La copia forense è il punto di partenza di quasi ogni analisi su computer e supporti di memoria. A differenza di una normale copia di file, riproduce l'intero contenuto del supporto, settore per settore, compresi gli spazi che il sistema operativo considera vuoti. È lì che spesso si trovano i frammenti di file cancellati, le vecchie versioni dei documenti e le tracce che nessuno pensava di aver lasciato.
Copia di file e copia bit a bit: la differenza
Quando trascini una cartella su una chiavetta, il sistema copia solo i file visibili, e nel farlo può cambiare alcune date. Lo spazio non allocato, le aree di sistema, i file cancellati ma non ancora sovrascritti restano fuori.
Una copia bit a bit, chiamata anche bit stream image, legge invece ogni singolo settore del disco dall'inizio alla fine e lo scrive in un file immagine o su un altro supporto. Il risultato è un duplicato completo, sul quale si possono condurre tutte le analisi senza mai toccare l'originale.
| Aspetto | Copia di file | Copia forense |
|---|---|---|
| File visibili | Sì | Sì |
| File cancellati recuperabili | No | Sì, se non sovrascritti |
| Spazio non allocato | No | Sì |
| Metadati del file system | Parziali | Completi |
| Verifica di integrità | Raramente | Sempre, con hash |
Il write blocker
Collegare un disco a un computer non è un'operazione neutra. Molti sistemi operativi, appena rilevano un nuovo volume, scrivono file di indicizzazione, aggiornano registri, montano partizioni e talvolta tentano riparazioni automatiche. Ognuna di queste scritture altera l'originale.
Il write blocker è un dispositivo che si interpone tra il disco e il computer di acquisizione e lascia passare solo i comandi di lettura, bloccando qualsiasi scrittura. Esistono due famiglie:
- write blocker hardware: piccoli apparecchi con ingressi per dischi SATA, NVMe o USB, che bloccano le scritture a livello elettronico. Sono la scelta preferibile, perché indipendenti dal software;
- write blocker software: impostazioni o programmi che impediscono al sistema di scrivere sul dispositivo. Sono utili quando non c'è alternativa, ma vanno verificati con cura, perché un aggiornamento o una configurazione errata possono annullarne l'effetto.
Prima di usare un write blocker su un reperto reale è buona pratica testarlo su un disco di prova, verificando che l'hash rimanga identico dopo il collegamento.
I formati dell'immagine
L'immagine può essere salvata in diversi formati:
- raw (o dd): una copia esatta, senza compressione né informazioni aggiuntive. È leggibile da quasi tutti gli strumenti, ma occupa quanto l'intero disco;
- E01 (Expert Witness Format): un formato molto diffuso che consente compressione, suddivisione in segmenti e inserimento di metadati come numero di caso, nome dell'operatore e note;
- AFF4: un formato aperto pensato per grandi volumi di dati e acquisizioni più complesse.
La scelta dipende dagli strumenti che si useranno e dalle esigenze di archiviazione. L'importante è che il formato sia documentato e verificabile.
La procedura passo per passo
- Fotografa il dispositivo e annota marca, modello, numero di serie e capacità.
- Rimuovi il disco dal computer, se possibile, oppure prepara un sistema di avvio forense che non monti i volumi.
- Collega il disco tramite write blocker al computer di acquisizione.
- Calcola l'impronta hash del disco originale.
- Avvia l'acquisizione verso un supporto di destinazione pulito e di capacità adeguata.
- Al termine, calcola l'hash dell'immagine e confrontalo con quello dell'originale.
- Registra tutto nel verbale: orari, strumenti e versioni, impronte, eventuali errori di lettura.
Se il disco presenta settori danneggiati, lo strumento li segnala. Questi errori vanno annotati, perché spiegano eventuali differenze tra le impronte e permettono di valutare quali dati potrebbero mancare.
Il problema degli SSD
I dischi a stato solido funzionano in modo diverso dai dischi meccanici. Il loro controller gestisce internamente la distribuzione dei dati e, grazie al comando TRIM e alla cosiddetta garbage collection, può cancellare definitivamente blocchi che il sistema ha segnato come liberi, anche senza alcuna scrittura dall'esterno.
Ne derivano due conseguenze pratiche. Prima: un SSD va acquisito il prima possibile, perché il tempo lavora contro il recupero dei dati cancellati. Seconda: in alcuni casi due acquisizioni successive dello stesso SSD possono produrre impronte diverse anche usando un write blocker. Non è un errore dell'operatore, ma un comportamento del dispositivo, e va spiegato nella relazione.
Dischi cifrati e sistemi accesi
Se il computer è acceso e il disco è cifrato, spegnerlo può rendere i dati inaccessibili senza la chiave. In questi casi si valuta un'acquisizione a sistema acceso, detta live, dei volumi già sbloccati e della memoria. È una scelta delicata, che modifica in parte lo stato del sistema e va motivata e documentata.
In sintesi
- La copia forense riproduce ogni settore del disco, compresi spazi liberi e dati cancellati.
- Il write blocker impedisce qualsiasi scrittura sull'originale durante l'acquisizione.
- I formati più comuni sono raw, E01 e AFF4, tutti verificabili con hash.
- Errori di lettura e particolarità degli SSD vanno annotati e spiegati.
- Con sistemi accesi e dischi cifrati, spegnere senza riflettere può far perdere tutto.