Il problema di guardare per primi
Una pagina web, la registrazione di una transazione o uno screenshot possono cambiare dopo essere stati raccolti, per errore, per effetto di uno strumento o intenzionalmente. Se nessuno può dimostrare che la copia contenuta in un report è quella acquisita, l’esperto della controparte lo chiederà, e avrà ragione di farlo.
Prima l’hash, poi tutto il resto
Quando acquisiamo un artefatto, ne calcoliamo l’hash SHA-256 prima che qualsiasi altro processo lo tocchi. L’hash, l’ora, la fonte e il metodo vengono scritti nel nostro registro di custodia nella stessa fase. Solo allora l’artefatto viene archiviato e reso disponibile per l’analisi.
Un registro che non può essere modificato di nascosto
Ogni voce del registro di custodia include l’hash della voce precedente. Modificare una qualsiasi voce passata interromperebbe ogni collegamento successivo. A intervalli regolari inviamo l’attuale testa del registro a due autorità di marcatura temporale RFC 3161 indipendenti, che restituiscono token firmati attestanti il momento in cui l’hanno ricevuta.
Che cosa può verificare la controparte
Ogni pacchetto di esportazione contiene un manifesto degli hash, i token di marcatura temporale e istruzioni scritte. Un terzo può ricalcolare gli hash con strumenti standard e confermare le marcature temporali senza chiederci nulla.
Che cosa l’hash non dimostra
Un hash dimostra che un file non è cambiato da quando ne è stato calcolato l’hash. Non dimostra che ciò che il file mostra sia vero. Per questo i nostri report distinguono ciò che è stato osservato da ciò che è dedotto e indicano, per ogni risultato, un livello di confidenza e i relativi limiti.