Cadena de custodia y hashes

Una función hash toma un archivo y produce un valor corto, la huella. Si cambia un solo byte del archivo, la huella cambia por completo. Anotar la huella al recoger una pieza permite comprobar después, recalculándola, que el archivo es el mismo. Hoy se usa SHA-256, definida en el estándar FIPS 180-4; MD5 y SHA-1 tienen colisiones demostradas y por eso no se recomiendan para probar integridad.

La huella prueba integridad, no autoría ni confidencialidad: no cifra el archivo ni dice quién lo produjo.

La comprobación es mecánica: se compara la huella anotada al recoger con la anotada al recibir. Si coinciden, la pieza llegó intacta. Si difieren, no se descarta sin más: se registra, se averigua qué pasó (un error de copia, un cambio de formato, una alteración) y se busca la pieza original. Una diferencia sin explicar le resta valor a la evidencia.

Consulta la comparación de huellas de las cinco piezas.

La cadena de custodia es el registro continuo de quién tuvo la evidencia, cuándo y por qué. La RFC 3227 pide documentar dónde, cuándo y por quién se descubrió y recogió, cada vez que se examinó o manejó, quién la custodió y cómo se almacenó, y cada cambio de manos. Un traspaso en el que quien recibe no firma deja un hueco: nadie puede demostrar después que esa persona recibió lo que se entregó.

Revisa los traspasos registrados.

El análisis nunca se hace sobre el original. Se hace sobre una copia de trabajo, y antes de usarla se comprueba que su huella coincide con la del original; este queda guardado, sin tocar, para repetir el análisis si alguien lo discute. Así cada examen se puede reproducir y la evidencia original conserva su valor.

Entre que alguien recoge una pieza y la entrega al archivo, la pieza está en manos de esa persona: en su portátil, en una memoria, en una carpeta. Ese tiempo debe ser corto y quedar anotado, porque cada minuto sin registro es un minuto en el que alguien podría objetar que se manipuló. En los informes se resta la hora de recogida a la del traspaso.

Calcula cuánto pasó entre la recogida del registro del proxy y su traspaso.