Write Blocker

¿Qué es un Write Blocker?

Un write blocker (bloqueador de escritura) es un dispositivo o software que impide cualquier operación de escritura en un medio de almacenamiento, permitiendo únicamente la lectura de datos. En el análisis forense digital es la salvaguarda estándar frente a las escrituras que el sistema operativo haría por su cuenta. Conviene decirlo con precisión: reduce drásticamente ese riesgo, no lo elimina por definición. El propio NIST advierte en NIST IR 8354 que los bloqueadores de escritura no garantizan que no se produzca ningún cambio en el soporte; por eso se ensayan antes de ponerlos delante de una evidencia, y por eso el hash se calcula igualmente.

Cuando un ordenador accede a un disco duro, el sistema operativo puede realizar escrituras automáticas: actualizar fechas de acceso, escribir archivos temporales, o modificar estructuras del sistema de archivos. Estas modificaciones, aunque mínimas, pueden invalidar la evidencia ante un tribunal al romper la cadena de custodia.

El write blocker actúa como barrera física o lógica, interceptando y bloqueando cualquier comando de escritura mientras permite el flujo normal de lectura de datos. Es un componente fundamental del kit de cualquier perito informático.

Tipos de Write Blocker

Write Blocker Hardware

Los bloqueadores hardware son dispositivos físicos que se interponen entre el disco de evidencia y el ordenador forense:

Características:

• Bloqueo a nivel eléctrico/de señal
• Independiente del sistema operativo
• No depende de software que pueda fallar
• Con informe de ensayo publicado por el CFTT para el modelo y la versión de firmware concretos

Tipos de conectores:

Fabricantes, y a quién pertenecen hoy —dato útil para localizar documentación y repuestos; en el dictamen se consigna el fabricante y modelo que figuran en el equipo, que es lo que pide NIST SP 800-86, no el dueño corporativo actual:

La regla de fondo: en un dictamen, el instrumental se identifica por modelo y número de serie, no por marca. Una marca puede cambiar de dueño o coincidir con un producto ajeno, y el número de serie es lo que permite a un tercero saber exactamente qué se usó.

Write Blocker Software

Los bloqueadores software utilizan el sistema operativo para impedir escrituras:

Método en Linux (usado en CAINE):

## Activar modo solo lectura
sudo blockdev --setro /dev/sdb

## Verificar estado
blockdev --getro /dev/sdb
## Resultado: 1 = solo lectura

## Desactivar: NO sobre un disco de evidencia. Solo tiene sentido en discos de trabajo
## o de destino. Que exista este comando es lo que hace el bloqueo por software REVERSIBLE
## —no lo que le quita la condición de bloqueo: SWGDE y el propio NIST reconocen la
## categoría «software write block» y publican ensayos de ella.
sudo blockdev --setrw /dev/sdX

Método en Windows:

• Políticas de grupo para deshabilitar escritura en USB
• Herramientas como USB Write Blocker (software libre)
• Modificación del registro de Windows

Ventajas software:

• Coste cero o muy bajo
• No requiere hardware adicional
• Flexible y configurable

Desventajas software:

• Depende del correcto funcionamiento del SO
• Puede ser desactivado accidentalmente
• Su eficacia depende de la configuración concreta, que hay que ensayar y documentar

¿Por qué es necesario el Write Blocker?

Escrituras automáticas del sistema operativo

Cuando conectas un disco a un ordenador, el SO puede modificarlo automáticamente:

Windows:

• Actualiza la fecha de último acceso de archivos
• Escribe archivos temporales
• Modifica la MFT de NTFS
• Asigna letras de unidad (escribe en registro)
• Windows Defender puede escanear y marcar archivos

macOS:

• Crea carpetas .Spotlight-V100 (indexación)
• Genera .DS_Store en cada carpeta accedida
• Escribe .Trashes
• Actualiza timestamps

Linux (sin protección):

• Actualiza atime (tiempo de acceso)
• Puede escribir journal si monta ext4

Impacto en la evidencia

Una sola escritura puede:

1. Cambiar hashes: El hash MD5/SHA256 del disco cambia
2. Invalidar la prueba: La defensa puede argumentar manipulación
3. Romper cadena de custodia: No se puede demostrar integridad
4. Afectar timestamps: Altera líneas temporales de investigación
5. Sobrescribir datos borrados: Destruye evidencia recuperable

Por qué importa acreditarlo en el informe

No basta con haber usado un bloqueador de escritura: hay que poder demostrarlo. Si el informe no documenta el modelo empleado, el momento de su conexión y el hash calculado antes y después de la adquisición, la contraparte puede sostener que el soporte original se montó en modo lectura-escritura y que los datos pudieron alterarse durante la copia. Es una objeción difícil de rebatir a posteriori, porque lo que falta es el registro de un acto que ya pasó.

Uso correcto del Write Blocker Hardware

Write Blocker Software con CAINE Linux

CAINE Linux implementa protección por software a múltiples niveles:

Política de montaje

CAINE no monta automáticamente ningún disco. El usuario debe montar explícitamente y por defecto se monta en solo lectura.

Herramienta Mounter

El Mounter de CAINE proporciona control visual:

┌─────────────────────────────────────────────────────────────┐
│                     CAINE Mounter                           │
├─────────────────────────────────────────────────────────────┤
│ Device     │ Size   │ Status              │ Action         │
├────────────┼────────┼─────────────────────┼────────────────┤
│ /dev/sda   │ 500GB  │ 🔒 Read-Only        │ [Unmount]      │
│ /dev/sdb   │ 1TB    │ 🔒 Read-Only        │ [Unmount]      │
│ /dev/sdc   │ 32GB   │ ○ Not mounted       │ [Mount RO]     │
└─────────────────────────────────────────────────────────────┘

Bloqueo a nivel de kernel

## CAINE ejecuta automáticamente al detectar discos:
blockdev --setro /dev/sdX

## Comprobar el flag en todos los dispositivos de bloque, incluidos NVMe.
## Ojo: /dev/sd? sólo casa con una letra y deja fuera /dev/sdaa y toda la familia nvme.
for disk in $(lsblk -dno PATH); do
    echo "$disk: $(blockdev --getro "$disk")"
done

Verificación de integridad

Antes de cualquier operación forense en CAINE:

1. Abrir Mounter
2. Verificar que el disco de evidencia muestra 🔒 (candado cerrado)
3. Si muestra 🔓 (candado abierto), no proceder hasta corregir
4. Documentar el estado con captura de pantalla

Caso práctico: Adquisición con write blocker

Situación: Se requiere adquirir el disco duro de un servidor implicado en un caso de acceso no autorizado a datos personales. La evidencia se usará en procedimiento penal.

Proceso con write blocker hardware:

Para qué sirve el acta: si la contraparte sostiene que el examen pudo alterar el soporte, el acta es lo que permite responder con hechos —qué equipo, con qué número de serie, ensayado cuándo, con qué resultado, y qué huella tenían el original y la copia—. No compra un desenlace: el tribunal valora el dictamen por sana crítica (art. 348 LEC). Lo que compra es la capacidad de contestar.

Certificaciones y estándares

NIST (National Institute of Standards and Technology)

NIST no certifica bloqueadores de escritura, y conviene saberlo antes de pedir un «write blocker certificado NIST», porque esa credencial no existe. Lo que hace el programa Computer Forensics Tool Testing (CFTT) es publicar especificaciones de ensayo y, sobre todo, informes de resultados por modelo y versión de firmware. La distinción no es de matiz: un informe dice que ese equipo con esa versión se comportó de determinada manera en determinadas pruebas, no que la marca esté homologada.

El propio NIST IR 8354 explica que el programa evita a propósito las palabras validation y verification y habla de tool testing, precisamente para no generar esa confusión.

Los informes de CFTT para bloqueadores de hardware comprueban, por interfaz y por comando:

• que los comandos de escritura no alcanzan el soporte y los sectores quedan sin cambios,
• que las operaciones de lectura pasan sin alteración,
• y qué ocurre con los comandos que el puente no reconoce.

La publicación NIST SP 800-101 que a veces se cita aquí no trata de discos: su título original es Guidelines on Cell Phone Forensics, fue retirada el 15 de mayo de 2014 y su revisión vigente es SP 800-101 Rev. 1, Guidelines on Mobile Device Forensics. Para adquisición de discos la referencia es SP 800-86.

ISO 27037

La norma ISO/IEC 27037:2012 exige que los procesos de identificación, recogida, adquisición y preservación se hayan validado antes de emplearlos sobre evidencia, y que la adquisición se documente de forma que un tercero pueda repetirla. No prescribe el bloqueo de escritura por su nombre ni impone un dispositivo concreto: fija el resultado —que la evidencia no se altere y que pueda demostrarse— y deja la técnica al perito.

Implicaciones legales en España

No existe legislación española que mencione los bloqueadores de escritura. Lo que hay es el art. 348 LEC, que somete el dictamen a la sana crítica del tribunal, valorado caso por caso. De ahí se sigue algo distinto de «los tribunales prefieren hardware»:

• Lo que se examina es si el método está documentado y es reproducible, no la clase de bloqueador.
• Un bloqueo no acreditado es una puerta abierta a la impugnación: la contraparte no tiene que probar que hubo alteración, le basta con señalar que no puede descartarse.
• Por eso lo que sostiene el trabajo es el registro: modelo, número de serie y versión del equipo, ensayo previo documentado y hash de origen y de copia.

Comparativa: Hardware vs Software

Cuándo usar cada tipo

Write Blocker Hardware:

• Casos penales graves
• Evidencia de alto valor
• Cuando la defensa es agresiva
• Laboratorios forenses profesionales
• Requisito del cliente

Write Blocker Software:

• Investigaciones internas
• Análisis preliminar
• Presupuesto limitado
• Casos civiles de menor cuantía
• Formación y práctica

Relación con otros conceptos

• Cadena de custodia: El write blocker garantiza la no modificación
• Imagen forense: Se crea desde un disco protegido por write blocker
• CAINE Linux: Implementa write blocker por software
• Guymager: Se usa junto con write blocker para adquisición
• ISO 27037: Estándar que recomienda uso de write blockers

Conclusión

El write blocker es una pieza básica del trabajo forense, en su forma de puente físico o de bloqueo por software en una distribución especializada. Lo que aporta no es una garantía absoluta —el propio NIST advierte de que no la hay— sino algo más útil en sede judicial: la capacidad de responder. Si la contraparte sostiene que el examen pudo alterar el soporte, un bloqueo ensayado, documentado y con su huella calculada permite contestar con hechos. Sin ese registro no hay nada que oponer, y la duda se queda en el expediente.

Para el perito informático, el write blocker no es solo una herramienta técnica, sino una salvaguarda legal que protege tanto la integridad de la evidencia como la credibilidad profesional ante tribunales.

Referencias y fuentes

1. NIST — Computer Forensics Tool Testing (CFTT), programa que somete a prueba bloqueadores de escritura de hardware y de software y publica los informes por modelo y versión de firmware. Es la referencia para saber cómo se comportó un equipo concreto en las pruebas —el programa habla de tool testing, no de validación ni de certificación—. nist.gov · CFTT · Hardware Write Block · Software Write Block
2. NIST SP 800-86, Guide to Integrating Forensic Techniques into Incident Response — preservación del medio original durante la adquisición. nvlpubs.nist.gov
3. ISO/IEC 27037:2012 — identificación, recogida, adquisición y preservación de evidencia digital. iso.org
4. blockdev(8) — página de manual del comando: --setro marca el dispositivo como solo lectura y --setrw revierte esa marca. man7.org

El análisis lo firma Jonathan Izquierdo, perito informático forense.

Última actualización: Enero 2026 Categoría: Herramientas Código: HER-014