Hashes difusos y cómo se leen sus puntuaciones

Un hash difuso no busca que todo cambie con un bit, sino lo contrario: que dos archivos parecidos den valores parecidos y que la comparación de esos valores devuelva una medida.

• ssdeep parte el archivo en trozos cuyo corte decide el propio contenido y resume cada trozo. Al comparar dos firmas devuelve una puntuación de 0 a 100: cuanto más alta, más parecidos. Un 0 significa que el método no encontró coincidencia, no que los archivos sean ajenos.
• TLSH resume cómo se reparten los bytes del archivo y al comparar devuelve una distancia: 0 es casi idéntico y cuanto más alta, más distintos. No tiene un máximo fijo.

La trampa más común del oficio está ahí: en ssdeep el número alto es el parecido; en TLSH el número alto es la diferencia.

Abre el laboratorio y ejecuta SELECT * FROM comparacion_tlsh.

Yolanda quiere saber qué muestra de la cola se parece más a ECA-04, la guía docente que llegó al área Editorial. Lee la distancia en la dirección correcta: el número que buscas es el más bajo, no el más alto.

Ejecuta SELECT * FROM ssdeep_cola y SELECT * FROM comparacion_ssdeep.

Cada firma ssdeep empieza por su tamaño de bloque, que depende sobre todo del tamaño del archivo. ssdeep solo compara dos firmas si su tamaño de bloque es igual o si uno es el doble del otro; en cualquier otro caso devuelve 0 sin haber comparado nada. Por eso dos archivos de tamaños muy distintos no se pueden medir con ssdeep, aunque uno contenga al otro, y por eso un archivo muy pequeño da una firma corta que casi nunca sirve. TLSH tampoco calcula nada si el archivo no tiene datos suficientes: lo verás en ECA-09.

Ejecuta las cuatro consultas y mira juntos a ECA-01 y ECA-02: ssdeep da 97 y TLSH da 9. Los dos métodos coinciden en que los archivos son casi iguales en bytes. Eso todavía no es «misma familia»: dice que el contenido se parece, no por qué. La frase del caso tiene que llevar el método, el valor y lo que falta para confirmar.