Integridad y cadena de custodia

Una huella (un resumen criptográfico del archivo, por ejemplo SHA-256) cambia por completo si cambia un solo byte. Se calcula al exportar el archivo, se anota en el manifiesto y se vuelve a calcular cuando alguien lo recibe: si coinciden, el contenido es el mismo; si no, algo cambió en el camino, aunque el tamaño sea idéntico.

Las tablas de esta sala muestran solo los primeros caracteres de cada huella para que se lean a simple vista. En un manifiesto real se guarda completa.

Abre manifiesto_al_exportar y manifiesto_al_recibir. Cada fila trae nombre, tamaño en bytes y huella corta. Compara los dos manifiestos archivo por archivo. El tamaño coincidente no basta: mira la huella.

Cuando alguien borra el registro de seguridad de un equipo Windows, el sistema escribe un evento 1102 con la cuenta que lo hizo; un cambio de la política de auditoría genera un 4719. En eventos_de_seguridad hay varios eventos de un equipo en las horas anteriores. Son la forma en que un registro delata su propia manipulación.

La cadena de custodia anota cada vez que el archivo cambia de manos: quién lo entrega, quién lo recibe, cuándo, para qué y con qué firma de recepción. Un paso sin firma de quien recibe es un hueco: se sabe que el archivo salió, no que llegó.

Un archivo no coincide y el hueco de custodia cae en las horas en que estuvo en préstamo. Sin la huella correcta no se puede afirmar que el contenido sea el original, y corregir el manifiesto a mano destruiría justo lo que se quiere probar. Lo que sí se puede hacer es documentar lo ocurrido y volver a exportar desde el origen si todavía existe.