Cadena de Custodia y Hash
Duración estimada de lectura: 5-7 minutos.
Introducción
¡Hola! Bienvenido o bienvenida a la cuarta clase del curso "Aprendiendo Informática Forense en 10 Minutos al Día". En esta lección, profundizaremos en dos conceptos fundamentales que están directamente relacionados con la copia forense que vimos en la clase anterior: la Cadena de Custodia y el Hash.
Relación con la clase anterior: La copia forense que realizaste no sirve de nada en un contexto legal si no puedes demostrar su integridad y autenticidad. Ahí es donde entran en juego la cadena de custodia y el hash.
Parte 1: La Cadena de Custodia
¿Qué es y por qué es crucial?
La informática forense no existe en el vacío; se desarrolla dentro de un contexto judicial o criminalístico. La Cadena de Custodia es el procedimiento legal que documenta el recorrido de una evidencia digital desde que se encuentra hasta que se presenta en un juicio.
Su objetivo principal es otorgar Valor Probatorio a la evidencia. Esto significa que, cuando presentes tu evidencia digital (como una copia forense) en un caso, el juez y las partes involucradas puedan confiar en que:
No ha sido alterada.
Es auténtica.
Se ha manejado de forma segura y controlada.
Sin una cadena de custodia bien documentada, la evidencia puede ser considerada inadmisible en un tribunal.
¿Cómo se documenta?
La cadena de custodia se registra típicamente en un formulario. Aunque puede variar según el país o la institución, suele contener la siguiente información clave:
Código del documento y del caso.
Fecha.
Dispositivo de origen (teléfono, tablet, computadora).
Datos del dispositivo (marca, modelo, sistema operativo, capacidad).
Descripción de la evidencia (número de serie, tipo de medio).
Registro de responsables: Un listado de todas las personas que han tenido la evidencia bajo su custodia, con sus firmas y fechas. Esto asegura la trazabilidad total.
Conclusión clave: La cadena de custodia convierte una simple copia de datos en una prueba legalmente sólida.
Parte 2: El Hash - El Guardián de la Integridad
¿Qué es un Hash?
El Hash es el mecanismo técnico que permite demostrar que la evidencia no ha sido modificada durante todo el proceso de la cadena de custodia.
Es el resultado de un cálculo matemático (algoritmo) aplicado a un conjunto de datos (como tu archivo de copia forense). Este resultado es una cadena de caracteres alfanuméricos única, como una "huella digital" del archivo.
Características principales de un Hash:
Único: Cualquier cambio mínimo en el archivo original (un solo bit) genera un hash completamente diferente.
Determinista: El mismo archivo, procesado con el mismo algoritmo, siempre producirá el mismo hash.
Irreversible: No se puede recrear el archivo original a partir de su hash.
¿Cómo se usa en Informática Forense?
El proceso es simple y poderoso:
Paso 1 (Creación): En el momento de crear la copia forense, se calcula su hash inicial (por ejemplo, usando el algoritmo MD5 o SHA-256).
Paso 2 (Almacenamiento): Este hash se registra en la cadena de custodia.
Paso 3 (Verificación): En cualquier momento (durante el análisis, antes del juicio), se vuelve a calcular el hash de la copia forense.
Paso 4 (Comparación): Si el hash calculado coincide exactamente con el hash inicial registrado, se demuestra que la evidencia no ha sido alterada. Si hay la más mínima diferencia, la evidencia ha sido comprometida.
Demostración Práctica con QuickHash GUI
Para trabajar con hashes, usaremos un software gratuito y multiplataforma llamado QuickHash GUI.
Descarga e Instalación:
Ve a la página oficial de QuickHash y descarga la versión para tu sistema operativo (Windows, Mac o Linux).
¡Consejo de Seguridad! La propia página te proporciona el hash esperado del archivo de descarga. Si calculas el hash del archivo descargado y no coincide, ¡no lo instales! Podrías ser víctima de un ataque "Man-in-the-Middle".
Uso del Programa:
Abre QuickHash GUI.
Selecciona la pestaña "File" (Archivo).
Haz clic en "Browse" (Examinar) y selecciona tu archivo de copia forense (generalmente con extensión
.ddo.E01).El programa calculará automáticamente varios hashes usando algoritmos como MD5, SHA-1, SHA-256, etc.
Interpretación de Resultados:
Anota el hash (por ejemplo, el SHA-256) en tu formulario de cadena de custodia.
Cuando necesites verificar la evidencia, repite el proceso. Si los hashes son idénticos, tu evidencia es válida.
Analogía: El hash es como el sello de seguridad de un producto. Si al comprarlo el sello está roto, sabes que alguien más lo ha manipulado.
Conclusión y Resumen
En esta clase has aprendido que:
La Cadena de Custodia es el procedimiento legal que documenta el manejo de la evidencia para darle valor en un juicio.
El Hash es la herramienta técnica que garantiza la integridad de la evidencia, demostrando que no ha sido alterada desde su recolección.
Ambas trabajan en conjunto: la cadena de custodia registra el "quién, cuándo y dónde", mientras que el hash prueba el "qué no ha cambiado".
¡Felicidades! Con estos conceptos, estás construyendo una base sólida en informática forense.
¿Te ha gustado? Si este tutorial te fue útil, no olvides suscribirte al canal para más contenido diario sobre tecnología, seguridad informática y desarrollo. ¡Deja un comentario diciendo "Llegué hasta aquí" para saber que estás siguiendo el curso y apoyar la creación de más clases!
Comentarios
Publicar un comentario