Les métadonnées, tueuses de l'opsec : EXIF, champs PDF et traces documentaires qui ont démasqué de vraies identités
Les fichiers se souviennent de plus que leur contenu. Une photographie porte le modèle d'appareil, un horodatage et souvent des coordonnées. Un PDF porte le nom de l'outil qui l'a produit et parfois celui de la personne qui l'a rédigé. Un document bureautique peut porter toute une histoire de rédaction. Si cela continue d'apparaître dans des enquêtes, c'est que les personnes ainsi identifiées pensaient que la trace avait disparu. Le projet Surveillance Self-Defense de l'EFF décrit les métadonnées comme essentiellement tout sauf le contenu d'une communication, et note que la police dans de nombreux pays peut les obtenir plus facilement que le contenu lui-même.
Où se cache la trace
Dans les photos, le bloc EXIF peut inclure les données d'appareil et d'objectif, les réglages d'exposition, un horodatage de prise de vue et, quand les services de localisation sont actifs, des coordonnées GPS précises à quelques mètres. Les téléphones les intègrent par défaut dans bien des configurations, et les applications photo ne le signalent pas toutes avec la même clarté. Les fichiers PDF enregistrent généralement une chaîne de producteur, des horodatages et, lors d'un export depuis un traitement de texte, un champ d'auteur nommant la personne et l'application derrière le document. Les traitements de texte en ajoutent davantage : compteurs de révisions, temps d'édition total, noms de modèles et un champ « dernière modification par » qui se met à jour à chaque enregistrement. Même une capture d'écran, qui abandonne l'EXIF de l'image d'origine, réintègre ses propres artefacts : l'horloge dans le coin, les titres de fenêtres, les aperçus de notifications, les identifiants dans le cadre.Trois affaires qui se sont jouées sur les métadonnées de fichiers
L'exemple le mieux documenté reste l'arrestation en 2012 de Higinio O. Ochoa III, présumé membre de la branche d'Anonymous CabinCr3w, qui publiait sous le pseudo AnonW0rmer. Il avait tweeté une photo de sa compagne brandissant une pancarte moqueuse à côté de données policières volées, croyant apparemment que l'image ne révélait rien. Le bloc EXIF de la photo contenait toujours des coordonnées GPS : selon le récit de l'EFF à propos de la plainte du FBI, les données situaient la photo dans une maison de Wantirna South, une banlieue de Melbourne, en Australie. Les agents ont rapproché la femme des photos Facebook d'Ochoa lui-même et l'ont arrêté en mars, comme le retrace la reconstruction de CSO Online.Le problème, pour quelqu'un qui cherche à effacer ses traces, c'est que les images embarquent des données qui indiquent à un enquêteur où et quand elles ont été prises.Les métadonnées de documents sont décisives depuis bien plus longtemps. En 2005, le tueur BTK — Dennis Rader, qui narguait depuis trois décennies la police et les médias de Wichita — a répondu à une petite annonce demandant si une disquette pouvait être tracée, en affirmant que non, puis en a envoyé une à la chaîne de télévision KAKE. La disquette contenait des fichiers Word dont les métadonnées pointaient vers un ordinateur de la Christ Lutheran Church, dont Rader était président du conseil. Les officiers s'y sont présentés avec un mandat et l'ont arrêté le 25 février 2005 ; il a avoué et purge dix peines de prison à vie consécutives. CBS News a relaté la trace vers l'église dans les jours suivant l'arrestation. Le même schéma traverse la répression sur le darknet. Quand Wall Street Market est tombé en 2019, le communiqué du ministère américain de la Justice notait que les administrateurs utilisaient des VPN pour accéder aux ordinateurs du marché, mais qu'une connexion VPN défaillante avait exposé l'adresse IP d'un administrateur, et qu'un modérateur connu sous le nom de Med3l1n avait été relié à une personne réelle en partie grâce à des messages de forum et des photos postés des années plus tôt. Ce sont des erreurs d'infrastructure et d'artefacts plutôt que des lapsus EXIF, mais elles appartiennent à la même famille : des traces qui survivent au pseudonyme. Nous avons retracé toute la chaîne dans notre article sur la façon dont de petites erreurs d'opsec ont démasqué les administrateurs de Wall Street Market.