سلامة الأدلة: Hash و Chain of Custody

أهلاً بيك. في الكورس اللي فات اتعلمنا الـ Hashing، وقلنا إن تغيير حرف واحد بيغيّر الـ Hash كله. النهاردة هنستخدم الفكرة دي علشان نحمي الأدلة.

الفكرة بسيطة: أول ما تاخد الدليل، تعمل له SHA256. تكتب الـ Hash ده في الـ Notes وفي التقرير. ولو حد شك بعدين، يعمل Hash تاني ويقارن. لو زي بعض، يبقى الدليل ما اتلمسش. نعمل Hash لنتيجة command بتقول إننا بقينا root. نشغّل… ده الـ Hash بتاع الدليل.

import hashlib

evidence = b"uid=0(root) gid=0(root) groups=0(root)"

digest = hashlib.sha256(evidence).hexdigest()
print("sha256:", digest)

sha256: 9d2b1186ccaab65db616b09e5711ce10f5f518c65019922d1b3c58a5d8ce1daa

دلوقتي نتخيّل إن حد زوّد مسافة واحدة بس في آخر الدليل. نشوف هنكتشفه ولا لأ. نشغّل… مسافة واحدة، والـ Hash كشفها.

import hashlib

original = hashlib.sha256(b"uid=0(root) gid=0(root)").hexdigest()

received = b"uid=0(root) gid=0(root) "
check = hashlib.sha256(received).hexdigest()

print("intact" if check == original else "MODIFIED!")

MODIFIED!

وفيه مصطلح اسمه Chain of Custody. يعني سجل بمين خد الدليل، وإمتى، ومين اتسلّمه بعد كده. ده مهم قوي لو الموضوع وصل للمحكمة، أو لـ Incident Response.

وخد بالك: الأدلة نفسها حساسة. فيها باسوردات وبيانات عملا. خزّنها متشفّرة. وامسحها بعد المدة المتفق عليها في العقد. دورك: غيّر received وخلّيها نفس الدليل الأصلي بالزبط، من غير المسافة، وشوف النتيجة.

الحل: نشغّل… intact، يعني سليم.

import hashlib

original = hashlib.sha256(b"uid=0(root) gid=0(root)").hexdigest()

received = b"uid=0(root) gid=0(root)"
check = hashlib.sha256(received).hexdigest()

print("intact" if check == original else "MODIFIED!")

intact

الدرس الجاي: الأدلة فيها باسوردات وبيانات حساسة… إزاي تحطها في التقرير من غير ما تسرّبها؟ يلا بينا.