- A análise do histórico de versões dos metadados em PDF dos documentos de Snowden divulgados confirmou que seções relacionadas a estações terrestres de agências de inteligência dentro dos EUA foram removidas intencionalmente
- O conteúdo removido incluía a estrutura dos nomes operacionais e dos nomes de fachada da Potomac Mission Ground Station (PMGS) e da Consolidated Denver Mission Ground Station (CDMGS)
- Em ambos os documentos, essas informações existiam nas versões iniciais, mas foram completamente removidas da versão final publicada, restando vestígios apenas no histórico interno de versões do PDF
- Em contraste, informações sobre instalações no exterior, como a Menwith Hill no Reino Unido e a Pine Gap na Austrália, foram mantidas, revelando um padrão de edição sistemática apenas das instalações domésticas
- Essa descoberta é importante como um caso que mostra que é possível rastrear tecnicamente os procedimentos de edição e censura no processo de divulgação dos documentos de Snowden
Conteúdo removido sobre instalações de inteligência nos EUA
- A análise dos metadados de dois documentos confirmou que a seção sobre instalações de inteligência domésticas foi completamente apagada
- No Menwith satellite classification guide, divulgado em 2016, foi removida a seção relacionada à PMGS (Washington, DC)
- No NRO SIGINT Guide for Pine Gap, divulgado em 2017, foi removida a seção relacionada à CDMGS (região de Denver)
- As partes removidas incluíam o nome oficial, nome de fachada, localização e informações para visitantes das instalações
- Ambas as instalações eram explicitamente identificadas como Mission Ground Station do National Reconnaissance Office (NRO), e
- o nome de fachada da PMGS era “Classic Wizard Reporting and Testing Center (CWRTC)”
- o nome de fachada da CDMGS era “Aerospace Data Facility (ADF)”
Potomac Mission Ground Station (PMGS)
- Localização: edifícios 259 e 260 do Naval Research Laboratory, em Washington, DC
- Nome público: “Classic Wizard Reporting and Testing Center (CWRTC)”
- Função real: estação terrestre da rede de inteligência por satélite do NRO
- O documento especifica o nível de classificação de cada nome
- “CWRTC” = UNCLASSIFIED
- “PMGS” = S//TK
- “CWRTC é o nome de fachada da PMGS” = S//TK
- “A relação da CWRTC com pessoal do NRO·CIA·NSA” = S//TK
- Essa estrutura de classificação em múltiplas camadas é descrita como um arranjo para separar o nome público da missão real
Consolidated Denver Mission Ground Station (CDMGS)
- Localização: Buckley Space Force Base, em Aurora, Colorado
- Nome público: “Aerospace Data Facility (ADF)”
- Nome real: “Consolidated Denver Mission Ground Station (CDMGS)”
- Publicamente, a ADF-C é conhecida como uma instalação de comando e controle de satélites de reconhecimento, mas
- o fato de que “ADF é o nome de fachada da CDMGS” foi confirmado pela primeira vez no documento
- Em uma tabela do documento, o nome real e o nome de fachada de cada instalação aparecem em paralelo, organizados em estruturas como
- CDMGS–ADF–FSD (Field Station Denver)
- PMGS–MSF–CWRTC
- HMGS–RAF MHS, AMGS–JDFPG
Resultados da edição e da análise de metadados
- Os metadados do PDF registram o momento da edição e a ferramenta utilizada
- O documento Pine Gap teve duas versões geradas em 31 de julho de 2017, com diferença de poucos minutos, usando Nitro Pro 8
- A primeira versão continha a seção sobre a CDMGS, mas ela foi removida na segunda versão
- Foi confirmado que a The Intercept e a ABC publicaram o mesmo arquivo compartilhado
- O documento Menwith Hill também mostra o mesmo padrão, com remoção apenas da seção sobre instalações domésticas
- Esses metadados funcionam como evidência forense do processo de edição e censura
Pesquisa futura e ferramentas
- Em análises futuras, por meio do rastreamento de versões em todo o conjunto de metadados de PDFs, pretende-se verificar tecnicamente
- nomes de agentes removidos, capturas de tela editadas e vestígios de revisões em múltiplas etapas
- Para extrair versões de PDF, pode-se usar a ferramenta pdfresurrect
- Exemplo:
pdfresurrect -w filename.pdf
- O Libroot.org disponibiliza download direto dos arquivos das versões 1 e 2 de cada documento
- Ambas as versões dos documentos Menwith Hill e Pine Gap estão públicas
1 comentários
Comentários do Hacker News
Esses PDFs parecem ter usado o recurso de “incremental update”
ou seja, ao editar o documento, só as mudanças são anexadas ao arquivo original
em termos simples, dá para encontrar a linha “%%EOF” num editor de texto e cortar tudo depois dela para restaurar a versão anterior do PDF
porém, no caso de linearized PDF, o primeiro %%EOF é uma revisão falsa que existe por razões técnicas
Do ponto de vista de proteção da informação, está parecendo cada vez melhor imprimir o documento e escanear para gerar um PDF de imagem
esse código pode incluir o número de série da impressora ou até o endereço IP no momento da conexão com a internet
por isso, é melhor evitar o uso de impressoras cujo firmware você não possa controlar
ferramentas de análise relacionadas incluem YellowDotDecode, dotsecrets e a apresentação da CCC de 2007
ou então reconstruir o documento com um LLM, removendo pontuação e espaços, e transformar o resultado em imagem de novo
a captura analógica com câmera de filme fotografando o monitor é útil para evitar falsificação e preservar evidências
mas qualquer método deixa rastros, então o compartilhamento não autorizado de informações deve ser absolutamente evitado
no fim das contas, parece que os espiões estão voltando para o microfilme
se estivesse realmente paranoico, aplicaria um filtro de ruído na imagem para deixá-la borrada
Precisamos de melhores ferramentas para analisar documentos PDF
hoje dá para resolver um pouco com o modo QDF do
qpdf, mas faz muita falta uma GUIela é voltada para análise de PDFs maliciosos, mas tem muitas ferramentas úteis também para entender documentos comuns
depois do caso do PDF de Epstein, essas ideias ficaram ainda mais interessantes
Essa pesquisa é realmente perspicaz
também me lembra de quando alguém reanalisou os documentos de Snowden e encontrou novas informações
é uma pena que ele não tenha conseguido divulgar todo o material por completo
ela trata de conteúdo que não havia sido publicado antes
textos relacionados podem ser vistos no blog Electrospaces e em
Libroot Part 2, Part 3
Perguntei ao jornalista Ryan Gallagher sobre as decisões editoriais, mas ainda não recebi resposta
agora que o feriado acabou, espero que haja alguma novidade
se foi por pressão do governo ou porque o conteúdo era sensível demais
será que só os jornalistas têm os arquivos originais?
Eu me perguntava como o PDF consegue funcionar desse jeito
queria saber se ele armazena todo o histórico de versões ou se guarda diffs nos metadados
cada objeto tem um ID e, quando é modificado, em vez de sobrescrever o anterior, adiciona uma nova geração
por exemplo, dá para ver a estrutura descompactando com
mutool clean -d in.pdf out.pdfassim, o original é mantido enquanto a versão modificada vai sendo anexada
essa ferramenta extrai versões anteriores e fornece um resumo das mudanças
mesmo que os objetos de versões anteriores não sejam mais referenciados, eles podem continuar dentro do arquivo
Em vez de imprimir e escanear, será que imprimir em XPS e depois converter de volta para PDF também seria eficaz?
Surpreende que isso só tenha vindo à tona agora
só que esse tipo de informação não se espalhou amplamente
Alguém aqui já usou o comando
% pdfresurrect -w epsteinfiles.pdf?Isso quase certamente parece ser resultado da redação feita pelos jornalistas
é uma pena não haver indicação de “editado” nem explicação do motivo
tecnicamente, se tivessem publicado como capturas de tela, também teria sido possível evitar o vazamento de metadados
pelos timestamps dos metadados, dá para ver que as versões dos documentos foram criadas três semanas antes da divulgação
a maioria dos documentos foi tratada corretamente, mas nesses dois documentos específicos um erro de metadados expôs informações importantes
o próximo texto deve abordar um mergulho técnico em forense de PDF e análise de metadados