Quando si deve consultare in modo ordinato il contenuto di un backup locale di Signal, una soluzione pratica consiste nel generare il backup direttamente dall'applicazione e successivamente elaborarlo con signalbackup-tools, ottenendo un report HTML navigabile.

La procedura descritta di seguito parte dal dispositivo sul quale Signal è già accessibile, utilizza una memoria USB collegata tramite OTG come destinazione del backup e termina sul computer di analisi, dove il file .backup viene interpretato mediante signalbackup-tools_win.exe.

Il flusso operativo

Il procedimento può essere riassunto in quattro passaggi: configurazione del backup in Signal, scelta della memoria USB, conservazione della passphrase e parsing del file sul computer.

Accesso a Signal e apertura del menu dal quale raggiungere le impostazioni.

1. Scaricare signalbackup-tools

Per prima cosa occorre predisporre sul computer l'eseguibile signalbackup-tools_win.exe. Il programma è disponibile nella sezione Releases del repository GitHub del progetto:

Scarica signalbackup-tools da GitHub

Il file verrà utilizzato solo dopo avere creato il backup sullo smartphone.

2. Collegare una memoria USB allo smartphone

Collegare una pendrive allo smartphone mediante un adattatore USB OTG. La memoria rimovibile verrà scelta come destinazione del backup locale prodotto da Signal.

Prima di procedere è opportuno verificare che Android riconosca correttamente l'unità e che vi sia spazio libero sufficiente.

3. Aprire le impostazioni delle conversazioni

Aprire Signal, selezionare il menu con i tre puntini in alto a destra e quindi entrare in Impostazioni. Da qui selezionare la voce Conversazioni.

Il percorso nelle impostazioni di Signal e l'opzione relativa alle conversazioni.

4. Attivare le opzioni utili e raggiungere il backup delle chat

All'interno delle impostazioni delle conversazioni può essere attivata l'opzione “Usa le foto della rubrica”. Proseguendo verso la parte inferiore della schermata si trova quindi la voce Backup delle chat.

Selezionarla e scegliere di attivare il backup locale.

5. Selezionare la cartella di destinazione

Signal chiede di indicare la directory nella quale memorizzare il backup. Dal selettore dei file di Android aprire il menu laterale e scegliere la memoria USB collegata tramite OTG.

Attivazione del backup locale e scelta della directory nella quale salvarlo.

6. Conservare la passphrase prima di abilitare il backup

Nel momento in cui viene abilitato il backup, Signal mostra una passphrase numerica necessaria per poter successivamente interpretare il file.

La passphrase deve essere conservata con attenzione: il file .backup e la relativa chiave costituiscono infatti una coppia necessaria per il successivo parsing.

Scelta dell'unità USB e schermata con la passphrase necessaria al backup.

7. Il file di backup

Una volta completata l'operazione, nella memoria scelta viene creato un file con estensione .backup e con un nome simile a:

signal-2024-11-26-14-34-36.backup

È questo il file che dovrà essere trasferito sul computer di analisi.

8. Preparare la cartella di lavoro sul PC

Creare sul computer una cartella nella quale inserire:

signalbackup-tools_win.exe
signal-2024-11-26-14-34-36.backup

Aprire quindi la cartella con Esplora File, fare clic sulla barra del percorso, digitare cmd e premere Invio. Il Prompt dei comandi verrà aperto direttamente nella directory corretta.

9. Esportare le conversazioni in HTML

La sintassi utilizzata per il parsing è:

signalbackup-tools_win.exe signal-[nome-del-backup].backup [passphrase] --exporthtml HTML_DIR/

Nel comando occorre sostituire il nome del backup con quello effettivamente generato da Signal e inserire la relativa passphrase nel formato richiesto dallo strumento.

L'opzione --exporthtml indica a signalbackup-tools di produrre una rappresentazione HTML del contenuto del backup nella directory specificata.

Esecuzione del comando da Windows e risultato finale con la cartella HTML generata.

10. Il risultato finale

Terminata l'elaborazione, nella cartella di lavoro sarà presente anche la directory indicata nel comando, ad esempio:

HTML_DIR\

Al suo interno vengono collocati i dati esportati e le pagine HTML che permettono di consultare più agevolmente le conversazioni contenute nel backup.

Backup originale e report HTML non sono la stessa cosa

È importante distinguere il backup originale prodotto da Signal dal report HTML ottenuto con signalbackup-tools. Il primo è la sorgente cifrata dalla quale parte l'elaborazione; il secondo è un prodotto derivato destinato alla consultazione.

In un'attività di informatica forense è quindi opportuno preservare separatamente il file .backup, la passphrase, l'eseguibile e la versione utilizzata, il comando eseguito e l'intera directory di output.

Preservare l'integrità del backup

Prima di iniziare il parsing è consigliabile calcolare un hash del file originale. In PowerShell, ad esempio:

Get-FileHash .\signal-2024-11-26-14-34-36.backup -Algorithm SHA256

In questo modo il backup utilizzato per l'elaborazione può essere identificato in maniera univoca e confrontato successivamente con la copia preservata.

Una possibile sequenza operativa

Conclusioni

La possibilità di generare un backup locale direttamente da Signal offre un percorso utile quando si dispone legittimamente del dispositivo e dell'accesso all'applicazione. Una volta salvato il backup su memoria esterna e conservata la relativa passphrase, signalbackup-tools permette di trasformare il file cifrato in una struttura HTML molto più semplice da consultare.

Dal punto di vista forense è importante mantenere sempre distinta la sorgente dall'elaborazione: il file .backup deve essere preservato come originale di lavoro, mentre l'HTML costituisce un risultato derivato del parsing.

Il progetto utilizzato nella procedura è disponibile pubblicamente su GitHub:

signalbackup-tools — GitHub Releases