Cadena Custodia Vs

Mismidad
9

11 Abr 2016 | Derecho forense

Todos los profesionales que nos

movemos en este mundo relacionado con la Justicia (FCSE, Jueces,
Fiscales, Abogados, Peritos, etc.), sabemos ya de la trascendencia y el
significado que tiene el trmino Cadena de Custodia, pero no est de
ms que repasemos de nuevo su definicin:
Segn el portal digital La Ley, La cadena de custodia es el nombre
que recibe el conjunto de actos que tienen por objeto la recogida, el
traslado y la custodia de las evidencias obtenidas en el curso de una
investigacin criminal que tienen por finalidad garantizar la autenticidad,
inalterabilidad e indemnidad de la prueba.
Si nos acogemos a la definicin ofrecida por la Wikipedia, podramos
definir la CdC como el procedimiento controlado que se aplica a los
indicios materiales relacionados con el delito, desde su localizacin
hasta su valoracin por los encargados de su anlisis, normalmente
peritos, y que tiene por fin no viciar el manejo que de ellos se haga y as
evitar alteraciones, sustituciones, contaminaciones o destrucciones.
Sigue diciendo Wikipedia que Desde la ubicacin, fijacin,
recoleccin, embalaje y traslado de la evidencia en la escena del
siniestro, hasta la presentacin al debate, la cadena de custodia debe
garantizar que el procedimiento empleado ha sido exitoso, y que la
evidencia que se recolect en la escena, es la misma que se est
presentando ante el tribunal, o el analizado en el respectivo dictamen
pericial.
Quisiera destacar aqu tres frases referenciadas ms arriba y que
considero esenciales en el proceso de elaboracin de la Cadena de
Custodia. Esto es:
1.

Ha de garantizarse la indemnidad de la prueba

2.

Han de evitarse alteraciones, sustituciones, contaminaciones o

destrucciones, y

3.

La evidencia que se recolect en la escena ha de ser la misma que

se est presentando ante el tribunal.
En las tres definiciones expuestas anteriormente se llega a la misma
conclusin: la cadena de custodia es necesaria no solo para dejar
constancia sobre qu se ha hecho con la prueba (en nuestro caso, con la
evidencia electrnica), y en qu manos ha estado, desde que se
recolecta hasta que llega a manos de Su Seora, sino que adems ha de
acreditar que lo que justamente llega al Juzgador e incluso a la parte
contraria, no nos olvidemos nunca-, ha de ser necesariamente lo mismo
que lo que se recolect en su da. Es decir: ha de acreditarse el
denominado principio de mismidad de la prueba, del que no tantos
profesionales (reconozco que muchos de ellos pertenecientes al mbito
de la pericial informtica), son conocedores.
Por tanto, la cadena de custodia al menos en informtica- tiene la
dificilsima misin de asegurar que la prueba que se presenta en el litigio
es exactamente la misma que la obtenida en su da y de la que se
extrajeron los datos relevantes presentados para el juicio en cuestin, de
tal forma que permita a la parte contraria realizar sus propias pruebas o
incluso realizar las mismas que practic el primer perito-, con la plena
garanta de que aquello con lo que trabaja es lo mismo que aquello que
se intervino.

En la imagen superior se puede observar el switch (arriba a la izquierda), del

adaptador MMC/MSD, gracias al que se puede impedir la escritura en la tarjeta
Micro SD

Llegados a este punto me atrevo a decir que (al menos en informtica),

quiz ya no importa tanto aunque sigue siendo un dato esencial-,
quin ha custodiado la prueba, o dnde ha quedado sta guardada,

como el estar plenamente convencidos de que la prueba no ha sido

alterada, cosa por otra parte que puede ocurrir con suma facilidad. Doy
un ejemplo: el mero hecho de introducir un disco duro, o un pendrive, en
un puerto USB controlado por Windows altera la prueba sin remedio A
no ser que se tomen las debidas precauciones para garantizar la
imposibilidad de escritura en estos dispositivos, como bloquear los
puertos USB, o configurarlos mediante hardware (en aquellos
dispositivos donde se pueda, claro), mediante switches, etc, como los
que llevan los adaptadores de tarjetas MMC.
Volviendo al principio de mismidad, ste viene a decir que (tomado del
Auto 2197/2012, del TS), es necesario tener la completa seguridad de
que lo que se traslada, lo que se mide, lo que se pesa y lo que se analiza
es lo mismo en todo momento, desde el instante mismo en que se
recoge del lugar del delito hasta el momento final en que se estudia y
destruye.
En este auto se menciona que el gran problema que plantea la cadena
de custodia es justamente garantizar que desde que se recogen las
evidencias (en nuestro caso, digitales), relacionadas con el delito, hasta
que stas llegan a concretarse como prueba en el momento del litigio, el
elemento sobre el que recaern los principios de inmediacin, publicidad
y contradiccin, tanto de las partes como de los juzgadores, es el mismo.
Y aqu viene la pregunta al menos en informtica-, Cmo sabemos,
en el momento en que realizamos nuestra prctica forense, que estamos
ante lo mismo que se recolect en su da? Tomemos el ejemplo con un
Disco duro: por muchas fotos que podamos hacerle, por muchos listados
de ficheros que podamos sacar, el contenido de esos archivos puede
modificarse, respetando la fecha, la hora y el tamao en bytes, sin
mayor dificultad. No en vano, la informacin almacenada no es visible,
salvo que se abran los ficheros.
Cabe la posibilidad (muy recomendable), de que un Notario certifique
que existe tal fichero, con tal extensin, creado en tal fecha y a tal
hora, pero ste podra ser alterado de forma parcial, o completamente,
sin mayor dificultad; nadie podra acreditar entonces que lo que est
depositado en dependencias notariales es lo mismo que se obtuvo en su
momento. Cierto que no es algo que ocurra con frecuencia pero, desde
luego, s es algo que podra ocurrir.

En esta imagen puede verse un listado de un dispositivo custodiado intervenido

en 2012, pero que tiene elementos del ao 2013, 2014 y 2015. Esto prueba la
alteracin de su contenido

Con todo, lo que s podra suceder y de hecho sucede-, es que durante

la fase de recopilacin de pruebas, la evidencia se altere sin remedio,
perdiendo ese principio de mismidad. Esto podra ocurrir por el simple
hecho de que el dispositivo a analizar tenga un troyano (software
malintencionado), o un virus que se replique por la mquina o el propio
disco duro externo, en caso de carecer de antivirus el ordenador del
analista, en el momento en que es conectado. Y en el supuesto de que el
ordenador con que se analice el dispositivo externo tenga instalado un
antivirus, esta herramienta chequear ese dispositivo y eliminar de
forma
automtica
las
formas
vricas
que
encuentre,
suprimiendo informacin que aunque en el caso forense suele no ser
importante-, alterar de forma irremediable el principio de mismidad.
Ms grave es an el hecho de conectar a un ordenador un disco duro
externo de tecnologa SSD (de estado slido), pues la orden TRIM-por
la que el sistema operativo comunica al disco SSD qu bloques de datos
ya no estn en uso-, recoloca la informacin, de tal forma que borra los
datos de los sectores marcados con informacin marcada para borrar, ya
sea por inservible o eliminada intencionadamente.
Como vemos, es muy fcil alterar la prueba, o muy complicado
preservar su inalterabilidad. El ejemplo de la imagen anterior (un disco
duro intervenido en 2012, pero en el que se aprecian ficheros y
directorios generados en aos posteriores), demuestra que el hecho de
que un elemento est perfectamente custodiado e incluso precintado-,
y de que se sepa en todo momento quin ha tenido acceso al dispositivo,
o qu ha hecho con ste-, no significa que la prueba mantenga su
carcter de inalterabilidad, pues la evidencia puede haber sido
desprecintada en un momento y vuelto a precintar posteriormente.
Esta es la tesis en que nos basamos para afirmar que La cadena de
Custodia no garantiza el principio de mismidad.
Sin embargo, y por suerte, las nuevas tcnicas y tendencias en forense
informtica estn evolucionando y por ende, dando solucin a muchos
de los problemas existentes hasta hace relativamente poco tiempo.

En esta imagen se ve cmo tras la clonacin, el HASH del dispositivo original y

el del dispositivo clonado son idnticos. Esta es la garanta de que estamos
ante lo mismo

La gran ventaja que tiene la evidencia informtica es que sta puede

ser reproducible tantas veces como se precise, conservando tanto el
original como las copias informacin idntica. A este proceso se le llama
clonacin, o duplicado bit a bit de los datos del dispositivo. Adems,
existen herramientas que permiten calcular los denominados HASH, o
funciones matemticas que generan una cadena alfanumrica nica
hexadecimal (compuesta por nmeros del 0 al 9 y letras de la a, a
la f), en funcin de un algoritmo establecido (MD5, SHA1, SHA2, etc.
el Md5 se considera obsoleto-), de tal forma que, si se cambia un simple
bit en el dispositivo, el nuevo clculo del HASH devolver una cadena
hexadecimal diferente.
Existen en el mercado, desde mquinas clonadoras, capaces de
crear varias copias idnticas en un mismo acto calculando incluso el
Hash de los datos-, hasta software especfico que permite bloquear los
puertos USB o SATA (los de los datos de los discos duros internos), contra
escritura, de tal forma que se pueda duplicar/leer informacin de los
dispositivos, con plena garanta de inalterabilidad de su contenido.
En cualquier caso, y como ms vale prevenir que curar, el
procedimiento que ha de seguirse a la hora de acceder y tratar las
evidencias electrnicas debe ser siempre el mismo: clonar la informacin
o, en su defecto, crear imgenes exactas del contenido (una imagen del
contenido de un pendrive, por ejemplo, suele almacenarse en un fichero
con extensin .img, o .dd, segn sea la aplicacin que crea el fichero que
almacena los datos y la estructura exacta del dispositivo), tras lo que
ser preciso calcular los hashes de ambos elementos, el origen y el
destino. En caso de que se trate de una imagen habr que calcular
igualmente el HASH de la misma. Por otra parte habr que realizar al
menos-, dos copias idnticas del dispositivo de origen, de tal forma que
no sea preciso acceder a ste de nuevo, y as trabajar con la segunda
copia, preservando la primera como fuente, en el supuesto de que sea
preciso clonar de nuevo. No obstante, siempre que se realice un nuevo
duplicado habr que calcular el HASH, para dejar constancia de que una
vez ms-, estamos trabajando con lo mismo que haba al principio.

En esta imagen puede verse una mquina clonadora porttil, con dos discos
duros conectados: uno magneto-ptico y otro SSD. Al no intervenir ningn
sistema operativo, el Algoritmo TRIM de los SSD no entra en funcionamiento,
por lo que la copia desde ste al magneto-ptico es idntica. Esto permite que
se guarden incluso los datos que estaban marcados para borrar, en el Disco
SSD

Todo esto, evidentemente, asegurndonos de que en caso de que no

podamos hacer las clonaciones va Hardware con mquinas clonadoras
dedicadas y de que tengamos que realizar la copia utilizando programas
informticos, los puertos USB estn debidamente protegidos contra
escritura, ya sea mediante parmetros del propio sistema Operativo bajo
el que se realice la operacin de copia, o por medio del programa que la
va a efectuar. Un ejemplo sencillo de cmo pueden bloquearse los
puertos USB contra escritura puede consultarse en este artculo de
nuestro blog www.informaticoforense.eu
Concluyendo:
La cadena de custodia es un procedimiento fundamental que hay que
establecer dentro del proceso de aseguramiento de la prueba, pero por
s misma no garantiza la inalterabilidad de la evidencia electrnica.
Existen multitud de herramientas, tanto de hardware como de
software, que nos permitirn hacer copias idnticas de los dispositivos
originales, o imgenes de stos que se guardarn en un fichero, para su
posterior recuperacin y evaluacin.
Lo nico que garantiza (en informtica), que la evidencia digital no ha
sido alterada a lo largo de su vida (que comprende desde que es
recolectada, hasta que ya no se precisa y se destruye), es su huella
digital, su HASH, que variar en el momento que se modifique un simple
bit de informacin.
Antes de hacer una clonacin hay que asegurarse de que no hay
posibilidad de alterar la evidencia original, ya sea mediante el bloqueo
de puertos contra escritura, o haciendo copias (la opcin ms
recomendable), bit a bit, mediante clonadoras diseadas a tal efecto.

Como siempre ocurre en informtica, todo es infinitamente diferente,

dependiendo de si es cero, o es uno.
Jos Aurelio Garca
Auditor y Perito Informtico-Perito en Piratera Industrial e IntelectualInformtico Forense
Co-Director del Curso de Experto Profesional en Derecho Tecnolgico e
Informtica Forense, editado por la Universidad de Extremadura y
ANCITE
Vp. Asociacin Nacional de Ciberseguridad y Pericia Tecnolgica ANCITE
Informtico Forense El Blog de Auditores y Peritos Informticos
jose@evidencias.es
http://www.informaticoforense.eu/cadena-de-custodia-vs-mismidad/