Documenti, foto, posta, chat, calendari: sempre meno dati risiedono soltanto sui dispositivi. Si trovano su server gestiti da terzi, spesso in paesi diversi, e sono accessibili da qualsiasi luogo con le giuste credenziali. La cloud forensics si occupa di acquisire questi dati in modo corretto. Ha regole proprie, perché non si può "sequestrare" un server di un grande fornitore né farne una copia bit a bit.
Cosa cambia rispetto all'analisi di un dispositivo
- Non c'è un supporto fisico da acquisire: si lavora attraverso le interfacce che il servizio mette a disposizione.
- I dati cambiano continuamente: sincronizzazioni, condivisioni, modifiche di altri utenti.
- L'accesso dipende dalle credenziali e dai permessi dell'account, oltre che dalle condizioni del servizio.
- Il fornitore conserva dati che l'utente non vede, come registri dettagliati, accessibili solo tramite richieste formali.
- I server possono trovarsi in paesi diversi, con normative diverse sull'accesso ai dati.
Le fonti disponibili
Esportazione ufficiale dei dati
La maggior parte dei grandi servizi offre una funzione per scaricare una copia dei propri dati, spesso in un archivio compresso con file in formati standard. È la strada più pulita per l'utente titolare dell'account, perché i dati vengono prodotti dal fornitore stesso, in una struttura documentata. Va annotato quando è stata richiesta, quando è stata scaricata e calcolato l'hash dell'archivio ricevuto.
Registri di attività
Molti servizi mostrano all'utente o all'amministratore la cronologia degli accessi, i dispositivi collegati, le condivisioni e le modifiche ai file. Nelle versioni aziendali, la console di amministrazione offre registri di controllo molto dettagliati: chi ha aperto, scaricato, condiviso o eliminato un documento, da quale indirizzo e quando.
Cronologia delle versioni
I servizi di archiviazione e di scrittura collaborativa conservano spesso le versioni precedenti dei file. Questo permette di vedere come un documento è cambiato nel tempo, chi ha fatto ciascuna modifica e, a volte, di recuperare contenuti cancellati.
Cestino e conservazione
I file eliminati restano spesso in un cestino per un periodo definito dal servizio. Nelle versioni aziendali possono esistere politiche di conservazione che mantengono i dati anche dopo la cancellazione da parte dell'utente.
Tracce sui dispositivi
Le app di sincronizzazione lasciano sui computer e sui telefoni banche dati locali con l'elenco dei file, i loro identificativi e le date di sincronizzazione. Anche quando l'account non è accessibile, queste tracce possono indicare quali file esistevano e quando sono stati modificati.
Come procedere in modo corretto
- Verifica la legittimazione: si accede solo ad account propri, dell'organizzazione con autorizzazione dell'amministratore, o con il consenso del titolare. Accedere a un account altrui senza autorizzazione è un illecito, anche se si conosce la password.
- Documenta l'ambiente: dispositivo, browser, connessione, ora di riferimento.
- Preferisci le esportazioni ufficiali alle copie manuali.
- Esporta i registri di attività prima che scadano i tempi di conservazione.
- Non modificare nulla: evita di spostare, rinominare o aprire in modifica i file, perché le azioni vengono registrate e possono alterare cronologie e date.
- Registra un video dello schermo durante le operazioni più significative, per mostrare cosa era visibile nell'account.
- Calcola gli hash di tutto ciò che scarichi.
Il ruolo del fornitore
Alcune informazioni sono in possesso solo del fornitore: indirizzi IP degli accessi su lunghi periodi, dati di registrazione dell'account, contenuti già eliminati e non più visibili all'utente. Per ottenerle servono richieste formali attraverso i canali giudiziari o, per i dati personali che ti riguardano, l'esercizio dei diritti previsti dal GDPR, come il diritto di accesso dell'articolo 15. I tempi possono essere lunghi, e nel frattempo i dati rischiano di essere cancellati: per questo molti fornitori prevedono procedure di conservazione urgente su richiesta delle autorità.
Esempio: un documento condiviso modificato
In un'azienda, un foglio di calcolo con i prezzi condiviso nel cloud risulta alterato. L'amministratore esporta il registro di controllo, che mostra chi ha aperto il file nei giorni precedenti. La cronologia delle versioni rivela la modifica, il suo autore e l'ora esatta. Il registro degli accessi dell'account mostra che quel giorno l'utente si era collegato da un dispositivo mai usato prima. Il quadro suggerisce una compromissione dell'account più che un'azione volontaria dell'utente, ed è un'ipotesi che si può verificare con ulteriori controlli.
In sintesi
- Nel cloud non si acquisisce un disco, ma i dati attraverso le interfacce del servizio.
- Esportazioni ufficiali, registri di attività e cronologia delle versioni sono le fonti principali.
- Si accede solo ad account per cui si è legittimati.
- Le azioni nell'account vengono registrate: osservare senza modificare.
- Alcuni dati sono solo presso il fornitore e richiedono richieste formali tempestive.