Как правильно скрыть данные в PDF и почему чёрные прямоугольники не работают

Провал сокрытия данных — одна из самых стабильно повторяющихся документных ошибок вообще. Материалы судебных дел, правительственные отчёты, документы для регуляторов и корпоративные договоры публиковались с конфиденциальным содержимым, которое любой мог восстановить, выделив зачернённую область и нажав Ctrl+C. Речь идёт не о небрежных дилетантах: это были юридические фирмы и министерства со штатными специалистами по документам.

Ошибка всегда одна и та же, и она вырастает из вполне понятного заблуждения о том, что такое PDF. Это руководство объясняет, что происходит в действительности, и как обработать документ, чтобы информация была именно удалена, а не просто закрыта.

Почему чёрные прямоугольники — не сокрытие

Страница PDF — это не изображение страницы. Это набор наложенных друг на друга инструкций: нарисуй этот текст, этим шрифтом, в этих координатах; нарисуй здесь это изображение; залей этот прямоугольник чёрным. Программа просмотра выполняет эти инструкции по порядку и показывает вам результат.

Когда вы с помощью инструмента аннотаций или рисования кладёте чёрный прямоугольник поверх фамилии, вы не удаляете инструкцию, которая эту фамилию рисует. Вы добавляете новую инструкцию, выполняемую следом, которая заливает прямоугольник чёрным. Обе остаются в файле. Программа рисует фамилию, а затем закрашивает её: визуально фамилия скрыта, структурно она ровно там же, где была.

Текст может восстановить любой желающий, вообще без специальных инструментов: копированием и вставкой, автоматическим извлекателем текста или простым удалением слоя аннотаций, что многие редакторы PDF делают в один клик — ведь аннотации и задуманы как удаляемые.

Четыре способа, которыми сокрытие проваливается

Косметические чёрные прямоугольники — самая частая, но не единственная ошибка. Эти четыре объясняют практически все реальные утечки при сокрытии:

Последняя заслуживает особого внимания, потому что она невидима. PDF поддерживает инкрементное сохранение: при редактировании изменения могут дописываться в конец файла вместо его полной перезаписи. Это значит, что документ может содержать собственные прежние версии. Если вы скрыли фамилию, а редактор сохранил файл инкрементно, версия до обработки может остаться внутри файла — целой и читаемой, под той, которую видите вы.

Что делает настоящее сокрытие

Подлинное сокрытие удаляет содержимое, а не закрывает его. Корректная реализация выполняет несколько отдельных операций:

1. Удаляет нижележащие объекты содержимого. Текстовые символы, данные изображений или векторные контуры в обрабатываемой области убираются из потока содержимого страницы — не закрываются, а именно убираются.
2. Рисует на их месте непрозрачную отметку. Обычно чёрный прямоугольник, чтобы читатель видел: часть материала не раскрыта. Эту часть все выполняют правильно; без предыдущего шага она ничего не значит.
3. Полностью перезаписывает файл. Результат записывается как новый PDF, а не дописывается к оригиналу, что устраняет историю инкрементных сохранений и любую восстановимую прежнюю версию.
4. Очищает связанные метаданные. Свойства документа, встроенные комментарии, значения полей форм и вложения обнуляются, поскольку конфиденциальные данные прячутся в каждом из них.

Скрыть данные в PDF за четыре шага

Обработка в PdfDocShift удаляет нижележащее содержимое, а не закрывает его, и записывает чистый выходной файл. Ни установки, ни регистрации, а загруженные файлы безвозвратно удаляются с наших серверов через два часа.

О чём забывают все: метаданные

Можно безупречно обработать каждую страницу и всё равно раскрыть именно то, что вы пытались защитить, потому что PDF несёт в себе значительный объём сведений, не появляющихся ни на одной странице.

• Поля автора и создателя. Обычно там оказывается имя того, на чью лицензию программы был создан файл, — нередко конкретный человек в конкретной фирме.
• Исходное имя файла. Часто сохраняется в свойствах документа. Ivanov_uvolnenie_proekt_v3.pdf скажет читателю очень многое ещё до того, как он откроет хоть одну страницу.
• Отметки времени создания и изменения. Они устанавливают, когда документ существовал, а это может иметь огромный вес в судебном споре и при истребовании доказательств.
• Комментарии и аннотации. Замечания рецензентов и отслеживаемые правки путешествуют вместе с файлом и не являются частью видимой страницы.
• Значения полей форм. Заполненная форма может сохранять введённые значения даже тогда, когда видимое отображение обработано.
• Встроенные вложения. PDF может нести внутри себя целые файлы — таблицы, другие PDF — без каких-либо видимых признаков на страницах.

Перед выпуском обработанного документа сведите его с помощью Свести PDF, чтобы преобразовать поля форм и аннотации в статичное содержимое страницы, и проверьте свойства документа в любой программе просмотра. Если файл направляется противной стороне — юристу оппонента, регулятору, журналисту — исходите из того, что каждое поле будет изучено. Оно будет изучено.

Сокрытие данных в сканированных документах

Сканированные документы ставят обратную задачу, и парадокс в том, что по умолчанию они безопаснее. Чистый скан — это изображение: текстового слоя нет, поэтому чёрный прямоугольник, нарисованный поверх и сведённый в изображение, действительно уничтожает пиксели.

Опасность возникает, когда скан прошёл через распознавание. Запуск OCR добавляет под изображение невидимый текстовый слой, делающий документ доступным для поиска, — и на этот слой никак не влияет то, что вы рисуете на изображении сверху. Отсканированный договор, прошедший OCR и затем обработанный инструментом рисования, утекает ровно так же, как обычный PDF, с дополнительной опасностью: он выглядит как безопасный файл, состоящий только из изображений.

Как убедиться, что сокрытие сработало

Никогда не выпускайте обработанный документ без проверки. Проверка занимает около минуты и вылавливает все типичные ошибки:

1. Выделите и скопируйте. Откройте обработанный файл, выделите весь текст на каждой обработанной странице (Ctrl+A или Cmd+A), скопируйте и вставьте в простой текстовый редактор. Поищите во вставленном тексте удалённые вами формулировки. Ничего появиться не должно.
2. Выполните поиск по документу. Через функцию поиска программы просмотра найдите скрытую фамилию или цифру. Косметическая обработка всё равно даст совпадение — за чёрным прямоугольником.
3. Проверьте свойства. Откройте свойства документа и прочитайте поля автора, заголовка, темы и ключевых слов. Убедитесь, что не сохранилось ни исходного имени файла, ни имени человека.
4. Сравните размеры файлов. Правильно обработанный файл обычно немного меньше оригинала, потому что содержимое было удалено. Обработанный файл, заметно больший по размеру, указывает на то, что материал добавили сверху, а не убрали, — сильный признак косметической обработки.
5. Пусть проверит кто-то другой. Во всём по-настоящему значимом человек, выполнявший обработку, — худший проверяющий: он знает, где стоят отметки, и посмотрит именно туда.

Если документ передаётся ограниченному кругу, а не публикуется, подумайте о добавлении пароля через Защитить PDF в качестве второго рубежа. Это не замена правильной обработке — шифрование защищает файл при передаче, а не его содержимое после открытия, — но оно ограничивает бездумную пересылку документа, предназначавшегося лишь нескольким людям.

Часто задаваемые вопросы