Nel mondo dell’informatica forense, la corretta acquisizione dei dati digitali rappresenta uno dei passaggi più delicati e cruciali, essendo questo anche richiesto dalla Normativa vigente in termine di integrità dei dati. Quando si ha la necessità di analizzare un supporto di memoria sospettato di contenere prove digitali, è fondamentale assicurarsi che tali dati non vengano alterati in alcun modo e che la copia dei dati effettuati rispecchino integralmente l’originale. Ecco che entrano in gioco i duplicatori forensi, strumenti pensati per creare la copia forense di dispositivi di memoria, garantendo l’integrità e la non modificabilità del contenuto originale.

Perché è importante duplicare un dispositivo

Nel contesto di un’indagine giudiziaria o di un’analisi tecnica, è essenziale lavorare su una copia dei dati, non sull’originale. Questo principio è alla base della metodologia forense e risponde a due esigenze fondamentali: preservare la prova e garantire la ripetibilità dell’analisi. Qualsiasi modifica accidentale all’originale potrebbe compromettere l’intera indagine, invalidando potenzialmente le prove raccolte.
L’utilizzo di un duplicatore forense consente di creare una copia bit-a-bit, anche chiamata immagine forense, che rispecchia perfettamente ogni singolo bit del supporto originale, compresi i settori non allocati, le aree nascoste e lo spazio slack.

Cosa sono i duplicatori forensi

I duplicatori forensi sono dispositivi hardware progettati specificamente per acquisire copie forensi di dischi rigidi, SSD, chiavette USB e altri supporti digitali. A differenza dei tradizionali strumenti di clonazione, questi apparecchi operano in modalità “write-blocking”, ovvero impediscono qualsiasi tipo di scrittura sul dispositivo sorgente. Questo garantisce che il contenuto originale rimanga completamente inalterato durante l’acquisizione.

Molti duplicatori forensi offrono funzionalità avanzate come la verifica automatica dell’hash (MD5, SHA-1, SHA-256), il supporto a più formati di file system, la creazione simultanea di più copie, e la possibilità di generare report dettagliati dell’intera procedura di duplicazione.
Tra i modelli più diffusi nel settore vi sono quelli prodotti da aziende come Logicube, Tableau (ora parte di OpenText), e Atola, solo per citarne alcuni.

Come funziona un duplicatore forense

Il funzionamento di un duplicatore forense può sembrare semplice a prima vista, ma è frutto di un complesso insieme di tecnologie e accorgimenti pensati per tutelare la validità legale della prova acquisita.

Il dispositivo si collega sia al supporto originale (sorgente) che a uno o più dispositivi di destinazione (target). Una volta avviata la procedura, il duplicatore legge in maniera sequenziale tutti i settori del disco sorgente e li copia esattamente sul disco di destinazione. Durante questo processo, viene calcolato un valore hash del contenuto originale e confrontato con l’hash della copia: se i due valori coincidono, si ha la certezza matematica che i dati siano identici.
Il vantaggio dei duplicatori forensi è quello di non impiegare computer durante questo genere di attività, di essere (in linea teorica) più rapidi e di poter copiare su più destinazione i dati, producendo più copie forensi contemporaneamente.
Alcuni modelli più sofisticati permettono anche l’acquisizione selettiva dei dati, l’analisi dei file cancellati o nascosti e l’esportazione dei log in formati compatibili con i principali software di analisi forense.

Duplicatori hardware e software

I duplicatori hardware sono dispositivi fisici dedicati, progettati specificamente per effettuare copie bit-a-bit dei supporti di memoria, isolando completamente la sorgente da qualsiasi possibilità di scrittura. Questi dispositivi lavorano in modalità write-blocking (di cui abbiamo parlato qui) a livello elettronico, garantendo una protezione intrinseca del dato originale.
Oltre alla loro robustezza, vantano alte prestazioni in termini di velocità di acquisizione e stabilità, risultando ideali per attività in laboratorio, perizie su larga scala o in scenari dove è richiesto un elevato standard di affidabilità e documentazione. Inoltre, molti modelli sono certificati secondo standard internazionali, rendendoli particolarmente adatti per l’utilizzo in ambito giudiziario.

I duplicatori software, invece, sono soluzioni applicative che operano all’interno di un sistema operativo. Programmi come FTK Imager, Guymager o EnCase offrono la possibilità di creare immagini forensi direttamente da un sistema informatico, anche in ambienti live.
Questi strumenti sono particolarmente utili quando si ha la necessità di operare in mobilità o quando non si dispone di un duplicatore hardware. Tuttavia, poiché il software opera all’interno del sistema operativo, è cruciale che vengano adottate misure tecniche per evitare qualsiasi scrittura sul supporto sorgente, ad esempio utilizzando dispositivi write-blocker esterni certificati.