Cadena de custodia digital: qué es y para qué sirve el hash
Una prueba física —un arma, una muestra— se mete en una bolsa precintada y se anota cada persona que la toca. Con una prueba digital el problema es distinto: no se desgasta, pero se puede cambiar sin dejar marca visible. La cadena de custodia digital existe para poder afirmar, meses después, que lo que se analiza es exactamente lo que se recogió.
Qué es la cadena de custodia
Es el registro documentado de todo lo que le ocurre a una evidencia desde que se obtiene hasta que se presenta: quién la recogió, cuándo, dónde, con qué método, quién la ha tenido después y qué se ha hecho con ella.
Responde a una pregunta que siempre hace la parte contraria: ¿cómo sé que esto no lo ha tocado nadie?
La huella hash, en una frase
Un hash es el resultado de aplicar a un archivo un cálculo matemático que produce una cadena corta de letras y números. Tiene dos propiedades que lo hacen útil:
- El mismo archivo da siempre la misma huella.
- Un cambio mínimo —un solo bit— da una huella completamente distinta.
No se puede deducir el archivo a partir de la huella, ni fabricar a propósito otro archivo con la misma. Por eso, si la huella calculada el día del juicio coincide con la que se anotó el día de la adquisición, el archivo es el mismo.
Puedes verlo en la calculadora de huellas: elige un archivo, anota el resultado, cambia una coma y vuelve a calcular.
Cómo se hace una adquisición
- Identificación. Se describe el dispositivo: marca, modelo, número de serie, estado.
- Protección contra escritura. Un disco se conecta a través de un bloqueador que impide escribir en él. Así, copiarlo no lo altera.
- Copia forense. Se obtiene una réplica exacta, bit a bit, de todo el contenido, incluido el espacio donde quedan restos de archivos borrados.
- Cálculo de la huella. Se calcula el hash del original y el de la copia. Deben coincidir.
- Acta. Se deja por escrito todo lo anterior, con fecha, hora, lugar y personas presentes.
- Custodia. El original se precinta y se guarda. Todo el análisis se hace sobre la copia.
Lo que el hash no demuestra
Aquí está el matiz que más se olvida. La huella garantiza que el archivo no ha cambiado desde que se calculó. No dice nada de lo que pasó antes.
Si alguien edita una foto y luego calcula su huella, obtiene una huella perfectamente válida de una foto manipulada. Por eso la huella sola no basta: hay que documentar de dónde salió el archivo, quién lo obtuvo y cómo. Eso es lo que distingue una adquisición pericial de un simple cálculo.
Dónde suele romperse
- Alguien enciende y revisa el equipo antes de copiarlo, y cambia fechas de acceso.
- La evidencia pasa por varias manos sin que nadie lo anote.
- Se analiza el original en lugar de una copia.
- No se calcula ninguna huella, o no se anota.
- El dispositivo se sigue usando entre los hechos y la adquisición.
Ninguno de estos fallos invalida por sí mismo una prueba, pero cada uno le da a la otra parte un argumento. En un contraperitaje, son lo primero que se busca.
Las normas de referencia
En España se trabaja con tres documentos: la norma UNE-EN ISO/IEC 27037, sobre identificación, recogida, adquisición y preservación de evidencias digitales; la UNE 71506, sobre la metodología del análisis forense; y la UNE 197010, sobre cómo debe redactarse un informe pericial en materia de tecnologías de la información. No son leyes, pero seguirlas hace que el trabajo sea verificable por otro perito.
Qué puedes hacer tú
Si tienes un dispositivo o un archivo que puede acabar en un juzgado: no lo manipules, anota quién lo ha tenido, y si es un archivo suelto, calcula su huella y guárdala con la fecha. Después, que lo adquiera alguien que deje constancia. Aquí explicamos cómo es el análisis de un dispositivo.