Nombres seguros y cadena de custodia

La cadena de custodia es el registro de cada vez que la muestra cambia de manos o de lugar: quién la entrega, quién la recibe, a qué hora, qué se hizo y la huella de lo que se recibió. Cada fila la firma quien deja la constancia, y quien recibe es quien calcula el hash, porque es quien responde por lo que tiene.

Sirve para dos cosas. Para el análisis: saber que el archivo que se estudia es el mismo que llegó. Y para lo que venga después: un informe o una decisión que dependan de esa muestra solo valen lo que valga su registro. Un hueco no invalida el análisis técnico, pero obliga a decir con claridad qué no se puede afirmar.

Un registro se lee de arriba abajo mirando tres cosas en cada fila: que quien entrega coincida con quien recibió en la fila anterior, que haya hash de lo recibido y que haya firma. Un tramo sin hash ni firma es un tramo en el que nadie responde por el archivo.

Abre registro-de-custodia.txt y luego sistemas-controlados.txt: lo que importa no es solo que falte la firma, sino adónde fue la muestra. Un destino que no es un sistema controlado es un lugar donde el archivo puede abrirse sin que nadie lo vea.

Una muestra guardada con su nombre original es una trampa: factura.pdf.exe en una carpeta se abre con un doble clic, y el nombre dice lo que quien la fabricó quería que dijera. La norma de nombres lo resuelve guardándola con el identificador del caso y una extensión que ningún programa asocia, de modo que un doble clic accidental no abre nada y el nombre original queda anotado en el ticket, no en el disco.

Lo mismo vale al contar el caso por fuera: si el nombre llega a un correo o a un informe, se desarma para que nadie haga clic por costumbre, por ejemplo poniendo los puntos de un dominio entre corchetes.

En el último paso del registro, el hash de la copia que devolvió la jefatura coincide con el del primer paso. Es una buena noticia, pero responde a una sola pregunta: ¿cambió el contenido? Responde que no. No responde a la otra: ¿qué pasó con el archivo mientras estuvo fuera? Pudo abrirse, reenviarse, quedar en una bandeja de entrada o en una copia de seguridad.

Un hash que coincide demuestra integridad; la custodia demuestra control. Son dos cosas distintas, y el analista debe poder decir cuál de las dos tiene.