analiza metadanych

Analiza metadanych to badanie dodatkowych informacji towarzyszących wiadomości, niebędących jej właściwą treścią.

Co obejmują metadane wiadomości i pliku

Metadane to informacje opisujące wiadomość, plik albo operację wykonaną na danych, ale niebędące zasadniczą treścią dokumentu, zdjęcia lub komunikatu. W wiadomości poczty elektronicznej mogą znajdować się między innymi adres nadawcy i odbiorcy, temat, data utworzenia, identyfikator wiadomości, informacje o użytym programie oraz pola opisujące kolejne serwery obsługujące transmisję. W nagłówku wiadomości nie zapisuje się zwykle całego tekstu widocznego w oknie programu pocztowego; nagłówek stanowi dodatkową warstwę informacji wykorzystywaną do transportu i interpretacji komunikatu.

W plikach metadane zależą od ich rodzaju. Fotografia może zawierać dane EXIF, takie jak model aparatu, orientacja obrazu, parametry ekspozycji, data wykonania zdjęcia, a czasem także współrzędne geograficzne. Dokument biurowy może przechowywać autora, nazwę aplikacji, czas utworzenia, czas ostatniej modyfikacji, słowa kluczowe oraz informacje o wersji dokumentu. W systemie plików dodatkowymi informacjami są między innymi nazwa, rozszerzenie, rozmiar, znaczniki czasu i atrybuty pliku. Analiza metadanych polega na odczytaniu tych pól, porównaniu ich ze sobą i ocenie, co rzeczywiście wynika z zapisanych wartości.

Odczyt nagłówków poczty elektronicznej

Analiza metadanych wiadomości pocztowej często zaczyna się od wyświetlenia pełnych nagłówków, a nie tylko skróconego widoku nadawcy i tematu. Szczególne znaczenie mają pola Date, From, To, Subject, Message-ID oraz kolejne wpisy Received. Pole Received jest dopisywane przez serwery uczestniczące w przekazywaniu wiadomości. Porównanie znaczników czasu i nazw hostów może pomóc ustalić kolejność przetwarzania komunikatu, wykryć niezgodność zegara systemowego albo wskazać nietypową trasę przekazywania.

W nagłówkach występują również pola związane z kodowaniem treści, typem wiadomości i mechanizmami uwierzytelniania domeny. Wartości SPF, DKIM i DMARC mogą być przedstawiane w wynikach kontroli serwera odbiorczego, ale ich obecność nie jest równoznaczna z potwierdzeniem prawdziwości całej treści wiadomości. Analiza wymaga rozróżnienia między adresem widocznym w polu From, adresem użytym podczas technicznego połączenia oraz domeną wskazaną w podpisie DKIM. Same metadane mogą ujawnić ślady błędnej konfiguracji lub próby podszycia się pod nadawcę, lecz nie zawsze pozwalają samodzielnie ustalić osobę, która utworzyła komunikat.

Metadane EXIF, dokumentów i systemu plików

Przy analizie zdjęć należy sprawdzić, czy plik zawiera segmenty EXIF, oraz odczytać ich wartości bez zmieniania oryginału. Data zapisana w EXIF nie musi być identyczna z datą utworzenia pliku w systemie Windows. Pierwsza może pochodzić z zegara aparatu, natomiast druga zależy od chwili skopiowania pliku na dysk. Podobnie data modyfikacji może zmienić się po edycji, eksporcie lub przeniesieniu pliku. Różnice między tymi wartościami nie dowodzą automatycznie manipulacji, ale są sygnałem wymagającym zestawienia z innymi informacjami.

W dokumentach biurowych metadane mogą obejmować historię właściwości pliku, nazwę autora, komentarze, śledzenie zmian, osadzone miniatury i informacje o programie, który zapisał dokument. Przy diagnostyce warto odróżnić dane zapisane wewnątrz pliku od właściwości nadanych przez system plików. Pomocne jest również porównanie skrótu kryptograficznego, na przykład SHA-256, przed i po wykonaniu kopii lub konwersji. Zmiana skrótu oznacza zmianę zawartości pliku w sensie binarnym, ale nie wskazuje sama w sobie, jaka część danych została zmieniona. Metadane należy więc traktować jako ślady pomocnicze, a nie jako nieomylne źródło pełnej historii.

Znaczenie analizy metadanych w serwisie komputerowym

Nieprawidłowe daty plików, brak oczekiwanych nagłówków, uszkodzone właściwości dokumentu albo niemożność odczytu EXIF mogą wynikać z problemów z aplikacją, niepełnego kopiowania danych, błędów systemu plików, niewłaściwej konwersji lub uszkodzenia samego pliku. Podczas diagnostyki laptopa albo komputera stacjonarnego analizę metadanych można połączyć ze sprawdzeniem działania programu pocztowego, skojarzeń rozszerzeń, uprawnień do plików, stanu nośnika i dostępnego miejsca. Nie należy jednak zapisywać badanego pliku przez aplikację, jeżeli celem jest zachowanie jego pierwotnych właściwości, ponieważ otwarcie i ponowny zapis może zmienić znaczniki czasu lub usunąć część metadanych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego analiza metadanych może stanowić jeden z elementów rozpoznania problemu z pocztą elektroniczną, dokumentami, zdjęciami albo systemem plików. W praktyce wynik powinien wskazywać, które pola odczytano, z jakiego źródła pochodzą i jakie ograniczenia ma ich interpretacja. Takie rozdzielenie faktów od przypuszczeń ułatwia ustalenie, czy przyczyną jest błąd programu, niewłaściwa konfiguracja, uszkodzenie danych czy różnica między informacjami zapisanymi wewnątrz pliku a właściwościami nadanymi przez system operacyjny.