Um arquivo aparentemente simples – uma conversa exportada, um vídeo de celular, uma planilha ou uma imagem de disco – pode definir o rumo de um processo. O hash criptográfico é um dos mecanismos que permitem demonstrar tecnicamente que aquele conteúdo permaneceu íntegro desde a coleta até sua apresentação em juízo. Mas tratá-lo como uma garantia automática de autenticidade é um erro que compromete análises e laudos.
Na perícia digital, a força da evidência não decorre apenas do que ela mostra. Decorre também da capacidade de explicar sua origem, sua preservação, os procedimentos empregados e os limites da conclusão pericial. O hash integra esse conjunto de controles técnicos.
O que é hash criptográfico
Hash criptográfico é o resultado de uma função matemática aplicada a dados digitais. Essa função recebe uma entrada de qualquer tamanho – desde um pequeno documento até uma cópia completa de um disco rígido – e gera uma sequência de caracteres de tamanho fixo, chamada de resumo criptográfico ou digest.
Em termos práticos, ele funciona como uma impressão digital matemática do arquivo. Se um único bit for alterado, seja pela troca de uma letra em um PDF, seja por uma modificação invisível em um vídeo, o resultado do hash deverá ser diferente. Por isso, o método é amplamente empregado para verificar a integridade de evidências digitais.
Considere uma extração de mensagens de aplicativo. No momento em que o material é recebido ou adquirido, o profissional calcula seu hash. Antes de analisar, copiar para armazenamento controlado ou entregar uma versão para outra parte, pode calcular novamente o mesmo algoritmo. Se os resultados coincidirem, há evidência técnica de que os dados comparados são idênticos.
Essa característica é essencial porque arquivos digitais podem ser alterados com facilidade e sem sinais perceptíveis ao usuário comum. A análise pericial exige parâmetros verificáveis, e não apenas confiança na aparência do conteúdo.
Hash não é criptografia, assinatura nem autenticação
Embora sejam conceitos relacionados à segurança da informação, hash, criptografia e assinatura digital não são sinônimos.
A criptografia busca proteger o sigilo. Um conteúdo é transformado para que somente quem possua a chave adequada consiga acessá-lo em formato compreensível. Em regra, o processo pode ser revertido mediante a chave correta.
O hash, por sua vez, não foi criado para permitir a recuperação do arquivo original. Trata-se de uma operação unidirecional: a partir do digest, não se deve conseguir reconstruir o conteúdo que o gerou. Sua finalidade central, no contexto pericial, é verificar integridade.
Já a assinatura digital envolve mecanismos criptográficos capazes de vincular determinado ato a uma chave privada e de permitir sua validação por meio de uma chave pública. Quando corretamente implementada, ela pode contribuir para demonstrar integridade, autoria técnica e vínculo com um certificado. Ainda assim, a interpretação jurídica e pericial depende do contexto, da cadeia de custódia e da forma de produção do documento.
Um hash idêntico comprova que dois arquivos são iguais do ponto de vista dos dados processados. Ele não prova, isoladamente, quem criou o arquivo, em qual equipamento ele surgiu, se a narrativa associada a ele é verdadeira ou se a coleta respeitou o procedimento necessário. Essa distinção é decisiva em uma atuação técnica responsável.
Por que o hash criptográfico importa na cadeia de custódia
A cadeia de custódia é o registro documentado da história do vestígio. Ela permite identificar onde a evidência estava, quem a recebeu, quais operações foram realizadas, em que condições ocorreu o armazenamento e como se preservou sua integridade.
No ambiente digital, é comum trabalhar com cópias forenses em vez de manipular diretamente a mídia original. Uma imagem forense de computador, por exemplo, pode conter milhões de arquivos e setores não alocados. Ao gerar hashes da fonte e da cópia adquirida, o perito consegue verificar se a reprodução corresponde tecnicamente ao conteúdo original no momento da aquisição.
O registro deve ser claro. O laudo ou relatório técnico precisa informar, conforme o caso, qual objeto foi examinado, qual algoritmo foi utilizado, qual ferramenta realizou o cálculo, em que etapa isso ocorreu e quais valores foram obtidos. Sem documentação, o número do hash perde grande parte de sua utilidade probatória, pois não é possível compreender a que material ele se refere ou como foi produzido.
Também é necessário preservar o arquivo que foi efetivamente hasheado. Não basta registrar um código em uma planilha se não há identificação confiável da mídia, do caminho de aquisição, da data, do responsável e do método de armazenamento. Integridade é resultado de procedimento, não de uma sequência de caracteres apresentada de forma isolada.
Algoritmos: por que a escolha técnica faz diferença
Algoritmos como MD5 e SHA-1 tiveram ampla utilização histórica, especialmente para conferência de arquivos e sistemas. Entretanto, vulnerabilidades conhecidas relacionadas a colisões reduziram sua adequação para situações que exigem elevada segurança contra manipulação deliberada.
Uma colisão ocorre quando duas entradas diferentes produzem o mesmo hash. Em funções criptográficas bem projetadas, encontrar uma colisão deve ser computacionalmente inviável. Quando pesquisas demonstram fraquezas práticas ou teóricas relevantes, o uso do algoritmo precisa ser reavaliado.
Para contextos periciais atuais, algoritmos da família SHA-2, como SHA-256 e SHA-512, costumam oferecer escolha tecnicamente mais apropriada. Isso não significa que um valor MD5 presente em uma coleta antiga seja automaticamente inútil. Ele pode ter valor de conferência, sobretudo se estiver associado a outros controles e se não houver indício de ataque direcionado. A conclusão depende do risco, da época da coleta, da natureza do material e do nível de contestação esperado.
Uma prática prudente é registrar mais de um hash quando o protocolo ou a ferramenta permitir, combinando um algoritmo de uso operacional com outro mais atual e resistente. O ponto central não é decorar siglas: é justificar a metodologia e saber explicar suas limitações.
Como aplicar o hash na preservação de evidências
O cálculo do hash deve ocorrer o mais cedo possível, sem prejudicar o método de coleta. Em uma mídia física, o ideal é evitar alterações no conteúdo original. Dependendo do cenário, isso pode envolver bloqueadores de escrita, ferramentas de aquisição forense e geração de imagem bit a bit.
Em dados recebidos por e-mail, mensageria ou armazenamento em nuvem, a atenção recai sobre a forma de exportação e o objeto exato preservado. Um print de tela, por exemplo, não é equivalente ao arquivo nativo, à conversa extraída ou aos metadados disponíveis na plataforma. Cada elemento possui alcance probatório próprio e, portanto, deve ser identificado e hasheado individualmente quando pertinente.
Após a coleta, a cópia de trabalho deve ser separada da cópia preservada. A análise ocorre sobre uma duplicata controlada, enquanto o material de referência permanece armazenado com acesso restrito. Sempre que houver transferência, nova cópia ou entrega técnica, a conferência do hash reduz o risco de dúvida sobre modificações acidentais.
Em uma perícia particular, o assistente técnico também deve observar esses cuidados. Sua atuação pode exigir a verificação crítica de material apresentado pela parte contrária, a comparação entre versões de arquivos e a avaliação da consistência dos registros de integridade. Não é suficiente afirmar que um documento digital “parece original”. É preciso demonstrar quais testes foram realizados e o que eles efetivamente permitem concluir.
Limites que o perito deve deixar expressos
O hash não identifica fraude por si só. Se um arquivo adulterado foi produzido antes da primeira coleta, ele poderá ter um hash perfeitamente válido. O mecanismo indicará apenas que aquele arquivo permaneceu igual desde o momento em que foi calculado, não que seu conteúdo represente um fato verdadeiro ou que seja anterior à coleta.
Da mesma forma, hashes iguais não resolvem questões de contexto. Um áudio pode estar íntegro e, ainda assim, ser um trecho recortado de uma gravação mais extensa. Uma imagem pode estar preservada, mas ter sido criada em outro aparelho ou enviada fora da data alegada. A perícia precisa combinar o exame de integridade com metadados, registros de sistema, cronologia, análise de origem, coerência documental e demais vestígios disponíveis.
Há ainda um limite operacional: o resultado depende da ferramenta e do procedimento. Se o profissional seleciona o arquivo errado, calcula o hash depois de uma conversão automática ou não registra adequadamente a origem do material, terá um dado matematicamente correto aplicado a um objeto mal delimitado. Técnica sem método não sustenta prova confiável.
Formação técnica para atuar com evidência digital
Para quem pretende trabalhar como perito judicial ou assistente técnico, compreender hash é mais do que conhecer uma definição. É saber inseri-lo em uma metodologia defensável: preservar, documentar, examinar, confrontar hipóteses e comunicar conclusões de forma objetiva ao processo.
A Escola LPPerícia trabalha a formação pericial com foco na aplicação prática e no raciocínio técnico exigido em casos reais. No ambiente digital, isso significa desenvolver capacidade para reconhecer vestígios, estabelecer procedimentos de preservação e delimitar com precisão o alcance de cada achado.
Quando uma evidência digital for questionada, o profissional preparado não responderá apenas que “o arquivo tem hash”. Ele saberá informar qual arquivo foi submetido ao cálculo, em qual momento, por qual método, com qual algoritmo e o que aquele resultado prova – e, principalmente, o que ele não prova. É essa precisão que transforma conhecimento técnico em atuação pericial confiável.
