Qué convierte los datos en evidencia

Toda investigación que involucre una computadora, un teléfono o una cuenta en línea termina con la misma pregunta: ¿se puede confiar en estos datos para demostrar lo que ocurrió? Un archivo en una computadora portátil es solo un conjunto de datos. Se convierte en evidencia digital cuando es relevante para una cuestión que alguien debe resolver y cuando se ha manejado de una forma que permite a otros confiar en él. Esta lección explica esa diferencia, qué distingue a la evidencia digital de los documentos en papel o los indicios físicos, y los principios que utilizan las normas internacionales para evaluarla.

Datos, información y evidencia

Conviene distinguir tres ideas que a menudo se utilizan como si fueran lo mismo.

• Los datos son lo que se almacena: bytes en un archivo, un registro de una base de datos, una línea de un registro de eventos, el contenido de la memoria.
• La información son datos interpretados en su contexto. Una fila en una base de datos del historial del navegador es un conjunto de datos; "esta cuenta visitó esta página web a las 14:02 UTC" es información.
• La evidencia es información que ayuda a demostrar o refutar un hecho en cuestión, y que se identificó, recopiló y preservó de forma que se puedan demostrar su origen e integridad.

ISO/IEC 27037, la guía internacional para identificar, recopilar, adquirir y preservar evidencia digital, define la evidencia digital como información o datos, almacenados o transmitidos en formato binario, que pueden utilizarse como evidencia. Hasta que se examina, la norma la denomina evidencia digital potencial: todavía nadie sabe si es relevante, por lo que debe manejarse como si pudiera serlo.

Qué distingue a la evidencia digital

La evidencia digital sigue la misma lógica que cualquier otra evidencia, pero se comporta de manera diferente en aspectos que condicionan cada paso del trabajo.

• Es latente. Nadie puede leer un disco con solo mirarlo. Se necesitan herramientas y un analista para hacer visibles los datos, por lo que el propio método debe explicarse y ser fiable.
• Es frágil. Los datos pueden modificarse, sobrescribirse o destruirse por el uso habitual del dispositivo, por una actualización automática o por un analista descuidado. La lección 1.2 aborda este tema en detalle.
• Es posible obtener una copia exacta. A diferencia de una huella dactilar levantada de un vaso, una copia bit a bit de una unidad es idéntica al original. Un valor hash criptográfico, como SHA-256, permite a cualquiera comprobar que la copia no ha cambiado (módulo 4).
• Contiene metadatos. Los archivos, mensajes y registros incluyen datos sobre sí mismos: marcas de tiempo, autores, identificadores de dispositivos, ubicaciones. Los metadatos suelen responder a la pregunta mejor que el propio contenido.
• Es abundante y está mezclada. Un solo teléfono contiene años de la vida de una persona, así como datos pertenecientes a otras personas. Los analistas deben encontrar lo relevante sin ir más allá de lo que están autorizados a examinar (módulo 2).
• A menudo se encuentra en otro lugar. Los correos electrónicos, chats y documentos pueden estar en servidores de otros países, sincronizados entre varios dispositivos.

Tres criterios: relevancia, fiabilidad y suficiencia

ISO/IEC 27037 establece tres principios que rigen la evidencia digital. Constituyen una lista de verificación útil para cualquier elemento que se considere recopilar.

Suficiencia no significa recopilarlo todo. Significa recopilar lo necesario para responder a la pregunta y poner a prueba otras explicaciones, sin salir del alcance de la autorización.

Cuatro aspectos del manejo adecuado

La misma norma enumera cuatro aspectos que hacen que el manejo de la evidencia digital sea defendible. Vuelven a aparecer en todos los módulos de este curso.

1. Auditabilidad: una persona independiente puede revisar lo que se hizo, porque se registró cada acción.
2. Repetibilidad: el mismo analista, utilizando el mismo método y las mismas herramientas en las mismas condiciones, obtiene el mismo resultado.
3. Reproducibilidad: otro analista, con herramientas diferentes o en un laboratorio distinto, utilizando el mismo método, obtiene el mismo resultado.
4. Justificabilidad: cada acción y decisión puede explicarse como la mejor opción disponible dadas las circunstancias.

La repetibilidad y la reproducibilidad son la razón por la que los analistas trabajan con copias verificadas y evitan herramientas cuyos resultados no se pueden comprobar. La justificabilidad es importante cuando no fue posible dar el paso ideal: si hubo que examinar un teléfono mientras estaba encendido, las notas deben indicar por qué.

Evidencia para ambas partes

La evidencia que respalda una acusación se denomina inculpatoria; la que la debilita es exculpatoria. Un analista busca ambas. Un registro que muestra que una cuenta copió archivos es inculpatorio; ese mismo registro, si muestra que la cuenta estaba en uso mientras su titular viajaba en un vuelo, es exculpatorio y debe comunicarse con la misma claridad. El análisis forense está al servicio del esclarecimiento de los hechos, no de una de las partes.

Ideas erróneas comunes

Cuatro creencias causan la mayoría de los errores iniciales con la evidencia digital.

• "Eliminado significa desaparecido." Eliminar un archivo suele borrar solo la referencia a él; el contenido a menudo permanece hasta que se sobrescribe. También ocurre lo contrario: algunos sistemas, como las unidades de estado sólido, borran rápidamente los datos eliminados (lección 1.2).
• "Una captura de pantalla es suficiente." Una captura de pantalla muestra lo que se visualizaba en una pantalla, no de dónde proceden los datos. Es una pista útil, no un sustituto de la fuente.
• "La herramienta siempre tiene razón." Las herramientas forenses interpretan los datos según lo que entendieron sus desarrolladores. Los resultados deben comprobarse, especialmente en el caso de versiones nuevas de sistemas operativos y aplicaciones.
• "Más datos siempre es mejor." Recopilarlo todo puede exceder la autorización, invadir la privacidad de otras personas y ocultar los elementos relevantes entre una gran cantidad de datos. Recopile lo que exijan las preguntas y lo necesario para poner a prueba explicaciones alternativas.

Un ejemplo desarrollado

Una empresa sospecha que un empleado envió una lista de precios confidencial a un competidor antes de renunciar. El primer archivo que aparece es una captura de pantalla de un correo electrónico reenviado por un colega.

• La captura de pantalla es relevante, pero presenta poca fiabilidad: puede editarse y no muestra datos de encabezado que demuestren quién envió el mensaje, cuándo y a quién.
• El buzón del servidor de correo de la empresa, exportado con sus encabezados y verificado mediante valores hash, es mucho más fiable.
• Para garantizar la suficiencia, el analista también preserva la carpeta de elementos enviados, los registros de transporte del servidor de correo y la computadora portátil del empleado, de modo que se puedan poner a prueba otras explicaciones, como una cuenta delegada o una contraseña compartida.

El mismo hecho, "se envió este correo electrónico", constituye evidencia débil o sólida según su procedencia y cómo se haya manejado.

Puntos clave para el examen: Conozca la diferencia entre datos, información y evidencia digital; los tres principios de ISO/IEC 27037 (relevancia, fiabilidad, suficiencia) y sus cuatro aspectos de manejo (auditabilidad, repetibilidad, reproducibilidad, justificabilidad), y distinga la repetibilidad de la reproducibilidad. Espere preguntas sobre lo que hace diferente a la evidencia digital: es latente, frágil, puede copiarse de forma exacta y verificarse mediante valores hash, y es rica en metadatos. Recuerde que los analistas buscan evidencia tanto exculpatoria como inculpatoria.