Cadena de custòdia digital: què és i per què pot salvar (o enfonsar) una prova
La cadena de custòdia és el registre que demostra que una evidència no ha estat alterada des que es va obtenir fins que arriba al jutjat. En el món digital, on un fitxer es pot modificar sense deixar rastre visible, és especialment important.
El paper de la funció hash
Una funció hash (per exemple, SHA-256) genera una “empremta” única d'un fitxer o d'un disc. Si canvia un sol bit, l'empremta canvia completament. Calcular el hash en el moment de l'adquisició i tornar-lo a calcular més endavant permet demostrar que la còpia és idèntica a l'original.
Què s'ha de documentar
- Qui va obtenir l'evidència, quan, on i amb quines eines.
- El hash de l'original i de les còpies de treball.
- Cada traspàs de l'evidència entre persones o llocs.
- Com s'ha emmagatzemat i protegit.
Errors habituals
- Encendre i “mirar” un ordinador o un mòbil abans de clonar-lo.
- Fer còpies amb eines no forenses que modifiquen dates o metadades.
- No deixar constància de qui ha tingut accés al dispositiu.
Les normes UNE 71506 (anàlisi forense d'evidències electròniques) i ISO/IEC 27037 descriuen bones pràctiques que ajuden a defensar la validesa de la prova.