기자와 제보자: 공개하기 전에 문서가 드러내는 것
문서가 조직 밖으로 나갈 때, 페이지에서 읽히는 것은 일부일 뿐입니다. 안에는 작성자 이름, 그 사람 회사의 이름, 그 뒤에 누가 얼마 동안 손을 댔는지가 있을 수 있고, 스캔한 종이라면 맨눈으로는 보이지 않는 표시도 있습니다. 제보자에게 그것은 익명으로 남느냐 아니냐의 차이가 될 수 있습니다.
Office 파일이나 PDF가 담고 다니는 것
- Word, Excel, PowerPoint 파일에는: 작성자, 마지막으로 고친 사람, 회사, 수정 횟수, 총 편집 시간, 서식 파일, 날짜. 프로그램이 사용 중인 계정의 정보로 알아서 채웁니다.
- PDF에는: 작성자, 제목, 만든 프로그램과 변환한 프로그램, 날짜, 그리고 흔히 이 모든 것을 되풀이하고 때로는 이력까지 덧붙이는 XMP 블록.
- 그 안에 든 이미지에는: 문서에 붙여 넣은 사진은 GPS를 포함해 자기 메타데이터를 그대로 가지고 있을 수 있습니다.
사례: 이라크 문서
2003년 영국 정부는 이라크에 관한 보고서를 Word 파일로 웹사이트에 올렸는데, 나중에 일부가 한 학술 논문을 베낀 것으로 밝혀졌습니다. 연구자 Richard M. Smith는 파일에서 페이지에는 보이지 않는 수정 기록을 꺼냈고, 거기에는 작업에 참여한 사람들의 사용자 이름이 있었습니다. 한 기자가 이들을 Downing Street와 Foreign Office 직원으로 확인했습니다. Smith는 이를 2003년 6월 30일에 공개했습니다.
모든 것이 메타데이터는 아닙니다: 스캔
종이를 스캔하거나 사진으로 찍어도 흔적은 사라지지 않습니다. 바뀔 뿐입니다. 많은 컬러 레이저 프린터는 모든 페이지에 거의 보이지 않는 아주 작은 노란 점을 찍는데, 이 점들은 프린터와 인쇄 작업에 관한 정보를 담고 있습니다.
2017년 The Intercept는 스캔한 NSA 문서를 공개했습니다. 기자들과 보안 전문가들은 나중에 공개된 이미지에서 그 점들이 보인다고 지적했습니다. 문서를 유출한 분석가 Reality Winner에 대한 사건은 다른 증거에 기댔습니다. 누가 그 문서를 인쇄했는지, 언론사와의 연락, 종이의 접힌 자국이었고, 그는 기사가 나오기 이틀 전에 체포되었습니다. 그래도 이 사건은 교훈을 남겼습니다. 제보자에게서 나와 공개되는 것은 보기보다 그 사람에 대해 더 많은 것을 말할 수 있습니다.
문서를 공개하거나 보내기 전에
- 무엇이 담겼는지 보세요. Word, Excel, PowerPoint, PDF 파일을 KillEXIF에 끌어다 놓으면 작성자, 회사, 날짜, 나머지가 보입니다. 분석은 브라우저 안에서 이뤄지고 문서는 컴퓨터를 떠나지 않습니다. 민감한 문서에서 바로 그것이 중요합니다.
- 스크린숏이 아니라 파일을 정리하세요. KillEXIF는 내용을 건드리지 않고 문서의 속성을 지우며, 그 뒤 아무것도 남지 않았는지 확인합니다.
- 가린 것이 언제나 가려진 것은 아닙니다. PDF에서 글자 위에 얹은 검은 상자는 보이지 않게 할 뿐일 수 있습니다. 글자는 그 아래 그대로 있고 복사할 수 있습니다. 이것은 메타데이터가 아니며, 어떤 메타데이터 도구로도 고칠 수 없습니다. 글자를 실제로 지워야 합니다.
- 종이라면 원본 이미지가 아니라 옮겨 적거나 재현해서 공개하고, 내용 자체가 무엇을 드러내는지 생각하세요. 바로 그 문서에 누가 접근할 수 있었는지.