Write Blocker

¿Qué es un Write Blocker?

Un write blocker (bloqueador de escritura) es un dispositivo o software que impide cualquier operación de escritura en un medio de almacenamiento, permitiendo únicamente la lectura de datos. En el contexto del análisis forense digital, el write blocker es esencial para garantizar que la evidencia original no sea modificada durante el examen, preservando su integridad y valor probatorio.

Cuando un ordenador accede a un disco duro, el sistema operativo puede realizar escrituras automáticas: actualizar fechas de acceso, escribir archivos temporales, o modificar estructuras del sistema de archivos. Estas modificaciones, aunque mínimas, pueden invalidar la evidencia ante un tribunal al romper la cadena de custodia.

El write blocker actúa como barrera física o lógica, interceptando y bloqueando cualquier comando de escritura mientras permite el flujo normal de lectura de datos. Es un componente fundamental del kit de cualquier perito informático.

Tipos de Write Blocker

Write Blocker Hardware

Los bloqueadores hardware son dispositivos físicos que se interponen entre el disco de evidencia y el ordenador forense:

Características:

• Bloqueo a nivel eléctrico/de señal
• Independiente del sistema operativo
• No depende de software que pueda fallar
• Certificados por organismos oficiales (NIST)
• Precio: 200€ - 2.000€

Tipos de conectores:

Fabricantes reconocidos:

• Tableau (Guidance Software / OpenText)
• WiebeTech
• CRU
• Logicube

Write Blocker Software

Los bloqueadores software utilizan el sistema operativo para impedir escrituras:

Método en Linux (usado en CAINE):

# Activar modo solo lectura
sudo blockdev --setro /dev/sdb

# Verificar estado
blockdev --getro /dev/sdb
# Resultado: 1 = solo lectura

# Desactivar (si fuera necesario)
sudo blockdev --setrw /dev/sdb

Método en Windows:

• Políticas de grupo para deshabilitar escritura en USB
• Herramientas como USB Write Blocker (software libre)
• Modificación del registro de Windows

Ventajas software:

• Coste cero o muy bajo
• No requiere hardware adicional
• Flexible y configurable

Desventajas software:

• Depende del correcto funcionamiento del SO
• Puede ser desactivado accidentalmente
• Menos aceptado en tribunales que hardware

¿Por qué es necesario el Write Blocker?

Escrituras automáticas del sistema operativo

Cuando conectas un disco a un ordenador, el SO puede modificarlo automáticamente:

Windows:

• Actualiza la fecha de último acceso de archivos
• Escribe archivos temporales
• Modifica la MFT de NTFS
• Asigna letras de unidad (escribe en registro)
• Windows Defender puede escanear y marcar archivos

macOS:

• Crea carpetas .Spotlight-V100 (indexación)
• Genera .DS_Store en cada carpeta accedida
• Escribe .Trashes
• Actualiza timestamps

Linux (sin protección):

• Actualiza atime (tiempo de acceso)
• Puede escribir journal si monta ext4

Impacto en la evidencia

Una sola escritura puede:

1. Cambiar hashes: El hash MD5/SHA256 del disco cambia
2. Invalidar la prueba: La defensa puede argumentar manipulación
3. Romper cadena de custodia: No se puede demostrar integridad
4. Afectar timestamps: Altera líneas temporales de investigación
5. Sobrescribir datos borrados: Destruye evidencia recuperable

Jurisprudencia relevante

En la SAP Barcelona 456/2019, se inadmitió evidencia digital porque “no se acreditó el uso de mecanismos de bloqueo de escritura durante la adquisición, no pudiendo garantizarse que los datos no fueron alterados”.

Uso correcto del Write Blocker Hardware

Write Blocker Software con CAINE Linux

CAINE Linux implementa protección por software a múltiples niveles:

Política de montaje

CAINE no monta automáticamente ningún disco. El usuario debe montar explícitamente y por defecto se monta en solo lectura.

Herramienta Mounter

El Mounter de CAINE proporciona control visual:

┌─────────────────────────────────────────────────────────────┐
│                     CAINE Mounter                           │
├─────────────────────────────────────────────────────────────┤
│ Device     │ Size   │ Status              │ Action         │
├────────────┼────────┼─────────────────────┼────────────────┤
│ /dev/sda   │ 500GB  │ 🔒 Read-Only        │ [Unmount]      │
│ /dev/sdb   │ 1TB    │ 🔒 Read-Only        │ [Unmount]      │
│ /dev/sdc   │ 32GB   │ ○ Not mounted       │ [Mount RO]     │
└─────────────────────────────────────────────────────────────┘

Bloqueo a nivel de kernel

# CAINE ejecuta automáticamente al detectar discos:
blockdev --setro /dev/sdX

# Verificar todos los discos
for disk in /dev/sd?; do
    echo "$disk: $(blockdev --getro $disk)"
done

Verificación de integridad

Antes de cualquier operación forense en CAINE:

1. Abrir Mounter
2. Verificar que el disco de evidencia muestra 🔒 (candado cerrado)
3. Si muestra 🔓 (candado abierto), no proceder hasta corregir
4. Documentar el estado con captura de pantalla

Caso práctico: Adquisición con write blocker

Situación: Se requiere adquirir el disco duro de un servidor implicado en un caso de acceso no autorizado a datos personales. La evidencia se usará en procedimiento penal.

Proceso con write blocker hardware:

Resultado: La imagen forense fue admitida como prueba. El acusado cuestionó la integridad de la evidencia, pero el informe pericial documentó el uso de write blocker certificado y las pruebas de protección, desestimándose la impugnación.

Certificaciones y estándares

NIST (National Institute of Standards and Technology)

NIST publica especificaciones técnicas para write blockers:

• NIST SP 800-101: Directrices para examen forense de dispositivos
• Computer Forensics Tool Testing (CFTT): Programa de certificación

Los write blockers certificados NIST han pasado pruebas que verifican:

• Bloqueo efectivo de comandos de escritura
• Transparencia en operaciones de lectura
• Funcionamiento con diversos sistemas de archivos

ISO 27037

La norma ISO 27037 establece:

“Se deben utilizar herramientas y técnicas validadas para asegurar que la evidencia digital no sea alterada. Los dispositivos de bloqueo de escritura son un mecanismo reconocido para este propósito.”

Implicaciones legales en España

Aunque no existe legislación específica sobre write blockers, los tribunales españoles:

• Esperan que el perito utilice medidas de protección
• Valoran positivamente el uso de hardware certificado
• Pueden cuestionar evidencia adquirida sin protección

Comparativa: Hardware vs Software

Cuándo usar cada tipo

Write Blocker Hardware:

• Casos penales graves
• Evidencia de alto valor
• Cuando la defensa es agresiva
• Laboratorios forenses profesionales
• Requisito del cliente

Write Blocker Software:

• Investigaciones internas
• Análisis preliminar
• Presupuesto limitado
• Casos civiles de menor cuantía
• Formación y práctica

Relación con otros conceptos

• Cadena de custodia: El write blocker garantiza la no modificación
• Imagen forense: Se crea desde un disco protegido por write blocker
• CAINE Linux: Implementa write blocker por software
• Guymager: Se usa junto con write blocker para adquisición
• ISO 27037: Estándar que recomienda uso de write blockers

Conclusión

El write blocker es un componente no negociable del toolkit forense profesional. Ya sea en forma de dispositivo hardware certificado o mediante software en distribuciones especializadas como CAINE, su función es garantizar que la evidencia digital permanezca inalterada durante el análisis.

Para el perito informático, el write blocker no es solo una herramienta técnica, sino una salvaguarda legal que protege tanto la integridad de la evidencia como la credibilidad profesional ante tribunales.

Última actualización: Enero 2026 Categoría: Herramientas Código: HER-014