Hoe bewijst u dat een EXE-bestand niet is gewijzigd?

Het bewijzen dat een exe-bestand niet is aangepast is een vraagstuk dat opduikt in uiteenlopende scenario's, van digitale forensische onderzoeken en compliance-audits tot softwareontwikkeling en geschillen over intellectueel eigendom. Een uitvoerbaar bestand is per definitie gevoelig materiaal: een onzichtbare wijziging in de binaire code kan het verschil betekenen tussen een veilige applicatie en een geïnfecteerde variant met malware. Wanneer je wilt aantonen dat een specifiek exe-bestand in originele, ongewijzigde staat verkeert, volstaat het niet om simpelweg te stellen dat het bestand nog werkt of dat de bestandsgrootte gelijk is gebleven. Wat je nodig hebt is een reproduceerbare, wiskundig onderbouwde vergelijking tussen de huidige staat van het bestand en een gedocumenteerde eerdere staat. Dit proces wordt file integrity verification genoemd en het vormt de hoeksteen van digitale bewijsvoering rondom software. In de kern draait dit om cryptografische hashing, metadata-analyse en degelijke documentatie, waarbij FilesAudit als online platform een rol kan spelen door deze technische stappen te automatiseren en de resultaten vast te leggen in een professioneel rapport.

De fundamentele methode om te bewijzen dat een exe-bestand niet is aangepast, is het berekenen van een cryptografische hashwaarde. Een hashfunctie, zoals SHA-256, neemt de volledige binaire inhoud van een bestand en reduceert deze tot een unieke, vaste reeks tekens, de zogeheten vingerafdruk of fingerprint. Zelfs de kleinste wijziging in het bestand, bijvoorbeeld het wijzigen van een enkele bit in de broncode, het toevoegen van een verborgen payload of het aanpassen van een compilatieparameter, resulteert in een volledig andere hashwaarde. Door de SHA-256-hash van het bestand op tijdstip A te documenteren en deze later op tijdstip B opnieuw te berekenen, kun je met absolute wiskundige zekerheid vaststellen of de binaire inhoud identiek is gebleven. Als de hashes overeenkomen, is het bestand op bitniveau niet aangepast. MD5 werd vroeger veel gebruikt voor dit doel, maar tegenwoordig wordt sterk geadviseerd om minimaal SHA-256 te gebruiken omdat MD5 kwetsbaar is voor zogenaamde collision attacks, waarbij twee verschillende bestanden dezelfde hashwaarde kunnen genereren. Daarom is het in forensische context gebruikelijk om meerdere hashes tegelijk te genereren en te vergelijken, bijvoorbeeld SHA-256 voor de ware integriteitscontrole en MD5 voor achterwaartse compatibiliteit met oudere systemen of referentiedatabases.

Naast de binaire integriteit die hashes aantonen, speelt metadata-extractie een cruciale rol in het verhaal rondom een exe-bestand. Metadata is de data over de data, en bij uitvoerbare bestanden kan deze informatie zeer uitgebreid zijn. Denk aan de aanmaakdatum, de datum van laatste schrijfactie, de bestandsgrootte, maar ook specifieke eigenschappen die in de Portable Executable (PE) header zijn opgeslagen. Hierin vind je vaak de compilatietimestamp, de gebruikte compiler, de interne bestandsversie, bedrijfsnaam, productnaam en copyrightvermeldingen. Door deze metadata grondig te analyseren, kun je eventuele anomalieën opsporen. Als een bestand beweert in juni te zijn gecompileerd, maar de bestandssysteemtimestamp van de laatste wijziging pas in augustus laat zien, is dat een technische indicatie dat er iets met het bestand is gebeurd na de compilatie. Het is belangrijk om hier het onderscheid te benadrukken: metadata en hashes kunnen technisch aantonen dat een bestand identiek is gebleven of dat bepaalde eigenschappen consistent zijn met de compilatietijd, maar zij leveren geen juridische uitspraak op over de authenticiteit in de zin van jurisprudentie. Wat zij wel doen, is overweldigend sterke technisch bewijs leveren dat in een juridische of audit-context kan worden gebruikt ter onderbouwing van een bredere zaak.

In de praktijk verloopt het proces van integriteitscontrole en bewijsvoering in een paar duidelijke stappen. Allereerst is er het moment van baseline-documented: het moment waarop je de oorspronkelijke staat van het exe-bestand veiligstelt, idealiter direct na de build of na een officiële download. Op dat moment bereken je de SHA-256 en MD5 hashes en exporteer je de metadata. Vervolgens is er het moment van verificatie, bijvoorbeeld weken, maanden of jaren later, wanneer er een vermoeden is van sabotage of wanneer een auditor om bewijs vraagt. Op dat moment bereken je opnieuw de hashes van het bestand in zijn huidige staat. Als deze nieuwe hash exact overeenkomt met de gedocumenteerde hash uit het verleden, is het formele technische bewijs geleverd dat het bestand niet is aangepast. Een platform als FilesAudit kan deze workflow aanzienlijk stroomlijnen, omdat het niet alleen de zware rekenwerkzaamheden voor je uitvoert, maar de uitkomsten ook direct koppelt aan een datum en tijd, en verpakt in een gestandaardiseerde PDF die geschikt is voor archivering en formele rapportage.

Het genereren van een PDF-rapport is een essentieel onderdeel van het daadwerkelijk "bewijzen" van beweringen. Een losse hashwaarde op een computerscherm is immers vluchtig en lastig te presenteren in een formele setting zoals een rechtbank, een auditingstraject of een rapport aan een opdrachtgever. Een professioneel rapport van FilesAudit bevat niet alleen de berekende SHA-256 en MD5 waarden, maar_documenteert ook de exacte bestandsgrootte, de extractie van de PE-header metadata, en de timestamp van het moment waarop de analyse is uitgevoerd. Dit creëert een onafhankelijke registratie van de staat van het bestand op een specifiek moment. Als je op zoek bent naar meer theoretische achtergrondinformatie over dit onderwerp, biedt het FilesAudit blog diverse artikelen die dieper ingaan op de praktijk van cryptografisch bewijs en digitaal forensisch onderzoek. Het documenteren van deze stappen in een onwrikbaar formaat zoals PDF is wat een technische observatie omzet in een stukje bewijsmateriaal dat kan worden meegestuurd in contracten, softwareleveranties of forensische dossiers, precies zoals ook beschreven wordt in artikelen zoals over het online genereren van hash waarden als PDF.

Het is cruciaal om de grenzen van deze methode te begrijpen, vooral wanneer het doel is om te bewijzen dat een exe-bestand niet is aangepast. Cryptografische hashes zijn deterministisch: dezelfde invoer levert altijd dezelfde uitvoer op, ongeacht het moment, de machine of de gebruiker die de functie uitvoert. Dit betekent dat de overeenkomst van hashes een volstrekt objectieve vaststelling is van binaire identiteit. Echter, het bewijst alleen dat het bestand niet is gewijzigd s het moment dat de referentie-hash is vastgelegd. Als de referentie-hash niet van de originele ontwikkelaar afkomstig is, of als er geen baseline is vastgelegd direct na de compilatie, bewijs je slechts dat het bestand sinds dat onbekende moment niet is veranderd. Het stelt je niet in staat om terug te redeneren naar het moment van creatie, tenzij je de hash kunt vergelijken met een officieel archief van de ontwikkelaar. Een ander valkuil is dat file metadata, zoals de aanmaakdatum in Windows, relatief eenvoudig te manipuleren is met basale tools. Juist daarom is de combinatie van cryptografische hashing met diepgaande metadata-analyse van de PE-headers zo belangrijk. De interne compilatietimestamp in een exe-bestand is ingebed tijdens het bouwen van de software en kan niet zonder meer worden gewijzigd zonder dat het bestand opnieuw wordt gecompileerd, tenzij men bereid is de structuur handmatig te editten, wat vrijwel altijd resulteert in een wijziging van de SHA-256 hash. De combinatie van een overeenkomende hash en consistente interne metadata vormt samen een very strong indication of non-tampering.

Naast het gebruik voor integriteitscontroles van afzonderlijke exe-bestanden, komt het scenario van bulkverificatie vaak voor bij bedrijven die hun software-archief willen controleren of bij security researchers die een grotere set binaries analyseren. In plaats van elk bestand handmatig te moeten uploaden of lokaal te moeten analyseren, kan een geautomatiseerde workflow uitkomst bieden. De Desktop App van FilesAudit is specifiek ontwikkeld voor dit soort scenario's, waarbij gebruikers onbeperkt lokaal bestanden kunnen analyseren zonder de beperkingen van een browserinterface of uploadlimieten. Deze lokale verwerking heeft ook een belangrijk forensisch voordeel: het bestand verlaat de machine niet, wat keten-van-bewijs intact houdt in situaties waarin vertrouwelijkheid van de software een rol speelt. Het is belangrijk om te weten dat uitgebreidheid van de analyse niet beperkt blijft tot uitvoerbare bestanden; het platform ondersteunt meer dan 200 verschillende formaten, wat relevant is in complexe onderzoeken waarin bijvoorbeeld ook installatiebestanden moeten worden vergeleken, zoals beschreven in de gids over ZIP-bestanden die vaak als container voor exe-bestanden dienen.

Tot slot is het van groot belang om de verwachtingen van wat een bestandsanalyse kan bewijzen nauwkeurig af te bakenen, vooral in juridische contexten. Wanneer je als advocaat, journalist of auditor stelt dat een exe-bestand "niet is aangepast", is dat in de technische zin een bewering over de binaire integriteit. FilesAudit kan door middel van hashing onomstotelijk aantonen dat de bytes van het bestand exact overeenkomen met een eerdere gedocumenteerde staat. Het platform kan echter niet uit zichzelf bepalen wie de originele auteur is van het bestand, of het bestand vrij is van logische fouten, of het bestand een legitieme distributie is van een bepaalde fabrikant, noch of het bestand in juridische zin authentiek is. Wat het wel doet, is de technische grondslag leggen waarop een expert, jurist of auditor verder kan bouwen. Het levert het objectieve, wiskundig correcte bewijs van bestandsintegriteit dat nodig is om de vraag of een exe-bestand al dan niet is aangepast met feiten te beantwoorden in plaats van met aannames. Door consistent gebruik van SHA-256 hashing, kritische metadata-extractie en gestandaardiseerde PDF-rapportage ontstaat een rob