Prove digitali che si verificano senza il fornitore.

Prima cosa: quale TrueScreen stai cercando?

Se hai cercato recensioni di TrueScreen e sei finito su pagine che parlano di test antidroga e verifica dei titoli di studio, stavi leggendo di un’altra azienda. Due società senza alcun legame condividono il nome.

La domanda da fare a ogni fornitore di prove: chi deve essere ancora in attività perché questa prova resti verificabile?

Un processo civile italiano dura anni, e l’appello aggiunge altri anni. Il vero banco di prova di uno strumento per le prove digitali non è come appare il giorno in cui la prova viene creata, ma cosa ne può fare il consulente tecnico della controparte molto tempo dopo.

Su questo punto la marca temporale qualificata eIDAS è davvero solida, e la appongono entrambi i prodotti. Un token qualificato si convalida con qualsiasi validatore eIDAS sulla base della Trusted List UE, senza la piattaforma che lo ha emesso. Va riconosciuto: quella parte dell’output di TrueScreen non è vincolata al fornitore.

ProofSnap aggiunge due livelli sopra, ed è lì che sta la differenza reale:

• Un ancoraggio pubblico che non richiede alcuna fiducia. Dal piano Professional in su, l’hash del manifest viene marcato tramite OpenTimestamps sulla blockchain Bitcoin e salvato come manifest.json.ots. Per verificarlo non serve un’autorità di certificazione, non serve una trusted list e non serve che un’azienda sia ancora in attività. Servono la catena Bitcoin e un client OpenTimestamps.
• Il verificatore viaggia con la prova. Ogni pacchetto contiene verification/verify.sh e verify.ps1. Leggono il manifest in fase di esecuzione, ricalcolano l’hash di ogni file, verificano se stessi e stampano un esito. Funzionano offline con strumenti standard come OpenSSL, senza ProofSnap installato, anche su una workstation forense isolata dalla rete se il CTU lo pretende. Il Verificatore di autenticità nel browser è pubblicato con licenza MIT.

TrueScreen consegna un report strutturato in PDF e JSON. È un buon documento per chi lo esamina. Non è la stessa cosa di un pacchetto che si riverifica da solo con uno script leggibile in un editor di testo.

Per essere precisi su dove finiscono i tuoi dati: ProofSnap costruisce il pacchetto nel tuo browser e i servizi di marcatura temporale ricevono solo un hash SHA-256, mai il contenuto. L’unica eccezione è la firma C2PA, che invia lo screenshot al servizio di firma.

Che cosa chiede davvero un giudice a un’acquisizione web

Due domande decidono quasi ovunque: il contenuto è inalterato, e la data è attendibile. Cambiano gli strumenti normativi, non le domande.

In Italia l’art. 2712 del codice civile stabilisce che le riproduzioni informatiche «formano piena prova dei fatti e delle cose rappresentate, se colui contro il quale sono prodotte non ne disconosce la conformità ai fatti o alle cose medesime». La partita si gioca quindi sul disconoscimento: più è documentata l’acquisizione, meno è sostenibile contestarla genericamente.

Nell’Unione europea è decisivo il regolamento eIDAS: ai sensi dell’art. 41 del regolamento eIDAS solo la marca temporale qualificata gode della presunzione di legge sulla data e sull’integrità dei dati. La presunzione riguarda data, ora e integrità, non la veridicità del contenuto catturato.

«Una validazione temporale elettronica qualificata gode della presunzione di accuratezza della data e dell’ora che indica e di integrità dei dati ai quali tale data e ora sono associate.»

Regolamento (UE) n. 910/2014 (eIDAS), articolo 41, paragrafo 2, EUR-Lex

Un pacchetto ProofSnap risponde a entrambe le domande con file verificabili, non con dichiarazioni:

• Integrità. manifest.json con hash SHA-256 di ogni file, manifest.sig con firma RSA-4096, publickey.pem per verificarla.
• Data attendibile. Token qualificato eIDAS in manifest.json.tsr con eidas_validation.json per la validazione a lungo termine offline, e ancoraggio Bitcoin in manifest.json.ots.
• Processo. forensic_log.json con catena di hash a prova di manomissione e chain_of_custody.json, con orario verificato via NTP, doppia verifica DNS e WHOIS, più la dichiarazione di ogni modifica al layout eseguita durante la cattura.

Per la Svizzera italiana vedi la pagina dedicata a Ticino e Svizzera italiana. Dettagli tecnici sulla marca temporale qualificata eIDAS.

Informazione generale, non consulenza legale. Per la strategia sul singolo caso rivolgiti al tuo legale.

Cosa c’è dentro uno ZIP ProofSnap

TrueScreen consegna un report in PDF e JSON. ProofSnap consegna i file originali e gli strumenti per controllarli, da 11 a 15 file a seconda del piano.

Domande frequenti

Struttura dei prezzi, indipendenza dal fornitore e inquadramento giuridico sono trattati nelle sezioni precedenti.