Защита источников: Чеклист. Что необходимо проверить перед публикацией секретных документов

Необычные документы могут привести к резонансной публикации — а также к страшным проблемам для источников и уязвимых групп населения, если их использовать без достаточной осмотрительности. Недавно, The Intercept опубликовал статью о рассекреченном отчете АНБ, размещенного на DocumentCloud, в котором сообщается о причастности российского хакера к фишингу в отношении сотрудников избирательной компании США.

В то же время, ФБР арестовало государственного подрядчика, Реалити Виннер, за предположительный «слив» документов онлайн-информагентству. Показания под присягой частично раскрыли, каким образом Виннер была поймана ФБР на «сливе», включая штамп и физические характеристики документа, который разместил The Intercept.

The Intercept не единственный, кто оставил цифровой след в материале своей статьи. В статье под названием “А мы сейчас с Джоном МакАфи, лопухи,” Vice опубликовал фото Джона МакАфи (John McAfee), беглеца на тот момент. В этом фото были вложены GPS координаты, указывающие на место расположения источника, которого вскоре официально задержали. В 2014 в The New York Times неправильно отредактировали документ Агентства Национальной Безопасности из сокровищ Сноудена и раскрыли имя агента АНБ.

Первый шаг в работе с любым секретным материалом — это определить, что случится, если герои публикации или общественность ознакомится с данным материалом. Иногда тяжело приостановиться в спешке перед публикацией статьи, но некоторые размышления над характером публикуемой информации, над тем, что необходимо опубликовать, что может быть использовано неожиданным способом, и что может навредить людям, могут предотвратить реальные проблемы.

Список действий по секретным документам

Удаление потенциально опасной информации из документов — дело нелегкое. Чтобы сделать это немного проще, DocumentCloud создал список действий, которые необходимо предпринять прежде, чем публиковать важный документ. Но даже если материал не публикуется на DocumentCloud, этот список поможет журналистам, новостным организациям и другим медиа защитить свои источники или других уязвимых людей от вреда, который могут нанести материалы, опубликованные в статье.

ЗАДАЙТЕ СЕБЕ ВОПРОСЫ:

✔ Вы очистили метаданные документа?

Многие современные форматы файлов содержат метаданные для поддержки популярных функций. Если вы использовали режим редакторской правки или геопривязку к фото, обе эти формы метаданных могут продолжать существовать невидимо в документе и раскрыть информацию о незащищенных людях/источниках. Кроме этих двух примеров, есть форматы метаданных для всех современных файлов, от строки заголовка в электронной почте до деталей ID3, интегрированных в каждый файл MP3. Это может показаться пугающе сложным, но поиск форматов имеющихся файлов плюс слово «метаданные» помогут вам найти инструменты для анализа и, если необходимо, удаления метаданных.

Несколько примеров:

• Документы Microsoft Word: Эти документы могут содержать несколько типов скрытой информации. Вот инструкция.
• Изображения: EXIF это метаданные, прикрепленные к цифровым фотографиям. Существует довольно много онлайн программ для просмотра EXIF, но если Вы не хотите загружать туда секретный материал, вы также можете просмотреть EXIF данные на собственном компьютере при помощи дополнительных модулей веб-браузеров для Firefox и Chrome.
• PDF: Вот обзор свойств и метаданных PDF. Платформа DocumentCloud конвертирует изображения, документы Word и Excel, а также страницы HTML в PDF. В такой конвертации DocumentCloud удаляет метаданные из оригинала при создании PDF. Однако, в данный момент DocumentCloud не удаляет метаданные из документов, которые были загружены напрямую в формате PDF.

✔ Вы проверили идентификаторы?

Идентификаторы могут содержать:

Точки принтера Водяные знаки Варианты текста/шрифта Необычные интервалы Пунктирные линии — пример микроточек принтера.

Документы могут модифицироваться, чтобы автор мог отследить дальнейшую судьбу файла после его создания. Самой старой техникой для этого является создание едва заметного знака на бумаге — традиционного водяного знака. Что касается цифровых документов, различий в тексте, интервалов, правописания или даже построения фраз – все они могут указать на конкретных людей или группы людей в ходе поиска источника потенциальной утечки. В дополнение к этому, принтеры могут «подписывать» бумажные документы путем добавления микроточек, которые отпечатываются прямо на документе и едва видны человеческому глазу.

Может быть, тяжело приостановиться в спешке перед публикацией статьи, но некоторые размышления над природой публикуемой информации могут предотвратить реальные проблемы

Устранение таких нюансов требует тщательного изучения документов, поиска красноречивых доказательств и изменения документа для сокрытия его происхождения. Иногда может потребоваться пересоздание документа, но это Ваше решение, которое Вы должны принимать в каждом конкретном случае.

Проверка не гарантирует защиту, но определение и исправление интервалов, правописания и физическое определение характерных особенностей документа могут уменьшить риск для людей, которые окажутся в опасности, как только документ будет опубликован.

✔ Вы приняли во внимание другую информацию, которая может поставить людей под удар после публикации данного документа?

При определении событийной ценности документа также стоит принять во внимание то, что случится, когда общественность или рассматриваемые в документе лица увидят этот документ. Иногда детали, которые по отдельности не позволяют идентифицировать личность, могут быть сопоставлены с другой информацией, доступной общественности в статьях или на веб страницах, и могут неумышленно раскрыть новые подробности или помочь определить источник «слива».

Сложно определить заранее, возможно ли это, но стоит потратить некоторое время на рассмотрение такого варианта. Определенно идентифицирующая информация — такая как географические или персональные детали — часто помогает быстро вычислить анонима. Преследователи (или хуже) могут найти уязвимых людей.

⁠⁠⁠✔ Документ как следует отредактирован?

Документы могут содержать деликатную информацию, которые вы должны отредактировать, чтобы скрыть от посторонних глаз. Это могут быть адреса, номера телефонов, личная информация или информация, которая может раскрыть источник. Существует целый ряд инструментов для редактирования, включая DocumentCloud, которые зачистят текст и видимое содержимое документа. Но важно понимать, как работает ваш инструмент для редактирования, и проверить результаты. Недостаточно просто зарисовать черными квадратиками цифровой текст, который вы хотите отредактировать — сам по себе текст должен быть полностью удален из документа.

Недостаточно просто зарисовать черными квадратиками цифровой текст, который вы хотите отредактировать — сам по себе текст должен быть полностью удален из документа.

Например, с помощью DocumentCloud можно удалить цифровую страницу из PDF, и заменить страницу снимком этой страницы. Затем DocumentCloud использует оптическое распознавание текста (OCR) на изображении и использует полученный текст для создания документа. Тогда будет невозможно случайное появление текста, который вы хотели удалить, в вашем документе. В DocumentCloud вы можете проверить результаты при помощи нажатия на текстовую таблицу в программе просмотра, а также проверить ссылку на оригинал  документа.

Какой бы инструмент вы ни использовали, изучите инструкции, чтобы убедиться, что документ отредактирован, прежде чем он будет опубликован.

✔ Необходима ли для статьи публикация этого документа?

Придание гласности только необходимого по содержанию и контексту материала минимизирует возможный ущерб и обращает внимание читателя на наиболее важные моменты.

Мы надеемся, что, следуя данному списку и тщательное обдумывая то, как документ будет воспринят и использован общественностью, журналисты смогут обеспечить максимальную эффективность доказательств, подтверждающих правдивость их статей, и, в то же время, минимизируют ущерб источникам и случайным свидетелям.

Данная статья впервые вышла на Source, веб сайте Open News , и опубликована тут с разрешения автора. Она также была переведена на арабский язык GIJN.

Тед Хан — директор технологической службы @DocumentCloud. Изучал компьютерную лингвистику и работал с технологиями и стартапами больше 10 лет. Он принимал участие в Knight Mozilla Journalism Challenge и работал над DataMapper, Merb и другими проектами по обработке данных.

Куинн Нортон — технический журналист, которая начала изучать хакеров в 1995 году. Ее статьи публиковали в Wired, The Atlantic и Maximum PC, она также пишет о науке, авторских правах, робототехнике, модификации тела и медицине, но как бы она ни старалась переключиться на другие темы, она всегда возвращается к хакерам.