Cadena de custodia y verificación con hashes

Una huella (hash) se calcula con un algoritmo, y no todos valen igual. MD5 y SHA-1 tienen colisiones fabricadas demostradas: se pueden construir dos contenidos distintos con la misma huella. Para una evidencia eso es inaceptable como único sello. La práctica actual es calcular SHA-256 (o superior) como huella principal; algunas herramientas calculan además MD5 por compatibilidad con registros antiguos, y eso es un añadido, no un sustituto.

Se calcula en origen, nada más terminar la adquisición, y se vuelve a calcular en cada traslado o copia. La lista de huellas es parte de la evidencia: se guarda aparte y no se edita.

Verificar es comparar: la huella de cada archivo al adquirir contra la huella del mismo archivo al recibirlo en el laboratorio. Si coinciden, el archivo es idéntico bit a bit. Si una difiere, aunque solo cambie un carácter de la línea, el archivo ya no es el mismo que se adquirió.

Abre las dos listas en el laboratorio y compáralas línea a línea. Con tres archivos se hace a ojo; con trescientos se haría con una herramienta de comparación, pero el criterio es el mismo.

Una huella que no coincide no se arregla: se documenta. No se sustituye la huella de la lista por la nueva, porque eso borraría justo la prueba de que algo cambió. No se descarta sin más ni se sigue como si nada. El paso correcto es anotar la discrepancia en la custodia, no tocar las listas, y repetir la verificación en origen: contra la imagen maestra original, para saber si falló el traslado (la copia se rehace) o si cambió la propia evidencia.

Lo que se concluya queda escrito con sus razones. Una discrepancia bien documentada es defendible; una corregida en silencio, no.

La cadena de custodia documenta dónde, cuándo y por quién se recogió la evidencia, quién la tuvo y en qué periodos, cómo se almacenó y cada traspaso. Cada fila es un eslabón: alguien entrega a alguien que recibe, y quien recibe es después quien entrega. Si en una fila entrega una persona que antes no figura como receptora, hay un eslabón perdido: la evidencia estuvo en manos que el registro no explica.

Lee el registro de custodia de las tres evidencias y sigue la de la imagen del volumen C, fila por fila.

Un hueco en la custodia se mide: entre la última vez que consta quién la tenía y la siguiente vez que alguien la entrega. Ese intervalo es lo que la contraparte llamaría «tiempo sin control». No se rellena con una fila inventada después: se declara, se pide a las personas implicadas una declaración escrita y se deja constancia. El informe dice cuántos minutos son y qué se hizo para cubrirlos.

Calcula el intervalo con las dos horas del registro.