Cadena de custodia para evidencia digital (fotos, teléfonos, exportaciones)

Por qué la evidencia digital necesita sus propias reglas

Los principios básicos de la cadena de custodia — registrar qué es, de dónde proviene, quién la manejó y cuándo — se aplican a la evidencia digital exactamente igual que a la física. Pero la evidencia digital agrega tres problemas que la evidencia física no tiene:

1. Es alterable de forma invisible. Abrir un archivo puede modificarlo. Editar no deja rastro físico. Una captura de pantalla se puede falsificar con facilidad.
2. Se copia con facilidad, lo cual es bueno (puede preservar un original y trabajar sobre una copia), pero también significa que debe tener absoluta claridad sobre cuál es el original auténtico.
3. Lleva datos ocultos — metadatos — que pueden ser evidencia en sí mismos, y que un manejo descuidado puede destruir.

Por eso la cadena digital necesita una herramienta adicional que la evidencia física no requiere: una manera de demostrar que un archivo no ha cambiado. Esa herramienta es el hash.

El hash: el sello digital

Un hash es una huella digital matemática de un archivo. Se pasa el archivo por un algoritmo de hash (uno común es SHA-256) y se obtiene una cadena fija de caracteres única para ese archivo exacto. Cambie un solo byte — un solo píxel, un solo carácter, la edición más mínima — y el hash resulta completamente distinto.

Esa propiedad es lo que convierte al hash en el equivalente digital de sellar y firmar una bolsa de evidencia. El procedimiento:

1. En el momento en que adquiera un elemento digital, calcule su hash y regístrelo en su registro de custodia junto con los detalles del archivo.
2. A partir de ese momento, ese hash registrado es su referencia. Cada vez que se cuestione la integridad — incluso meses después, en una audiencia — vuelva a calcular el hash del archivo y compare.
3. Si el hash coincide, se puede demostrar que el archivo es idéntico al que adquirió. Si difiere, el archivo ha cambiado, y usted lo sabrá.

Registre el algoritmo que utilizó y el valor exacto del hash. Un hash sin un registro de cuándo se obtuvo no demuestra nada; un hash registrado en el momento de la adquisición lo demuestra todo.

Preserve el original, trabaje sobre una copia — siempre

Nunca trabaje sobre la única copia de la evidencia digital, y nunca trabaje sobre el original auténtico si puede evitarlo. El patrón seguro:

• Adquiera el elemento y de inmediato haga una copia de preservación.
• Calcule el hash de ambos, confirme que coinciden, y guarde el original bajo llave en un almacenamiento con acceso controlado.
• Realice todo su examen, anotación y análisis sobre una copia de trabajo.

De esta manera, ocurra lo que ocurra durante su análisis, siempre existirá un original intacto y verificado por hash al cual recurrir. Si alguien alega que usted alteró la evidencia, usted presenta el original, vuelve a calcular su hash, demuestra que coincide con el valor que registró en el momento de la adquisición, y la alegación se derrumba.

Trate los metadatos como la evidencia que son

Los archivos digitales llevan metadatos — datos sobre los datos — y a menudo son la parte más valiosa. Los datos EXIF de una foto pueden contener la fecha, la hora, la cámara y a veces la ubicación GPS en que fue tomada. Un documento conserva las fechas de creación y modificación y a veces el autor. Un correo electrónico contiene encabezados que muestran su ruta real.

De esto se derivan dos reglas. Primero, preserve los metadatos: copie los archivos de maneras que los mantengan intactos (una copia descuidada, una captura de pantalla, o volver a guardar mediante ciertas aplicaciones puede eliminarlos o sobrescribirlos). Segundo, no confíe en ellos ciegamente: los metadatos pueden estar equivocados (una cámara con el reloj sin ajustar), o falsificados deliberadamente. Trate los metadatos como evidencia que debe corroborarse, no como algo automáticamente cierto — la misma disciplina de pistas, no veredictos, que aplica en todas partes.

Las trampas específicas de los tipos de evidencia más comunes

Fotos. Una foto enviada por una aplicación de mensajería suele recomprimirse y perder sus metadatos originales — es una copia de una copia. Cuando la autenticidad importa, obtenga el archivo original del dispositivo de origen, no la versión que llegó por el chat. Registre dónde la obtuvo.

Datos de teléfono. Los teléfonos son evidencia densa y legalmente sensible. Tenga en cuenta que cómo obtiene los datos del teléfono importa enormemente para su admisibilidad y para la ley de privacidad — el consentimiento, la autoridad y una adquisición adecuada inciden en si puede usarse siquiera. Si un asunto es grave, la extracción del teléfono puede ser tarea de un especialista con las herramientas adecuadas y respaldo legal, no un desplazamiento manual por la pantalla.

Exportaciones y capturas de pantalla. Una exportación de un sistema (una lista de transacciones, un registro de chat) es tan confiable como el proceso que la produjo. Registre quién realizó la exportación, desde qué sistema, cuándo, y calcule el hash del resultado. Una captura de pantalla es la forma más débil — fácil de falsificar y sin metadatos — así que trátela como un indicio hacia mejor evidencia, no como la evidencia misma.

Documente la cadena digital

Su registro de custodia para un elemento digital debe capturar, como mínimo: una referencia y descripción únicas, el dispositivo o sistema de origen, quién lo adquirió y cuándo, cómo se adquirió, el valor del hash y el algoritmo, dónde se almacena el original, y un registro de movimientos de cada acceso. Nunca elimine entradas — el historial es lo que demuestra la integridad.

Conozca sus límites legales

La evidencia digital se apoya en la ley de privacidad y protección de datos, y las reglas varían según la jurisdicción. Acceder al dispositivo o a las cuentas de alguien sin la autoridad adecuada puede hacer que la evidencia sea inadmisible y exponerlo a responsabilidad legal. Antes de adquirir evidencia digital, tenga claro en qué autoridad se está basando — consentimiento, política laboral, un instrumento legal — y regístrelo. Obtener un archivo decisivo de la manera equivocada puede hacerle perder tanto el archivo como el caso.

Cómo hacerlo sin perder el rastro

La dificultad práctica de la cadena de custodia digital no está en comprender el hash — está en llevar el registro de manera consistente, y poder demostrar, al momento de informar, que todo aquello en lo que se basó permanece intacto. Conectir almacena la evidencia en un repositorio privado con acceso controlado y produce un registro de auditoría encadenado por hash para el informe, de modo que la integridad se puede demostrar desde la adquisición hasta el documento final, en lugar de reconstruirse después de los hechos. Construye el rastro verificable a medida que usted trabaja. Si demostrar la integridad de la evidencia digital es importante para sus casos, vea cómo lo manejan las herramientas de evidencia e informes.