في يناير 2019، قدّم محامو بول مانافورت إلى المحكمة مذكرة «منقّحة»: المقاطع الحساسة مغطاة بمستطيلات سوداء. وكفى نسخ النص ولصقه لقراءة كل شيء — بما في ذلك مشاركة بيانات استطلاعات مع وسيط روسي. لم تكن زلة معزولة: فشل التنقيح ظاهرة موثقة ومقيسة ومدروسة في بحوث الأمن. إليك ما أثبته هذا البحث، والطريقة التي تجيب عنه.
المستوى الأول من الفشل: المستطيل رسم، لا حذف
ملف PDF ليس صورة: النص يعيش في تدفق محتوى مهيكل، والمستطيل الأسود مجرد كائن رسومي موضوع فوقه. ما دام كائن النص موجوداً، يستطيع أي قارئ استرجاعه — بالتحديد والنسخ واللصق، أو بالاستخراج عبر pdftotext، أو بفهرسة محرك بحث.
الإخفاقات الشهيرة تُعدّ بالعشرات. إلى جانب مذكرة مانافورت، يمكن ذكر دليل مراقبة إدارة أمن النقل الأمريكية (TSA) الذي نُشر في 2009 بمناطق سوداء قابلة للعكس، أو التقرير العسكري الأمريكي عن مقتل العميل نيكولا كاليباري (2005)، الذي استُرجعت مقاطعه المصنفة بالطريقة نفسها. والخلل لا يستثني المحترفين: منذ 2011، رصد تحليل لنحو 2,000 مستند من نظام PACER القضائي الأمريكي قرابة 200 تنقيح قابل للعكس.
Trodat ID Protector — ختم حماية الهويةبكرة حبر تخفي العناوين والمعرّفات على الورق قبل الإتلاف.انتساب
المستوى الثاني: حذف النص لا يكفي أيضاً
الاستنتاج الطبيعي — «يكفي إخراج النص من الملف» — هو الآخر غير كافٍ. هذا موضوع بحث نُشر في مجلة PoPETs عام 2023 بعنوان Story Beyond the Eye: Glyph Positions Break PDF Text Redaction (ماكسويل بلاند، أنوشيا آير، كيريل ليفتشينكو، جامعة إلينوي).
اكتشافهم: حتى حين يُزال النص تحت المنطقة فعلاً من الملف، فإن الموضع الأفقي للأحرف حول الفجوة يفضح ما كان فيها. الضبط والتقنين ومقاييس الخط تنتج إزاحات دون-بكسلية قابلة للقياس: بمقارنتها بالمواضع المتوقعة لكل كلمة مرشحة، يمكن تضييق فضاء الاحتمالات بشدة — وأحياناً حتى تحديد الكلمة المنقّحة.
النتائج المقيسة معبّرة:
- 11 أداة تنقيح شائعة فُحصت، بما فيها سير عمل Adobe Acrobat: الأغلبية تسرّب معلومات؛
- بعض المناطق تفقد أكثر من 15 بت من الإنتروبيا — فضاء النصوص المرشحة يُقسم على نحو 32,000؛
- على مجموعة حقيقية من 22,120 مستنداً (منها 18,975 تقرير مفتشين عموميين أمريكيين)، يتضح أن 769 تنقيحاً لأسماء علم معرّضة للاختراق؛ وفي 164 منها، اختزل الباحثون الاسم إلى أقل من 494 مرشحاً من قاموس يضم 7 ملايين؛
- عرض الباحثون الهجوم على وثائق من قضيتي إبستين/ماكسويل ومانافورت، وعلى وثيقة من وثائق سنودن، ورصدوا أكثر من 100,000 مستند سيئ التنقيح في البرية.
نشر المؤلفون خوارزميات تصحيحية مفتوحة المصدر وأبلغوا Adobe وMicrosoft ووزارة العدل الأمريكية وPACER. والدرس: تنقيح يحتفظ بكائنات النص في الصفحة — حتى المنظّفة منها — يظل قابلاً للهجوم.
القناة الثالثة: كل ما يتبقى حول النص
حتى تنقيح منفّذ بشكل صحيح قد يتسرب من الأطراف. عنوان المستند ومؤلفه، وتواريخ الإنشاء والتعديل، وتدفق بيانات XMP الوصفية، والتعليقات التوضيحية، والمرفقات، والطبقات والمصغرات — كلها تنجو من رقابة لا تعيد بناء الملف. قد يسقط إخفاء هوية صفحة كاملة لأن حقل «المؤلف» يقول من أنتجها.
الإجابة الصحيحة: تدمير الصفحة، لا الكلمة
الطريقة التي تغلق هذه القنوات الثلاث هي التحويل إلى صورة بشكل تدميري: عرض الصفحة كصورة. في الصورة، لا يوجد كائن نص لاستخراجه، ولا مواضع حروف لقياسها، ولا تدفق لتفكيكه. ما كان نصاً يصبح بكسلات — وتحت المستطيل، بكسلات سوداء.
وهذه بالضبط الطريقة التي تطبقها أداة التنقيح في Document Flare، وهي قابلة للتحقق في الشيفرة: بعد رسم المستطيلات المعتمة، تُعرَض كل صفحة منقّحة على canvas (بمقياس ×2)، وتُحوَّل إلى JPEG (بجودة 0.95) ثم تُدرج في PDF معاد البناء من الصفر. الصفحات غير المنقّحة تُنسخ كما هي. ولأن المستند الناتج ملف جديد، لا تُنسخ أي بيانات وصفية من المصدر — لا عنوان ولا مؤلف ولا تواريخ أصلية؛ تُكتب فقط حقلا Producer/Creator بقيمة «Document Flare».
التحليل الذي يرصد المناطق المطلوب تنقيحها يعمل أيضاً في المتصفح: تسعة أنواع من البيانات الشخصية تُكتشف (IBAN، ورقم الضمان الاجتماعي الفرنسي NIR، والبطاقات البنكية، وSIREN وSIRET، والبريد الإلكتروني، والهواتف، وتواريخ الميلاد، وIPv4)، مع وضع كلمات مفتاحية للأسماء والمراجع التي لا يعرفها الكشف. الدليل خطوة بخطوة في مقالنا عن تنقيح البيانات الشخصية.
حدود صادقة
التحويل إلى صورة هو الطريقة الصحيحة، لكنه ليس مجانياً:
- الصفحات المنقّحة تصبح صوراً: لم يعد النص فيها قابلاً للتحديد، وتختفي روابط تلك الصفحات وإشاراتها، وقد يصبح الملف أثقل؛
- فقط الصفحات التي تحتوي منطقة منقّحة تُحوَّل إلى صورة — الباقي يحتفظ بنصه؛
- الكشف التلقائي يظل استدلالياً: معرّف غير مألوف، أو اسم بلا سياق، أو مسح ضوئي بلا طبقة نصية قد يفلت منه. راجع النتيجة وأكملها بالكلمات المفتاحية؛
- التنقيح يعالج المحتوى المرئي؛ للتعليقات التوضيحية أو المرفقات، تابع بـأداة التنظيف (انظر تنظيف PDF قبل المشاركة).
الاختبار النهائي يبقى نفسه مع أي أداة: أعد فتح ملف PDF الناتج وحاول نسخ ما تحت مستطيل أسود. لا يجب أن يخرج شيء. ولأن كل شيء ينفّذ في متصفحك، يمكنك أيضاً فتح تبويب الشبكة في أدوات المطور والتحقق من أن أي طلب لم ينقل المستند — كما نفصّل في مقالنا عن أدوات PDF بدون رفع.
المعدات المناسبة
Trodat ID Protector — ختم حماية الهويةبكرة حبر تخفي العناوين والمعرّفات على الورق قبل الإتلاف.انتساب
Fellowes 6M — قطع دقيق P-4قطع دقيق P-4: مناسب لوثائق الهوية والمستندات المالية.انتساب
