Jak udowodnić, kto udostępnił plik (i co liczy się jako dowód)

Dlaczego „kto to udostępnił” jest trudne

Gdy plik pojawia się tam, gdzie nie powinien, zwykle wygląda dokładnie jak kopia, którą dostali wszyscy. Zrzut ekranu, przekazany PDF albo ponownie wgrany obraz zabiera większość tego, co mogłoby go rozpoznać: nazwę pliku, metadane, e-mail, z którego wyszedł. Bez czegoś unikalnego w każdej kopii każdy odbiorca wygląda tak samo.

Dlatego praca, która ma znaczenie, dzieje się przed wyciekiem: wysyłasz każdej osobie kopię, którą później rozróżnisz, i prowadzisz zapis, kto dostał którą.

Co naprawdę możesz ustalić

Myśl o tym warstwami. Każda zawęża, i żadna sama nie jest rozstrzygająca.

1. Która kopia wyciekła. Jeśli każdy odbiorca miał unikalnie oznaczoną kopię, wykrycie znaku mówi, z której kopii wyszedł wyciekły plik.
2. Kto dostał tę kopię. Twoja prywatna lista kodów odbiorców łączy kopię z osobą, zespołem albo firmą.
3. Jak została dostarczona. Wysłane e-maile, linki do udostępnienia, dzienniki pobrań i zapisy dostępu pokazują, kiedy i jak ta kopia wyszła.
4. Co stało się potem. Kto jeszcze miał dostęp do skrzynki, urządzenia albo folderu współdzielonego tej osoby. Tu przestaje to być sprawa techniczna.

Trafienie pokrywa pierwszą warstwę. Twoje zapisy pokrywają drugą i trzecią. Czwarta zwykle potrzebuje rozmowy.

Zapisy, które warto trzymać (zanim cokolwiek wycieknie)

• Prywatna lista odbiorców: który kod poszedł do kogo i kiedy.
• Same wysłane kopie, albo sposób, żeby je odtworzyć, żebyś mógł później porównać.
• Zapisy dostarczenia: wysłany e-mail, link i jego dziennik dostępu, albo wgranie do data roomu.
• Kontekst: NDA albo warunki, na które się zgodzili, jeśli są.

Trzymaj listę w miejscu widocznym tylko dla ciebie albo twojego zespołu. Kod odbiorcy udostępniony publicznie przestaje być użyteczny.

Jak działa znak na odbiorcę

Niewidoczny forensyczny znak wodny zmienia piksele w drobny sposób, którego nikt nie zauważa przy zwykłym rozmiarze oglądania, a każda kopia dostaje inny wzór. Ponieważ wzór jest rozłożony na całym obrazie i powtórzony, część może przetrwać zrzut ekranu, ponowny zapis albo kadr.

W Markedfile każdy obsługiwany plik niesie też znak HMAC w metadanych dla tego obszaru roboczego. Pomaga to, gdy plik jest udostępniany bez zmian, ale zrzuty ekranu i wiele platform zdejmuje metadane, więc często zostaje wzór wizualny. Można oznaczać obrazy PNG, JPEG i WebP, pliki PDF, pliki tekstowe i paczki oparte na ZIP (w tym pliki Office). Inne pliki binarne wracają wewnątrz oznaczonej paczki ZIP. Znaki w tekście i w paczce są kruche: nie przeżywają zrzutów ekranu ani wyjęcia treści. Obrazy i pliki PDF niosą wzór wizualny.

Gdy znajdzie się trafienie, Markedfile podaje pewność: około 99% dla dokładnego pliku, 95% z samego znaku w metadanych i około 81% dla ponownie zapisanego JPEG albo zrzutu ekranu. To zgłoszone wyniki, nie gwarantowane wykrycie. W wideo na Business i Enterprise trafienie tylko po obrazie zostaje na 85% pewności albo niżej. Usunięcie rekordu kończy wykrywanie.

Co pokazuje trafienie, a czego nie

Odbiorca mógł przekazać plik koledze, zgubić laptop albo mieć przejęte konto. Dlatego trafienie to trop, który sprawdzasz, nie dowód intencji.

Co utrudnia wykrycie znaku

• Kadry: około 256 px szczegółowego obszaru to przybliżone minimum. Mniejsze albo bardziej płaskie obszary mogą zawieść. To zgrubna wskazówka, nie sufit.
• Małe obrazy: Obrazy i klatki wideo poniżej 96×96 px są odrzucane; cała reszta używa tego samego wzoru.
• Ciężkie edycje: silna kompresja, rozmycie, filtry albo retusz mogą zniszczyć znak.
• Obroty: większość obrotów o 90° jest w porządku. Obrót połączony z mocnym, nierównym rozciągnięciem może go złamać.
• Zrzuty ekranu PDF: Zrzut ekranu PDF jest w granicach możliwości i nie jest gwarantowany. Wgrywaj sam PDF, kiedy możesz. Da się go sprawdzić, jeśli pokazuje górną połowę strony tekstowej z marginesami, kwadrat około 200 punktów na bilecie, kwadrat około 320 punktów na slajdzie albo kwadrat około 160 punktów na fotografii. Sam gęsty tekst nie jest wykrywany.
• Pliki bez znaku: tego, co wysłano przed oznaczeniem, nie da się wyśledzić.

Wykrywanie nigdy nie jest w 100%.

Co robić, gdy coś wycieknie

1. Zachowaj to, co znalazłeś, razem z miejscem i czasem. Weź oryginalny plik, jeśli możesz, nie sam zrzut ekranu.
2. Puść go przez Wykryj i zapisz wynik oraz pewność.
3. Dopasuj kod do prywatnej listy i wyciągnij zapisy dostarczenia tej kopii.
4. Porozmawiaj z osobą spokojnie. Zapytaj, jak plik został udostępniony po jej stronie. Wiele wycieków okazuje się nieuważnym przekazaniem dalej.
5. Nie oskarżaj nikogo publicznie wyłącznie na podstawie trafienia.
6. Weź poradę prawną przed formalnym krokiem, takim jak zwolnienie, roszczenie z NDA albo wniosek o zdjęcie.
7. Ściśnij to, co wysyłasz następnym razem: mniej odbiorców, wrażliwe części osobno, linki o krótszym życiu.

Gdzie to podejście ma granice

• Nie zapobiega wyciekom. Sprawia, że oznaczone kopie da się wyśledzić, i nic więcej.
• Wskazuje kopię, nie osobę.
• Treści przepisanej albo sparafrazowanej się nie śledzi, ani czegoś odtworzonego od zera.
• Zdjęcie ekranu jest trudniejsze niż zrzut ekranu, bo bardziej psuje obraz.
• Czy liczy się jako dowód, zależy od tego, gdzie jesteś i jaki jest proces. To pytanie do prawnika, nie do narzędzia.
• Usunięcie rekordu kończy wykrywanie. Nie ma osobnego sterowania, które zatrzymuje wykrywanie, gdy plik zostaje aktywny.

FAQ

Czy mogę udowodnić, kto udostępnił plik, jeśli wysłałem wszystkim tę samą kopię? Zwykle nie z samego pliku. Bez czegoś unikalnego w każdej kopii każdy odbiorca wygląda tak samo. Dzienniki dostarczenia nadal mogą pomóc zawęzić pole.

Czy trafienie znaku wodnego wystarczy, żeby kogoś zwolnić albo pozwać? Samo w sobie nie powinno być tak traktowane. Pokazuje, która kopia wyciekła, nie kto ją udostępnił ani dlaczego. Porozmawiaj z prawnikiem przed formalnym krokiem.

Czy działa na zrzutach ekranu? Często, w granicach: znak jest zrobiony tak, żeby przeżyć zrzuty ekranu, ale ciężkie edycje, małe kadry i silna kompresja mogą go zniszczyć. Około 256 px szczegółowego obszaru to przybliżone minimum. Przy PDF wgrywaj sam PDF, kiedy możesz. Zrzut ekranu PDF jest w granicach możliwości i nie jest gwarantowany.

Czy mogę wyśledzić plik, który wysłałem, zanim zacząłem oznaczać? Nie. Śledzić da się tylko kopie oznaczone przed wysłaniem.

Zacznij, zanim wyjdzie następny plik

Wybierz pliki, które najbardziej by zabolały, gdyby wyciekły, daj każdemu odbiorcy własną oznaczoną kopię w Markedfile i trzymaj listę prywatnie. Treść plików jest przetwarzana w pamięci i nie jest przechowywana. Dalej: jak wyśledzić wyciekły PDF i czym jest forensyczny znak wodny.