Метадані як убивця опсеки: EXIF, поля PDF і документні сліди, що видали реальні особи
Файли пам'ятають більше, ніж їхній зміст. Фотографія несе модель камери, позначку часу і часто координати. PDF несе назву інструменту, що його створив, а часом і ім'я того, хто його написав. Офісний документ може нести цілу історію авторства. Сліди ці спливають у розслідуваннях знову і знову, бо люди, яких вони впізнали, були певні, що все вже стерто. Проєкт Surveillance Self-Defense від EFF описує метадані як фактично все, крім змісту комунікації, й зазначає, що поліція у багатьох країнах може отримати їх легше, ніж сам зміст.
Де ховається слід
У фотографіях блок EXIF може містити дані камери та об'єктива, налаштування експозиції, позначку часу знімання і, якщо служби локації увімкнені, GPS-координати з точністю до кількох метрів. Телефони вшивають їх за замовчуванням у багатьох конфігураціях, а застосунки камери повідомляють про це з різною ясністю. PDF-файли зазвичай записують рядок виробника, позначки часу, а під час експорту з текстового процесора — поле автора, що називає людину й застосунок за документом. Текстові процесори додають більше: лічильники ревізій, загальний час редагування, назви шаблонів і поле «змінено ким востаннє», що оновлюється при кожному збереженні. Навіть скриншот, що відкидає EXIF оригінального зображення, вшиває власні артефакти: годинник у куті, заголовки вікон, передпокази повідомлень, імена користувачів у кадрі.Три справи, які вирішили файлові метадані
Найкраще задокументований приклад — арешт 2012 року Гігініо О. Очоа III, ймовірного члена відгалуження Anonymous CabinCr3w, що писав під ніком AnonW0rmer. Він виклав у твіттер фото своєї дівчини з глузливою табличкою поруч із викраденими даними правоохоронців, певно вірячи, що знімок не містить нічого впізнаваного. Блок EXIF фотографії все ще зберігав GPS-координати: за розповіддю EFF про скаргу ФБР, дані містили знімок біля дому в Вонтірна-Саут, передмісті Мельбурна в Австралії. Агенти зіставили жінку з власними фотографіями Очоа у Facebook і заарештували його в березні, як викладає реконструкція CSO Online.Проблема для тих, хто намагається замести сліди, у тому, що зображення мають вбудовані дані, які підкажуть слідчому, де й коли вони були зроблені.Метадані документів вирішують справи значно довше. У 2005 році вбивця BTK — Денніс Рейдер, що три десятиліття дражнив поліцію й медіа Вічити, — відповів на газетне оголошення з питанням, чи можна відстежити дискету: сказав, що не можна, а потім надіслав одну на телеканал KAKE. На дискеті були файли Word, чиї вбудовані метадані вказували на комп'ютер церкви Christ Lutheran, де Рейдер був головою ради. Працівники прийшли туди з ордером і заарештували його 25 лютого 2005 року; він зізнався й відбуває десять послідовних довічних строків. CBS News повідомила про слід до церкви за кілька днів після арешту. Той самий візерунок пронизує правозастосування в даркнеті. Коли 2019 року впав Wall Street Market, реліз міністерства юстиції США відзначав, що адміністратори користувалися VPN для доступу до комп'ютерів маркету, але збій VPN-з'єднання видав IP-адресу адміністратора, а модератора на ім'я Med3l1n із реальною особою пов'язали почасти через пости й картинки на форумах років із тих. Це помилки інфраструктури й артефактів, а не EXIF-осічки, але вони з однієї родини: сліди, що переживають псевдонім. Увесь ланцюг ми розбирали в нашому матеріалі про те, як дрібні опсек-помилки викрили адміністраторів Wall Street Market.