El hash de una evidencia digital es una cadena de caracteres que funciona como su huella dactilar. Si cambia un solo bit del archivo, la huella cambia por completo. Por eso, abogados y jueces lo encuentran en casi todos los informes periciales informáticos, aunque pocas veces se explica bien.
Una analogía para entender el hash de la evidencia digital
Piense en un documento en papel firmado en todas sus hojas. Si alguien sustituye una página, la firma no coincide y se nota el cambio. El hash cumple una función similar, pero con precisión matemática.
En concreto, un algoritmo lee todo el contenido del archivo y produce un resultado de longitud fija. Además, ese resultado no depende del nombre del archivo ni de su ubicación. Es decir, depende solo de su contenido, bit a bit. Así, dos copias idénticas generan siempre el mismo valor.
Un ejemplo práctico de hash en una evidencia digital
Para verlo, tomemos dos frases casi iguales. La primera dice «Le pagaré el lunes.» y la segunda, «Le pagaré el martes.» Con el algoritmo SHA-256, la primera produce este valor:
d6c2451471bbb67694bc0a12198173b934cae6a67f355533c7039a194ab52550
En cambio, la segunda frase genera un resultado sin ningún parecido:
47342126855b3d8d6871f0285e437ead1aea1095bc375b6ea303c2c04b33c3bb
Basta cambiar una palabra para obtener una huella totalmente distinta. Los técnicos llaman a este fenómeno efecto avalancha. Gracias a él, cualquier alteración posterior de una prueba resulta detectable.
Propiedades que dan valor al hash
Los algoritmos que usan los peritos comparten varias características:
- Determinismo: primero, el mismo archivo produce siempre el mismo valor, en cualquier ordenador.
- Sensibilidad: además, un cambio mínimo genera un resultado completamente diferente.
- Irreversibilidad: por otro lado, a partir del hash no se puede reconstruir el contenido original.
- Resistencia a colisiones: en la práctica, resulta inviable encontrar dos archivos distintos con la misma huella.
La última propiedad es la que más importa cuando el hash protege una evidencia digital en juicio. Sin embargo, no todos los algoritmos la conservan hoy.
MD5, SHA-1 y SHA-256: qué hash usar en una evidencia digital
Durante años, MD5 se usó como estándar. Hoy, en cambio, se conocen técnicas para generar colisiones deliberadas. Por eso, un informe que solo use MD5 ofrece un flanco a la parte contraria.
SHA-1 también presenta debilidades demostradas públicamente. Por tanto, la práctica recomendable es emplear SHA-256 o superior. Muchos peritos calculan varios algoritmos a la vez, ya que eso refuerza la verificación sin coste adicional relevante.
Cuando revise un informe, compruebe qué algoritmo cita. Si solo aparece MD5, conviene preguntar al perito por qué no usó otro más robusto.
Dónde aparece el hash de la evidencia digital en el proceso
El hash acompaña a la prueba en todas sus fases. Primero, el perito lo calcula sobre el original en el momento de la adquisición. Después, lo calcula sobre la copia forense y comprueba que ambos coinciden. Finalmente, lo recoge en el informe para que cualquiera pueda verificarlo.
De este modo, el hash sostiene la cadena de custodia digital. Si la otra parte duda de la integridad, basta con recalcular el valor sobre la copia depositada. Si coincide, nadie ha alterado el contenido desde la adquisición.
Lo que el hash de una evidencia digital no demuestra
Este punto genera confusiones frecuentes. El hash acredita integridad, es decir, que el archivo no cambió desde que se calculó. Pero no acredita autenticidad de origen ni autoría.
Por ejemplo, si alguien fabrica una captura falsa y después calcula su hash, ese valor solo garantiza que la falsificación no cambió. Por ello, el perito necesita además analizar metadatos, bases de datos y registros del sistema. El hash es una pieza esencial, aunque no basta por sí sola.
Asimismo, el hash tampoco fija la fecha. Para eso existen los sellos de tiempo, que la Ley 6/2020, de servicios electrónicos de confianza, y el Reglamento eIDAS regulan. Un sello cualificado vincula el hash con un momento concreto y verificable.
Cómo revisar el hash en un informe pericial
Cuando reciba un dictamen, conviene comprobar algunos puntos concretos. En primer lugar, localice el valor del hash de cada evidencia digital y el algoritmo empleado. Después, verifique que el informe recoge el valor del original y el de la copia. Además, compruebe que ambos coinciden carácter a carácter.
También conviene revisar la fecha y la hora del cálculo. Si el hash se calculó semanas después de recibir el dispositivo, existe un periodo sin cobertura. Por tanto, la otra parte podría preguntar qué ocurrió con la evidencia durante ese tiempo. Un buen informe explica esos intervalos con claridad.
El hash en la certificación de contenidos online
Además, el hash resulta igual de útil fuera de los móviles. Cuando un perito certifica una publicación, una web o un perfil, descarga el contenido y calcula su huella. Así, aunque el autor borre la publicación al día siguiente, la prueba conservada mantiene su integridad.
Si necesita preservar contenidos de internet, conozca nuestro servicio de certificación de redes sociales en Sevilla. Para más información técnica sobre buenas prácticas de seguridad, puede consultar INCIBE.
Preguntas frecuentes sobre el hash de una evidencia digital
¿Puedo calcular yo el hash de un archivo?
Técnicamente sí, porque los sistemas operativos incluyen herramientas para ello. Sin embargo, en un proceso judicial el valor debe calcularlo un perito dentro de una adquisición documentada.
¿El juez entiende qué es un hash?
No siempre, y tampoco tiene por qué. Por eso el perito debe explicarlo en sala con ejemplos sencillos, como el de este artículo.
¿Qué ocurre si los hash no coinciden?
Significa que el contenido cambió entre dos momentos. Entonces, el perito debe explicar la causa, porque a veces es una operación técnica legítima y otras una manipulación.
Proteja la integridad de su prueba
Un hash bien calculado y documentado da solidez a toda la evidencia digital de su caso. Si necesita preservar una prueba o revisar la de la otra parte, llame al 954 309 240 o escríbanos desde la página de contacto. Atendemos en Sevilla capital y provincia.
