La cifratura completa del disco è ormai una funzione di serie su molti computer e su quasi tutti gli smartphone. È un'ottima notizia per la sicurezza: un portatile rubato non espone i dati di chi lo possiede. Per l'informatica forense, però, significa che una copia bit a bit del disco, senza la chiave, contiene solo dati incomprensibili. Capire come funziona la cifratura e dove si trovano legittimamente le chiavi è diventato indispensabile.
Come funziona la cifratura del disco
Con la cifratura completa, tutto ciò che viene scritto sul disco passa prima da un algoritmo di cifratura, e tutto ciò che viene letto viene decifrato al volo. L'utente non se ne accorge: una volta sbloccato il sistema, i file appaiono normali. La chiave che cifra i dati è a sua volta protetta da uno o più "protettori": una password, un PIN, un chip di sicurezza del computer, una chiave di ripristino.
I sistemi più diffusi sono:
| Sistema | Ambiente | Note pratiche |
|---|---|---|
| BitLocker | Windows | Spesso legato al chip TPM; prevede una chiave di ripristino numerica |
| FileVault | macOS | Integrato nel sistema; chiave di ripristino o sblocco tramite account |
| LUKS | Linux | Standard diffuso; supporta più password per lo stesso volume |
| VeraCrypt | Multipiattaforma | Volumi o contenitori cifrati, anche nascosti |
| Cifratura degli smartphone | iOS e Android | Legata al codice di sblocco e all'hardware del dispositivo |
Perché "spegnere" può essere un errore
Quando un computer cifrato è acceso e sbloccato, i dati sono accessibili e la chiave si trova in memoria. Spegnendolo, il volume torna bloccato. Se nessuno conosce la password o la chiave di ripristino, i dati possono diventare inaccessibili in modo definitivo.
Per questo, davanti a un sistema acceso, l'esperto valuta:
- se il disco è cifrato, verificando lo stato dei volumi;
- se conviene acquisire subito la memoria, che può contenere la chiave;
- se eseguire un'acquisizione logica dei volumi già sbloccati, prima di spegnere.
Sono operazioni che modificano in parte lo stato del sistema, ma che spesso sono l'unico modo per non perdere i dati. Vanno motivate e documentate in dettaglio.
Dove si trovano legittimamente le chiavi
Senza alcuna forzatura, le chiavi di ripristino si trovano spesso in luoghi prevedibili:
- account online del proprietario: alcuni sistemi salvano automaticamente la chiave di ripristino nell'account collegato al computer;
- sistemi aziendali di gestione: nelle organizzazioni, le chiavi vengono di norma archiviate in un servizio centrale gestito dall'IT;
- stampe o file salvati dall'utente al momento dell'attivazione;
- gestori di password del titolare.
In ambito aziendale, la prima domanda da fare è quindi all'amministratore di sistema: in molti casi la chiave è già disponibile, e il problema non esiste.
Volumi e contenitori cifrati
Oltre al disco intero, si possono cifrare singoli contenitori: file che, aperti con il programma giusto e la password, si montano come un'unità. In un'analisi si riconoscono spesso perché sono file di grandi dimensioni, con contenuto apparentemente casuale e senza una struttura di formato riconoscibile. Alcuni programmi permettono anche volumi nascosti dentro altri volumi; la loro esistenza non è dimostrabile con certezza dall'esterno, ma tracce d'uso del programma, file recenti e collegamenti possono suggerirla.
Smartphone: il caso più difficile
Sui telefoni moderni la cifratura è legata sia al codice dell'utente sia all'hardware del dispositivo. Le chiavi non possono essere estratte facilmente dal chip, e i tentativi di indovinare il codice sono limitati e rallentati. Per questo, come si è visto per l'analisi degli smartphone, mantenere un telefono acceso e sbloccato fin dall'inizio può fare tutta la differenza.
Cosa è corretto fare e cosa no
L'informatica forense difensiva lavora con mezzi legittimi: chiavi fornite dal titolare o dall'organizzazione, acquisizione di sistemi già sbloccati, recupero da fonti autorizzate. Tentativi di forzatura sono riservati a contesti specifici, con autorizzazioni e strumenti adeguati, e anche in quei casi i tempi possono essere lunghissimi se la password è robusta. Una cifratura ben configurata con una password forte, semplicemente, protegge i dati: è il suo scopo.
Nella relazione
Quando la cifratura limita l'analisi, va dichiarato con chiarezza: quali volumi erano cifrati, quali tentativi legittimi di sblocco sono stati fatti, con quale esito, e quali conclusioni non è stato possibile raggiungere. Una relazione che spiega i propri limiti è più solida di una che li tace.
In sintesi
- Senza chiave, la copia di un disco cifrato contiene solo dati incomprensibili.
- Un sistema acceso e sbloccato offre opportunità che lo spegnimento cancella.
- Le chiavi di ripristino si trovano spesso in account online o nei sistemi aziendali.
- Sugli smartphone la cifratura è legata all'hardware: lo stato iniziale è decisivo.
- I limiti imposti dalla cifratura vanno dichiarati apertamente nella relazione.