¿Cuáles son las principales diferencias entre una copia de seguridad y una imagen forense?

En la copia de seguridad, el objetivo es proteger datos contra pérdidas accidentales. En la imagen forense se hace para preservar evidencia para investigaciones forenses 

En la copia de seguridad, el nivel de detalle, puede ser selectiva (solo archivos importantes). En la imagen forense es una copia bit a bit de todo el dispositivo.

En la copia de seguridad, la verificación puede no incluirse dicha verificación de integridad. En la imagen forense siempre se incluye la verificación de integridad (hash).

En la copia de seguridad, las herramientas requieren software de respaldo convencional. En la imagen forense existen herramientas forenses especializadas.

En la admisibilidad para un proceso penal, la copia de seguridad generalmente no son admisibles como evidencia. En la imagen forense es admisible como evidencia, si se sigue un procedimiento adecuado.

Alterar un código hash de manera intencional para que coincida con un archivo modificado es extremadamente difícil y prácticamente imposible en la práctica

¿Por qué es tan difícil?

Función unidireccional: Las funciones hash están diseñadas para ser unidireccionales. Esto significa que es fácil calcular el hash a partir de un dato (un archivo, una cadena de texto, etc.), pero es prácticamente imposible obtener el dato original a partir del hash.

Tamaño fijo: Los hashes tienen un tamaño fijo, independientemente del tamaño del dato original. Esto significa que una pequeña modificación en el dato original resultará en un hash completamente diferente.

Colisiones, pero extremadamente raras: Si bien es teóricamente posible que dos datos diferentes produzcan el mismo hash (una colisión), la probabilidad de que esto ocurra es tan baja que se considera prácticamente nula para funciones hash bien diseñadas como SHA-256 o SHA-3.

¿Qué pasa si se intenta alterar un hash?

Si se intenta modificar un hash de manera arbitraria, lo más probable es que el nuevo hash no corresponda a ningún dato válido. Es decir, no existirá un archivo que produzca ese nuevo hash.

¿Existen herramientas para cambiar hashes?

Sí, existen herramientas como MD5 Hash Changer que permiten modificar el hash de un archivo. Sin embargo, estas herramientas simplemente generan un nuevo hash aleatorio para el archivo, sin ninguna relación con el contenido original. No es posible modificar el hash de un archivo para que coincida con un hash específico y deseado.

Alterar un código hash de manera intencional para que coincida con un archivo modificado es un problema computacionalmente muy difícil y, en la práctica, inviable. Las funciones hash son una herramienta fundamental en la seguridad informática para garantizar la integridad de los datos.

Explicación y Argumentación Básica en un Escrito de Promoción de Pruebas de un Proceso Penal por medio del cual esté relacionado el Código Hash proveniente de un Medio Informático

En un escrito de promoción de pruebas, es recomendable profundizar algunos aspectos de tipo jurídico y técnico, cuando debemos puntualizar aspectos trascendentales en la aportación de hechos al proceso que sean relevantes jurídicamente hablando. Y a tales fines legales, se debe:

1. Identificar el archivo o dato digital:

 

• Describir el tipo de archivo (documento, imagen, audio, video, etc.).

• Indicar la ubicación del archivo (carpeta, dispositivo de almacenamiento, etc.).

• Si es posible, proporcionar el nombre del archivo.

2. Calcular el Código Hash del archivo:

• Utilizar una función hash reconocida (MD5, SHA1, SHA256, etc.).
• Indicar qué algoritmo de Hash se ha utilizado.
• Proporcionar el valor del Código Hash.
• Valor del Código Hash calculado.
• Software utilizado para calcular el Código Hash.
• Testimonio de la persona (perito) que calculó el Código Hash. 

3. Demostrar la Pertinencia y Necesidad del Código Hash:

• Explicar cómo el archivo o dato digital se relaciona con los hechos controvertidos del caso.

• Argumentar cómo el Código Hash puede contribuir a esclarecer la verdad y determinar la responsabilidad penal del imputado.

4. Asegurar la autenticidad del Código Hash:

• Indicar cómo se ha obtenido el Código Hash (de manera lícita y con las debidas garantías procesales).

• Detallar las medidas tomadas para preservar la integridad del archivo (cadena de custodia).

• Ofrecer la posibilidad de realizar pericias informáticas para verificar la autenticidad del Código Hash.

5. Almacenamiento de la prueba:

• Lugar de almacenamiento de la prueba.
• Condiciones de almacenamiento (temperatura, humedad, etc.).
• Medidas de seguridad de conservación para la prueba.

Ejemplo de Argumentación por parte del Representante Fiscal del Ministerio Público:

"Se solicita la incorporación como prueba electrónica del archivo 'documento.docx' encontrado en el computador del imputado. 

Este archivo contiene información relevante para el caso, como la planificación del delito. 

El Código Hash del archivo es MD5: 5d41402abc4b2a76b9719d911017c592. 

La prueba es pertinente porque demuestra la participación del imputado en el delito. 

La prueba es auténtica ya que se ha obtenido de forma lícita y se ha preservado su integridad mediante la cadena de custodia. 

Se adjunta el archivo 'documento.docx' y se ofrece la posibilidad de realizar una pericia informática para verificar la autenticidad del Código Hash."

Consideraciones:

El Código Hash debe calcularse sobre la prueba original, sin modificaciones.

El Código Hash debe ser verificado en cada etapa de la cadena de custodia.

Es importante utilizar un algoritmo de Hash seguro y confiable.

Se debe mantener un registro de todas las personas que han tenido acceso a la prueba.

Objeto del Código Hash en un Proceso Penal:

El objeto del Código Hash en un proceso penal es demostrar la integridad y autenticidad de un archivo o de un dato digital.

Si necesita asesoría legal, no dude en contactarme.

-------------------

De obligatoria lectura sobre lo anterior, tenemos el artículo 187 del Código Orgánico Procesal Penal Vigente: 

"Todo funcionario o funcionaria que colecte evidencias físicas debe cumplir con la cadena de custodia, entendiéndose por ésta, la garantía legal que permite el manejo idóneo de las evidencias digitales, físicas o materiales, con el objeto de evitar su modificación, alteración o contaminación desde el momento de su ubicación en el sitio del suceso o lugar del hallazgo, su trayectoria por las distintas dependencias de investigaciones penales, criminalísticas y forenses, la consignación de los resultados a la autoridad competente, hasta la culminación del proceso.

La cadena de custodia comprende el procedimiento empleado en la inspección técnica del sitio del suceso y del cadáver si fuere el caso, debiendo cumplirse progresivamente con los pasos de protección, fijación, colección, embalaje, rotulado, etiquetado, preservación y traslado de las evidencias a las respectivas dependencias de investigaciones penales, criminalísticas y ciencias forenses, u órganos jurisdiccionales.

Los funcionarios o funcionarias que colectan evidencias físicas deben registrarlas en la planilla diseñada para la cadena de custodia, a fin de garantizar la integridad, autenticidad, originalidad y seguridad del elemento probatorio, desde el momento de su colección, trayecto dentro de las distintas dependencias de investigaciones penales, criminalísticas y ciencias forenses, durante su presentación en el debate del juicio oral y público, hasta la culminación del proceso.

La planilla de registro de evidencias físicas deberá contener la indicación, en cada una de sus partes, de los funcionarios o funcionarias, o personas que intervinieron en el resguardo, fijación fotográfica o por otro medio, colección, embalaje, etiquetaje, traslado, preservación, análisis, almacenaje y custodia de evidencias físicas, para evitar y detectar cualquier modificación, alteración, contaminación o extravío de estos elementos probatorios.

Los procedimientos generales y específicos, fundados en los principios básicos de la cadena de custodia de las evidencias físicas, estarán regulados por un manual de procedimiento único, de uso obligatorio para todas las instituciones policiales del territorio nacional, que practiquen entre sus labores, el resguardo, fijación fotográfica o por otro medio, colección, embalaje, etiquetaje, traslado, preservación, análisis, almacenaje y custodia de evidencias físicas, con la finalidad de mantener un criterio unificado de patrones criminalísticos. El referido Manual de Procedimientos en Materia de Cadena de Custodia de Evidencias Físicas, es competencia del Ministerio del Poder Popular para Relaciones Interiores y Justicia en coordinación con el Ministerio Público."

Si necesita asesoría legal, no dude en contactarme.

Algunos Tips para Coadyuvar en los Escritos de Promoción de Pruebas en los Procesos Penales con Relación al Código Hash y las Pruebas Electrónicas.

Primero, sería conveniente tener alguna noción o idea de lo que es el concepto de Código Hash. así que nada mejor que poder preguntarle a Gemini como un avanzado Chat de AI sobre lo que es el Código Hash:

## ¿Qué es el Código Hash?

Un Código Hash, también conocido como huella digital o resumen criptográfico, es un valor alfanumérico que se genera a partir de un conjunto de datos. Este valor funciona como una representación única e irrepetible de esos datos, similar a la huella dactilar de una persona.

**Funcionamiento:**

* Se introduce el conjunto de datos (texto, archivo, imagen, etc.) en una función hash.

* La función hash aplica un algoritmo matemático complejo para transformar esos datos en una cadena de caracteres de longitud fija.

* Cualquier cambio en los datos originales, por mínimo que sea, genera un cambio drástico en el código hash.

                     

**Propiedades:**

* **Único:** Dos conjuntos de datos diferentes, con la única excepción de ser idénticos bit a bit, generarán códigos hash distintos.

* **Irreversible:** No es posible obtener los datos originales a partir del código hash.

* **Fiable:** El código hash es una representación segura y confiable de los datos.

**Aplicaciones:**

* **Verificación de integridad:** Se utiliza para verificar que un archivo o documento no haya sido modificado desde su creación.

* **Seguridad informática:** Se utiliza para proteger contraseñas, detectar malware y garantizar la autenticidad de software.

* **Pruebas electrónicas:** Se utiliza en procesos judiciales para verificar la autenticidad de archivos digitales.

* **Blockchain:** La tecnología blockchain se basa en el uso de códigos hash para asegurar la integridad de la cadena de bloques.

**Códigos hash comunes:**

* **MD5:** Algoritmo de 128 bits, utilizado para verificar la integridad de archivos.

* **SHA1:** Algoritmo de 160 bits, utilizado para proteger contraseñas.

* **SHA256:** Algoritmo de 256 bits, considerado más seguro que MD5 y SHA1.

**Herramientas para calcular Código Hash:**

* **HashCalc:** Software gratuito para calcular y verificar códigos hash.

* **Online Hash Generator:** Herramienta web para calcular hash sin necesidad de instalar software.

* **Hash Tool:** Aplicación web para calcular y verificar hashes de forma rápida y sencilla.

**Ejemplo:**

Si se calcula el Código Hash del texto "Hola mundo", se podría obtener el siguiente resultado:

```

MD5: 5d41402abc4b2a76b9719d911017c592

SHA1: 2aae6c35c94fcfb415db6901b53e035c0d86e620

SHA256: 2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824

```

Si se modifica el texto a "Hola mundo!", es decir, se le añade el signo de exclamación, esto implicará que el Código Hash cambiará completamente:

```

MD5: 4214e412111987e7274f97c6a336f283

SHA1: 4f567184c7a9d4f74a961419c70c4f57802f8593

SHA256: 7f83b1657ff1fc53b9708c8c71f26ebf66e9d9b3ef794335734b2fa19f0361b7

```

**En resumen, el Código Hash es una herramienta valiosa para garantizar la integridad y autenticidad de datos digitales.**

TIPS

Si bien en el Manual Único de Cadena de Custodia de Evidencias Físicas (mes de agosto del año 2017 que es el último y actualmente vigente) se encuentra este particular Código el cual es, parte de los contenidos en la Tabla 8 de las Técnicas, instrumentos, materiales y responsables por parte de los funcionarios y encargados de manejar la cadena de custodia y su protección y cuidado, vemos que en las Técnicas Digitales, esta el Algoritmo Hash.

Del mismo modo, en el "glosario de términos" de este Manual, tenemos lo que es el Precinto: Constituyen mecanismos físicos o digitales que acompañan el embalaje de las evidencias físicas y la ubicación de los datos físicos o digitales a fin de que estas no puedan ser manipuladas sin autorización.  

En internet, hay varios Programas o aplicaciones gratuitas para determinar la existencia de un Código Hash, como les dijo el Chat de AI que les copié en los párrafos anteriores:

a. HashCalc:

Disponible para Windows, macOS y Linux.

Calcula diversos tipos de hash, como MD5, SHA1, SHA256, etc.

Permite verificar un archivo con un Código Hash conocido.

b. Online Hash Generator:

Herramienta web para calcular Hash sin necesidad de instalar software.

Soporta múltiples algoritmos de hash.

Permite verificar archivos cargados o introducidos por URL.

c. Hash Tool:

Aplicación web para calcular y verificar Hashes de forma rápida y sencilla.

Interfaz intuitiva y fácil de usar.

Soporta MD5, SHA1, SHA256, SHA384 y SHA512.

Les comento ahora sobre la utilización de Códigos Hash en pruebas o documentos electrónicos en procesos judiciales cuando se promueven las pruebas que producirán en el juicio oral, con indicación OBLIGATORIA de su pertinencia y necesidad.

a. Estando dentro de la oportunidad legal correspondiente para promover pruebas en el proceso, conforme a lo dispuesto en los artículos 181 y 182 del Código Orgánico Procesal Penal, es decir, hay que indicar cómo se ha obtenido la prueba electrónica (de manera lícita y con las debidas garantías procesales). Debe proceder el promovente con absoluta precisión y esto es hablar sobre la llamada Pertinencia, Necesidad  y Conducencia de la prueba electrónica, conforme a lo establecido en el numeral séptimo del artículo 311 eiusdem, que si bien es cierto, nos habla de pertinencia y necesidad, no estaría demás hablar también, sobre el objeto y la conducencia.

Para que un Código Hash sea admitido como prueba electrónica en un proceso judicial penal, debe cumplir con los siguientes criterios:

Pertinencia: Debe tener relación directa con los hechos controvertidos del caso. Presentar la prueba de forma legible y comprensible. Convertir la prueba a un formato compatible con el sistema del Tribunal.

Ofrecer una traducción o explicación de la prueba si es necesario.

Necesidad: Debe ser indispensable para la defensa o la acusación, no pudiendo ser reemplazada por otra prueba.

Conducencia: Debe ser útil para el esclarecimiento de la verdad y la correcta resolución del caso.

El objeto de la prueba: es demostrar la existencia de un hecho punible, la participación del imputado en el mismo y las circunstancias que lo rodean, utilizando como medio de prueba datos almacenados en dispositivos electrónicos o transmitidos a través de redes de comunicación, cuyo código es esencial.

b. Cómo convencer al Tribunal de Primera Instancia en Funciones de Control, de la importancia de la prueba electrónica:

Demostrar la autenticidad del Código Hash: Asegurar que el Código Hash presentado corresponde al archivo o documento electrónico original.

Detallar las medidas tomadas para preservar la integridad de la prueba (cadena de custodia): Identificar la prueba electrónica: Describir el tipo de dispositivo o soporte donde se encuentra la prueba (teléfono celular o móvil, computadora, memoria USB, etc.).

Detallar el contenido de la prueba de donde deriva el Código Hash (mensajes de texto, correos electrónicos, fotos, videos, documentos, etc.).

Indicar la ubicación de la prueba (carpeta, archivo, etc.).

Ofrecer la posibilidad de realizar pericias informáticas para verificar la autenticidad de la prueba.

Explicar el significado del Código Hash: Detallar cómo el Código Hash se relaciona con los hechos del caso, sobre todo cuando se impugna o se desconoce, se rechaza o se contradice por alguna de las partes procesales, porque en autos se encuentra una adulteración de esa prueba electrónica.

Es conveniente utilizar en Venezuela con preferencia en su aplicación, los denominados Lineamientos Específicos para las Evidencias en el Procedimiento de Obtención. De la naturaleza tecnológica de la información, comunicación y operacional. Protección del sitio de suceso y las evidencias físicas (EXTRAÍDO DEL COMPENDIO DE PROTOCOLOS DE ACTUACIÓN PARA EL FORTALECIMIENTO DE LA INVESTIGACIÓN PENAL EN VENEZUELA (2022)). VER PROTOCOLO ANEXO AL MANUAL ÚNICO DE CADENA DE CUSTODIA DE EVIDENCIAS FÍSICAS.

Del mismo modo cabe destacar, la Norma ISO/IEC 27037:2012 como una guía internacional que ofrece recomendaciones y buenas prácticas para la gestión de pruebas digitales.

La Norma ISO/IEC 27037:2012, se divide en 5 partes:

1. Introducción: Describe el alcance de la norma, los términos y definiciones clave, y la relación con otras normas internacionales.

2. Marco general: Establece los principios y conceptos fundamentales para la gestión de pruebas digitales.

3. Respuestas a incidentes: Describe los pasos a seguir para identificar, preservar y adquirir pruebas digitales en el contexto de un incidente de seguridad informática.

4. Análisis de pruebas digitales: Proporciona lineamientos para el análisis forense de pruebas digitales, incluyendo la extracción de datos, la identificación de evidencia y la elaboración de informes.

5. Gestión de pruebas digitales: Describe los procesos para la gestión y almacenamiento de pruebas digitales, incluyendo la cadena de custodia y la seguridad de la información.

Beneficios de la Norma ISO/IEC 27037:2012:

Mejora la confiabilidad de las investigaciones: La norma ayuda a asegurar que las pruebas digitales sean recopiladas y analizadas de manera profesional y forense.

Reduce el riesgo de errores: La norma proporciona una guía clara y concisa para la gestión de pruebas digitales, lo que ayuda a minimizar los errores y las omisiones.

Aumenta la eficiencia de las investigaciones: La norma facilita la colaboración entre diferentes organizaciones y jurisdicciones en investigaciones que involucren pruebas digitales.

ESPECIFICACIÓN DE LAS PRUEBAS ELECTRÓNICAS

1. Mensaje de Datos:

Fecha: [Fecha del mensaje]

Remitente: [Nombre del Remitente]

Destinatario: [Nombre del Destinatario]

Asunto: [Asunto del mensaje]

Contenido: [Descripción breve del contenido del mensaje]

Código Hash: [Código Hash del mensaje]

Soporte: [Soporte donde se encuentra almacenado el mensaje, e.g., correo electrónico, WhatsApp, etc.]

2. Archivo Digital:

Nombre del archivo: [Nombre del archivo]

Fecha de creación: [Fecha de creación del archivo]

Tipo de archivo: [Tipo de archivo, e.g., .docx, .pdf, .jpg, etc.]

Tamaño: [Tamaño del archivo]

Código Hash: [Código Hash del archivo]

Soporte: [Soporte donde se encuentra almacenado el archivo, e.g., memoria USB, disco duro, etc.]

3. Página, Sitio o Portal Web:

URL: colocar la dirección del nombre de dominio.

Fecha de consulta: [Fecha en la que se consultó la página web]

Contenido relevante: [Descripción del contenido relevante de la página web]

Código Hash: [Código Hash de la página web (si es posible)]

Presentar evidencia adicional: Aportar otras pruebas que corroboran la autenticidad y relevancia del Código Hash.

c. Ejemplos de casos en los que se puede utilizar un Código Hash como prueba:

1. Mensaje de datos como prueba de una amenaza:

Un mensaje de texto o correo electrónico con contenido amenazante (relevante desde el punto de vista jurídico) puede ser utilizado como prueba de un delito de amenaza. Y con base en el artículo 392 del Código Orgánico procesal penal se tiene que hacer una acusación privada por escrito, directamente ante el tribunal de primera instancia en funciones de juicio y deberá contener, entre otras cosas, los elementos de convicción en los que se funda la atribución de la participación del acusado o acusada en el delito. 

2. Archivo digital como prueba de una falsificación:

Un documento digital con un Código Hash diferente al original puede ser utilizado como prueba de una falsificación.

3. Página web como prueba de una difamación:

Una página web con contenido difamatorio puede perfectamente ser utilizada como prueba nodal de un delito de difamación.

Demostración de la integridad de un documento electrónico primigenio u original: Asegurar que el documento no ha sido modificado desde su creación.

Verificación de la autoría de un archivo digital: Atribuir la creación de un archivo a una persona específica.

Detección de falsificaciones: Comparar el Código Hash de un archivo con el de una copia original para determinar si se trata de una falsificación.

d. Importancia de la Pericia Informática:

En la mayoría de los casos, se requiere, si existe la impugnación rechazo o contradicción, la participación de un perito informático para mas adelante en etapa de juicio:

Calcular y verificar el Código Hash del archivo o documento electrónico.

Explicar el significado del Código Hash en el contexto penal del caso.

Responder preguntas del juez, o partes sobre la prueba electrónica.

PETICIÓN

En virtud de lo expuesto se debe solicitar al Tribunal correspondiente:

Admitir las pruebas electrónicas descritas en el escrito.

Decretar la práctica de las experticias informáticas necesarias para la extracción, análisis y autenticación de las pruebas electrónicas, si fuere necesario, ya que se pueden proponer las pruebas que podrían ser objeto de estipulación entre las partes o el ofrecimiento de nuevas pruebas de las cuales hayan tenido conocimiento con posterioridad a la presentación de la Acusación Fiscal.

Oportunamente, hay que valorar las pruebas electrónicas en su justa ponderación, de acuerdo con los elementos existentes en el expediente, observando la lógica y conforme al sistema de reglas de la sana crítica y las máximas de experiencia.