Come dimostrare che un file è originale per il tribunale

Quando ci si trova nella necessità di capire come dimostrare che un file è originale per tribunale, la prima cosa da chiarire è un malinteso diffuso: nessuno strumento tecnico, per quanto sofisticato, può stabilire in modo assoluto e automatico la "proprietà legale" o la "verità sostanziale" di un contenuto digitale. Quello che la tecnologia forense può fare, e fa con estrema precisione, è documentare l'identità matematica di un file in un determinato momento, estrarre ogni traccia tecnica che lo compone e fornire una prova crittograficamente inattaccabile sul fatto che quel file non è stato alterato dalla sua prima analisi. In ambito legale, dimostrare l'originalità significa costruire una catena di prove tecniche inequivocabili che il giudice o il perito di parte possono verificare in modo indipendente. Questo processo si fonda su tre pilastri: l'estrazione e la conservazione dei metadati, il calcolo delle impronte digitali crittografiche (hash) e la produzione di una documentazione professionale, cronologicamente inoppugnabile, che attesti ogni passaggio. Un servizio come FilesAudit è progettato esattamente per automatizzare questa catena, trasformando un file opaco in un report tecnico trasparente e verificabile.

Il concetto di impronta digitale di un file è probabilmente il cuore concettuale e pratico di qualsiasi verifica forense informatica. Quando si elabora un file attraverso un algoritmo di hashing come lo SHA-256, si ottiene una stringa alfanumerica di lunghezza fissa che riassume matematicamente ogni singolo byte del file. Se anche un solo bit del documento, della foto o del video venisse modificato in seguito, l'hash risultante sarebbe completamente diverso, senza alcuna possibilità di coincidenza casuale. Per un tribunale, confrontare due hash SHA-256 significa poter affermare con certezza assoluta, e non con un semplice livello di probabilità, se due file sono copie byte-a-byte perfette l'una dell'altra o se uno dei due è stato manomesso. Accanto allo SHA-256, l'analisi include quasi sempre anche il calcolo degli hash MD5 e dei codici CRC32. Sebbene l'MD5 sia storicamente considerato meno sicuro per resisting a collisioni crittografiche intenzionali rispetto allo SHA-256, in ambito forense rimane uno standard universale di catalogazione, poiché consente di interrogare database internazionali di file noti e di integrarsi con procedure peritali storiche già consolidate.

Per capire concretamente come si presenta questa documentazione in un contesto processuale, immaginiamo una controversia legale in cui un'azienda accusa un ex dipendente di aver sottratto progetti CAD originali per portarli a un concorrente. L'azienda possiede una copia del file su un server di archiviazione risalente a sei mesi prima, mentre il file trovato sul computer del dipendente ha una data di modifica nel file system molto più recente. Portare i file in tribunale senza un'analisi tecnica non serve a nulla, poiché le date del sistema operativo possono essere alterate con un semplice comando. La procedura corretta prevede l'invio di entrambi i file a un sistema di analisi imparziale come FilesAudit, che estrarrà i metadati tecnici nascosti all'interno della struttura del file stesso — metadati che i software di creazione scrivono in modo permanente e che non dipendono dal sistema operativo o dalle date di Windows. Il report PDF generato mostrerà la data di creazione effettiva registrata dal software CAD, l'identificativo dell'utente o della licenza software che ha generato il file, e soprattutto l'hash SHA-256 di entrambe le versioni. Se l'hash coincide, si dimostra matematicamente che il file sul computer del dipendente è la copia esatta del progetto originale aziendale, indipendentemente da come è stato rinominato o da quali date di sistema operativo gli sono state apposte.

Un altro scenario estremamente comune riguarda le dispute su fotografie, dove si spesso richiede di provare la paternità di uno scatto o di smentire la manipolazione di un'immagine presentata come prova. Le immagini digitali, dai classici JPEG ai moderni formati HEIC, racchiudono spesso una quantità sorprendente di informazioni incorporate al loro interno. I metadati EXIF possono includere il modello esatto della fotocamera dello smartphone, il numero di serie del corpo macchina, i parametri dell'ottica, l'apertura del diaframma, la velocità dell'otturatore, e crucialmente, le coordinate GPS geografiche in cui la foto è stata scattata. I metadati XMP e IPTC possono contenere invece informazioni di copyright incorporate dall'autore al momento della pubblicazione o dell'esportazione. Estrazione di questi dati è fondamentale: in una causa per violazione di copyright, dimostrare che l'immagine presentata dalla controparte contiene ancora i metadati originali con il nome del fotografo legittimo, o che l'immagine rivendicata possiede coordinate geografiche coerenti con le dichiarazioni rese in audizione, costituisce una prova tecnica di grande spessore. Al contrario, se un perito dimostra l'assenza totale di metadati EXIF o la presenza di tracce di software di fotoritocco negli XMP, l'originalità della foto viene fortemente compromessa. Per approfondire le dinamiche specifiche di questo formato, è possibile consultare la guida dedicata ai metadati JPG, che spiega nel dettaglio cosa cercare durante un'indagine forense su immagini fotografiche.

L'aspetto dei metadati come "tracce digitali" va approfondito perché rappresenta spesso il discrimine tra un file originale e uno contraffatto. Bisogna tuttavia fare chiarezza su un limite tecnico fondamentale: l'estrazione dei metadati dimostrano cosa il file dichiara di essere, ma non è una garanzia assoluta di verità storica, poiché alcuni metadati possono essere rimossi o alterati con strumenti specializzati. Tuttavia, proprio per le leggi della fisica digitale, ogni tentativo di modifica lascia a sua volta nuove tracce. Quando un file viene riconvertito, elaborato o "ripulito", il software utilizzato scrive quasi sempre nuove firme all'interno del file, modificandone la struttura interna. Un documento Word originale conterrà metadati specifici di Microsoft Office, come l'identificativo univoco del documento (GUID), l'autore registrato, i tempi totali di modifica e la cronologia delle revisioni. Se qualcuno copia il testo in un nuovo documento per nascondere l'origine e poi lo esporta in PDF, i metadati del PDF mostreranno il software di conversione utilizzato e l'orario esatto di questa operazione, smentendo l'ipotesi che si tratti del documento originale. Per controversie che coinvolgono contratti, testamenti o documenti aziendali, la guida ai metadati PDF offre una panoramica essenziale sui campi nascosti che i documenti portano con sé e che raramente vengono puliti in modo completo dai neofiti della contraffazione.

Con la diffusione dell'intelligenza artificiale generativa, la questione dell'originalità e della paternità dei contenuti digitali si è ulteriormente complicata, introducendo la necessità di verificare la provenienza di un'immagine o di un video. Oggi esistono standard aperti come il C2PA, progettati proprio per incorporare firme crittografiche e catene di provenienza direttamente all'interno dei file multimediali, registrando quale strumento o quale modello di intelligenza artificiale ha generato o modificato il contenuto. Sebbene non tutti i file contengano ancora queste informazioni di provenienza crittografata, la loro assenza o presenza costituisce un elemento di prova sempre più rilevante davanti a un giudice. Se una fotografia presentata come prova storica reale contiene metadati C2PA che certificano la generazione avvenuta tramite un modello di IA, l'intera prova crolla matematicamente. D'altra parte, per un fotografo professionista che utilizza macchinari di ultima generazione, dimostrare l'esistenza di una catena di provenienza C2PA intatta fino al momento dell'acquisizione forense può essere la prova definitiva che l'immagine non è stata generata artificialmente o ritoccata con software di sintesi. Approfondire tematiche come le spie tecniche dell'intelligenza artificiale è oggi parte integrante del lavoro forense, come illustrato nel focus sulla verifica delle foto generate dall'IA, dove si espongono i metodi pratici per svelare la natura sintetica di un'immagine.

Un settore in cui l'analisi dei metadati e degli hash assume una valenza quasi vitale è quello dei formati video, audio e degli archivi compressi. I file multimediali come MP4 o MOV, ad esempio, registrano nei loro metadati tecnicismi cruciali come il codec video utilizzato, il bitrate, la risoluzione di acquisizione, il frame rate e spesso il dispositivo di ripresa. Quando si tratta di intercettazioni telefoniche, registrazioni ambientali o video di sorveglianza, un'analisi dei metadati audio come la guida ai metadati WAV può rivelare il software di registrazione, la data diRendering e la catena di montaggio del file audio, che sono dettagli che differiscono sensibilmente tra una registrazione originale non compressa e un file manipolato o rimontato da un editor audio. Per quanto riguarda gli archivi compressi, come i file ZIP o RAR, la questione si complica per il fatto che la compressione e l'estrazione alterano in modo radicale i timestamp del file system. Modificare un file all'interno di uno ZIP e ricomprimere l'archivio non solo cambierà radicalmente l'hash complessivo dell'archivio, ma lascerà tracce nei metadati interni dell'archivio stesso, aggiornando le firme di compressione e i timestamp di scrittura. Approfondimenti su come verificare se un file ZIP è stato alterato sono fondamentali nei casi di consegna di documentazione probatoria in blocco, specialmente quando l'integrità degli archivi è un requisito contrattuale.

La procedura di acquisizione forense deve avvenire il prima possibile dall'evento per cementare l'evidenza digitale. Il momento in cui si calcola l'hash di un file e lo si registra all'interno di un report PDF dotato di timestamp, si sta creando un punto di non ritorno matematico. Da quel momento in poi, chiunque può prendere il file e generare un nuovo hash in qualsiasi momento: se corrisponde a quello riportato nel documento originale, si dimostra inconfutabilmente che il file non è mai stato alterato dal momento della prima