purtroppo scontato. Bisogna ricordare che, a livello di privacy, la RAM è molto più ricca di dati personali di quanto possa essere lo stesso hard disk e mentre per quest'ultimo vengono spesso firmati (sp-i-ntaneamente) degli accordi per l'ingerenza dei tecnici della sicurezza informatica, poco o nulla si dice sulla RAM. Bisogna poi fare molta attenzione ad un aspetto ancora più critico, valutando la RAM si possono ottenere diverse password dell'utente anche per ambienti software non strettamente attinenti la realtà lavorativa e questo potrebbe configurare fatti ben più gravi della violazione della privacy.

(2) La scena del crimine è un ambiente in divenire in cui le autorizzazioni raramente hanno i caratteri di lentezza burocratica di altre parti del procedimento. Spesso le autorizzazioni vengono anticipate per telefono dal PM ed il tecnico forense valuta se la controparte (qualora presente) ha le capacità tecniche per assistere e/o se altri devono essere coinvolti per fornire il massimo delle garanzie all'indagato. Talvolta si ha la capacità di anticipare le autorizzazioni necessarie e la presenza della controparte semplicemente valutando il caso telefonicamente prima di arrivare sulla scena del crimine. In ogni caso, dal mio punto di vista, le garanzie del 360 CPP sono essenziali per cui non procedo nell'analisi o nel dump della RAM senza che, in piena convizione, le abbia soddisfatte.

51) Domanda - VIRTUAL FORENSIC COMPUTING

La VFC si può considerare una forma di Live Forensics limitatamente a certi aspetti quali la possibilità di osservare sistemi operativi, processi ed applicativi del reperto dati (la copia) in azione nonchè tutte le personalizzazioni effettuate dall'utente. Resta inteso che si tratta ancora di un metodo ibrido per cui è corretto dire che non permette esattamente una live analysis.

52) Domanda - AFFIDABILITA' DEI TOOL

Due domande molto importanti.

Sulla funzionalità completa o meno dei tool commerciali chiusi il dibattito è attualmente accesissimo. Sono state diverse le richieste anche dalla magistratura di verificare le funzionalità di programmi come EnCase rispetto a certe prove che hanno rilevato. Le ditte private ovviamente tendono a dare sempre il minimo delle informazioni e si barricano dietro l'esperienza, il numero di vendite e di impiego, nonchè la possibilità di discutere su Forum e newsletter tutti i bug che si presentano a livello internazionale. Altre risposte, ad oggi, non ci sono... o meglio, io non ne ho...

La seconda domanda sfonda una porta aperta di cui ILook è il principale rappresentante. Sfortunatamente le Forze di Polizia hanno dei budget molto limitati per ricercatori e studiosi interni, nonchè per programmatori, ecc. da cui la possibilità che realizzino prodotti adeguati in breve tempo è minima. Diverso è il discorso per i servizi segreti e le grandi organizzazioni militari, i quali spesso realizzano sistemi di repertamento ed analisi in proprio, magari acquisendo conoscenze e personale di grandi aziende forensi.

52) Domanda - DD

Sfortunatamente dire "dd", dal punto di vista forense non è esaustivo.

Il "dd" è una funzionalità che assicura sommariamente certi requisiti ma può essere implementata diversamente in differenti sistemi operativi. Quindi, la prima osservazione è che potrebbe comportarsi diversamente a seconda dell'ambiente. La seconda osservazione è che, anche ammesso che "dd" non commetta mai errori nel suo funzionamento standard, cosa accade in corrispondenza di problemi fisici della device che copia? Qual'è il suo comportamento? se ne può modelizzare uno che rappresenti il comportamento di qualsiasi "dd"?

Molti specialisti di alto livello hanno ritenuto di no e quindi sono state studiate delle versioni di "dd" dette appunto forensi.

Esempio:

"Traditional versions of DD skip “bad blocks” in increments equal to the block size. If the block size is larger than the sector size of the device, data will be lost. The alternative is to set the block size equal to the device sector size. But that is usually quite slow. Forensic versions of DD use the specified block size until a “bad sector” is encountered, at which point the block size drops back to a value equal to the device sector size. The larger blocks size is resumed once the “bad block” is passed, until the next “bad block” is encountered."

Ma questa ovviamente è solo una delle osservazioni possibili...

53) Domanda - ILOOK

In analisi su Win-like.

54) Domanda - CERTIFICAZIONE DEI TOOL

La risposta è un secco no: i tool forensi, ad oggi ed in Italia, non hanno il prerequisito di dover essere sottoposti ad una certificazione specifica al fine di poter produrre risultati per il dibattimento.

Il NIST sta operando con il Computer Forensics Tool Testing (CFTT) in questa direzione a livello internazionale: http://www.cftt.nist.gov/

55) Domanda - JTAG

Si, la JTAG, (Joint Test Action Group), ossia il protocollo standard per il test funzionale di chip e dispositivi elettronici è una delle interfacce che possono essere impiegate per interfacciarsi direttamente con le memorie del mobile in analisi. Purtroppo, oltre alla difficoltà di individuare il modo di impiegarle, vi è anche il problema che realizzare il dump completo dell'EEPROM risulta piuttosto complesso, nonchè non tutti i dispositivi dispongono di tale interfaccia.

Per quanto riguarda i miei studi è rimasto quindi un metodo sperimentale da usare con molta parsimonia e per casi particolarissimi. Gli attuali tool forensi per il mobile delle maggiori ditte a livello internazionale si stanno dirigendo proprio verso tale direzione ma, ribadisco, il supporto è ancora per un numero limitato di modelli di terminale radiomobile.

56) Domanda - ATTACCO DALL'ESTERO

Dipende da due fattori:

(1) dove avviene il fatto determinante dal punto di vista legale che si considera;

(2) dalla legge penale del luogo dove il fatto di cui al punto precedente fa vedere i suoi effetti.

Quindi se l'attacco parte dall'Italia e produce risultati unicamente in Francia, risultati che sono un fatto individuato come reato in tale nazione, allora il reato è in Francia. Se poi, però, dalla Francia, l'indagine si sposta ufficialmente tramite rogatoria internazionale, anche in Italia si crea un'eccezione e si viene indagati anche nel nostro paese sebbene localmente non si siano risultanze di reato. Esiste anche l'eventualità opposta, ossia che un fatto definito come reato in Italia, ad esempio un accesso abusivo a sistema informatico protetto, non risulti reato nel paese dove concretamente avviene (non è previsto da un sistema legale obsoleto) e quindi non si può essere indagati localmente.

57) Domanda - ACCORDI PER LE INDAGINI

Ci sono agreement a livello di Forze di Polizia e di magistratura Europee, poi vi sono organi di coordinamento ed indagine come Europol ed Interpol che possono agire, entro certi limiti, anche a livello internazionale. Il tutto purtroppo è piuttosto lento nell'agire ed un po' macchinoso.

Se poi la domanda è se esiste un modo per coordinare le indagini a livello mondiale la risposta è ovviamente no. Esistono ancora paesi che non "reagiscono" nè ad una rogatoria internazionale, nè ad una richiesta di polizia...

58) Domanda - IP ADDRESS

L'unica differenza è ovviamente il range di IP in uso in quanto al fatto che le società telefoniche acquistano e vendono set di IP proprio destinandoli a scopi specifici che possono essere conoscibili ufficialmente dietro richiesta ufficiale motivata.

59) Domanda - IPV6

Per quanto a mia conoscenza (non mi ritengo un esperto di IPv6 ma ho dovuto studiarne alcune sue caratteristiche per esigenze professionali), IPv6 impiega un approccio gerarchico all'assegnazione dei range di indirizzi che impedirà a strutture diverse di collidere sull'impiego di IP (come parzialmente avviene oggi) e soprattutto, per l'ampiezza dello spazio di indirizzamento, lo stesso principio potrà essere usato per le sub-strutture nell'ambito del loro raggio d'azione. Tutto, in pratica, sarà gestito coerentemente nello stesso modo, nel grande (livello internazionale) e nel piccolo (singola azienda). Da questo punto di vista non posso che vedere solo miglioramenti rispetto alla situazione attuale.

Grosse problematiche, invece, possono sorgere nella convivenza dei due protocolli IPv4 ed IPv6. Il secondo, infatti, richiede una completa ristrutturazione degli apparati e molti propugnano come indispensabile un'era di passaggio in cui andranno a convivere i due sistemi di rete, ciò per un fattore soprattutto economico. In questo senso il suo nefasto presagio di incremento degli incidenti informatici può essere attendibile.

60) Domanda - ANALISI IP ADDRESS

L'attendibilità di http://www.whatismyipaddress.com/ è buona. La domanda se è possibile o meno avere risultati più precisi senza l'aiuto del ISP è molto generica. Bisogna ovviamente verificare la situazione in studio. Ad esempio, operando su una Intranet ed uscendo verso Internet secondo un particolare sistema/politica l'indirizzo IP pubblico può essere verificato dai gateway. Altra possibilità, ad esempio nell'identificazione di un intruso, è rilevare il traffico e studiare i pacchetti TCP/IP.

61) Domanda - DHCP LOG

I server DHCP hanno una gestione fortemente localizzata alla singola LAN o Intranet per cui la durata dipende dalla politica di gestione dell'organizzazione. Spesso purtroppo la durata è di alcuni giorni o addirittura nulla.

62) Domanda - LOG & PRIVACY

Alla richiesta della magistratura non esiste opposizione relativa alla privacy. Si può agire per le vie legali di conseguenza ma non si può negare il dato richiesto per le indagini a meno di conseguenze molto serie.

63) Domanda - AFFIDABILITA' DEI LOG

Dipende da come il LOG è gestito. Se si tratta (come purtroppo accade nella maggioranza dei casi) solo di un file testuale difficilmente possono essere date garanzie sul suo contenuto (ci si limita a valutare chi ha usualmente la possibilità di accedervi e se ci possono essere sospetti che abbia interessi ad effettuare modifiche - si fanno sommari ragionamenti di attendibilità). Se invece il LOG è in qualche modo certificato oppure sottoposto ad un meccanismo di journaling o ancora (come dovrebbe essere nella migliore delle ipotesi) il LOG è un vero e proprio DB strutturato con privilegi e funzioni allora il livello di garanzia è alto.

64) Domanda - LE INTRUSIONI DELLE FFPP

Innanzitutto rimando alla pagina del mio sito: http://www.marcomattiucci.it/echelon&privacy.php.

Dal mio punto di vista di appartenente alle Forze di Polizia la mia principale preoccupazione è agire legalmente per far rispettare la legge. Il giro di parole indica che non uso mezzi illeciti per conseguire risultati investigativi. Il "supervisionare" una persona in un ambito privato, fisico o elettronico senza le dovute autorizzazioni della magistratura è semplicemente illegale per cui chi se ne macchia deve pagarne le conseguenze.

Questo vale in Italia ed entro limiti che la legge precisa con fermezza. In altri stati può accadere diversamente perchè ci sono leggi diverse, per cui chiunque usufruisce di servizi o prodotti all'estero ne deve essere avveduto e prendere le dovute contromisure. Fortunatamente Internet ci garantisce contro l'ignoranza per cui la conoscenza va ben impiegata.

65) Domanda - DATI PERTINENTI

Argomento molto importante ed interessante.

Durante l'intercettazione digitale il sistema hardware/software predisposto può in linea di principio rilevare tutto il traffico del canale controllato. Devono, per legge, essere impostati dei filtri precisi che limitino la memorizzazione del traffico esclusivamente a quanto di competenza in relazione al procedimento penale per cui si indaga.

Esistono dei casi in cui filtrare preventivamente non è possibile, allora il traffico viene salvato in blocco e poi filtrato in secondo tempo (non real-time). Questa situazione deve essere specificamente autorizzata dalla magistratura e devono essere date delle garanzie sul non impiego dei dati non inerenti il procedimento penale.

In definitiva, se il filtro è real-time e non opera correttamente includendo più dati di quelli specificamente previsti si è in regime di illegalità. Se il filtro è non real-time occorrono delle garanzie sia sul mantenimento dei dump del traffico che sul loro filtraggio ed impiego. Anche in questo caso, se mancano tali garanzie ci possono essere dei problemi legali.

Un'annotazione importante sul concetto: "la prova è o meno valida...".

In Italia la prova di determina in dibattimento, durante il contraddittorio, ed in questo delicato settore in cui i protocolli di lavoro non sono così definiti accade spesso che un fatto, una procedura o una informazione conducano ad una prova in taluni processi e vengano esclusi in altri...

Riguardo il repertamento di un server l'approccio è preciso: non si può sequestrare la macchina per intero e le sue memorie di massa (vedere la lezione sul computer forensics) ma solo effettuare l'analisi di dati informativi e dati di comunicazione (es. LOG) strettamente inerenti il caso giudiziario rendendo avveduto l'amministratore di sistema e/o il responsabile delle attività che si vanno a svolgere. La possibilità di "sforare" andando ad individuare o leggere dati non attinenti è enorme quindi ci si deve cautelare soprattutto nella copia con meccanismi di filtraggio precisi e segnalati nella report tecnico delle attività svolte nonchè con sistemi affidabili di logging attivi durante le indagini.

66) Domanda - ANALISI DEL TRAFFICO

La risposta è "generalmente no". Tutte le forme di tunneling, ad esempio, impediscono di ricostruire realmente le transazioni comunicative che avvengono sulla rete osservata anche se, un dump sufficientemente lungo ed esaustivo, nonchè un notevole controllo sui server che insistono sulla rete stessa potrebbe creare speranze in relazione all'interpretazione di tali flussi di dati.

67) Domanda - DATI DA TOOL "ABUSIVI"

Mi piacerebbe poter rispondere alla maniera "anglosassone" dicendo che "le prove sono state ottenute illegalmente" (frase riportata ironicamente) ma il nostro framework legale è diverso.

Non essendo un avvocato o magistrato ma un tecnico forense di polizia risponderò in base alla mia esperienza di dibattimento: è capitato che un giudice consideri come attendibili dei dati che provengono da tool non licenziati. Domande del tipo: "...sebbene non licenziato lo strumento funzionava correttamente in quel momento?" sono piuttosto comuni dalla parte legale verso i tecnici. Ovviamente questo apre la strada ad un acceso dibattito tra le controparti in dibattimento ma non è scontato che il tool non licenziato sia escluso. Pensi che alcuni anni fa questo stesso problema si creava con gli strumenti open-source...

68) Domanda - NF & NA

Come evidenziato nella lezione di network forensics, ciò che distingue NF da NA è l'impostazione dei prodotti utilizzati ed i poteri con i quali si possono applicare. Ad esempio, un comune amministratore di rete, senza le dovute deleghe dell'autorità giudiziaria, non può svolgere analisi del traffico su una rete operativa senza incorrere in violazioni. E ancora, riguardo l'impostazione dei prodotti, un comune NFAT non è necessariamente orientato a cautelare l'operatore con continui logging e test di integrità dei contenuti in analisi.

 

---

Le domande e le risposte inserite fino a questo punto
risalgono al 16 ottobre 2008

---

 

69) Domanda - Come si diventa CT?

Questa domanda è un prototipo raffinato e rielaborato di decine e decine di domande similari che mi pervengono da giovani laureati in qualche modo affascinati da questo mestiere del forensic specialist, oggi tanto in voga e che sicuramente tanti sbocchi di attività creerà nel prossimo futuro. Le mie risposte sono ovviamente calate nei limiti della mia competenza e conoscenza.

Inizio con il punto (1): studiare il digital forensics non solo è possibile farlo seguendo diverse direzioni ma a mio avviso è indispensabile farlo seguendo diverse direzioni. Dato che il background culturale proposto è di ingegneria, direi che una laurea di 2° livello è quanto meno indispensabile soprattutto per ben figurare, dal punto di vista del curriculum di base. in dibattimento. Poi è consigliabile un corso post-laurea di un anno in Italia che miri prettamente agli aspetti legali inerenti l'informatica ed il codice di procedura penale. Non sarebbe male toccare tutti gli elementi di base della criminalistica, soprattutto se, come CT si vuole comparire sulla scena del crimine oltre che in laboratorio e dibattimento (sulla scena del crimine non c'è solo l'informatica...). Per finire bisogna pianificare un corso annuale di aggiornamento tecnico e valutazione in vari aspetti del digital forensics da svolgere presso strutture specializzate straniere di alto profilo sia dal lato ricerca che da quello operativo (non affidatevi esclusivamente a centri di ricerca, esistono istituti che svolgono sia ricerca teorico/pratica che attività sul campo, riferitevi a quelli). In questo senso concepisco il concetto professionale di specializzarsi ed aggiornarsi in digital forensics.

Passo al dolente punto (2): iniziare a lavorare con le Procure e svolgere CT per la magistratura. Purtroppo per un neofita nel settore che non abbia già qualche forma di contatto con la magistratura la strada è veramente ardua. Bisogna essere molto cocciuti, iscriversi a tutti gli albi possibili... avere del tempo da spendere nei tribunali per assistere a testimonianze di CT già affermati nel settore e poi magari tentare di lavorare (si spera non a gratis...) per qualche consulente "di grido" con eccedenza di lavoro da svolgere. In tal senso va ricordato che ricercatori e professori universitari vengono spesso interpellati dalle Procure per cui bisogna essere informati anche in tali ambienti. Non va poi dimenticata la possibilità (per i più "ricchi") di crearsi una brochure delle attività che si è in grado di fare e passarla periodicamente (non troppo spesso) agli investigatori sul territorio delle Forze di Polizia. Questi, hanno bisogno di validi aiuti tecnici, soprattutto nei casi minori, che comunque costituiscono un modo per inziare.

Per il punto (3): avere dei contatti con gli specialisti nel settore delle Forze di Polizia per allargare le mie conoscenze e confrontarmi, la situazione non è delle migliori. Ci sono stati diversi laureati di mia conoscenza negli anni passati che hanno preso la laurea grazie ad una collaborazione nel Ra.C.I.S. o in altre strutture similari di altre Forze di Polizia italiane. Oggi tale fatto, almeno nell'Arma, è sempre più raro. La limitatezza dei fondi (non dimentichiamo che una struttura scientifico forense di polizia assorbe liquidità enormi) e l'esorbitante numero di attività di indagine richieste determina uno spazio pressochè nullo per studenti esterni in cerca di apprendimento. In ogni caso è sempre e solo il comando di vertice della Forza di Polizia (e non il comando del Reparto) a poter autorizzare una tale collaborazione o sorta di apprendistato di esterni.

Per finire è bene sottolineare qualcosa che nella domanda non viene considerato: l'attività di CT per i magistrati ha una sua gemella in quella di consulente di controparte, dove, in genere, si opera con un avvocato. Anche questa attività potrebbe essere un ottimo punto di partenza per farsi conoscere da magistratura ed avvocati. Molti, dati i possibili alti introiti, scelgono proprio di rimanere permanentemente da tale lato della barricata...

70) Domanda - Che qualifica deve avere un CT?

Una domanda molto importante che, purtroppo, limitatamente alle mie conoscenze, ha una risposta molto semplice: in Italia nessuna!

Per quanto possa sembrare incredibile un consulente tecnico nel digital forensics (mio ambito di studio sul quale richiudo l'analisi) non ha necessità di nessun particolare titolo o qualifica tecnica, accademica o professionale. Che poi, se non preparato, possa sbugiardarsi in dibattimento di fronte a dei competenti tecnici di controparte, questo è possibile, ma non certo. Il fatto dipende, appunto, dalla controparte!

71) Domanda - Copie per la controparte

Ovviamente nulla vieta al magistrato di disporre la consegna al consulente di controparte dei dispositivi contenenti le immagini bit-stream dei reperti. Questo, a meno di considerazioni specifiche che possono sfuggirmi, a seguito di specifica richiesta dell'avvocato, avvalorata da considerazioni tecniche/economiche e di tempo.

Per diversi casi mi è capitato, infatti, di depositare quale nuovo reperto nell'ufficio corpi di reato, le citate immagini opportunamente protette da meccanismi hardware e software di certificazione di inalterabilità. In tal caso, sono a disposizione, dietro ovvia autorizzazione del magistrato competente. A questo ho aggiunto che spesso tali copie le ho prodotte in regime di irripetibilità, ossia in presenza delle controparti, da cui fornisco ai CTP di risparmiare soldi e tempo per tale meccanica attività.

Se il suo obiettivo, invece, è discutere l'affidabilità della copia svolta dalla PG o dai suoi CT allora è inutile che sottolinei l'importanza di ripetere l'attività di copia e di investirci tempo e denaro al fine, magari di confrontarla con l'altra già esistente ed evidenziare delle discrasie.

72) Domanda - Sistemi RAID

Quando ci si trova sulla scena del crimine è bene analizzare e separare le problematiche, data la criticità della situazione. Facciamo quindi considerazioni ed anche alcune ipotesi operative:

a) Dato che ci si trova sulla scena del crimine il fattore tempo riveste un ruolo determinante, fino a prova contraria tutto si deve considerare come se cambiasse e si deteriorasse in tempo reale;

b) Studiamo un server per cui presumibilmente un sistema che risulta funzionante ed il cui contenuto-dati cambia costantemente.

c) Non ha evidenziato la necessità di analizzare la RAM del sistema e le altre eventuali memorie volatili del sistema per cui si può semplificare lo studio.

Passiamo quindi alle domande:

a) il server si può spegnere? in taluni casi questo non è possibile per varie questioni tecnico/amministrative

b) che tipo di RAID consideriamo? quanto è complesso lo schema di memorizzazione e, qualora il sistema sia un server finalizzato allo storage di alto livello, esistono particolari sistemi di journaling o certificazione dei dati attivi già a livello di firmware o sistema operativo?

c) qual'è la quantità di dati che si prende in considerazione? repertare una partizione speciale da svariati Terabyte può trovare impreparati anche il migliore dei tecnici sulla scena del crimine.

A queste domande va aggiunta la domanda fondamentale: qual'è lo scopo dell'acquisizione? Acquisire tutti i dischi che formano fisicamente il RAID per poi ricostruirlo in ambiente virtuale post-mortem è spesso rischioso, costoso in termini di mezzi e lento proceduralmente. Deve essere quindi giustificato dalla necessità di rinvenire dati non altrimenti visibili (es. aree nascoste dei dischi).

Acquisire la partizione logica cluster per cluster o blocco per blocco sfruttando il server stesso come virtualizzatore è una soluzione semplice e funzionale ma richiede che la comune attività del server sullo storage RAID sia quanto meno sospesa nel tempo di copia.

E ancora, a meno di casi specifici, raramente un server di grandi dimensioni mantiene dati di sola pertinenza del caso investigativo da cui è sempre preferibile fare copie a livello di file system in presenza delle controparti e/o di loro tecnici (irripetibile). In questo caso, come per la cluster-copy o block-copy il RAID non ha nessun interesse.

E ancora, si è sicuri che il meccanismo RAID non incorpori meccanismi cripto e/o di compressione? l'acquisizione fisica porterebbe, in tal caso, molti problemi di ricostruzione in laboratorio.

Ecc., come può vedere le considerazioni da fare sono molte, e non è stata presa in considerazione la RAM... gli scenari "live" pressuppongo valutazione pronta sul momento e decisioni di cui si può reggere la responsabilità legale.

73) Domanda - Spostare cellulari attivi

I kit per isolare i cellulari risolvono il problema e si propongono anche come fonte di alimentazione del dispositivo. In definitiva non solo lo si riesce a spostare chiudendolo e quindi repertandolo nella gabbia campale ma si può continuare a tenere attivo (come evidenziato nelle lezioni di mobile forensics) evitando di perdere talune informazioni o di far attivare determinate protezioni.

Per la seconda domanda rispondo con una domanda: siamo sicuri che tutti i cellulari si spengano e si disconnettano dalla rete mobile quando a schermo non mostrano attività o quando si preme il tasto di spegnimento? Purtroppo la risposta è no perchè possono esistere tanti livelli di stand by.

74) Domanda - Anonimato assoluto

Questa domanda vuole riassumere le svariate richieste sulla voglia di anonimato e sicurezza che tanto attanaglia il pubblico italiano (almeno quello che mi contatta). Mi sono stati proposti sistemi ben più sofisticati di quello che ho sommariamente riportato e sono rimasto ammirato dalla fantasia tecnologica dei proponenti.

Vi prego di considerare che il problema della sicurezza e dell'anonimato dipende sostanzialmente dai seguenti fattori: risorse e tempo. Più risorse ha il vostro "nemico" (e quindi più importante è l'informazione che proteggete) minore tempo per comunicare avete. Questo anche a dire che più tempo comunicate con lo stesso sistema a parità di risorse e maggiore è la probabilità di essere intercettati e localizzati

La chiave di un buon anonimato, quindi è nel variare il mezzo di trasmissione costantemente ed in tempi studiati per non impiegare troppe risorse (in questo il principio di funzionamento del TOR insegna molto). A titolo di divertimento vi propongo una massima: "10000 porte semplici da aprire, che si aprono su un labirinto, rendono inutile la porta blindata all'ingresso della stanza del tesoro!".

75) Domanda - Forensics per la ditta...

La domanda, molto interessante, non è ovviamente completa di tutti i particolari necessari ad una risposta esaustiva. Ad ogni modo, facendo qualche ipotesi, si può ragionare su una risposta plurivalente.

Se la citata analisi è svolta con il consenso e magari la presenza del "sospettato" non corre rischi di nessun tipo. Sfortunatamente non mi sembra questo il caso in studio...

Ipotizzo, quindi, che debba operare all'insaputa dell'utente sui suoi dati. Va in questo caso fatta una valutazione sui diritti e doveri dell'utente rispetto ai dati che tratta sul PC aziendale. La domanda che deve essere soddisfatta è quindi: che tipo di accordo ha fatto firmare la ditta al suo dipendente in relazione al trattamento ed alla comunicazione dei dati?

Se nell'accordo formale l'utente cede all'azienda il pieno possesso dei dati trattati e comunicati lei non corre nessun rischio e può svolgere l'analisi in locale o remoto anche senza avvisare l'utente.

Se l'accordo semplicemente non c'è o non garantisce opportunamente la ditta anche solo nel trattamento in locale dei dati la sua analisi si configurerebbe come un'intrusione informatica con appropriazione di dati e quindi un reato.

Rispetto alla domanda se la sua analisi debba rispettare i dettami della computer forensics o meno è bene capire perchè la computer forensics opera ed è studiata in un certo modo. La base della computer forensics è svolgere un'attività che alteri il reperto (digitale) nel minor modo possibile, nel migliore dei casi che non lo alteri affatto (tool e teorie della materia sono costruiti dirigendosi sempre verso questa direzione). Questo determina delle giuste garanzie per l'indagato.

Nel suo caso, sia che abbia tutte le autorizzazioni operando nel lecito che non le abbia e quindi svolga illecita analisi, è bene che segua sempre sistemi e principi della computer forensics. Nel primo caso per garantire sia la ditta (lei incluso) che la persona sospettata e nel secondo per evitare di lasciare tracce del suo operato...

76) Domanda - Alterazione Hard Disk...

Riporterò di seguito alcune considerazioni sull'argomento:

1) Cos’è la lettura o scrittura sequenziale dei settori fisici in un hard disk? Nei moderni hard disk l’indirizzamento LBA da 0 ad n è tutt’altro che riferito alla geometria fisica REALE del dispositivo. La posizione geometrica spaziale della testina, o meglio del pettine, viene determinata a seguito di un processo di conversione in cui è un algoritmo della casa madre a stabilire le corrispondenze. In definitiva andare dal settore fisico 0 a quello n-esimo non significa necessariamente percorrere con le testine le aree dei dischi secondo un metodo meccanicamente sequenziale.

2) L’operazione di lettura dei dati in maniera effettivamente sequenziale da un hard disk è poco stressante per il pettine ma può risultare comunque molto onerosa per la meccanica e l’elettronica del dispositivo. In particolare, le bit-stream image, ossia le copie integrali dei settori fisici, dato l’attuale rapporto capacità/velocità di lettura degli hard disk, tendono a durare svariate ore se non giorni, elevando la temperatura del dispositivo e quindi le possibilità di fault. Questo non avveniva alcuni anni fa, quando la durata temporale delle copie era comunque molto inferiore.

3) L’operazione più stressante in assoluto per un hard disk è ovviamente il random-seeking ciclico, ossia il puntamento ripetitivo e casuale con lettura parziale di settori fisici. Questa operazione, se protratta per alcuni giorni, garantisce quasi con certezza almeno un fault.
NOTA BENE: per quanto il random seeking sembri un’operazione assurda è qualcosa cui ci si avvicina spesso in un laboratorio di digital forensics. Ciò avviene, infatti, quando si sviluppano pesanti e complesse ricerche all’interno del file immagine di hard disk. In definitiva lo stress e l’inaffidabilità riguarda spesso il disco delle workstation forensi che va considerato in RAID oppure, in casi estremi, sostituito ogni 6 mesi…