Evidencia adjunta y custodia

Cuando se adjunta una evidencia al caso se calcula su huella (un resumen que cambia si el archivo cambia, aunque sea un solo carácter) y se anota en ese momento. Más adelante se recalcula y se compara. Si coinciden, el archivo es el mismo; si no, algo lo modificó.

En este laboratorio las huellas son marcadores ficticios (HF-0000) y sirven solo para comparar dos valores.

Abre evidencia-C-0431.csv. Cada fila trae la huella al obtener y la huella de hoy. Compara las dos columnas con cuidado: los cambios dañinos suelen ser pequeños, a veces dos dígitos intercambiados.

La política exige para cada evidencia quién la obtuvo, su huella y su custodio actual. Una fila a la que le faltan los tres datos no puede defenderse: nadie sabe de dónde vino ni si es la misma. Aun así, puede contener información útil, y por eso no se descarta: se declara su limitación.

La cadena de custodia es la lista de traspasos de una evidencia: quién la tuvo, desde y hasta cuándo, con la firma de quien recibe. Un hueco en la cadena no demuestra una alteración, pero tampoco permite descartarla.

Abre cadena-EV-05.txt y mide el tiempo en el que no se sabe quién tenía la muestra.

Una huella distinta no se corrige: se documenta. Sobrescribir la huella registrada con la nueva borraría el único indicio de que algo cambió. El caso debe anotar la discrepancia, quién la detectó y qué se hizo con la evidencia a partir de ahí.