• 16 de octubre de 2018

Dirección IP y Peritaje Informático

En gran parte de los análisis informáticos forenses en los que trabaja un perito informático, y muy especialmente en un contrainforme pericial informático, se pone en duda informacion sobre la dirección IP. Se entiende por dirección IP una numeración que identifica una interfaz o punto de conexión, pudiendo ser este una tarjeta de red de un ordenador, televisión, etc.

La dirección IP esta formada por cuatro bloques numéricos que van desde el 0 hasta el 255. Cuando se pensó en este protocolo de comunicación, con el foco puesto en el actual Internet, se entendían como suficientes algo mas de cuatro mil millones de direcciones IP para poder identificar unívocamente a un elemento dentro de la red. Debido al crecimiento exponencial de la red, en poco tiempo este numero de direcciones IP se quedo corto. En ese momento se desarrolló una solución provisional hasta poner en funcionamiento un nuevo protocolo IP, esta solución fue llamada NAT, que permite a una única dirección IP ser compartida por varios elementos de red conectados a un router, formando una red privada que tiene salida a Internet.

Por lo tanto, esta compartición de la misma dirección IP por parte de varios elementos conectados a un router, añadido al hecho de que las direcciones IP son, por lo normal, son concedidas por el proveedor de servicios de forma dinamica (es decir, que una misma dirección IP puede ser asignada por el operador a varios routers en distintos momentos), ofrece la posibilidad de que varios elementos de red y, por tanto, de ordenadores, puedan estar usando la misma dirección IP en el mismo momento, e incluso en momentos distintos. Según lo anterior, a la hora de evaluar la autoría irrefutable de un delito informático, esta eventualidad constituye un gravísimo problema.

Nuevo Protocolo IPv6

Con el nuevo protocolo IP, IPv6, el problema del número de direcciones IP se resuelve.  En la mayoría de los procedimientos judiciales, sobretodo en ambito penal, donde se tiene actuación de las diferentes unidades de delitos informáticos de las fuerzas y cuerpos de seguridad del estado, es necesario el poder llevar a cabo la identificación de la dirección IP desde la cual se ha cometido el delito. Dicha dirección IP se coteja con los operadores, para poder buscar e identificar un titular/abonado de la asignación de esa dirección IP durante el acto delictivo denunciado.

Anteriormente a la identificación de la dirección IP, es necesario que el Perito Informático ( ya sea un perito judicial informático o un perito judicial informático de las unidades de guardia civil/policía nacional), proceda a obtener una copia de los discos duros de los equipos involucrados en el proceso para llevar a cabo un análisis forense de dichos discos.

IMPORTANTE: No es necesario que un fedatario público esté presente durante todo el proceso del clonado de los discos duros, tal y como manifiesta la Sentencia 1599/1999 del Tribunal Supremo, sí se deberá indicar en el informe o atestado cómo se ha realizado dicho proceso, al objeto de que quede claro que la cadena de custodia ha sido conservada en todo momento.

Tras el clonado de los discos duros, se necesita analizar las copias obtenidas. El análisis de los discos duros debe centrarse sobre los ficheros de log de los sistemas atacados o mediante los que se ha cometido el delito. Un fichero de log es un archivo informático que registra todas las actividades de un sistema informático. Así pues, se necesita que los ficheros de log sean analizados en detalle con el fin de poder determinar el momento exacto en el cual se cometió el delito y la dirección IP desde la cual se realizó.

Una vez se ha obtenido la dirección IP desde la cual se ha cometido el delito, así como la fecha y hora en la que se cometió el mismo, tanto la dirección IP, como la fecha y la hora, deben ser cotejadas con el operador, al objeto de conocer quién es el abonado que estaba detrás de la dirección IP en el momento en el que se cometió el delito. Si se tiene la situación en la cual el proceso técnico de obtención de la dirección IP no está claro o, si se sospecha que la cadena de custodia no ha sido conservada, debe impugnarse el proceso y presentarse un informe contra pericial informático, tal y como deja claro la Sentencia 2222/2013 del Tribunal Supremo. Por todo lo expuesto, para certificar con total seguridad que alguien cometió un delito desde una dirección IP, no vale únicamente con identificar al abonado, sino que es necesaria la realización de un peritaje informático forense sobre el contenido del disco o discos duros de su ordenador u ordenadores, en los que se encuentre material relacionado con la comisión del delito.

Si esta ante un caso donde requiere identificación de dirección IP tras un delito contacte con nuestro asesoramiento gratuito y le informaran con mayor detalle.