Ogni file porta con sé informazioni che non si vedono aprendolo: quando è stato creato, con quale programma, da quale dispositivo, a volte da chi e dove. Sono i metadati, letteralmente "dati sui dati". In un'analisi forense possono confermare una versione dei fatti, smentirla o aprire piste nuove. Ma vanno letti con attenzione, perché non tutti hanno la stessa affidabilità.
Tre livelli di metadati
È utile distinguere dove si trovano le informazioni.
| Livello | Dove si trovano | Esempi |
|---|---|---|
| File system | Nella struttura del disco | Date di creazione, modifica, accesso |
| Interni al file | Dentro il file stesso | EXIF nelle foto, autore nei documenti |
| Esterni | In servizi e sistemi collegati | Cronologia versioni nel cloud, registri di condivisione |
Un file copiato su una chiavetta porta con sé i metadati interni, ma le date del file system possono cambiare. Per questo il confronto tra livelli diversi è spesso la parte più interessante dell'analisi.
Le foto e i dati EXIF
Le fotocamere e gli smartphone inseriscono nelle immagini un blocco di informazioni chiamato EXIF. Può contenere:
- data e ora dello scatto, secondo l'orologio del dispositivo;
- marca e modello della fotocamera o del telefono;
- impostazioni di scatto, come esposizione e lunghezza focale;
- coordinate geografiche, se la localizzazione era attiva;
- il software usato per eventuali modifiche;
- un'anteprima in miniatura dell'immagine.
Quest'ultimo elemento a volte è prezioso: se una foto è stata ritagliata o ritoccata con programmi che non aggiornano la miniatura, l'anteprima può mostrare l'immagine originale.
Molte piattaforme social e app di messaggistica rimuovono gran parte dei dati EXIF al caricamento. Una foto ricevuta in chat, quindi, raramente conserva le informazioni originali. Per un'analisi utile serve il file originale, prelevato dal dispositivo che l'ha scattata.
Documenti Office e PDF
I documenti di videoscrittura e i fogli di calcolo moderni sono, tecnicamente, archivi che contengono diversi file, tra cui alcuni dedicati alle proprietà. Vi si trovano spesso:
- autore e ultimo utente che ha salvato il file, presi dal nome configurato nel programma;
- data di creazione e di ultimo salvataggio interne al documento;
- numero di revisioni e tempo totale di modifica;
- nome dell'organizzazione e del modello usato;
- talvolta commenti, revisioni tracciate e testo nascosto.
I PDF hanno un proprio dizionario di informazioni e, spesso, un blocco di metadati in formato XMP, con il programma che ha generato il file e le date. Un PDF modificato dopo la creazione può contenere più versioni sovrapposte, e analizzarne la struttura consente talvolta di vedere cosa è cambiato.
Le date del file system: attenzione
Le date di creazione, modifica e accesso mostrate da Windows o macOS sono le più fraintese. Alcuni esempi:
- copiando un file su un altro disco, la data di creazione diventa spesso quella della copia, mentre la data di modifica resta quella originale. Si ottiene così un file "modificato prima di essere creato", che non è un'anomalia ma un comportamento normale;
- la data di ultimo accesso, in molti sistemi, non viene aggiornata sempre, per ragioni di prestazioni;
- scaricare un file da internet o estrarlo da un archivio può impostare date diverse a seconda del programma usato.
Trarre conclusioni da queste date senza conoscerne il comportamento è uno degli errori più comuni nelle consulenze improvvisate.
Quanto sono affidabili i metadati
I metadati si possono modificare. Esistono programmi che cambiano date, autore e coordinate in pochi clic. Questo non li rende inutili, ma significa che vanno trattati come indizi da verificare, non come verità assolute. Diventano forti quando:
- sono coerenti tra loro, per esempio data EXIF e data di creazione del file sul telefono;
- trovano conferma in fonti esterne, come la cronologia di un servizio cloud o un messaggio inviato in quel momento;
- non mostrano tracce di programmi di modifica.
Al contrario, incongruenze come un modello di fotocamera diverso da quello posseduto, un software di fotoritocco nei metadati o date incompatibili con altri eventi meritano approfondimento.
Un esempio pratico
Un documento viene presentato come redatto in una certa data. I metadati interni indicano invece un'ultima modifica successiva e un modello di documento introdotto in una versione del programma più recente. Non è necessariamente una falsificazione, perché il file potrebbe essere stato semplicemente riaperto e salvato, ma la versione dei fatti va chiarita.
In sintesi
- I metadati si trovano nel file system, dentro il file e in servizi esterni.
- Le foto contengono dati EXIF, che però spesso vengono rimossi da social e chat.
- Documenti Office e PDF registrano autore, date e programma di creazione.
- Le date del file system cambiano con copie e download in modi spesso controintuitivi.
- I metadati sono indizi da confrontare tra loro e con fonti esterne.