Il browser è la finestra da cui passa gran parte della vita digitale: ricerche, posta via web, social, acquisti, documenti online. Per questo è anche uno degli archivi più ricchi di un computer o di un telefono. Un'analisi del browser può mostrare non solo quali siti sono stati visitati, ma anche cosa è stato cercato, cosa è stato scaricato e quali account erano in uso.
Dove il browser conserva i dati
I browser moderni salvano le informazioni in una cartella del profilo utente, sotto forma di piccole banche dati e file di supporto. Chrome, Edge e gli altri browser basati su Chromium usano una struttura molto simile tra loro; Firefox ne ha una propria; Safari un'altra ancora. Ogni profilo del browser ha la sua cartella, quindi sullo stesso computer possono esistere più cronologie separate.
Gli artefatti principali
Cronologia
Registra gli indirizzi visitati, il titolo della pagina, il numero di visite e gli orari. Molti browser distinguono anche il modo in cui si è arrivati alla pagina: digitando l'indirizzo, cliccando un collegamento, da un segnalibro. Questo dettaglio aiuta a capire se una visita è stata intenzionale o accidentale.
Ricerche
Le parole digitate nei motori di ricerca compaiono negli indirizzi delle pagine dei risultati e, in alcuni browser, in tabelle dedicate ai termini cercati. Le ricerche sono spesso tra gli elementi più rivelatori delle intenzioni di chi usava il computer.
Download
Il browser tiene traccia dei file scaricati: nome, indirizzo di origine, cartella di destinazione, dimensione, data e ora, esito. Il registro dei download resta spesso anche dopo che il file è stato cancellato dal disco.
Cache
Per caricare più velocemente le pagine, il browser conserva copie di immagini, script e altri elementi. La cache può contenere frammenti di pagine visitate, comprese immagini di profili social o anteprime di documenti, anche quando la cronologia è stata cancellata.
Cookie e archiviazione locale
I cookie e gli altri sistemi di archiviazione dei siti indicano quali servizi sono stati usati e, spesso, se l'utente era autenticato. Le date di creazione e ultimo utilizzo permettono di collocare nel tempo l'uso di un servizio.
Moduli e credenziali
I dati inseriti nei moduli, come nomi, indirizzi e numeri di telefono, possono essere memorizzati per il completamento automatico. Le password salvate sono cifrate e la loro analisi richiede particolari cautele e autorizzazioni; spesso basta sapere per quali siti esistono credenziali salvate, senza doverle leggere.
Navigazione in incognito
La modalità privata non salva cronologia, cookie e dati dei moduli al termine della sessione. Non rende però invisibili: il provider, la rete aziendale e i siti visitati vedono comunque il traffico. Sul dispositivo, inoltre, possono restare tracce indirette, per esempio:
- file scaricati durante la sessione, che rimangono nella cartella dei download;
- voci nella cache DNS del sistema, finché non viene svuotata o il computer riavviato;
- dati in memoria, se il sistema è acquisito mentre il browser è ancora aperto;
- registrazioni del sistema operativo sull'uso dell'applicazione.
L'uso abituale della navigazione privata è di per sé un'informazione, ma non va sopravvalutato: molte persone la usano per semplici ragioni di riservatezza.
Sincronizzazione tra dispositivi
Se l'utente ha effettuato l'accesso con un account al browser, cronologia, segnalibri e password possono essere sincronizzati tra computer, telefono e tablet. Questo ha due conseguenze. Da un lato, una visita registrata potrebbe essere avvenuta su un altro dispositivo, e va verificato quale. Dall'altro, la cronologia cancellata su un dispositivo può essere ancora presente su un altro o nell'account.
Cancellazione della cronologia
Quando la cronologia viene cancellata, i dati non sempre spariscono subito dalle banche dati del browser: le pagine liberate possono contenere frammenti recuperabili finché non vengono riutilizzate. Inoltre, cache, cookie, download e registri del sistema vengono spesso gestiti separatamente. Una cancellazione selettiva, che elimina solo alcune voci, può lasciare tracce evidenti della propria esistenza, per esempio un buco nella sequenza degli identificativi.
Come procedere
- Acquisisci il profilo del browser a computer spento o da una copia forense, non aprendo il browser.
- Individua tutti i profili e tutti i browser installati.
- Analizza cronologia, download, cache e cookie con strumenti che rispettino gli orari originali.
- Converti gli orari nel fuso di riferimento: i browser usano formati temporali diversi.
- Incrocia i risultati con altri artefatti del sistema e con la posta.
In sintesi
- Il browser conserva cronologia, ricerche, download, cache, cookie e dati dei moduli.
- La modalità in incognito riduce le tracce locali ma non le elimina tutte.
- La sincronizzazione può portare dati da altri dispositivi e conservare ciò che è stato cancellato.
- Cancellare la cronologia non elimina sempre tutti i frammenti.
- Il profilo va acquisito senza aprire il browser, convertendo correttamente gli orari.