manipulacja metadanymi

Manipulacja metadanymi to zmiana danych opisowych pliku lub wiadomości w celu ukrycia rzeczywistego pochodzenia.

Czym są metadane i co oznacza ich manipulacja

Metadane to informacje opisujące plik, wiadomość albo inny obiekt cyfrowy. Nie muszą być widoczne w głównej treści dokumentu, ponieważ są przechowywane w strukturze pliku lub w nagłówkach komunikatu. Przykładem mogą być data utworzenia, data modyfikacji, nazwa programu użytego do zapisania dokumentu, model aparatu fotograficznego, autor pliku, lokalizacja geograficzna zdjęcia, identyfikator wiadomości albo dane dotyczące załącznika. Zakres metadanych zależy od formatu oraz aplikacji, która utworzyła lub przetworzyła dany obiekt.

Manipulacja metadanymi polega na ich zmianie, usunięciu, podmianie lub dodaniu. Taka operacja może mieć neutralny cel, na przykład uporządkowanie archiwum zdjęć lub usunięcie nieaktualnego pola autora. Może też służyć do ukrycia rzeczywistego pochodzenia pliku, zmiany informacji o czasie jego powstania albo utrudnienia ustalenia, w jakim programie został przygotowany. Sama zgodność metadanych z oczekiwanym opisem nie dowodzi autentyczności pliku, ponieważ część pól można zmodyfikować bez zmiany właściwej treści.

Warstwy informacji zapisanych w popularnych formatach

W plikach graficznych informacje opisowe często występują w segmentach i strukturach charakterystycznych dla danego formatu. Zdjęcia JPEG mogą zawierać dane EXIF, między innymi czas wykonania fotografii, ustawienia aparatu, orientację obrazu oraz współrzędne GPS, jeżeli urządzenie je zapisało. Format PNG może przechowywać tekstowe pola opisowe, takie jak iTXt, tEXt lub zTXt. W dokumentach PDF metadane mogą obejmować tytuł, autora, temat, słowa kluczowe, datę utworzenia i datę modyfikacji. Dodatkowo dokument może zawierać informacje zapisane przez aplikację w obiektach dokumentu, a nie tylko w podstawowym słowniku metadanych.

Wiadomości poczty elektronicznej mają metadane w nagłówkach. Pola takie jak Date, Subject, Message-ID i kolejne wpisy Received opisują sposób przekazania wiadomości między serwerami. Nagłówki dodawane przez kolejne serwery tworzą łańcuch techniczny, ale ich obecność nie oznacza automatycznie, że każda informacja pochodzi od zaufanego nadawcy. Część pól może zostać utworzona przez klienta pocztowego, a część przez infrastrukturę transportową. Ocena wymaga więc uwzględnienia struktury całego nagłówka, kolejności wpisów, stref czasowych oraz zgodności z treścią i załącznikami.

Jak rozpoznawać niespójności bez pochopnych wniosków

Analiza metadanych powinna zaczynać się od zachowania oryginalnego pliku. Ponowne zapisanie zdjęcia, dokumentu lub pliku biurowego może usunąć część pól, nadać nowe daty albo zmienić nazwę programu zapisującego. Dlatego warto porównać metadane z właściwościami systemu plików, takimi jak czas modyfikacji i rozmiar, pamiętając, że również te właściwości mogą zmienić się podczas kopiowania. Pomocne jest obliczenie sumy kontrolnej, na przykład SHA-256, aby sprawdzić, czy analizowany plik jest identyczny z wcześniej zabezpieczoną kopią.

Niespójność może polegać na tym, że data wykonania zdjęcia jest wcześniejsza niż data użycia aparatu, współrzędne GPS nie odpowiadają deklarowanemu miejscu, a nazwa programu wskazuje aplikację, która nie obsługuje danego typu pliku. W dokumencie można zwrócić uwagę na różnicę między datą utworzenia a datą modyfikacji oraz na obecność dodatkowych obiektów, komentarzy lub osadzonych czcionek. Żaden pojedynczy sygnał nie przesądza jednak o manipulacji. Zmiana strefy czasowej, synchronizacja zegara, eksport z innej aplikacji albo zwykła konwersja formatu mogą wytworzyć pozornie podejrzane wartości.

W przypadku wiadomości należy zachować pełne nagłówki, a nie tylko treść widoczną w skrzynce. Analizuje się relacje między polami Date i Received, format identyfikatora wiadomości, deklarowane domeny oraz informacje o załącznikach. Trzeba także odróżnić nagłówki techniczne od pól dodanych przez użytkownika lub program pocztowy. Między metadanymi a dowodem pochodzenia istnieje różnica: metadane są wskazówką, natomiast wiarygodność wymaga porównania z niezależnymi źródłami, kopią zapasową, historią systemu lub informacjami z infrastruktury, która faktycznie obsługiwała plik albo wiadomość.

Bezpieczne postępowanie z plikiem i komputerem

Jeżeli podejrzany plik znajduje się na laptopie lub komputerze, nie należy go wielokrotnie otwierać i zapisywać w różnych programach, ponieważ każda taka czynność może zmienić metadane. Oryginał powinien zostać zachowany, a analizę najlepiej prowadzić na kopii. Warto zanotować ścieżkę pliku, jego rozmiar, sumę kontrolną, daty systemowe oraz aplikacje użyte do odczytu. Narzędzia diagnostyczne powinny prezentować surowe wartości i nazwę formatu, zamiast ograniczać się do uproszczonego opisu wyświetlanego w oknie właściwości.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku problemów z otwieraniem plików, błędnym działaniem aplikacji lub podejrzeniem uszkodzenia systemu można zlecić sprawdzenie komputera. Diagnoza powinna rozdzielać usterkę techniczną od oceny wiarygodności metadanych: uszkodzony dysk, błędy systemu plików albo nieprawidłowa aplikacja mogą powodować brak części informacji, ale nie potwierdzają celowej manipulacji.

Przy przekazywaniu urządzenia do sprawdzenia należy wskazać, które pliki są istotne, gdzie się znajdują i czy zachowanie oryginałów jest wymagane. Nie powinno się samodzielnie usuwać podejrzanych plików ani czyścić katalogów tymczasowych przed wykonaniem kopii, ponieważ może to utrudnić odtworzenie kolejności zdarzeń. Gdy potrzebne jest ustalenie pochodzenia wiadomości lub dokumentu, sama naprawa komputera nie zastępuje analizy źródłowego pliku, pełnych nagłówków i dostępnych kopii porównawczych.