Риски метаданных Office и PDF
Файлы Office и PDF могут сохранять автора, последнего сохранившего, комментарии, историю изменений, скрытые элементы, вложения и OCR-текст; преобразование в PDF не делает файл автоматически безопасным.
Файлы Office и PDF часто используются при сообщениях о нарушениях.
Протоколы совещаний, договоры, отчеты, вложения к письмам, таблицы, презентации, сканированные PDF. Все они могут быть сильными доказательствами, но в них легко остаются метаданные и история редактирования.
При сообщении о нарушениях важен не только сам файл, но и то, как он был создан, кто его редактировал и из какой среды он вышел.
Информация, остающаяся в файлах Office
В Word, Excel и PowerPoint могут оставаться автор, последний сохранивший, название компании, комментарии, история изменений, скрытые листы, встроенные объекты и другие сведения.
| Информация | Риск |
|---|---|
| Автор и последний сохранивший | Появляется настоящее имя или внутренний аккаунт |
| Комментарии | Остаются имена связанных людей и содержание рецензирования |
| История изменений | Видно, кто и где редактировал |
| Скрытые листы | Остаются данные, которые не отображаются |
| Встроенные файлы | Содержатся другие материалы или внутренняя информация |
Файл Office состоит не только из видимых страниц.
В Excel особенно важно проверять скрытые листы, фильтры, комментарии и формулы, а также внешние ссылки.
Файлы Office легко сохраняют промежуточные этапы работы. В них остаются совместное редактирование, рецензирование, комментарии, история изменений, шаблоны и внешние ссылки. Даже если документ внешне выглядит готовым, внутри файла могут оставаться следы редактирования.
В Excel проблемой становятся скрытые листы и строки, строки, скрытые фильтрами, формулы, именованные диапазоны и подключения к внешним данным. В PowerPoint проверяют заметки докладчика, скрытые слайды, встроенные изображения и шаблоны. В Word проверяют историю изменений, комментарии, колонтитулы и свойства документа.
Информация, остающаяся в PDF
PDF часто считают безопасным, потому что он выглядит как готовая версия.
Но в PDF тоже могут оставаться автор, программа создания, дата создания, история редактирования, аннотации, закладки, встроенные файлы и OCR-текст.
| Информация | Риск |
|---|---|
| Автор | Видны исходный документ или работавший с ним человек |
| Программа создания | Можно предположить, в какой среде создан файл |
| Аннотации и комментарии | Остаются история рецензирования и имена |
| OCR-текст | Текст, который считали закрашенным, может оставаться |
| Встроенные файлы | Содержатся исходные материалы или вложенные сведения |
Одно преобразование в PDF не делает файл безопасным.
Закрашивание и мозаика тоже могут позволить извлечь исходный текст, если обработка выполнена неправильно.
PDF вызывает ложное спокойствие, потому что выглядит как готовая версия для распространения. Но в PDF могут оставаться сведения об авторе, аннотации, закладки, вложенные файлы, скрытые слои и OCR-текст. Если при закрашивании поверх текста просто положили черный прямоугольник, нижний текст может сохраниться. Даже если на экране видна картинка, за ней может оставаться текст.
При подготовке PDF к публикации проверяют не только внешний вид, но и копируемый текст, аннотации, вложения и свойства. Закрашенные места проверяют так, чтобы они не были видны при копировании, поиске, выделении и открытии другим инструментом.
Что особенно опасно при сообщении о нарушениях
При сообщении о нарушениях метаданные опасны даже тогда, когда прямо не показывают имя.
Дата создания, номер версии, название отдела, номер документа, имя в комментариях и следы рассылки показывают движение материала.
| Остающаяся информация | Что можно предположить |
|---|---|
| Номер версии | Когда и кому был разослан материал |
| Номер документа | Управляющее подразделение или классификация материала |
| Автор комментария | Связанные отделы или рецензенты |
| Скрытые данные | Информация, которую не собирались публиковать |
| Дата создания | Когда работали с материалом |
Если публикующая сторона небрежно выкладывает материал, в риск попадает не только заявитель, но и связанные люди или непричастные сотрудники.
При сообщении о нарушениях есть сторона, которая ищет происхождение материала. Она смотрит не только основной текст, но и номер версии, получателей, авторов комментариев, номер документа, шаблон и дату создания. Например, если опубликована формулировка, которая была только в последней версии, под подозрение попадут люди с доступом к последней версии. Если осталось имя автора комментария, видны связанные отделы и маршрут рецензирования.
Метаданные влияют не только на самого заявителя, но и на автора материала, отделы, которым он был разослан, рецензентов и совместных редакторов. Публикующая сторона отвечает за то, чтобы не выкладывать полученный материал как есть.
Осторожность при проверке и обработке
При работе с Office и PDF разделяют файлы для проверки, хранения и публикации.
Неосторожная обработка исходного файла, важного как доказательство, может позже создать проблемы. Но в публикуемом файле нельзя оставлять лишнюю информацию.
| Этап | На что обратить внимание |
|---|---|
| Получение | Не открывать исходный файл бездумно в обычной среде |
| Проверка | Смотреть свойства, комментарии, историю изменений, скрытые элементы |
| Хранение | Разделять исходный файл и копию для публикации |
| Обработка | Проверять способ закрашивания, удаления и преобразования |
| Повторная проверка | Смотреть, не осталась ли информация в публикуемом файле |
Конкретные инструменты проверки и удаления метаданных рассматриваются в других статьях.
Здесь важно зафиксировать, что одно изменение формата не делает файл безопасным.
Исходный файл может быть важен как доказательство. Поэтому прямое редактирование исходника с перезаписью может повлиять на доказательную ценность и проверяемость. С другой стороны, в публикуемом файле нельзя оставлять лишнюю информацию. Поэтому исходный файл, рабочую копию и копию для публикации разделяют.
| Тип файла | Как обращаться |
|---|---|
| Исходный файл | Безопасно хранить для сохранения доказательной ценности |
| Рабочая копия | Использовать для проверки и обработки |
| Копия для публикации | Удалить лишнюю информацию и проверить повторно |
| Копия для консультации | Настроить объем сведений, показываемых юристу или специалисту |
При высокорисковом сообщении о нарушениях не следует принимать решение только по статье. Стоит рассмотреть консультацию с юристом, редакцией или надежной организацией поддержки. Вопрос о том, удалять файл или сохранять его, связан не только с анонимностью, но и с доказательной ценностью и юридическим риском.
Проверка перед публикацией
Перед публикацией Office или PDF проверяют в таком порядке.
- Нет ли в имени файла настоящего имени, отдела или названия дела
- Не остались ли в свойствах автор, название компании, последний сохранивший
- Не остались ли комментарии, история изменений, аннотации
- Нет ли скрытых листов, скрытых слайдов, заметок докладчика
- Не остался ли текст под закрашиванием в PDF
- Проверен ли преобразованный файл в другой среде
Проверка не заканчивается одним разом. После обработки, после преобразования и прямо перед публикацией проверяют повторно. Особенно после создания PDF его рассматривают как файл, отдельный от исходного документа, и снова проверяют свойства, аннотации и копируемый текст.
Итоги
В файлах Office и PDF могут оставаться автор, последний сохранивший, название компании, комментарии, история изменений, скрытые листы, аннотации, OCR-текст и встроенные файлы.
При сообщении о нарушениях такая информация связывает материал с заявителем, отделом, движением документа и областью рассылки.
Одно преобразование в PDF не делает файл безопасным.
Исходный файл, файл для проверки и файл для публикации разделяют, а перед публикацией проверяют метаданные и невидимые элементы.
Office и PDF сильны как доказательства, но одновременно являются форматами, которые рассказывают о своем происхождении.
Связанные инструменты
ExifTool
Внешний ресурс, связанный с этой статьей. Открывайте его только если он подходит вашей ситуации и модели угроз.
Почему указано здесь: Он может помочь с темой статьи, но находится вне Anonymity Sense, поэтому перед использованием его нужно проверить.
URL : https://exiftool.org/
MAT2
Внешний ресурс, связанный с этой статьей. Открывайте его только если он подходит вашей ситуации и модели угроз.
Почему указано здесь: Он может помочь с темой статьи, но находится вне Anonymity Sense, поэтому перед использованием его нужно проверить.
qpdf
Внешний ресурс, связанный с этой статьей. Открывайте его только если он подходит вашей ситуации и модели угроз.
Почему указано здесь: Он может помочь с темой статьи, но находится вне Anonymity Sense, поэтому перед использованием его нужно проверить.
SecureDrop
Внешний ресурс, связанный с этой статьей. Открывайте его только если он подходит вашей ситуации и модели угроз.
Почему указано здесь: Он может помочь с темой статьи, но находится вне Anonymity Sense, поэтому перед использованием его нужно проверить.
URL : https://securedrop.org/
GlobaLeaks
Внешний ресурс, связанный с этой статьей. Открывайте его только если он подходит вашей ситуации и модели угроз.
Почему указано здесь: Он может помочь с темой статьи, но находится вне Anonymity Sense, поэтому перед использованием его нужно проверить.
URL : https://globaleaks.org/