C.E.R.T.O.
C.E.R.T.O.
Hai acquisito la stessa pagina due volte, a distanza di tempo. Questa funzione dice se il sito è cambiato davvero — e in che cosa.
Tutti gli altri moduli catturano qualcosa e lo sigillano. Questo no: apre due fascicoli già sigillati dello stesso e identico indirizzo e dice che cosa è cambiato nel sito fra un'acquisizione e l'altra.
Il confronto non consuma slot, perché non interroga nulla e non produce un reperto nuovo.
Nessun servizio esterno viene chiamato e il contenuto dei due fascicoli non lascia la macchina.
«La pagina di allora e quella di oggi sono la stessa?» — la domanda che arriva mesi dopo, quando la parte avversa sostiene di non aver mai scritto quella frase.
Per approfondire: il modulo Pagine web, che produce le acquisizioni da confrontare · la cronologia pubblica di un sito · come acquisire una pagina web come prova.
Due acquisizioni della stessa identica pagina, a due minuti di distanza, senza toccare nulla.
Il risultato misurato: 62 file in comune, di cui 18 identici e 44 diversi, più una trentina presenti in un solo fascicolo. Un confronto ingenuo dell'inventario avrebbe dichiarato «44 file modificati» su una pagina che non era cambiata di una virgola. In un rapporto forense è peggio che inutile: è fuorviante.
Il motivo è che quasi tutto, dentro un fascicolo, lo produce l'acquisizione e non il sito: registri, traffico di rete, tracciamento del percorso, interrogazioni al registro, video, fotografie dello schermo, marche temporali, rapporti, informazioni di sistema. Cambiano per forza, a ogni esecuzione. Perfino i nomi cambiano, perché alcune istantanee portano l'orario nel nome del file.
Perciò si confrontano solo le risorse realmente scaricate dal sito — i byte che il server ha consegnato — ed è su quelle che si fonda l'esito. Allargare l'insieme «per completezza» rimetterebbe dentro il rumore, e il rumore seppellisce la modifica che interessa.
I byte che il server ha mandato. Se cambiano, il sito è cambiato: è su questi che si fonda il verdetto. Il confronto dice quante risorse risultano modificate, quante sono state aggiunte e quante non sono più presenti.
La pagina dopo l'esecuzione degli script. Cambia a ogni visita se c'è un orologio, un contatore, un annuncio a rotazione o un contenuto generato al momento. Nelle due acquisizioni identiche della misura, le pagine differivano esattamente lì e in nient'altro: da sola, questa differenza non dimostra che il sito sia cambiato, e il rapporto lo scrive.
Le differenze del testo della pagina in due colonne, prima e dopo, con le righe non più presenti e quelle comparse. Con la misura di quanto i due testi si somigliano.
Una foto risalvata con una compressione diversa ha byte tutti diversi ma è la stessa immagine. Il confronto percettivo guarda la struttura e il colore, non i byte, e distingue la stessa foto risalvata da una davvero sostituita — cosa che un confronto di soli hash non può fare.
Una figura che sparisce da un indirizzo e ricompare a un altro non è una rimozione: il confronto la riconosce come spostamento, invece di contarla due volte.
Non dice quando il cambiamento sia avvenuto, né chi lo abbia fatto, né se nel frattempo la pagina sia cambiata e tornata come prima: dice che cosa è cambiato fra i due momenti in cui le acquisizioni sono state eseguite. E non verifica l'integrità dei due reperti: per quella c'è il verificatore incluso in ciascun fascicolo, che controlla impronte, firma e marche temporali.
Che cosa viene confrontato, perché non tutto il fascicolo, immagini e costo: le domande più comuni sul Confronto.
Un caso concreto in cui serve questo modulo: leggi la storia.
Registrati gratis e scarica C.E.R.T.O. Desktop per Windows e macOS dalla tua area riservata.