Metadata als opsec-doder: EXIF, PDF-velden en documentsporen die echte identiteiten ontmaskerden
Bestanden onthouden meer dan hun inhoud. Een foto draagt het cameramodel, een tijdstempel en vaak coördinaten. Een PDF draagt de naam van de tool die hem produceerde en soms die van de persoon die hem schreef. Een kantoordocument kan een hele ontstaansgeschiedenis meedragen. Dat dit telkens weer opduikt in onderzoeken komt doordat de mensen die het identificeerde ervan uitgingen dat de sporen allang verdwenen waren. Het project Surveillance Self-Defense van EFF beschrijft metadata als in wezen alles behalve de inhoud van een communicatie, en stelt dat politie in veel landen er makkelijker bij kan dan bij de inhoud zelf.
Waar het spoor zich verbergt
In foto's kan het EXIF-blok cameragegevens en lensinformatie, belichtingsinstellingen, een tijdstempel van de opname en, wanneer locatiediensten aan staan, GPS-coördinaten tot op enkele meters nauwkeurig bevatten. Telefoons embedden ze standaard in veel configuraties, en camera-apps maken er niet allemaal even duidelijk werk van dat te melden. PDF-bestanden leggen doorgaans een producent-string vast, tijdstempels en, bij export vanuit tekstverwerkers, een auteursveld dat de persoon en applicatie achter het document noemt. Tekstverwerkers voegen meer toe: revisietellers, totale bewerkingstijd, sjabloonamen en een veld laatst gewijzigd door dat bij elke opslag bijwerkt. Zelfs een screenshot, die de EXIF van de originele afbeelding weggooit, embedt opnieuw zijn eigen artefacten: de klok in de hoek, venstertitels, meldingsvoorbeelden, gebruikersnamen in beeld.Drie zaken die op bestandsmetadata draaiden
Het best gedocumenteerde voorbeeld blijft de arrestatie in 2012 van Higinio O. Ochoa III, vermoedelijk lid van de Anonymous-tak CabinCr3w, die postte onder de handle AnonW0rmer. Hij tweette een foto van zijn vriendin met een spottend bord naast gestolen politiegegevens, kennelijk in de veronderstelling dat het beeld niets herkenbaars bevatte. Het EXIF-blok van de foto bevatte nog steeds GPS-coördinaten: volgens EFF's verslag van de FBI-aangifte plaatsten de gegevens de foto in een huis in Wantirna South, een voorstad van Melbourne in Australië. Agenten koppelden de vrouw aan Ochoa's eigen Facebook-foto's en arresteerden hem in maart, zoals CSO Online's reconstructie vertelt.Het probleem voor iemand die zijn sporen wil wissen, is dat afbeeldingen met data zijn ingebed die een onderzoeker vertellen waar en wanneer ze zijn gemaakt.Documentmetadata zijn veel langer doorslaggevend. In 2005 antwoordde de BTK-moordenaar — Dennis Rader, die de politie en media van Wichita drie decennia had gepest — op een krantenadvertentie die vroeg of een diskette te traceren was, met de mededeling dat dat niet kon, en stuurde er vervolgens een naar het televisiestation KAKE. De diskette bevatte Word-bestanden waarvan de ingebouwde metadata wezen naar een computer van de Christ Lutheran Church, waar Rader voorzitter van de kerkenraad was. Agenten verschenen daar met een huiszoekingsbevel en arresteerden hem op 25 februari 2005; hij bekende en zit tien opeenvolgende levenslange straffen uit. CBS News berichtte over het spoor naar de kerk binnen enkele dagen na de arrestatie. Hetzelfde patroon loopt door de handhaving op de darknet. Toen Wall Street Market in 2019 viel, meldde het persbericht van het Amerikaanse ministerie van Justitie dat de beheerders VPN's gebruikten om bij de computers van de markt te komen, maar dat een mislukte VPN-verbinding het IP-adres van een beheerder blootlegde, en dat een moderator bekend als Med3l1n deels via jarenoude forumposts en foto's aan een echte persoon werd gekoppeld. Dat zijn infrastructuur- en artefactfouten in plaats van EXIF-flaters, maar ze horen bij dezelfde familie: sporen die het pseudoniem overleven. De hele keten behandelden we in ons stuk over hoe kleine opsec-fouten de beheerders van Wall Street Market ontmaskerden.