Higiene de Metadados: Limpando EXIF, PDF e Office antes de Publicar

Um pesquisador anonimo publicou um PDF de 12 paginas denunciando uma fraude corporativa. Em menos de 48 horas, o nome dele estava no Twitter. Nao foi engenharia social: foi o campo Author do PDF, gerado automaticamente pelo LibreOffice, mais a timestamp de modificacao que batia com o horario comercial dele. Metadados sao o calcanhar de Aquiles de qualquer publicacao sensivel, e a maioria das ferramentas de escritorio embute identificacao por padrao sem aviso. Este post percorre formato por formato, com comandos concretos, e termina num fluxo de sala limpa reproducivel e numa pipeline que automatiza o erro de vez.

Por que metadados sao o calcanhar de Aquiles

Metadados sao dados sobre o arquivo: quem criou, com que software, quando, onde e as vezes em qual hardware. Sao mantidos por razoes legitimas, mas para um desanonimizador sao um presente, porque costumam ser mais precisos que o proprio conteudo. A equipe Basilisk trata sanitizacao de metadados como controle obrigatorio antes de qualquer drop publico, no mesmo nivel que revisar IPs e fingerprints de navegador. Se voce vem da pratica de OPSEC para Pesquisadores de Seguranca: Modelo de Ameaca Pessoal, ja sabe: a parte tecnica e a mais facil e a disciplina e a dificil.

EXIF em imagens

Comece pelo basico. Um JPEG de celular moderno carrega coordenadas GPS com precisao de 5 metros, modelo do aparelho, numero de serie da lente e ate orientacao do giroscopio no momento do clique. A ferramenta padrao continua sendo o ExifTool de Phil Harvey. Para auditoria, use exiftool -a -G1 -s arquivo.jpg e voce vera categorias EXIF, XMP, IPTC, MakerNotes e ICC_Profile. Para limpeza agressiva, exiftool -all= -overwrite_original *.jpg remove tudo, mas guarde uma copia original fora do diretorio publico, porque voce pode ainda precisar do original para sua propria cadeia de evidencia.

PNG e seus chunks de texto

Para PNG, o problema sao chunks tEXt e zTXt deixados pelo Photoshop ou GIMP, frequentemente com nome de usuario e caminho completo do arquivo de origem - um caminho como C:\Users\nome.sobrenome\Desktop desanonimiza na hora. O chunk tIME e perfis ICC embutidos tambem carregam informacao. exiftool limpa PNG tambem, mas depois reverifique explicitamente com exiftool -a -G1 -s imagem.png que nenhuma assinatura de software sobreviveu antes de usar a imagem.

PDF: tres camadas de metadados

PDF e o caso mais traicoeiro porque carrega metadados em tres camadas: dicionario /Info, stream XMP e propriedades de objetos incrementais quando o arquivo foi editado sem linearizar. exiftool resolve as duas primeiras, mas para o terceiro voce precisa de qpdf --linearize --object-streams=generate saida.pdf entrada.pdf, que reescreve a estrutura inteira e descarta historicos de revisao. Tem ainda o caso dos PDFs gerados por scanners corporativos: muitos embedam o serial number da multifuncional no campo Producer. Se o documento veio impresso e escaneado, considere tambem o ataque de tracking dots amarelo das impressoras laser, documentado pela EFF e fundamental para quem trabalha como em Seguranca Pessoal para Alvos Visiveis: Jornalistas, Ativistas e Executivos.

Documentos Office: um zoologico de XML

DOCX, XLSX e PPTX sao na verdade ZIPs com XML dentro, e docProps/core.xml lista autor, ultima modificacao, revisao e empresa. O Word tambem mantem rsid (revision save IDs) que permitem correlacionar fragmentos de texto entre documentos diferentes do mesmo autor, ataque conhecido como rsid fingerprinting. Para limpeza confiavel, use o proprio Word com Inspect Document seguido de Remove All, ou no LibreOffice File > Properties > Reset Properties combinado com Tools > Options > Security > Remove personal information on saving. Para automacao em batch, oxml-document-cleaner em Python ou o mat2 cobrem 95% dos casos sem precisar abrir GUI.

mat2: a ferramenta feita para modelos de ameaca reais

mat2 merece destaque proprio porque foi feito por pessoas que pensam em modelo de ameaca real, mantido pela equipe do Tails. mat2 --inplace documento.pdf age em mais de 30 formatos incluindo SVG, MP4, FLAC e EPUB. O modo --check lista o que ainda resta, e o modo --lightweight poupa formatos que nao sobrevivem a um re-encode completo. Combine com torsocks se for fazer upload via Tor, conforme a pratica descrita em Anonimato Real com Tor: O que Funciona e o que e Mito em 2026.

Manter o JPEG limpo: jpegtran vs ImageMagick

Para imagens vindas direto do celular, considere converter para um formato intermediario. Passar JPEG por ImageMagick com -strip remove perfis ICC e EXIF, mas ImageMagick tambem reordena bytes de quantizacao de forma identificavel, o que pode virar uma fingerprint em si. Para casos serios prefira jpegtran -copy none, que preserva a tabela de quantizacao original e remove metadados sem perda sem reencodar a imagem. A diferenca soa academica, mas e justamente o tipo de detalhe do qual uma atribuicao forense depende.

Armadilhas que nenhuma ferramenta pega

Screenshots de monitor com taxa de atualizacao variavel deixam micro-artefatos de codec que identificam o modelo da placa de video. PDFs gerados por LaTeX embutem assinatura do pacote hyperref incluindo data de compilacao em UTC, denunciando fuso horario. Videos MP4 carregam atom moov com timestamp do filesystem do criador. Nenhuma ferramenta automatica pega com confiabilidade esses leaks semanticos - a unica solucao e manter neutro o proprio ambiente de criacao em vez de limpar depois.

O fluxo de sala limpa Basilisk

Para limpeza completa, o fluxo e: gerar conteudo em VM descartavel com fuso UTC, exportar via clipboard ou network share isolada, sanitizar com mat2 na maquina hospedeira, validar com exiftool -a -G1 -s e so entao publicar. Esse mesmo padrao aparece em Compartimentacao Digital: Identidades Separadas sem Vazar Metadados e em Tails, Whonix ou Qubes OS: Qual Escolher para Cada Cenario de OPSEC. A ideia central: a identidade vaza na origem, nao so no upload.

Validacao adversarial

Validacao adversarial fecha o ciclo. Antes de publicar, suba o arquivo final para um servico de inspecao publico como o metadata2go ou rode pdfid.py e pdf-parser.py do Didier Stevens. Compare o output com o que voce espera ver: idealmente nenhum campo de autoria, timestamps zerados ou em 1970-01-01, e nenhum stream embutido alem do necessario. Documente o checklist e versione ele junto com o conteudo, para que um revisor consiga reconstruir o estado antes do drop.

Automatizar em vez de lembrar

Metadados nao sao so um problema de publicacao: emails, anexos compartilhados em Slack e ate uploads para storage S3 publico carregam o mesmo risco. Times maduros tratam sanitizacao como pipeline, nao como passo manual. Integre mat2 em pre-commit hooks de repos que aceitam contribuicoes anonimas e em gateways de upload de plataformas de denuncia. Takeaway pratico: crie um alias no seu shell chamado clean-doc que roda mat2 --inplace seguido de exiftool -a -G1 -s no resultado, e nunca publique nada sem rodar esse alias e ler a saida.

Limpar video e audio a fundo

Imagem e documento sao so metade. Um MP4 costuma carregar, junto do atom moov, uma tag encoder com software e versao exatos, GPS no container udta e um timestamp de criacao em hora local em vez de UTC. O caminho confiavel e ffmpeg -i entrada.mp4 -map_metadata -1 -c copy saida.mp4, que remove todos os metadados do container sem reencodar. Atencao: -map_metadata -1 limpa o container, mas tags a nivel de stream podem ficar, entao verifique com ffprobe -show_format -show_streams. Em FLAC e MP3 os rastros ficam em Vorbis comments e ID3 tags respectivamente, que o mat2 tambem limpa. Cuidado com thumbnails embutidos: muitos formatos incrustam uma miniatura com o proprio EXIF sem sanitizar, uma porta dos fundos para a desanonimizacao. Um PDF exportado de uma apresentacao ainda costuma arrastar fontes embutidas com nomes de licenca e de criador.

O leak que nenhuma ferramenta ve: estilometria e ritmo

O metadado mais perigoso nao esta no arquivo, esta no seu comportamento. Escolha de palavras, estrutura de frases, erros recorrentes e pontuacao formam uma impressao estilometrica que classificadores modernos atribuem a um autor conhecido com precisao assustadora. Some o ritmo: a hora em que voce publica revela seu fuso horario melhor que qualquer timestamp EXIF, e um padrao consistente - nunca entre 2 e 8h, silencio nos fins de semana - estreita localizacao e profissao. As contramedidas sao tediosas mas reais: neutralize o estilo de um texto antes de publicar ou suavize com round-trips de traducao, agende posts com atraso numa janela ampla de tempo, e discipline uma voz de escrita distinta por identidade. Higiene de metadados que para no arquivo e ignora o comportamento e so metade do trabalho.

FAQ: Um screenshot elimina os metadados?

So em parte. Um screenshot remove sim os campos EXIF e de autoria do original, mas cria metadados novos: a resolucao e o espaco de cor entregam o dispositivo de tela, a ferramenta de captura escreve a propria assinatura de software, e o nome do arquivo costuma carregar timestamp e usuario. Trate o screenshot como artefato novo e passe ele pelo mesmo alias clean-doc antes de sair do sistema.

FAQ: Higiene de metadados protege contra um estado?

Nao, e essa honestidade importa. A higiene de metadados nao protege contra um adversario com recursos de estado com acesso a operadoras, comprometimento de endpoint ou estilometria. Mas elimina a classe inteira de erro autoinflingido que costuma derrubar pesquisadores antes mesmo de a investigacao comecar - e esses erros banais sao estatisticamente a causa mais comum de desanonimizacao, nao a criptoanalise exotica.

Conclusao: aplique uma vez, automatize sempre

Higiene de metadados nao e uma tarefa pontual, e um habito que voce despeja em ferramentas. Tres segundos de disciplina valem mais que tres anos de processo. Mantenha seu alias clean-doc atualizado, valide de forma adversarial antes de cada drop, mantenha neutra a origem dos seus documentos e automatize a sanitizacao em todo lugar onde flui conteudo anonimo. Aplique uma vez, automatize sempre - esse e todo o truque.