Contenido

• ¿Qué es Hashing?
• ¿Qué es un algoritmo hash?
• Algoritmos hash MD5 y SHA1

Resumen : Los profesionales del análisis forense digital utilizan algoritmos hash, como MD5 y SHA1, para generar valores hash de los archivos originales que utilizan en una investigación. Esto garantiza que la información no se altere durante la investigación, ya que varias herramientas y técnicas están involucradas en el análisis de datos y la recopilación de pruebas que pueden afectar la integridad de los datos. Otra razón por la que los valores hash son importantes es que los documentos electrónicos se comparten con profesionales del derecho y otras partes durante la investigación. Por lo tanto, es crucial asegurarse de que todos tengan copias idénticas de los archivos. Análisis forense de correo electrónico estelar es un software de última generación que calcula automáticamente los valores hash correspondientes a los correos electrónicos en los datos del buzón.

PRUEBE 60 DÍAS GRATIS

¿Qué es Hashing?

Hashing es una técnica de programación en la que una cadena de caracteres (un mensaje de texto, por ejemplo) se convierte en un valor más pequeño de tamaño fijo, también conocido como valor hash. Este valor hash siempre es único y tiene una longitud fija, que representa la cadena original. Sin embargo, el valor hash no se puede usar para recuperar el mensaje original. Esto garantiza la privacidad y la seguridad al compartir el mensaje.

Hashing se usa generalmente para indexar y acceder a elementos en una base de datos, ya que encontrar un valor hash más corto del elemento es más rápido que encontrar los datos originales directamente. Sin embargo, en el análisis forense digital, los valores hash se calculan con la ayuda de un algoritmo hash para garantizar la integridad de eDiscovery.

¿Qué es un algoritmo hash?

Un algoritmo utilizado en hashing se llama función hash . El valor devuelto por esta función se llama valor hash . Los valores hash son una forma rápida, robusta y computacionalmente eficiente de comparar el contenido de los archivos bajo investigación forense. Cada algoritmo hash utiliza un número específico de dígitos para almacenar una “huella digital” única o una “huella digital” del contenido del archivo. Así como las huellas dactilares se consideran una modalidad biométrica única, el valor hash generado por una función hash proporciona una característica única de los contenidos bajo investigación forense. El valor hash único se puede extraer para un solo archivo, un grupo de archivos o incluso para todo el espacio del disco. Este es un proceso crucial para la deduplicación y la verificación de evidencia empírica en el descubrimiento electrónico y la investigación forense. Las siguientes son algunas características de las funciones hash:

• Las funciones hash son funciones unidireccionales complejas, lo que significa que no puede revertir un proceso hash para extraer datos originales de un valor hash. La ingeniería inversa no es posible dado un valor hash.
• El tamaño del valor hash se fija de forma permanente y es independiente del tamaño de los datos de entrada.
• Dos archivos de entrada diferentes no pueden producir el mismo valor hash.
• Los valores hash no dependen del nombre del archivo. Incluso si los nombres de los archivos son diferentes y sus contenidos son idénticos, producirá los mismos valores hash correspondientes a estos archivos.
• Diferentes funciones hash producirán diferentes valores hash correspondientes al mismo contenido en los archivos respectivos.
• Algunas funciones hash son más seguras que otras. Para example, el algoritmo hash MD5 se puede descifrar con una buena cantidad de potencia computacional. Por lo tanto, se pueden crear dos archivos diferentes con contenido diferente para producir el mismo valor hash MD5. Este escenario se denomina colisión de hash .

Matemáticamente, una función hash T también llamada función de transformación, toma una entrada de tamaño variable X y devuelve una cadena de tamaño fijo, llamada valor hash y . Aquí, y=T(x)

Las características fundamentales de una función hash son las siguientes:

• La cadena de entrada X puede ser de cualquier longitud.
• Cadena de salida y tiene una longitud fija.
• Para cualquier dado X , T(x) es fácil de calcular, dados los pasos matemáticos.
• T(x) es una función unidireccional y no tiene colisiones.

Las funciones hash sin colisiones se pueden clasificar en dos categorías: funciones hash fuertes sin colisiones y funciones hash débiles sin colisiones.

Una fuerte función hash sin colisiones T es aquel en el que es computacionalmente inviable encontrar dos mensajes a y b dónde T(a)=T(b) . Dada una función hash libre de colisiones débil, es computacionalmente difícil encontrar un mensaje a no igual a b tal que T(a)= T(b) .

Algoritmos hash MD5 y SHA1

MD5 y SHA1 son los dos algoritmos de hashing más populares utilizados por los profesionales de análisis forense digital en la actualidad.

MD5 : MD5 o Message-Digest algoritmo 5 es un algoritmo hash que fue creado por Ron Rivest para reemplazar el algoritmo hash anterior MD4. MD5 es la quinta y última versión del algoritmo hash original MD y crea valores hash de 128 bits.

SHA1: SHA1 o Secure Hash Algorithm 1 es otro algoritmo hash popular que sigue el modelo de MD5. Es más potente que MD5 y produce valores hash de 160 bits.

Las siguientes son las principales diferencias entre los algoritmos hash MD5 y SHA1:

Tomemos una cadena de muestra que ingresamos en un algoritmo hash MD5 y obtengamos su valor hash:

Entrada de cadena: Sam está comiendo manzana

Valor hash: 387f51d0ccbab6be677275c9933c250e

Ahora, modifiquemos la cadena por un solo carácter:

Entrada de cadena: Sam está comiendo manzana s

Valor hash: c77426fb082c588cfe5583f7eee73309

Puede ver que agregar solo un carácter a la cadena de entrada cambia todo el valor hash. Esto demuestra el cociente de seguridad de las funciones hash.

El uso de algoritmos hash MD5 y SHA1 es una práctica estándar en el análisis forense digital. Estos algoritmos permiten a los investigadores forenses preservar la evidencia digital desde el momento en que la adquieren hasta el momento en que se presenta ante el tribunal. Hay muchos programas forenses de correo electrónico y eDiscovery disponibles. Stellar Email Forensic es uno de esos programas, que permite una gestión de casos extensa y sin complicaciones durante las investigaciones criminales. Una de las características avanzadas de este software es la recuperación de correo electrónico eliminado.

Figura 2: valores hash MD5 y SHA1 correspondientes a correos electrónicos.

Stellar Email forensic es un software de última generación que permite el análisis forense de correos electrónicos de manera eficaz y eficiente. Stellar Email forensic calcula automáticamente los valores hash correspondientes a correos electrónicos individuales en todos los datos del buzón bajo consideración.

¿Necesita un software forense digital rápido y preciso para correos electrónicos que también ofrezca soporte para los algoritmos MD5 y SHA1? Verificar Análisis forense de correo electrónico estelar ! Es una solución forense de correo electrónico confiable y completa que proporciona valores hash de correos electrónicos sobre la marcha. También viene con otras características esenciales como soporte para más de 25 formatos de archivo de correo electrónico populares, recuperación de correo electrónico eliminado, función de administración de casos y más. Descargar hoy.