Proteggere le fonti: oscuramento dei PII e rimozione dei metadati per i giornalisti
Una fonte può essere smascherata dalla cosa più piccola che si trascura: i metadati nascosti di un documento, un riquadro nero che non è davvero un oscuramento, un colloquio caricato su un servizio di trascrizione o il tag GPS all’interno di una singola foto. Occlira l’aiuta a rimuovere quei dati identificativi da documenti, audio e immagini sul suo computer, così non toccano mai un servizio cloud. Questa pagina fornisce informazioni generali, non consulenza legale o di sicurezza — e non sostituisce un piano completo di sicurezza operativa.
Come un documento trapelato può smascherare una fonte
Nel 2017, un rapporto della NSA sulle intrusioni nei sistemi elettorali è stato pubblicato come scansione di una pagina stampata. Portava ancora con sé i punti di tracciamento gialli quasi invisibili della stampante — e quando i ricercatori hanno invertito i colori, i punti si sono decodificati nel numero di serie della stampante (29535218) e nella data di stampa (9 maggio 2017). Uniti ai log di stampa dell’agenzia, quei dati nascosti hanno aiutato a identificare la responsabile della fuga di notizie, Reality Winner. (Fonte: Errata Security.) Si è dichiarata colpevole nel giugno 2018 ed è stata condannata a cinque anni e tre mesi — descritta dai procuratori come la più lunga pena federale per una divulgazione non autorizzata ai media. (Fonte: NPR.) Non è stato il contenuto del documento a incastrarla — sono stati i metadati.
I dati nascosti dentro un documento
Quei punti della stampante sono un esempio di una verità più ampia: ogni file porta con sé una firma forense che non si può vedere. Molte stampanti laser a colori codificano di nascosto un Machine Identification Code — una griglia di minuscoli punti gialli con il numero di serie della stampante e la data e l’ora di stampa — che la EFF ha decodificato pubblicamente nel 2005; la EFF avverte che non esistono “leggi che impediscano ai Servizi Segreti di usare i codici delle stampanti per risalire di nascosto” da un documento alla sua fonte. (Fonte: EFF.) I file digitali non sono diversi. La Freedom of the Press Foundation mostra come la stringa del modello di uno scanner incorporata in un PDF possa aiutare a individuare dove in un edificio è stato prodotto un documento, e come i PDF e i file di Office nascondano ulteriori metadati identificativi nei campi autore, nella cronologia delle revisioni e negli oggetti incorporati — che andrebbero tutti rimossi, e ricontrollati, prima di pubblicare. (Fonte: Freedom of the Press Foundation.)
I riquadri neri non sono oscuramento
Un riquadro nero visivo non è la stessa cosa che rimuovere il testo. Nel gennaio 2019, gli avvocati di Paul Manafort hanno depositato un documento giudiziario in cui i passaggi oscurati potevano essere svelati semplicemente copiandoli e incollandoli — rivelando che aveva condiviso i dati dei sondaggi elettorali del 2016 con un contatto russo. Le barre erano poste sopra un livello di testo intatto, e i giornalisti hanno recuperato il contenuto nascosto nel giro di poche ore. (Fonte: Columbia Journalism Review.) Il vero oscuramento elimina i dati sottostanti — e la verifica significa qualcosa di più di un test di copia-incolla. La nostra guida su come oscurare Word, PDF ed Excel illustra come farlo correttamente — e Occlira esegue per lei quell’oscuramento basato sull’eliminazione, in locale, con un passaggio di revisione prima che qualsiasi cosa venga pubblicata.
Il rischio della trascrizione cloud per i colloqui riservati
Caricare il colloquio con una fonte su un servizio di trascrizione significa consegnare una copia di quella registrazione a un’azienda. Quando la Freedom of the Press Foundation ha esaminato gli strumenti più diffusi, ha rilevato che possono tecnicamente accedere all’audio e alle trascrizioni caricati, e che diversi usano le registrazioni per addestrare l’IA o per la revisione umana — Descript per addestrare modelli di voce artificiale (validati da lavoratori in crowdsourcing), Otter per addestrare la propria IA e Rev, che usa i dati dei clienti per impostazione predefinita a meno che non si scelga di rinunciare. Nessuno offriva un report di trasparenza, quindi non c’è modo di sapere con quale frequenza ricevano o comunichino dati alle forze dell’ordine. (Fonte: Freedom of the Press Foundation.) L’esposizione non è ipotetica: Otter deve affrontare una class action secondo cui l’azienda otterrebbe il consenso “al massimo” dall’host di una riunione — non dalle altre persone registrate — e riutilizzerebbe quelle registrazioni per addestrare i propri modelli. (Fonte: National Law Review.) E nel 2022, il giornalista di Politico Phelim Kine ha ricevuto un sondaggio non richiesto di Otter che citava, per titolo, il suo colloquio registrato con un attivista per i diritti umani uiguro — l’azienda dapprima lo ha confermato, poi ha fatto marcia indietro. (Fonte: Otter.ai, riportato da Politico.)
Il consiglio per la libertà di stampa è di adeguare lo strumento alla riservatezza. Il formatore sulla sicurezza della FPF, il Dr. Martin Shelton, consiglia di riservare la trascrizione offline — Whisper di OpenAI, la trascrizione sul telefono in locale o la trascrizione a mano — ai colloqui troppo delicati per affidarli a terzi, e di usare gli strumenti cloud solo per l’audio non riservato che si intende pubblicare per intero. (Fonte: Freedom of the Press Foundation.)
Le foto possono tradire una posizione
Nel dicembre 2012, Vice ha pubblicato una foto del latitante John McAfee scattata con un iPhone con i metadati EXIF del GPS ancora intatti; le coordinate incorporate lo hanno localizzato in Guatemala vicino al confine con il Belize, e poco dopo è stato rintracciato. Non è servito alcun hackeraggio — le coordinate erano state semplicemente lasciate nel file. (Fonte: NPR.) La Freedom of the Press Foundation cita quel caso per spiegare il punto ai giornalisti: i metadati di una foto significano che “se te la mandassi via SMS o email in questo momento, saresti immediatamente in grado di determinare esattamente quando e dove è stata scattata” — il che ne fa una questione di protezione delle fonti, non solo di privacy personale. (Fonte: Freedom of the Press Foundation.) Sfocare un volto prima della pubblicazione aiuta — ma solo se la sfocatura è irreversibile; una sfocatura debole e la pixelatura possono essere annullate, quindi usi un riquadro pieno. Veda sfocare i volti e rimuovere gli EXIF per il metodo completo.
Dove Occlira aiuta
| Attività | Come Occlira aiuta |
|---|---|
| Gestire un documento trapelato | Un vero oscuramento dei PDF che elimina il testo sottostante — non i riquadri neri che hanno smascherato Manafort — e rimuove i metadati nascosti del file mentre lo fa. |
| Rimuovere i metadati nascosti | Rimuove i metadati di documenti e foto (campi autore, stringhe dello scanner, EXIF/GPS) sul suo computer — proprio quei dati invisibili che hanno smascherato delle fonti. |
| Trascrivere un colloquio riservato | Trascrizione in locale e bip su nomi e numeri, così la registrazione originale non viene mai caricata e non c’è alcuna società di trascrizione a cui rivolgere una richiesta giudiziaria. |
| Pubblicare una foto | Copra i volti con un riquadro pieno e rimuova la posizione EXIF/GPS della foto prima che esca. |
| Condividere una bozza | Rimuova i dettagli identificativi da una copia di lavoro prima che lasci il suo computer diretta a un redattore o a un collega. |
Perché farlo sul suo computer fa la differenza
Il filo che attraversa ognuno di questi casi è lo stesso: dati identificativi lasciati da qualche parte dove potevano essere trovati. Fare la rimozione sul suo computer significa che non c’è alcun caricamento, alcun account, e nessuna società terza che detiene l’audio o i documenti della sua fonte, esposti a una richiesta giudiziaria o a una violazione. Nulla lascia il computer di cui lei già si fida. Può leggere esattamente cosa resta sul suo dispositivo nella pagina Prassi su dati e privacy. Un’avvertenza onesta: la modalità di anonimizzazione reversibile di Occlira sostituisce gli identificativi con segnaposto e conserva la corrispondenza in locale — si tratta di pseudonimizzazione, quindi l’output resta un dato personale. Il vero oscuramento dei PDF, una registrazione esportata con i bip e un blocco EXIF rimosso, al contrario, sono irreversibili per progettazione — che è ciò che serve per qualsiasi cosa lei pubblichi.
Una checklist per la protezione delle fonti
- Rimuova i metadati del documento (autore, cronologia delle revisioni, stringhe di scanner/stampante) prima di pubblicare o condividere.
- Usi un vero oscuramento che elimina il testo — mai un riquadro nero sopra un livello di testo intatto — e verifichi che non si possa recuperare con un copia-incolla.
- Trascriva i colloqui riservati offline, sul suo computer, non con un servizio cloud.
- Copra con un bip il nome di una fonte e i numeri identificativi in qualunque audio condivida.
- Rimuova EXIF/GPS dalle foto e copra i volti con un riquadro opaco (non una sfocatura reversibile).
- Ricontrolli ogni file esportato — metadati vuoti, oscuramenti non recuperabili — prima che lasci il suo dispositivo.
Occlira è uno strumento che aiuta a proteggere le fonti — è lei a rivedere e confermare ogni voce. Non sostituisce il resto di un piano di sicurezza: le comunicazioni cifrate, le cassette sicure per la ricezione di documenti e un modello di minaccia per l’inchiesta a cui sta lavorando.
Domande frequenti
Il documento riservato della NSA che è stato pubblicato era la scansione di una pagina stampata, e portava ancora con sé i punti di tracciamento gialli quasi invisibili della stampante. Una volta decodificati, hanno rivelato il numero di serie della stampante e la data di stampa — metadati che hanno aiutato a restringere il cerchio fino alla fonte, Reality Winner, che l’aveva stampato. Si è dichiarata colpevole nel 2018 e ha ricevuto 63 mesi, all’epoca la pena più lunga negli Stati Uniti per una fuga di notizie verso i media. È l’esempio più chiaro del fatto che a tradire una fonte possono essere i dati nascosti di un documento, non il suo contenuto.
Molte stampanti laser a colori aggiungono di nascosto un “Machine Identification Code” — una griglia di minuscoli punti gialli, di meno di un millimetro, ripetuta su ogni pagina — che codifica il numero di serie della stampante e la data e l’ora di stampa. La EFF ha decodificato pubblicamente lo schema nel 2005 e avverte che non esistono leggi che impediscano ai Servizi Segreti di usarlo per risalire da un documento alla sua fonte.
Perché un riquadro è di solito soltanto una forma disegnata sopra un livello di testo intatto — le parole sono ancora nel file e possono essere recuperate con un copia-incolla. Nel gennaio 2019, gli avvocati di Paul Manafort hanno depositato un documento i cui passaggi oscurati erano leggibili in questo modo nel giro di poche ore. Il vero oscuramento elimina il contenuto sottostante; dopodiché si verifica che sia effettivamente sparito.
Lo consideri un rischio. La Freedom of the Press Foundation ha rilevato che i più diffusi servizi di trascrizione cloud possono tecnicamente accedere all’audio caricato, e che diversi usano le registrazioni per addestrare la propria IA o per la revisione umana. Otter deve inoltre affrontare una class action per aver registrato senza il consenso di tutti i partecipanti. Per una fonte riservata, la registrazione originale non dovrebbe proprio lasciare il suo computer.
Trascriva offline. Il formatore sulla sicurezza della FPF, il Dr. Martin Shelton, consiglia di riservare la trascrizione in locale o manuale — strumenti come Whisper di OpenAI, la trascrizione sul telefono in locale o la trascrizione a mano — ai colloqui troppo delicati per affidarli a terzi, e di usare gli strumenti cloud solo per l’audio non riservato che si intende pubblicare per intero.
Li rimuova come passaggio deliberato — non spariscono da soli. Per i documenti, elimini i campi autore, la cronologia delle revisioni e gli oggetti incorporati; per le foto, rimuova gli EXIF, che includono le coordinate GPS, il modello della fotocamera e le marche temporali. Occlira lo fa sul suo computer per documenti, fogli di calcolo, email e foto, senza caricare nulla.
Spesso sì — sfocatura e pixelatura possono essere invertite da un software, quindi non costituiscono un oscuramento sicuro. Per nascondere un volto prima della pubblicazione, lo copra con un riquadro pieno e opaco. Trattiamo le prove e la soluzione nella nostra guida su come sfocare i volti e rimuovere gli EXIF.
No. È uno strumento di protezione delle fonti che aiuta con un insieme specifico di attività — oscuramento, rimozione dei metadati, trascrizione in locale e bip sull’audio, sfocatura dei volti e rimozione degli EXIF — con lei a rivedere ogni risultato. Non è una consulenza legale o di sicurezza, e non sostituisce le comunicazioni cifrate, le cassette sicure per la ricezione di documenti o un modello di minaccia per una determinata inchiesta.
Lo provi sul suo computer
Rimuova i metadati, oscuri davvero, trascriva offline e sfochi i volti — tutto sul suo computer. Gratis per 14 giorni su Windows e macOS.
Altro: oscurare Word, PDF ed Excel · rimuovere dati dall’audio · sfocare i volti e rimuovere gli EXIF · cosa sono i PII? · come vengono trattati i suoi dati