El problema de mirar primero
Una página web, un registro de transacción o una captura de pantalla pueden cambiar después de ser recopilados: por accidente, por una herramienta o de forma deliberada. Si nadie puede demostrar que la copia incluida en un informe es la que se capturó, el perito de la parte contraria lo preguntará, y con razón.
Primero el hash, después todo lo demás
Cuando adquirimos un artefacto, calculamos su hash SHA-256 antes de que cualquier otro proceso lo toque. El hash, la hora, la fuente y el método se escriben en nuestro registro de custodia en el mismo paso. Solo entonces se almacena el artefacto y se pone a disposición para su análisis.
Un registro que no puede editarse discretamente
Cada entrada del registro de custodia incluye el hash de la entrada anterior. Modificar cualquier entrada pasada rompería todos los eslabones posteriores. A intervalos regulares enviamos la cabecera actual del registro a dos autoridades de sellado de tiempo RFC 3161 independientes, que devuelven tokens firmados en los que consta cuándo la recibieron.
Qué puede comprobar la otra parte
Cada paquete de exportación incluye un manifiesto de hashes, los tokens de sellado de tiempo e instrucciones por escrito. Un tercero puede recalcular los hashes con herramientas estándar y confirmar los sellos de tiempo sin pedirnos nada.
Lo que el hash no demuestra
Un hash demuestra que un archivo no ha cambiado desde que se calculó su hash. No demuestra que lo que el archivo muestra sea cierto. Por eso nuestros informes separan lo observado de lo inferido, e indican un nivel de confianza y las limitaciones de cada hallazgo.