Usuwanie numeru SSN z pliku PDF

Numery ubezpieczenia społecznego (SSN) to podręcznikowy przykład danych do zredagowania: numer SSN jest krótki, łatwy do przeoczenia, jednoznacznie identyfikujący i powoduje trwałe szkody w przypadku wycieku. Jeśli przygotowujesz pismo procesowe, wniosek o udostępnienie informacji publicznej, umowę z dostawcą lub pakiet ubezpieczeniowy, stwierdzenie „zakryłem to czarnym prostokątem” nie stanowi ochrony — to tylko zakładka dla każdego, kto wie, jak szukać. Oto jak w rzeczywistości działa redagowanie dokumentów i jak to zrobić bez przesyłania dokumentu do sieci.

Krytyczny błąd: rysowanie czarnego prostokąta

Pierwszym odruchem jest otwarcie edytora PDF, narysowanie czarnego prostokąta na wrażliwym tekście i zapisanie. To niezawodnie zawodzi, a powodem jest sam format PDF.

Plik PDF przechowuje dwie równoległe reprezentacje tekstu. Istnieje warstwa wizualna — glify rysowane na ekranie — oraz warstwa tekstowa, czyli rzeczywiste kody znaków umieszczone w strumieniu zawartości strony, które są odczytywane przez wyszukiwarki, funkcję kopiuj-wklej i czytniki ekranowe. Kiedy rysujesz czarny prostokąt, modyfikujesz tylko warstwę wizualną. Warstwa tekstowa pod spodem pozostaje całkowicie nienaruszona, a każdy może zaznaczyć „zredagowany” obszar, skopiować go lub wyeksportować tekst i odczytać numer SSN jawnym tekstem. Co gorsza, niektóre funkcje „redagowania” w podstawowych edytorach to dosłownie tylko prostokąty z ciemnym wypełnieniem.

Ten rodzaj błędu ma swoją nazwę w e-discovery: nazywa się to naruszeniem metadanych / warstwy tekstowej i zdarzało się, że ujawniało to utajnione dokumenty w prawdziwych sprawach sądowych. Jeśli Twoją redakcję można pokonać za pomocą Ctrl+A, Ctrl+C, to nie jest to redakcja.

Co robi prawdziwa redakcja

Prawdziwa redakcja usuwa tekst z samego strumienia zawartości. Znaki są fizycznie usuwane z pliku, a dopiero potem obszar wizualny jest zakrywany. Po prawdziwej redakcji:

• Zaznaczenie obszaru nie zaznacza niczego.
• Skopiowanie i wklejenie nie zwraca ukrytego tekstu.
• Wyszukiwanie numeru SSN w pliku nie daje żadnych wyników.
• Kody znaków już nie istnieją w bajtach pliku.

Każde narzędzie, które robi mniej niż to, nie redaguje dokumentu, a różnicę można przetestować w kilka sekund (dojdziemy do tego).

Najpierw znalezienie każdego wystąpienia

Inny klasyczny błąd: zredagowanie numeru SSN na stronie 4 i pozostawienie identycznego numeru na stronie 12 — w nagłówku, bloku podpisu lub załączniku. Dokładna praca zaczyna się od skanowania w poszukiwaniu wzorca, a nie od ręcznego czytania.

Amerykański numer SSN pasuje do przewidywalnego wzorca (dziewięć cyfr, często pogrupowanych 3-2-4), co oznacza, że można go znaleźć programowo — wraz z innymi identyfikatorami wysokiego ryzyka: numerami paszportów i dowodów osobistych, numerami kart kredytowych, numerami telefonów, adresami e-mail i danymi kont bankowych. Narzędzie do redagowania danych PII PDFLean wykonuje to skanowanie lokalnie: wykrywa w przeglądarce kandydatów — SSN, dowody osobiste, telefony, karty i adresy e-mail, pokazuje każde trafienie w kontekście i pozwala je zatwierdzić lub odrzucić, zanim cokolwiek zostanie usunięte. Niestandardowe słowa kluczowe (kryptonim projektu, nazwa kontrahenta) można dodać podczas tego samego przebiegu.

Krok „pokaż mi każde wystąpienie w kontekście i pozwól mi potwierdzić” ma znaczenie: samo dopasowywanie wzorców oznaczy mnóstwo nieszkodliwych, dziewięciocyfrowych liczb. Redagowanie jest nieodwracalne, dlatego człowiek powinien zatwierdzić każde trafienie.

Krok po kroku: redagowanie bez przesyłania plików

1. Otwórz narzędzie do redagowania danych PII. Całe skanowanie odbywa się w Twojej przeglądarce.
2. Załaduj plik PDF. Trafia on tylko do pamięci lokalnej — nic nie jest przesyłane do sieci.
3. Przejrzyj wykrytych kandydatów (SSN, numer dowodu, telefon, karta, e-mail, niestandardowe słowa kluczowe). Włączaj lub wyłączaj każde trafienie na podstawie otaczającego je kontekstu.
4. Uruchom redagowanie. Narzędzie usuwa kody znaków ze strumienia zawartości i zakrywa odpowiednie obszary.
5. Zweryfikuj (następna sekcja — nie pomijaj).
6. Zapisz zredagowaną kopię.

W przypadku ukierunkowanego usuwania — jednej konkretnej nazwy lub wartości, którą już znasz — narzędzie do ręcznego redagowania plików PDF przyjmuje listę słów kluczowych i usuwa każde wystąpienie w ten sam sposób.

Krok weryfikacji, który prawie wszyscy pomijają

Deklaracje o zredagowaniu nic nie kosztują; weryfikacja to dowód. Na pliku wyjściowym wykonaj wszystkie trzy czynności:

1. Test wyszukiwania. Otwórz zapisany plik PDF i wyszukaj dokładny numer SSN (spróbuj z myślnikami i bez: 123-45-6789 i 123456789). Brak wyników to jedyny akceptowalny rezultat.
2. Test zaznaczania. Zaznacz przeciągnięciem zredagowany obszar i skopiuj. Jeśli Twój schowek zawiera cyfry, warstwa tekstowa przetrwała.
3. Test ekstrakcji tekstu. Wyeksportuj cały tekst (Ekstraktor tekstu robi to lokalnie) i przeszukaj zrzut. Jeśli numer pojawia się gdziekolwiek, redakcja jest niekompletna — najprawdopodobniej istnieje druga kopia na innej stronie.

Zrób to na końcowym zapisanym pliku, a nie na podglądzie w aplikacji. Widoki podglądu są renderowane ze stanu na żywo; tylko zapisane bajty mówią prawdę.

Jeszcze jedno: metadane

Zawartość tekstowa to oczywisty cel, ale metadane pliku PDF są cichszym zagrożeniem. Właściwości dokumentu — autor, tytuł, temat, oprogramowanie, które go utworzyło, a czasem pola niestandardowe — mogą przenosić nazwy, identyfikatory i ścieżki wewnętrzne z oryginalnej aplikacji tworzącej. W pełni zredagowany dokument z właściwością Author: J. Smith, SSN 123-45-6789 nadal ujawnia dane.

Usuń metadane jako ostatni krok każdego zadania redagowania, a jeśli plik trafia w potencjalnie nieprzyjazne miejsce (rejestr publiczny, odpowiedź na wniosek o dostęp do informacji), narzędzie do oczyszczania pozbędzie się w tym samym duchu osadzonych skryptów, ukrytych akcji i innej aktywnej zawartości.

Kiedy redagowanie jest niewłaściwym narzędziem

Redagowanie trwale niszczy tekst znajdujący się pod spodem. Jeśli będziesz musiał później odkryć numer (wewnętrzny zespół przeglądający niezredagowany oryginał), przechowuj osobną, niezredagowaną kopię w kontrolowanym magazynie danych i redaguj tylko tę kopię, którą rozpowszechniasz. Plik rozpowszechniany powinien być tym oczyszczonym; plik główny pozostaje tam, gdzie znajdują się już Twoje wrażliwe oryginały.

W przypadku formularzy, które są wielokrotnie używane, lepszym wzorcem jest często redagowanie na kopii: utrzymuj plik główny w czystości i generuj zredagowaną wersję dla każdego zewnętrznego odbiorcy, aby żaden pojedynczy błąd redakcyjny nie przeniósł się z powrotem do dokumentu źródłowego.

Często zadawane pytania

Czy mogę zredagować zeskanowany plik PDF? Możesz zakryć widoczny obraz, ale skan nie ma warstwy tekstowej do usunięcia — najpierw użyj na nim OCR (PDF OCR), zredaguj odzyskany tekst, a następnie zdecyduj, czy zachować, czy spłaszczyć warstwę obrazu. Czarny prostokąt na skanie jest wystarczający tylko wtedy, gdy piksele skanu są faktycznie niszczone, a nie tylko zamalowywane.

Czy redagowanie jest odwracalne? Nie — i o to właśnie chodzi. Bajty zniknęły. Dlatego tak ważne jest potwierdzenie każdego wykrytego kandydata przed uruchomieniem procesu i dlatego zachowujesz czysty plik główny.

Czy ochrona hasłem liczy się jako redagowanie? Nie. Szyfrowanie kontroluje dostęp; redagowanie usuwa zawartość. Chroniony hasłem plik PDF z niezredagowanym numerem SSN nadal zawiera SSN, a każdy z hasłem (lub narzędziem łamiącym hasła) może go odczytać.

Dlaczego przycisk „redaguj” w moim narzędziu robi tylko czarny prostokąt? Wiele podstawowych edytorów implementuje podkreślanie/rysowanie prostokątów w stylu adnotacji, a nie prawdziwe redagowanie strumienia zawartości. Jeśli po zakończeniu narzędzie nie potrafi zaprezentować rezultatu wolnego od wyników wyszukiwania, oznacza to, że rysuje, a nie redaguje.

---

Całe zadanie sprowadza się do jednego testowalnego twierdzenia: po zakończeniu wrażliwe znaki nie mogą istnieć w pliku. Wyszukaj je, zaznacz, wyeksportuj tekst — jeśli którekolwiek z tych działań znajdzie numer, redagowanie zakończyło się niepowodzeniem. Narysuj prostokąt, usuń bajty, zweryfikuj na zapisanym pliku, oczyść metadane i zachowaj czysty plik główny. Ta sekwencja — nic mniej — to właśnie oznacza „zredagowany”.