Metadane jako zabójca opsecu: EXIF, pola PDF i ślady w dokumentach, które zdemaskowały prawdziwe tożsamości
Pliki pamiętają więcej niż swoją zawartość. Fotografia niesie model aparatu, znacznik czasu i często współrzędne. PDF niesie nazwę narzędzia, które go wyprodukował, a czasem imię osoby, która go napisała. Dokument biurowy może nieść całą historię powstawania. To wciąż wypływa w śledztwach, bo ludzie, których zidentyfikowało, zakładali, że ślad już zniknął. Projekt Surveillance Self-Defense EFF opisuje metadane jako w istocie wszystko poza treścią komunikacji i zauważa, że policja w wielu krajach może zdobyć je łatwiej niż samą treść.
Gdzie kryje się ślad
W zdjęciach blok EXIF może zawierać dane aparatu i obiektywu, ustawienia ekspozycji, znacznik czasu wykonania, a gdy usługi lokalizacji są włączone, współrzędne GPS dokładne do kilku metrów. Telefony wbudowują je domyślnie w wielu konfiguracjach, a aplikacje aparatu sygnalizują to z różną jasnością. Pliki PDF zapisują zwykle ciąg producenta, znaczniki czasu, a przy eksporcie z procesora tekstu — pole autora, nazywające osobę i aplikację stojącą za dokumentem. Procesory tekstu dodają więcej: liczniki rewizji, całkowity czas edycji, nazwy szablonów i pole ostatnio zmodyfikowane przez, aktualizowane przy każdym zapisie. Nawet zrzut ekranu, który wyrzuca EXIF oryginalnego obrazu, wbudowuje własne artefakty: zegarek w rogu, tytuły okien, podglądy powiadomień, nazwy użytkowników w kadrze.Trzy sprawy rozstrzygnięte przez metadane plików
Najlepiej udokumentowany przykład to aresztowanie w 2012 roku Higinia O. Ochoi III, domniemanego członka odłamu Anonymous o nazwie CabinCr3w, publikującego jako AnonW0rmer. Opublikował na Twitterze zdjęcie dziewczyny z kpiącym napisem obok skradzionych danych służb, najwyraźniej wierząc, że obraz nie zawiera nic identyfikującego. Blok EXIF zdjęcia nadal przechowywał współrzędne GPS: według relacji EFF o zarzutach FBI dane umieszczały obraz przy domu w Wantirna South, przedmieściu Melbourne w Australii. Agenci dopasowali kobietę do własnych zdjęć Ochoi z Facebooka i aresztowali go w marcu, jak opowiada rekonstrukcja CSO Online.Problem dla kogoś, kto próbuje zatrzeć ślady, polega na tym, że obrazy mają wbudowane dane, które powiedzą śledczemu, gdzie i kiedy zostały wykonane.Metadane dokumentów rozstrzygają sprawy od znacznie dawniejszych czasów. W 2005 roku zabójca BTK — Dennis Rader, który przez trzy dekady kpił z policji i mediów w Wichita — odpowiedział na ogłoszenie w gazecie pytające, czy dyskietkę da się wyśledzić, że się nie da, a następnie wysłał jedną do telewizji KAKE. Dyskietka zawierała pliki Word, których wbudowane metadane wskazywały na komputer kościoła Christ Lutheran, gdzie Rader był przewodniczącym rady. Funkcjonariusze pojawili się tam z nakazem i aresztowali go 25 lutego 2005; przyznał się do winy i odsiaduje dziesięć kolejnych wyroków dożywocia. CBS News poinformowała o śladzie do kościoła w kilka dni po aresztowaniu. Ten sam wzór przewija się przez egzekwowanie prawa w darknecie. Gdy Wall Street Market runął w 2019 roku, komunikat amerykańskiego Departamentu Sprawiedliwości odnotował, że administratorzy używali VPN-ów do dostępu do komputerów marketu, ale nieudane połączenie VPN ujawniło adres IP administratora, a moderator znany jako Med3l1n został powiązany z realną osobą częściowo dzięki postom i obrazkom z forów sprzed lat. To błędy infrastruktury i artefaktów, nie wpadki EXIF, ale należą do tej samej rodziny: ślady przeżywające pseudonim. Cały łańcuch opisaliśmy w naszym tekście o tym, jak drobne błędy opsecu zdemaskowały administratorów Wall Street Market.