Криминалистика документов

Факты, а не вердикты — чего эта страница не может вам сказать

Метаданные — это показания, а не доказательства. Поле автора говорит, что программа записала в файл, и любое из этих значений можно отредактировать, скопировать из другого документа или унаследовать от шаблона — поэтому знакомое имя в метаданных не доказывает, что этот человек создал файл, а незнакомое имя инструмента ничего не доказывает о том, как было сделано содержимое. В частности, структурные доказательства не могут доказать авторство, и эта страница ничего не утверждает о том, было ли содержимое произведено человеком или программой: она сообщает присутствующие значения, уцелевшие ревизии и метки времени, которые противоречат друг другу, и оставляет интерпретацию вам. Относитесь к каждой находке как к зацепке, которую нужно проверить, а не как к выводу.

Что сообщает этот инструмент

• Поля информационного словаря PDF — заголовок, автор, создатель, производитель и обе даты — цитируются дословно как доказательство.
• Пакет метаданных XMP, когда он присутствует, с извлечёнными заголовком, производителем и датами создания и изменения.
• Структуру инкрементных обновлений: сколько маркеров %%EOF и разделов startxref несёт файл и какова глубина цепочки трейлеров /Prev.
• Признаки вложенных файлов, скрытый текст, отрисованный в режиме 3, и флаг шифрования.
• Инвентарь блоков PNG с декодированными текстовыми блоками и меткой времени tIME; инвентарь сегментов JPEG с полями JFIF, Exif и XMP и текстом комментариев — плюс любые байты после конечного маркера в обоих форматах.

Что документ несёт помимо своего содержимого

Каждый документ из охваченных здесь форматов — это контейнер, а не просто картинка содержимого. PDF несёт информационный словарь — заголовок, автора, создателя, производителя и две даты — записанный приложением, которое его экспортировало, обычно без ведома автора документа. Рядом с ним большинство современных производителей встраивают пакет XMP: блок XML-метаданных, который может повторять те же поля, добавлять инструмент создания или тихо противоречить информационному словарю. Изображения PNG несут именованные блоки, часть которых хранит свободный текст — имена программ, комментарии, строки авторских прав, иногда целые XML-документы, — а фотографии JPEG несут блоки Exif, записанные камерой: марку, модель, дату срабатывания затвора и программу, которая последней касалась файла. Ничего из этого не видно при обычном открытии документа, и всё это путешествует с файлом, когда он публикуется, отправляется по почте или подаётся в суд.

У PDF есть второй, более глубокий слой: инкрементные обновления. Формат PDF был спроектирован так, чтобы редактор мог сохранять изменение, добавляя новую ревизию в конец файла вместо его перезаписи, оставляя прежние байты — включая прежнюю версию абзаца — физически присутствующими и читаемыми. Файл с несколькими маркерами %%EOF сохранялся так несколько раз, и всё, что было «удалено» в более поздней ревизии, всё ещё может быть восстановлено из более ранней. Этот механизм законен и полезен для подписей и быстрого сохранения, но он же — причина, по которой наивное закрашивание терпит неудачу: закрытие абзаца чёрным прямоугольником или даже удаление текста в редакторе, который затем сохраняет инкрементно, может оставить исходные слова в файле для любого, кто посмотрит. Эта страница считает маркеры конца файла и цепочку трейлеров, чтобы вы видели, есть ли у файла перед вами прошлое.

Та же логика контейнера объясняет остальные проверки. PDF может нести вложенные файлы — полноценные вложения, хранящиеся внутри самого документа и перечисленные в его дереве имён вложенных файлов, — которые читатель может никогда не заметить, а получатель может извлечь. Он также может нести скрытый текст: текст PDF рисуется в режиме отрисовки, а режим 3 не рисует ничего, оставляя символы в потоке содержимого — копируемыми и доступными для поиска, но невидимыми на странице — классическое место для текста, который должен был быть удалён, а иногда и для текста, который никогда не должен был быть увиден. У файлов PNG и JPEG — своя версия той же истории: байты, добавленные после конечного маркера, игнорируются любым средством просмотра, но остаются в файле, а текстовые блоки и сегменты комментариев обычно переживают сеанс редактирования, который их записал.

Метки времени — это место, где документы противоречат сами себе. PDF хранит как минимум две даты в своём информационном словаре и часто ещё две в пакете XMP, записанные разными инструментами в разные моменты: экспортёром, редактором, оптимизатором, который пересжал его при загрузке. Когда дата создания стоит после даты изменения, когда даты XMP расходятся с информационным словарём или когда дата выпадает в будущее, что-то в цепочке не рассказало связной истории: часы были неверны, поле было отредактировано или файл был собран из частей с разной историей. Ни одно из этих объяснений не является автоматически зловещим, и эта страница не выбирает между ними — она показывает оба значения рядом, чтобы противоречие было видно, а не похоронено. То же относится к дате Exif камеры и блоку последнего изменения PNG: метка времени — это утверждение, которое делает файл, и сверка утверждений — всё, чем занимается этот инструмент.

Используйте результаты до публикации, а не после того, как это сделает кто-то другой. Пропустите внутренние отчёты, скриншоты и фотографии через такую проверку и прочитайте, что утекло бы вместе с ними: имена авторов и пользователей, имена внутренних инструментов, исходные даты, вложения, о которых вы забыли, ревизию, которая всё ещё хранит абзац, удалённый юридическим отделом. Очистка тогда становится осознанным шагом — повторный экспорт из источника с удалёнными метаданными, полное выравнивание и перезапись файла вместо инкрементного сохранения — и повторная проверка той копии, которую вы действительно отправляете. И держите предел честности в поле зрения всё время: чистый результат означает, что в местах, которые смотрит эта страница, структурных сюрпризов не найдено; он не удостоверяет происхождение документа, а удивительная находка — это вопрос, который нужно задать, а не обвинение, которое нужно выдвинуть.