16. Firma hash en Linux

 En los sistemas operativos Linux, generar una firma digital es un proceso bastante sencillo. A continuación, te muestro un ejemplo práctico de cómo se realiza, especialmente útil cuando extraemos archivos para analizarlos en un laboratorio.

Generación de firmas hash en Linux

Una tarea común en análisis forense es extraer información del sistema para su posterior estudio. Por ejemplo, podemos usar el comando:

bash

sudo cat /etc/passwd

Este comando muestra información sobre los usuarios, como si tienen contraseña, la fecha de vigencia de las mismas y otros datos relevantes. También podemos consultar:

bash

cat /etc/shadow

Que nos muestra rutas y otros elementos importantes. Sin embargo, durante una investigación forense, often necesitamos llevar esta información para analizarla en detalle.

Guardar información en archivos

Para guardar la información en un archivo, usamos el operador > para redirigir la salida. Por ejemplo:

bash

sudo cat /etc/passwd > /home/forense/escritorio/passwd.txt

Al ejecutar este comando, no veremos nada en la terminal porque la salida se ha guardado en el archivo especificado. Podemos hacer lo mismo con el archivo shadow:

bash

sudo cat /etc/shadow > /home/forense/escritorio/shadow.txt

Generar firmas digitales (hash)

La pregunta clave es: ¿cómo generamos la firma digital de estos archivos? Es muy sencillo. Podemos usar diferentes algoritmos de hash. Por ejemplo, para MD5:

bash

md5sum /home/forense/escritorio/passwd.txt

Esto generará la firma digital del archivo. Es importante aclarar que obtener la firma digital no significa que el archivo quede "firmado" o modificado. La firma es simplemente un valor hash calculado a partir del contenido del archivo, no se incrusta en él.

Dado que MD5 se considera obsoleto para algunos usos, podemos usar algoritmos más seguros como SHA-256:

bash

sha256sum /home/forense/escritorio/passwd.txt

Generar firmas para múltiples archivos

Una técnica muy práctica es generar firmas para todos los archivos en un directorio. Por ejemplo:

bash

sha256sum /home/forense/escritorio/* > /home/forense/escritorio/firmas.txt

Luego podemos verificar el contenido del archivo de firmas:

bash

cat /home/forense/escritorio/firmas.txt

Esto nos mostrará las firmas de todos los archivos en el directorio escritorio, incluyendo passwd.txt y shadow.txt.

Aplicación en investigaciones forenses

En una investigación digital real, typically extraemos entre 20 y 30 archivos diferentes: conexiones de red, información de usuarios, archivos de configuración, logs del sistema, etc. Esta técnica nos permite:

1. Generar todos los archivos necesarios

2. Calcular sus firmas digitales

3. Descargarlos para analizarlos en el laboratorio

4. Verificar su integridad durante el análisis

Como puedes ver, en los sistemas Linux es bastante sencillo obtener firmas digitales para validar la integridad de los archivos durante una investigación forense.

---

¿Neitas alguna modificación o añadir más detalles?