Hash: o que prova e o que não prova

Hash é a impressão digital do conteúdo de um arquivo. Um algoritmo como o SHA-256 lê todos os bytes e devolve uma sequência de tamanho fixo, sessenta e quatro caracteres hexadecimais, que é sempre a mesma para o mesmo conteúdo e completamente diferente se um único byte mudar. É por isso que o hash responde a uma pergunta só: estas duas cópias são idênticas?

O exemplo clássico mostra o limite do método. Calcule o SHA-256 de um PDF, troque uma vírgula no texto e calcule de novo: o resultado muda por inteiro. Não existe hash parecido. Ou os valores coincidem, ou o arquivo examinado é outro. Por isso o hash prova identidade entre cópias, e nada além disso: não prova quando o arquivo existiu, quem o criou, de onde saiu nem se o conteúdo é lícito. Um hash correto de um print montado continua sendo um print montado.

A pegadinha está na aparência. Nem toda sequência hexadecimal é hash. Dois UUIDs colados sem o hífen somam sessenta e quatro caracteres, com a cara de um SHA-256, e não são hash de nada. Um endereço Ethereum, zero xis mais quarenta caracteres, lembra um SHA-1. Um TXID de Bitcoin é um SHA-256 de verdade, mas de uma transação, não de um arquivo. O formato não diz o que a sequência é. Só o contexto diz: hash de quê, calculado com qual algoritmo, por quem e quando. E hash sozinho, sem o segundo valor para comparar, não prova coisa alguma.

O gatilho para chamar o perito são cinco ausências no laudo: hash sem algoritmo, hash sem objeto, hash sem par, hash sem data e hash sem responsável. Uma delas já justifica um pedido de esclarecimento. Duas ou mais pedem assistente técnico. O pedido cabe em uma página: a juntada do hash de aquisição da mídia original e do hash atual da cópia examinada, com algoritmo, ferramenta, data, hora e responsável de cada cálculo, e o acesso à cópia forense para conferência. O modelo está disponível abaixo, pronto para adaptar ao caso.