O que torna os dados evidência

Toda investigação que envolve um computador, um telefone ou uma conta on-line termina com a mesma pergunta: é possível confiar nesses dados para mostrar o que aconteceu? Um arquivo em um notebook é apenas um conjunto de dados. Ele se torna evidência digital quando é relevante para uma questão que alguém precisa decidir e quando foi tratado de uma forma que permite que outras pessoas confiem nele. Esta aula explica essa diferença, o que distingue a evidência digital de documentos em papel ou vestígios físicos e os princípios que as normas internacionais usam para avaliá-la.

Dados, informação e evidência

É útil separar três ideias que muitas vezes são usadas como se fossem a mesma coisa.

• Dados são aquilo que está armazenado: bytes em um arquivo, um registro de banco de dados, uma linha de log, o conteúdo da memória.
• Informação são dados interpretados em contexto. Uma linha em um banco de dados do histórico do navegador é um dado; "esta conta acessou esta página da web às 14:02 UTC" é uma informação.
• Evidência é informação que ajuda a comprovar ou refutar um fato em questão e que foi identificada, coletada e preservada de modo que sua origem e integridade possam ser demonstradas.

A ISO/IEC 27037, diretriz internacional para identificação, coleta, aquisição e preservação de evidências digitais, define evidência digital como informação ou dados, armazenados ou transmitidos em formato binário, que podem ser usados como evidência. Até que sejam examinados, a norma os chama de potencial evidência digital: ainda não se sabe se são relevantes, portanto devem ser tratados como se pudessem ser.

O que diferencia a evidência digital

A evidência digital segue a mesma lógica de qualquer outra evidência, mas se comporta de maneiras diferentes que moldam cada etapa do trabalho.

• É latente. Ninguém consegue ler um disco apenas olhando para ele. São necessárias ferramentas e um perito para tornar os dados visíveis, portanto o próprio método deve ser explicado e ser confiável.
• É frágil. Os dados podem ser alterados, sobrescritos ou destruídos pelo uso normal do dispositivo, por uma atualização automática ou por um perito descuidado. A aula 1.2 aborda isso em detalhes.
• É possível fazer uma cópia exata. Ao contrário de uma impressão digital coletada de um copo, uma cópia bit a bit de uma unidade de armazenamento é idêntica ao original. Um valor de hash criptográfico, como SHA-256, permite que qualquer pessoa verifique se a cópia não foi alterada (Módulo 4).
• Contém metadados. Arquivos, mensagens e registros vêm acompanhados de dados sobre si mesmos: registros de data e hora, autores, identificadores de dispositivos, localizações. Os metadados muitas vezes respondem à questão melhor do que o conteúdo.
• É abundante e diversificada. Um único telefone contém anos da vida de uma pessoa e dados pertencentes a outras pessoas. Os peritos devem encontrar o que é relevante sem ultrapassar aquilo que estão autorizados a examinar (Módulo 2).
• Muitas vezes está em outro lugar. E-mails, conversas e documentos podem estar em servidores de outros países, sincronizados entre vários dispositivos.

Três critérios: relevância, confiabilidade e suficiência

A ISO/IEC 27037 estabelece três princípios que regem a evidência digital. Eles são uma lista de verificação útil para qualquer item cuja coleta você esteja considerando.

Suficiência não significa coletar tudo. Significa coletar o suficiente para responder à questão e testar outras explicações, mantendo-se dentro do escopo da autorização.

Quatro aspectos do tratamento adequado

A mesma norma lista quatro aspectos que tornam o tratamento da evidência digital defensável. Eles reaparecem em todos os módulos deste curso.

1. Auditabilidade: uma pessoa independente pode revisar o que foi feito, porque cada ação foi registrada.
2. Repetibilidade: o mesmo perito, usando o mesmo método e as mesmas ferramentas nas mesmas condições, obtém o mesmo resultado.
3. Reprodutibilidade: outro perito, com ferramentas diferentes ou em outro laboratório, usando o mesmo método, obtém o mesmo resultado.
4. Justificabilidade: cada ação e decisão pode ser explicada como a melhor escolha disponível nas circunstâncias.

A repetibilidade e a reprodutibilidade são os motivos pelos quais os peritos trabalham com cópias verificadas e evitam ferramentas cujos resultados não podem ser conferidos. A justificabilidade é importante quando a etapa ideal foi impossível: se um telefone precisou ser examinado enquanto estava ligado, as anotações devem explicar o motivo.

Evidências para ambos os lados

A evidência que sustenta uma acusação é chamada de incriminatória; a evidência que a enfraquece é exculpatória. O perito procura ambas. Um log que mostra uma conta copiando arquivos é incriminatório; o mesmo log mostrando que a conta estava em uso enquanto seu titular estava em um voo é exculpatório e deve ser relatado com a mesma clareza. O exame forense serve à apuração dos fatos, não a uma das partes.

Equívocos comuns

Quatro crenças causam a maioria dos erros iniciais com evidências digitais.

• "Excluído significa eliminado." Excluir um arquivo geralmente remove apenas a referência a ele; o conteúdo muitas vezes permanece até ser sobrescrito. O contrário também é verdadeiro: alguns sistemas, como unidades de estado sólido, apagam rapidamente os dados excluídos (Aula 1.2).
• "Uma captura de tela é suficiente." Uma captura de tela mostra o que uma tela exibiu, não de onde vieram os dados. É uma indicação útil, não um substituto para a fonte.
• "A ferramenta está sempre certa." As ferramentas forenses interpretam os dados de acordo com o que seus desenvolvedores compreenderam. Os resultados devem ser conferidos, especialmente no caso de novas versões de sistemas operacionais e aplicativos.
• "Mais dados é sempre melhor." Coletar tudo pode exceder a autorização, invadir a privacidade de outras pessoas e ocultar os itens relevantes em meio ao excesso. Colete o que as questões exigem e o que é necessário para testar alternativas.

Um exemplo resolvido

Uma empresa suspeita que um funcionário enviou uma lista de preços confidencial a um concorrente antes de pedir demissão. O primeiro arquivo que surge é uma captura de tela de um e-mail encaminhado por um colega.

• A captura de tela é relevante, mas apresenta baixa confiabilidade: pode ser editada e não mostra dados de cabeçalho que comprovem quem enviou a mensagem, quando e para quem.
• A caixa de correio no servidor de e-mail da empresa, exportada com seus cabeçalhos e verificada por valores de hash, é muito mais confiável.
• Para garantir a suficiência, o perito também preserva a pasta de itens enviados, os logs de transporte do servidor de e-mail e o notebook do funcionário, para que outras explicações, como uma conta com acesso delegado ou uma senha compartilhada, possam ser testadas.

O mesmo fato, "este e-mail foi enviado", constitui uma evidência fraca ou forte dependendo de sua origem e de como foi tratado.

Foco no exame: Conheça a diferença entre dados, informação e evidência digital; os três princípios da ISO/IEC 27037 (relevância, confiabilidade, suficiência) e seus quatro aspectos de tratamento (auditabilidade, repetibilidade, reprodutibilidade, justificabilidade), e saiba distinguir repetibilidade de reprodutibilidade. Espere perguntas sobre o que diferencia a evidência digital: latente, frágil, passível de cópia exata e de verificação por valores de hash, rica em metadados. Lembre-se de que os peritos procuram evidências tanto exculpatórias quanto incriminatórias.