Valores de hash e integridade das evidências

Uma cópia forense só é útil se qualquer pessoa puder verificar que ela é idêntica ao que foi adquirido e que não sofreu alterações desde então. Os valores de hash criptográfico tornam essa verificação rápida e objetiva. Esta aula explica as funções de hash, os algoritmos usados pelos examinadores, o que uma correspondência de hash comprova e o que não comprova, e como valores de hash conhecidos agilizam um exame. O registro de valores de hash nos registros da cadeia de custódia é abordado no Módulo 5.

O que uma função de hash faz

Uma função de hash criptográfico lê qualquer quantidade de dados, de uma palavra a um disco inteiro, e produz um resultado curto, de comprimento fixo, chamado valor de hash ou resumo criptográfico. Quatro propriedades a tornam útil para as evidências:

• Comprimento fixo: o SHA-256 sempre retorna 256 bits, representados por 64 caracteres hexadecimais, independentemente do tamanho da entrada.
• Determinística: a mesma entrada sempre gera o mesmo valor, em qualquer computador e com qualquer implementação correta.
• Efeito avalanche: alterar um único bit da entrada muda cerca de metade dos bits da saída, de forma imprevisível.
• Unidirecional e resistente a colisões: não é viável recuperar a entrada a partir do resultado nem encontrar duas entradas com o mesmo valor.

Por exemplo, o texto ASCII "Total a pagar: 1.500,00" tem um valor SHA-256 que começa com 6b2c7c4a. Troque o 5 por um 4, o que altera exatamente um bit, e o valor passa a começar com efdbbff7, sem qualquer indício de que as entradas são quase idênticas.

Algoritmos comuns

Uma colisão ocorre quando duas entradas diferentes têm o mesmo valor de hash. Para MD5 e SHA-1, esses pares agora podem ser criados deliberadamente; por isso, ambos são considerados comprometidos para usos de segurança, como assinaturas digitais, e nenhum deles deve ser o único hash registrado para as evidências. Os ataques criam duas novas entradas em conjunto; eles não produzem um arquivo que corresponda ao hash de um arquivo já existente, portanto uma imagem antiga verificada com MD5 não se torna subitamente não confiável. A prática atual é usar SHA-256 ou um algoritmo mais forte, frequentemente registrado junto com MD5 ou SHA-1, pois ferramentas, relatórios e bancos de hashes mais antigos podem listar apenas esses valores.

Hash de aquisição e hash de verificação

Dois valores de hash compõem a verificação básica de integridade.

• O hash de aquisição é calculado pela ferramenta de criação de imagens a partir dos dados à medida que ela os lê da origem. Ele descreve a origem como estava no momento da aquisição.
• O hash de verificação é calculado posteriormente, relendo a imagem ou cópia e calculando seu hash novamente. Se ele for igual ao hash de aquisição, a cópia é um registro fiel do que foi lido.

A comparação pode ser repetida a qualquer momento: antes da análise, quando uma cópia é entregue ou em tribunal. Após uma aquisição com o equipamento desligado, o hash da origem também pode ser calculado novamente para demonstrar que ela não foi alterada. Uma divergência deve ser investigada e explicada, nunca ignorada; causas comuns são uma unidade com falhas que apresenta leituras inconsistentes, um erro de cópia ou uma gravação que passou pelo bloqueador de escrita.

Imagens completas e arquivos individuais

Um hash de imagem abrange todo o fluxo de dados adquiridos. Um hash de arquivo abrange o conteúdo de um único arquivo.

Um hash de arquivo não inclui o nome, o caminho nem os registros de data e hora do arquivo, que o sistema de arquivos armazena separadamente. Dois arquivos com conteúdo idêntico, mas nomes diferentes, compartilham o mesmo hash. Os hashes de arquivo são ideais para encontrar duplicatas e demonstrar que um arquivo exportado corresponde ao arquivo dentro da imagem, mas não dizem nada sobre quando ou onde uma cópia foi feita.

O hash de imagem não depende do formato: imagens raw e E01 (Aula 4.3) da mesma unidade geram o mesmo hash de imagem.

O que um hash comprova e o que não comprova

Uma correspondência de hash é uma evidência forte e objetiva, mas de um fato específico.

• Comprova que a cópia é idêntica, bit a bit, aos dados cujo hash foi calculado e que não sofreu alterações desde então.
• Não comprova que a origem estava inalterada antes da aquisição. Se alguém alterou uma unidade no dia anterior à apreensão, a imagem preserva fielmente a unidade alterada.
• Não comprova quem criou, enviou ou modificou os dados, nem quando. Essas perguntas são respondidas pela análise (Módulo 6).
• Não comprova que a aquisição foi completa. Uma cópia direcionada pode ser perfeitamente verificada e ainda assim deixar de fora o que importa.
• Sua segurança depende da segurança de seu registro. Alguém capaz de alterar uma imagem também poderia alterar um valor de hash armazenado apenas junto dela; por isso, registre os valores também nas anotações e nos registros da cadeia de custódia (Módulo 5).

Conjuntos de hashes: reconhecimento de arquivos conhecidos

Um conjunto de hashes é uma lista de valores de hash de arquivos cuja identidade já é conhecida, de modo que os arquivos correspondentes sejam reconhecidos sem que ninguém precise abri-los.

• Arquivos conhecidos: a National Software Reference Library (NSRL), mantida pelo NIST, publica valores de hash de arquivos de softwares disponíveis comercialmente, permitindo que arquivos do sistema operacional e de aplicativos sejam excluídos de uma revisão por meio de filtragem. O NIST chama esses arquivos de conhecidos, não de bons: o conjunto inclui softwares, como ferramentas de invasão, que podem ser relevantes por si só.
• Arquivos reconhecidamente maliciosos ou de interesse: listas de malware ou de material ilegal sinalizam automaticamente os arquivos correspondentes e poupam os examinadores de visualizar novamente imagens ilegais já conhecidas.

A correspondência de hashes encontra apenas arquivos idênticos: uma foto redimensionada tem um valor diferente. O hashing aproximado e o hashing perceptual indicam semelhança, e não identidade, e seus resultados precisam ser revisados.

Um exemplo resolvido

Ana, examinadora de um laboratório fictício, cria uma imagem de uma unidade de 1 TB. Os valores abaixo estão abreviados e são ilustrativos.

1. A ferramenta informa o hash de aquisição: SHA-256 4e1a…9c07 e MD5 b3d2…51fa. Ana registra ambos.
2. A verificação relê a imagem e informa os mesmos valores.
3. Duas semanas depois, antes da análise, sua cópia de trabalho ainda gera 4e1a…9c07.
4. Um colega calcula o hash de uma segunda cópia com uma ferramenta diferente e obtém o mesmo valor SHA-256, o que também demonstra reprodutibilidade (Módulo 1).
5. Ana exporta uma planilha e registra seu hash de arquivo, para que qualquer pessoa possa confirmar que ela corresponde ao arquivo na imagem.

Se algum valor tivesse sido diferente, Ana teria registrado a discrepância e identificado sua causa antes de confiar na cópia.

Foco no exame: Conheça as propriedades de uma função de hash (comprimento fixo, determinística, efeito avalanche, unidirecional, resistente a colisões) e os tamanhos de MD5 (128 bits), SHA-1 (160 bits) e SHA-256 (256 bits). Saiba por que o SHA-256 é preferido e por que MD5 ou SHA-1 ainda são registrados junto com ele. Diferencie hash de aquisição de hash de verificação, e hash de imagem de hash de arquivo. Espere cenários sobre o que uma correspondência de hash comprova e o que não comprova, e sobre conjuntos de hashes como a NSRL.