Czarny prostokąt to nie usuwanie danych

PDF nie jest obrazem strony. To zbiór instrukcji: narysuj ten znak w tym miejscu, tym krojem pisma, potem kolejny. Widoczny tekst to ciąg znaków zapisany w strumieniu treści wraz ze współrzędnymi, które pozwalają czytnikowi ułożyć go na stronie.

Rysując prostokąt, dodajesz kolejną instrukcję: narysuj wypełniony kształt w tym miejscu. Jest wykonywana po instrukcjach tekstu, więc kształt trafia na wierzch. Oko na nim się zatrzymuje.

Instrukcja rysująca tekst zostaje w pliku. Nietknięta. Zaznacz obszar i skopiuj go, a słowa trafią do schowka, bo zaznaczanie odczytuje strumień treści, nie piksele. To samo zobaczy biblioteka do ekstrakcji tekstu, wyszukiwarka i czytnik ekranu.

To nie błąd programu. Prostokąt jest elementem rysunku i robi dokładnie to, do czego służy.

W 2005 roku armia USA opublikowała w PDF-ie raport o ostrzelaniu Nicoli Calipariego w Iraku. Część fragmentów zaczerniono. Po skopiowaniu strony do edytora tekstu ukryte treści wracały, razem z nazwiskami i informacjami o ruchach wojsk. Pentagon wycofał plik, ale jego kopie krążyły już w sieci.

W 2009 roku amerykańska Administracja Bezpieczeństwa Transportu (TSA) opublikowała w ten sam sposób podręcznik procedur kontroli. Badacze odzyskali cały tekst w ciągu kilku godzin.

W 2019 roku prawnicy Paula Manaforta złożyli w sądzie dokument, w którym kilka fragmentów zakryto czarnymi paskami. Dziennikarze skopiowali tekst spod pasków. Odkryli między innymi, że Manafort udostępnił Konstantinowi Kilimnikowi dane sondażowe z kampanii.

Trzy organizacje z prawnikami, procedurami kontroli i silną motywacją, by nie popełnić błędu. Ten mechanizm nie uwzględnia ostrożności. Nie wygląda na błąd, dopóki nie znajdzie go ktoś z zewnątrz.

Żeby tekst zniknął, instrukcję, która go rysuje, trzeba usunąć ze strumienia treści, a plik zapisać ponownie bez niej. Właściwe narzędzia do usuwania danych zaznaczają obszar, ustalają, które znaki się w nim znajdują, wycinają je ze strumienia i dopiero wtedy nanoszą czarne pole jako ślad po usunięciu.

Dwie operacje dają identyczny zrzut ekranu. Tylko jedna zmienia zawartość pliku.

Dotyczy to też innych danych zawartych w dokumencie. Metadanych z nazwiskiem autora i pierwotną nazwą pliku. Wcześniejszych wersji zapisanych w historii. Komentarzy, adnotacji i załączników. Także przyciętego obrazu, który poza widocznym kadrem nadal zawiera pełne zdjęcie. Każdy z tych elementów może przechowywać dane, które miały zniknąć.

Nie potrzeba specjalnego narzędzia.

Otwórz PDF w dowolnym czytniku. Zaznacz zakryty obszar, skopiuj go i wklej do prostego edytora tekstu. Jeśli tekst się pojawi, dane nie zostały usunięte. Potem użyj Ctrl+F i wyszukaj słowo, które miało zniknąć. Wynik w czarnym polu oznacza to samo.

W dziesięć sekund wykryjesz w ten sposób najczęstszy błąd. Test nie wykryje metadanych, adnotacji ani treści poza widocznym obszarem strony. Przy wrażliwych dokumentach to punkt wyjścia, nie pełna kontrola.

Wybierz narzędzie, którego funkcja usuwania danych wyraźnie informuje o trwałym usunięciu treści. Nie wystarczy narzędzie do rysowania kształtów i zaznaczeń. W większości profesjonalnych programów PDF usuwanie danych jest osobną funkcją i pojawia się ostrzeżenie, że operacji nie da się cofnąć. Właśnie o to chodzi.

Sprawdzaj plik po eksporcie, nie wersję otwartą w edytorze. Edytor wie, co zamierzałeś. Odbiorca dostaje wyeksportowane bajty.

hddn działa w ten drugi sposób: po zatwierdzeniu usuwa dane z eksportowanego PDF-a, zamiast je zakrywać. Każde wykryte miejsce sprawdzasz i zatwierdzasz sam. Dokument podczas pracy nie opuszcza urządzenia.

Niezależnie od narzędzia, przed wysłaniem pliku wykonaj test kopiowania. Zajmuje dziesięć sekund. Tyle wystarczy, by uniknąć błędu, który potem zostaje na lata.