ماذا ستتعلم في هذه الغرفة؟

• فهم مفهوم بصمة البيانات الرقمية (Cryptographic Hash Functions) وأهميتها الجنائية.

• استخدام خوارزميات MD5 و SHA-256 للتحقق من مطابقة الصور الجنائية للأدلة الأصلية.

• إثبات عدم تعرض الأدلة الرقمية للتعديل أو العبث (Data Integrity & Non-Repudiation).

• تطبيق أوامر وأدوات سطر الأوامر لحساب والتحقق من الهاش ميدانياً.

محتوى الدرس:

في التحقيق الجنائي الرقمي، يُعتبر الهاش (Hash) بمثابة البصمة الوراثية (DNA) للدليل الرقمي. هو عبارة عن قيمة خوارزمية فريدة ثابتة الطول تُنتج بناءً على محتوى الملف أو القرص الصلب. أي تغيير بسيط – حتى لو كان تعديل مسافة واحدة أو بكسل واحد في صورة – سيؤدي إلى تغيير شامل في قيمة الهاش، وهو ما يُعرف بـ (Avalanche Effect).

1. آلية عمل الهاش في البيئة الجنائية (Hash Functions in Forensics): تعتمد التحقيقات على دمج خوارزميات التشفير لحماية الدليل من أي تشكيك قانوني.

• MD5 (Message Digest 5): تُنتج قيمة بـ 128-bit (32 حرف هكس). سريعة ولكنها تُستخدم غالباً كمقياس ثانوي بسبب احتمالية حدوث تصادمات خوارزمية (Collisions).

• SHA-256 (Secure Hash Algorithm): تُنتج قيمة بـ 256-bit (64 حرف هكس). هي المعيار الذهبي المعتمد حالياً في المحاكم لضمان أعلى مستويات الأمان والنزاهة.

2. بروتوكول التحقق الميداني (Evidence Verification Protocol): يتم حساب قيمة الهاش في ثلاث محطات رئيسية طوال دورة حياة التحقيق:

• المحطة الأولى (عند ضبط الدليل): حساب الهاش للقرص الأصلي فور الاستحواذ عليه.

• المحطة الثانية (عند إنشاء الصورة الجنائية): حساب الهاش للـ Image الجنائية ومطابقته فوراً مع الأصل.

• المحطة الثالثة (أثناء التحليل والتقديم): إعادة حساب الهاش قبل وبعد كل عملية تحليل للتحقق من عدم حدوث أي تغيير بالخطأ.

3. التطبيق العملي عبر سطر الأوامر (CLI Tools):

• في نظام Windows (PowerShell): Get-FileHash -Path "C:\Evidence\disk_image.E01" -Algorithm SHA256

• في نظام Linux (Terminal): sha256sum /dev/sdb1 أو md5sum evidence.img