Metadane to potężne narzędzie w rękach analityków. Musisz się na nich znać, jeżeli chcesz się czegoś o kimś dowiedzieć, ale tak naprawdę, to warto je znać dla własnego bezpieczeństwa. Będą Ci też bardzo pomocne w obronie własnej prywatności.

Poziom świadomości w Internecie rośnie, ale ludzie czasem nie wiedzą nawet co powinni zabezpieczyć. Zdecydowanie za mało się mówi o metadanych i aplikacjach do ich analizy, które mogą Was zszokować.

Co to są metadane?

Zacznijmy od definicji z Wikipedii. Metadane są to „ustrukturalizowane informacje stosowane do opisu zasobów informacji lub obiektów informacji, dostarczające szczegółowych danych, dotyczących atrybutów zasobów lub obiektów informacji, w celu ułatwienia ich znalezienia, identyfikacji, a także zarządzania tymi zasobami”.

Metadane są też często nazywane danymi o danych lub informacjami o informacjach. Dzięki wykorzystaniu metadanych otrzymujemy dodatkowe informacje, które umożliwiają nam porządkowanie danych, pojęć czy elementów świata rzeczywistego.

Z metadanymi wszyscy macie do czynienia na co dzień. Ba – mają z nimi do czynienia nawet Wasi znajomi, których technologia i komputery w ogóle nie interesują. Metadane wcale nie muszą dotyczyć tylko komputerów. Nie wierzycie? Oto kilka przykładów.

Byliście ostatnio w sklepie i czytaliście etykietę ze składem na produkcie? To właśnie metadane o nim. Wasza koleżanka szukała książki o Afryce w katalogu biblioteki? Korzystała z metadanych. A może sortujecie sobie zdjęcia w folderze po dacie wykonania? To też jest wykorzystanie metadanych.

Metadane nas otaczają na co dzień i bardzo często są ogromnym ułatwieniem naszego życia, bo przetwarzanie informacji to coś, co stale czynimy. Taka trochę esencja naszego życia i pracy. Metadane w tym pomagają.

Co wyczytamy z metadanych?

Metadane to prawdziwa encyklopedia informacji o naszym życiu (o przyzwyczajeniach, relacjach, majątku itd.). Dobry analityk potrafi wyciągnąć bardzo dużo informacji i wniosków z analizy metadanych. Rozpocznę od mojego ulubionego przykładu z artykułu Electronic Frontier Foundation.

Dotyczy on sytuacji, w której ktoś zbiera metadane o naszych rozmowach telefonicznych, ale mamy 100% pewności, że tych rozmów nie podsłuchuje. Ma dostęp tylko do otoczki: czas, miejsce, odbiorca itd. Poczuliście się bezpiecznie? To bardzo źle. Dlaczego? Bo będzie wiadomo – na przykład – że:

• o 2:24 zadzwoniłeś na sex telefon i rozmawiałeś przez 18 minut;
• dzwoniłeś na telefon zaufania z mostu Golden Gate;
• w ciągu jednego dnia wykonałeś kolejno trzy rozmowy: do kliniki terapii AIDS, lekarza rodzinnego oraz na infolinię ubezpieczyciela;
• dzwoniłaś do ginekologa oraz do kliniki leczenia bezpłodności.

Oczywiście w żadnym z powyższych przypadków nie byliście podsłuchiwani i nie wiadomo o czym rozmawialiście. Mam jednak poczucie graniczące z pewnością, że każdy z Was się domyślił czego dotyczyły rozmowy.

Oczywiście nie będzie to w 100% poprawny wniosek. Zdarzy się dziwny zbieg okoliczności, w którym konkluzja wyciągnięta z analizy metadanych będzie błędna. Jednak – po pierwsze – rzadko, a – po drugie – zawsze można taką analizę uzupełnić innymi metadanymi.

Ale to nie koniec. Wszystkie powyżej wymienione rozmowy nie muszą być nawet wykonywane z Waszego numeru telefonu, bo metadane można korelować ze sobą.

Być może chcieliście coś ukryć i przeprowadziliście te rozmowy z zakupionego anonimowo telefonu na kartę. Problem w tym, że zawsze mieliście go przy sobie i korzystając z danych o lokalizacji bardzo łatwo ustalić, że w tym samym miejscu znajdował się też Wasz zwykły numer.

W filmie Kevin sam w domu bandyci jeździli po okolicy i sprawdzali, czy w domu wieczorem pali się światło. W ten sposób szukali celów do obrobienia. Obecnie – gdyby znali się na komputerach – mogliby zassać masę metadanych i dostać wszystkie potrzebne informacje. Od razu wiedzieliby kto wyjechał na wczasy, kiedy, gdzie, czy jest majętny itd.

Czytaj też: VPN dla początkujących. Jak działa i co pozwala ukryć?

Metadane powodują problemy w pracy

Znane są przypadki kłopotów w pracy z powodu zdjęć zamieszczonych w Internecie. Na przykład ktoś wziął L4, ale wrzucił na Facebooka zdjęcie z wakacji. A z analizy metadanych jasno wynika, że miało to miejsce w tym samym czasie. Ledwo co jedna Brytyjka została zwolniona z pracy po tym, jak okłamała pracodawcę i pojechała na mecz Mistrzostw Europy 2020.

Powiecie, że miała wyjątkowego pecha. Nie każdy zostanie zarejestrowany przez kamerę telewizyjną. Fakt. Problem w tym, że istnieją już serwisy rozpoznające twarz i wyszukujące zdjęcia. I działają zaskakująco dobrze.

Wystarczy wgrać na taki serwis czyjeś zdjęcie i automatycznie dostać zdjęcia tej osoby, które algorytm wyszukał w Internecie. Oczywiście nie będzie 100% poprawności, ale potestowałem i pierwsze trafione zdjęcia się zwykle zgadzają.

Możecie być bardzo ostrożni i nie udostępniać w Internecie zupełnie nic, a i tak w sieci mogą krążyć Wasze zdjęcia, na których robicie coś niestosownego albo nawet nielegalnego. Sami możecie nie mieć pojęcia o ich istnieniu – mogła je pstryknąć zupełnie obca osoba, a ktoś może użyć zdjęcia Waszej twarzy i je zlokalizować.

Część osób już się pilnuje i podczas rekrutacji całkowicie blokuje swoje profile w mediach społecznościowych. Problem w tym, że do CV dołączają na przykład swoje zdjęcie, a to już wystarczy uważnemu rekruterowi do analizy. Nie zawsze będzie polegał tylko na informacjach udostępnionych przez Was.

Bawimy się w Sherlocka Holmesa

Zapewne znacie fikcyjną postać Sherlocka Holmesa. Jego metody dedukcji to w zasadzie analiza metadanych. Zauważył, że na ubraniu mamy sierść psa, a więc byliśmy tego dnia pobliżu zwierzęcia. Dodatkowo pachniemy innymi perfumami niż zwykle, damskimi i do tego takimi samymi jak koleżanka z pracy. Wniosek jest oczywisty. Ofiara ma mokry płaszcz, ale nie padał deszcz? Musiała przyjechać z miasta, w którym padało. I tak dalej.

Podobnie może działać każdy z Was. Do analizy na początek wystarczy zdjęcie zrobione przez potencjalny cel. Zdecydowana większość nowoczesnych aparatów (w tym te w smartfonach) razem z pstrykanym zdjęciem zapisuje metadane.

Co w nich znajdziemy? A chociażby datę i miejsce wykonania zdjęcia. Czyli z niewinnego zdjęcia, które może nawet nie przedstawiać naszej twarzy, można się dowiedzieć, gdzie i kiedy byliśmy. Mając więcej zdjęć bez problemu stworzymy mapę czyjejś obecności. O na przykład w ten sposób udowodniono, że rosyjscy żołnierze brali udział w wojnie na Ukrainie.

Zresztą są specjalne algorytmu, które nie tylko potrafią tworzyć taką mapę obecności ze zdjęć, ale nawet same importują takie zdjęcia, chociażby z Twittera. W odpowiednich rękach to bardzo niebezpieczne narzędzie. Polecam też obejrzeć poniższe video, w którym autor na podstawie zdjęcia wrzuconego do sieci (nawet takiego, które nie przedstawia żadnej osoby) otrzymuje lokalizację potencjalnej ofiary, identyfikuje ją, analizuje jej inne zdjęcia i poznaje ogromną ilość informacji.

Ja osobiście za najlepszą naukę obrony prywatności uważam… atak. Nigdy nie będziecie w stanie przewidzieć potencjalnych scenariuszy ataku, dopóki sami go nie przeprowadzicie. Oczywiście nie mówię, że macie kogoś stalkować, ale można poćwiczyć analizę metadanych.

Możecie dla zabawy spróbować wymienić się ze znajomymi jakimś zdjęciem i zobaczyć, które z Was więcej z niego wyczyta. Powstała też gra, która prezentuje losowe obrazki ż Google Maps. Możemy je analizować i zastanawiać skąd pochodzą.

Tylko, że z Google Maps jest ten problem, że często trafimy na środek niczego – lepiej użyć prawdziwych zdjęć. Na przykład możecie napisać w komentarzu skąd jest poniższe zdjęcie (stosunkowo łatwe na początek).

Przeczytaj też na subiketywnieofinansach.pl: tekst o robieniu zakupów bez przechodzenia przez kasę!

Za późno na ochronę prywatności?

Niestety mam też złą wiadomość – prawdopodobnie się nie da już w pełni zabezpieczyć przed analizą metadanych na Wasz temat. Po pierwsze, w Internecie nic nie ginie i jest w nim już prawdopodobnie o Was cała masa informacji. Sporą część z nich sami tam udostępniliście bardziej lub mniej świadomie. A jeżeli nie Wy, to ktoś tak uczynił.

Bo nawet jeżeli Wy jesteście perfekcyjnie przygotowani i zorganizowani, to znajdzie się ktoś w Waszym otoczeniu, kto będzie słabym punktem. Co z tego, że nie macie nawet konta w portalach społecznościowych, skoro ktoś ma i Was oznaczył?

Osobiście znam policjanta, który bardzo długo nie miał mediów społecznościowych, a teraz ma Facebooka, ale bez zdjęcia, nazwiska i z mocnymi ustawieniami prywatności. Nie wrzuca też nigdzie żadnych fotek, nawet ich raczej nie robi.

W ciągu godziny znalazłem i pokazałem mu w Internecie takie zdjęcia z jego udziałem, że był w szoku. Jasne – miałem łatwiej, bo dużo o nim wiedziałem, ale z drugiej strony ja nawet nie jestem zawodowym analitykiem.

Ci zawodowi mają dużo lepsze narzędzia. Na przykład mogą przeczesać Internet pod kątem zdjęć wykonanych w tym samym miejscu (!), tym samym urządzeniem (!!) albo tej samej grupy osób (!!!). Są też aplikacje, które na podstawie zdjęcia wyszukają nam od razu jak najwięcej informacji o danej osobie. Tak – możemy spotkać na ulicy kogoś, kto nam się spodoba, zrobić mu/jej zdjęcie i już. Przydatne? A teraz wyobraźcie sobie takie narzędzia w rękach przestępców.

Pocieszające jest natomiast to, że prawdopodobnie nie jesteście celem ataków najlepszych analityków na świecie, a więc wystarczy odrobina samodyscypliny i znacznie utrudnicie ewentualne analizy na Wasz temat.

Jak chronić swoją prywatność?

Zacznijcie od nieudostępniania żadnych zdjęć, a jeżeli udostępniacie, to – po pierwsze – usuńcie z nich metadane (Google podpowie jak), a – po drugie – traktujcie te zdjęcia i metadane jako jawne. Często po samym zdjęciu można się dowiedzieć, gdzie, z kim i kiedy byliście. Możecie też skorzystać z porad zawartych w tym artykule Piotrka.

Natomiast w życiu, co tu dużo doradzać, po prostu zachowujcie się tak, jakby ktoś Was obserwował. Każdą rozmowę warto traktować jako nagrywaną, a czynność jako obserwowaną. Oczywiście nie chodzi o popadanie w paranoje – wystarczy być dobrym człowiekiem.

Zastanówcie się też dwa razy zanim podacie komuś swoje dane osobowe. Czasem nie są warte korzyści którą otrzymamy, a w zamian będziemy profilowaniu. RODO stanęło w naszej obronie w Europie, ale przed nielegalnym profilowaniem nikt nas nie uchroni.

Ja nie chcę dawać rad w stylu „nie wrzucaj zdjęcia swojej karty kredytowej na Facebooka”. Bo choć takie rzeczy też się zdarzają, to ten tekst jest o dużo bardziej złożonej analizie metadanych.

Bardziej chodzi mi o sytuację, w której grzecznie trzymacie kartę w portfelu, ale ktoś na podstawie analizy Waszych metadanych może wywnioskować, że regularnie płacicie nią za parking w centrum miasta i ją wtedy sfotografować.

Jak nie zabezpieczać dowodu osobistego

A co zrobić w sytuacji, w której musimy coś udostępnić? Na przykład, gdy zakładając konto w banku zostaniemy poproszeni o przesłanie naszego dowodu osobistego w formie skanu lub zdjęcia.

Są osoby, które po prostu przesyłają zdjęcie dowodu. Są też takie bardziej odpowiedzialne, które zamazują wrażliwe dane. Problem w tym, że bez usunięcia metadanych, to może nic nie dać. Metadane zdjęcia mogą bowiem zawierać miniaturkę, czyli nic innego, jak pełny obraz zdjęcia. Spokojnie z niej wszystko wyczytamy. Weźmy naszego gołębia z powyższego zdjęcia. Powiedzmy, że był to bardzo odpowiedzialny ptak i zamazał sobie twarz przed wrzuceniem swojej fotki na Dziubbooka. O tak:

Niestety nie jest to wystarczająca ochrona. Agencja kontroli gołębi pobrała takie zdjęcie i dokonała analizy danych. Dowiedziała się, gdzie i kiedy ten gołąb był, ale przede wszystkim dała go radę zidentyfikować po miniaturce, bo zobaczyła to:

Oczywiście nie wszyscy o tym wiedzą, ale przestępcy najczęściej wiedzą. Dlatego zmieniając coś na zdjęciu musimy mieć pewność, że usunęliśmy lub edytowaliśmy metadane (aby nikt nie odczytali miniaturki). Chociaż najlepiej w ogóle nie zamieszczać zmienionych, wstydliwych zdjęć, bo do oryginału można też dotrzeć wyszukiwaniem po obrazie.

Bo nawet poprawne usunięcie danych nie zawsze będzie wystarczającą gwarancją bezpieczeństwa. Analitycy działają metodą prób i błędów. Tutaj przykład z Niebezpiecznika, w którym czytelnik odczytał pewne dane z dowodu osobistego autora. A autorzy Niebezpeicznika raczej nie należą do laików w tych sprawach!

Wystarczy też przypomnieć, że pismo linearne B zostało odczytane po śmierci ostatniego żyjącego znawcy. I to bez znalezienia tablic z przekładem, jak to było w przypadku hieroglifów. Dłubali, dłubali i w końcu wydłubali.

Czytaj też: Konto bankowe: posiada je (prawie) każdy z Was, ale czy zastanawialiście się, jak działa i z czego się składa?

Metadane w dobrej sprawie

Metadane są groźne, ale mają też bardzo dużo zalet. Z ich pomocą złapano już wielu przestępców, którzy nieuważnie udostępnili gdzieś jakieś zdjęcia. I nie zawsze były to zdjęcia z nazwą ulicy w tle.

Jednym z ciekawszych przypadków jest AnonWormer, który udostępnił zdjęcie piersi swojej kobiety. Policja wyczytała z metadanych koordynaty zdjęcia i dotarła do tej pani, która z kolei wskazała miejsce pobytu podejrzanego.

Metadane możemy też wykorzystać na przykład do odzyskania skradzionego nam sprzętu. Serwis stolencamerafinder przeszuka za nas Internet i zlokalizuje zdjęcia wykonane skradzionym urządzeniem. Oj ciekawie musi wyglądać mina złodzieja, gdy zapukacie mu do drzwi z policją.

Za pomocą metadanych możecie też na przykład odszukać autora anonimowego zdjęcia w Internecie. Nie wiem – żeby je kupić, pogratulować mu lub o coś zapytać. Mogło też być tak, że nam się spodobała okolica ze zdjęcia i chcielibyśmy się dowiedzieć, gdzie to jest. Metadane wtedy mogą nam pomóc.

Czytaj też: Inteligentne dostawy. Jak technologia usprawnia transport zamawianych przez nas produktów

Metadane są bardzo przydatnym narzędziem, ale zarazem też potężną bronią w rękach służb i przestępców, którzy chcą kogoś – na przykład – zlokalizować. Z ich pomocą można ustalić naprawdę newralgiczne informację. Mówiąc szczerze, zabezpieczyć się jest bardzo trudno, a prawdopodobnie Waszą główną ochroną jest to, że nie jesteście warci ataku. Po prostu.

Zdjęcie główne: pixabay/geralt