App, artefatti e report

Nella maggior parte dei casi, le app di terze parti generano le prove più ricche. Ogni app memorizza i dati a modo proprio, ma alcuni schemi ricorrono.

• Database SQLite per messaggi, cronologia e metadati.
• Property list (plist) su iOS e XML shared_prefs su Android per impostazioni e stato.
• Protobuf / JSON incorporati nelle colonne dei database.
• Cartelle di cache e contenuti multimediali per miniature e allegati.

Il Suo compito è analizzare questi dati in modo coerente, attribuirli a un utente e a un momento preciso e presentarli in modo difendibile.

Le app di messaggistica sono fonti frequenti di prove. Ognuna conserva un archivio principale dei messaggi, oltre a tabelle per i contatti e i gruppi.

• WhatsApp (Android): msgstore.db (messaggi), wa.db (contatti).
• Signal: database SQLCipher cifrato; la chiave si trova nel keystore/keychain.
• Telegram: cache4.db con contenuti codificati in protobuf.

Ricostruisca una conversazione WhatsApp dall'archivio dei messaggi:

Alcune app cifrano il proprio database con SQLCipher (ad esempio Signal e alcune app bancarie). Non è possibile aprire questi database con sqlite3 standard.

• La chiave è generalmente memorizzata nel keystore/keychain della piattaforma e può essere recuperata solo da un'estrazione sufficientemente approfondita.
• Una volta ottenuta la chiave, apra il database tramite SQLCipher PRAGMA prima di eseguire le query.

Apertura di un database SQLCipher dopo il recupero della chiave:

I database delle app nascondono spesso dati strutturati nelle colonne BLOB sotto forma di protobuf, plist o JSON. Le colonne visibili rappresentano solo una parte delle informazioni.

• I blob BPLIST (plist binario Apple) si decodificano con plistlib o plutil.
• I blob Protobuf si decodificano con protoc o blackboxprotobuf.

Converta un blob plist binario estratto da una colonna:

Le prove relative alla posizione collegano una persona a un luogo e a un momento, quindi devono essere gestite con particolare rigore.

• Tag GPS EXIF delle foto, cronologia delle ricerche nelle app di mappe, tile memorizzate nella cache.
• Su iOS le posizioni significative (cache di routined), su Android la cronologia delle posizioni e i registri Wi-Fi/rete cellulare.

Distinga il luogo in cui si trovava il dispositivo da un luogo che l'utente si è limitato a cercare. Estragga le coordinate GPS EXIF da una foto:

Le app moderne sincronizzano i dati tra dispositivi, quindi i dati presenti sul dispositivo possono essere incompleti o duplicati.

• Un messaggio eliminato dal telefono può persistere su un tablet collegato o in una sessione web.
• I metadati di sincronizzazione possono mostrare quale dispositivo ha creato un messaggio.

Annoti l'attribuzione al dispositivo nella Sua analisi e acquisisca dati dal cloud o da dispositivi associati solo con una distinta e adeguata autorizzazione legale. Non dia mai per scontato che il telefono sequestrato contenga l'intero archivio.

Prima che un artefatto venga inserito in un rapporto, lo convalidi in tre modi.

• Origine: confermi il file, la tabella e la colonna esatti da cui proviene.
• Decodifica: verifichi l'epoca del timestamp e il significato del campo, idealmente confrontandoli con un messaggio di riferimento noto come corretto.
• Corroborazione: verifichi l'artefatto confrontandolo con un secondo artefatto (ad esempio, una voce nel registro delle chiamate corrispondente a un contatto).

Un artefatto che non può essere corroborato in modo indipendente o attribuito con precisione a una fonte deve essere indicato come a bassa affidabilità, non presentato come un fatto.

Una super-timeline riunisce gli eventi provenienti da molti artefatti in un'unica vista cronologica, normalizzata in UTC.

• Combini messaggi, chiamate, utilizzo delle app, posizioni ed eventi di sistema.
• Contrassegni ogni riga con il relativo artefatto di origine per garantirne la tracciabilità.

Strumenti come log2timeline/plaso o script degli analisti assemblano questi dati. Concettualmente, ogni riga contiene l'ora, l'evento e la provenienza:

Un rapporto forense deve consentire a un esaminatore indipendente di riprodurre e verificare il Suo lavoro. Sezioni standard:

• Riepilogo — ambito, autorizzazione, risultati principali.
• Evidenze trattate — dispositivi, identificativi, catena di custodia.
• Metodologia — strumenti, versioni, comandi esatti, hash.
• Risultati — artefatti con citazioni delle fonti.
• Conclusioni — interpretazione, chiaramente separata dai fatti grezzi.

Ogni affermazione deve poter essere ricondotta a una fonte con hash e a un passaggio documentato.

La credibilità di un rapporto dipende dalla separazione tra osservazione e interpretazione.

• Fatto: la riga 482 di sms.db contiene il testo X con la data Y (UTC).
• Interpretazione: ciò suggerisce che l'utente intendesse incontrarsi presso la posizione Z.

Esponga i fatti in modo neutrale e indichi le deduzioni come tali, includendo spiegazioni alternative. Esagerare il grado di certezza (ad esempio, attribuire un'intenzione sulla base di un solo messaggio) indebolisce l'intero rapporto e può essere contestato in tribunale.

I dispositivi mobili contengono dati estremamente privati. Chi opera in questo campo deve rispettare i limiti legali ed etici.

• Operi esclusivamente nell'ambito autorizzato (termini del mandato o del consenso).
• Riduca al minimo l'esposizione di dati privati non pertinenti.
• Mantenga l'obiettività — riporti anche le evidenze a discarico, non solo quelle a carico.
• Protegga i dati estratti con la stessa cura riservata al dispositivo originale.

Una solida etica non è facoltativa: è ciò che rende le evidenze digitali affidabili e ammissibili.

Il Suo rapporto afferma: «L'utente intendeva commettere l'atto, come dimostra il messaggio 482.» Un revisore obietta. Qual è il problema fondamentale?

Ora è in grado di trasformare le estrazioni grezze in un rapporto difendibile.

• I dati delle app sono costituiti da SQLite + plist/XML + blob protobuf/JSON; decodifichi esplicitamente i blob.
• Gli archivi crittografati (SQLCipher) richiedono chiavi ottenute tramite un'estrazione approfondita.
• Gestisca con attenzione le evidenze relative alla posizione; distingua la presenza da una semplice ricerca.
• Tenga conto della sincronizzazione tra più dispositivi e acquisisca dati dal cloud solo con la dovuta autorizzazione.
• Convalidi l'origine, la decodifica e la corroborazione prima di riportare i risultati.
• Costruisca una super-timeline in UTC, strutturi il rapporto per renderlo riproducibile e mantenga separati i fatti dalle opinioni.
• Rispetti l'ambito autorizzato e agisca eticamente: è questo che rende le evidenze ammissibili.