Opsec'in katili olarak meta veriler: Gerçek kimlikleri açığa çıkaran EXIF, PDF alanları ve belge izleri
Dosyalar içeriklerinden fazlasını hatırlar. Bir fotoğraf kamera modelini, bir zaman damgasını ve çoğunlukla koordinatları taşır. Bir PDF onu üreten aracın adını, bazen de yazan kişinin adını taşır. Bir ofis belgesi tüm bir yazarlık geçmişini taşıyabilir. Bunların soruşturmalarda ortaya çıkmaya devam etmesinin nedeni, tanımladığı kişilerin izlerin çoktan gittiğini sanması. EFF'nin Surveillance Self-Defense projesi meta verileri bir iletişimin içeriği dışındaki her şey olarak tanımlar ve birçok ülkede polisin bunları içeriğin kendisinden daha kolay elde edebildiğine dikkat çeker.
İz nerede saklanır
Fotoğraflarda EXIF bloğu kamera ve lens verilerini, pozlama ayarlarını, çekim zaman damgasını ve konum servisleri açıksa birkaç metreye kadar hassas GPS koordinatlarını içerebilir. Telefonlar bunları birçok yapılandırmada varsayılan olarak gömer; kamera uygulamaları ise bunu farklı netlikte belirtir. PDF dosyaları tipik olarak bir üretici dizesi, zaman damgaları ve kelime işlemciden dışa aktarıldıysa belgenin arkasındaki kişiyi ve uygulamayı adlandıran bir yazar alanı kaydeder. Kelime işlemciler daha fazlasını ekler: revizyon sayaçları, toplam düzenleme süresi, şablon adları ve her kayıtta güncellenen bir son değiştiren alanı. Hatta orijinal görüntünün EXIF'ini atan bir ekran görüntüsü bile kendi artefaktlarını yeniden gömer: köşedeki saat, pencere başlıkları, bildirim önizlemeleri, kadrahtaki kullanıcı adları.Dosya meta verilerine takılan üç vaka
En iyi belgelenmiş örnek, AnonW0rmer takma adıyla paylaşım yapan Anonymous kolu CabinCr3w'nun iddia edilen üyesi Higinio O. Ochoa III'ün 2012 tarihli tutuklanması olmaya devam ediyor. Çalınmış kolluk verileri yanında, alaycı bir tabela tutan kız arkadaşının fotoğrafını paylaştı; görüntünün kimlik verisi taşımadığına inanıyor gibi görünüyordu. Fotoğrafın EXIF bloğu hâlâ GPS koordinatları tutuyordu: EFF'nin FBI şikâyeti üzerine aktardığına göre veriler, görüntüyü Avustralya'nın Melbourne banliyösü Wantirna South'daki bir eve yerleştiriyordu. Ajanlar kadındaki kişiyi Ochoa'nın kendi Facebook fotoğraflarıyla eşledi ve mart ayında onu tutukladı; CSO Online'ın yeniden kurgusu bu hikâyeyi anlatır.İzlerini örtmeye çalışan biri için sorun, görüntülerin bir araştırmacıya nerede ve ne zaman çekildiklerini söyleyecek verilerle gömülü gelmesidir.Belge meta verileri çok daha eskiden beri belirleyici. 2005'te BTK katili — Wichita polisi ve medyasıyla üç on yıl alay eden Dennis Rader — bir disketin izlenebilir olup olmadığını soran gazete ilanına izlenemeyeceği cevabını verdi ve sonra birini KAKE televizyonuna postaladı. Diskette, gömülü meta verileri Christ Lutheran Kilisesi'ndeki bir bilgisayara işaret eden Word dosyaları vardı; Rader orada kilise kurulu başkanıydı. Görevliler bir arama emriyle oraya geldi ve onu 25 Şubat 2005'te tutukladı; suçunu itiraf etti ve art arda on müebbet hapis cezasını çekiyor. CBS News, tutuklanmadan günler sonra kiliseye giden izi haber yaptı. Aynı örüntü darknet yaptırımında da sürüyor. Wall Street Market 2019'da düştüğünde, ABD Adalet Bakanlığı'nın bülteni yöneticilerin piyasanın bilgisayarlarına erişmek için VPN kullandığını ancak başarısız bir VPN bağlantısının bir yöneticinin IP adresini açığa çıkardığını, ayrıca Med3l1n adlı bir moderatörün kısmen yıllar önceki forum paylaşımları ve resimlerle gerçek bir kişiye bağlandığını not etti. Bunlar EXIF sürçmesi değil altyapı ve artefakt hataları, ama aynı ailedendir: takma addan uzun yaşayan izler. Tüm zinciri, küçük opsec hatalarının Wall Street Market yöneticilerini nasıl açığa çıkardığı üzerine yazımızda işledik.