La controparte non consegnerà il telefono. E non deve.

Chiedile di esportare lei stessa la conversazione. Sono quattro schermate sul suo computer, senza laboratorio, senza consegnare il dispositivo e senza che niente venga spedito da nessuna parte. Ne escono un PDF e un secondo file molto più piccolo che finisce per .sha256: l’impronta del documento, presa nel momento in cui è stato scritto. Cambia un solo carattere in quel documento e l’impronta smette di corrispondere.

Ogni esportazione dice anche che cosa lascia fuori: quanti messaggi ha tolto un filtro di date, quanti allegati non erano nel backup e quali parole sono state nascoste su richiesta di chi. Un documento che nasconde i propri buchi vale meno di nessun documento.

Lo verifichi senza di noi

L’impronta è un SHA256 ordinario, nel formato che certutil e sha256sum già leggono, e sta accanto a ogni esportazione senza alcuna opzione per toglierla. Su Windows, nella cartella del documento:

certutil -hashfile "conversazione.pdf" SHA256

Su macOS:

shasum -a 256 conversazione.pdf

Confronta i 64 caratteri che stampa con il contenuto del file .sha256. Nessun account, nessun invio e nemmeno il nostro programma: basta il software che lo studio ha già. Per chi riceve un documento del genere dal tuo assistito c’è una pagina che spiega per intero questa verifica, scritta per qualcuno che non ci conosce.

Il documento dichiara la propria origine

Un’impronta risponde a una domanda sola: se questo file è cambiato da quando è stato creato. Da dove venga non lo dice. Quella è l’altra direzione, e il documento le risponde nella sua pagina di integrità: il dispositivo, la versione di iOS, la data del backup, se quel backup era cifrato, e l’SHA256 dei file del database dei messaggi così come stanno dentro al backup.

Ne discendono due cose utili. Chi ha lo stesso backup ricalcola quelle impronte e vede che il documento è nato da quei file e non da altro. E siccome l’impronta è dei byte così come sono archiviati, un terzo può verificare anche un backup cifrato senza la password e senza fidarsi della nostra decifratura. La stessa pagina mette a verbale che il backup è stato aperto in sola lettura e non è stato modificato.

E dichiara i propri buchi

Quella pagina porta anche la portata dell’esportazione: se il documento contiene tutti i messaggi della conversazione oppure un numero su un numero più grande, e poi, riga per riga, che cosa manca. I messaggi fuori dal periodo. Gli avvisi automatici dell’operatore saltati, quei messaggi di chiamata persa che la rete infila nella conversazione. I messaggi nascosti perché chi esportava ha scritto una parola, con quelle parole stampate per esteso, così che l’omissione si possa pesare invece di restare ignota. Le foto o gli allegati esclusi. Le cancellazioni recuperate, incluse e segnalate come tali.

Nella vista giudiziaria quel nascondere è disattivato del tutto, non soltanto lasciato vuoto. L’unico documento in cui «fidati, non è stato tolto niente di importante» è inaccettabile è quello che finisce in un fascicolo: un’esportazione in quella vista non ha proprio il meccanismo per far sparire un messaggio a causa di una parola.

Citare un messaggio su quarantamila

La vista giudiziaria è il modello sobrio: bianco e nero, intestazione formale, niente fumetti colorati. Sceglierla accende anche i dettagli che servono a una trascrizione, invece di lasciare ogni interruttore alla memoria. Orari completi, con i secondi e il fuso. Il numero o l’indirizzo del mittente accanto al nome in rubrica, perché un nome in rubrica si modifica e il numero è l’identificativo. Orari di consegna e di lettura dove il backup li ha registrati. Numerazione progressiva, da #1 a #N su tutto il documento e non ripartendo a ogni pagina, così una risposta si stampa come risposta al #143 e un atto può citare quel numero invece di una pagina e un capoverso.

Un messaggio modificato stampa il testo che aveva prima, con l’ora della modifica, se l’esportazione è stata fatta con la cronologia delle modifiche attiva. Di un messaggio ritirato resta la traccia che in quel minuto qualcosa è stato inviato e poi tolto: il testo è sparito da entrambi i telefoni e nessuno lo recupera, e il documento scrive esattamente questo invece di saltare la riga.

RSMF, quando la destinazione è una piattaforma di revisione

Uno dei cinque formati di esportazione è RSMF (Relativity Short Message Format): la conversazione arriva nella piattaforma di eDiscovery come record con partecipanti, orari e allegati, invece che come un PDF da ribattere a mano. Sta nella stessa licenza una tantum di tutto il resto.

Il limite onesto di questa frase: l’uscita è stata validata contro lo schema del formato e contro un campione del validatore, non contro ogni importatore che dichiara di leggerlo. Se a decidere è la tua piattaforma, esporta una conversazione con la prova gratuita e caricala prima di comprare qualsiasi cosa.

Che cosa non fa, anche senza che lo si chieda

• Non rende ammissibile niente. Lo decide il giudice guardando tutta la catena: da dove viene il telefono, chi lo ha custodito, come è stato fatto il backup e se la prova è stata ottenuta lecitamente. Quello che un programma può fare è rendere economica la verifica e descrivere se stesso con precisione. Niente in questa pagina è consulenza legale.
• Se la controparte contesta, non si guarda il PDF ma l’origine. Cioè il backup, o il telefono stesso, ed è per questo che il consiglio pratico è doppio: tenere la cartella del backup così com’è, senza toccarla, e annotare l’SHA256 del file depositato. Su questo lavora un perito.
• Un’impronta che corrisponde prova byte, non verità. Mostra che il file non è cambiato da quando è stata registrata. Non dice chi abbia scritto i messaggi che contiene, e anche chi avesse costruito una conversazione prima di esportarla otterrebbe un’impronta che corrisponde. È il comportamento giusto, e la schermata di verifica del programma lo dice con le stesse parole.
• La nostra catena comincia dal backup. Quello che è successo al telefono prima sta fuori da ciò di cui un’esportazione può parlare, e un’indagine che richiede una copia forense del dispositivo è un altro mestiere.
• I messaggi cancellati tornano solo dagli ultimi 30 giorni circa. È la finestra che tengono iOS 16 e successivi; escono esportati con la data di cancellazione, e quello che è più vecchio è davvero sparito dal telefono.
• Una chat WhatsApp è un passo più lontana dal telefono. Lì l’origine è il file che WhatsApp scrive su richiesta, non un database letto dall’apparecchio, e non porta fuso orario, conferme di consegna e lettura, reazioni o legame fra risposta e messaggio. Il documento nomina quel file e ne stampa l’SHA256, invece di lasciar credere che si sia letto un telefono. La pagina sul metodo mette a confronto le due fonti nel dettaglio.
• Per depositare conviene il PDF. Un’esportazione in HTML è un documento più una cartella di file multimediali accanto, e l’impronta copre il file che nomina. Un PDF è un file, un’impronta e una cosa sola da produrre.

Che cosa chiedere al tuo assistito

1. Di fare il backup dell’iPhone sul proprio PC con il software di Apple, l’app Dispositivi Apple o iTunes. Un backup cifrato non è un ostacolo: ChatExport chiede quella password e lo legge normalmente.
2. Di installare ChatExport, aprire il backup e prendere la conversazione intera invece di un periodo. Un periodo che comincia il giorno prima del messaggio utile invita la domanda su che cosa manchi.
3. Di scegliere PDF e vista giudiziaria, lasciando dentro foto e allegati.
4. Di mandarti entrambi i file, il documento e il .sha256 accanto, e di scrivere l’impronta anche nel testo del messaggio. Un valore dato prima che qualcuno facesse domande vale più del file stesso.
5. Di non toccare più la cartella del backup. È lì che si guarda se viene contestata l’autenticità, e una seconda esportazione da quel backup si legge uguale. Quel file nuovo porterà un altro SHA256, perché ogni esportazione timbra la propria data e il proprio identificativo: l’impronta prova che un file non è cambiato, mai che due esportazioni siano identiche byte per byte.

Guardane una prima di consigliarlo

Apri un’esportazione di esempio in vista giudiziaria, prodotta dal programma e non disegnata per questa pagina, con un messaggio modificato stampato sopra il testo che aveva sostituito. La prova gratuita è il programma intero, con la filigrana e i 50 messaggi più recenti, e non scade: una conversazione vera si può quindi provare prima di pagare.

Una domanda su una pratica che hai davanti si risolve meglio per email che con una pagina: support@getchatexport.com arriva direttamente a me.

Scarica per Windows