Integralność • przykład metodyczny
Suma kontrolna SHA-256 i integralność dowodu cyfrowego: co można wykazać?
Co potwierdza hash pliku, czego nie dowodzi i jak dokumentować kopie materiału cyfrowego. Przykład metodyczny i źródła NIST z DOI.
Skrót dotyczy danych, nie prawdziwości historii
Funkcja skrótu przekształca ciąg danych w wartość o określonej długości. Standard FIPS 180-4 opisuje m.in. SHA-256, a zastosowaniem skrótów jest wykrywanie zmian danych względem chwili obliczenia wartości odniesienia. [1, sekcje 1 i 6.2] W pracy z dowodem cyfrowym trzeba zawsze wskazać obiekt, dla którego policzono skrót: pojedynczy plik, obraz nośnika albo kontener.
Zgodność skrótów jest mocnym technicznym wsparciem twierdzenia o zgodności porównywanych danych przy prawidłowym wykonaniu czynności. Nie ustala jednak samodzielnie autora dokumentu, czasu jego powstania ani prawdziwości opisanych w nim zdarzeń. Nie dowodzi też, że plik nie był zmieniony przed pierwszym udokumentowanym obliczeniem skrótu.
Dlaczego trzeba określić moment i przedmiot porównania?
Proponowany zapis ewidencyjny powinien obejmować identyfikator materiału, nazwę i rozmiar pliku, algorytm, uzyskaną wartość, datę czynności i osobę ją wykonującą. Dobrze wskazać również źródło pliku oraz miejsce przechowywania kopii. Dzięki temu kolejny badacz wie, co porównuje, zamiast dopasowywać nieopisany ciąg znaków do kilku podobnych plików.
NIST omawia weryfikację integralności pozyskanych danych w powiązaniu z ich gromadzeniem i dokumentacją. Wniosek organizacyjny jest prosty: sam hash nie zastępuje historii przekazania materiału. Te elementy odpowiadają na odrębne pytania i powinny być czytane łącznie. [2, rozdz. 3.1.2 i 4.2.2]
Case study: zmienił się plik ZIP, nie zmieniło się zdjęcie
Scenariusz hipotetyczny: odbiorca otrzymuje archiwum z fotografiami. Po ponownym spakowaniu materiału suma kontrolna archiwum jest inna, choć skróty wypakowanych fotografii pozostają takie same. Te wyniki nie są sprzeczne: porównano różne obiekty. Archiwum ma własną strukturę i metadane, a poszczególne pliki są odrębnymi ciągami danych.
W takim przypadku opis powinien rozróżniać integralność otrzymanego kontenera oraz zgodność jego zawartości z kopią roboczą. Nie można napisać ogólnie „materiał identyczny”, jeżeli sprawdzono tylko wybrane fotografie. Nie można również stwierdzić „zdjęcia zmieniono” jedynie dlatego, że różnią się skróty dwóch archiwów. To przykład błędu w zakresie wniosku, a nie problemu z samą funkcją skrótu.
Czego nie oznacza różnica skrótów?
Różnica skrótów wymaga zbadania przyczyny, ale nie identyfikuje osoby ani zamiaru. Zmianę mogła spowodować edycja treści, konwersja formatu lub zapis dodatkowych informacji przez program. Każde z tych wyjaśnień wymaga własnych ustaleń. Jeśli nie zachowano wersji pierwotnej, zakres możliwego porównania może być ograniczony.
Przy porównywaniu fotografii trzeba oddzielić identyczność plików od podobieństwa obrazów. Dwa różne pliki mogą przedstawiać tę samą scenę. Z kolei analiza wizualna nie zastępuje kontroli bajtowej tożsamości plików. W opinii warto nazwać poziom badania zamiast używać niejednoznacznego słowa „autentyczny”.
Jak sformułować pytanie do eksperta?
Użyteczne pytanie brzmi: czy przekazane kopie są zgodne z oznaczonym materiałem odniesienia i jakie różnice stwierdzono? Jeśli celem jest ustalenie historii edycji, należy to wskazać osobno. Ekspert może wtedy ocenić, czy są dostępne metadane, wersje plików lub inne źródła potrzebne do szerszego wniosku.
Taką kontrolę można uwzględnić w analizie komputerów i nośników albo w opinii informatycznej. Przy przekazywaniu materiału z Małopolski lub innego regionu Polski warto najpierw uzgodnić sposób utrwalenia i dokumentowania kopii, zamiast samodzielnie zmieniać formaty plików.
Źródła i literatura
- NIST (2015). Secure Hash Standard (SHS). FIPS PUB 180-4, sekcje 1 i 6.2. DOI: 10.6028/NIST.FIPS.180-4.
- Kent, K.; Chevalier, S.; Grance, T.; Dang, H. (2006). Guide to Integrating Forensic Techniques into Incident Response. NIST SP 800-86, rozdz. 3.1.2, s. 3-3–3-5, oraz rozdz. 4.2.2, s. 4-7–4-9. DOI: 10.6028/NIST.SP.800-86.
Linki i przywołane miejsca sprawdzono 18 października 2026 r. Numer strony oznacza paginację publikacji; dokumentacja internetowa bez paginacji jest wskazana przez nazwę sekcji. Przykłady są scenariuszami edukacyjnymi, nie opisami spraw klientów.