Huellas — el hash de un archivo

Un hash criptográfico es una función que lee un archivo entero y devuelve una cadena de longitud fija. SHA-256, la que usa el equipo, devuelve siempre 64 caracteres hexadecimales, sea el archivo de un kilobyte o de un gigabyte. Tiene tres propiedades útiles: el mismo contenido da siempre la misma huella; cambiar un solo byte cambia la huella por completo; y a partir de la huella no se puede reconstruir el archivo.

Eso la hace ideal para tres usos: identificar («esta muestra es la X»), comprobar integridad («el archivo no cambió desde que lo recibí») y consultar («¿alguien conoce esta huella?») sin enviar el archivo. Lo que no hace es decir si el archivo es dañino: una huella identifica, no juzga. Los equipos usan SHA-256 y no MD5 ni SHA-1 porque de estos dos se han demostrado colisiones, es decir, archivos distintos con la misma huella.

En la cola de un lunes es normal que aparezca el mismo adjunto varias veces: lo recibieron dos personas, o alguien lo descargó dos veces y el sistema le puso «(1)» al nombre. Analizar dos veces el mismo archivo es trabajo perdido, y tratarlos como cosas distintas puede dar veredictos distintos para lo mismo.

Abre la consola y consulta SELECT * FROM cola. Compara las huellas completas, no el principio: dos huellas que empiezan igual pueden ser totalmente distintas.

El caso contrario es más traicionero: un archivo con un nombre casi idéntico a uno conocido y bueno. Quien lo envía cuenta con que el equipo lo reconozca por el nombre y lo deje pasar. Pero si el contenido cambió, aunque sea en un byte, la huella cambia y el catálogo ya no lo reconoce: es un archivo nuevo para el equipo, y se trata como tal.

Mira el tamaño además de la huella: dos archivos del mismo tamaño y distinta huella tienen el mismo número de bytes pero otro contenido; uno de tamaño distinto ya difiere en algo más que un byte cambiado.

La cola tiene seis filas, pero el trabajo que hay detrás no es el de seis archivos: es el de los archivos distintos. Contar por huella y no por nombre evita analizar dos veces lo mismo y da una carga real al jefe de turno cuando pregunta cuánto falta.

La consulta SELECT sha256, COUNT(*) AS veces FROM cola GROUP BY sha256 agrupa las muestras por huella: cada fila del resultado es un archivo distinto.

El catálogo interno guarda las huellas que el equipo ya vio, cada una con su veredicto, su fuente y su fecha. Tiene tres posibles respuestas para una huella: benigna, maliciosa o sin entrada. La tercera es la más fácil de malinterpretar: sin entrada no es «limpia», es «nunca la hemos visto». Una muestra nueva siempre está sin entrada, y la mayoría de lo que llega de verdad nuevo también.

Cuando el catálogo da veredicto, la fuente importa tanto como el veredicto: una huella maliciosa de un caso propio cerrado pesa más que una de procedencia dudosa.