Метаданные — убийца опсеки: EXIF, поля PDF и документальные следы, выдавшие реальные личности
Файлы помнят больше, чем их содержимое. Фотография несёт модель камеры, отметку времени и часто координаты. PDF несёт название инструмента, которым создан, а иногда и имя написавшего его человека. Офисный документ может нести целую историю авторства. Следы эти всплывают в расследованиях снова и снова, потому что люди, которых они опознали, были уверены, что уже всё стёрто. Проект Surveillance Self-Defense от EFF описывает метаданные как практически всё, кроме содержания коммуникации, и отмечает, что полиция во многих странах может получить их легче, чем само содержание.
Где прячется след
В фотографиях блок EXIF может включать данные камеры и объектива, настройки экспозиции, отметку времени съёмки и, если службы геолокации включены, GPS-координаты с точностью до нескольких метров. Телефоны вшивают их по умолчанию во многих конфигурациях, а приложения камеры сообщают об этом с разной ясностью. PDF-файлы обычно записывают строку производителя, отметки времени, а при экспорте из текстового процессора — поле автора, называющее человека и приложение за документом. Текстовые процессоры добавляют больше: счётчики ревизий, общее время редактирования, имена шаблонов и поле «изменено кем» на последнем сохранении, обновляющееся при каждом сохранении. Даже скриншот, отбрасывающий EXIF исходного изображения, вшивает собственные артефакты: часы в углу, заголовки окон, превью уведомлений, имена пользователей в кадре.Три дела, решившиеся на файловых метаданных
Лучше всего задокументированный пример — арест в 2012 году Хигинио О. Очоа III, предполагаемого члена ответвления Anonymous CabinCr3w, писавшего под ником AnonW0rmer. Он выложил в твиттер фото своей девушки с насмешливой табличкой рядом с украденными данными полицейских ведомств, по-видимому полагая, что снимок не содержит ничего опознавательного. Блок EXIF фотографии всё ещё хранил GPS-координаты: согласно рассказу EFF о жалобе ФБР, данные помещали снимок у дома в Уонтирна-Саут, пригороде Мельбурна в Австралии. Агенты сопоставили женщину с собственными фотографиями Очоа в Facebook и арестовали его в марте, как излагает реконструкция CSO Online.Проблема для того, кто пытается замести следы, в том, что изображения несут встроенные данные, которые скажут следователю, где и когда они были сделаны.Метаданные документов решают исход дел куда дольше. В 2005 году убийца BTK — Деннис Рейдер, три десятилетия дразнивший полицию и СМИ Уичито, — ответил на газетное объявление с вопросом, можно ли отследить дискету: сказал, что нельзя, и затем отправил одну на телеканал KAKE. На дискете были файлы Word, чьи встроенные метаданные указывали на компьютер церкви Christ Lutheran, где Рейдер был председателем совета. Сотрудники пришли туда с ордером и арестовали его 25 февраля 2005 года; он признал вину и отбывает десять последовательных пожизненных сроков. CBS News сообщила о следе к церкви через несколько дней после ареста. Тот же рисунок проходит через правоприменение в даркнете. Когда в 2019 году рухнул Wall Street Market, релиз министерства юстиции США отмечал, что администраторы использовали VPN для доступа к компьютерам рынка, но отказ VPN-соединения выдал IP-адрес администратора, а модератора по имени Med3l1n с реальной личностью связали отчасти через посты и картинки на форумах годовыми ранее. Это ошибки инфраструктуры и артефактов, а не EXIF-ослепления, но они из одной семьи: следы, которые переживают псевдоним. Всю цепочку мы разбирали в нашем материале о том, как мелкие опсек-ошибки разоблачили администраторов Wall Street Market.