Paolo Reale: ICT & Digital Forensics Consulting

ICT & Digital Forensics Consulting

Blog&Articoli

Dio perdona… Internet no!

Parafrasando il titolo del famoso film con Bud Spencer e Terence Hill (“Dio perdona… Io no!“), l’era digitale che stiamo vivendo porta tra i suoi effetti collaterali anche quelli, non sempre desiderati, di mantenere la memoria di qualunque fatto che sia stato affidato ad Internet. Spesso siamo noi stessi ad alimentare questa conoscenza, attraverso le notizie che riportiamo nei social network o nei blog, altre volte in modo del tutto inconsapevole, p.es. ‘taggati’ da altri.

Non è questo un argomento nuovo, già da tempo si parla di ‘diritto all’oblio’. A tal proposito è giusto citare il pluri-premiato e pluri-tradotto “Delete: The Virtue of Forgetting in the Digital Age” di Viktor Mayer-Schönberger (nell’edizione italiana: “Delete. Il diritto all’oblio nell’era digitale“), che in un’intervista dichiara: “Per millenni dimenticare è stata una qualità umana fondamentale. Da sempre ad essa sono state attribuite funzioni importanti: ci consente di mettere da parte eventi del passato che non sono più importanti per ciò che siamo nel presente; ci consente di generalizzare e astrarre, vedere la foresta piuttosto che solo gli alberi; e come esseri umani ci dà la possibilità di cambiare ed evolvere. Tra l’altro dimenticare è facile per noi in quanto è costruito nei nostri cervelli, è biologico e semplicemente accade. Sfortunatamente nell’era digitale abbiamo a disposizione strumenti digitali che catturano e rendono accessibile per sempre l’informazione e ad un costo molto basso. In sostanza, sebbene gli esseri umani dimentichino ancora, gli strumenti digitali che usiamo quotidianamente non dimenticano più. Il nostro passato resta fissato grazie al potere di Google Search.

Su questo tema interviene recentemente la Corte di Cassazione, con la sentenza 5525/2012 del 5 aprile 2012, che sicuramente costituirà un riferimento importante per i temi della privacy e dell’informazione. La premessa della vicenda nasce nel 1993, quando una persona  -come titolò il Corriere della Sera del periodo- fu arrestata per corruzione, inchiesta poi conclusasi con il proscioglimento della stessa. L’iter della sentenza citata parte proprio dal fatto che ancora recentemente tale notizia era disponibile on line presso l’archivio storico del Corriere della Sera, ed indicizzato quindi dai motori di ricerca:  la persona lamentava che l’articolo in questione non recava in sé la notizia del successivo proscioglimento, continuando quindi a riproporre  “un alone di discredito sulla persona, vittima di una vera gogna mediatica“.

I precedenti gradi di giudizio hanno dato torto al ricorrente, ma la Cassazione ribalta il risultato, riconoscendo il diritto all'”aggiornamento della notizia“: “emerge la necessità, a salvaguardia dell’attuale identità sociale del soggetto, di garantire al medesimo la contestualizzazione e l’aggiornamento della notizia di cronaca che lo riguarda, e cioè il collegamento della notizia ad altre informazioni successivamente pubblicate concernenti l’evoluzione vicenda“, e ancora “in caso di relativo inserimento in un archivio storico che come nella specie venga memorizzato pure nella rete di internet la notizia non può continuare a risultare isolatamente trattata e non contestualizzata in relazione ai successivi sviluppi della medesima. Ciò al fine di tutelare e rispettare la proiezione sociale dell’identità personale del soggetto”.

Se vera, esatta ed aggiornata essa esca al momento del relativo trattamento quale notizia di cronaca, e come tale ha costituito oggetto di trattamento, il suo successivo spostamento in altro archivio di diverso scopo (nel caso, archivio storico) con memorizzazione anche nella rete internet deve essere allora realizzato con modalità tali da consentire alla medesima di continuare a mantenere i suindicati caratteri di verità ed esattezza, e conseguentemente di liceità e correttezza, mediante il relativo aggiornamento e contestualizzazione.

Ovviamente la Corte si è posta il problema della presenza di tale informazione nei motori di ricerca, che ne hanno disponibilità e ne consentono l’indicizzazione, anche della notizia ormai obsoleta. Su questo punto si legge che “Mentre l’archivio si caratterizza per essere ordinato secondo criteri determinati, con informazioni intercorrelate volte ad agevolarne l’accesso e a consentirne la consultazione, la rete internet costituisce in realtà un ente ove le informazioni non sono archiviate ma solo memorizzate. Esso è dotato di una memoria illimitata e senza tempo. La memoria della rete internet non è un archivio, ma un deposito di archivi. Nella rete internet le informazioni non sono in realtà organizzate e strutturate, ma risultano isolate, poste tutte al medesimo livello (“appiattite” ), senza una valutazione del relativo peso, e prive di contestualizzazione, prive di collegamento con altre informazioni pubblicate (come segnalato anche in dottrina, lo stesso pagerank indica quando una pagina è collegata da link, non a quali informazioni essa debba essere correlata, né fornisce alcun dato sulla qualità dell’informazione ).

Si pone allora l’esigenza di attribuzione della fonte dell’informazione ad un soggetto, della relativa affidabilità, della qualità e della correttezza dell’informazione.

Ispirandosi ai principi di proporzionalità, pertinenza e non eccedenza, la soluzione indicata dalla Cassazione è che il titolare dell’organo di informazione si faccia carico di predisporre un sistema idoneo a segnalare, nel corpo o a margine “la sussistenza di un seguito e di uno sviluppo della notizia, e quale esso sia stato (nel caso, dei termini della intervenuta relativa definizione in via giudiziaria), consentendone il rapido ed agevole accesso da parte degli utenti ai fini del relativo adeguato approfondimento”

 

Blog, normative, notizie

Italia Digitale: è possibile

Oggi, presso l’auditorium del Palazzo Lombardia a Milano si è tenuta la presentazione dal titolo sopra indicato, nuovo capitolo del lavoro coordinato dalla School of Management del Politecnico di Milano sul tema della Fatturazione Elettronica e Dematerializzazione.

Il tema è attenzionato già da anni da questo Osservatorio, in quanto le sue potenzialità -nell’ottica di consentire una maggiore efficienza ed un minor costo per l’impresa, come anche per l’apparato della PA- nel contesto di difficoltà determinato dalla crisi strutturale che stiamo vivendo, sono un ulteriore elemento di stimolo. Del resto la nascita del progetto “Agenda Digitale” è recentissima, così come è attesa nel breve periodo l’uscita del decreto “Digitalia”.

Sempre appassionato e interessante l’intervento del Prof. Perego, responsabile dell’Osservatorio, così come gli esempi concreti portati dalle Aziende, grandi e PMI, che hanno adottato queste soluzioni, che -come ben ricordato in molti interventi- non hanno alcun limite tecnologico nella loro realizzazione, e neppure giuridico, semmai esistono freni a livello culturale.

Da menzionare l’intervento della Prof. Finocchiaro, che ho avuto modo di conoscere personalmente in occasione del recente convegno sulla sicurezza dei dati nel mondo sanitario, e di salutare nuovamente qui. In questa occasione ha riassunto gli aspetti normativi e la valenza probatoria degli strumenti di firma alternativi a quella scritta (Firma Elettronica, FE Avanzata, FE qualificata e FE Digitale), e quindi il valore del “documento informatico” nelle recenti sentenze.

Certamente curioso, e il pubblico l’ha sottolineato con evidenti reazioni, il messaggio arrivato durante l’intervento di Piancaldini, dell’Agenzia delle Entrate: il decreto è ormai pronto da tempo e già sul tavolo del Ministro. Se ancora non è firmato “è per una volontà politica”. In tempi di governi tecnici non mi è proprio chiaro, comunque è certo che l’obbligo al passaggio verso la fatturazione elettronica vs la PA costituisca il più forte stimolo al cambiamento delle modalità attuali di gestione del ciclo dell’ordine, attivo e passivo, per arrivare ad un’effettiva dematerializzazione.

Maggiori dettagli qui.

Blog, notizie, Seminari

Master universitario di II livello in Criminologia Forense MA.CRI.F.

Università LIUC, Castellanza (VA), 28 aprile 2012 – Oggi ho tenuto una lezione al Master Ma.Cri.F. Ho parlato innanzitutto del valore della prova scientifica nel processo,  ovviamente dal punto di vista del Consulente Tecnico di parte, ma facendo un interessante percorso sul problema della demarcazione, sulla logica matematica, sull’inferenza Bayesiana e sull’interpretazione della prova scientifica.

Poi ho affrontato vari casi, attraverso gli atti disponibili, gli approfondimenti, le perizie e le consulenze. Una full immersion, con molti riferimenti alla Digital Forensics ‘sul campo’. E’ sempre molto stimolante venire qui, dove operano docenti di cui ho grande considerazione.  Per maggiori dettagli sul Master il link è qui.

Blog, computer forensics, notizie, Seminari

Atti del convegno su “Rete, dati clinici e pirateria informatica: metodologie e best practice”

Il 19 aprile 2012 si è tenuto il convegno in titolo, in cui c’è stata anche la mia partecipazione come relatore. E’ stato davvero molto interessante, sia per l’alto livello dei vari relatori che per i contenuti: l’argomento, quanto mai attuale e stimolante, è stato affrontato davvero sotto tutti i punti di vista.

Presso il sito dell’ospedale Sacco è possibile trovare tutti gli atti del convegno, comprese le mie slide. Per chi fosse interessato, questo è il link.

[aggiornamento ott 2012] Il sito dell’Ospedale Sacco è stato oggetto di un completo restyling, a valle del quale non sono più disponibili tutti gli interventi del convegno. Nella sezione download sono quindi a disposizione le mie slide e la locandina dell’evento.

Blog, privacy, Seminari, sicurezza informatica

Rete, dati clinici e pirateria informatica: metodologie e best practice

Il 19 aprile 2012, presso l’Azienda Ospedaliera “Luigi Sacco” di Milano, si terrà il convegno dal titolo in oggetto. Sono stato contattato e invitato a tenere un intervento, e con grande piacere ho accettato l’iniziativa. Il titolo del mio intervento è: “I rischi legati alla gestione informatica del dato: il furto dei dati e altri possibili reati informatici“, in cui tratterò, in modo trasversale, la sicurezza informatica dei dati sensibili e illustrerò un’ampia carrellata di casi reali cercando di focalizzare l’attenzione sul particolare ambito dei dati sanitari.

Il tema del Convengo è questo: “La progressiva digitalizzazione dei dati sanitari rende gli stessi sempre più fruibili da parte degli operatori, con indubbi vantaggi per i pazienti e per i processi di cura.

La costituzione di un Fascicolo Sanitario Elettronico è ormai un risultato raggiungibile a cui tutte le strutture sanitarie stanno contribuendo.

Nello stesso tempo la possibilità di memorizzare, accumulare e trasmettere grandi quantità di da-ti aumenta i rischi di accessi im-propri agli stessi, di utilizzi non autorizzati o fraudolenti e di fughe ascrivibili non solamente al dolo, ma anche e più frequente-mente alla imperizia o alla legge-rezza di comportamento degli utenti.

La locandina dell’evento è disponibile qui.

Blog, Seminari

Aspetti Tecnici e normativi degli apparati infotelematici per i giochi d’azzardo

Sul numero 1, anno 2012, della rivista “Sicurezza e Giustizia” è pubblicato un articolo che ho scritto sul tema dei giochi con vincite in denaro di tipo ‘infotelematico’.

Questa tipologia di gioco si sta diffondendo in modo molto rapido, grazie all’impulso dato dai decreti legislativi che ne hanno permesso, e regolamentato, la crescita.

Poiché l’attività normativa è molto fitta, le tipologie di gioco molto eterogenee, i criteri tecnici molto stringenti e in generale non è agevole districarsi in questo ambito, l’articolo si pone come obiettivo quello di costituire un punto di partenza per chi è interessato a capire meglio questo campo.

Sono infatti citati, e spiegati, sia i riferimenti normativi principali che quelli tecnici specifici. Oltre alla possibilità di leggerlo sulla rivista, ho messo a disposizione il pdf nella sezione ‘download‘.

 

 

Blog, normative, notizie

Uscito il numero 1, anno 2012, della rivista “Sicurezza e Giustizia”

E’ stato pubblicato il numero 1  della rivista “Sicurezza e Giustizia”, periodico d’aggiornamento professionale tecnico, giuridico e culturale.

Sicurezza e Giustizia è il primo periodico che affronta in modo professionale il delicato tema della Lawful InterceptionComputer Forensics e Mobile Forensics. Accanto a questi, gli argomenti sono ricondotti ai classici temi di aggiornamento professionale: Giurisprudenza, Legislazione, Normativa.

Anche questo numero è ‘denso’ di contenuti: 60 pagine totali. L’abbonamento è gratuito per il target Istituzionale (la Pubblicazione Amministrazione in genere, rappresentanti delle Forze dell’Ordine, Procure della Repubblica, Questure e Prefetture, ecc.).

Per i privati è possibile l’abbonamento a pagamento, e se si è iscritti ad un ordine professionale è possibile avere il 30% di sconto.

Si può comunque leggere la rivista on line sul sito: se si clicca l’immagine si accede direttamente alla pagina di consultazione.

Blog, notizie

Trattamento dei dati personali: proposta di riforma dall’UE

A valle della presentazione informale del Commissario Reding, il 25.2.2012 è stata diffusa dalla Commissione Europea una proposta di riforma dell’attuale normativa del 1995 sulla protezione dei dati, con l’obiettivo di rafforzare il diritto alla privacy, mettere ordine tra le regole adottate in modo differente tra gli Stati membri e stimolare la crescita della cosiddetta ‘economia digitale’ (digital economy).

L’iniziativa è partita da un recente studio sulla percezione in merito alla protezione dei dati, che ha rivelato come:

  • 2 europei su 3 sono preoccupati che le Aziende condividano i loro dati personali senza il loro permesso;
  • 9 europei su 10 vogliono che in Europa ci siano gli stessi diritti sulla protezione dei dati.

La proposta, i cui dettagli sono disponibili qui, prevede come punti cardine:

  • un corpus unico di norme per l’UE: il nuovo codice avrà validità per tutti i Paesi membri dell’Unione, semplificando e riducendo gli oneri delle aziende;
  • l’incremento della responsabilità per le Aziende: dovranno notificare ai propri clienti di ogni furto o diffusione accidentale dei dati personali, entro 24 ore dalla rilevazione del fatto;
  • il consenso all’utilizzo dei dati personali: dovrà essere sempre richiesto in modo esplicito, non è contemplato il concetto di presunzione sul consenso;
  • il diritto alla portabilità dei dati: gli utenti avranno sempre la possibilità di avere accesso ai proprio dati personali e saranno in grado di trasferirli ad un altro fornitore di servizi in modo più semplice;
  • il diritto all’oblio: le persone saranno in grado di ottenere la cancellazione dei dati personali su richiesta e quando un’organizzazione o azienda non ha più ragioni legittime per mantenerli;
  • una nuova figura di “Data Protection Officer”: dovrà essere designato questo ruolo di responsabilità per le aziende con più di 250 dipendenti, e in quelle coinvolte in attività che per natura o scopo presentino specifici rischi per i diritti e le libertà individuali (risky processing);
  • l’istituzione dell’Autorità Nazionale per la protezione dei dati: le persone potranno coinvolgere l’Autorità di protezione dei dati Nazionale del proprio Stato, anche quando i loro dati sono mantenuti da un’azienda che ha base al di fuori dell’Unione Europea;
  • l’introduzione del concetto di “privacy by design”: si tratta di un principio che dovrà essere introdotto già nelle fasi di pianificazione dei sistemi e delle procedure, al fine di garantire che siano adottate le opportune protezioni per la salvaguardia dei dati;
  • l’introduzione del “Data Protection Impact Assessment”: obbligo, per le organizzazioni che operano nei ‘processi a rischio’ in tema di privacy, di eseguire uno specifico accertamento.
La proposta prevede anche un capitolo specifico relativo alla protezione dei dati personali nell’ambito della cooperazione giudiziaria per la prevenzione e l’indagine sui crimini, e di facilitare lo scambio dei dati personali fra polizia e autorità giudiziarie degli Stati membri, per mezzo di una specifica Direttiva che consentirà di:
  • applicare principi generali di protezione dei dati alla collaborazione tra autorità giudiziarie nel rispetto della specifica natura di questi dati;
  • fornire criteri e condizioni coerenti sulle limitazioni alle regole generali, tenendo conto in particolare dei diritti individuali ad essere informati quando la polizia o le autorità giudiziarie accedono o utilizzano i relativi dati;
  • stabilire regole per le specifiche attività di polizia, compresa la distinzione fra le differenti categorie di soggetti i cui diritti possono essere differenti (come per esempio tra testimoni e sospettati)
Vista la portata della riforma, già si rilevano reazioni e opinioni contrastanti in merito, tra chi sostiene che i nuovi obblighi introducano oneri troppo pesanti per le aziende, contrastandone la possibile crescita nel mercato digitale, e chi al contrario ne invoca la rapida attuazione a maggiore tutela degli individui.
E’ tuttavia da sottolineare come questa è una proposta: le nuove norme sulla privacy europea dovranno essere approvate dal parlamento e poi ratificate dai singoli stati membri entro i prossimi 2 anni.

Blog, normative, notizie

AGCOM: nuova Direzione Servizi Postali

Dal 25 gennaio 2012 è operativa la Direzione Servizi Postali dell’Autorità per le Garanzie nelle Telecomunicazioni, a seguito delle funzioni trasferite con il DL 6.12.2011.

Il comunicato della stessa Autorità precisa che la Direzione “opererà a 360° nel campo della regolazione e della vigilanza sui servizi postali, con particolare attenzione alla qualità del servizio universale, alla segnalazione di eventuali disservizi e, in generale, alla tutela di consumatori e utenti“.

Ci attendiamo quindi che nel prossimo futuro gli utenti dei servizi postali potranno trovare un importante riferimento per queste tematiche specifiche, come già da tempo è per i servizi di telecomunicazioni.

In merito alle telecomunicazioni, infatti, l’AGCOM è sempre stata molto attiva nella definizione e regolamentazione dei prodotti, servizi, modalità di fruizione e gestione dei contenziosi. A tal proposito si cita la guida ai servizi di comunicazione elettronica, redatta dall’AGCOM e messa a disposizione degli utenti per “conoscere i propri diritti e le regole previste dall’Autorità per tutelarli“.

Blog, notizie

Ddrescue per newbie

Capita di tanto in tanto che un amico ti chieda come tentare il recupero di un disco improvvisamente illeggibile, oppure un collega ti chiama per un computer che non parte più e non sa come recuperare i dati. Per chi vuole la massima garanzia di recupero dei dati, perché magari legati al business o estremamente importanti per motivi affettivi, la soluzione migliore è affidarsi ad una ditta specializzata, in grado, dove necessario, di intervenire sull’hardware. I prezzi di questi interventi sono infatti, negli ultimi anni, diminuiti drasticamente.

Per chi volesse tentare il recupero “in casa”, a suo rischio e pericolo, l’operazione da effettuare è tutto sommato abbastanza banale. La maniera più semplice di farla è di collegare il disco illeggibile da windows ad un sistema Ubuntu e utilizzare una variante smart di dd, con l’ovvia cautela di non confondere nei parametri della linea di comando il device sorgente (contenente i dati da recuperare) con quello di destinazione (dove salvare la copia)… in caso di errore infatti, non ci sarà più niente da fare per i dati persi. Non a caso qualcuno sostiene, scherazando, che il vero significato della sigla dd sia “Destroy Disk” oppure “Delete Data” 😀

Per chi non avesse una postazione con Ubuntu pre-installato, va benissimo una versione live scaricabile da qui, utilizzabile su qualsiasi PC senza lasciare traccia e quindi senza fare danni.

Tra le molte varianti di dd, io di solito consiglio a chi non ha interessi forensi, la GNU ddrescue, perché è facile ed ha alcune caratteristiche interessanti. Quella più apprezzabile è un utilizzo smart del log file che consente di interrompere le operazioni in qualsiasi momento, tenere traccia degli errori di accesso al disco sorgente ed implementare politiche di lettura “progressivamente aggressive”. Un disco che cominci a dare problemi di lettura è infatti un oggetto potenzialmente delicato, da trattare con attenzione e che magari non lascia a disposizione molti tentativi prima di rivelarsi definitivamente illeggibile. Tenendo conto di questo è quindi possibile decidere di effettuare una prima lettura “cauta”, tenendosi il più possibile lontani da settori che si rivelino illeggibili in modo da recuperare il più possibile dei dati non corrotti. Una volta recuperato il grosso, si può quindi ritornare sui settori incriminati, riducendo la dimensione del block size in lettura, tentando di restringere, per quanto possibile, l’ampiezza delle zone non lette.

I parametri di GNU ddrescue sono molti e sono descritti qui. Per chi non avesse voglia di leggerseli tutti, uno script buono per la maggior parte delle esigenze è il seguente:

#!/bin/sh
ddrescue -n /dev/SOURCE /DEST_MOUNT_POINT_OR_DEVICENAME/NOME_OUTPUT_FILE.dd NOME_OUTPUT_FILE_log_ddrescue.txt
ddrescue -d -r3 /dev/SOURCE /DEST_MOUNT_POINT_OR_DEVICENAME/NOME_OUTPUT_FILE.dd NOME_OUTPUT_FILE_log_ddrescue.txt

Buon divertimento!

Blog, computer forensics