COPIA OSCURATA DI UN FASCICOLO C.E.R.T.O. — LA VALIDAZIONE NON VA A BUON FINE, ED È GIUSTO COSÌ
======================================================================================================

Che cos'è
---------
Questo ZIP è una copia del fascicolo dell'acquisizione dimostrativa della pagina
https://example.com/ (pagina d'esempio pubblica gestita da IANA). Prima di pubblicarla abbiamo tolto il
codice fiscale dell'operatore, sostituendolo con «[omesso]». È un dato personale e
non serve a mostrare come funziona un fascicolo.

L'oscuramento riguarda cinque file:
  data/interactive.html · data/manifest.json · data/metadata/mysql.json
  data/metadata/operator-info.json · data/reports/report.txt
Nient'altro è stato toccato: la pagina acquisita, le schermate, il traffico di rete e
l'archivio WACZ sono identici bit per bit all'originale.

Che cosa succede se lanci verify.sh / verify.bat
------------------------------------------------
  OK    Impronte dei file (manifest-sha256.txt e tagmanifest-sha256.txt)
        Le abbiamo ricalcolate dopo l'oscuramento, quindi tornano.
  FAIL  Marca temporale RFC 3161 interna (data/manifest.json)
  FAIL  Marca temporale RFC 3161 esterna (tagmanifest-sha256.txt)
  FAIL  Firma Ed25519 del manifest

Le marche temporali e la firma sono state apposte sui file ORIGINALI. Cambiare anche un
solo carattere, come abbiamo fatto qui, le fa fallire: è esattamente la protezione per
cui esistono. Non le abbiamo rifatte, perché una firma nuova su file modificati farebbe
passare per originale un fascicolo che non lo è.

Questa copia serve quindi a vedere come è fatto un fascicolo, non a provare la
validazione. Un fascicolo che esce da C.E.R.T.O. senza modifiche supera tutti i controlli
(«== BUNDLE VALID ==»).

Che cosa si può ancora verificare
---------------------------------
L'archivio WACZ (data/evidence/ReplayWebPage.wacz) è intatto: la sua impronta SHA-256 si
può cercare nel registro pubblico https://www.acquisizioniforensi.it/valida .

L'email di conferma
-------------------
Alla fine dell'acquisizione C.E.R.T.O. ha inviato all'operatore un'email di conferma,
inclusa qui come «email-di-conferma-6aba856b98340c68df2a.eml» (anche in questa è stato
tolto il codice fiscale, nel rapporto allegato; l'email non è firmata, quindi non cambia
nulla nelle verifiche). Riporta:
  Codice acquisizione   6aba856b98340c68df2a
  Data / ora            2026-09-28 15:18:10 UTC
  URL acquisito         https://example.com/
  SHA-256 dello ZIP ORIGINALE
                        6838c0e99309604eab3004807e92e573036cc35868e497248c5735538928ef5d
  SHA-256 dell'archivio WACZ
                        e2eae6945a263836d96affec8590aae849151988773978038463a2a35e6c5076
  Rapporto online       https://www.acquisizioniforensi.com/crt/VFiwVP

L'impronta dello ZIP nell'email è quella dell'originale, non di questa copia: le due non
coincidono, ed è un'altra conferma che questa copia è stata modificata. L'impronta del
WACZ, invece, coincide con quella del file contenuto qui.

Impronte SHA-256 dei file cambiati
----------------------------------
  data/interactive.html
    originale / original : 7785c88d81d6ea3671b32654f47a7fe0f505555fff154355808d31873db4590c
    questa copia / copy  : c6a920b08190c478950888101f2d42e7c03de2dc15e0e1949182ab83106f786a
  data/manifest.json
    originale / original : 239e17661983839e51f974d25c1ee0a7144a8b036e74165242eb4cd3a6a2ebff
    questa copia / copy  : 8f11423d8e2101897919316578b6ff4f15f2a812451b703e343a8fc198f41b4a
  data/metadata/mysql.json
    originale / original : 732e5836a094dff7f3c498f8865f6e66544470d5358c3ec116b57862259bcc31
    questa copia / copy  : 6bd28450b4b5cdadc64eb8b8792a911f1d7f69f5b884c7429903bd19cb4a7fa5
  data/metadata/operator-info.json
    originale / original : 66d8dc6ea68d598e003aea09a61900fb022c442e79a1f0a3911ca1c2009bff32
    questa copia / copy  : 89edc6e4f22ba0ec5b69ba324c27c0514eac53749bed7a00c79d6ce9013d525c
  data/reports/report.txt
    originale / original : 68675d97329920c90078be523d7fe83865094e7b28181f02aa7067ea5ce3ca9c
    questa copia / copy  : be37a77623d6472f2a04cb6a4c79f0cccc53265ced8d8d3bb31428fa29756e96
  manifest-sha256.txt
    originale / original : c760bf15f5d787c1674f4a1471d1f8558da99404eedd3c336e54991789d2be92
    questa copia / copy  : 163274d2b68dc6ea3c34ecca4858c1e710014ed684347528da5985c3f054852d
  tagmanifest-sha256.txt
    originale / original : 816e6629aa204e779a48885dc6cef93aef5b0bb5665d78b4d9ba89d0ea47fd87
    questa copia / copy  : 1e829da7e3edc89810443f8d41e527ca2cfa4c34976eadc399262f9cdf1333af

L'originale integro è conservato da AcquisizioniForensi.it e supera tutti i controlli.


REDACTED COPY OF A C.E.R.T.O. BUNDLE — VALIDATION FAILS, AND THAT IS EXPECTED
==============================================================================

This ZIP is a copy of the bundle of the demo acquisition of
https://example.com/ (a public example page run by IANA). Before publishing it we removed the
operator's Italian tax code and replaced it with "[omesso]" (omitted). It is personal
data and is not needed to show how a bundle works. Five files were changed (listed
above); the acquired page, screenshots, network traffic and WACZ archive are identical
bit for bit to the original.

Running verify.sh / verify.bat gives:
  OK    file fingerprints (the manifests were recomputed after the redaction)
  FAIL  internal RFC 3161 timestamp (data/manifest.json)
  FAIL  external RFC 3161 timestamp (tagmanifest-sha256.txt)
  FAIL  Ed25519 signature of the manifest

The timestamps and the signature were applied to the ORIGINAL files. Changing even one
character, as we did here, makes them fail: that is exactly the protection they provide.
We did not re-sign, because a new signature on modified files would pass off an altered
bundle as original. Use this copy to see how a bundle is built, not to test validation.
An unmodified bundle from C.E.R.T.O. passes every check ("== BUNDLE VALID ==").

The WACZ archive (data/evidence/ReplayWebPage.wacz) is untouched: its SHA-256 can be
looked up in the public register at https://www.acquisizioniforensi.it/valida .
The confirmation email sent by C.E.R.T.O. at the end of the acquisition is included as
"email-di-conferma-6aba856b98340c68df2a.eml" (tax code removed from its attached report;
the email is not signed, so no check is affected). It states acquisition code
6aba856b98340c68df2a, 2026-09-28 15:18:10 UTC, the ORIGINAL ZIP SHA-256
6838c0e99309604eab3004807e92e573036cc35868e497248c5735538928ef5d (it does not match this
copy, which is further proof that the copy was modified), the WACZ SHA-256
e2eae6945a263836d96affec8590aae849151988773978038463a2a35e6c5076 (it matches the file
included here) and the online report https://www.acquisizioniforensi.com/crt/VFiwVP .
The intact original is kept by AcquisizioniForensi.it and passes every check.
