Há algum tempo fiz um post sobre Cadeia de Custódia e hoje volto a falar sobre esse assunto. A cadeia de custódia é o registro da vida de uma prova, desde sua coleta até a finalização do processo judicial. A importância dessa documentação é muito grande, pois é um dos elementos que garantem do direito do contraditório. O processo de montagem de cadeia de custódia no Brasil ainda está longe de ser um procedimento padrão, até porque “procedimento padrão” na apreensão, coleta, análise e apresentação de provas ainda não é consenso no nosso país. Mas o profissional de Computação Forense está cada vez mais preocupado com o assunto, pois a prova que condena também pode inocentar.

Dada a natureza dos registros de dados, a coleta de evidências no meio digital carece de procedimentos específicos para garantir sua integridade e valor probatório. As evidências digitais, são conceituadas pela IOCE (International Organization on Computer Evidence) como “Informações armazenadas ou transmitidas em forma binária, que pode ser invocado em juízo”. No momento em que se detecta a ocorrência de uma ação que possa se configurar um incidente computacional, seja caracterizado como crime ou não, mas que exija uma análise para materialização da prova do ocorrido, inicia-se o que denominamos de cadeia de custódia, que é nada mais que um registro em linha temporal sobre a posse e manuseio das evidências. A coleta da prova quando realizada por perito oficial no exercício da função, detentor de fé pública, goza portanto da presunção de veracidade. Não sendo um perito oficial, mas em decorrência da necessidade de coleta da evidência para sua preservação, pode-se recorrer à ata notarial, que segundo José Antonio Escartin Ipiens é…

A produção da ata notarial é especialmente útil quando existe o risco de perda das evidências. No caso do detentor das provas, poder preservá-las até a realização da perícia, não é necessário a utilização desse recurso.

A Polícia Técnica do Estado da Bahia trabalha atualmente na documentação dos procedimentos operacionais, produzindo uma revisão profunda do manual atual e discutindo novas necessidades em nossa área de atuação. A Computação Forense é susceptível a mudanças a todo momento, pois deve acompanhar a evolução do universo da computação.

O espaço não alocado (unallocated space) também denominado espaço livre, é o espaço disponível no disco rígido onde o sistema operacional pode gravar arquivos. Em sistemas DOS/Windows, a exclusão de um arquivo não elimina de imediato seu conteúdo, apenas remove a entrada correspondente na tabela de arquivos, seja ela uma FAT – File Allocate Table ou MFT – Master File Table, e a forma como isso ocorre depende do sistema de arquivos.

Sistemas de arquivos FAT

A imagem a seguir mostra uma entrada de 64 bytes correspondente a um arquivo apagado na FAT (figura 1).

figura 1

Quando um arquivo é apagado de um sistema de arquivos FAT, apenas a entrada deste arquivo na tabela de arquivos raiz tem o seu primeiro símbolo, substituído pelo símbolo ASCII 229 (å) ou HEX 0xE5, conforme pode ser visto na  figura 2, no arquivo de nome foto (5).jpg. Na mesma figura podemos ver mais abaixo destacada em azul, a entrada do arquivo foto (6).jpg, presente no volume, cujo primeiro símbolo ASCII é 065 (A) ou HEX 0x41.

figura 2

Os quatro últimos bytes da entrada, cuja sequência encontra-se destacada em amarelo, invertida na ordem dos bytes (00 01 27 16) e convertida para decimal, nos dá o tamanho do arquivo, 75.542 bytes, conforme vemos na figura 3.

figura 3

Os dois bytes que antecedem a sequência acima, destacados em vermelho, também em ordem invertida (00 D0) e convertida para decimal, nos dá o número do cluster onde se inicia o arquivo (no exemplo igual a 208), conforme a figura 4 a seguir.

figura 4

Sistemas de arquivos NTFS

Nos sistemas de arquivos NTFS, cada entrada na MFT representando um arquivo possui um tamanho de 1024 bytes e o seu tamanho total varia com o tamanho do volume. Estas entradas possuem uma estrutura pré-definida, e contando 23 bytes a partir do off-set 0x00, encontramos o campo Flag, com 2 bytes de comprimento, que armazenam o estado do arquivo/pasta. Se este campo contém o valor “1” o arquivos está em uso, se armazena o valor “0” o arquivo/pasta encontra-se apagado. Nas figuras 5 e 6 abaixo, podemos ver respectivamente as entradas na MFT de dois arquivos, sendo o primeiro em uso, arquivo (13).jpg (destaque em verde), e o segundo apagado, arquivo (2).jpg (destaque em amarelo).

figura 5

figura 6

Quando examinamos um sistema de arquivos no Encase (onde foram produzidas as imagens apresentadas), este nos mostra arquivos íntegros, apagados e ainda dados que podem ser recuperados em áreas denominadas de unallocated clusters (Clusters não alocados). No Encase os unallocated clusters são áreas não alocadas, disponíveis após uma formatação do volume, enquanto que os arquivos apagados estão em espaços não alocados após uma última formatação.

figura 7

Os arquivos foto (5),jpg e  foto (10),jpg encontram-se apagados e nos clusters não alocados podemos visualizar o cabeçalho de um arquivo de imagem jpeg. Este tipo de arquivo é identificado pelos valores do três primeiros bytes, cujos valores em HEX são 0xFF, 0xD8 e 0xFF.

Até a próxima.

De forma resumida a cadeia de custódia é o conjunto de documentos que registra a posse e transmissão de uma evidência, desde sua apreensão até o final do processo na justiça. Nela é realizada uma descrição detalhada de forma a individualizá-la no contexto das evidências de um determinado processo. Além das informações sobre as características da evidência, contém também os instantes em que estas trocaram de mãos, quem deteve a posse, numeração de lacres e alguma outra observação ou registro julgado pertinente por quem a recebe ou entrega.

Recentemente me pediram para definir o termo Computação Forense, o que ainda não havia feito aqui no blog. Mas antes gostaria de comentar acerca das ciências forenses em geral, que podem ser entendidas como uma especialização das ciências tradicionais, voltadas para esclarecer questões legais na justiça. Assim a Computação Forense pode ser conceituada como a Ciência da Computação focada em desvendar ou eliminar dúvidas em ações legais. No livro “Computação Forense” da Editora Millennium, temos a seguinte definição:

Na perícia dos crimes com uso de tecnologia, adotamos alguns termos consolidados como forma de padronizar a terminologia pericial. Assim teremos um mesmo entendimento sobre estas denominações daqui em diante.

Prova Digital (Digital Evidence) – Informações armazenadas e/ou transmitidas em formato binário que podem ser utilizadas em juízo como prova de um crime.

Mídia de Provas (Evidence Media) – Mídia digital original, objeto da perícia, onde se encontram provas de um delito, seu planejamento e/ou sua execução.

Duplicação Pericial (Forensic Duplication) – Ato de criar uma cópia digital, bit a bit de uma mídia de provas, seja criando um arquivo de imagem ou produzindo uma nova mídia com conteúdo idêntico.

Imagem Pericial (Forensic Image) – Imagem gerada a partir da mídia de prova.

Mídia de Destino (Target Media) – O suporte no qual a mídia de provas é copiada ou onde uma imagem pericial é restaurada.

Imagem Restaurada (Restored Image) – Restauração dos dados de uma imagem pericial em uma mídia de destino, devolvendo-a a sua forma original.

Análise a Quente ou On Line (Live Analysis) – Coleta de dados voláteis de um computador ainda em funcionamento. Esta coleta pode alterar o estado dos dados na memória deste computador.

Análise a Frio ou Off Line (Offline Analysis) – Análise feita quando se examina a mídia de provas ou a duplicação pericial através de ferramentas de análise.