[論文レビュー] The Metadata Anonymization Toolkit

Julien Voisin, Christophe Guyeux+1 more|arXiv (Cornell University)|Dec 15, 2012

Digital Media Forensic Detection参考文献 11被引用数 5

ひとこと要約

Metadata Anonymization Toolkit (MAT) は、2011年 Google Summer of Code 中に開発された無料ソフトウェアライブラリであり、デジタルファイルに埋め込まれた個人情報のメタデータを削除または匿名化することで、Tor ネットワークのような脅威モデルにおけるプライバシーを強化する。このツールは、ファイルの整合性を保ちながら、すべての不要なメタデータを削除する保守的なプライバシーポリシーを採用しており、Tails GNU/Linux などのプライバシー指向のシステムに統合されている。

ABSTRACT

This document summarizes the experience of Julien Voisin during the 2011 edition of the well-known \emph{Google Summer of Code}. This project is a first step in the domain of metadata anonymization in Free Software. This article is articulated in three parts. First, a state of the art and a categorization of usual metadata, then the privacy policy is exposed/discussed in order to find the right balance between information lost and privacy enhancement. Finally, the specification of the Metadata Anonymization Toolkit (MAT) is presented, and future possible works are sketched.

研究の動機と目的

• 特に Tor のような匿名通信システムにおける、デジタルメディアに埋め込まれたメタデータがもたらすプライバシーのリスクに対処すること。
• ファイルの使いやすさを損なわせることなく、メタデータを削除または匿名化する実用的で使いやすいツールを開発すること。
• 非必須メタデータのみを削除することで、プライバシーの向上とデータ整合性の両立を図ること。
• Tails などのプライバシー指向のオペレーティングシステムに統合し、強力な匿名性を要する脅威モデルを支援すること。
• 高度なフォグリッピングおよびサイドチャネルメタデータの検出・削除に関する今後の研究の基盤を提供すること。

提案手法

• ファイルの整合性やプライバシーリスクに与える影響に基づいてメタデータを分類し、必須および非必須のフィールドを区別すること。
• ファイル構造やレンダリングに必須でないメタデータをすべて削除するプライバシーポリシーを実装し、数値フィールドはゼロ埋め、文字列フィールドは空に、日付フィールドはエポックに設定する。
• Cairo の PDF サーフェスを用いたレンダリングにより、PDF から隠れたメタデータ、ハイパーリンク、埋め込みコンテンツを効果的に削除し、匿名化を実現すること。
• ExifTool を用いた画像メタデータ処理、Mutagen を用いた音声メタデータ処理など、既存のツールを活用し、一般的なフォーマットとの互換性を確保すること。
• 非技術者ユーザーが使いやすい最小限の、非技術的インターフェースを設計し、メタデータの一覧表示により透明性を重視すること。
• 擬似乱数データの生成を避けることで、予測可能なパターンによって情報漏洩のリスクを低減する、ディフェンスインディーパス戦略を採用すること。

実験結果

リサーチクエスチョン

• RQ1 ファイルの整合性に影響を与えないが、プライバシーに顕著なリスクをもたらすメタデータの種類は何か？
• RQ2 ファイルの使いやすさを損なわせることなく、プライバシーを最大化するメタデータ匿名化ツールはどのように設計できるか？
• RQ3 匿名化されたメタデータフィールドに擬似乱数値を使用するリスクは何か？なぜこのアプローチは不安全なのか？
• RQ4 標準的なメタデータ削除手法が失敗する場合、PDF のような複雑なフォーマットを効果的に洗浄するにはどうすればよいか？
• RQ5 現在のメタデータ匿名化ツールは、特許や逆コンパイルが必要なファイルフォーマットをどのように処理できるか、その限界は何か？

主な発見

• MAT は、画像、音声、ドキュメント、PDF を含む幅広いファイルフォーマットから非必須メタデータを効果的に削除し、プライバシー漏洩のリスクを顕著に低減している。
• Cairo サーフェスを用いた PDF レンダリングにより、隠れたメタデータ、ハイパーリンク、埋め込みコンテンツが効果的に削除され、標準ツールが失敗する状況でも強力な匿名化が達成されている。
• 匿名化フィールドに擬似乱数値を使用すると、一般的な擬似乱数生成アルゴリズムに起因する予測可能なパターンが生じるため、フォレンジック上のリスクが生じ、このアプローチは不安全である。
• このツールはすでに Tails GNU/Linux に統合されており、プライバシー指向のライブシステムへの実用的統合を実証している。
• カメラのフィンガープリントやセンサーに基づくメタデータの検出・削除は現在のところ不可能であり、これは主な限界であり、今後の研究の方向性である。
• 2003 年以前の Microsoft Office ファイルなど、逆コンパイルが困難で内部構造が複雑なプロプライエタリフォーマットは、依然として十分にサポートされていない。