Entropía y contenedores cifrados

La entropía de Shannon aplicada a un archivo mide cuántos bits de información lleva cada byte, en una escala de 0 a 8. Un texto en español ronda unos pocos bits por byte, porque hay letras y patrones que se repiten. Los datos comprimidos o cifrados se acercan a 8, porque no tienen patrones visibles: ese es justamente su objetivo.

Una entropía alta dice «aquí no hay texto plano». No dice «aquí hay un secreto»: un JPEG, un ZIP o un documento de oficina también la tienen alta, porque están comprimidos.

Abre la estación y lee entropia.csv: por archivo trae el tipo que indica su cabecera, el tamaño y la entropía. La combinación que hace falta mirar es la de varias señales a la vez: entropía alta y ninguna cabecera conocida y un tamaño que encaja con un volumen de bloques. Ninguna por sí sola vale; juntas, hacen una hipótesis.

Sobre ese archivo caben tres redacciones: una que afirma más de lo que se sabe, una que descarta sin pruebas y una que dice lo que la evidencia sostiene. Con la tabla y las notas de la estación delante, elige la que se puede defender ante quien lea el informe.

Antes de escribir «contenedor cifrado» hay que descartar las explicaciones corrientes. Un archivo comprimido con un formato conocido tiene entropía alta y cabecera reconocible, y eso lo explica todo. Una imagen JPEG, también. Lo que se pregunta es qué señal separa lo que ya está explicado de lo que no.

Que el analista pueda técnicamente intentar abrir un contenedor no significa que deba. La autorización del caso, autorizacion.txt, fija qué cubre. Un intento de averiguar la clave, el acceso a cuentas personales o a servicios externos del empleado son decisiones que corresponden al responsable del caso y a su asesoría legal, no al analista. Lo habitual y lícito es pedir la clave por el cauce autorizado o dejar el hallazgo documentado como pendiente.