1. Che cosa è VERIDICA e che cosa non è
VERIDICA è un'estensione del browser che acquisisce in modo documentato ciò che il browser mostra a un dato indirizzo, in un dato momento, con la sessione con cui l'operatore è collegato. Di ogni file conservato calcola l'impronta SHA-256, annota l'orario e il metodo e produce un referto che dichiara che cosa è stato acquisito, come, e che cosa non è stato acquisito e perché.
Il principio che governa ogni modulo è l'onestà del referto: VERIDICA non completa, non ricostruisce e non stima nulla che non abbia visto. Quando un contenuto non è ottenibile (un video protetto, un commento disponibile solo con l'accesso, un allegato scaduto) il referto lo dice con le parole esatte, e la mancanza fa parte della prova.
Che cosa non fa
- Non aggira protezioni, DRM o blocchi di accesso. Non accede a contenuti che la sessione dell'operatore non può vedere.
- Non modifica i contenuti pubblicati. L'unica interazione con la pagina è premere i comandi già presenti («mostra altro», «visualizza altri commenti», scorrimento), ed è dichiarata.
- Non scrive, non invia messaggi, non mette «mi piace», non segna come letto (su Telegram la lettura avviene dal modello dati senza marcare nulla; su WhatsApp Web l'apertura della conversazione è quella che farebbe l'operatore e viene dichiarata).
- Non trasmette nulla al produttore: non esiste un server VERIDICA. Tutti i file finiscono nella cartella Download del computer dell'operatore.
- Non attesta la permanenza di un contenuto sul server della piattaforma, né la sua autenticità all'origine: attesta che quel contenuto era mostrato al browser in quel momento.
2. Installazione e primo avvio
- Installa VERIDICA dal Chrome Web Store o da Microsoft Edge Add-ons. L'estensione funziona allo stesso modo nei due browser.
- Fissa l'icona nella barra del browser (icona del puzzle → spillo). Premendo l'icona sulla scheda da acquisire si apre la console nel pannello laterale.
- Al primo avvio la console mostra «Da attivare»: apri Gestisci licenza (vedi cap. 5). Fino all'attivazione le funzioni restano visibili ma non eseguibili.
- Compila le Impostazioni investigatore (cap. 4): nome, qualifica, reparto, matricola, numero di procedimento, account usato per l'acquisizione. Questi dati compaiono nell'intestazione di ogni referto.
Permessi richiesti dal browser
L'estensione chiede l'accesso a un sito solo quando premi un comando su quel sito (una volta per sito; revocabile dalle impostazioni del browser). Non ha accesso permanente a tutte le pagine. I permessi dichiarati e il loro uso sono elencati al cap. 18.
3. La console nel pannello laterale
La console resta aperta accanto alla pagina mentre lavori. Dall'alto verso il basso:
- Intestazione: tema chiaro/scuro, selettore lingua (italiano/inglese, bandierine), stato della licenza, saldo crediti, lampada di stato («PRONTO», «IN CORSO»).
- Testata intelligente: riconosce il tipo di pagina aperta (pagina web, post social, contenuto video, casella di posta, WhatsApp/Telegram, PDF, pagina interna del browser non acquisibile) e suggerisce i comandi adatti. Se la scheda non è ancora autorizzata lo dice e spiega come autorizzarla.
- Striscia della pagina: indirizzo, protocollo, orario, eventuale punteggio di rischio.
- Barra di avanzamento: durante le acquisizioni lunghe compare un pannello con percentuale, fase in corso, pulsante Annulla. Il lavoro prosegue anche se cambi scheda; i file compaiono nella cartella del caso.
- Blocchi dei moduli: Crediti licenza · Acquisizione probatoria · Social media acquisition · Comunicazioni (Email & Messenger) · Certificazione crittografica · Verbale forense · Archivio prove.
- Barra inferiore: Impostazioni, Licenza, Report, Aiuto (guida breve, avvertenze e questo manuale).
4. Caso, cartelle e impostazioni
Il caso
Alla prima acquisizione della sessione VERIDICA chiede il riferimento del fascicolo («Apri caso»). Se nelle Impostazioni è già impostato un numero di procedimento, quello diventa il caso della sessione senza chiedere nulla. Senza riferimento viene proposto un numero automatico basato su data e ora UTC (VRD-AAAAMMGG-HHMM), mai casuale. Il caso si può cambiare dalle Impostazioni; i moduli Social e Messenger permettono di indicarlo anche al momento dell'acquisizione.
Le cartelle
Tutto finisce in Download/VERIDICA/<caso>/<tipologia>/ (la cartella base «VERIDICA» è modificabile nelle Impostazioni). Tipologie: Cattura (pagine), Social/<PIATTAFORMA>_<sessione>, Email/…, Messenger/…, Custodia, Referto. Un caso completo è una sola cartella, consegnabile così com'è.
Impostazioni investigatore
| Campo | Dove finisce |
|---|---|
| Nome e cognome, grado/qualifica, reparto/unità, matricola | Intestazione di ogni referto e verbale. |
| Numero procedimento | Diventa il caso predefinito della sessione. |
| Account usato per l'acquisizione | Riportato nel referto come parte del metodo (chi vedeva il contenuto). Il referto riporta inoltre gli indizi di sessione autenticata rilevati nella pagina. |
| Cartella base download | Al posto di «VERIDICA» nel percorso. |
| Livello classifica | Dicitura stampata sul referto (uso interno, riservato, operativo, segreto). |
5. Licenza, crediti e voucher
La licenza è un file (.veridica, oppure il .txt del generatore precedente) o una chiave firmata da incollare. Viene letta e verificata sul dispositivo con firma crittografica; nessun server è contattato. Dalla finestra Gestione licenza:
- Copia il Machine ID e comunicalo a NOVA Forensics per l'emissione della licenza (il Machine ID identifica l'installazione, non contiene dati personali).
- Ricevuto il file, selezionalo (o incolla la chiave) e premi Attiva licenza. Licenza base e moduli aggiuntivi si importano nello stesso modo.
Licenza dimostrativa: consente un numero definito di acquisizioni sui moduli indicati; il contatore è visibile nel blocco Crediti. Licenza a crediti: ogni acquisizione completata consuma 1 credito; le acquisizioni interrotte o non riuscite non consumano nulla. Il saldo si aggiorna con ↻; Ricarica e Riscatta voucher aggiungono crediti con un codice ricevuto da NOVA Forensics.
6. Acquisizione probatoria di pagine
Il blocco «Acquisizione probatoria» conserva la pagina aperta nella scheda. Ogni comando produce file nella cartella Cattura e un referto.
Pagina completa
Screenshot dell'intera pagina (scorrimento automatico e ricomposizione), sorgente HTML renderizzato, archivio MHTML con tutte le risorse, e — questa è la parte forense — la risposta HTTP originale del server con le sue intestazioni (una seconda richiesta GET alla stessa pagina con la sessione dell'utente, salvata così come trasmessa), la catena di certificati TLS presentata dal server (file .pem), l'indirizzo IP remoto e i parametri della sessione TLS, e il contesto tecnico (tempi, risorse caricate, ambiente del browser) in JSON. Ogni file ha impronta SHA-256; il referto PDF le elenca.
Per leggere il certificato VERIDICA si collega al protocollo di debug del browser sulla sola scheda acquisita e per pochi secondi: il browser mostra una barra gialla «VERIDICA sta eseguendo il debug di questa scheda». È normale e scompare al termine; non chiuderla a mano durante l'acquisizione.
Area visibile
Fotografa ciò che è a schermo in questo istante, con indirizzo e orario. Utile per uno stato transitorio (una notifica, un menu aperto, un contenuto che sparisce allo scorrimento).
Selezione
Disegna un rettangolo sulla pagina: viene conservata solo quell'area, con le coordinate. Per isolare un elemento senza riprendere il resto (dati di terzi non pertinenti, aree riservate).
MHTML
Solo l'archivio MHTML (pagina e risorse in un unico file, apribile offline con Chrome/Edge). Ricorda che un MHTML del browser non contiene i video e le foto caricati dinamicamente dai social: per quelli serve la «copia navigabile» (cap. 7).
Commenti (espandi social)
Preme i comandi «mostra altro / visualizza altri commenti / risposte» già presenti nella pagina, senza acquisire. Serve per preparare la pagina prima di una «pagina completa». L'operazione viene dichiarata nel referto dell'acquisizione successiva.
Registrazione schermo (Studio)
Apre lo Studio in una nuova scheda: preleva il flusso del video in riproduzione (con l'audio già unito, senza filmare lo schermo) oppure registra la scheda. Lo Studio sceglie il video a schermo in quel momento; se ne trova più versioni (risoluzioni diverse dello stesso video) le etichetta come tali. Le esportazioni hanno impronta e manifesto JSON.
- Chiudi le finestre di consenso ai cookie e i banner prima di acquisire, oppure acquisiscili di proposito come primo stato: ciò che copre il contenuto finisce nello screenshot.
- Le pagine con contenuto «infinito» (feed) non hanno una fine: la pagina completa riprende fino al punto caricato. Per i social usa il modulo dedicato.
- Le pagine interne del browser (
chrome://,edge://, store) e i PDF aperti nel visualizzatore non sono acquisibili come pagine: salva il PDF e documentane l'impronta nella catena di custodia. - Se la pagina chiede l'accesso, la risposta HTTP originale sarà quella della pagina di accesso: il referto lo mostra. Accedi prima, dichiara l'account, poi acquisisci.
7. Social media: copia navigabile completa
È il modulo più ricco. Scorre la pagina (o resta sul contenuto che stai guardando), apre i commenti, scarica foto e video del contenuto, e ricostruisce una pagina consultabile offline che ha l'aspetto dell'originale, con i video riproducibili al loro posto. Piattaforme riconosciute: Facebook, Instagram, X (Twitter), TikTok, YouTube, LinkedIn. Le pagine di altri siti vengono acquisite con il metodo generico (blocchi «article»).
Preparazione
- Apri il contenuto nella scheda e guardalo: il video che è a schermo (in riproduzione o visibile) è quello che VERIDICA considera «principale».
- Scegli le opzioni: Espandi tutti i commenti, Scarica i contenuti (video, immagini, audio), Schermate di ogni passo.
- Scegli la profondità:
- 1 passo · solo questo contenuto: il post/reel/video che vedi e i suoi commenti. Nessuno scorrimento della pagina (nei flussi — reel, TikTok — lo scorrimento passerebbe al contenuto successivo). È la scelta per acquisire un contenuto. Viene impostata da sola sui reel e sulle pagine video TikTok.
- 15 / 40 / 100 / 250 passi: profilo, pagina, ricerca, cronologia: scorre e raccoglie tutto ciò che compare, fermandosi prima se i contenuti finiscono.
- Premi Copia navigabile completa. Se è la prima volta su quella piattaforma il browser chiede il permesso per il sito: scegli «Consenti».
Che cosa succede
- La pagina viene ricaricata (tranne su TikTok e YouTube) con un gancio di sola lettura attivo fin dall'apertura, per leggere gli indirizzi dei file video che la piattaforma dichiara alla pagina. Il video che stavi guardando viene ritrovato dopo il ricaricamento (stessa copertina/durata, stessa posizione).
- Ad ogni passo: apertura dei comandi «mostra altro/altri commenti/risposte» (solo quelli sicuri: mai collegamenti che portano altrove, mai i menu dell'interfaccia), raccolta dei blocchi (post, commenti, risposte, elementi di griglia) con testo, autore, orari, collegamenti, immagini e video, schermata del passo.
- Se un comando porta a un'altra pagina, VERIDICA torna al contenuto acquisito (senza mai usare «indietro» alla cieca, che potrebbe uscire dal sito) e non usa più quel comando; lo dichiara.
- Copia statica della pagina com'è alla fine, con i fogli di stile (anche quelli delle CDN), i veli e le finestre «Accedi» tolti e dichiarati, i menu chiusi, gli elementi inseriti da altre estensioni del browser esclusi e dichiarati.
- Download di foto e video dai file originali dichiarati dalla piattaforma (non registrazioni): il video guardato per primo, con la versione a qualità più alta tra quelle dichiarate, controllando che contenga video e audio (se una versione è senza audio si prova la successiva).
- Ricostruzione: i video scaricati vengono montati nei riproduttori della pagina (riconosciuti per copertina e per file), resi riproducibili sopra le sovrapposizioni della piattaforma; lo stesso video presente in due riproduttori viene scaricato una volta sola.
File prodotti (cartella Social/<PIATTAFORMA>_VRD-SOC-…)
| File | Contenuto |
|---|---|
index.html | La pagina ricostruita, navigabile offline, con una barra VERIDICA in alto (data, caso, indirizzo) e il collegamento al fascicolo. I video sono riproducibili. |
fascicolo.html | Elenco dei contenuti raccolti (post, commenti, risposte) con testo, autore, orari, collegamenti, immagini e video, vista originale di ogni blocco, schermate dei passi, tabella dei file con impronte. |
pagina.mhtml | Archivio unico della copia completa (pagina, stile, foto e video conservati), apribile in Chrome/Edge. |
pagina_browser.mhtml | Stato grezzo della pagina come lo salva il browser, SENZA i media conservati (i riproduttori restano vuoti). Serve come riscontro indipendente. |
risorse/, video/, schermate/ | Immagini, video (video_001.mp4…, oppure registrazione_001.webm), schermate dei passi. |
dati.json | Tutti i dati raccolti in forma strutturata, con le opzioni usate e le avvertenze. |
…_referto.pdf | Il referto: metodo, passi, file, impronte, avvertenze (ciò che non è stato acquisito e perché). |
Particolarità per piattaforma
| Piattaforma | Come si comporta VERIDICA | Attenzioni |
|---|---|---|
| Su un singolo post imposta la vista «Tutti i commenti» e apre commenti e risposte fino all'ultimo (o fino al tetto dei giri, dichiarato). Sui reel apre il pannello commenti. Nelle pagine elenco (/videos/, ricerca) non preme «visualizza altri commenti», che aprirebbe un altro post. | Facebook chiede l'accesso su molte pagine pubbliche. Il reel «successivo» non viene mai acquisito con «1 passo». | |
| Post, reel, profili. Senza accesso Instagram blocca dopo pochi contenuti e mostra la finestra di accesso: viene tolta dalla copia e dichiarata. | Aspettati di dover accedere anche per contenuti pubblici. | |
| X (Twitter) | Pagina di un post: il video del post, le risposte (che X carica scorrendo: con «1 passo» vengono raccolte scorrendo nei giri «commenti», fino a 20 giri, fermandosi all'intestazione «Scopri di più» dei post suggeriti, che non sono risposte e vengono esclusi). I menu «Altro» dell'interfaccia non vengono mai premuti. | I video delle risposte non si scaricano con «1 passo» (vengono dichiarati); con più passi sì. X mostra i contenuti per intero solo con sessione autenticata. |
| TikTok | Nessun ricaricamento (cambierebbe il video). Pagina video: apre la scheda «Commenti», scorre solo il pannello dei commenti (mai il flusso, che passerebbe al video successivo). I file del video si leggono dalla pagina del singolo video. | TikTok tiene un riproduttore «di riserva»: il video è uno solo e viene conservato una volta. |
| YouTube | YouTube non serve il video come file (indirizzi firmati dal riproduttore). La copia navigabile lo conserva con la registrazione guidata: dal secondo 0 alla fine, immagine e audio della scheda, annunci saltati dove consentito; la registrazione viene montata nel riproduttore della pagina ricostruita ed è dichiarata come registrazione, non file originale. | Durante la registrazione compare un nastro giallo e nero lampeggiante: non cambiare scheda e non toccare la pagina fino alla fine. Se il browser chiede «condividi audio della scheda», spuntalo, altrimenti la registrazione è senza audio (dichiarato). |
Post (/posts/, /feed/update/): video dalle versioni dichiarate dal riproduttore (720p/640p/360p, la migliore per prima), commenti e risposte. | Senza accesso LinkedIn mostra pochi commenti e «vedi altri commenti» porta alla pagina di accesso: VERIDICA lo riconosce, lo dichiara e avvisa a fine acquisizione. La finestra «Accedi» che LinkedIn apre da sola dopo qualche secondo viene chiusa e tolta dalla copia. |
- Dichiara l'account con cui vedi i contenuti (Impostazioni). Il referto riporta anche gli indizi di sessione autenticata rilevati.
- Con «1 passo» i video e le foto degli altri contenuti della pagina (suggerimenti, reel successivo, risposte) non vengono scaricati: restano con il loro indirizzo originale e sono dichiarati. È una scelta di pertinenza, non un difetto.
- Il nastro «registrazione in corso» e i riquadri di avanzamento non finiscono mai nelle schermate né nella copia.
- Un profilo del browser senza altre estensioni evita elementi estranei nella pagina (quando ci sono, vengono tolti e dichiarati).
- La «copia navigabile» si apre da disco (
index.html): i video si riproducono perché il riproduttore punta al file locale. Non spostare i file fuori dalla cartella.
8. Social media: cattura vista, scarica video, registra
Cattura vista
Schermata della vista attuale con l'indirizzo attivo e, se c'è un video a schermo, i suoi dati (durata, copertina, indirizzo). Impronta della PNG nel referto. È l'acquisizione «istantanea» del reel o del media che vedi.
Scarica video
Preleva il file del video a schermo dagli indirizzi dichiarati dalla piattaforma (MP4 diretto; flussi HLS/DASH dove la piattaforma li espone), con impronta e manifesto. Lo Studio etichetta le risoluzioni alternative come «stesso video, altra risoluzione» e indica la risoluzione nel nome del file. Su YouTube il prelievo diretto non è possibile (risposta 403 del server): usa la registrazione.
Registra video schermo
Registra la riproduzione della scheda in WebM (immagine e audio) con cronometro; Riproduci il video nella scheda avvia il video, Stop chiude e salva. Il file ha impronta e viene dichiarato come registrazione, con durata registrata e durata dichiarata dal riproduttore.
9. Email forensics (Gmail, Outlook web)
Acquisisce i messaggi di posta dalla casella aperta nel browser, con il messaggio originale (EML, con tutte le intestazioni di instradamento) quando la webmail lo rende disponibile, il corpo integrale e gli allegati con impronta.
Opzioni
| Opzione | Significato |
|---|---|
| Quali messaggi | Messaggio aperto, Selezionati nell'elenco (Outlook: caselle o Ctrl+clic), Tutta la cartella con un numero massimo. |
| Ripristina lo stato «da leggere» | Per acquisire più messaggi VERIDICA li apre uno alla volta, come l'operatore; quelli che erano da leggere vengono riportati a «da leggere». Il referto lo dichiara. |
| Conserva gli allegati | Ciascuno con la propria impronta, nella sottocartella Allegati, registrato nella catena di custodia. |
| Esamina i collegamenti / gli allegati | Analisi facoltative (accorciatori, domini che imitano marchi, destinazioni difformi; estensioni a rischio, tipo dichiarato difforme dal contenuto). Disattivate se non richieste: non rallentano e non interrogano servizi esterni. |
| Parole chiave | Filtro per la ricerca nella cartella (separate da virgola). |
File prodotti (cartella Email/…): gli .eml, gli allegati, il report HTML, i dati JSON, il referto PDF.
- Per le conversazioni lunghe in Outlook imposta «Visualizza → Messaggi» (non raggruppati): così ogni messaggio è una riga e viene acquisito singolarmente.
- Gmail: il messaggio originale (EML) viene recuperato da VERIDICA con la stessa funzione «Mostra originale» della casella; se non è disponibile, il referto lo dichiara.
- L'apertura dei messaggi è un'azione sulla casella del titolare: dichiara l'account e, se la casella non è la tua, l'autorizzazione con cui operi.
- Gli allegati non vengono aperti né eseguiti: vengono solo salvati e misurati. Trattali come potenzialmente pericolosi.
10. Messenger forensics (WhatsApp Web, WhatsApp Business, Telegram Web)
Risale l'intera conversazione aperta — o tutte quelle dell'elenco — dall'inizio alla fine, conserva gli allegati e produce un fascicolo per conversazione con impronte concatenate (ogni messaggio ha un'impronta canonica; la catena hash del precedente + hash del messaggio rende rilevabile ogni modifica, inserimento o rimozione).
Opzioni
| Opzione | Significato |
|---|---|
| Numero di caso | Indicabile qui, se non già impostato. |
| Cosa acquisire | Solo la conversazione aperta oppure tutte le conversazioni dell'elenco (le prime 10/25/50 o tutte): VERIDICA le apre una alla volta, le percorre e passa alla successiva. Ogni conversazione ha il proprio fascicolo e la propria cartella allegati, più un indice generale. |
| Conserva gli allegati | Foto, video, note vocali, documenti, ciascuno con impronta; limite al numero di media impostabile. |
| Analisi di minacce | Collegamenti sospetti, estensioni pericolose, parole chiave. Disattivata per impostazione predefinita: nel referto non compare alcuna valutazione non richiesta. |
| Recupera dal telefono i messaggi più antichi | WhatsApp Web riceve dal telefono solo gli ultimi ~90 giorni: il resto viene chiesto al telefono a blocchi (50 messaggi per richiesta), come fa la pagina con «ottieni messaggi meno recenti». Il telefono deve essere acceso e connesso. La «profondità» limita il numero di richieste; l'attesa per il telefono è impostabile. |
| Chiedi al telefono i contenuti scaduti che hai inviato tu | I media non più sui server di WhatsApp vengono richiesti al telefono collegato (come il pulsante «scarica»); se non arrivano nell'attesa, il referto li dichiara non acquisiti. Nessun contatto verso la controparte. Nelle versioni attuali di WhatsApp la copia ricaricata può non essere decifrabile dalla pagina: in tal caso resta dichiarata «non acquisita». |
| Velocità | Ritmo dello scorrimento: più lento è più sicuro su conversazioni molto lunghe o connessioni lente. |
Telegram Web (versione K): la storia viene letta direttamente dal modello dati della pagina, completa, senza segnare nulla come letto. Su altre versioni di Telegram Web l'acquisizione non è disponibile e viene detto.
File prodotti (cartella Messenger/…): fascicolo .txt e .html con anteprime degli allegati (immagini, video, adesivi, GIF) e icone per audio e documenti, dati.json, cartella allegati, referto PDF unico con la dichiarazione di eventuali alterazioni dello stato (messaggi aperti, media richiesti al telefono).
- Il telefono collegato deve restare acceso, sbloccato almeno una volta e connesso: altrimenti i messaggi antichi e i media scaduti non arrivano (dichiarato).
- I messaggi «visualizza una volta» e quelli cancellati non sono recuperabili: il referto li elenca come tali.
- Gli orari sono quelli mostrati dalla pagina (fuso del computer) e sono dichiarati come tali.
11. Certificazione crittografica
Si applica a ogni acquisizione. SHA-256 è sempre calcolato (obbligatorio). Opzioni aggiuntive:
- SHA-512 e Keccak-256: impronte aggiuntive sugli stessi file.
- Marca temporale RFC 3161: richiede a una Time Stamping Authority pubblica una marca sul solo valore di impronta (il contenuto non lascia il computer). È la data opponibile a terzi; il file
.tsrsi conserva accanto al referto. - OpenTimestamps: ancoraggio dell'impronta alla blockchain Bitcoin tramite calendari pubblici (la conferma definitiva richiede ore; il file
.otssi aggiorna in seguito). - Fonti esterne (DNS, registro del dominio RDAP, Certificate Transparency): contesto sul dominio acquisito. Viene inviato solo il nome del dominio o l'IP.
Il blocco ricorda che ogni acquisizione di pagina salva anche la risposta HTTP originale, il certificato TLS, l'archivio MHTML e il contesto tecnico. Nessuna di queste operazioni contatta il produttore.
12. Catena di custodia e verbale di accertamento
Catena di custodia
Raccoglie tutte le acquisizioni della sessione (o del caso) in un documento di custodia: per ogni file nome, impronta, dimensione, orario, metodo, operatore; eventi (acquisizione, calcolo impronte, marca temporale). Prodotto in Custodia/ come .txt, .html, .json e .pdf. Riferimenti: art. 354 c.p.p., L. 48/2008, ISO/IEC 27037.
Verbale di accertamento
Genera il verbale (accertamento informatico forense, perquisizione informatica, sequestro informatico, ispezione di sistema) con i dati dell'operatore, il caso, l'elenco delle acquisizioni con impronte e le note inserite. Il testo è un modello da completare e sottoscrivere: VERIDICA non sostituisce la valutazione dell'ufficiale.
13. Archivio prove
Elenco delle acquisizioni della sessione con stato, tipologia e orario. «Tutto →» mostra l'elenco completo. L'archivio è una vista: i file veri sono nella cartella del caso.
14. I referti e come leggerli
Ogni modulo produce un referto PDF a testo nativo (ricercabile), impaginato senza spezzare i messaggi tra le pagine, con: intestazione (operatore, caso, classifica), sorgente (indirizzo, titolo, piattaforma, account dichiarato, indizi di sessione), metodo (passi, opzioni, ricaricamento, comandi premuti, ritorni al contenuto), elenco dei file con impronte SHA-256 (e SHA-512/Keccak se attivi), avvertenze.
La sezione Avvertenze è la più importante da leggere e da riportare nel verbale: elenca ciò che non è stato acquisito e perché (video non prelevabile, commenti disponibili solo con accesso, finestra di accesso tolta dalla copia, elementi di altre estensioni esclusi, interruzione dell'operatore, tetto dei giri raggiunto, pagina passata a un altro contenuto e ripresa).
Accanto al PDF trovi sempre i dati in JSON (leggibili da qualsiasi strumento) e, dove previsto, un fascicolo HTML consultabile. Il referto viene salvato una sola volta, nella cartella del caso.
15. Attenzioni da prestare, acquisizione per acquisizione
| Prima di | Fai | Perché |
|---|---|---|
| Qualsiasi acquisizione | Imposta il caso; verifica data e ora del computer; dichiara l'account; chiudi finestre modali e banner non pertinenti; salvataggio automatico dei download attivo. | Il referto cita orario, account e cartella; una finestra aperta copre il contenuto. |
| Pagina web | Attendi il caricamento completo; se la pagina chiede l'accesso, accedi prima; attiva RFC 3161 se serve una data opponibile. | La risposta HTTP e il certificato devono riferirsi alla pagina giusta. |
| Post/reel social | Guarda il contenuto da acquisire; «1 passo»; non toccare la pagina; accedi alla piattaforma se i commenti sono bloccati. | Il video principale è quello a schermo; i commenti completi esistono solo con la sessione. |
| Profilo o pagina social | Più passi (15/40/100); schermate di ogni passo attive; nessun'altra finestra sopra il browser. | Le schermate documentano lo scorrimento; il browser non fotografa finestre coperte o ridotte a icona. |
| YouTube | Metti in pausa il video, torna all'inizio, alza il volume della scheda; avvia la copia e non toccare nulla fino alla fine del nastro lampeggiante. | La registrazione guidata è l'unico modo di conservare il video; va dall'inizio alla fine. |
| Vista non raggruppata (Outlook); seleziona i messaggi; decidi se ripristinare «da leggere». | Ogni apertura è un'azione sulla casella e viene dichiarata. | |
| Telefono acceso e connesso; conversazione aperta; non usare la finestra; stima il tempo (centinaia di messaggi → minuti; migliaia → ore). | I messaggi antichi e i media scaduti arrivano solo dal telefono. | |
| Telegram | Usa Telegram Web versione K (indirizzo web.telegram.org/k/). | Solo lì il modello dati è leggibile per intero. |
| Consegna | Genera la catena di custodia; verifica che nella cartella ci siano referto, file, impronte; annota nel verbale i media «non acquisiti». | Un fascicolo è completo solo se dichiara anche le mancanze. |
16. Verifica dell'integrità (anche da parte di terzi)
Chiunque può ricalcolare le impronte dei file e confrontarle con quelle del referto, senza VERIDICA:
- Windows (PowerShell):
Get-FileHash -Algorithm SHA256 .\video\video_001.mp4 - macOS / Linux:
shasum -a 256 video/video_001.mp4
Le marche temporali RFC 3161 (.tsr) si verificano con openssl ts -verify contro il certificato della TSA; i file OpenTimestamps (.ots) con il client OpenTimestamps. Nei fascicoli Messenger la catena di impronte dei messaggi è ricalcolabile dal dati.json (impronta canonica di ogni messaggio: SHA-256 del JSON con chiavi in ordine fisso; catena: hash del precedente + hash del messaggio).
17. Problemi e soluzioni
| Sintomo | Causa | Rimedio |
|---|---|---|
| «VERIDICA non ha accesso a questo sito» | Permesso per il sito non concesso. | Premi di nuovo il comando e scegli «Consenti»; oppure premi l'icona dell'estensione sulla scheda. |
| «Questa pagina non è acquisibile» | Pagina interna del browser, store, PDF nel visualizzatore. | Apri il contenuto in una scheda normale; i PDF si salvano e si misurano in custodia. |
| Il video nella copia navigabile non parte | File spostato fuori dalla cartella, o copia aperta da un percorso diverso. | Apri index.html dalla cartella del caso senza spostare nulla. |
| Nel referto: «video non prelevato per scelta» | Non era il contenuto guardato (suggerimento, reel successivo, risposta) e la modalità era «1 passo». | È corretto. Per acquisirlo, aprilo e acquisiscilo come contenuto principale. |
| Nel referto: «sessione non autenticata» | La piattaforma mostra i commenti completi solo dopo l'accesso. | Accedi con un account autorizzato, dichiaralo nelle Impostazioni e ripeti. |
| Registrazione YouTube senza audio | Nel selettore del browser non era spuntato «condividi audio della scheda». | Ripeti spuntando l'audio. Il referto dichiara l'assenza dell'audio. |
| Schermate nere o mancanti | Finestra ridotta a icona, coperta, o scheda non attiva. | Tieni la finestra visibile e la scheda attiva durante l'acquisizione. |
| Barra gialla «sta eseguendo il debug» | Lettura del certificato TLS per pochi secondi. | Normale: scompare da sola. Non chiuderla durante l'acquisizione. |
| Decine di finestre «Salva con nome» | Il browser chiede dove salvare ogni file. | Impostazioni del browser → Download → disattiva «chiedi dove salvare». |
| Licenza «non valida» dopo un cambio di computer o profilo | Il Machine ID è cambiato. | Richiedi la riemissione all'assistenza indicando il nuovo Machine ID. |
18. Privacy, permessi e limiti dichiarati
VERIDICA non ha un server: nessun dato di acquisizione lascia il computer. Le uniche connessioni facoltative verso terzi, attivabili dall'operatore, inviano soltanto un'impronta (marca temporale, OpenTimestamps) o il nome del dominio acquisito (DNS, RDAP, CT). I file multimediali vengono scaricati dagli indirizzi che la piattaforma stessa dichiara alla pagina, con la sessione dell'operatore.
| Permesso | Uso |
|---|---|
| activeTab, scripting, tabs | Agire sulla scheda su cui premi un comando e riconoscerne il tipo; durante una copia navigabile un gancio di sola lettura temporaneo sul solo sito acquisito, rimosso alla fine. |
| storage | Impostazioni, licenza e crediti, conservati localmente. |
| downloads | Scrittura dei file nella cartella del caso. |
| pageCapture | Archivio MHTML. |
| tabCapture, offscreen | Registrazione della scheda e generazione del PDF. |
| debugger | Solo durante l'acquisizione di una pagina, sulla sola scheda, per pochi secondi: certificato TLS, IP remoto, parametri TLS. |
| sidePanel, notifications, alarms | Console nel pannello laterale; avviso di fine; service worker attivo nelle acquisizioni lunghe. |
| Accesso ai siti (facoltativo) | Chiesto una volta per sito al primo comando; revocabile. |
Informativa completa: veridica.it/privacy-estensione.html. Assistenza: info@veridica.it.
19. Glossario
| Impronta (hash) SHA-256 | Sequenza di 64 caratteri esadecimali calcolata dal contenuto di un file: cambia se cambia anche un solo bit. Dimostra che il file consegnato è quello acquisito. |
| MHTML | Formato di archivio che racchiude pagina e risorse in un unico file, apribile dal browser anche offline. |
| Marca temporale RFC 3161 | Attestazione firmata da un'autorità terza che una certa impronta esisteva a una certa ora. |
| Copia navigabile | La pagina social ricostruita da VERIDICA con i media conservati, consultabile offline come l'originale. |
| Contenuto principale / guardato | Il post, reel o video a schermo quando si avvia l'acquisizione: è quello che VERIDICA acquisisce con «1 passo». |
| Registrazione guidata | Registrazione della riproduzione della scheda, dall'inizio alla fine, usata quando la piattaforma non serve il video come file (YouTube). Dichiarata come tale. |
| Catena di custodia | Documento che registra ogni file acquisito, le sue impronte, chi, quando, come. |
| Sessione autenticata | Il browser è collegato con un account alla piattaforma; ciò che vede dipende da quell'account e va dichiarato. |
VERIDICA — Forensic Evidence Capture © NOVA Forensics. Tutti i diritti riservati. Il software, i referti e i marchi sono proprietà di NOVA Forensics; l'uso è regolato dalla licenza d'uso accettata all'attivazione. Questo manuale descrive la versione 1.0 distribuita negli store; le funzioni non presenti nel pacchetto distribuito non sono descritte.