OSINT ja PDF: selvitä asiakirjan alkuperä ja versiot

PDF-asiakirja näyttää helposti viralliselta. Logo, allekirjoituksen kuva ja huolellinen taitto voivat luoda vaikutelman luotettavuudesta, vaikka tiedoston alkuperä olisi epäselvä. Toisaalta aito asiakirja voi näyttää poikkeavalta esimerkiksi skannauksen, saavutettavuuskorjausten tai uuden julkaisujärjestelmän vuoksi.

OSINT-tutkimuksessa PDF kannattaa käsitellä sekä julkaisuna että teknisenä tiedostona. Sisällön lisäksi tutkitaan jakeluyhteyttä, metatietoja, tekstikerrosta ja mahdollisia versioeroja. Tavoitteena ei ole julistaa asiakirjaa aidoksi yhden vihjeen perusteella, vaan selvittää, mitä siitä voidaan perustellusti sanoa.

Rajaa ensin, mitä asiakirjasta haluat tietää

Alkuperän tutkiminen voi tarkoittaa useita eri kysymyksiä. Onko tiedosto julkaistu väitetyllä verkkosivustolla? Onko sen sisältö sama kuin julkaisijan nykyisessä versiossa? Onko allekirjoitus teknisesti varmennettavissa? Näihin tarvitaan erilaiset tarkistukset.

Kirjaa tutkimuskysymys ennen työkalujen käyttöä. Esimerkiksi: ”Vastaako muualla jaettu PDF organisaation omalla sivustolla julkaistua asiakirjaa?” Kysymys on rajattu, ja siihen voidaan etsiä vertailukelpoista näyttöä.

Erota ainakin nämä asiat:

• Julkaisuyhteys: mistä tiedosto löytyi ja kuka siihen linkitti?
• Tiedoston eheys: ovatko kaksi tallennettua tiedostoa täsmälleen samat?
• Sisällön luotettavuus: pitävätkö asiakirjan väitteet paikkansa?
• Versiohistoria: mitä sisältöön tai tiedostoon on muuttunut?

Yhden kohdan varmistuminen ei ratkaise muita. Virallisellakin sivustolla julkaistu asiakirja voi sisältää virheen.

Tallenna tiedoston lisäksi julkaisuyhteys

Pelkkä latauskansiossa oleva PDF kertoo vähän siitä, miten se löydettiin. Tallenna siksi tiedoston verkko-osoite, sitä esittelevän sivun osoite, havaintoaika ja sivulla näkyvä kuvaus. Merkitse myös, jos tiedosto löytyi hakukoneesta ilman selittävää sivua.

Julkaisusivu voi kertoa asiakirjan tilasta enemmän kuin tiedoston nimi. Samanniminen raportti saattaa olla luonnos, lausuntoversio, liite tai korjattu julkaisu. Sivulla voi myös olla huomautus siitä, että vanha tiedosto on korvattu uudella.

Jos lataus ohjautuu toiselle verkkotunnukselle, kirjaa lopullinen osoite. Ulkopuolinen tiedostopalvelu ei itsessään tee julkaisusta epäilyttävää, mutta yhteys väitettyyn julkaisijaan on pystyttävä osoittamaan. Älä päättele sitä pelkästä logosta tai tiedostonimestä.

Käsittele tuntematonta PDF-tiedostoa varovasti

PDF ei ole aina pelkkä staattinen sivukuva. Se voi sisältää linkkejä, liitteitä, lomakkeita ja aktiivisia toimintoja. Tuntemattoman tiedoston avaamiseen liittyy siksi myös tietoturvariski, ei ainoastaan väärän tiedon riski.

Käytä päivitettyä katseluohjelmaa ja ympäristöä, jossa aktiivista sisältöä on rajoitettu. Älä avaa upotettuja liitteitä tai seuraa kirjautumista pyytäviä linkkejä vain siksi, että ne näkyvät asiakirjassa. Jos tiedosto vaikuttaa riskialttiilta, noudata organisaatiosi eristys- ja tarkastusmenettelyjä.

Säilytä ladattu alkuperäiskappale muuttamattomana. Tee tekstin poiminta, kommentointi ja muut käsittelyt työskentelykopiolle. Näin myöhemmät havainnot voidaan erottaa omista muokkauksistasi.

Laske tiiviste, mutta ymmärrä sen rajat

Kryptografinen tiiviste, kuten SHA-256, auttaa vertaamaan tiedostoja. Käytännön vertailussa sama SHA-256-tiiviste on erittäin vahva osoitus siitä, että tiedostojen tavusisältö on sama. Tämä on hyödyllistä, kun asiakirjaa jaetaan useissa osoitteissa tai eri nimillä.

Tiiviste ei kuitenkaan todista julkaisijaa, totuutta tai alkuperäistä julkaisuajankohtaa. Myös harhaanjohtavasta tiedostosta voidaan laskea täysin kelvollinen tiiviste. Eri tiivisteet taas kertovat tiedostojen eroavan, mutta eivät selitä eron merkitystä.

Tallenna tiivisteen yhteyteen tiedostonimi, koko, laskenta-aika ja käytetty algoritmi. Jos saat myöhemmin uuden kopion, vertaa ensin tiivisteitä. Identtisiä tiedostoja ei tarvitse käsitellä erillisinä sisältöversioina vain siksi, että niiden latausosoitteet eroavat.

Lue metatietoja vihjeinä, älä todisteina

PDF:n metatiedoissa voi olla otsikko, tekijäkenttä, luontiaika, muokkausaika ja tietoja käytetystä ohjelmistosta. Kentät auttavat muodostamaan jatkokysymyksiä, mutta ne eivät ole luotettava tapahtumaloki.

Metatiedot voivat periytyä asiakirjapohjasta, muuttua tiedostomuunnoksessa tai olla käsin muokattuja. Luontiaika voi kuvata PDF-viennin hetkeä eikä tekstin kirjoittamista. Aikaleiman aikavyöhyke voi myös puuttua tai olla väärä.

Tee havainnosta täsmällinen: ”Tiedoston luontiaikakentässä on päivämäärä X” on perustellumpi kuin ”Asiakirja laadittiin päivänä X”. Jos tekijäkentässä näkyy henkilötietoja, älä kopioi niitä raporttiin ilman tutkimuskysymykseen liittyvää tarvetta. Kenttä ei myöskään osoita varmasti, kuka asiakirjan kirjoitti.

Tarkista näkyvä sisältö ja tekstikerros erikseen

PDF voi sisältää varsinaista tekstiä, skannattuja sivukuvia tai molempia. Skannatun sivun päälle voidaan lisätä optisella tekstintunnistuksella tuotettu tekstikerros, joka mahdollistaa haun ja kopioinnin.

Tekstikerros voi kuitenkin poiketa näkyvästä sivusta. Tekstintunnistus sekoittaa toisinaan numeroita, merkkejä ja sarakkeiden järjestystä. Kopioitu lause voi myös yhdistyä väärään otsikkoon, vaikka sivu näyttää lukijalle selkeältä.

Tarkista ratkaisevat kohdat aina sivunäkymästä:

• summat, päivämäärät ja prosenttimerkinnät;
• kielteiset ilmaukset ja ehtolauseet;
• taulukoiden otsikot ja alaviitteet;
• lainauksen alku, loppu ja asiayhteys.

Jos tekstihaku ei löydä sanaa, se ei vielä tarkoita, ettei sanaa olisi asiakirjassa. Puuttuva tai virheellinen tekstikerros voi selittää tuloksen.

Vertaa versioita kolmella tasolla

Versiovertailu kannattaa jakaa tiedosto-, teksti- ja ulkoasutarkasteluun. Tiedostotasolla selvitetään, ovatko kopiot identtiset. Tekstitasolla etsitään lisäyksiä, poistoja ja muuttuneita sanamuotoja. Ulkoasutasolla tarkastellaan esimerkiksi taulukoita, kuvia ja huomautusten sijoittelua.

Pelkkä tekstivertailu ei riitä, jos merkitys riippuu väreistä, yliviivauksista tai kaavion selitteistä. Vastaavasti muuttunut sivumäärä ei välttämättä tarkoita sisällöllistä muutosta: fontti tai marginaalit ovat voineet vaihtua.

Kirjaa jokaisesta olennaisesta erosta sijainti ja merkitys. ”Sivun 4 taulukon määrä muuttui” on hyödyllisempi havainto kuin ”PDF:t ovat erilaiset”. Älä oleta muutoksen olevan tahallinen harhautus, ellei sille ole erillistä näyttöä.

Erota allekirjoituksen kuva digitaalisesta allekirjoituksesta

Asiakirjassa näkyvä käsinkirjoitetun allekirjoituksen kuva on osa sivun sisältöä. Se ei itsessään tarjoa teknistä suojaa kopiointia tai sisällön muuttamista vastaan. Sama koskee leimaa ja muita virallisen näköisiä graafisia elementtejä.

Digitaalinen allekirjoitus on eri asia. Sen tarkistuksessa arvioidaan muun muassa allekirjoitetun sisällön eheyttä, varmennetta, luottamusketjua ja mahdollisia myöhempiä muutoksia. Käytä tähän tarkoitettua tarkistustoimintoa ja lue tuloksen yksityiskohdat, älä vain tilakuvaketta.

Epäonnistunut tarkistus ei yksin todista väärennöstä: syynä voi olla esimerkiksi puuttuva luottamustieto. Onnistunut tarkistus puolestaan ei tee asiakirjan väitteistä tosia. Raportoi, mitä tarkistus osoitti ja mitkä kysymykset jäivät avoimiksi.

Vältä tietovuotoja analyysin aikana

Julkisesti saatavilla oleva asiakirja voi sisältää henkilötietoja, sisäisiä kommentteja tai epäonnistuneita peittoja. Älä lataa sitä automaattisesti ulkopuoliseen muunnos-, vertailu- tai analyysipalveluun. Tarkista ensin käsittelyn oikeutus, palvelun ehdot ja oman organisaatiosi ohjeet.

GDPR:n näkökulmasta julkisuus ei poista henkilötietojen käsittelyyn liittyviä velvollisuuksia. Määritä käyttötarkoitus ja käsittelyperuste, rajaa talteen otettavat tiedot ja arvioi säilytysaika. Paikallinen työkalu voi vähentää tarpeetonta tiedon luovuttamista, mutta ei yksin ratkaise käsittelyn lainmukaisuutta.

Mustan suorakulmion näköinen peitto ei aina tarkoita, että alla oleva tieto olisi poistettu. Jos huomaat mahdollisesti paljastuvia tietoja, älä levitä niitä. Dokumentoi ongelma mahdollisimman vähin tiedoin ja käytä tarvittaessa julkaisijan ilmoituskanavaa.

Muotoile johtopäätös havaintojen vahvuiseksi

Hyvä loppuarvio erottaa tekniset havainnot, niitä tukevan julkaisuyhteyden ja avoimet kysymykset. Näin lukija ymmärtää, mitä on tarkistettu eikä tulkitse rajattua vertailua kattavaksi aitoustodistukseksi.

Kuvitteellisessa tapauksessa johtopäätös voisi olla: ”Jaettu tiedosto on SHA-256-tiivisteen perusteella identtinen organisaation julkaisusivulta havaintohetkellä ladatun tiedoston kanssa. Tarkistus ei koskenut asiakirjan väitteiden paikkansapitävyyttä tai mahdollista aiempaa versiohistoriaa.”

Jos alkuperäistä julkaisuyhteyttä ei löydy, sano se suoraan. Löytymättä jäänyt lähde ei osoita asiakirjaa vääräksi, mutta se rajoittaa alkuperästä tehtäviä päätelmiä. Epävarmuuden näkyväksi tekeminen on osa käyttökelpoista tutkimustulosta.

Yhteenveto

PDF-tutkimuksessa vahvin tulos syntyy usean tarkistuksen yhdistelmästä. Tallenna julkaisuyhteys, säilytä alkuperäinen tiedosto, vertaa tiivisteitä ja tarkista merkitykselliset sisältöerot. Käsittele metatietoja vihjeinä ja allekirjoituksia niiden todellisen teknisen merkityksen mukaisesti.

Pidä lopuksi erillään kolme asiaa: mistä asiakirja saatiin, onko tiedosto muuttunut ja ovatko sen väitteet tosia. Tämä erottelu tekee OSINT-analyysistä tarkempaa ja ehkäisee perusteettomia aitouspäätelmiä.