Dziennikarze: jak prywatnie obchodzić się z poufnymi dokumentami i źródłami

Źródło podsuwa Ci PDF. Może to wewnętrzna notatka, umowa, której ktoś nie miał prawa zatrzymać, skan dokumentu, który dowodzi tego, za czym gonisz od miesięcy. Twoim zadaniem jest teraz przeczytać go, popracować z nim, bezpiecznie przechować i nigdy nie dopuścić, by cokolwiek, co robisz, doprowadziło z powrotem do osoby, która Ci go dała.

Ta ostatnia część jest najtrudniejsza. Materiał może być solidny, a tekst nie do podważenia, a źródło i tak może zostać zidentyfikowane przez szczegół, o którym nikt nie pomyślał. Pole właściwości dokumentu z nazwą użytkownika w środku. Historia zmian. Plik, który po cichu poleciał na serwer, o którym zapomniałeś, że go przetwarzał. Ochrona źródła nie polega tylko na tym, z kim rozmawiasz. Chodzi o to, co same pliki zdradzają.

Wysyłka to wyciek, którego nie widzisz

Załóżmy, że masz wyciekły PDF i przyszedł w trzech kawałkach albo skany są w złej kolejności, albo chcesz go zablokować, zanim wrzucisz do współdzielonego dysku. Więc szukasz darmowego narzędzia, przeciągasz plik i klikasz przycisk. Większość stron PDF działa tak, że wysyła Twój plik na serwer, wykonuje zadanie tam i oddaje wynik.

Dla planu wakacji w porządku. Dla dokumentu, którym źródło zaryzykowało karierę, żeby Ci go wręczyć, właśnie umieściłeś jego kopię na maszynie należącej do firmy, z którą nigdy nie rozmawiałeś. Nie wiesz, gdzie stoi ten serwer, jakiej jurysdykcji podlega, kto może dostać wezwanie po jego logi ani jak długo plik naprawdę tam zostaje po radosnym komunikacie „usunięto po godzinie“. Jeśli dokument jest na tyle wrażliwy, że rząd albo firmowy dział prawny chce wiedzieć, kto przeprowadził wyciek, każda kopia istniejąca poza Twoją kontrolą jest nitką, za którą ktoś może pociągnąć.

Plik może też nosić odpowiedź w środku. Pliki PDF przechowują metadane: nazwisko autora, oprogramowanie, które go stworzyło, znaczniki czasu utworzenia i modyfikacji, czasem ścieżkę sieciową, z której został zapisany. Wyciekły dokument wewnętrzny może zawierać login ostatniej osoby, która go dotykała. Wyślij ten PDF do przypadkowego narzędzia internetowego, a wręczyłeś serwerowi obcego plik, który być może już nazywa Twoje źródło.

Pracuj nad nim, nie wypuszczając go z laptopa

Rozwiązanie łatwo nazwać. Nie wysyłaj dokumentu nigdzie, gdzie nie widzisz, co się dzieje. Jeśli plik nigdy nie opuszcza Twojej maszyny, nie da się go ściągnąć z jakiegoś serwera ani nie może leżeć w kopii zapasowej, czekając na nakaz.

Narzędzia działające w przeglądarce czynią to praktycznym. PDF jest wczytywany do pamięci na Twoim własnym komputerze, operacja wykonuje się tam, a gotowy plik zapisuje się prosto do Ciebie. Nic nie jest wysyłane. Oto jak zwykle wygląda obróbka.

Połącz kawałki. Wycieki rzadko przychodzą uporządkowane. Dostajesz notatkę, trzy załączniki i pismo przewodnie jako osobne pliki. Wrzuć je do narzędzia do scalania PDF, a dostaniesz jeden dokument, z którym faktycznie da się pracować, bez wysyłania czegokolwiek do strony konwertującej.

Zablokuj go, zanim go przechowasz. Gdy masz już potrzebny plik, zabezpiecz go hasłem, zanim trafi na współdzielone dyski albo na laptopa, który podróżuje. Narzędzie do ochrony PDF szyfruje go w Twojej przeglądarce, więc dokument jest nieczytelny dla każdego, kto zdobędzie plik, ale nie hasło. To się liczy, jeśli urządzenie zostanie skonfiskowane, zgubione albo zatrzymane na granicy.

Otwieraj pliki, które źródło już zablokowało. Czasem dokument przychodzi zaszyfrowany, a Ty masz hasło od swojego źródła. Narzędzie do odblokowywania PDF usuwa zabezpieczenie lokalnie, żebyś mógł go przeczytać i z nim popracować, znów bez dotykania serwera przez plik. Używaj tego tylko na dokumentach, które masz prawo otwierać.

Usuń metadane, które nazywają ludzi

Zanim opublikujesz dokument albo udostępnisz go współpracownikowi, wyczyść to, co jest w nim ukryte. Ponowny zapis PDF przez narzędzie lokalne przepisuje plik i odrzuca większość wbudowanych właściwości, które przyszły z oryginałem: pola autora, znaczniki oprogramowania do edycji, znaczniki czasu, które stawiają osobę przy biurku w konkretne popołudnie. Otwórz plik, przepuść go przez operację w przeglądarce, wyeksportuj czystą kopię i sprawdź właściwości dokumentu, żeby potwierdzić, że zdradzające pola zniknęły. Rób to na wersji, która opuszcza Twoje ręce, nigdy na jedynej kopii oryginału.

Udowodnij sobie, że nic się nie wysłało

Nie musisz mi wierzyć, że te narzędzia zostają lokalne. Otwórz jedno, naciśnij F12, żeby wejść do DevTools, przejdź do zakładki Network, zaznacz „Preserve log“ i wykonaj pełną operację. Obserwuj ruch: strona wczytuje się na początku, a potem nic się nie rusza, kiedy pracujesz. Jeśli Twój plik nigdy nie pojawia się w treści żądania, nigdy nie został wysłany.

Chcesz trudniejszego testu? Wczytaj narzędzie, przełącz na tryb samolotowy i wykonaj całą robotę przy wyłączonej sieci. Dalej działa, bo nigdy nie było kroku z serwerem. Narzędzie, które wysyła, zwróci błąd w sekundzie, w której naciśniesz start. Ta różnica to dokładnie to, od czego zależy bezpieczeństwo Twojego źródła. (Jeśli chcesz prawnego spojrzenia na to, dlaczego wysyłki są zagrożeniem, osobno napisałam o ryzykach RODO związanych z wysyłaniem plików PDF.)

Niech bezpieczna droga będzie domyślna

Nie będziesz audytować polityki prywatności o północy na deadlinie. Nikt nie będzie. Więc zdecyduj raz: dokumenty od źródeł obrabia się w przeglądarce, blokuje przed przechowaniem i czyści, zanim opuszczą Twoje ręce. Dodaj narzędzia do zakładek i przestań wysyłać wrażliwe pliki na serwery, których nie możesz obserwować. Twoje źródło zaufało Ci czymś, co mogłoby je kosztować wszystko. Najmniej, co pliki mogą zrobić, to dotrzymać tego zaufania, a nie je oddać.