Qué es la cadena de custodia digital (y qué tiene que hacer tu software)

Cuando una evidencia digital tiene que sostenerse ante un tercero —una auditoría, un proceso, un peritaje—, la pregunta no es «¿coincide el hash?». Es más amplia: «¿cómo sé que este archivo es el mismo que se recogió, que lo produjo quien dice, y que existía cuando dice?». Eso es la cadena de custodia digital: no un dato, sino una prueba continua que acompaña al archivo desde su origen.

Se apoya en cuatro garantías, y son distintas entre sí:

1. Integridad — el contenido no cambió

Es lo que da el hash: una huella criptográfica (SHA-256, por ejemplo) que cambia por completo si cambia un solo bit. Recalculas el hash y comparas; si coinciden, las dos copias son idénticas.

Pero la integridad, sola, es frágil como prueba: si alguien puede reemplazar el archivo, también puede recalcular y reemplazar el hash. El hash demuestra que dos copias son iguales; no demuestra que nadie las cambió a las dos.

2. Autenticidad — quién lo produjo

Aquí entra la firma digital: el productor firma el hash con su clave privada, y cualquiera verifica con la pública. Ahora el archivo no solo es íntegro, sino atribuible. Con esto ya no basta reemplazar archivo y hash: haría falta la clave privada del firmante.

La firma añade una tercera capa que casi nadie mira: la confianza en que esa clave pública es de quien dice ser. Esa parte no la resuelve la criptografía sola —la resuelve una PKI, un certificado o un registro—, y es donde se cae la mayoría de los informes de integridad.

3. Fecha verificable — cuándo existió

Un hash y una firma son un punto sin fecha. Prueban que el archivo es este y que lo firmó aquel, pero no que existía el martes y no el jueves. Para eso hace falta un sellado de tiempo: un tercero que atestigüe la fecha y que no pueda fecharla hacia atrás. Sin él, cualquiera puede firmar hoy un documento y presentarlo como de hace un año.

4. Trazabilidad — quién lo tocó después

Las tres anteriores hablan del archivo. La cuarta habla de su recorrido: un registro de eventos inalterable (append-only) de quién lo recogió, recibió, movió, almacenó y consultó, con su fecha. Si ese registro se puede editar sin dejar rastro, la cadena se rompe justo donde nadie mira. Un log que se puede reescribir no es custodia, es decorado.

Qué significa para tu software

Un sistema que «guarda el hash» cubre una de las cuatro. Uno que sostiene de verdad la cadena de custodia:

• calcula y almacena el hash de cada evidencia (integridad),
• la firma con una clave cuya titularidad se puede verificar (autenticidad),
• le pone un sellado de tiempo de un tercero fiable (fecha),
• y escribe cada acceso en un registro append-only que no se puede editar (trazabilidad).

Ninguna de las cuatro es opcional si el objetivo es que la evidencia aguante cuando alguien la discuta. Y la que más se olvida es la última, porque es la única que no se ve en el archivo.