INFORMATICA FORENSE · CYBER-MED
Impronta hash: cosa verifica e cosa non dimostra.
Confrontare l’integrità dei dati è una parte dell’analisi. Provenienza, autore e significato del contenuto richiedono contesto e verifiche ulteriori.
Un valore calcolato sui dati
Il glossario NIST definisce l’hash come il risultato dell’applicazione di una funzione hash ai dati. Nel lavoro forense le impronte possono essere calcolate su dati acquisiti e copie di lavoro per effettuare confronti di integrità. La guida NIST SP 800-86 descrive questo impiego nel percorso di raccolta e verifica delle informazioni.
Un confronto va descritto: quali dati sono stati letti, quale algoritmo è stato utilizzato e quali operazioni sono state registrate. L’impronta riguarda i dati su cui è stata effettivamente calcolata; non riassume automaticamente tutto ciò che esiste su un dispositivo.
Un esempio semplice, senza un caso reale
Immaginiamo un documento fittizio e una sua copia. Dopo una modifica al file, un confronto può rilevare un’impronta differente. A parità di algoritmo, impronte diverse indicano dati diversi: il risultato aiuta a individuare una differenza, ma non spiega da solo chi l’abbia prodotta o perché.
Impronte uguali supportano il confronto di integrità quando algoritmo e procedura sono adeguati. Non certificano che quanto è scritto nel documento sia vero, né escludono modifiche avvenute prima della prima acquisizione.
Dal confronto alla relazione
La distinzione è pratica: l’hash risponde a una domanda tecnica sui dati confrontati. Per ricostruire provenienza, autore o sequenza degli eventi occorrono altre evidenze e un’analisi del contesto. La relazione deve rendere comprensibile il passaggio tra ciò che è osservato e ciò che viene interpretato.
- Identificare le sorgenti, le copie e il perimetro del confronto.
- Documentare metodo, algoritmo e risultati delle verifiche.
- Esplicitare quali conclusioni sono supportate e quali aspetti restano da accertare.
Partire dal quesito
Per un primo confronto con Cyber-Med descrivi il quesito e le sorgenti disponibili. Le modalità di acquisizione e trasferimento vengono concordate in funzione dell’incarico: nel messaggio iniziale non servono reperti o documenti riservati.
Fonti e approfondimenti
NIST SP 800-86 — Raccolta e integrità dei dati, sezioni 3.1.2 e 4.2.2
Fonti consultate il 14/10/2026. SP 800-86 è una guida del 2006, usata qui per il principio metodologico del confronto e della documentazione, non per scegliere algoritmi attuali o definire regole processuali italiane. L’esempio è fittizio; le considerazioni su contesto e limiti sono una spiegazione divulgativa Cyber-Med.
Scopri il servizio Cyber-Med ↗
Il tema in 35 secondi
Video divulgativo senza audio, con testi italiani a schermo. Sottotitoli e trascrizione in italiano e inglese.
Leggi la trascrizione
- 00:00–00:07 Un’impronta. Non tutta la storia. L’hash aiuta a confrontare i dati. Da solo non identifica l’autore é dimostra la verità del contenuto.
- 00:07–00:14 Quali dati stiamo confrontando? Registrare file, algoritmo e operazioni del confronto. L’impronta dipende dai dati letti.
- 00:14–00:21 La copia è cambiata? Esempio fittizio: un file modificato. Impronte diverse, con lo stesso algoritmo, indicano dati diversi.
- 00:21–00:28 Chi? Quando? In quale contesto? Queste domande richiedono altre evidenze e verifiche. Il solo hash non dà la risposta.
- 00:28–00:35 Dati, metodo e limiti espliciti. Una relazione spiega il confronto e ciò che resta da accertare. info@cyber-med.it
Guarda il carosello: 5 schede
