Набор инструментов для анализа утечки данных Taylor Wessing

Forensic PDF analysis — **Судебно-медицинский аудит PDF:** Воссоздание и изучение слоёв рисования документов для удаления поддельных черно-ящичных векторных наложений и извлечения исходного незаредактированного текста.

🔍 Краткое резюме

Перевод: Универсальный аудитор редактирования PDF и декомпозитор слоёв представляет собой профессиональный автономный набор инструментов для судебного аудита и послойного разложения, специально разработанный для выявления, проверки и устранения уязвимостей, связанных с визуальным редактированием PDF-документов. Этот инструментарий служит утилитой с открытым исходным кодом для исследователей безопасности, специалистов по защите данных и аудиторов по соблюдению нормативных требований, позволяя проверять структурную целостность документов перед их публичным раскрытием.

⚖️ Техническая асимметрия возможностей

Эта утилита для аудита создана для устранения критического дисбаланса сил в корпоративной обработке данных. Когда крупные конгломераты (такие как Valve Corporation) представлены элитными юридическими фирмами (такими как Тейлор Вессинг ЛЛП), любая систематическая утечка данных не наносит ущерба корпорации или их высокооплачиваемым юристам — она катастрофически нарушает конфиденциальность их противники (отдельные субъекты данных, сторонние пользователи и несовершеннолетние, чьи чувствительные персональные данные были раскрыты из-за правовой и технической халатности). Этот инструментарий предоставляет частным лицам и независимым аудиторам возможность проверять безопасность данных и привлекать корпоративных субъектов к ответственности.

📊 Пример из практики: Утечка данных Taylor Wessing / Valve в соответствии с GDPR

В ходе обработки запросов субъектов данных (SARs) в соответствии со статьей 15 GDPR, касающихся данных пользователей Steam, была выявлена критическая уязвимость безопасности в документах, обработанных и отправленных внешним юридическим советником. Тейлор Вессинг ЛЛП от имени Valve Corporation.

Технический анализ сбоев

Вместо постоянной очистки исходных символьных массивов внутри потоков содержимого PDF, автоматизированный конвейер генерации PDF по индивидуальному заказу (использующий Aspose.PDF для .NET) был развернут. Эта система программным образом запрашивала координаты чувствительных полей и отображала сплошные черные векторные фигуры (используя PDF-файлы re и f/F/b/B операторы) поверх текста.

Поскольку визуальные слои редактирования не изменяют и не уничтожают лежащие в основе необработанные текстовые массивы, тысячи незаретушированных приватных записей — включая учётные данные, логины, электронные письма, журналы безопасности и деанонимизированные данные несовершеннолетних — остались полностью нетронутыми, доступными для копирования и извлечения из отправленных файлов.

📂 Приложение A: Утёкшая переписка с доктором Патриком Цурхайде

Ниже приведён точный ответ, полученный от Д-р Патрик Цурхайде (Партнёр по вознаграждению в Taylor Wessing LLP) после того, как PhishDestroy официально уведомил фирму о неудачном редактировании их PDF-файлов и последующей утечке данных пользователей Steam. Вместо того чтобы инициировать уведомление об утечке данных согласно статье 33 GDPR, он предпочёл написать следующее:

Здравствуйте, команда PhishDestroy,

Благодарю за ваше, судя по всему, переведённое, но вполне занимательное сообщение. На какую именно коммуникацию «с уголовным преследованием» в адрес команды PhishDestroy вы ссылаетесь? Я уверен, что никогда ранее не имел дела с PhishDestroy ни в какой форме. Поэтому, пожалуйста, предоставьте эту предполагаемую переписку, чтобы понять, о чём вообще идёт речь.

К сожалению, содержанию Вашего письма трудно или даже невозможно следовать. В качестве замечания: дисклеймер, как в нижней части Вашего письма, о том, что якобы не делается/не предполагается, не имеет значения, если фактические действия противоречат ему.

Патрик Цурхайде

🔍 Анализ PhishDestroy:

занимательное сообщение Высокооплачиваемый «эксперт по IT-праву» назвал судебное уведомление о масштабной утечке данных в соответствии с GDPR, затронувшей раскрытые аккаунты Steam несовершеннолетних, «занимательным».
от сложного до совершенно невозможного для понимания Мы предоставили ему точные шестнадцатеричные значения, метаданные его PDF-файла, временные метки пакетного конвейера продолжительностью 36 секунд и конкретные Aspose 20.8 версия, вызвавшая утечку. По-видимому, ИТ-метрики слишком «сложны для понимания» для доктора ИТ-права.

🛠️ Возможности множества инструментов

Этот набор предлагает три взаимодополняющих режима, полностью работающих на стороне клиента, для анализа и устранения поддельных визуальных редактирований:

📡 Режим 1: Рентгеновский сканер (PDF.js): Визуально отображает PDF-файл, но в реальном времени извлекает скрытый под закраской текст. Вы видите чёрный прямоугольник, но мгновенно читаете секрет.
✂️ Режим 2: Снятие слоёв (PDF-Lib): Хирургическая очистка на уровне потока. Физически заменяет прямоугольные команды визуальной закраскиre f, re F) с n (без закрашивания) оператор, удаляющий черные полосы.
🔎 Режим 3: Аудит коллизий (раскладка Фитца): Подсвечивает перекрывающийся текст и графику для автоматического составления списков утечек.

💻 Использование CLI (`decensor.py`)

# 1. Decompose PDF to raw text layers (Strips all drawings, lines, and masks globally)
python decensor.py -i compromised.pdf -d -o naked_document.pdf

# 2. Extract and save all text hidden under black visual shapes to a leaks text report
python decensor.py -i compromised.pdf -e verified_leaks.txt

# 3. List page-by-page structural element counts
python decensor.py -i compromised.pdf -l

🔍 Основной санитайзер потоков Python

import re, fitz

def strip_black_bars_global(input_path, output_path):
    doc = fitz.open(input_path)
    for xref in range(1, doc.xref_length()):
        if not doc.is_stream(xref):
            continue
        try:
            obj_dict = doc.xref_object(xref)
            if any(m in obj_dict for m in ["/Type /Font", "/Subtype /Image", "/Type /Halftone"]):
                continue
                
            stream_bytes = doc.xref_stream(xref)
            text = stream_bytes.decode('latin-1')
            
            # Swap rectangular painting operators with no-fill 're n', preserving newlines
            modified_text, count = re.subn(
                r'\bre\s+([fFbB]\*?)(?=\s|$)',
                lambda m: f"re{m.group(0)[2:-len(m.group(1))]}n",
                text
            )
            if count > 0:
                doc.update_stream(xref, modified_text.encode('latin-1'))
        except Exception:
            continue
    doc.save(output_path, garbage=4, deflate=True, clean=True)
    doc.close()

📡 Набор инструментов для анализа утечки данных Taylor Wessing