Entrar
Guia Completo: Hash, Cadeia de Custódia
Guia Completo: Hash, Cadeia de Custódia, MOBILedit e Auditoria Pericial
Investigação defensiva de ponta a ponta — OSINT Brasil / RDS
1. Gerando hash — o primeiro passo da evidência
Hash criptográfico (SHA-256, no mínimo — evite MD5/SHA-1) é a impressão digital do arquivo: qualquer alteração de um bit muda o resultado por completo. Ele prova integridade, não autoria — isso fica a cargo da cadeia de custódia e de outros elementos (metadados, testemunhas, ata notarial ou timestamp de terceira parte).
Regra de ouro: gere o hash no momento da coleta, antes de qualquer manipulação, cópia ou análise.
2. Ferramentas de hash
Nativas do sistema (uso em campo)
Windows — certutil:certutil -hashfile "C:\caminho\arquivo.mp4" SHA256
Windows — PowerShell:Get-FileHash -Algorithm SHA256 "C:\caminho\arquivo.mp4"
Linux/Mac — sha256sum:sha256sum arquivo.mp4 > arquivo.mp4.sha256
Conferência: sha256sum -c arquivo.mp4.sha256
Interface gráfica
HashMyFiles (NirSoft) — nirsoft.net/utils/hash_my_files.html — selecione a pasta inteira, gera MD5/SHA-1/SHA-256 de todos os arquivos; exporta lista em .txt/.html/.xml.
QuickHash GUI — quickhash-gui.org — hash de pastas, discos inteiros e comparação lado a lado.
Nível pericial
Hashdeep/md5deep — github.com/jessek/hashdeep
Gerar manifesto: hashdeep -c sha256 -r ./pasta_evidencia > manifesto.txt
Auditar depois: hashdeep -a -k manifesto.txt -r ./pasta_evidencia — aponta o que mudou, sumiu ou foi adicionado.
FTK Imager — exterro.com/ftk-imager — imagem forense de disco com hash automático (MD5+SHA1) embutido na aquisição.
Autopsy — sleuthkit.org/autopsy — valida hash de aquisição contra hash de verificação e sinaliza divergência.
3. Preservando a cadeia de custódia
Cadeia de custódia é o registro documentado e ininterrupto de quem teve acesso à evidência, quando, onde, por quê e o que fez com ela (CPP, art. 158-B).
Timestamping de terceira parte
OpenTimestamps — opentimestamps.org — ancora o hash na blockchain do Bitcoin (gratuito). ots stamp arquivo.mp4 → ots verify depois.
Carimbo ICP-Brasil — prestadores credenciados em gov.br/iti — recomendado para instruir processo judicial no Brasil.
Ata notarial (quando aplicável)
Tabelionato habilitado para ata notarial digital, citando URL/origem, data/hora, e o hash gerado — art. 384 CPC e Provimento CNJ nº 100/2020.
Armazenamento com controle de alteração
Google Drive/Microsoft 365 com histórico de versão ativo · AWS S3 Object Lock (modo Compliance) — docs.aws.amazon.com — WORM verdadeiro.
4. Apps para preservar custódia sem ata notarial
Captura forense de conteúdo web/redes sociais
Hunchly — hunch.ly — captura páginas automaticamente durante a navegação, gera hash + timestamp + relatório de custódia com linha do tempo.
Page Vault — pagevaultapp.com — voltado a escritórios de advocacia, certificado de autenticidade técnico embutido.
PageFreezer — pagefreezer.com — arquivamento de sites/redes sociais com hash-chain e trilha de auditoria.
X1 Social Discovery — x1.com — nível pericial, preserva metadados originais das redes sociais.
Timestamping/notarização em blockchain
OriginStamp — originstamp.com — hash local no navegador + ancoragem em blockchain.
Bernstein — bernstein.io — trilha de auditoria e certificado de timestamp corporativo.
Proof — proof.com — verificação de identidade + timestamp com cadeia de custódia do documento.
Gestão de evidência ponta a ponta
Cellebrite — cellebrite.com · Magnet AXIOM — magnetforensics.com · Evidence.com (Axon) — evidence.com — hash e log de custódia embutidos na extração/gestão.
Combinação recomendada sem cartório: Hunchly/Page Vault na captura → hash automático → OpenTimestamps ancorando o hash em blockchain pública → storage com versionamento (Drive/S3).
5. Verificando quebra de procedimento
| Objetivo | Ferramenta | Site |
|---|---|---|
| Recalcular/comparar hash em lote | Hashdeep | github.com/jessek/hashdeep |
| Checagem visual rápida | QuickHash GUI | quickhash-gui.org |
| Metadados originais (data, GPS, dispositivo) | ExifTool | exiftool.org |
| Verificar timestamp público | OpenTimestamps | opentimestamps.org |
| Auditar logs de acesso em nuvem | Drive/O365 versioning, AWS CloudTrail | docs.aws.amazon.com/awscloudtrail |
| Analisar imagem forense de disco | Autopsy | sleuthkit.org/autopsy |
| Esteganografia/dados ocultos | Aperi'Solve | aperisolve.com |
Checklist rápido de quebra formal:
- Hash da coleta original documentado?
- Hash atual bate com o original?
- Responsável identificado em cada etapa?
- Sem gaps temporais não explicados?
- Metadados compatíveis com a linha do tempo declarada?
- Armazenamento impede alteração silenciosa (WORM/versionamento)?
- Existe timestamp de terceira parte ou ata notarial?
6. Bibliografia técnica e legal
Normas técnicas: ISO/IEC 27037:2012, ISO/IEC 27042:2015 — iso.org
Legislação brasileira: CPP arts. 158-A a 158-F (Lei 13.964/2019) · CPC art. 384 · LGPD (Lei 13.709/2018) · Marco Civil da Internet (Lei 12.965/2014) · Provimento CNJ nº 100/2020 — planalto.gov.br
Leitura complementar: NIST SP 800-86 — nvlpubs.nist.gov · SWGDE Best Practices for Digital Evidence — swgde.org
7. Auditando laudos de polícia científica e Cellebrite
Checklist do laudo em si
- Perito credenciado e habilitado em perícia digital?
- Cita metodologia seguida (ISO 27037/27042)?
- Descreve ferramenta e versão usada na extração?
- Hash de aquisição documentado e batendo com cópias posteriores?
- Cadeia de custódia anexada sem gaps?
Auditoria específica de relatório Cellebrite (UFED)
Tipo de extração importa: lógica (mais rasa), sistema de arquivos, ou física (bit-a-bit, inclui dados deletados — mais completa, mais sujeita a interpretação de fragmentos).
- Verifique a versão do software usada — há histórico de bugs de parsing conhecidos por versão
- Confirme o hash da extração (.ufd/.ufdr) documentado e correspondente ao usado em juízo
- Confira os timestamps — Cellebrite costuma exibir em UTC; erro de conversão de fuso é o erro mais comum e mais útil para a defesa
- Questione a origem de dados "deletados/recuperados": área alocada (confiável) vs. espaço não alocado (reconstrução probabilística)
- Verifique se a versão do app periciado é compatível com a que o Cellebrite sabia interpretar corretamente na época
Contraponto técnico independente
Cellebrite Reader (gratuito) — cellebrite.com/en/reader — reabre .ufdr sem licença completa.
DB Browser for SQLite — sqlitebrowser.org — verifica bancos brutos direto na fonte.
ALEAPP (Android) — github.com/abrignoni/ALEAPP · iLEAPP (iOS) — github.com/abrignoni/iLEAPP — extração open source para comparação de parsing.
Sempre peça o .ufdr completo, não só o PDF final — o PDF é a interpretação selecionada do perito, não a evidência bruta.
8. MOBILedit na prática — passo a passo
Software de extração forense móvel (Compelson), testado periodicamente pelo NIST — extrai chamadas, contatos, SMS/MMS, arquivos, dados de apps (WhatsApp, Telegram, Instagram, Signal, Skype, Viber, Slack), IMEI/IMSI/ICCID, e dados deletados quando possível.
Extração lógica — Android
- Baixe/instale a partir de mobiledit.com e ative a licença
- Ative depuração USB no aparelho (Opções do desenvolvedor → USB Debugging)
- Connect → Phone → Cable Connection → conecte o cabo
- Confirme a instalação do app "Connector" na tela do celular
- Preencha investigador, número da evidência, proprietário — entra automaticamente no relatório
- Escolha escopo: Whole File System ou tipos específicos
- Acompanhe o dump; ao final confira o hash gerado automaticamente do arquivo .med
- Gere o relatório em Report, revisando antes de exportar
iOS bloqueado — via lockdown file
- Localize o lockdown file salvo no computador já pareado com o iPhone
- No assistente, importe o lockdown file em vez de conectar direto
- Prossiga com a extração mesmo sem digitar o código de bloqueio
- Documente no relatório que o método usado foi via lockdown file
Smart Screenshots (Android, sem interação no aparelho)
Captura automática de conversas de apps com segurança reforçada (Instagram, Signal, Telegram, WhatsApp, Skype, Viber, Slack) quando a extração de banco bruto está bloqueada.
Auditoria: exija sempre método usado, versão do software, e hash do .med no relatório final — mesmo critério aplicado a laudos Cellebrite.
9. Leitura complementar explicada
NIST SP 800-86
Em uma frase: manual do governo americano sobre como aplicar técnica forense dentro de resposta a incidente — coletar sem destruir a prova.
- Coletar — mapeie todas as fontes antes de tocar em qualquer uma
- Preservar — hash de cada fonte assim que adquirida
- Examinar — processo repetível, com ferramenta e versão documentadas
- Analisar — interpretação só depois do exame técnico
- Reportar — relatório expõe a metodologia, não só a conclusão
Ao revisar laudo pericial, confira se essas cinco etapas aparecem separadas — mistura de coleta com conclusão sem processo intermediário é brecha metodológica.
SWGDE Best Practices for Digital Evidence
Em uma frase: diretrizes escritas por peritos reais sobre como manusear evidência digital do início ao fim — parâmetro objetivo para medir se o laudo oficial seguiu o padrão da própria comunidade forense.
- Fotografe o estado original antes de tocar no dispositivo
- Isole o dispositivo (modo avião/Faraday) contra alteração remota
- Priorize o método menos invasivo que atenda ao objetivo
- Verificação dupla de hash — na aquisição e antes da análise
- Documentação contínua de cada ação sobre a evidência
- Revisão por pares antes de fechar o relatório final
Pergunte sempre se houve revisão por pares no laudo — sua ausência já é ponto legítimo de questionamento técnico.
Diagnóstico OSINT Estratégico — avaliação inicial gratuita do seu caso.
Falar no WhatsApp