Massimiliano mi autorizza a pubblicare un test di Informatica Forense (traduzione di Computer Forensics) che ci ha sottoposto qualche tempo fa. Da questo test ne è poi scaturita una discussione ricca di considerazioni sulla priorità tra strumenti e competenza (o intuito professionale, se vogliamo dare un altro nome).

Il test viene con la soluzione, quindi non si vince nulla, è solo un utile esercizio. La soluzione, che ho trovato per primo (fatemi vantare un po’ ogni tanto…) mi ha fruttato un piccolo dispositivo per l’analisi delle sim card offerto da IISFA.

Questa la storia, al solito totalmente inventata:
Il file da analizzare è questo, l’unica digital evidence disponibile per le indagini: è una e-mail intercettata, si teme possa nascondere un messaggio in codice relativo ad un imminente attacco terroristico. I sospettati usano un metodo non convenzionale per nascondere i dati. Il file cifrato con 256 AES e non c’e’ il tempo di forzare la password con un attacco brute force!

Lo scopo è rilevare il messaggio nel più breve tempo possibile, ed ovviamente la procedura deve essere documentata e ripetibile.

Per la soluzione e le considerazioni basta continuare a leggere il resto.

Il messaggio è:

Secret Mission:

Make a kamikaze attack on 24 Sept at 11.00 in the same instant in

1) Churc S.Phelipe
2) Vatican Bank Office in S.Peter
3) Vatican Museum
4) Churc S.Lazarus

The explosive is ready in Mullah Saddam in Milan MIC.

Osama Bin Laden

Procedura per arrivare al messaggio:

  1. Nel file ZIP c’è un messaggio e-mail salvato nel formato di Outlook.
  2. il messaggio ha due allegati: una immagine ed un file compresso con WinZip versione >=9 che possiede la cifratura AES256, incompatibile con tutti gli altri compressori (pkunzip e unzip di Linux terminano con un errore: unsupported compression method 99).
  3. i 4 numeri nel messaggio sono da interpretare come coppie di coordinate nella foto. A quelle coordinate c’è nascosto un messaggio fra le parole “by” e “Night” che è proprio la password necessaria ad aprire il file compresso con WinZip:

    babbati1550356tucayai

  4. Il file compresso e cifrato con WinZip è un file di testo semplice con il messaggio riportato sopra.

La password nascosta nell’immagine
Qui potete vedere un ingrandimento della zona dell’immagine dopo l’applicazione del filtro “sharpen” con indice 80 in Gimp.

Considerazioni

La lunghezza della password (21 caratteri) dimostra a posteriori che qualsiasi tentativo di attacco brute force è destinato a fallire miseramente, ed a maggior ragione in questa situazione in cui una decifrazione ottenuta in data successiva a quella degli ipotetici attentati è del tutto inutile.

L’applicazione dei classici tool tipo stegdetect all’immagine non fornisce risultati utilizzabili, o non li fornisce del tutto, a dimostrazione del fatto che i tool sono utili quando il problema che ci si trova ad affrontare è stato già risolto almeno una volta. Qualcosa di simile al problema degli antivirus, che riconoscono solo i virus noti.

Nell’immaginario mediatico il bravo investigatore forense apre il suo notebook (ultimo modello con uno schermo da 30″) e esegue uno dopo l’altro i tool furbissimi e velocissimi sul file da lavorare, per arrivare in pochi secondi al risultato. Scene come questa abbondano in telefilm noti e meno noti appartenenti al genere. E’ simile alla tipica rappresentazione dell’hacker (da strapazzo, lo aggiungo io) che per essere assunto viene messo davanti al portale di accesso di una qualche agenzia governativa di sicurezza nazionale e con la pistola alla tempia deve irrompere nel sito in un minuto o finisce impallinato (in una pellicola non troppo recente c’era anche una signora che provvedeva ad aggiungere una ulteriore “distrazione”…).

Non è per niente così. Se si procede alla cieca si perde tantissimo tempo, e si imboccano strade senza uscita. E quando ci si trovi davanti ad una situazione nuova, qualsiasi tool si rivelerà di poco aiuto, al più potrà servire per escludere soluzioni note. E non è solo questione di trovare il tool giusto, altrimenti sarebbe sufficiente acquistare qualsiasi cosa sia disponibile sul mercato per diventare infallibili: sarebbe come pretendere di essere un grande programmatore solo per avere acquistato un supercomputer e tutti gli strumenti di sviluppo disponibili.

Per ultimo, non meno importante del resto, si deve riflettere su questo: il prodotto delle indagini finisce spesso, se non sempre, in una aula di tribunale, e qui le regole sono ben diverse. Non vince il più bravo, o il più dotato, ma il più tenace, quello che meglio conosce i meccanismi della giustizia e della legge.

Arrivare in aula con un risultato, senza la procedura ripetibile per ottenerlo, significa far escludere del tutto la prova, vanificando molto spesso non solo il proprio lavoro.

Un aspetto del tutto ignorato è il fatto che occorre saper scrivere in italiano corretto, con uno stile chiaro e conciso. Una splendida analisi che porta alla scoperta di prove importantissime, corredata da una relazione scritta in modo incomprensibile o passibile di più interpretazioni diventa un’arma a doppio taglio, o un boomerang. Niente spazio a speculazioni e tecnicismi, niente sfoggio di gergo incomprensibile che fa tanto hacker, ma diventa controproducente in un ambiente non informatico.

Per ora chiudo qui. I commenti sono sempre aperti alle vostre considerazioni.