Antiforensic: i limiti della Computer Forensic

Il limite della Computer Forensic? Possiamo determinare il "come", il "quando", il "dove" ma è veramente difficile determinare il "CHI". Analizzando un supporto informatico, possiamo definire tutti gli aspetti del dato: date, permessi, correlazioni con altri dati, ma stabilire il o i soggetti fisici (non le utenze) che l'hanno generato/modificato è aspetto controverso. Se un computer viene utilizzato per la maggior parte del tempo da un soggetto, questo non implica necessariamente che un particolare dato sia stato generato da egli.

Un esempio? un Worm che installato in modo silenzioso compia azioni illegali (ovviamente con i privilegi dell'utente o con una escalation). A quel punto chi è il vero attore all'interno del computer? Il worm o l'utente? E se fosse stato l'utente ad installare quel Worm per sviare le indagini? Il legame utenza/utente non è indissolubile e va appunto dimostrato che l'utilizzo di quel computer in quel particolare momento è stato effettuato da quel particolare utente che ha utilizzato quella particolare utenza. E qui certamente entrano in gioco le altre scienze forensi: impronte sulla tastiera per esempio ed altro.

Non reggerebbe neanche il paragone con la vita reale: se venisse trovato materiale compromettente all'interno di una casa, si potrebbe ragionevolmente pensare che qualcuno degli abitanti della casa ne sia il proprietario (diverso sarebbe dimostrarlo). Paragonare l'hard disk di un computer con la casa di un utente non sarebbe corretto infatti, perché in questo caso sarebbe meglio paragonarlo ad un "parcheggio pubblico"!

Il parcheggio infatti è accessibile dietro identificazione e autenticazione (lasca) ad un numero molto elevato di macchine. Se trovo una foto compromettente all'interno del garage posso attribuirne la paternità a qualcuno dei suoi frequentatori? Evidentemente no, se non ci sono altri elementi che mi permettono di ricondurla a ciò.

Stessa cosa per un computer. Se c'è una normale identificazione e autenticazione e magari un collegamento ad Internet, posso affermare che tutti i dati all'interno del computer sono conseguenza di input provenienti da un solo soggetto? Il fatto che vi sia una procedura di identificazione e autenticazione non mi deve trarre in inganno: chi si identifica e autentica non è l'utente ma qualcuno che ne conosce le sue credenziali e che, in condizioni normali, dovrebbe ragionevolmente essere l'utente.

Immagino però che sull'argomento un buon avvocato saprebbe argomentare un numero molto più elevato di eccezioni :-)