Probatio: dagli hash al report firmato, senza mai uscire dall'applicazione

Fra due anni, in aula, qualcuno ti chiederà di dimostrare che il file che hai consegnato oggi è ancora esattamente quello. Non «più o meno». Esattamente. Bit per bit.

È la domanda da cui è nato tutto. Me la sono posta troppe volte, con la sgradevole sensazione di non avere in mano lo strumento giusto per rispondere in modo pulito, rapido e ripetibile. Così ho smesso di cercarlo e l'ho costruito.

Si chiama Probatio. Applicazione desktop per macOS e Windows: calcola gli hash, verifica l'integrità, inventaria cartelle intere e produce report PDF che puoi firmare digitalmente e marcare temporalmente. Tutto in locale: nessun file lascia la tua macchina.

L'impronta digitale di un file: 18 algoritmi, una sola lettura

L'hash è la cosa più semplice e più importante di tutto il mestiere. È l'impronta digitale del file: cambia un solo bit su un video da otto gigabyte, e l'impronta cambia interamente. Se due hash coincidono, il file è integro. Se differiscono, è stato alterato. Non c'è opinione, non c'è margine: è matematica, e in tribunale regge.

Probatio calcola 18 algoritmi: MD5, SHA-1, l'intera famiglia SHA-2 e SHA-3, RIPEMD-160, BLAKE2, BLAKE3, più i checksum rapidi CRC32 e XXH3. E li calcola in un'unica lettura del file: il disco viene attraversato una volta sola e alimenta contemporaneamente tutti i digest che hai selezionato. Su un'immagine disco da 500 GB la differenza fra "una lettura" e "sei letture" non è un dettaglio da ingegneri: è la differenza fra fare la pausa caffè e rimandare a domani.

• Trascini il file, o una cartella intera. Ottieni gli hash.
• Scegli quali algoritmi calcolare: quelli che usi sempre te li imposti come predefiniti.
• Esporti in CSV, JSON o report PDF — e il report lo puoi firmare (ci arriviamo).

Verificare: la domanda a cui devi saper rispondere

Calcolare un hash è metà del lavoro. L'altra metà è confrontarlo con quello atteso, ed è dove Probatio smette di essere una calcolatrice e comincia a essere uno strumento peritale.

• Verifica contro un hash atteso: incolli la stringa che ti hanno dato — dal verbale, dalla mail, dal sito di download — e Probatio riconosce da solo l'algoritmo dalla lunghezza. Se la lunghezza è ambigua, li prova tutti finché non trova quello giusto.
• Verifica contro un file di checksum: SHA256SUMS, MD5SUMS e simili, riverificati riga per riga, con l'esito per ogni singolo file.
• Creazione del file di checksum: scegli i file, scegli l'algoritmo, e ti porti a casa un manifest riverificabile da chiunque — anche con sha256sum -c, senza Probatio.
• Verifica di immagini disco forensi — E01/EWF e DD/raw: Probatio decomprime i chunk, ricalcola l'hash del flusso logico e lo confronta con l'hash di acquisizione memorizzato dentro l'immagine stessa, estraendo anche metadati (caso, esaminatore, date, software) e settori danneggiati. È stato validato contro ewfverify: stessi MD5 e SHA-1, e la manomissione di un singolo byte viene rilevata.

Un risultato che solo il mio software sa confermare non è una prova: è un'opinione con una barra di avanzamento. Per questo ogni numero che Probatio produce è riproducibile con strumenti di terze parti. È un vincolo che non ho mai negoziato.

L'inventario: quando i file non sono uno, ma ventimila

Nel lavoro vero non ti consegnano un file. Ti consegnano una cartella. O un hard disk. O una condivisione di rete con dentro anni di documenti, e la domanda «cosa c'è qui dentro, esattamente?».

Il modulo Inventario fa una scansione ricorsiva dell'intera struttura e, per ogni singolo file:

• determina il tipo reale dai magic bytes, non dall'estensione — perché un .jpg che in realtà è un eseguibile è precisamente il genere di cosa che devi trovare;
• calcola gli hash (MD5, SHA-1, SHA-256, SHA-512) in una sola passata;
• estrae i metadati per categoria: immagini, video, audio, Office, PDF, XMP;
• ricostruisce la data di creazione del contenuto — l'EXIF DateTimeOriginal di una foto, l'atom mvhd di un video, il /CreationDate di un PDF — e la tiene distinta dalla data del filesystem, dichiarando da dove l'ha presa. Sono due cose diverse, e confonderle in perizia è un errore che si paga caro: copiare un file ne cambia la data di sistema, non quella impressa dentro lo scatto.

Il risultato lo puoi guardare, ordinare, filtrare — ed esportare come manifest SHA256SUMS o DFXML, il formato standard dei manifest di acquisizione. La Timeline unisce poi gli eventi dei file e il registro delle attività dell'applicazione in un'unica cronologia: chi ha fatto cosa, quando, su quale reperto.

Un file illeggibile non ferma la scansione: l'errore viene registrato accanto al file e il lavoro prosegue. Ventimila file non si rifanno da capo perché uno era corrotto.

Il report PDF: il documento che consegni davvero

Qui sta il punto che quasi tutti i tool trascurano, e che invece è l'unica cosa che il tuo cliente, il giudice o la controparte vedranno mai: il documento finale.

Probatio genera report PDF da ogni modulo — hash, verifica, inventario, analisi, confronto — con un generatore scritto da zero, senza dipendenze esterne: copertina, indice, struttura delle cartelle, tabelle a righe alternate, immagini incorporate, numerazione delle pagine, e un layout unico e riconoscibile per tutti i moduli. In italiano o in inglese.

E soprattutto, quel PDF non è la fine del lavoro: è l'inizio.

Firmare il report, e datarlo in modo opponibile

Appena generato il report, Probatio ti propone due cose che nessuno strumento di analisi ti dà normalmente, e per cui di solito devi uscire, aprire un altro software, e sperare di non sbagliare passaggio:

1. Firmarlo digitalmente, direttamente lì. Formato PAdES (la firma dentro il PDF, invisibile oppure visibile — con il tuo logo, posizionato dove vuoi tu sulla pagina) oppure CAdES (.p7m). Con la tua smartcard, il tuo token, o la CIE. La firma è vera, qualificata, verificabile da chiunque con qualunque verificatore — non un'immagine di una firma appiccicata sopra.
2. Marcarlo temporalmente (RFC 3161), così quel documento ha una data certa e opponibile. La marca qualificata eIDAS per il livello -T, oppure il token .tsr allegato, verificabile persino con openssl ts -verify.

Fermati un secondo su cosa significa. Significa che dal file grezzo alla perizia firmata, datata e opponibile non esci mai dall'applicazione. Niente esportazioni intermedie, niente passaggi in cui il documento sta su un desktop, non firmato, e nessuno sa più quale versione fosse quella buona.

Un report non firmato è un file di testo che chiunque può modificare. Un report firmato e marcato è un atto.

E poi c'è tutto il resto

Quando il file va guardato più a fondo, il modulo Analisi ne costruisce il dossier completo: tipo reale contro estensione dichiarata, entropia, stringhe, header eseguibili PE/ELF/Mach-O, firme incorporate, fuzzy hash ssdeep, confronto con hash-set noti, regole YARA, Content Credentials C2PA (con verifica crittografica della firma, non solo lettura del manifest) e analisi forense dei PDF — compreso il testo nascosto, quello bianco su bianco o in corpo microscopico con cui oggi si avvelenano i sistemi di intelligenza artificiale che leggeranno il documento.

Ci sono poi il confronto fra due file (identici o diversi per ciascun algoritmo, con punteggio di somiglianza ssdeep), il confronto fra due immagini con hash percettivi, il visualizzatore esadecimale, il diff binario, il monitoraggio di una cartella in tempo reale, la verifica delle firme digitali altrui (CAdES, PAdES, XAdES, JAdES, con eIDAS, QSCD, catena AgID e revoca OCSP) e la bonifica dei PDF pericolosi. Sono strumenti che uso meno spesso — ma il giorno che servono, sono lì, e non devo cercarli altrove.

Perché in locale, sempre

Esistono ottimi servizi online che fanno una parte di queste cose. Non ne ho usato nemmeno uno, e non per snobismo.

Quando carichi un file su un servizio in cloud, quel file lascia la tua macchina. Se è un reperto coperto da segreto istruttorio, se è la documentazione riservata di un cliente, se è materiale che riguarda la vita privata di una persona, tu non puoi permettertelo — a prescindere da quanto sia rispettabile il fornitore. Probatio lavora offline, senza connessione, e i byte del reperto non escono mai dalla stanza.

Quanto costa (e quanto costerebbe altrimenti)

Le suite forensi di riferimento stanno intorno ai 3.000–3.500 dollari l'anno, per licenza. Sono strumenti straordinari e per certi lavori restano insostituibili.

Ma se il tuo problema è quello che ho descritto fin qui — questo file è integro? cosa c'è in questa cartella? come lo dimostro in un documento che regga? — non ti serve un laboratorio da trentamila euro. Ti serve uno strumento che risponda a quelle domande, bene, tutti i giorni.

Probatio costa 49 € l'anno. Tutti i moduli, tutti gli aggiornamenti inclusi. E prima di pagare qualsiasi cosa, lo provi gratis.

Non l'ho costruito per venderlo. L'ho costruito perché mi serviva, e continuo a usarlo ogni settimana. Che possa servire anche a te è, sinceramente, il motivo per cui l'ho messo online.

Provalo su un file di cui conosci già la storia

Non credere a niente di quello che hai letto. Fai una cosa più semplice: scarica Probatio e dagli in pasto una cartella che conosci. Calcola gli hash. Genera il report. Firmalo.

Poi guarda il documento che ti ritrovi in mano. È così che ho capito che funzionava.

Scopri Probatio →   Scarica per macOS e Windows

Probatio è complementare a C.E.R.T.O., la suite di acquisizione forense che ho sviluppato per acquisizioniforensi.it: C.E.R.T.O. la prova la crea, acquisendola online; Probatio esamina, verifica e certifica un file che hai già.