元数据：潜伏在文件里的opsec杀手——EXIF、PDF字段与文档痕迹如何暴露真实身份
文件记住的不只是内容。照片带有相机型号、拍摄时间戳，常常还有坐标。PDF带有生成它的工具的名称，有时还有撰写者的名字。办公文档可能携带完整的编写历史。这些信息之所以不断出现在调查中，是因为被其识别的人以为痕迹早已消失。EFF的Surveillance Self-Defense项目将元数据描述为通信内容之外的一切，并指出在许多国家，警方获取元数据比获取内容本身更容易。
痕迹藏在哪里
在照片中，EXIF块可以包含相机和镜头数据、曝光设置、拍摄时间戳，以及——在定位服务开启时——精确到几米的GPS坐标。手机在许多配置下默认嵌入这些信息，而相机应用提示的清晰程度各不相同。PDF文件通常记录生成器字符串和时间戳；从文字处理软件导出时，还会记录作者字段，标明文档背后的人和软件。文字处理软件会添加更多信息：修订次数、总编辑时间、模板名称，以及每次保存都会更新的“最后修改人”字段。即便是丢弃原始图像EXIF的截图，也会重新嵌入自己的痕迹：角落里的时钟、窗口标题、通知预览、画面中的用户名。三起因文件元数据而告破的案件
有最充分记录的案例仍然是2012年Higinio O. Ochoa III的被捕。他是Anonymous分支CabinCr3w的据称成员，网名AnonW0rmer。他在推特上发布了女友手持挑衅标语的照片，旁边是窃取的执法部门数据，显然以为图片中没有任何可识别信息。照片的EXIF块仍保留着GPS坐标：根据EFF对FBI起诉书的叙述，这些数据将照片定位在澳大利亚墨尔本郊区Wantirna South的一处住宅。探员将照片中的女子与Ochoa自己Facebook上的照片匹配后，于当年3月将其逮捕。CSO Online对此案的重建回顾了整个过程。对于想抹去踪迹的人来说，问题在于图像中嵌入的数据会告诉调查人员照片是在何时何地拍摄的。文档元数据发挥决定性作用的历史更长。2005年，BTK杀手——三十年来一直戏弄威奇托警方和媒体的Dennis Rader——回应报纸广告中“软盘能否被追踪”的提问，称无法追踪，随后将一张软盘寄给KAKE电视台。软盘上的Word文件的嵌入元数据指向Christ Lutheran Church的一台电脑，Rader是该教会委员会主席。警员持搜查令赶到那里，于2005年2月25日将其逮捕；他随后认罪，正在服十个连续的终身监禁。CBS News在逮捕后几天内报道了指向教会的追踪线索。 同样的模式也贯穿暗网执法。2019年Wall Street Market倒台时，美国司法部的通报指出，管理员使用VPN访问市场的计算机，但一次失败的VPN连接暴露了一名管理员的IP地址；被称为Med3l1n的版主则部分通过多年前的论坛帖子和照片与真实身份关联起来。这些是基础设施与痕迹层面的失误，而非EXIF失误，但同属一类：比化名活得更久的痕迹。我们在《小opsec失误如何暴露Wall Street Market管理员》一文中梳理了完整链条。