Jak dokázat, kdo vynesl soubor (a co se počítá jako důkaz)

Proč je „kdo to vynesl” těžké

Když se soubor objeví tam, kde nemá, obvykle vypadá přesně jako kopie, kterou dostali všichni. Snímek obrazovky, přeposlané PDF nebo znovu nahraný obrázek sundá většinu toho, co by ho mohlo poznat: název souboru, metadata, e-mail, ze kterého přišel. Bez něčeho jedinečného v každé kopii vypadá každý příjemce stejně.

Proto se práce, na které záleží, děje před únikem: každému pošleš kopii, kterou později rozeznáš, a vedeš záznam, kdo dostal kterou.

Co můžeš opravdu zjistit

Ber to jako vrstvy. Každá zužuje a žádná není sama o sobě konečná.

1. Která kopie unikla. Když měl každý příjemce jedinečně označenou kopii, zjištění značky řekne, ze které kopie uniklý soubor vyšel.
2. Kdo tu kopii dostal. Tvůj soukromý seznam kódů příjemců spojí kopii s člověkem, týmem nebo firmou.
3. Jak byla doručena. Odeslané e-maily, odkazy ke sdílení, záznamy stažení a přístupu ukazují, kdy a jak ta kopie odešla.
4. Co se stalo potom. Kdo další měl přístup ke schránce, zařízení nebo sdílené složce té osoby. Tady to přestává být technické.

Shoda pokrývá první vrstvu. Tvoje záznamy pokrývají druhou a třetí. Čtvrtá obvykle potřebuje rozhovor.

Záznamy, které stojí za to držet (než cokoli unikne)

• Soukromý seznam příjemců: který kód šel komu a kdy.
• Samotné odeslané kopie, nebo způsob, jak je znovu vytvořit, abys je mohl později porovnat.
• Záznamy doručení: odeslaný e-mail, odkaz a jeho záznam přístupů, nebo nahrání do datové místnosti.
• Kontext: NDA nebo podmínky, se kterými souhlasili, pokud nějaké jsou.

Seznam nech na místě, které je vidět jen tobě nebo tvému týmu. Kód příjemce sdílený veřejně přestane být užitečný.

Jak funguje značka na příjemce

Neviditelný forenzní vodoznak mění pixely drobnými způsoby, kterých si při běžné velikosti zobrazení nikdo nevšimne, a každá kopie dostane jiný vzor. Protože je vzor rozložený po celém obrázku a opakovaný, část může přežít snímek obrazovky, nové uložení nebo ořez.

V Markedfile nese každý podporovaný soubor také značku HMAC v metadatech pro ten pracovní prostor. Pomáhá to, když se soubor sdílí tak, jak je, ale snímky obrazovky a mnoho platforem metadata sundá, takže často zbude vizuální vzor. Označit lze obrázky PNG, JPEG a WebP, PDF, textové soubory a balíčky založené na ZIP (včetně souborů Office). Ostatní binární soubory se vrátí uvnitř označeného ZIP. Značky v textu a v balíčku jsou křehké: nepřežijí snímky obrazovky ani vyjmutí obsahu. Obrázky a PDF nesou vizuální vzor.

Když se najde shoda, Markedfile hlásí jistotu: asi 99 % u přesného souboru, 95 % ze samotné značky v metadatech a asi 81 % u znovu uloženého JPEG nebo snímku obrazovky. Jsou to hlášená skóre, ne zaručené zjištění. U videa na Business a Enterprise zůstává shoda jen podle obrazu na 85 % jistoty nebo níž. Smazání záznamu ukončí detekci.

Co shoda ukazuje a co ne

Příjemce ho mohl poslat dál kolegovi, ztratit notebook nebo mít napadený účet. Proto je shoda stopa, kterou ověřuješ, ne důkaz úmyslu.

Co dělá značku hůř zjistitelnou

• Ořezy: asi 256 px detailní plochy je přibližné minimum. Menší nebo plošší plochy mohou selhat. Je to hrubé vodítko, ne strop.
• Malé obrázky: Obrázky a snímky videa pod 96×96 px se odmítají; všechno ostatní používá stejný vzor.
• Těžké úpravy: silná komprese, rozmazání, filtry nebo retuš mohou značku zničit.
• Otočení: většina otočení o 90° je v pořádku. Otočení spolu se silným, nerovnoměrným natažením ji může rozbít.
• Snímky obrazovky PDF: Snímek obrazovky PDF je v mezích možností a není zaručený. Kdykoli můžeš, nahraj samotné PDF. Dá se zkontrolovat, když ukazuje horní polovinu textové stránky s okraji, čtverec asi 200 bodů na vstupence, čtverec asi 320 bodů na snímku prezentace nebo čtverec asi 160 bodů na fotografii. Hustý text sám o sobě se nezjistí.
• Neoznačené soubory: to, co se poslalo před označením, se nedá vystopovat.

Detekce není nikdy na 100 %.

Co dělat, když něco unikne

1. Ulož to, co jsi našel, i s tím, kde a kdy jsi to našel. Sežeň původní soubor, když můžeš, ne jen snímek obrazovky.
2. Prožeň ho přes Zjistit a poznamenej výsledek a jistotu.
3. Spáruj kód se soukromým seznamem a vytáhni záznamy doručení té kopie.
4. Mluv s člověkem klidně. Zeptej se, jak se soubor sdílel na jeho straně. Mnoho úniků se ukáže jako neopatrné přeposlání.
5. Nikoho veřejně neobviňuj jen na základě shody.
6. Vezmi si právní radu před formálním krokem, třeba výpovědí, nárokem z NDA nebo žádostí o stažení.
7. Příště utáhni to, co posíláš: méně příjemců, citlivé části zvlášť, odkazy s kratší životností.

Kde má tenhle postup meze

• Únikům nezabrání. Dělá označené kopie vystopovatelné, nic víc.
• Identifikuje kopii, ne člověka.
• Přepsaný nebo parafrázovaný obsah se nesleduje, a ani něco vytvořené znovu od nuly.
• Fotka obrazovky je těžší než snímek obrazovky, protože obraz víc zhorší.
• Jestli se to počítá jako důkaz, záleží na tom, kde jsi a jaký je proces. To je otázka pro právníka, ne pro nástroj.
• Smazání záznamu ukončí detekci. Není tu samostatné ovládání, které by detekci zastavilo, dokud soubor zůstává aktivní.

FAQ

Můžu dokázat, kdo vynesl soubor, když jsem všem poslal stejnou kopii? Obvykle ne ze samotného souboru. Bez něčeho jedinečného v každé kopii vypadá každý příjemce stejně. Záznamy doručení pořád můžou pomoct zúžit pole.

Stačí shoda vodoznaku k tomu, abys někoho vyhodil nebo zažaloval? Sama o sobě by se tak brát neměla. Ukazuje, která kopie unikla, ne kdo ji sdílel ani proč. Promluv si s právníkem před formálním krokem.

Funguje to na snímcích obrazovky? Často, v mezích: značka je udělaná tak, aby přežila snímky obrazovky, ale těžké úpravy, malé ořezy a silná komprese ji můžou zničit. Asi 256 px detailní plochy je přibližné minimum. U PDF nahraj samotné PDF, když to jde. Snímek obrazovky PDF je v mezích možností a není zaručený.

Můžu vystopovat soubor, který jsem poslal, než jsem začal označovat? Ne. Vystopovat se dají jen kopie označené před odesláním.

Začni, než odejde další soubor

Vyber soubory, které by nejvíc bolely, kdyby unikly, dej každému příjemci vlastní označenou kopii v Markedfile a seznam drž v soukromí. Obsah souborů se zpracovává v paměti a neukládá se. Související čtení: jak vystopovat uniklé PDF a co je forenzní vodoznak.