Giuseppe Vaciago. Casistica Giurisprudenziale Milano Università degli Studi Milano -Bicocca

Transcript

1 Giuseppe Vaciago Casistica Giurisprudenziale Milano Università degli Studi Milano -Bicocca

2 COMPUTER FORENSICS Avv. Giuseppe Vaciago 1. Investigazioni telematiche (8 maggio ore ) 2. Elementi di Computer Forensic (15 maggio ore ) 3. Gli strumenti processuali (22 maggio ore ) 4. Casistica giurisprudenziale (29 maggio ore )

3 INTERCETTAZIONI TELEMATICHE AMBITO DI ESCLUSIONE DI APPLICAZIONE Tribunale Milano, 30 ottobre 2002 L attività di accertamento della polizia giudiziaria che accede, mediante lo strumento informatico, alle comunicazioni aperte a tutti i navigatori via internet per le quali non sia richiesto alcun codice di accesso è liberamente utilizzabile. *** La fattispecie era relativa alla consultazione di un sito relativo ad una vendita on line aperta ad un numero indeterminato di possibili clienti, del tutto assimilabile ad un offerta di vendita di prodotti pubblicizzata su di una qualsiasi rivista cartacea di annunci commerciali

4 INTERCETTAZIONI TELEMATICHE AMBITO DI APPLICAZIONE Cassazione Penale 14 febbraio 2005, n Non è causa di invalidità o di inutilizzabilità dei provvedimenti autorizzativi, l improprio riferimento informatico al solo account di posta elettronica e non a quello di connessione, trattandosi di due aspetti della stessa realtà giuridica, indicativa della facoltà di accesso di un determinato utente alla trasmissione e alla ricezione dei flussi telematici *** La fattispecie era relativa ad un soggetto che aveva contestato il fatto che era stata specificamente richiesta l intercettazione dell account di posta elettronica, ma avevano utilizzato informazioni relative al suo account di connessione

5 ISPEZIONE MANCANZA DI INFORMAZIONI NEL VERBALE Tribunale di Savona, 17 gennaio 2004 Dal verbale di ispezione non risultava alcuna documentazione attestante l effettiva duplicazione del software. *** Il Tribunale di Savona ha, nel caso di specie, assolto con formula piena un soggetto imputato del reato di duplicazione abusiva di software ai sensi dell articolo 171-bis della legge sul diritto d autore, in quanto l indagine svolta appariva assolutamente lacunosa, non essendo stata effettuata né la duplicazione delle memorie dei computer, né un sequestro degli stessi; né le fotocopie delle licenze esibite.

6 PERQUISIZIONE e SEQUESTRO IDONEITA DELLE BEST PRACTICES Tribunale Bologna, 21 luglio 2005 Il caso riguardava un hacker che, dopo aver creato un virus denominato Vierika, lo aveva diffuso tramite un noto provider a circa 900 utilizzatori. Il virus, inviato come attachment di una mail, una volta eseguito, andava ad agire sul registro di configurazione di windows portando al livello minimo le impostazioni di protezione del browser Internet Explorer e inserendo come home page del predetto browser una determinata pagina web scelta dall imputato.

7 PERQUISIZIONE e SEQUESTRO IDONEITA DELLE BEST PRACTICES

8 PERQUISIZIONE e SEQUESTRO IDONEITA DELLE BEST PRACTICES

9 PERQUISIZIONE e SEQUESTRO IDONEITA DELLE BEST PRACTICES Quando l utente accedeva in rete, veniva automaticamente scaricato dal sito un comando che creava nella prima partizione del primo disco rigido del computer il file c:\vierika.jpg.vbs, contenente la prima parte del codice, producendo un effetto di mass-mailing. Veniva, infatti, inviata agli indirizzi contenuti nella rubrica di Outlook una mail contenente l attachment sopra descritto, in modo che il virus si potesse autoreplicare.

10 PERQUISIZIONE e SEQUESTRO IDONEITA DELLE BEST PRACTICES Sul verbale di perquisizione e contestuale sequestro, l indagato aveva ammesso spontaneamente il fatto e aveva fornito alla Polizia Giudiziaria i file relativi al programma Vierika e sotto il controllo di questi, ne aveva masterizzato una copia, sottoposta a sequestro. QUINDI: NESSUNA COPIA FORENSE DELL HARD DISK.

11 PERQUISIZIONE e SEQUESTRO IDONEITA DELLE BEST PRACTICES Il Giudice, in assenza della allegazione di fatti dai quali si potesse astrattamente desumere verificata nel caso concreto una qualsiasi forma di alterazione dei dati, ha sostenuto che non fosse suo compito determinare un protocollo relativo alla procedure informatiche forensi In forza del principio della libera valutazione della prova previsto ai sensi dell articolo 192 c.p., ha ritenuto gli accertamenti compiuti dalla Polizia Giudiziaria pienamente attendibili ed utilizzabili ai fini della decisione alla luce del contesto probatorio complessivo

12 PERQUISIZIONE e SEQUESTRO IDONEITA DELLE BEST PRACTICES Tribunale di Pescara, 30 novembre 2006 L imputato era accusato di aver messo in circolazione immagini dal contenuto pornografico senza adottare nessun tipo di restrizione (password o altri sistemi) attraverso apposita strumentazione informatica, server, permettendo il reindirizzamento al sito Internet denominato Le indagini erano consistite nella verifica che il sito, allocato negli U.S.A. tramite il fornitore di servizi di Web Hosting 50megs.com era stato registrato a nome dell imputato e nella stampa di alcune pagine del sito.

13 PERQUISIZIONE e SEQUESTRO IDONEITA DELLE BEST PRATICES Durante l esame degli operanti della Polizia di Stato, tuttavia, era emerso che nel corso della perquisizione erano stati rinvenuti su un personal computer utilizzato come server DNS: due file di log, che erano stati acquisiti mediante copia su supporto CD un file identificabile con il nome vallecupa.com.dns contenente il reindirizzamento della pagina web vallecupa.com allocato presso il server della società 50megs.com sita negli U.S.A. Nessuna immagine relativa al sito vallecupa.com era presente, tuttavia, sul personal computer.

14 PERQUISIZIONE e SEQUESTRO IDONEITA DELLE BEST PRACTICES Durante la perizia disposta in dibattimento, il perito ha dovuto concludere di essere impossibilitato ad ogni considerazione in quanto: non è riuscito ad acquisire le pagine web nel formato digitale, al fine di valutarne contenuto e caratteristiche tecniche non è stata effettuata un acquisizione di copia certificata dei documenti informatici, con eventuale sottoscrizione (firma digitale), come previsto dalla normativa tecnica già all epoca emanata dall AIPA (Autority per l Informatica nella P.A., ora CNIPA centro Nazione per l Informatica nella P.A.), in tema di creazione scarsa valenza probatoria delle riproduzioni a stampa (difficilmente classificabili, alla stregua della stessa normativa tecnica, quali documenti analogici originali ),

15 SEQUESTRO E COPIE FORENSE DELL HARD DISK: POSIZIONI FAVOREVOLI Tribunale di Torino, 7 febbraio 2000 A favore dell acquisizione dell immagine dell hard disk: nulla avrebbe potuto impedire agli agenti di Polizia Giudiziaria, per di più appartenenti a Sezione specializzata nell ambito dei reati informatici, di procedere a copia integrale dell hard disk, con specificazione verbale di ogni singola operazione. Nella stessa pronuncia, il Giudice aveva chiarito, inoltre, che tra hard disk e software in esso contenuto sussiste un rapporto di stretta pertinenza, in quanto il software necessita dell hard disk per funzionare. Non rileva che il software possa funzionare su un altro hard disk: sarebbe come dire che un furgone utilizzato dagli autori del furto per trasportare i mobili della casa derubata non sia cosa pertinente al reato, perchè gli autori avrebbero potuto usare un altro furgone o semmai un autoveicolo

16 SEQUESTRO E COPIE FORENSE DELL HARD DISK: POSIZIONI CONTRARIE Corte di Cassazione, 7 marzo 2003 Il Tribunale del Riesame di Siracusa, in un indagine legata alla diffusione di materiale pedo-pornografico, aveva qualificato come cosa pertinente al reato, il materiale informatico utilizzato per scaricare i files in questione tra cui lo schermo, la stampante ed lo scanner dell indagato. Nel successivo ricorso in Cassazione, la Corte ha parzialmente accolto il ricorso, dissequestrando lo schermo, la stampante e lo scanner, ma ritenendo legittimo il vincolo sulla memoria fissa del computer o su eventuali supporti (floppy disk, cd), non prendendo in considerazione l ipotesi fornita dall indagato di effettuare una copia dei dati in essi contenuti.

17 SEQUSTRO DEL COMPUTER E COMPRESSIONE DELLA PRIVACY Tribunale di Brescia, 4 ottobre 2006 Il sequestro di un intero hard-disk consente certamente l acquisizione di elementi probatori, ma implica anche l acquisizione di dati che esulano dal contesto per il quale l atto e disposto, sicché, come è immediatamente percepibile, tale genere di sequestro esige un ambito di corretta e ristretta operatività per evitare connotazioni di spropositata afflittività e di lesione di beni costituzionalmente protetti. Sotto questo profilo merita particolare segnalazione la compressione della libertà e segretezza della corrispondenza conservata nel disco fisso, con conoscenza dei messaggi tutti trasmessi e ricevuti, compresi quelli destinati a soggetti del tutto estranei alle indagini

18 INDICIDENTE PROBATORIO E MODIFICAZIONE NON EVITABILE Ufficio del Giudice delle Indagini Preliminari di Arezzo, 26 maggio 2003 Tribunale di Arezzo ha rigettato la richiesta di incidente probatorio avente ad oggetto la perizia di un disco fisso ritenuto soggetto a modificazione non evitabile formulata dai difensori del proprio assistito indagato in un procedimento per duplicazione abusiva di software. Nella motivazione si legge che il pericolo di modificazione non evitabile della cosa deve dipendere dalla natura della cosa in sé e non dalle modalità di custodia della stessa, evitabili con ordinari ed elementari accorgimenti tecnici, autorizzando, ad esempio, l effettuazione di piccoli fori di areazione sul cartone in cui è custodito il computer sequestrato

19 L ANTEFATTO Il soggetto si collega ad una rete di scambio p2p e mette in condivisione materiale protetto dal diritto d autore. Anche la P.G. si collega al circuito p2p, cerca materiale protetto dal diritto d autore ed inizia a scaricare un file dal soggetto. Durante il download, la P.G., attraverso un software di sniffing che monitora i pacchetti di dati scambiati con il soggetto, acquisisce l indirizzo IP dal quale egli si sta connettendo.

20 ATTIVITA DI INDAGINE DELLA POLIZIA GIUDIZIARIA Una volta in possesso dell indirizzo IP cosa deve fare la Polizia Giudiziaria? A. Trovare il fornitore di connettività B. Mandare una mail all indagato C. Contattare il Pubblico Ministero

21 ATTIVITA DI INDAGINE DELLA POLIZIA GIUDIZIARIA Una volta in possesso dell indirizzo IP dell indagato, la Polizia Giudiziaria effettua un controllo incrociato mediante un database WHOIS, attraverso il quale risale al fornitore di connettività dell indagato. Se l operatore è italiano, la Polizia Giudiziaria avrà la certezza che anche il soggetto al quale si è collegata è italiano, e dunque l azione è procedibile.

22 ATTIVITA DI INDAGINE DELLA POLIZIA GIUDIZIARIA Una volta ottenuto il nominativo del fornitore di connettività italiano cosa deve fare la Polizia Giudiziaria? 1. Chiedere una autorizzazione all acquisizione dei tabulati di traffico relativi all indagato al Giudice delle indagini preliminari 2. Chiedere una autorizzazione all acquisizione tabulati di traffico relativi all indagato al Pubblico ministero 3. Contattare direttamente il fornitore di connettività

23 ATTIVITA DI INDAGINE DELLA POLIZIA GIUDIZIARIA La Polizia Giudiziaria chiede al Pubblico Ministero l autorizzazione all acquisizione dei tabulati di traffico relativi all indirizzo IP dell indagato. Il Pubblico Ministero emette un decreto di autorizzazione ad acquisire i tabulati di traffico Attraverso i tabulati del fornitore di connettività, la Polizia Giudiziaria risale al titolare dell abbonamento che al momento dell indagine era connesso dall IP monitorato.

24 ATTIVITA DI INDAGINE DEL PUBBLICO MINISTERO Una volta ottenuto il nominativo del titolare dell abbonamento che al momento era connesso all indirizzo IP monitorato? 1. Emettere un decreto di ispezione 2. Emettere un decreto di perquisizione e contestuale sequestro 3. Chiedere che venga effettuata una perizia o un incidente probatorio

25 ATTIVITA DEL PUBBLICO MINISTERO Il Pubblico Ministero può emettere: un decreto perquisizione e contestuale sequestro (artt. 253 e seguenti c.p.p.) a carico del soggetto indagato, finalizzato ad acquisire il corpo del reato e le cose pertinenti ad esso un decreto di ispezione (art 244 e seguenti c.p.p.) o di (artt. 247 e seguenti c.p.p.) e contestuale acquisizione di eventuali elementi utili a ricostruire accertare le tracce e gli altri effetti materiali del reato In tutte e due i decreti il Pubblico Ministero dispone che l atto sia compiuto da ufficiali di polizia giudiziaria delegati

26 PERQUISIZIONE E SEQUESTRO INDAGATO/AVVOCATO Una volta ottenuto il decreto di perquisizione, la Polizia Giudiziaria si reca presso l appartamento dell indagato alle 6 del mattino. Cosa deve fare l indagato quando capisce che stanno per effettuare la perquisizione? 1. Cancellare la cartella in condivisione dal proprio hard disk 2. Chiamare l avvocato 3. Assumere un atteggiamento collaborativo nei confronti della Polizia Giudiziaria e ammettere l addebito

27 PERQUISIZIONE E SEQUESTRO INDAGATO/AVVOCATO Se l indagato decide di cancellare ogni traccia, deve necessariamente asportare fisicamente l hard disk dal proprio computer perché altrimenti sarebbe comunque rintracciabile la prova del download L intervento dell avvocato in questa fase potrebbe essere utile soprattutto se si dovesse procedere alla copia forense dell hard disk e si volesse verificare il rispetto delle best practices della computer forensics Un atteggiamento collaborativo e sincero potrebbe consentire nel futuro processo la concessione di attenuanti e garantire una maggiore serenità durante la fase delle indagini preliminari

28 PERQUISIZIONE E SEQUESTRO POLIZIA GIUDIZIARIA La P.G. si presenta al domicilio dell indagato, redige un verbale di identificazione ed elezione di domicilio (art 369 e 369bis c.p.p.) (primo atto con il soggetto viene a conoscenza della sua qualità di indagato). Effettua la perquisizione, redigendone verbale (atto irripetibile). Sequestra il materiale informatico attraverso il quale il soggetto ha commesso il reato, redige il verbale di sequestro (atto irripetibile)

29 PERQUISIZIONE E SEQUESTRO POLIZIA GIUDIZIARIA Durante la perquisizione ed il successivo sequestro quale procedura deve seguire la Polizia Giudiziaria per garantire la Catena di Custodia? 1. Computer acceso 2. Computer spento 3. Operazioni da compiere per garantire la catena di custodia

30 PERQUISIZIONE E SEQUESTRO POLIZIA GIUDIZIARIA Computer spento 1. Estrarre i floppy disk in esso contenuti 2. Estrarre i cd rom utilizzando l apposito foro 3. Identificazione del numero e delle caratteristiche tecniche dei dischi fissi presenti nel computer

31 PERQUISIZIONE E SEQUESTRO POLIZIA GIUDIZIARIA Computer Acceso Accedere al sistema, ove possibile, con il ruolo di amministratore Salvare gli elementi utili reperiti con un supporto vergine Procedere ad un analisi di tutti i processi ancora in esecuzione e della RAM, ove fosse possibile reperirne il contenuto Nel caso in cui siano presenti connessione attive che possano ricondurre alla presenza di programmi file-sharing, analizzare l attività di download e le informazioni relative agli utenti Redigere un verbale in cui con appositi screenshot Tutte le attività svolte durante l analisi forense devono essere accuratamente registrate in un file di log

32 INTERCETTAZIONI TELEMATICHE PRASSI OPERATIVA Catena di custodia (Chain of Custody) Individuazione e identificazione dei supporti da sequestrare anche attraverso video e foto, attraverso le loro caratteristiche tecniche (marca, modello, numero seriale ed etichette apposte) 2. Calcolo dell algoritmo di hash sui supporti (fase controversa) 3. Imballaggio dei supporti e apposizione delle etichette indicando il soggetto che ha raccolto le prove e le modalità e il luogo in cui sono state reperite 4. Apposizione dei sigilli al materiale informatico 5. Redazione del verbale di sequestro in cui viene trascritto l algoritmo di hash

33 ANALISI FORENSE ATTIVITA PUBBLICO MINISTERO Una volta effettuato il sequestro e ottenuta la prova della commissione del reato il Pubblico Ministero come può procedere all analisi del computer? 1. Procedere ad accertamento tecnico non ripetibile avvalendosi di un consulente esterno 2. Procedere ad incidente probatorio offrendo le garanzie del contraddittorio 3. Arrivare a dibattimento e far disporre dal giudice una perizia

34 ANALISI FORENSE ATTIVITA PUBBLICO MINISTERO Il Pubblico Ministero chiede l accertamento tecnico. Trattandosi di atti destinati sicuramente ad esplicare efficacia di prova, il legislatore ha predisposto alcune garanzie: 1. Partecipazione dei difensori, delle parti ed, eventualmente, dei loro consulenti tecnici. 2. L indagato conserva la possibilità di opporsi manifestando, mediante la formulazione di una riserva, la volontà di promuovere un incidente probatorio, che come vedremo in seguito, garantisce ampiamente il rispetto del principio del contraddittorio

35 ANALISI FORENSE INDAGATO/AVVOCATO Una volta disposto l accertamento tecnico l indagato ha tre opzioni 1. Presentarsi da solo all accertamento tecnico 2. Farsi assistere dal difensore 3. Farsi assistere dal difensore e dal consulente tecnico

36 ANALISI FORENSE POLIZIA GIUDIZIARIA Una volta disposto l accertamento tecnico la Polizia Giudiziaria deve effettuare l analisi del Computer. Quali operazioni saranno necessarie nel rispetto della catena di custodia? 1. Acquisizione del reperto 2. Attività di analisi in caso di supporti informatici 3. Analisi e valutazione del dato

37 ANALISI FORENSE ACQUISIZIONE DEL REPERTO Apertura dei sigilli Verifica dell algoritmo di Hash Wiping (Cancellazione a basso livello) dell hard disk di destinazione Utilizzo di un dispositivo hardware o software per bloccare la scrittura dei dati(write blocker) Copia Bit Stream dell immagine del disco di sorgente

38 ATTIVITA DI ANALISI IN CASO DI SUPPORTI INFORMATICI POLIZIA GIUDIZIARIA Computer Forensics Network Forensics Slack: residui di memoria che hanno subito solo una parziale reimpressione Swap: aree di disco rigido intervenute a supporto della RAM Dump: fotografia della memoria RAM in caso di malfunzionamento File cancellati (per l utente, non per il sistema), quelli temporanei ancora presenti in memoria Analisi dei file di log per ricostruire gli eventi intervenuti in un sistema Ricerca di Rootkit per verificare se il sistema è stato violato Utilizzo di strumenti di intercettazione delle trasmissioni (sniffer) Ricerca del reale indirizzo IP dell utente

39 ANALISI E VALUTAZIONE DEL DATO POLIZIA GIUDIZIARIA Descrizione accurata della parte logica (volumi e dischi) del supporto e del tipo di OS Individuazione della timeline Analisi dei file cancellati Particolare attenzione a: 1. File (.mp3, mpg,.dbx,.pst, etc) 2. Link locali e remoti nella cartella preferiti 3. Cronologia Internet e relativi cookies 4. File steganografati, criptati

40 LINEA DIFENSIVA INDAGATO/AVVOCATO Durante e dopo la fase dell accertamento tecnico e prima dell avviso di conclusione delle indagini preliminari, l indagato con il suo difensore devono pensare ad una linea difensiva 1. Dimostrare la provenienza legittima dei file condivisi 2. Dimostrare l utilizzo non su scala commerciale 3. Dimostrare una carenza nella catena di custodia

41 CONCLUSIONE DELLE INDAGINI Al termine delle indagini, il P.M. emette l avviso di conclusione delle indagini preliminari (art. 415-bis) con il quale contesta all indagato la commissione del reato. L indagato ha 20 giorni per presentare memorie e chiedere di essere interrogato. In base al tipo di reato, il P.M. emette decreto di citazione diretta a giudizio (reati minori) o richiesta di rinvio a giudizio al Giudice dell udienza preliminare.

42 INTERCETTAZIONI TELEMATICHE INDAGATO/AVVOCATO Nel caso di violazione dell art. 171-ter dove la pena è della reclusione fino a 4 anni viene emesso il decreto di citazione diretta a giudizio ai sensi dell articolo 550 c.p.p. L indagato/avvocato hanno tre possibilità: Patteggiamento con oblazione ai sensi dell art. 171 a-bis Richiedere Giudizio abbreviato dove il giudice deciderà allo stato degli atti Rito ordinario arrivando alla fase dibattimentale