Cookies, sesiones y perfiles del navegador

Cuando alguien inicia sesión en un servicio, el servidor entrega al navegador una cookie con un identificador de sesión y, mientras valga, el navegador demuestra con ella quién es sin pedir otra vez la contraseña. Por eso la cookie de sesión es una credencial: quien la tenga entra como esa persona. En la exportación forense se registran sus metadatos (sitio, nombre, fechas, banderas de seguridad) y se omite el valor.

Para el análisis, la cookie prueba que ese perfil de navegador tuvo una sesión con ese sitio, y desde qué momento. No prueba quién la abrió ni qué hizo. Y usar el valor de una cookie ajena para entrar a un servicio es acceso sin autorización, aunque el valor esté en la exportación: no se hace nunca, ni «solo para comprobar».

Un navegador puede tener varios perfiles, cada uno en su carpeta, con su historial, sus cookies, sus extensiones y sus cuentas. En un equipo de empresa es habitual que haya uno de trabajo y otro personal. El acta de este caso cubre el historial del navegador del perfil de trabajo y nada personal, así que los datos del perfil personal no se examinan, aunque estén a un clic en el mismo equipo.

Abre el laboratorio, lee los perfiles y la cuenta de cada uno. Identifica la carpeta que corresponde a la cuenta corporativa, que es la única examinable.

Una cookie lleva su fecha de creación y su fecha de vencimiento. Si vence «al cerrar el navegador» es de sesión y desaparece sola; si tiene una fecha fija, es persistente y el servicio recordará a la persona hasta entonces. La diferencia entre las dos fechas es la duración de la «llave»: cuanto más larga, más tiempo estuvo disponible para quien usara ese navegador.

Calcula en días la duración de la cookie persistente de la intranet corporativa.

Las extensiones tienen permisos que pueden ser muy amplios: leer y cambiar los datos de todos los sitios visitados, incluso lo que se escribe en los formularios. Una extensión legítima los necesita para su función, y una instalada desde un archivo local, fuera de la tienda oficial, con permisos sobre todos los sitios y poco tiempo antes del incidente, es una señal para investigar, no una prueba de nada. Se anota su nombre, su origen, su fecha y su permiso, y se pide su revisión a quien administre el equipo.

Mira la fecha de instalación y el origen en la tabla de extensiones.

Hay tres frases tentadoras ante una cookie y un perfil: «tenía sesión, luego leyó los mensajes», «la cookie es del perfil personal, luego lo usó para enviar», «la extensión reenvía correos, luego los reenvió». Las tres saltan de lo que existe a lo que se hizo. El informe separa lo que consta de lo que se infiere, dice qué fuente confirmaría o refutaría la inferencia (el registro del servicio, el correo en el servidor) y respeta el alcance del acta: lo del perfil personal ni se examina ni se cita como indicio.

La redacción correcta es sobria y no por eso débil.