Preservare le prove: gestione sicura di vecchi portafogli e dischi

La maggior parte dei fallimenti di recupero evitabili avviene prima di qualsiasi ricerca: l’originale è stato sovrascritto, rinominato, risalvato o caricato da qualche parte. Tratti l’originale come una prova: da questo principio derivano tutte le regole seguenti.

Le prime regole

• Faccia una copia esatta prima di qualsiasi analisi e non lavori mai sull’originale
• Registri l’hash SHA-256 dell’originale; il confronto degli hash consente di verificare che le copie non siano cambiate
• Annoti dove e quando ha trovato il file: dispositivo, cartella, backup, data approssimativa
• Non rinomini i file, non cambi le estensioni e non li apra per poi salvarli nuovamente in un editor
• Non importi un file sconosciuto in portafogli a caso «per vedere cosa succede»
• Non carichi file del portafoglio, frasi di recupero o chiavi in nessun sito o servizio di verifica né «strumento di recupero» online

Vecchi computer e dischi

• Smetta immediatamente di usare il dispositivo dopo una cancellazione: nuove scritture possono sovrascrivere i dati
• Su un disco stabile e leggibile, crei un’immagine prima di lavorare sui file. Se il disco presenta un guasto fisico, smetta di usarlo e lo faccia valutare prima di tentare una copia; letture ripetute, anche con dd o Clonezilla, possono aggravare il danno.
• Il recupero fisico dei dischi è una specialità separata con i propri laboratori; gli strumenti a livello di file non sono la stessa cosa

Malware e falsi strumenti

• Scarichi gli strumenti di recupero solo da fonti ufficiali (GitHub ufficiale, siti ufficiali); i link di ricerca e i mirror dei forum sono una via standard per i malware
• Falsi download «wallet recovery», «wallet checker» e «password recovery» esistono proprio per questo pubblico
• Un servizio di assistenza legittimo non Le chiede di inserire una frase di recupero in un sito web né di caricarvi un file del portafoglio
• Dopo il recupero, sposti i fondi in un nuovo portafoglio e non riutilizzi mai il materiale di chiavi esposto

Limite di sicurezza

Questo riferimento resta entro limiti di sicurezza: la conservazione e l’identificazione del materiale vengono illustrate pubblicamente; le procedure operative di attacco, i sistemi personalizzati per generare candidati e tutto ciò che faciliterebbe concretamente un accesso non autorizzato non vengono pubblicati. In caso di dubbio sul superamento di tali limiti, tratti il materiale come una prova e chieda una valutazione prima di agire.