Proteger la integridad de la evidencia digital es uno de los pasos más críticos en cualquier investigación forense. Cuando se trabaja con información sensible que ha sido filtrada, saber calcular el valor hash de un archivo permite demostrar que la evidencia no ha sido alterada desde su recolección. A continuación se explica cómo realizar este proceso desde la terminal y qué herramientas complementarias están disponibles.

¿Cuándo es necesaria una copia lógica en lugar de una copia forense completa?

En un escenario de robo de información sensible, no siempre es indispensable realizar una copia forense completa del disco [0:01]. Cuando el análisis permite identificar con precisión qué archivo o conjunto de datos fue filtrado, se puede optar por una copia lógica, que abarca solo una parte específica del disco.

La copia lógica es un tipo de adquisición forense que extrae únicamente los archivos o particiones relevantes para el caso, en lugar de duplicar bit a bit todo el medio de almacenamiento. Esto ahorra tiempo y recursos sin comprometer la validez de la evidencia, siempre que se apliquen los controles de integridad adecuados.

¿Cómo se calcula el valor hash desde la terminal?

Una vez que se tiene la copia lógica con el archivo relevante, el siguiente paso es calcular su valor de integridad hash. Este valor funciona como una huella digital única del archivo: cualquier modificación, por mínima que sea, genera un hash completamente diferente.

¿Qué comando se usa para SHA256 en Unix?

Desde la terminal en Mac o Linux, se utiliza el comando correspondiente al algoritmo SHA256 seguido del nombre del archivo [0:39]. El resultado muestra:

• El valor hash SHA256 del archivo.
• El nombre del archivo asociado.

Este algoritmo genera una cadena de caracteres de longitud fija que representa de forma única el contenido del archivo.

¿Cuál es la diferencia entre SHA256 y SHA512?

Para calcular el valor SHA512, se emplea el mismo comando pero especificando el algoritmo distinto [0:55]. La diferencia principal es visible de inmediato:

• El resultado de SHA512 produce una cadena más larga que SHA256.
• Esto se debe a que SHA512 utiliza un espacio de bits mayor, lo que incrementa la complejidad del hash generado.

Ambos algoritmos pertenecen a la familia SHA-2 y son ampliamente aceptados en procedimientos forenses por su resistencia a colisiones, es decir, la probabilidad extremadamente baja de que dos archivos diferentes generen el mismo hash.

¿Qué herramientas alternativas existen para calcular hashes?

Aunque la terminal es una opción directa y eficiente, los comandos varían ligeramente entre sistemas operativos. En Windows, por ejemplo, se utilizan comandos diferentes a los de Mac o Linux [1:11].

Una herramienta recomendada para este propósito es Multihasher [1:18]. Sus ventajas incluyen:

• Interfaz que simplifica el cálculo de múltiples algoritmos de hash simultáneamente.
• Compatibilidad para calcular el hash de copias forenses completas.
• Capacidad para verificar la integridad de un volcado de memoria RAM.

El volcado de memoria RAM es otra fuente de evidencia forense que captura el estado de la memoria volátil del sistema en un momento específico, y su integridad también debe ser verificada mediante hashes antes de cualquier análisis.

Dominar el cálculo de valores hash es una habilidad fundamental para cualquier profesional de la informática forense. Si ya has practicado con SHA256 y SHA512, comparte qué herramienta prefieres y en qué sistema operativo realizas tus análisis.