作為法律證據開示回覆的一部分，一份 PDF 文件會出現在您的辦公桌上。文檔屬性面板為空。作者、建立日期和修改歷史欄位已被有意或無意地刪除。您需要確定該文件的建立時間和建立者。通常回答這些問題的元資料已經消失，但 PDF 可能仍包含其來源的可恢復證據。
當文件通過旨在在共享之前刪除潛在敏感資訊的清理工具時，PDF 元資料 剝離很常見。這些工具刪除文件資訊字典、標準元資料字段，通常也會刪除 XMP 元資料流。可見頁面內容已保留。紀錄片背景被刪除。
剝離後元資料可以隱藏在哪裡
文件資訊字典是元資料剝離的主要目標，其中儲存了作者、標題、主題、關鍵字、創建者、生產者、建立日期和修改日期。剝離後，這些欄位在查詢時會傳回空或預設值。
XMP 元資料儲存在 PDF 中的單獨流中，僅針對資訊字典的基本元資料剝離器經常會遺失 XMP 元資料。 XMP 可以包含相同的欄位以及自訂屬性。檢查完整文件結構的修復PDF檢查工具可以揭示剝離後倖存的XMP元資料。
頁面級元資料（包括原始頁面尺寸、產生每個頁面的軟體以及頁面內容流中嵌入的修改時間戳）很少被剝離，因為剝離工具不會檢查頁面內容中是否有類似元資料的資料。
恢復剝離元資料的技術方法
在可以處理二進位檔案的文字編輯器中檢查 PDF 檔案。在檔案頭和各個物件流中搜尋 Creator 和 Producer 字串。這些字串標識最初創建 PDF 的軟體和最後修改 PDF 的軟體。即使文件資訊字典已被清空，字串仍然存在。
檢查嵌入的字體元資料。 PDF 中嵌入的字體保留自己的元數據，包括字體建立日期以及用於建立或修改字體檔案的軟體。這些日期提供了一個終點站，文件不能在其嵌入字體存在之前建立。
WukongPDF透過瀏覽器提供PDF版本控制檢查，可以檢查文件屬性並識別文件結構內的可還原元資料元素。
元資料復原可以揭示什麼，不能揭示什麼
可恢復的元資料可以識別創建軟體、作業系統，通常還可以識別創建日期範圍。 2023 年夏天，Windows 10 上的 Microsoft Word 2016 所建立的 PDF 顯著縮小了來源範圍。可恢復的元資料無法識別建立文件的特定使用者或建立文件的特定計算機，除非該資訊儲存在自訂元資料欄位中。
修改歷史記錄比建立資訊更難恢復。某些 PDF 編輯器的每次儲存作業都會寫入新的修改日期，但不會保留先前的日期。可恢復的修改歷史記錄是保存增量保存資訊的編輯者的保存歷史記錄。
防止未來文檔中的元資料遺失
在外部共用 PDF 之前，請檢查元資料以確定是否應保留或刪除它。剝離所有元資料會刪除以後可能需要的文件上下文。保留元資料共享可能是機密的資訊。這個決定應該是經過深思熟慮的。
在 PDF 之外維護一個文件暫存器，記錄重要文件的建立日期、作者和版本歷史記錄。外部暫存器不受 PDF 元資料操作的影響，並提供文件來源的獨立記錄。
PDF 檔案系統元資料（作業系統在檔案本身上儲存的建立和修改日期）獨立於 PDF 內部元資料。即使 PDF 內部建立日期已被刪除，檔案系統仍可能記錄檔案首次儲存到目前儲存位置的時間。
電子郵件附件在電子郵件系統元資料中保留電子郵件日期。如果 PDF 是作為電子郵件附件接收的，則電子郵件日期會提供該文件的最新可能建立日期。透過電子郵件發送後無法建立 PDF。
獨立於文件元資料追蹤文件歷史的文件管理系統可能在元資料被剝離之前記錄了原始建立日期、作者和修改事件。在文件管理系統中搜尋文件 ID 或檔案名稱可以恢復預剝離元資料。
PDF增量保存結構，如果檔案是增量保存而不是完全重寫，則保留文件資訊字典的先前版本。對增量保存資料的取證檢查可以揭示早期版本中存在但在當前版本中被覆蓋的元資料值。
PDF 中嵌入的字體在字體文件元資料中帶有自己的建立和修改日期。這些日期不受 PDF 元資料剝離的影響。最近的字體日期提供了文件建立日期的下限。
PDF 中嵌入的影像帶有原始影像檔案中的 EXIF 元數據，包括拍攝日期、相機資訊和用於編輯的軟體。 PDF 影像中嵌入的 EXIF 資料不受 PDF 元資料剝離操作的影響。
恢復的元資料應與恢復方法和置信度評估一起記錄。從檔案系統時間戳記恢復的元資料的置信度低於從嵌入字體建立日期恢復的元資料。該文件允許未來的用戶評估恢復資訊的可靠性。
從剝離的 PDF 中恢復元資料是一項取證工作，它將文件結構的技術檢查與文件來源的上下文研究相結合，恢復的資訊通常是部分的而不是完整的。
在決定在共享之前從 PDF 中刪除元資料時，應意識到稍後可能需要刪除的信息，並且恢復選項是有限且不確定的。
從剝離的 PDF 中恢復元資料將技術分析與上下文研究相結合，以重建文件的起源故事。
PDF 檔案本身的檔案系統時間戳記獨立於內部 PDF 元資料。
從剝離的 PDF 中還原元資料需要檢查文件結構和外部來源。
元資料恢復是一個結合了技術和上下文分析的調查過程。
文件資訊字典中的 PDF 生成者欄位標識建立該文件的軟體，這些資訊在大多數元資料剝離中仍然存在。
使用十六進位編輯器檢查原始 PDF 檔案可以揭示文件資訊字典不再引用的元資料片段。
PDF 內的字體檔案中嵌入的建立日期為文件建立提供了終點站。
PDF 中的 XMP 元資料流與文件資訊字典是分開的，如果工具僅針對字典，則可以在剝離後保留下來。
PDF 的修改歷史記錄有時可以根據每次編輯累積的增量保存部分來重建。
無論 PDF 元資料操作如何，嵌入 PDF 中的影像 EXIF 資料都會保留原始影像擷取日期。
文件管理系統日誌可以記錄 PDF 被處理以供分發之前的原始元資料值。
發送 PDF 的訊息中的電子郵件標題可以提供文件的最新可能建立日期。
頁數和頁面尺寸可以幫助識別建立軟體，因為不同的應用程式具有不同的預設頁面尺寸。
PDF 版本號 1.4、1.7、2.0 指示建立文件時哪些規格功能可用。
交叉引用表分析可以揭示物件添加到檔案的順序，提供相對的時間順序。
PDF 中的物件編號是連續的，編號較低的物件通常會先於編號較高的物件建立。
PDF目錄中的文件語言設定可能指示原始作者的語言和區域設定。
建立組織定義的自訂元資料欄位可以使用標識文件來源的命名約定。
PDF 輸出意圖（如果存在）可識別目標列印條件並可指示文件的預期用途。
嵌入的顏色設定檔提供有關建立文件的顏色管理環境的資訊。
頁面佈局初始視圖設定可以指示文件是設計用於螢幕檢視還是列印檢視。
PDF 中的註釋和註釋在註釋屬性中帶有自己的創建日期和作者資訊。
互動式 PDF 中的表單欄位可能包含引用組織系統或日期的預設值或 JavaScript。
PDF 檢視器標題列中顯示的文件標題可以設定為與元資料標題欄位不同。
即使元資料被刪除，書籤和文件大綱也會保留部分結構。
文件中的超連結可能引用包含日期資訊或組織識別碼的 URL。
文件中使用的字體清單可以從頁面內容流中恢復，並且可以指示建立軟體。
頁面標籤（PDF 檢視器中顯示的邏輯頁碼）可能與實體頁碼不同，並揭示文件結構。
頁面內容中嵌入的浮水印文字可能包含在文件建立期間套用的日期或作者資訊。
可以將文件校驗和或雜湊與已知文件進行比較，以識別原始來源。
文件大小模式、大圖像、多種字體、複雜向量圖形，可以指示文件類型和創建軟體。
特定 PDF 功能、圖層、組合、富媒體的存在顯示使用的是哪個軟體版本。
從文件中提取文字可以顯示頁首和頁尾文本，其中包括日期、文件 ID 或作者姓名。
文件加密方式，如果有密碼保護，則表示建立軟體的安全能力。
每個頁面的紙張尺寸和方向元資料可以指示文件是在公制還是英制測量區域中建立的。
通常可以從 PDF 產生者字串中識別文件建立平台（Windows、Mac 或 Linux）。
將這些取證線索拼接在一起可以產生文件來源的相當完整的圖片，即使在故意剝離元資料之後也是如此。
復原剝離的元資料需要檢查內部 PDF 結構和外部上下文來源。
| 證據來源 | 它揭示了什麼 | 可靠性 | 剝離電阻 |
|---|---|---|---|
| XMP 元資料流 | 作者、日期、自訂字段 | 高的 | 經常被基本脫衣舞者錯過 |
| 嵌入字體日期 | 字體建立日期 | 中等的 | 非常高（在字體檔案中） |
| 影像 EXIF 數據 | 拍攝日期、相機、軟體 | 中等的 | 非常高（在影像資料中） |
| 檔案系統時間戳 | 文件創建/修改 | 低的 | 不適用（PDF 外部） |