Nel linguaggio comune si tende spesso a confondere una “copia” di un file o di una cartella con una “copia forense”. In realta' si tratta di due operazioni profondamente diverse, soprattutto per quanto riguarda la validità probatoria e la possibilità di garantire l’integrità dei dati.
Una copia tradizionale è quella che viene eseguita quotidianamente da chiunque utilizzi un computer: ad esempio trascinare un file da una cartella a un’altra, copiare un documento su una chiavetta USB oppure sincronizzare i propri dati con un servizio cloud. In questi casi, il sistema operativo ricrea il file nella nuova posizione, ma non mantiene necessariamente tutte le informazioni che lo accompagnano. Metadati, date di creazione o di ultima modifica, attributi nascosti, settori non allocati o frammenti cancellati non vengono copiati.
La copia forense, invece, è una procedura tecnica specifica utilizzata in ambito investigativo e giudiziario per acquisire in maniera completa e fedele il contenuto di un supporto digitale. Si tratta di una copia bit a bit, che non si limita ai file visibili all’utente, ma riproduce l’intero contenuto del dispositivo: ogni settore del disco, incluso lo spazio non utilizzato, le aree sovrascritte, i file cancellati e i metadati.
Un aspetto centrale della copia forense e' l’uso di strumenti che calcolano e registrano funzioni di hash (come MD5, SHA-1 o SHA-256) prima e dopo l’acquisizione. Questi valori servono a dimostrare che l’immagine ottenuta è identica all’originale e non ha subito alterazioni. Senza questa garanzia, la prova digitale rischierebbe di perdere valore in sede giudiziaria.
