Önce bakmanın sorunu
Bir web sayfası, bir işlem kaydı veya bir ekran görüntüsü toplandıktan sonra kazara, bir araç aracılığıyla ya da kasten değişebilir. Bir raporda yer alan kopyanın yakalanan kopya olduğunu hiç kimse gösteremezse, karşı tarafın uzmanı bunu soracaktır ve bunu sormakta haklı olacaktır.
Önce hash, sonra diğer her şey
Bir artefaktı edindiğimizde, başka hiçbir süreç ona dokunmadan önce SHA-256 hash’ini hesaplarız. Hash, zaman, kaynak ve yöntem aynı adımda delil zinciri kaydımıza yazılır. Artefakt ancak bundan sonra saklanır ve analize sunulur.
Sessizce düzenlenemeyen bir kayıt
Delil zinciri kaydındaki her giriş, kendisinden önceki girişin hash’ini içerir. Geçmişteki herhangi bir girişin değiştirilmesi, ondan sonraki her bağlantıyı bozar. Düzenli aralıklarla kaydın güncel başını, bunu ne zaman gördüklerini belirten imzalı belirteçler döndüren iki bağımsız RFC 3161 zaman damgası otoritesine göndeririz.
Karşı tarafın doğrulayabilecekleri
Her dışa aktarım paketi, bir hash manifestosu, zaman damgası belirteçleri ve yazılı talimatlar içerir. Üçüncü bir taraf, standart araçlarla hash’leri yeniden hesaplayabilir ve bizden hiçbir şey istemeden zaman damgalarını doğrulayabilir.
Hash’lemenin neyi kanıtlamadığı
Bir hash, bir dosyanın hash’lendiği andan itibaren değişmediğini kanıtlar. Dosyanın gösterdiği şeyin doğru olduğunu kanıtlamaz. Bu nedenle raporlarımız gözlemlenenle çıkarsananı birbirinden ayırır ve her bulgu için bir güven düzeyi ile sınırlamalar belirtir.