Sistemi informatici e indirizzi IP: la base del world wide web.
Le dimensioni odierne raggiunte dal fenomeno rappresentato dai cd. computer crimes, di pari passo con la diffusione dell’uso di sistemi informatici nella Pubblica Amministrazione e nell’attività imprenditoriale, impongono oggi più che mai uno sforzo di produzione normativa e di classificazione delle fattispecie penali che tenga conto del continuo, diuturno, aggiornamento tecnologico che investe la materia[1].
Il Legislatore Italiano, spesso in adempimento agli obblighi di cooperazione europea od internazionale, ha nell’ultimo decennio introdotto nell’ordinamento diverse disposizioni aventi come oggetto la tutela dei “sistemi informatici”. A titolo di esempio si possono ricordare:
– L. 547/1993 (modifiche ed integrazioni alle norme del codice penale e del codice di procedura penale in tema di criminalità informatica);
– L. 197/1991 (norme per prevenire l’utilizzazione del sistema finanziario a scopo di riciclaggio);
– D. Lvo 82/2005 (Codice dell’amministrazione digitale; norme in materia di documentazione informatica e di firma elettronica e digitale)
– L. 248/2000 (modifiche alla legge 633/1941, in tema di diritto d’autore);
– L. 269/1998 (norme contro lo sfruttamento della prostituzione, della pornografia, del turismo sessuale in danno di minori, anche condotti per via telematica);
– D. Lvo n. 196 del 30.6.03 (codice in materia di protezione di dati personali, così come modificato dalla Legge n. 45/2004);
– L. 38/2006 (disposizioni in materia di lotta contro lo sfruttamento sessuale dei bambini e la pedopornografia anche a mezzo Internet);
– L. 48/2008 (Ratifica ed esecuzione della Convenzione del Consiglio d’Europa sulla criminalità informatica);
– L. 172/2012 (Ratifica ed esecuzione della Convenzione Lanzarote del Consiglio d’Europa;
Come sovente accade, in nessuna delle norme appena menzionate il Legislatore ha fornito una definizione precisa di “sistema informatico”, e così è stato compito della Giurisprudenza quello di rinvenirne una nozione unitaria che fosse compatibile con le esigenze di tutela dei diversi beni giuridici protetti, sottese alla copiosa produzione normativa in materia[2].
La Corte di Cassazione (Sez. VI n. 3067 del 14.12.1999; Sez. V n. 31135 del 6.7.2007) si è così pronunciata in materia: “deve ritenersi “sistema informatico”, secondo la ricorrente espressione utilizzata nella legge 23 dicembre 1993, n. 547, che ha introdotto nel codice penale i cosiddetti “computer’s crimes”, un complesso di apparecchiature destinate a compiere una qualsiasi funzione utile all’uomo, attraverso l’utilizzazione (anche parziale) di tecnologie informatiche, che sono caratterizzate – per mezzo di un’attività di “codificazione” e “decodificazione” – dalla “registrazione” o “memorizzazione”, per mezzo di impulsi elettronici, su supporti adeguati, di “dati”, cioè di rappresentazioni elementari di un fatto, effettuata attraverso simboli (bit), in combinazione diverse, e dalla elaborazione automatica di tali dati, in modo da generare “informazioni”, costituite da un insieme più o meno vasto di dati organizzati secondo una logica che consenta loro di esprimere un particolare significato per l’utente”.
Alla stessa maniera, la giurisprudenza italiana ha elaborato il concetto di “domicilio informatico”, coincidente con il complesso di apparecchiature che utilizzano tecnologie informatiche, dai quali il legittimo utente ha il diritto di escludere i terzi, prescindendo dall’integrità dei dati in essi contenuti; è “domicilio informatico” quello spazio ideale (ma anche fisico in cui sono contenuti i dati informatici) di pertinenza della persona, cui si estende la tutela della riservatezza della sfera individuale, quale bene anche costituzionalmente protetto (art. 15 Cost.). Tuttavia, tale domicilio informatico è strutturato tecnicamente in modo che tutti i computer collegati in rete comunichino tra loro, contemporaneamente, senza sovrapporsi e senza interferenza attraverso l’assegnazione di un indirizzo IP. Oggigiorno la quasi totalità dei dispositivi collegati ad una rete, ivi compresa la grande rete globale di Internet, utilizzano infatti il protocollo TCP/IP come standard per la comunicazione digitale. I computer utilizzano così, l’identificativo unico per trovare uno specifico destinatario all’interno del network, esattamente come noi, quando inviamo una lettera, scriviamo l’indirizzo del destinatario sulla busta. Ogni entità presente sul web è quindi dotata di un indirizzo Ip. Naturalmente non sarebbe agevole per l’utente ricordarsi di agglomerati numerici per accedere a determinati servizi. Per tale motivo quando navighiamo su internet utilizziamo solitamente dei nomi di dominio contraddistinti dal www.nomedominio.estensione (es. www.google.it). In realtà però quando chiediamo al nostro browser di voler visitare un dominio, esso non utilizza quel nome per accedervi ma ha bisogno del suo indirizzo IP che identifica univocamente un dominio nel web. Il DNS è quello che si occupa proprio di questo lavoro di transcodifica. Esso deve contenere una tabella di corrispondenza tra nome di dominio e IP address e deve essere capace di rispondere alle richieste di transcodifica che gli arrivano. Il sistema dei DNS può essere descritto in breve come il più grande database distribuito dell’intero pianeta in cui sono catalogati tutti i siti web esistenti. Senza questo database difficilmente internet avrebbe potuto assumere una connotazione così ampia nella vita digitale degli utenti. Su internet dunque, ogni macchina connessa ha un indirizzo IP univoco di 32 bit chiamato appunto IP address (Internet Protocol Address) ed espresso come 4 numeri (che vanno da un range da 0 a 255) divisi da punti. Es. 125.125.125.125. I 4 numeri vengono detti ottetti perchè coprono un range di valori da 0 a 255 (28)[3]. L’indirizzo IP assegnato può assumere la forma di un indirizzo statico oppure di un indirizzo dinamico. Gli indirizzi del primo tipo sono relativamente rari in quanto richiedono configurazioni del software che gestisce la connessione di rete più complicate ed inoltre richiedono che tale indirizzo IP sia “riservato” a quel particolare dispositivo anche quando esso non è presente in rete (ovvero è disconnesso), il che, come abbiamo visto prima, comporta un serio spreco di risorse. Gli indirizzi del secondo tipo sono di gran lunga i più comuni e vengono assegnati dinamicamente dal DHCP (Dynamic Host Configuration Protocol), ovvero dal servizio di rete che si occupa proprio di “staccare” il primo IP disponibile (ovvero non “riservato”, come ad esempio un IP statico) associandolo al dispositivo che ne ha appena fatto richiesta. La caratteristica di questo secondo tipo di IP è quella di essere “dati in prestito” e pertanto sempre “riutilizzabili”. In pratica, un dispositivo cui è stato assegnato un indirizzo IP dinamico lo può conservare soltanto per un determinato tempo, scaduto il quale gli viene ritirato dal DHCP che però di solito procede subito a fornigliene uno nuovo (o, al limite, anche lo stesso di prima). Stessa cosa succede se il dispositivo si disconnette dalla rete per un tempo congruo: il suo indirizzo IP viene “ritirato” dal DHCP che può quindi riutilizzarlo per un diverso dispositivo[4]. In questo modo, ogni Internet Provider potrà sfruttare l’ “arco di numerazione” dei propri indirizzi IP per un numero di clienti superiore a quello degli indirizzi disponibili. Alcuni enti di grosse dimensioni dispongono invece di indirizzi IP “fissi”, cosicchè tutti i “contatti” indirizzati dai loro browser alle rete risulteranno contrassegnati dall’utilizzo dello stesso indirizzo IP[5]. Tuttavia, le problematiche connesse all’assegnazione di un IP dinamico sono svariate e non sempre si è in grado, soprattutto in materia di accertamento dell’A.G. in materia penale, dell’indagato identificarne il numero.
Ipotizziamo, ad esempio, che la società Tiscali Net S.p.A., risponda alla P.G. che in data 23 novembre 2008 alle ore 15:22, l’IP dinamico 213.205.21.209 era assegnato a tale Sig. Verdi Luca, residente a Roma in Piazza Venezia n. 1, intestatario del contratto d’utenza residenziale o business 06/1234567[6]. L’accertamento tuttavia, non si è concluso per diversi ordini di motivi. Innanzitutto il trattamento dei dati personali della società, ivi comprensivo l’acquisizione del file di log posseduto nei loro server, avviene in assenza di contraddittorio tra le parti. Inoltre, non è verificabile se realmente il Provider non abbia commesso errori di identificazione.
Non si può escludere a priori, che qualche esperto del web riesca a camuffare l’identità di un ignaro utente che si ritrova così in un mare di guai. In secondo luogo, l’IP associato all’utenza residenziale o business, potrebbe essere gestito da un Internet Point, i cui titolari non sono soliti identificare i propri clienti, o che gli stessi abbiano presentato documenti falsificati o del tutto falsi e che comunque non possono conservare e verificare il traffico effettuato dai propri clienti; o ancora l’intestatario dell’utenza potrebbe essere deceduto ed i dati del contratto di servizio telefonico non sono stati aggiornati; o ancora, come accade di sovente, l’intestatario potrebbe non aver adottato misure minime di sicurezza per la propria rete Wi-Fi esponendosi a collegamenti e/o connessioni di utenti terzi non identificabili[7]. Oppure il reale utilizzatore del servizio in rete potrebbe essere un minore non imputabile. Ancora: l’accesso alla risorsa incriminata potrebbe avvenire da un dispositivo mobile, la cui utenza potrebbe essere associata ad un individuo che abbia fornito dati mendaci al momento della stipula del contratto con il proprio ISP, o che comunque non risieda in Italia[8].
Tali eventi si verificano di frequente poiché il sistema normativo italiano, allo stato attuale, non prevede alcun obbligo di identificazione sicura del soggetto che stipula un contratto o che comunque di fatto inizia un rapporto con un Provider[9]. Il problema sorge, perché in Italia non vi sono leggi che regolano le operazioni di analisi di questa tipologia di dati. Infatti, perizia e consulenza tecnica ruotano attorno alle “specifiche competenze” ex art. 220 comma 1 del codice di procedura penale.
Da qui è nata la necessità dell’impiego di uno strumento tecnico-scientifico, non imposto, la cui individuazione compete all’esperto che deve attingerlo dal patrimonio della scienza e della tecnica.
Il legislatore nel descrivere gli accertamenti tecnici previsti dal codice, in materia di indagini, si limita ad elencare gli istituti già previsti per le nuove tecnologie digitali. Nello specifico:
- Ispezione (244 c.p.p.) e Perquisizione (247 c.p.p.) la legge 48/2008 di ratifica della convenzione “Cybercrime” ha modificato l’articolo 244 c.p.p. sancendo che: “è disposta l’ispezione, anche in relazione a sistemi informatici o telematici, adottando misure tecniche dirette ad assicurare la conservazione dei dati originali e ad impedirne l’alterazione.
- Accertamenti urgenti (354 c.p.p.): in relazione ai dati, alle informazioni e ai programmi informatici o ai sistemi informatici o telematici, gli ufficiali della polizia giudiziaria adottano le misure tecniche o impartiscono le prescrizioni necessarie ad assicurarne la conservazione e ad impedirne l’alterazione e l’accesso e provvedono, ove possibile, alla loro immediata duplicazione su adeguati supporti, mediante una procedura che assicuri la conformità della copia all’originale e la sua immodificabilità.
- Sequestro presso provider (254-bis): Nel caso di sequestro di dati informatici presso fornitori di servizi telematici e di telecomunicazioni, l’autorità giudiziaria, quando dispone il sequestro, presso i fornitori di servizi informatici, può disporre che la loro acquisizione avvenga mediante copia di essi su adeguato supporto, con una procedura che assicuri la conformità dei dati acquisiti a quelli originali e la loro immutabilità.
Sarebbe dunque necessario un lavoro sinergico tra gli organi istituzionali dello Stato e le comunità scientifiche e universitarie al fine di delineare un quadro normativo esaustivo e delle linee guida idonee a definire e circoscrivere al massimo alcuni principi cardine sull’integrità dei dati, la ripetibilità degli accertamenti e soprattutto la possibilità di prendere in considerazione l’idea di assegnare ad ogni utente della rete un proprio indirizzo IP, riferibile esclusivamente alla postazione da cui si connette.
(Fonte: TUTINO D. – SANGRIGOLI G., Privacy e tutela dei soggetti deboli nella società del 3.0. Una Carta fondamentale per Internet, Edizioni Accademiche Italiane – OmniScriptum GmbH & Co. KG, Saarbrücken 2016, ISBN 978-3-639-77167-1 – , Cap. 3, par. 2.1)
[1] TESTA F., Cybercrime, intercettazioni telematiche e cooperazione giudiziaria in materia di attacchi ai sistemi informatici in http://www.personaedanno.it/index.php?option=com_content&view=article&id=29499&catid=173&Itemid=420&mese=03&anno=2009.
[2] Ivi.
[3] Cfr http://www.comefunziona.net/arg/dns/3/.
[4] CHIARELLO E., L’indirizzo IP, la base del world wide web. Alla scoperta del protocollo standard per la comunicazione digitale, in http://www.fastweb.it/internet/che-cos-e-l-indirizzo-ip/.
[5] TESTA F., Cybercrime, intercettazioni telematiche e cooperazione giudiziaria in materia di attacchi ai sistemi informatici, op. cit.
[6] SPECCHIO G., Attività Investigativa in Internet in http://www.carabinieri.it/Internet/Editoria/Rassegna+Arma/2012/1/Studi/02_studi.htm.
[7] Cfr. in tal senso, Cass. Pen. Sez. V, sent. 22205/09 : “Pur a fronte di una ricostruzione dibattimentale che ha dimostrato il rapporto di conoscenza e di amicizia intercorrente tra l’imputato e la persona offesa, poiché con un collegamento ADSL Wi-Fi senza protezione (circostanza non verificata dalla P.G. nel corso delle indagini ma emersa dalla complessiva istruttoria dibattimentale in relazione ai fatti contestati) chiunque può utilizzare un computer per mandare messaggi in Internet aventi IP riconducibili alla medesima connessione, non può dirsi raggiunta la prova, oltre ogni ragionevole dubbio, di un invio da parte dell’imputato in assenza dell’analisi del computer da lui utilizzato».
Nel caso venisse identificata l’utenza residenziale o business tramite la quale si sospetta che sia stata posta in essere la condotta antigiuridica, l’Ufficiale di Polizia Giudiziaria che interviene sulla scena del crimine, procederà ad una perquisizione telematica in modo tale da ricercare i dati d’interesse per le indagini, i quali dovranno essere successivamente sequestrati”.
[8] Ivi.
[9] TESTA F., Cybercrime, intercettazioni telematiche e cooperazione giudiziaria in materia di attacchi ai sistemi informatici, op. cit.
