O problema de examinar primeiro
Uma página web, um registro de transação ou uma captura de tela pode mudar depois de coletado — por acidente, por uma ferramenta ou de propósito. Se ninguém consegue demonstrar que a cópia constante de um relatório é a cópia que foi capturada, o perito da outra parte vai perguntar, e com razão.
Primeiro o hash, depois todo o resto
Ao adquirir um artefato, calculamos seu hash SHA-256 antes que qualquer outro processo o toque. O hash, o horário, a origem e o método são gravados no nosso log de custódia na mesma etapa. Só então o artefato é armazenado e disponibilizado para análise.
Um log que não pode ser editado em silêncio
Cada entrada do log de custódia inclui o hash da entrada anterior. Alterar qualquer entrada passada quebraria todos os elos seguintes. Em intervalos regulares, enviamos o estado atual do início do log a duas autoridades de carimbo de tempo RFC 3161 independentes, que devolvem tokens assinados indicando quando o viram.
O que a outra parte pode verificar
Cada pacote de exportação traz um manifesto de hashes, os tokens de carimbo de tempo e instruções por escrito. Um terceiro pode recalcular os hashes com ferramentas padrão e confirmar os carimbos de tempo sem nos pedir nada.
O que o hash não prova
Um hash prova que um arquivo não mudou desde que recebeu o hash. Não prova que o que o arquivo mostra é verdadeiro. Por isso, nossos relatórios separam o que foi observado do que é inferido e indicam um nível de confiança e as limitações de cada conclusão.