Come leggere un pacchetto di prove ProofSnap

Parte 1

Che cosa contiene lo ZIP

Un'acquisizione di pagina web viene consegnata come un unico ZIP, con un nome come proofsnap_20261014_153012.zip, composto dalla data e dall'ora locali del tuo computer. I file si dividono in quattro gruppi. L'elenco esatto dipende dal piano e dalle opzioni attive, quindi due pacchetti possono essere diversi.

1. 1Leggere. evidence.pdf è il documento da leggere: aprilo per primo. provenance_certificate.pdf riassume i controlli in una pagina. Lo screenshot completo è screenshot.jpeg. page.html è l'HTML così come il browser l'ha visualizzato; page.mhtml salva la pagina nello stato dell'acquisizione in un unico file, e domtextcontent.txt ne contiene il testo. images.json elenca le immagini della pagina, con l'hash SHA-256 di ogni file immagine salvato nel pacchetto. Questi file si trovano nella cartella images/, estratti dall'archivio MHTML quando questo contiene immagini.
2. 2Registrare. metadata.json è il registro tecnico della pagina e del browser; chain_of_custody.json e forensic_log.json documentano chi ha acquisito che cosa, quando e come, e forensic_log_summary.txt è il registro in formato testo. Vedi le parti 9 e 10.
3. 3Sigillare. manifest.json elenca i file dell'acquisizione con i loro hash, manifest.sig è la sua firma RSA-4096 e publickey.pem la chiave per verificarla. manifest.json.ots è, se il piano la include, la marca temporale Bitcoin (OpenTimestamps). Vedi la parte 11.
4. 4Verificare. La cartella verification/ contiene verify.sh per macOS e Linux, verify.ps1 per Windows e una guida in formato testo. Vedi la parte 12.

Parte 3

evidence.pdf, pagina 1: riepilogo e screenshot

Il documento delle prove viene generato nella lingua scelta prima dell'acquisizione, una delle 29 disponibili. Le sue sezioni sono numerate da 1 a 15 e i numeri non cambiano mai, così un avvocato può citare una sezione in qualsiasi atto tramite il suo numero. La pagina 1 inizia con l'intestazione e un riquadro di riepilogo e passa subito allo screenshot.

1. 1Riquadro di riepilogo. Dominio della pagina, Ora dell'acquisizione in UTC, Custode (l'ID del custode, cioè dell'account ProofSnap, e l'indirizzo IP da cui è stata eseguita l'acquisizione) e Hash, l'hash SHA-256 di page.html. Se è stata richiesta una marca temporale qualificata UE, una riga eIDAS indica che la marca temporale è applicata quando il pacchetto contiene i file eIDAS.
2. 21. Screenshot della pagina. La pagina compare per prima, perché è essa la prova. Tutto il resto la sostiene.
3. 3La banda blu. ProofSnap aggiunge in cima allo screenshot una banda con URL, ora UTC, scostamento NTP e ID della prova, contrassegnata come annotazione perché non venga scambiata per la barra degli indirizzi del browser. La nota sotto il nome del file lo spiega e chiarisce che il contenuto della pagina sottostante non è stato modificato.
4. 4Piè di pagina su ogni pagina. Strumento e versione, un link a getproofsnap.com, l'ID completo della prova e Pagina X / Y, così in una stampa nessuna pagina può mancare o essere scambiata senza che ce ne si accorga.

Parte 9

metadata.json: il registro tecnico

I file JSON restano in inglese indipendentemente dalla lingua scelta per il documento delle prove, così strumenti e consulenti tecnici possono leggerli. metadata.json contiene per intero tutto ciò che il PDF riassume. Apri il file con un qualsiasi editor di testo o browser.

1. 1Pagina. URL, titolo, ora dell'acquisizione, user agent, referrer e i meta tag della pagina.
2. 2Stato del browser. I cookie, l'archiviazione locale e l'archiviazione di sessione della pagina, nella misura in cui la pagina poteva leggerli, completi e non mascherati. Tratta il pacchetto come riservato.
3. 3Connessione. I dati TLS, nella misura in cui il browser li rende disponibili.
4. 4Interrogazioni. ID della prova, i risultati DNS, le intestazioni della risposta HTTP e il WHOIS. Anche l'ambito dello screenshot (pagina intera o area visibile) e le dimensioni della pagina si trovano qui.

Parte 11

manifest.json, la firma e le marche temporali

Il sigillo del pacchetto. Tutto il resto viene confrontato con manifest.json, e il manifest viene confrontato con la sua firma e con le sue marche temporali.

1. 1Intestazione. Versione del manifest, l'ID della prova sotto la chiave capture_id, URL di origine e ora dell'acquisizione.
2. 2File. I file dell'acquisizione con SHA-256, SHA-512 e dimensione. Se cambia un solo byte di un file elencato, il suo hash non corrisponde più. publickey.pem e manifest.sig vi compaiono solo con il nome, mentre i file delle marche temporali ed eidas_validation.json, che nascono dopo il manifest, non vi compaiono.
3. 3Firma e chiave. manifest.sig è una firma RSA-4096 del manifest e publickey.pem la chiave per verificarla. La firma lega fra loro gli hash dei file elencati; la coppia di chiavi viene generata di nuovo per ogni acquisizione e la chiave pubblica si trova nello ZIP, perciò solo le marche temporali ancorano il manifest nel tempo. manifest.json.ots ancora l'hash del manifest alla blockchain di Bitcoin e dimostra che esisteva al più tardi al momento del blocco di ancoraggio; manifest.json.tsr è, quando presente, la marca temporale qualificata.

«A time-stamping service supports assertions of proof that a datum existed before a particular time.» (Un servizio di marcatura temporale permette di sostenere, a titolo di prova, che un dato esisteva prima di un determinato momento.)

IETF RFC 3161 (2001), sezione 1, lo standard su cui si basa la marca temporale qualificata in manifest.json.tsr

Entrambe le marche temporali si riferiscono all'hash di manifest.json, non alla pagina stessa. Per verificare a mano l'ancoraggio Bitcoin, leggi la guida «Come verificare un file OpenTimestamps (.ots)».

Parte 13

Che cosa consegnare a un avvocato o al giudice

Consegna lo ZIP esattamente come è stato scaricato. Per leggere i file estraine delle copie, ma non modificare gli originali e non salvarli né comprimerli di nuovo. Il documento da leggere e stampare è evidence.pdf; è lo ZIP a renderlo verificabile.

1. 1Modello di dichiarazione per un tribunale statunitense. Se chi ha eseguito l'acquisizione ha attivato in «Moduli giudiziari» l'opzione «Certificazione di autoautenticazione», il pacchetto contiene un modello di dichiarazione di autoautenticazione per un tribunale federale degli Stati Uniti. Una persona qualificata deve completarne e firmarne una copia, e la regola federale statunitense sulle prove richiede inoltre di dare alla controparte, prima del dibattimento o dell'udienza, un congruo preavviso scritto della produzione del documento, e di metterle a disposizione per l'esame il documento e la dichiarazione, così che possa contestarli. Lascia invariato il modello nel pacchetto: se venisse modificato, non corrisponderebbe più al suo hash nel manifest.
2. 2Scarica subito. ProofSnap non conserva alcuna copia, quindi lo ZIP scaricato è l'originale.
3. 3Uno ZIP per acquisizione. Mettilo agli atti e consegna lo stesso ZIP alla controparte e al giudice, così tutti possono eseguire gli stessi controlli.