CTU su MacBook Pro: cosa raccontano i log e cosa verificano i test hardware
Un computer può funzionare regolarmente durante una perizia e avere manifestato problemi in precedenza. Allo stesso modo, la presenza di errori nei registri di sistema non dimostra automaticamente il blocco dell’intera macchina.
Una consulenza tecnica d’ufficio svolta su un MacBook Pro nell’ambito di una controversia civile davanti al Giudice di Pace offre un esempio concreto di questa distinzione. L’indagine ha affiancato ispezione fisica, esame del sistema operativo, analisi dei log e prove di funzionamento prolungate.
Il risultato è una ricostruzione articolata: durante le verifiche il computer è rimasto funzionante; gli elementi raccolti hanno portato il CTU a concludere che il disco fosse stato sostituito; la causa precisa e la cronologia dei blocchi segnalati non sono state accertate direttamente.
Il caso è presentato in forma anonimizzata. Sono omessi i riferimenti alle parti, ai loro rappresentanti, all’ufficio giudiziario specifico e agli identificativi del dispositivo. I nomi dei prodotti sono mantenuti esclusivamente quando necessari a descrivere le verifiche tecniche.
Il problema segnalato e le domande della consulenza
La controversia riguardava un portatile per il quale erano stati segnalati blocchi con immagine fissa sullo schermo, cursore immobile e difficoltà a eseguire lo spegnimento ordinario, rendendo necessario quello forzato.
La documentazione descriveva più passaggi presso il venditore e l’assistenza. Questa ricostruzione proveniva dagli atti e dalle dichiarazioni raccolte: non costituiva, di per sé, una diagnosi tecnica dei malfunzionamenti.
Al CTU veniva chiesto di verificare quattro aspetti:
- se il computer avesse funzionato nel tempo o fosse rimasto inutilizzabile per malfunzionamenti;
- quali problemi si fossero verificati e in quale periodo;
- se fossero stati eseguiti interventi riparatori;
- se, al momento degli accertamenti, il dispositivo fosse funzionante e idoneo al suo impiego.
La parte utilizzatrice aveva inoltre mostrato al consulente un filmato, registrato con un telefono, nel quale era visibile il blocco dell’immagine e del cursore. Mancavano però riferimenti temporali univoci che permettessero di collegare quell’episodio a specifiche registrazioni del sistema.
Il limite iniziale: una storia documentale incompleta
Il MacBook Pro era stato consegnato con il proprio alimentatore, ma senza immagini di backup, verbali delle precedenti ispezioni e una documentazione completa dei passaggi tra utilizzatore, venditore e assistenza.
Mancavano anche documenti di trasporto e rapporti tecnici utili a stabilire con precisione quando il computer fosse stato preso in carico, restituito o sottoposto a interventi.
La relazione evidenzia una conseguenza importante: gli accertamenti riguardavano ciò che era effettivamente presente sul dispositivo alla consegna al CTU. Non era possibile garantire retrospettivamente la completezza e l’inalterazione di tutte le tracce attraverso i precedenti passaggi.
Questo limite non veniva presentato come prova di manipolazioni. La relazione precisava che non risultavano agli atti sospetti specifici di inquinamento delle tracce informatiche.
Anche la corrispondenza allegata documenta il tentativo di ottenere una cronologia più precisa. Le informazioni restituite restavano tuttavia indicative e basate sul ricordo, senza il supporto dei documenti richiesti.
Le operazioni effettivamente documentate
L’attività comprendeva l’ispezione esterna del portatile e l’apertura dello sportello di servizio per osservare il vano batteria e disco. Non venivano descritte ulteriori operazioni invasive sull’hardware.
Seguivano la verifica della configurazione, delle versioni e degli aggiornamenti, l’esame delle applicazioni installate e l’identificazione ed estrazione dei file di log.
Il computer veniva poi sottoposto ad Apple Hardware Test e a una prova di utilizzo intensivo prolungato.
La relazione non documenta la creazione, da parte del CTU, di un’immagine forense bit-a-bit del supporto né una procedura di verifica mediante hash dell’acquisizione. L’attività descritta va quindi rappresentata per ciò che risulta dagli atti: un’indagine tecnica sul dispositivo, sulle registrazioni disponibili e sul suo comportamento durante le prove.
L’ispezione fisica e il riscontro sul disco
Il portatile si presentava in buono stato estetico e meccanico. La relazione non rilevava anomalie significative nelle parti esterne, nelle cerniere, nei connettori e nel funzionamento elettrico osservato.
Il riscontro più rilevante riguardava il disco rigido: la sua data di produzione era successiva a quella del computer.
Questo elemento permetteva di riconoscere che il supporto presente al momento della consulenza era stato installato successivamente alla produzione del portatile. Capacità e caratteristiche risultavano equivalenti a quelle della dotazione originaria; il CTU interpretava quindi la sostituzione come un intervento riparatorio, escludendo una finalità di incremento delle prestazioni o dello spazio disponibile.
Occorre distinguere i livelli della ricostruzione: la posteriorità del disco era un riscontro materiale; la finalità dell’intervento derivava dalla valutazione congiunta di quel dato e delle altre evidenze.
Non era invece possibile stabilire con certezza chi avesse effettuato la sostituzione.
Sistema operativo, applicazioni e aggiornamenti
Il MacBook Pro utilizzava Mac OS X Leopard. Durante l’ispezione il sistema si presentava correttamente configurato, senza evidenti messaggi di errore nell’interfaccia utente.
La verifica rilevava aggiornamenti software e firmware non applicati. Il CTU ne raccomandava l’installazione prima del successivo utilizzo.
La relazione introduceva però una distinzione: gli aggiornamenti firmware esaminati riguardavano aspetti come il comportamento dell’unità ottica e gli indicatori di alimentazione e batteria. Veniva quindi ritenuto poco probabile che potessero risolvere i blocchi descritti.
Erano presenti anche applicazioni di terze parti. La loro installazione non veniva considerata sufficiente a stabilire un collegamento causale con i problemi segnalati.
L’accertamento degli aggiornamenti mancanti non equivaleva, dunque, all’individuazione della causa del malfunzionamento.
Analisi dei log: ricostruire attività e manutenzione
L’esame interessava tre aree principali: /var/log, la cartella dei log generali delle librerie e quella dei log del profilo utente.
Le registrazioni considerate comprendevano tracce di configurazione iniziale, manutenzione periodica, installazione e aggiornamento del software, accesso al sistema, verifica del file system e crash delle applicazioni.
Le tracce di attività del computer
I registri di configurazione e manutenzione conservavano informazioni distribuite lungo la storia del sistema. I file Apple System Log consentivano inoltre di individuare numerose giornate nelle quali il computer era stato acceso e operativo almeno per un intervallo di tempo.
La relazione precisava che questo elenco non era esaustivo. Altre registrazioni documentavano operazioni in giornate assenti dall’insieme dei file ASL disponibili.
La presenza di una traccia dimostra quindi una specifica attività registrata. Non dimostra che il computer abbia funzionato senza interruzioni per tutta la giornata. Analogamente, una lacuna nei log non permette, da sola, di concludere che il dispositivo fosse spento o guasto.
Verifica del volume e riparazione dei permessi
Tra gli elementi più significativi figuravano fsck_hfs.log e il registro di Utility Disco.
Le registrazioni riportavano una verifica del volume conclusa con esito positivo e una successiva operazione di riparazione dei permessi, con numerose differenze segnalate.
Incrociando queste tracce con la data di produzione del disco, il CTU ricostruiva una sostituzione del supporto accompagnata dal trasferimento dei dati precedenti. Nelle risposte ai quesiti la relazione descrive tale trasferimento come clonazione.
Questa operazione appartiene alla ricostruzione dell’intervento precedente alla consulenza: non va confusa con un’acquisizione forense eseguita dal CTU.
La verifica del volume e la riparazione dei permessi sono direttamente documentate dai log. Il collegamento con il ripristino dei dati sul disco sostitutivo costituisce l’interpretazione tecnica formulata nella relazione sulla base dell’insieme dei riscontri.
I crash delle applicazioni non identificavano i blocchi denunciati
Nella cartella CrashReporter erano presenti diverse decine di rapporti relativi ad applicazioni di grafica, browser e altri programmi.
Tra gli errori esaminati comparivano eccezioni EXC_BAD_ACCESS, con riferimenti a SIGBUS, SIGSEGV, KERN_PROTECTION_FAILURE e KERN_INVALID_ADDRESS.
La relazione non individuava in questi rapporti un’evidenza chiara e diretta dei blocchi complessivi segnalati dalla parte utilizzatrice.
Un arresto anomalo di un’applicazione e il congelamento dell’intero computer sono eventi differenti. Per collegarli sarebbero serviti riscontri ulteriori, come una corrispondenza temporale affidabile con gli episodi osservati, resoconti di utilizzo o documentazione fotografica.
Il CTU non escludeva in assoluto una componente hardware, ma non la riteneva dimostrata dai crash esaminati.
Apple Hardware Test: esito regolare nelle prove eseguite
Il computer veniva sottoposto ad Apple Hardware Test sia nella modalità di base sia in quella estesa.
Secondo quanto riportato nella relazione, entrambe le modalità venivano superate senza segnalazioni di errori, guasti o malfunzionamenti.
L’esito sosteneva la valutazione positiva dello stato hardware durante gli accertamenti. Non permetteva però di ricostruire direttamente il comportamento del disco precedentemente installato, ormai sostituito, né di dimostrare l’assenza di qualsiasi problema passato.
La prova di utilizzo intensivo per 24 ore
Alla diagnostica veniva affiancata una prova prolungata con più applicazioni concorrenti, per sollecitare CPU, memoria, disco e grafica.
Il carico documentato comprendeva:
- cinque riproduzioni video con VLC;
- cinque riproduzioni video con QuickTime;
- AutoCAD in editing;
- Photoshop in editing;
- Google Earth in consultazione.
La prova proseguiva per 24 ore consecutive. La relazione riferisce che il sistema si era mantenuto funzionale e controllabile dall’utente, senza blocchi o malfunzionamenti osservati.
Si trattava di una valutazione qualitativa del comportamento sotto carico. Non venivano presentate misurazioni quantitative delle prestazioni né una campagna di benchmark.
Il risultato concreto era la mancata riproduzione del problema nelle condizioni sperimentate.
Le conclusioni della CTU e il loro grado di certezza
La relazione concludeva che, sulla base delle tracce disponibili, non emergevano blocchi particolarmente gravi o sistematici tali da dimostrare una prolungata indisponibilità del computer.
Riconosceva però l’impossibilità di stabilire con certezza se e quando si fossero verificati gli episodi segnalati: nei log esaminati mancava un’evidenza chiara e diretta di quei blocchi.
Il CTU riteneva altamente probabile un guasto alla meccanica o all’elettronica del disco originario. L’ipotesi veniva sostenuta dalla sostituzione del supporto e dalla considerazione che alcuni guasti del disco possono impedire proprio la scrittura delle informazioni diagnostiche.
Questa rimaneva una conclusione probabilistica. La relazione non documenta un esame diretto del disco rimosso che permetta di identificarne il difetto.
Quanto alla collocazione temporale dell’intervento, il documento contiene un riferimento non uniforme al mese della sostituzione. È quindi più prudente valorizzare la convergenza tra riscontro fisico e log, senza attribuire all’intervento una precisione cronologica superiore a quella effettivamente sostenibile.
Al momento delle prove il MacBook Pro veniva infine giudicato funzionante e idoneo all’impiego previsto. Questa valutazione riguardava il dispositivo nello stato esaminato e nel contesto tecnico dell’epoca.
Cosa insegna questo caso di Digital Forensics
La consulenza mostra il valore dell’incrocio tra fonti differenti: osservazione del componente fisico, registrazioni del sistema, documentazione degli interventi e comportamento durante i test.
Mostra anche quanto contino i limiti delle evidenze. I log possono documentare attività e manutenzione senza registrare ogni malfunzionamento. Un test superato descrive il comportamento nelle condizioni provate. Una sostituzione hardware può essere riconosciuta anche quando mancano i rapporti di assistenza, ma restano aperte domande su autore, data e motivo preciso dell’intervento.
In questo caso il risultato più solido nasce proprio dalla distinzione tra ciò che è stato osservato, ciò che è stato ricostruito e ciò che non è stato possibile verificare: funzionamento regolare durante gli accertamenti, sostituzione del disco riconosciuta dal CTU e origine dei blocchi pregressi attribuita al supporto originario soltanto in termini probabilistici.
