ডিজিটাল ফরেনসিক্স — চেইন অফ কাস্টডি

১ · ডিজিটাল ফরেনসিক্স ও আইনগত গ্রহণযোগ্যতা

ডিজিটাল ফরেনসিক্সDigital Forensicsডিজিটাল প্রমাণ (ফাইল, লগ, মেমরি ডাম্প, ডিস্ক ইমেজ) এমনভাবে সংরক্ষণ, সংগ্রহ ও বিশ্লেষণ করার বিদ্যা, যাতে তা আইনগত প্রক্রিয়ায় (আদালত বা আভ্যন্তরীণ তদন্তে) গ্রহণযোগ্য থাকে। একটি সিকিউরিটি ঘটনার পর — বিশেষত যদি আইন প্রয়োগকারী সংস্থা বা আদালত জড়িত হতে পারে — শুধু "কী ঘটেছিল" জানাই যথেষ্ট নয়। প্রমাণটি যেভাবে সংগ্রহ করা হয়েছে তা প্রমাণ করতে হবে যে এটি নির্ভরযোগ্য ও অপরিবর্তিত।

২ · চেইন অফ কাস্টডি — কেন একটি ফাঁকও যথেষ্ট ক্ষতি করতে পারে

চেইন অফ কাস্টডিChain of Custodyএকটি প্রমাণ কে, কখন হাতে নিয়েছে, কী কাজ করেছে, এবং কার কাছে হস্তান্তর করেছে তার একটি সম্পূর্ণ, অখণ্ড, ডকুমেন্টেড রেকর্ড। হলো একটি প্রমাণের জীবনচক্রের প্রতিটি হাত বদলের ডকুমেন্টেড রেকর্ড। যদি এই রেকর্ডে কোথাও একটি ফাঁক থাকে (কে হাতে নিয়েছিল তা অজানা, বা কতক্ষণ কারও কাছে ছিল তা রেকর্ড করা হয়নি) — তাহলে প্রমাণ করা অসম্ভব হয়ে যায় যে সেই সময়ে প্রমাণটি পরিবর্তিত হয়নি। ফলাফল: প্রমাণটি আদালতে অগ্রহণযোগ্য হয়ে যেতে পারে, এমনকি যদি তা প্রকৃতপক্ষে অপরিবর্তিতই থেকে থাকে।

৩ · ফরেনসিক ইমেজিং — সবসময় একটি কপিতে কাজ করুন, মূলে নয়

একটি মূল নীতি: মূল প্রমাণ (যেমন একটি হার্ড ড্রাইভ) কখনো সরাসরি বিশ্লেষণ করা হয় না। বরং একটি write-blocker হার্ডওয়্যার/সফটওয়্যার ব্যবহার করে একটি বিট-ফর-বিট কপি ("forensic image") তৈরি করা হয়, যাতে নিশ্চিত করা যায় মূল ডেটাতে কোনো পরিবর্তন ঘটেনি। এরপর সেই ইমেজের একটি হ্যাশ কম্পিউট করে রাখা হয় — ঠিক L01-এর integrity-checking ধারণার মতোই — যাতে পরে যেকোনো সময় প্রমাণ করা যায় ইমেজটি সেই মূল মুহূর্ত থেকে অপরিবর্তিত আছে।

৪ · কোড দিয়ে চেইন অফ কাস্টডি যাচাই — L01-এর হ্যাশিং প্যাটার্নের সম্প্রসারণ

নিচের কোড সেলটি সম্পূর্ণ নিরাপদ ও ইন-মেমরি — এটি L01-এ শেখা hashlib.sha256 প্যাটার্নকে একটি ফরেনসিক কাস্টডি লগে প্রয়োগ করে। প্রতিটি কাস্টডি এন্ট্রিতে সেই মুহূর্তের প্রমাণের একটি চেকসাম রেকর্ড করা হয়, এবং verify_chain() ফাংশন প্রতিটি ধাপের চেকসাম মূল প্রমাণের চেকসামের সাথে মিলিয়ে দেখে। প্রথমে একটি ক্লিন চেইন (প্রমাণ কখনো পরিবর্তিত হয়নি) এবং তারপর একটি ব্রোকেন চেইন (একটি ধাপে প্রমাণ পরিবর্তিত হয়ে গেছে) দেখানো হয়েছে।

import hashlib

def compute_checksum(evidence):
    return hashlib.sha256(evidence.encode()).hexdigest()

def add_custody_entry(log, handler, timestamp, action, evidence_at_this_step):
    entry = {
        "handler": handler,
        "timestamp": timestamp,
        "action": action,
        "checksum": compute_checksum(evidence_at_this_step),
    }
    log.append(entry)
    return log

def verify_chain(log, original_evidence):
    original_checksum = compute_checksum(original_evidence)
    for step_num, entry in enumerate(log, start=1):
        if entry["checksum"] != original_checksum:
            return False, (
                f"চেইন ভাঙা — ধাপ {step_num} ({entry['handler']}, "
                f"'{entry['action']}')-এ চেকসাম মিলছে না"
            )
    return True, "চেইন অক্ষত — সবগুলো ধাপে চেকসাম মূল প্রমাণের সাথে মিলেছে"

# ----- দৃশ্য ১: ক্লিন চেইন (প্রমাণ কখনো পরিবর্তিত হয়নি) -----
original_evidence = "disk_image::case_2031::sector_dump_v1"

clean_log = []
add_custody_entry(clean_log, "অফিসার A", 1001, "সংগ্রহ (Collection)", original_evidence)
add_custody_entry(clean_log, "ফরেনসিক ল্যাব B", 1050, "ইমেজিং (Imaging)", original_evidence)
add_custody_entry(clean_log, "অ্যানালিস্ট C", 1120, "বিশ্লেষণ (Analysis)", original_evidence)

ok, message = verify_chain(clean_log, original_evidence)
print("ক্লিন চেইন যাচাই:", ok)
print("  ->", message)

print()

# ----- দৃশ্য ২: ব্রোকেন চেইন (কোনো এক ধাপে প্রমাণ পরিবর্তিত হয়েছে) -----
broken_log = []
add_custody_entry(broken_log, "অফিসার A", 1001, "সংগ্রহ (Collection)", original_evidence)

# একজন অননুমোদিত ব্যক্তির হাতে থাকার সময় প্রমাণ পরিবর্তিত হয়ে যায়
tampered_evidence = original_evidence + "_modified_byte"
add_custody_entry(broken_log, "অজানা হ্যান্ডলার", 1030, "সংরক্ষণাগার (Storage)", tampered_evidence)

add_custody_entry(broken_log, "অ্যানালিস্ট C", 1120, "বিশ্লেষণ (Analysis)", original_evidence)

ok2, message2 = verify_chain(broken_log, original_evidence)
print("ব্রোকেন চেইন যাচাই:", ok2)
print("  ->", message2)