A pensarci bene, non ho nemmeno la pretesa di chiamarle best practices: non mi sogno di sostenere che siano le migliori pratiche in assoluto, sono solo il meglio che sono riuscito a fare fin qui, ma pur con tutti i lustri di esperienza sul campo che ho accumulato, comunque io non conto niente, quindi chiamiamole onestamente humble practices :)

Dopo aver ripetuto queste raccomandazioni per anni ai miei colleghi e ai miei studenti, ho provato a metterle per iscritto, cosapevole che si tratta di un documento mai finito: a ogni nuovo modello di iPhone o nuova release di iOS ci sono nuove feature, diverse configurazioni di default, cambiamenti nella fornitura dei servizi, e poi arrivano exploit e jailbreak a cambiare le regole, è un aggiornamento continuo. Per cui se avete suggerimenti siete i benvenuti :)

Poor man's humble practices for iOS devices

1. SCOPO DEL DOCUMENTO

Fornire istruzioni operative applicabili durante un sopralluogo informatico per la corretta trattazione dei dispositivi Apple iPhone e iPad dotati di sistemi operativi iOS, in considerazione delle peculiarità costruttive e delle condizioni rilevabili, al fine di provvedere alla loro identificazione, descrizione, raccolta, acquisizione e conservazione secondo modalità idonee a scopi forensi.

Giovedì 16 febbraio 2023 sono stato docente presso la Scuola Superiore della Magistratura per il corso "La scienza e il processo penale": un corso frontale che si è svolto nella splendida cornice di Villa Castel Pulci, rivolto a 90 discenti provenienti da tutta Italia (settanta magistrati ordinari e dieci magistrati onorari con funzioni penali, cinque magistrati militari, cinque avvocati) e articolato in quattro sessioni incentrate sulla prova scientifica alla luce dell'evoluzione delle tecniche di accertamento in ambito penale e in riferimento alle nuove tecnologie di acquisizione di fonti di prova.

Il mio intervento, dal titolo "Le attività investigative nel deepweb e nel darkweb", è stato dedicato per l'appunto alle attività di raccolta delle fonti di prova dal web, con particolare attenzione ai suoi ambiti più sfuggenti: dopo aver definito la distinzione tra clearnet, deep web, darkweb e darknet, e aver descritto il funzionamento di massima dei motori di ricerca generalisti e specialistici, ho parlato di opportunità e limiti delle strategie di Open Source Intelligence e Cyberintelligence, per presentare poi una panoramica dell'ecosistema delle darknet e delle possibilità investigative in termini di raccolta delle prove, deanonimizzazione degli utenti e analisi forense degli artefatti digitali residui.

Quasi tutte le slide sono allegate a questo post.

Dal 10 al 12 novembre 2022 sono stato ospite di ONIF ad Amelia per il convegno “Il futuro dell’informatica forense torna ad Amelia”, organizzato per la sesta volta dall’Osservatorio Nazionale per l’Informatica Forense

Il convegno si è svolto nella giornata di venerdì 11 novembre 2022 dalle 9 alle 17:30, nella suggestiva cornice del Chiostro Boccarini, in contemporanea nella Sala Boccarini e nella Sala Palladini. Durante la giornata si sono susseguiti interventi su argomenti legati all’informatica forense e informatica giuridica da parte di operatori delle Forze dell’Ordine oltre a personalità istituzionali, giuristi, consulenti tecnici dell’Associazione ONIF e fornitori di soluzioni per la digital forensics. L'evento, gratuito per il pubblico previa registrazione, ha dato il tutto esaurito a poche ore dall'apertura delle iscrizioni.

Per me è stata un'occasione preziosissima (di cui sono molto grato a ONIF per l'invito e alla mia Amministrazione per averlo autorizzato) per uscire dal lungo letargo pandemico, rivedere in presenza vecchi amici e colleghi e conoscerne di nuovi.

Ho colto l'occasione per rispolverare un vecchio argomento di cui, ahimè, pare ci sia ancora bisogno di parlare pur dopo tanti anni: la ripetibilità degli accertamenti di informatica forense su dispositivi mobili. Nel tempo a mia disposizione ho riassunto le argomentazioni tecniche e, soprattutto, quelle giuridiche, riportando i riferimenti di legge e gli orientamenti consolidati di dottrina e giurisprudenza, parte dei quali avevo già elencato nel post Estrazione dati da dispositivi informatici: considerazioni sulla ripetibilità, in cui elencavo stralci di sentenze di Cassazione pertinenti all'argomento. Le slide della mia relazione sono allegate in fondo a questo post.

In un epoca in cui qualsiasi cialtrone si spaccia per esperto GDPR, uno dei pochi cialtroni rimasti a non farlo viene comunque insistentemente invitato al GDPR Day per dire la sua. Pur con qualche titubanza, lo sventurato rispose.

E fu così che il 5 ottobre 2022 ho preso parte alla Conferenza GDPR Day 2022 presso il centro congressi FICO Eataly World di Bologna. Se non ci credete, guardate la pagina che mi hanno dedicato.

Le cose si sono svolte più o meno così:

 

- Rebus, perchè adesso non sali sul palco e dici davanti a una platea di giuristi e DPO che la privacy ha rotto le palle?

- Hold my beer ;-)

Per fortuna ero in mezzo a due persone serie: con me nel panel "Sequestrare l’intangibile: prospettive tecniche e legali delle acquisizioni da Cloud" erano presenti Paolo Dal Checco e Marco Tullio Giordano, che hanno risollevato la qualità del discorso.

Abbiamo parlato delle difficoltà di acquisire da cloud dati a scopi forensi, anche nei casi in cui si puà contare sulla collaborazione dell'interessato, ad esempio nel contesto delle indagini difensive, lamentandoci di problemi derivanti dall'eterogeneità dei dati, dalle problematiche di data retention ed extraterritorialità, dalla loro gestione talvolta opaca e comunque dalla mancanza di accesso diretto a supporti fisici su cui risiedono i dati, dalle frequenti limitazioni delle interfacce utente o delle API, dalle legislazioni locali e dalle convenzioni/trattati internazionali che rendono sempre più complesso questo tipo di attività.

Questa volta non ci sono slide da lasciare ai posteri. Per approfondimento, ecco il programma completo dell'evento.

Your forensic launcher box

A brand new release for Bento! I just published the release of july 2022.

So the latest release it's 2022.7: you can download it here and expect it returns this hash:

• MD5: b7e4bd554b706e81f4e24a1006cdf4b9 *Bento-2022.7_public.7z

From previous release, all packages has been updated, including SyMenu itself. Then a special integration of WinTriage has been made, with direct collaboration from Securizame's developers. A special thanks to Lorenzo Martínez Rodríguez for his patience and readiness. Two new tools for automated triage has been added:

Your forensic launcher box

Nuovo aggiornamento per Bento! Ho appena rilasciato la versione di luglio 2022.

La versione attuale è la 2022.7, è scaricabile da qui e deve restituire il seguente hash:

• MD5: b7e4bd554b706e81f4e24a1006cdf4b9 *Bento-2022.7_public.7z

Rispetto alla release precedente sono stati aggiornati tutti i pacchetti e lo stesso SyMenu alle versioni più recenti. Inoltre è stato fatto un lavoro speciale di integrazione per WinTriage, con la diretta collaborazione degli sviluppatori di Securizame. Ringrazio in particolar modo Lorenzo Martínez Rodríguez per la pazienza e la disponibilità dimostrate. Sono stati testati e aggiunti due tool

Non vorrei davvero tornare su un argomento così trito e ritrito, se non fosse che ne vedo purtroppo ancora la necessità: nell'ultimo anno mi sono trovato più volte a dover riesumare argomentazioni che risalgono ad almeno 15 anni fa per sostenere che le operazioni di estrazione dati da un dispositivo informatico, in condizioni ordinarie, non hanno motivo di essere qualificate come accertamento irripetibile. A meno che non ci sia effettivamente una ragione straordinaria che lo renda necessario :-)

In questo post quindi voglio riepilogare alcune pronunce della Cassazione penale a riguardo, e chiedo la vostra collaborazione nel segnalarmene altre.

Intenzionalmente ho escluso la giurisprudenza di merito e, a malincuore, anche l'autorevole dottrina a riguardo, perche voglio dare la priorità ai pareri più vincolanti, ma non escludo di integrare il post in seguito (comunque, per il bene vostro e mio, neppure mi sogno di elencare per l'ennesima volta le argomentazioni tecniche).

Quest'anno dal 22 al 26 Luglio ci sarà MCH2022 (May Contain Hackers), il più grande hacker camp europeo, un evento epico che si svolge solo una volta ogni 4 anni, che sono diventati ormai 5 causa pandemia. Il camp si terrà in Olanda, a una cinquantina di km da Amsterdam. Si possono ancora trovare dei biglietti di ingresso a prezzo calmierato fino al 3 luglio, dopo di che i ticket saliranno di costo.

L'iniziativa Italian Hackers' Embassy punta ad organizzare la rappresentanza italiana al camp con un proprio Village, che sia un'area di riferimento per le comunità hacker italiane.

Con la raccolta dei contributi si affronteranno i costi necessari al noleggio del tendone e all'offerta di pasta e caffè agli hacker nostrani e stranieri (oltre all'eponima italian grappa che accompagna da decenni la nostra presenza ai camp internazionali).

Ad OHM2013 abbiamo svolto 106 ore di volontariato, servito 500 piatti in 9 pasti, colazione per 5 giorni, consumate 14 casse di birra, 50 litri di grappa, 20 litri di passata d pomodoro, 30kg di pasta, 120 uova... e organizzati 5 party notturni, tra cui il tradizionale party del venerdì che ha coinvolto oltre 200 persone.

Di SHA-2017 si narra di aver raggiunto i 200kg di pasta e 90kg di sughi, della fornitura quotidiana di cornetti e del contrabbando della grappa, 70 litri che hanno viaggiato su 6 auto diverse per arrivare in Olanda, eludendo controlli e soprattutto attuando una sana politica di fault tollerance 😀 Insomma, non si tratta solo di fare hacking insieme ad altri hacker mentre di parla di hacking, si tratta anche di dargli riparo e nutrirli!

Ora è il momento di MCH2022 e tu puoi essere parte di tutto questo! Dalla pagina dedicata al MCH2022 sul sito dell'Embassy puoi accedere alla chat dei partecipanti, ma prima compila il sondaggio per farci sapere quando e  come arrivi, eventualmente offrendo o richiedendo passaggi nella pagina del car sharing. Sopratutto puoi dare la disponibilità a supportare con del volontariato le attività on-site: la collaborazione è ciò che ci rende comunità!

Per stare in contatto con la comunità dell'Italian Hacker Embassy, condividere idee, proposte, spunti di viaggio, organizzare workshop e attività i punti di riferimento sono alla pagina www.italianhackerembassy.it. Presenti anche su Facebook  e Twitter.

On Thursday 12 May I lectured at the University of Padua as part of the teaching of Digital Forensics for the second cycle degree in ICT for Internet and Multimedia, at the kind invitation of prof. Silvia Signorato.

The lecture, held in English, was entitled "Live forensics from the perspective of Law Enforcement" and concerned the practical management of the crime scene regarding digital evidence: for 2 hours, we discussed about live forensics and on-the-spot investigations, search and seizure of digital devices and digital evidence, best practices, chain of custody, same old situations and emergent issues,  concluding with an overview on digital forensics lab activities.

The slides of this lesson are attached to this post.

A distanza di breve tempo, ho tenuto due lezioni in presenza molto simili, seppure svolte in due corsi completamente diversi:

Lunedì 11 aprile ero all'Università di Pavia a tenere una lezione per il corso di Procedura penale I parte presso il Dipartimento di Giurisprudenza, su gentile invito della prof.ssa Livia Giuliani. La trattazione era incentrata sulla gestione della scena del crimine dal punto di vista delle evidenze digitali e in riferimento alle prescrizioni del codice di procedura penale e delle best practices internazioni e nazionali in materia.

Giovedì 12 maggio invece ero all'Università di Padova, nelle mie vesti ufficiali di Ispettore della Polizia Scientifica, a tenere una lezione in lingua inglese dal titolo "Live forensics from the perspective of Law Enforcement" nell'ambito dell'insegnamento di Digital Forensics del corso di laurea magistrale in ICT for Internet and Multimedia (ingegneria per le comunicazioni multimediali e internet), su gentile invito della prof.ssa Silvia Signorato. In questo caso la trattazione è stata meno legata alla procedura penale e più alla gestione pratica della scena del crimine, dal momento che avevo davanti studenti del quinto anno di ingegneria (di cui circa metà stranieri), anzichè studenti di giurisprudenza. Oso dire che l'esperienza sia stata formativa per entrambe le parti :-)

Le slide di quest'ultima lezione sono in allegato a questo post.