ドキュメント・フォレンジック

判定ではなく事実——このページには分からないこと

メタデータは証拠ではなく証言です。作者フィールドは、あるプログラムがファイルに書き込んだ内容を述べているにすぎず、これらの値はいずれも編集でき、別のドキュメントからコピーでき、テンプレートから残っていることもあります。つまり、メタデータに知った名前があっても、その人がこのファイルを作った証明にはならず、知らないツール名があっても、内容の作られ方について何も証明しません。とりわけ、構造的な証拠では作者を証明できません。このページは、内容が人によって作られたかソフトウェアによって作られたかについて何も主張しません。存在する値、生き残ったリビジョン、矛盾するタイムスタンプを報告し、解釈はあなたに委ねます。すべての所見は、結論ではなく、検証すべき手がかりとして扱ってください。

このツールが報告するもの

• PDF情報辞書のフィールド——タイトル、作者、作成者、生成者、二つの日付——を根拠として逐語的に引用します。
• XMPメタデータパケット（存在する場合）。タイトル、生成者、作成/更新日付を抽出します。
• 増分更新の構造：ファイルが持つ%%EOFマーカーとstartxrefセクションの数、および/Prevトレーラー連鎖の深さ。
• 埋め込みファイルの兆候、描画モード3で描かれた隠しテキスト、暗号化フラグ。
• デコードされたテキストチャンクとtIMEタイムスタンプを含むPNGチャンク目録。JFIF、Exif、XMPフィールドとコメントテキストを含むJPEGセグメント目録——そして両形式における終端マーカー後の残余バイト。

ドキュメントが内容以外に持ち運ぶもの

ここで扱うドキュメント形式はどれも、内容の絵ではなくコンテナです。PDFは情報辞書——タイトル、作者、作成者、生成者、そして二つの日付——を持ち、書き出したアプリケーションが、ドキュメントの作者が通常は目にすることなく書き込みます。その隣に、現代の生成ツールの多くはXMPパケットを埋め込みます。これはXMLメタデータのブロックで、同じフィールドを繰り返したり、作成ツールを追加したり、情報辞書と静かに食い違ったりします。PNG画像は名前付きのチャンクを持ち、その一部は自由テキスト——ソフトウェア名、コメント、著作権表示、時にはXMLドキュメント全体——を保持します。JPEG写真はカメラが書いたExifブロック——メーカー、モデル、シャッターが切れた日付、最後にファイルに触れたソフトウェア——を持ちます。これらはどれもドキュメントを普通に開いたときには見えず、すべてファイルと一緒に公開され、メールされ、法廷に提出されます。

PDFには第二の、より深い層があります。増分更新です。PDF形式は、編集者がファイル全体を書き換える代わりに、新しいリビジョンを末尾に追加して変更を保存できるよう設計されました。そのため、以前のバイト——段落の以前の版を含む——は物理的に残り、読むことができます。%%EOFマーカーが複数あるファイルはそのように複数回保存されており、後のリビジョンで「削除」されたものは、以前のリビジョンから復元できる場合があります。この仕組みは署名や高速保存に正当で有用ですが、素朴な墨消しが失敗する理由でもあります。段落を黒い矩形で覆ったり、増分保存する編集者でテキストを削除したりしても、元の言葉がファイルの中に、見る者すべてに残る可能性があります。このページはファイル終端マーカーとトレーラー連鎖を数え、目の前のファイルに過去があるかどうかが分かるようにします。

同じコンテナの論理が、ほかのチェックも説明します。PDFは埋め込みファイル——ドキュメント内部に保存され、埋め込みファイル名ツリーに列挙される完全な添付ファイル——を持つことができます。読み手は気づかないかもしれませんが、受け手は抽出できます。また隠しテキストも持てます。PDFのテキストは描画モードで描かれ、モード3は何も描かない一方で文字をコンテンツストリームに残します。ページ上では見えませんが、コピーも検索もできます。除去されるはずだったテキストの古典的な隠れ場所であり、時には見られるはずのなかったテキストの隠れ場所でもあります。PNGとJPEGファイルにも同じ物語の別版があります。終端マーカーの後に追加されたバイトは、どのビューアにも無視されますがファイルには残り、テキストチャンクやコメントセグメントは、それを書いた編集セッションより長生きするのが普通です。

タイムスタンプは、ドキュメントが自己矛盾する場所です。PDFは情報辞書に少なくとも二つの日付を持ち、XMPパケットにもう二つ持つことが多く、それらは異なるツールによって異なる時点で書かれます——書き出しツール、編集者、アップロード時に再圧縮した最適化ツールです。作成日が更新日より後にあるとき、XMP日付が情報辞書と食い違うとき、日付が未来にあるとき、その連鎖のどこかが一貫した物語を語っていません。時計が間違っていたか、フィールドが編集されたか、異なる履歴を持つ断片からファイルが組み立てられたか。このページはそのどれとも決めつけません。二つの値を並べて示し、不一致が埋もれずに見えるようにします。カメラのExif日付やPNGの最終変更チャンクについても同じです。タイムスタンプはファイルの主張であり、主張を突き合わせることがこのツールのすべてです。

結果は、誰か他の人が公開した後ではなく、公開する前に使ってください。内部レポート、スクリーンショット、写真をこのようなチェックに通し、それらと一緒に漏れるものを読み取ってください。作者名とユーザー名、内部ツール名、元の日付、忘れた添付ファイル、法務が除去した段落をまだ保持しているリビジョン。そのうえでクリーニングを意図的な手順にしてください——メタデータを除去してソースから書き出し直す、増分保存ではなくファイルを完全に平坦化して書き直す——そして実際に出すコピーを再チェックしてください。そして全体を通して誠実さの限界を見失わないでください。きれいな結果は、このページが見る場所に構造的な驚きが見つからなかったという意味であり、ドキュメントの出所を証明するものではありません。驚く結果は、非難ではなく、尋ねるべき問いです。