Extrair é a parte fácil.

Ferramenta que despeja dados existe. O que decide se aquilo vira prova é o procedimento em volta: a ordem da coleta, o registro de cada etapa e a possibilidade de outra pessoa repetir o exame e chegar ao mesmo resultado.

As quatro camadas

O que separa uma ferramenta de extração de uma ferramenta de perícia:

1. 01

   Direção funcional

   O que o software faz, e em que ordem, é definido por quem usa extração em perícia — não pelo que é mais simples de programar. Parece detalhe e não é: a ordem errada de coleta destrói material que não volta.

2. 02

   Metodologia pericial

   A extração segue o procedimento que preserva a cadeia de custódia. Dado extraído fora dele resolve a curiosidade e não sustenta o processo.

3. 03

   Validação técnica

   Cada entrega é testada contra dispositivo real antes de chegar a quem usa. O que não passa não é publicado.

4. 04

   Homologação forense

   A etapa que fecha as outras três: conferir que o resultado é íntegro, reproduzível e documentado.

Cadeia de custódia não é uma assinatura no fim do laudo

É o registro de quem teve o dispositivo em mãos, quando, e o que fez com ele — e ele começa antes da extração, no momento em que o aparelho é apreendido ou entregue.

Depois continua: onde o material extraído ficou guardado, quem teve acesso, o que foi copiado e para onde.

Uma lacuna em qualquer ponto dessa linha é a primeira coisa que a outra parte vai procurar. E encontrando, o que estava dentro do exame passa a valer menos do que o buraco em volta dele.

É por isso que a extração segue o procedimento em vez de simplesmente despejar o conteúdo: o registro nasce junto com o dado, não depois.

"Reproduzível" quer dizer uma coisa específica

Quer dizer que outro profissional, com o mesmo dispositivo e o mesmo procedimento, chega ao mesmo resultado — sem depender de quem fez o exame da primeira vez.

Isso muda o que o laudo é. Um exame que só uma pessoa consegue repetir é o testemunho dessa pessoa. Um exame reproduzível é um método, e método suporta contestação.

Na prática, exige que o procedimento esteja registrado com detalhe suficiente para ser refeito: o que foi feito, em que ordem, com qual configuração, e o que se obteve em cada etapa. É a diferença entre "eu vi" e "está aqui, confira".

Como se prova que o material não mudou

Calcula-se um hash — um valor derivado do conteúdo inteiro, que muda por completo se um único bit mudar. Registra-se esse valor no momento da coleta, e confere-se de novo a cada etapa.

Se os valores batem, o material é o mesmo. Se não batem, alguma coisa aconteceu, e o exame precisa dizer o quê.

É simples e é decisivo: sem esse registro, "o arquivo é o mesmo" vira palavra de quem conduziu o exame. Com ele, vira uma conta que qualquer pessoa refaz.

Por que a coleta copia tudo, e não só o que interessa

Copiar só o que interessa parece eficiente. O problema é que exige decidir o que interessa antes de examinar — e essa decisão, tomada cedo, é o que faz um exame achar exatamente aquilo que já se esperava achar.

Copiar o conjunto preserva o contexto: o que estava em volta, o que já tinha sido apagado, a ordem em que as coisas aconteceram. É no contexto que costuma estar a resposta que ninguém tinha formulado como pergunta. E preserva a possibilidade de outro profissional refazer o exame sobre o mesmo material.

A pergunta que organiza qualquer exame

Em que ordem as coisas aconteceram? Antes de "quem fez", antes de "por quê", vem a sequência. E a sequência raramente está num lugar só: parte vem das mensagens, parte dos registros do sistema, parte dos metadados dos arquivos, parte de fontes fora do aparelho.

Montar essa linha é o que transforma um monte de dado em narrativa verificável — e é também onde as contradições aparecem sozinhas, sem que ninguém precise procurá-las.

Cuidado necessário: horário de aparelho, de aplicativo e de servidor nem sempre são o mesmo. A linha do tempo precisa dizer de qual relógio está falando.

Homologação forense

É a etapa que ninguém vê e que decide tudo: onde se confere que o resultado da extração é íntegro — o que saiu do aparelho é o que está no material —, reproduzível e documentado.

Sem essa etapa, o que existe é uma ferramenta que funciona. Com ela, existe uma ferramenta cujo resultado alguém consegue defender.

A homologação e o atendimento comercial são conduzidos pela investigaree, que é quem responde pela parte pericial da operação.

O uso pressupõe autorização do titular do dispositivo, ordem judicial ou outra base legal. Ver quem pode usar, e sob qual base.