Menyunting (Redact) SSN Daripada PDF

Nombor Keselamatan Sosial (SSN) adalah kes rujukan standard untuk redaction (suntingan buang teks sensitif): SSN adalah kecil, mudah terlepas pandang, pengecaman yang unik, dan merosakkan secara kekal apabila ia bocor. Jika anda sedang menyediakan pemfailan mahkamah, permintaan rekod awam, kontrak vendor, atau paket insurans, “Saya telah menutupnya dengan kotak hitam” bukanlah satu perlindungan — ia adalah penanda buku bagi sesiapa yang tahu cara mencarinya. Berikut ialah cara redaction sebenarnya berfungsi, dan cara melakukannya tanpa memuat naik dokumen ke mana-mana.

Kesilapan kritikal: melukis kotak hitam

Naluri pertama ialah membuka penyunting PDF, melukis segi empat tepat berwarna hitam di atas teks sensitif, dan menyimpannya. Hal ini pasti akan gagal, dan sebabnya ialah format PDF itu sendiri.

Satu PDF menyimpan dua perwakilan selari bagi teks. Terdapat lapisan yang kelihatan — glif yang dilukis pada skrin — dan terdapat lapisan teks, kod aksara sebenar yang berada dalam aliran kandungan (content stream) halaman, yang merupakan apa yang dibaca oleh enjin carian, salin-tampal (copy-paste), dan pembaca skrin. Apabila anda melukis kotak hitam, anda hanya mengubah suai lapisan yang kelihatan. Lapisan teks di bawahnya kekal utuh sepenuhnya, dan sesiapa sahaja boleh memilih kawasan “yang disunting” itu, menyalinnya, atau mengeksport teks tersebut dan membaca SSN dalam bentuk teks biasa. Lebih teruk lagi, sesetengah ciri “redaction” dalam penyunting asas sebenarnya hanyalah segi empat tepat dengan isian warna gelap.

Mod kegagalan ini mempunyai nama dalam e-penemuan (e-discovery): ia dipanggil pelanggaran metadata / lapisan teks (metadata / text-layer breach), dan ia telah mendedahkan dokumen termeterai dalam kes-kes mahkamah sebenar. Jika redaction anda boleh ditewaskan oleh Ctrl+A, Ctrl+C, ia bukanlah redaction.

Apa yang dilakukan oleh redaction sebenar

Redaction yang tulen memadam teks daripada aliran kandungan itu sendiri. Aksara-aksara dipadamkan secara fizikal daripada fail tersebut, dan barulah kawasan visual ditutup. Selepas redaction yang sebenar:

Memilih kawasan tersebut tidak memilih apa-apa.
Salin-tampal tidak memulangkan sebarang teks tersembunyi.
Mencari SSN dalam fail tersebut tidak menemui apa-apa (sifar padanan).
Kod aksara tidak lagi wujud dalam bait (bytes) fail tersebut.

Mana-mana alat yang melakukan kurang daripada ini tidak melakukan redaction, dan perbezaannya boleh diuji dalam beberapa saat (kita akan bincangkan perkara itu nanti).

Cari setiap kejadian terlebih dahulu

Satu lagi kegagalan klasik: menyunting (redacting) SSN pada halaman 4 dan membiarkan nombor yang sama pada halaman 12 — dalam pengepala, blok tandatangan, atau lampiran. Kerja yang teliti bermula dengan mengimbas untuk mencari corak, bukan dengan membacanya secara manual.

Satu SSN AS sepadan dengan corak yang boleh dijangka (sembilan digit, selalunya dikelompokkan 3-2-4), yang bermaksud ia boleh ditemui secara pengaturcaraan — bersama dengan pengecam berisiko tinggi yang lain: nombor pasport dan ID kebangsaan, nombor kad kredit, nombor telefon, alamat e-mel, dan butiran akaun bank. Alat PII Redaction PDFLean melakukan imbasan ini secara setempat: ia mengesan calon corak SSN, ID, telefon, kad, dan e-mel dalam pelayar, menunjukkan kepada anda setiap satunya dalam konteks, dan membolehkan anda mengesahkan atau menolak sebelum apa-apa dipadamkan. Kata kunci tersuai (nama kod projek, nama pihak lawan) boleh ditambah dalam imbasan yang sama.

Langkah “tunjukkan setiap satu dalam konteks dan benarkan saya mengesahkannya” amat penting: pemadanan corak semata-mata akan menandakan banyak nombor sembilan digit yang tidak berbahaya. Redaction tidak boleh dipulihkan semula, jadi manusia harus meluluskan setiap padanan.

Langkah demi langkah: redaction tanpa memuat naik

Buka alat PII Redaction. Keseluruhan imbasan berjalan dalam pelayar anda.
Muatkan PDF. Ia hanya masuk ke dalam memori setempat — tiada apa-apa yang dihantar.
Semak semula calon yang dikesan (SSN, ID, telefon, kad, e-mel, kata kunci tersuai). Togol setiap padanan untuk dihidupkan atau dimatikan berdasarkan konteks sekeliling.
Jalankan redaction. Alat ini memadam kod aksara daripada aliran kandungan dan menutupi kawasan yang terjejas.
Sahkan (bahagian seterusnya — jangan langkau).
Simpan salinan yang telah disunting (redacted).

Untuk pemadaman bersasar — satu nama atau nilai khusus yang anda sudah ketahui — alat manual Redact PDF mengambil senarai kata kunci dan memadam setiap kejadian dengan cara yang sama.

Langkah pengesahan yang hampir semua orang langkau

Dakwaan tentang redaction adalah mudah dibuat; pengesahan adalah buktinya. Pada fail output, lakukan ketiga-tiga ini:

Ujian carian. Buka PDF yang disimpan dan cari SSN yang tepat (cuba dengan dan tanpa sengkang: 123-45-6789 dan 123456789). Sifar padanan adalah satu-satunya hasil yang boleh diterima.
Ujian pemilihan. Pilih seret (drag-select) pada kawasan yang disunting dan salin. Jika papan keratan anda mengandungi digit, lapisan teks telah terselamat.
Ujian pengekstrakan teks. Eksport semua teks (Text Extractor melakukan ini secara setempat) dan cari dalam data yang dieksport tersebut. Jika nombor itu muncul di mana-mana sahaja, redaction adalah tidak lengkap — kemungkinan besar salinan kedua wujud di halaman lain.

Lakukan ini pada fail akhir yang disimpan, bukan pratonton dalam apl. Paparan pratonton di-render dari keadaan langsung; hanya bait yang disimpan memberitahu kebenaran.

Satu lagi perkara: metadata

Kandungan teks ialah sasaran yang jelas, tetapi metadata PDF adalah sasaran yang lebih senyap. Sifat dokumen — pengarang, tajuk, subjek, perisian yang menciptanya, dan kadangkala medan tersuai — boleh membawa nama, ID, dan laluan dalaman daripada aplikasi pengarangan asal. Dokumen yang disunting sepenuhnya dengan Author: J. Smith, SSN 123-45-6789 di dalam sifatnya masih membocorkan maklumat.

Buang metadata sebagai langkah terakhir dalam mana-mana kerja redaction, dan jika fail itu akan pergi ke tempat yang berisiko (pemfailan awam, tindak balas FOIA), alat Sanitize melucutkan skrip terbenam, tindakan tersembunyi, dan kandungan aktif lain dengan matlamat yang sama.

Apabila redaction ialah alat yang salah

Redaction memusnahkan teks asas secara kekal. Jika anda perlu mendedahkan nombor itu pada masa akan datang (pasukan dalaman yang menyemak dokumen asal yang belum disunting), simpan satu salinan tidak disunting yang berasingan dalam storan terkawal dan sunting (redact) hanya pada salinan yang anda edarkan. Fail yang diedarkan sepatutnya yang telah dibersihkan; fail induk kekal bersama dokumen asal sensitif anda yang sedia ada.

Untuk borang yang digunakan semula, corak yang lebih baik selalunya ialah ‘redact-on-copy’ (sunting semasa menyalin): pastikan dokumen induk bersih dan jana versi yang telah disunting untuk setiap penerima luar, supaya tiada kesilapan redaction tunggal merebak kembali ke dalam dokumen sumber anda.

Soalan lazim

Bolehkah saya menyunting (redact) PDF yang diimbas? Anda boleh menutup imej yang kelihatan, tetapi imbasan tidak mempunyai lapisan teks untuk dipadamkan — jalankan OCR padanya dahulu (PDF OCR), sunting teks yang dipulihkan, kemudian putuskan sama ada untuk menyimpan atau meratakan (flatten) lapisan imej tersebut. Kotak hitam di atas imbasan adalah memadai hanya jika piksel imbasan tersebut benar-benar dimusnahkan, bukan sekadar dilukis di atasnya.

Adakah redaction boleh dibalikkan? Tidak — itulah tujuannya. Bait-baitnya telah tiada. Inilah sebabnya mengapa mengesahkan setiap calon yang dikesan sebelum menjalankannya adalah penting, dan mengapa anda perlu menyimpan dokumen induk yang bersih.

Adakah perlindungan kata laluan dikira sebagai redaction? Tidak. Penyulitan mengawal akses; redaction memadamkan kandungan. PDF yang dilindungi kata laluan dengan SSN yang tidak disunting masih mengandungi SSN tersebut, dan sesiapa sahaja yang mempunyai kata laluan (atau pemecah kata laluan) boleh membacanya.

Mengapakah butang “redact” pada alat saya hanya menghasilkan kotak hitam? Banyak penyunting asas melaksanakan penonjolan/kotak gaya anotasi berbanding redaction aliran kandungan yang sebenar. Jika alat tersebut tidak dapat menunjukkan kepada anda hasil carian yang bersih selepas itu, ia sekadar melukis, bukan menyunting (redact).

Keseluruhan tugas ini diringkaskan kepada satu dakwaan yang boleh diuji: setelah anda selesai, aksara sensitif mestilah tidak wujud di dalam fail. Cari ia, pilih ia, ekstrak teksnya — jika mana-mana daripada tindakan tersebut menemui nombor berkenaan, redaction itu telah gagal. Lukis kotak itu, padamkan bait tersebut, sahkan pada fail yang disimpan, bersihkan metadatanya, dan simpan sebuah fail induk yang bersih. Urutan tersebut — tidak kurang daripada itu — adalah maksud “redacted”.