Das Problem, zuerst hinzusehen
Eine Webseite, ein Transaktionsdatensatz oder ein Screenshot kann sich nach der Erhebung verändern, durch Versehen, durch ein Werkzeug oder absichtlich. Wenn niemand zeigen kann, dass die Kopie in einem Bericht die erfasste Kopie ist, wird der Sachverständige der Gegenseite danach fragen, und das zu Recht.
Zuerst hashen, dann alles Weitere
Wenn wir ein Artefakt erfassen, berechnen wir seinen SHA-256-Hash, bevor irgendein anderer Prozess darauf zugreift. Hash, Zeitpunkt, Quelle und Methode werden im selben Schritt in unser Custody-Log geschrieben. Erst danach wird das Artefakt gespeichert und für die Analyse bereitgestellt.
Ein Protokoll, das sich nicht unbemerkt ändern lässt
Jeder Eintrag im Custody-Log enthält den Hash des vorangehenden Eintrags. Die Änderung eines früheren Eintrags würde jede nachfolgende Verknüpfung brechen. In regelmäßigen Abständen senden wir den aktuellen Kopf des Protokolls an zwei unabhängige Zeitstempelstellen nach RFC 3161, die signierte Token zurückgeben, aus denen hervorgeht, wann sie ihn gesehen haben.
Was die Gegenseite prüfen kann
Jedes Exportpaket enthält ein Manifest der Hashes, die Zeitstempel-Token und schriftliche Anleitungen. Ein Dritter kann die Hashes mit Standardwerkzeugen neu berechnen und die Zeitstempel bestätigen, ohne uns um etwas zu bitten.
Was Hashing nicht beweist
Ein Hash belegt, dass sich eine Datei seit dem Hashing nicht verändert hat. Er belegt nicht, dass das, was die Datei zeigt, wahr ist. Deshalb trennen unsere Berichte zwischen dem, was beobachtet wurde, und dem, was daraus abgeleitet wird, und geben für jede Feststellung ein Konfidenzniveau und die Einschränkungen an.