¿Qué Papel juega la Criptografía en la Protección de la Evidencia Digital?

La Criptografía juega un papel fundamental en la protección de la evidencia digital. Se utiliza para:

Cifrado de datos: Proteger la confidencialidad de la información, evitando que sea accedida por personas no autorizadas.

Firma digital: Garantizar la autenticidad y la integridad de los datos, asegurando que no hayan sido alterados.

Hash: Crear una huella digital única de un archivo, permitiendo verificar su integridad.

En el contexto forense:

La Criptografía se utiliza para:

• Proteger la evidencia durante su transporte y almacenamiento.
• Verificar la integridad de la evidencia.
• Detectar alteraciones en la evidencia.

Aplicaciones de la Criptografía en la Evidencia Digital:

Protección de dispositivos: El cifrado de discos duros y dispositivos móviles protege la información en caso de pérdida o robo.

Comunicaciones seguras: El cifrado de correos electrónicos y mensajes instantáneos garantiza la privacidad de las comunicaciones relacionadas con una investigación.

Almacenamiento seguro de la evidencia: La encriptación de los archivos de evidencia protege su integridad y confidencialidad durante el almacenamiento a largo plazo.

Creación de cadenas de custodia: Las firmas digitales pueden utilizarse para crear una cadena de custodia electrónica, documentando cada paso en la gestión de la evidencia y asegurando su trazabilidad.

¿Cuáles son las principales diferencias entre una copia de seguridad y una imagen forense?

En la copia de seguridad, el objetivo es proteger datos contra pérdidas accidentales. En la imagen forense se hace para preservar evidencia para investigaciones forenses 

En la copia de seguridad, el nivel de detalle, puede ser selectiva (solo archivos importantes). En la imagen forense es una copia bit a bit de todo el dispositivo.

En la copia de seguridad, la verificación puede no incluirse dicha verificación de integridad. En la imagen forense siempre se incluye la verificación de integridad (hash).

En la copia de seguridad, las herramientas requieren software de respaldo convencional. En la imagen forense existen herramientas forenses especializadas.

En la admisibilidad para un proceso penal, la copia de seguridad generalmente no son admisibles como evidencia. En la imagen forense es admisible como evidencia, si se sigue un procedimiento adecuado.

¿Qué es la Esteganografía?

¿Qué es la Esteganografía?

La Esteganografía es la técnica de ocultar información dentro de otros archivos, de manera que su existencia sea lo más difícil de detectar posible. A diferencia del cifrado, que oculta el contenido de un mensaje, la esteganografía oculta el hecho de que existe un mensaje.

Métodos de Esteganografía:

Imágenes: Ocultar información en los bits menos significativos de una imagen.

Audio: Ocultar información en las frecuencias inaudibles de un archivo de audio.

Texto: Ocultar información en el espaciado entre palabras o en fuentes especiales.

Usos de la Esteganografía:

Comunicación secreta: Para enviar mensajes ocultos sin levantar sospechas.

Marcado de agua digital: Para proteger la propiedad intelectual.

Cachés: Para ocultar información dentro de otros archivos.

En el contexto forense:

La Esteganografía puede utilizarse para ocultar evidencia de actividades ilícitas. Los expertos forenses deben estar capacitados para detectar y extraer información oculta.

¿Cómo se realiza una copia forense de un disco duro? Herramientas y algunos Software para analizar la evidencia digital

¿Cómo se realiza una copia forense de un disco duro?

Una copia forense, también conocida como "imagen forense", es una copia bit a bit de un dispositivo de almacenamiento, como un disco duro. Esta copia debe ser exacta y verificable para garantizar su integridad, autenticidad y admisibilidad en un proceso judicial.

Pasos generales para realizar una copia forense:

1. Aislamiento del dispositivo: El dispositivo a clonar debe aislarse para evitar cualquier modificación accidental.

2. Selección de la herramienta: Se utilizan herramientas especializadas como FTK Imager, EnCase, o herramientas de línea de comandos como dd. Estas herramientas permiten crear una imagen exacta del dispositivo.

3. Creación de la imagen: La herramienta seleccionada crea un archivo de imagen que es una réplica exacta del dispositivo original, incluyendo sectores defectuosos y espacio libre.

4. Verificación de la imagen: Se realiza una verificación hash para asegurar que la imagen creada es una copia exacta del original.

5. Almacenamiento seguro: La imagen forense se almacena en un medio seguro y protegido para evitar su alteración.

Importancia de la copia forense:

Preservación de la evidencia: Garantiza que la evidencia digital no sea alterada durante el proceso de investigación.

Reproducibilidad: Permite realizar múltiples análisis de la evidencia sin dañar el original.

Admisibilidad en el proceso penal: Una copia forense con el cumplimiento de los protocolos respectivos, es decir, realizada correctamente, es considerada evidencia admisible en un tribunal de primera instancia en funciones de control del circuito judicial penal cuando realice la audiencia preliminar para el pronunciamiento correspondiente, según el artículo 313.9 del COPP. 

Tipos de Evidencia Digital en Experticias Informáticas Judiciales

Tipos de Evidencia Digital

Según su naturaleza:

Volátil:

Memoria RAM: Datos almacenados temporalmente en la memoria del dispositivo.

Registros del sistema: Logs de eventos, actividad del sistema operativo, aplicaciones y redes.

Contenido en pantalla: Información visible en el monitor.

No volátil:

Almacenamiento magnético: Discos duros, cintas magnéticas.

Almacenamiento óptico: CDs, DVDs, Blu-rays.

Almacenamiento sólido: Unidades SSD, memorias USB.

Almacenamiento en la nube: Datos almacenados en servidores remotos.

Dispositivos móviles: Teléfonos inteligentes, tablets, wearables.

Otros dispositivos: Cámaras digitales, GPS, drones.

Según su formato:

Documentos: Archivos de texto, hojas de cálculo, presentaciones, PDF.

Imágenes: Fotografías, gráficos, capturas de pantalla.

Audio: Grabaciones de voz, música.

Video: Grabaciones de video.

Bases de datos: Conjuntos organizados de datos.

Correo electrónico: Mensajes, archivos adjuntos.

Historial de navegación: Sitios web visitados, búsquedas realizadas.

Cookies: Pequeños archivos de texto que almacenan información sobre la navegación.

Según su relación con el delito:

Evidencia directa: Pruebas que demuestran directamente un hecho relevante para el caso (por ejemplo, un correo electrónico donde se confiesa un delito).

Evidencia circunstancial: Pruebas que, aunque no demuestran directamente un hecho, permiten inferirlo (por ejemplo, la presencia de un dispositivo en la escena del crimen).

Evidencia testimonial: Declaraciones de testigos sobre hechos relacionados con la evidencia digital.

La evidencia digital ha adquirido un papel fundamental en los procesos judiciales modernos, ya que se encuentra presente en casi todos los aspectos de nuestra vida diaria. 

Algunos de los tipos más comunes de evidencia digital que se utilizan en las experticias informáticas:

1. Documentos Electrónicos:

Textos: Documentos de Word, Excel, PDF, correos electrónicos, mensajes instantáneos.

Imágenes: Fotografías, capturas de pantalla, gráficos.

Audio: Grabaciones de voz, llamadas telefónicas.

Video: Grabaciones de video, videollamadas.

2. Metadatos:

Información sobre el archivo: Fecha de creación, modificación, autor, tamaño, etc.

Datos de ubicación: Información GPS asociada a una imagen o video.

Historial de versiones: Cambios realizados en un documento a lo largo del tiempo.

3. Registros de Actividad:

Historial de navegación: Sitios web visitados, búsquedas realizadas.

Registros de inicio de sesión: Usuarios que han accedido a un sistema.

Logs de eventos: Registros de eventos ocurridos en un sistema operativo.

Cookies: Pequeños archivos de texto que almacenan información sobre la navegación del usuario.

4. Bases de Datos:

Información estructurada: Tablas, registros, consultas.

Datos personales: Nombres, direcciones, números de teléfono.

Información financiera: Transacciones bancarias, movimientos con tarjetas de crédito.

5. Evidencia en Dispositivos Móviles:

Mensajes de texto: SMS, MMS.

Llamadas: Registros de llamadas entrantes y salientes.

Contactos: Lista de contactos guardados en el dispositivo.

Aplicaciones: Datos almacenados en aplicaciones como WhatsApp, Telegram, Facebook Messenger.

Ubicación: Datos de GPS.

6. Evidencia en la Nube:

Documentos almacenados en la nube: Google Drive, Dropbox, OneDrive.

Correos electrónicos: Gmail, Outlook.

Mensajería instantánea: WhatsApp Web, INSTAGRAM, Facebook, Telegram Web, etc.

7. Evidencia de Redes:

Paquetes de datos: Información transmitida a través de una red.

Cabeceras de paquetes: Información sobre el origen y destino de los datos.

Registros de tráfico: Actividad en una red.

¿Para qué se utiliza esta evidencia?

La evidencia digital se utiliza en una amplia gama de casos, como:

Delitos cibernéticos: Hack, fraude electrónico, pornografía infantil.

Delitos contra la propiedad intelectual:** Piratería, violación de derechos de autor.

Delitos sexuales:** Grooming, ciberacoso.

Delitos contras las Personas: Por ejemplo, en los Homicidios se hace una análisis de dispositivos móviles para reconstruir los últimos momentos del occiso.

Es importante destacar que la obtención y análisis de la evidencia digital deben realizarse de manera rigurosa y siguiendo protocolos específicos para garantizar su admisibilidad en un juicio. Ver art. 187 del COPP.

Alterar un código hash de manera intencional para que coincida con un archivo modificado es extremadamente difícil y prácticamente imposible en la práctica

¿Por qué es tan difícil?

Función unidireccional: Las funciones hash están diseñadas para ser unidireccionales. Esto significa que es fácil calcular el hash a partir de un dato (un archivo, una cadena de texto, etc.), pero es prácticamente imposible obtener el dato original a partir del hash.

Tamaño fijo: Los hashes tienen un tamaño fijo, independientemente del tamaño del dato original. Esto significa que una pequeña modificación en el dato original resultará en un hash completamente diferente.

Colisiones, pero extremadamente raras: Si bien es teóricamente posible que dos datos diferentes produzcan el mismo hash (una colisión), la probabilidad de que esto ocurra es tan baja que se considera prácticamente nula para funciones hash bien diseñadas como SHA-256 o SHA-3.

¿Qué pasa si se intenta alterar un hash?

Si se intenta modificar un hash de manera arbitraria, lo más probable es que el nuevo hash no corresponda a ningún dato válido. Es decir, no existirá un archivo que produzca ese nuevo hash.

¿Existen herramientas para cambiar hashes?

Sí, existen herramientas como MD5 Hash Changer que permiten modificar el hash de un archivo. Sin embargo, estas herramientas simplemente generan un nuevo hash aleatorio para el archivo, sin ninguna relación con el contenido original. No es posible modificar el hash de un archivo para que coincida con un hash específico y deseado.

Alterar un código hash de manera intencional para que coincida con un archivo modificado es un problema computacionalmente muy difícil y, en la práctica, inviable. Las funciones hash son una herramienta fundamental en la seguridad informática para garantizar la integridad de los datos.

Algunos Lineamientos Generales de una Experticia Informática

Una experticia informática es un estudio técnico detallado realizado por un experto en la materia, con el objetivo de analizar y evaluar un sistema informático, software, hardware o datos digitales, para esclarecer hechos relevantes en un proceso penal.

En el Manual Único de Cadena de Custodia de Evidencias Físicas, el Dictamen Pericial es el  documento estructurado donde el forense plasma detalladamente la experticia realizada. También dice que el Dictamen Pericial es el documento que representa el resultado de una experticia, estructurado formalmente, en el cual se exponen el método y conclusiones de loa análisis realizados a una evidencia física.

Según el COPP, en el artículo 225, el dictamen pericial deberá contener; de manera clara y precisa, el motivo por el cual se practica, la descripción de la persona o cosa que sea objeto del mismo, en el estado o del modo en que se halle, la relación detallada de los exámenes practicados, los resultados obtenidos y las conclusiones que se formulen respecto del peritaje realizado, conforme a los principios o reglas de su ciencia o arte. El dictamen se presentará por escrito, firmado y sellado, sin perjuicio del informe oral en la audiencia.

Obtención Técnica en Lugares: Se considerarán lugares todos aquellos espacios físicos o digitales susceptibles de procesamiento forense que puedan interpretarse como un sitio del suceso, o sitios asociados a la consumación del hecho delictivo.

Los lineamientos generales de una experticia informática suelen incluir los siguientes aspectos:

 1. Objetivo de la Experticia:

Claridad y precisión: Debe definirse con claridad el objetivo específico de la experticia (por ejemplo, determinar la autoría de un documento electrónico, evaluar el funcionamiento de un sistema informático, cuantificar un daño informático).

Alcance: Se establecerá el alcance de la experticia, delimitando los aspectos científicos a analizar y los que quedan fuera del estudio.

2. Metodología:

Recopilación de evidencias: Se especificarán los métodos y herramientas a utilizar para recopilar las evidencias digitales (copias forenses, análisis de logs, etc.). La colección por reproducción será hecha mediante la adquisición digital. 

Importante tener en cuenta el precinto, porque según el Manual Único de Cadena de Custodia de Evidencias Físicas, constituyen mecanismos físicos o digitales que acompañan el embalaje de las evidencias físicas y la ubicación de los datos digitales, a fin de que éstas no puedan ser manipuladas sin autorización.

Análisis de la evidencia: Se describirá el proceso de análisis de las evidencias, incluyendo las técnicas y herramientas empleadas (software forense, análisis de paquetes, etc.).

Elaboración de informes: Se detallará cómo se presentará el informe pericial, incluyendo la estructura, el contenido y el formato. 

 3. Informe Pericial:

Introducción: Se presentará el caso, el objetivo de la experticia y el alcance del estudio.

Metodología: Se describirá la metodología empleada en detalle, incluyendo las herramientas y técnicas utilizadas.

Resultados: Se presentarán los resultados obtenidos del análisis de las evidencias, de forma clara y concisa.

Conclusiones: Se establecerán las conclusiones basadas en los resultados obtenidos, respondiendo a las preguntas planteadas en el objetivo de la experticia.

Anexos: Se incluirán como anexos los documentos, informes y evidencias que respalden las conclusiones.

4. Ética Profesional:

Imparcialidad: El perito debe actuar de manera imparcial y objetiva, sin permitir que influyan factores externos en sus conclusiones.

Confidencialidad: El perito debe mantener la confidencialidad de la información a la que tenga acceso durante la realización de la experticia.

Veracidad: El informe pericial debe ser veraz y reflejar fielmente los resultados obtenidos.

Áreas Básicas de una Experticia Informática:

Ciberseguridad: Análisis de incidentes de seguridad, investigación de fraudes informáticos, evaluación de vulnerabilidades.

Delitos Informáticos (LECDI 2001): Análisis de evidencias digitales en casos de delitos como el hacking, el phishing o la pornografía infantil.

Propiedad Intelectual: Determinación de la autoría de software, análisis de plagio, valoración de daños en casos de piratería (Propiedad Intelectual).

Valoración de Activos Informáticos: Evaluación del valor de equipos, software y datos para fines contables o legales (art. 227 del COPP).

Ejemplo de preguntas que podría responder una Experticia Informática:

* ¿Quién fue el autor de un documento digital?

* ¿Cuándo se modificó un archivo por última vez?

* ¿Se ha alterado una imagen o un video?

* ¿Existe una copia de seguridad de los datos perdidos?

Evento. Primer Congreso de Ciencias Penales para Estudiantes

 

Evento. Importancia de los Paradigmas Relacionados a la Fase de Ejecución en el Proceso Penal Venezolano

 

Evento. Validación de Elementos de Convicción en el Proceso Penal Venezolano

 

En 🕐 30 minutos inicia la videoconferencia: 

Validación de Elementos de Convicción en el Proceso Penal Venezolano

Para ver desde YouTube ingresa a 👉 https://youtube.com/live/CcMXy53oozk?feature=share

Para participar desde zoom ingresa a ↪ https://us02web.zoom.us/j/81024810136

ID de reunión: 810 2481 0136

Ponente:

Carlos Villarroel

Doctor en Ciencias Penales y  Criminalísticas

Organizan:

Asociación Latinoamericana de Derecho Penal y Criminología

Instituto de Estudios Jurídicos del Estado Lara

Universidad del Zulia

Universidad Yacambú

Universitas Fundación

📢 Únete al canal de Universitas y mantente informado de todas nuestras actividades: https://whatsapp.com/channel/0029VaDGFVUDzgT9YmxHvg23

¡Te esperamos!

#CátedraJorgeRosell

#UniversitasEstáContigo