PDF-файл оказывается на вашем столе как часть ответа на юридическое расследование. Панель свойств документа пуста. Поля автора, даты создания и истории изменений были намеренно или случайно удалены. Вам необходимо установить, когда и кем был создан этот документ. Метаданные, которые обычно отвечают на эти вопросы, исчезли, но PDF-файл все еще может содержать восстанавливаемые доказательства его происхождения.
Удаление метаданных PDF обычно происходит, когда документы проходят через инструменты очистки, предназначенные для удаления потенциально конфиденциальной информации перед отправкой. Эти инструменты удаляют словарь информации о документе, стандартные поля метаданных и часто поток метаданных XMP. Видимый контент страницы сохраняется. Документальный контекст удален.
Где могут скрываться метаданные после удаления
Словарь информации о документе, в котором хранятся автор, заголовок, тема, ключевые слова, создатель, производитель, CreationDate и ModDate, является основной целью удаления метаданных. После удаления эти поля при запросе возвращают пустые значения или значения по умолчанию.
Метаданные XMP, хранящиеся в отдельном потоке в PDF-файле, часто пропускаются базовыми инструментами очистки метаданных, которые нацелены только на информационный словарь. XMP может содержать те же поля, а также настраиваемые свойства. Инструмент проверки Repair PDF, проверяющий полную структуру файла, может обнаружить метаданные XMP, которые пережили удаление.
Метаданные на уровне страницы, включая исходные размеры страницы, программное обеспечение, сгенерировавшее каждую страницу, и временные метки изменений, встроенные в потоки содержимого страницы, редко удаляются, поскольку инструменты удаления не проверяют содержимое страницы на наличие данных, подобных метаданным.
Технические методы восстановления удаленных метаданных
Изучите PDF-файл в текстовом редакторе, который поддерживает работу с двоичными файлами. Найдите строки Creator и Producer в заголовке файла и в отдельных потоках объектов. Эти строки идентифицируют программное обеспечение, первоначально создавшее PDF-файл, и программное обеспечение, изменившее его последним. Строки сохраняются, даже если словарь информации о документе очищен.
Проверьте метаданные встроенного шрифта. Шрифты, встроенные в PDF-файл, сохраняют собственные метаданные, включая даты создания шрифтов и программное обеспечение, использованное для создания или изменения файлов шрифтов. Эти даты представляют собой конечную точку: документ не мог быть создан до того, как появились встроенные в него шрифты.
WukongPDF обеспечивает проверку PDF Version Control через браузер, которая может проверять свойства документа и идентифицировать восстанавливаемые элементы метаданных в структуре файла.
Что может и не может раскрыть восстановление метаданных
Восстанавливаемые метаданные могут идентифицировать создающее программное обеспечение, операционную систему и часто диапазон дат создания. PDF-файл, созданный в Microsoft Word 2016 в Windows 10 летом 2023 года, значительно сужает источник. Восстанавливаемые метаданные не могут идентифицировать конкретного пользователя, создавшего документ, или конкретный компьютер, на котором он был создан, если эта информация не была сохранена в настраиваемых полях метаданных.
Историю модификаций восстановить труднее, чем информацию о создании. Каждая операция сохранения, выполняемая некоторыми редакторами PDF, записывает новую дату изменения, но не сохраняет предыдущие даты. История изменений, которую можно восстановить, — это история сохранений, выполненных редакторами, сохранившими инкрементальную информацию о сохранении.
Предотвращение потери метаданных в будущих документах
Прежде чем делиться PDF-файлами с внешними пользователями, просмотрите метаданные, чтобы определить, следует ли их сохранить или удалить. Удаление всех метаданных удаляет документальный контекст, который может понадобиться позже. Сохранение метаданных позволяет делиться информацией, которая может быть конфиденциальной. Решение должно быть обдуманным.
Ведите реестр документов вне PDF-файла, в котором фиксируются даты создания, авторы и история версий важных документов. На внешний реестр не влияют операции с метаданными PDF, и он обеспечивает независимую запись документального происхождения.
Метаданные файловой системы PDF, даты создания и изменения, хранящиеся операционной системой в самом файле, не зависят от внутренних метаданных PDF. Даже если внутренняя дата создания PDF-файла удалена, файловая система все равно может записывать, когда файл был впервые сохранен в текущем месте хранения.
Вложения электронной почты сохраняют дату электронного письма в метаданных системы электронной почты. Если PDF-файл был получен как вложение к электронной почте, дата электронного письма указывает самую позднюю возможную дату создания документа. PDF-файл не мог быть создан после его отправки по электронной почте.
Системы управления документами, которые отслеживают историю документов независимо от метаданных файла, возможно, записывали исходную дату создания, автора и события изменения до того, как метаданные были удалены. Поиск в системе управления документами идентификатора документа или имени файла может восстановить метаданные предварительного удаления.
Структура инкрементного сохранения PDF, если файл был сохранен инкрементно, а не полностью перезаписан, сохраняет предыдущие версии словаря информации о документе. Криминалистическая экспертиза данных дополнительного сохранения может выявить значения метаданных, которые присутствовали в более ранних версиях, но были перезаписаны в текущей версии.
Шрифты, встроенные в PDF-файл, имеют собственные даты создания и изменения в метаданных файла шрифта. На эти даты не влияет удаление метаданных PDF. Самая последняя дата шрифта обеспечивает нижнюю границу даты создания документа.
Изображения, встроенные в PDF-файл, содержат метаданные EXIF из исходных файлов изображений, включая даты съемки, информацию о камере и программное обеспечение, используемое для редактирования. На данные EXIF, встроенные в изображения PDF, не влияют операции удаления метаданных PDF.
Восстановленные метаданные должны быть задокументированы с использованием метода восстановления и оценки достоверности. Метаданные, восстановленные из временных меток файловой системы, имеют меньшую достоверность, чем метаданные, восстановленные из дат создания встроенных шрифтов. Документация позволяет будущим пользователям оценить достоверность восстановленной информации.
Восстановление метаданных из удаленного PDF-файла — это судебно-медицинская экспертиза, которая сочетает в себе техническую проверку структуры файла с контекстным исследованием происхождения документа, при этом восстановленная информация обычно является частичной, а не полной.
Решение об удалении метаданных из PDF-файла перед публикацией должно быть принято с осознанием того, что удаленная информация может понадобиться позже и что варианты восстановления ограничены и неопределенны.
Восстановление метаданных из разобранного PDF-файла сочетает в себе технический анализ с контекстуальными исследованиями для восстановления истории происхождения документа.
Временные метки файловой системы в самом файле PDF не зависят от внутренних метаданных PDF.
Восстановление метаданных из разобранного PDF-файла требует изучения как структуры файла, так и внешних источников.
Восстановление метаданных — это исследовательский процесс, сочетающий в себе технический и контекстный анализ.
Поле «Производитель PDF» в словаре информации о документе идентифицирует программное обеспечение, создавшее файл, — информация, которая выдерживает большую часть удаления метаданных.
Проверка необработанного PDF-файла с помощью шестнадцатеричного редактора может выявить фрагменты метаданных, на которые больше не ссылается словарь информации о документе.
Дата создания, встроенная в файлы шрифтов в PDF-файле, обеспечивает конечную точку для создания документа.
Потоки метаданных XMP в PDF-файле отделены от словаря информации документа и могут пережить удаление, если инструмент нацелен только на словарь.
Историю изменений PDF-файла иногда можно восстановить на основе дополнительных разделов сохранения, которые накапливаются при каждом редактировании.
Данные EXIF изображения, встроенные в PDF-файл, сохраняют исходные даты захвата изображения независимо от операций с метаданными PDF-файла.
В журналах системы управления документами могут записываться исходные значения метаданных до того, как PDF-файл был обработан для распространения.
Заголовки электронных писем из сообщения, в котором был доставлен PDF-файл, могут содержать самую позднюю возможную дату создания документа.
Количество страниц и размеры страниц могут помочь идентифицировать создающее программное обеспечение, поскольку разные приложения имеют разные размеры страниц по умолчанию.
Номер версии PDF: 1.4, 1.7, 2.0 указывает, какие функции спецификации были доступны при создании документа.
Анализ таблицы перекрестных ссылок может выявить последовательность, в которой объекты были добавлены в файл, обеспечивая относительную хронологию.
Нумерация объектов в PDF-файле является последовательной, и объекты с меньшими номерами обычно создаются раньше объектов с более высокими номерами.
Настройка языка документа в каталоге PDF может указывать исходный язык автора и локаль.
Поля пользовательских метаданных, определенные создающей организацией, могут использовать соглашения об именах, которые идентифицируют источник документа.
Назначение вывода PDF, если оно присутствует, определяет целевое состояние печати и может указывать предполагаемое использование документа.
Встроенные цветовые профили предоставляют информацию о среде управления цветом, в которой был создан документ.
Параметры начального просмотра макета страницы могут указывать, предназначен ли документ для просмотра на экране или в печатном виде.
Аннотации и комментарии в PDF-файле имеют собственные даты создания и информацию об авторе в свойствах аннотаций.
Поля форм в интерактивных PDF-файлах могут содержать значения по умолчанию или код JavaScript, ссылающийся на организационные системы или даты.
Заголовок документа, отображаемый в строке заголовка средства просмотра PDF, может быть установлен иначе, чем заголовок поля метаданных.
Закладки и структура документа сохраняют структуру раздела даже при удалении метаданных.
Гиперссылки в документе могут ссылаться на URL-адреса, содержащие информацию о дате или идентификаторы организации.
Список шрифтов, используемых в документе, можно восстановить из потоков содержимого страницы и может указывать на создающее программное обеспечение.
Метки страниц, логические номера страниц, отображаемые в средстве просмотра PDF, могут отличаться от физических номеров страниц и раскрывать структуру документа.
Текст водяного знака, встроенный в содержимое страницы, может содержать дату или информацию об авторе, которая была применена при создании документа.
Контрольную сумму или хеш документа можно сравнить с известными файлами, чтобы определить первоисточник.
Шаблоны размеров файлов, большие изображения, множество шрифтов, сложная векторная графика могут указывать на тип документа и программное обеспечение для его создания.
Наличие определенных функций PDF, слоев, портфолио, мультимедийных материалов указывает на то, какая версия программного обеспечения использовалась.
Извлечение текста из документа может выявить текст верхнего и нижнего колонтитула, который включает даты, идентификаторы документов или имена авторов.
Метод шифрования документа, если он защищен паролем, указывает на создание возможностей безопасности программного обеспечения.
Метаданные размера и ориентации бумаги на каждой странице могут указывать, был ли документ создан в метрической или британской системе измерений.
Платформу создания документа (Windows, Mac или Linux) часто можно определить по строке производителя PDF.
Объединение этих криминалистических улик может дать достаточно полную картину происхождения документа даже после преднамеренного удаления метаданных.
Восстановление удаленных метаданных требует изучения как внутренней структуры PDF, так и внешних контекстных источников.
| Источник доказательств | Что это раскрывает | Надежность | Сопротивление зачистке |
|---|---|---|---|
| Поток метаданных XMP | Автор, даты, произвольные поля | Высокий | Часто пропускаются обычными стриптизершами |
| Даты встроенного шрифта | Дата создания шрифта | Середина | Очень высокий (в файле шрифта) |
| EXIF-данные изображения | Дата съемки, камера, программное обеспечение | Середина | Очень высокий (в данных изображения) |
| Временные метки файловой системы | Создание/изменение файла | Низкий | Н/Д (вне PDF) |