Che khuất số SSN khỏi một tệp PDF

Số An sinh Xã hội (SSN) là trường hợp kinh điển cho việc che khuất: một SSN rất nhỏ, dễ bị bỏ sót, mang tính nhận dạng duy nhất và gây thiệt hại vĩnh viễn khi nó bị rò rỉ. Nếu bạn đang chuẩn bị một hồ sơ nộp tòa án, một yêu cầu hồ sơ công khai, một hợp đồng với nhà cung cấp hoặc một gói bảo hiểm, thì “Tôi đã che nó bằng một hộp đen” không phải là sự bảo vệ — nó là một dấu trang cho bất kỳ ai biết cách tìm kiếm. Đây là cách việc che khuất thực sự hoạt động, và cách thực hiện điều đó mà không cần tải tài liệu lên bất cứ đâu.

Sai lầm nghiêm trọng: vẽ một hộp đen

Bản năng là mở một trình chỉnh sửa PDF, vẽ một hình chữ nhật màu đen đè lên văn bản nhạy cảm và lưu lại. Điều này chắc chắn sẽ thất bại, và lý do nằm ở chính định dạng PDF.

Một tệp PDF lưu trữ hai cách biểu diễn song song của văn bản. Có lớp hiển thị — các ký tự được vẽ trên màn hình — và có lớp văn bản, các mã ký tự thực tế nằm trong luồng nội dung của trang, đó là những gì các công cụ tìm kiếm, thao tác sao chép-dán và trình đọc màn hình đọc. Khi bạn vẽ một hộp đen, bạn chỉ sửa đổi lớp hiển thị. Lớp văn bản bên dưới hoàn toàn nguyên vẹn, và bất kỳ ai cũng có thể chọn vùng “được che khuất”, sao chép nó, hoặc xuất văn bản và đọc SSN dưới dạng văn bản thuần túy. Tệ hơn nữa, một số tính năng “che khuất” trong các trình chỉnh sửa cơ bản thực sự chỉ là các hình chữ nhật được tô màu tối.

Chế độ thất bại này có một cái tên trong khám phá điện tử (e-discovery): nó được gọi là vi phạm siêu dữ liệu / lớp văn bản, và nó đã làm lộ các tài liệu bị niêm phong trong các vụ án thực tế tại tòa. Nếu việc che khuất của bạn có thể bị đánh bại bằng Ctrl+A, Ctrl+C, thì đó không phải là che khuất.

Những gì việc che khuất thực sự làm

Việc che khuất đích thực sẽ loại bỏ văn bản khỏi chính luồng nội dung. Các ký tự bị xóa bỏ vật lý khỏi tệp, và chỉ sau đó vùng hiển thị mới bị che đi. Sau một quá trình che khuất thực sự:

Việc chọn vùng đó không chọn được gì.
Thao tác sao chép-dán không trả về văn bản ẩn nào.
Tìm kiếm SSN trong tệp không tìm thấy kết quả nào.
Các mã ký tự không còn tồn tại trong các byte của tệp.

Bất kỳ công cụ nào làm ít hơn thế này đều không phải là đang che khuất, và sự khác biệt có thể kiểm tra được trong vài giây (chúng ta sẽ đề cập đến điều đó sau).

Tìm mọi lần xuất hiện trước tiên

Một thất bại kinh điển khác: che khuất SSN ở trang 4 và để lại con số y hệt ở trang 12 — trong một phần đầu trang, một khối chữ ký, hoặc một tệp đính kèm. Một công việc kỹ lưỡng bắt đầu bằng việc quét theo mẫu, chứ không phải đọc kỹ theo cách thủ công.

Một SSN của Hoa Kỳ khớp với một mẫu có thể dự đoán được (chín chữ số, thường được nhóm theo kiểu 3-2-4), có nghĩa là nó có thể được tìm thấy bằng lập trình — cùng với các mã định danh rủi ro cao khác: số hộ chiếu và thẻ căn cước quốc gia (ID), số thẻ tín dụng, số điện thoại, địa chỉ email, và chi tiết tài khoản ngân hàng. Công cụ PII Redaction của PDFLean thực hiện việc quét này cục bộ: nó phát hiện các ứng viên có mẫu SSN, ID, điện thoại, thẻ, và email trong trình duyệt, hiển thị cho bạn từng ứng viên trong ngữ cảnh của nó, và cho phép bạn xác nhận hoặc từ chối trước khi bất cứ thứ gì bị loại bỏ. Các từ khóa tùy chỉnh (tên mã dự án, tên đối tác) có thể được thêm vào trong cùng một lần quét.

Bước “hiển thị cho tôi từng cái trong ngữ cảnh và để tôi xác nhận” rất quan trọng: chỉ đối sánh mẫu thôi sẽ gắn cờ rất nhiều số có chín chữ số vô hại. Việc che khuất là không thể đảo ngược, vì vậy một con người nên phê duyệt mỗi kết quả tìm được.

Từng bước: che khuất mà không cần tải lên

Mở công cụ PII Redaction. Toàn bộ quá trình quét chạy trong trình duyệt của bạn.
Tải tệp PDF. Nó chỉ đi vào bộ nhớ cục bộ — không có gì được truyền đi.
Xem xét các ứng viên được phát hiện (SSN, ID, điện thoại, thẻ, email, từ khóa tùy chỉnh). Bật hoặc tắt từng kết quả dựa trên ngữ cảnh xung quanh.
Chạy quá trình che khuất. Công cụ này xóa các mã ký tự khỏi luồng nội dung và che đi các vùng bị ảnh hưởng.
Xác minh (phần tiếp theo — không được bỏ qua).
Lưu bản sao đã che khuất.

Đối với việc xóa nhắm mục tiêu — một tên hoặc giá trị cụ thể mà bạn đã biết — công cụ Redact PDF thủ công nhận một danh sách từ khóa và loại bỏ mọi lần xuất hiện theo cùng một cách.

Bước xác minh mà hầu như mọi người đều bỏ qua

Các tuyên bố về che khuất thì rẻ tiền; xác minh mới là bằng chứng. Trên tệp đầu ra, hãy làm cả ba điều sau:

Kiểm tra tìm kiếm. Mở tệp PDF đã lưu và tìm kiếm chính xác SSN đó (thử có và không có dấu gạch ngang: 123-45-6789 và 123456789). Không có kết quả nào là kết quả duy nhất có thể chấp nhận.
Kiểm tra chọn lọc. Kéo chọn vùng được che khuất và sao chép. Nếu khay nhớ tạm (clipboard) của bạn chứa các chữ số, lớp văn bản đã sống sót.
Kiểm tra trích xuất văn bản. Xuất tất cả văn bản (Text Extractor thực hiện việc này cục bộ) và tìm kiếm trong bản xuất lưu. Nếu con số xuất hiện ở bất cứ đâu, việc che khuất chưa hoàn tất — rất có thể là một bản sao thứ hai trên một trang khác.

Thực hiện việc này trên tệp đã lưu cuối cùng, không phải trên chế độ xem trước trong ứng dụng. Chế độ xem trước được kết xuất từ trạng thái trực tiếp; chỉ các byte đã lưu mới nói lên sự thật.

Một điều nữa: siêu dữ liệu (metadata)

Nội dung văn bản là mục tiêu rõ ràng, nhưng siêu dữ liệu (metadata) của tệp PDF là một mục tiêu thầm lặng hơn. Các thuộc tính của tài liệu — tác giả, tiêu đề, chủ đề, phần mềm tạo ra nó, và đôi khi là các trường tùy chỉnh — có thể mang tên, ID và đường dẫn nội bộ từ ứng dụng soạn thảo gốc. Một tài liệu được che khuất hoàn toàn với Author: J. Smith, SSN 123-45-6789 trong thuộc tính của nó vẫn bị rò rỉ.

Loại bỏ siêu dữ liệu như là bước cuối cùng của bất kỳ công việc che khuất nào, và nếu tệp sẽ đến tay các bên có tính đối nghịch (hồ sơ công khai, phản hồi FOIA), công cụ Sanitize sẽ dọn dẹp các tập lệnh nhúng, các hành động ẩn, và nội dung hoạt động khác theo cùng một tinh thần.

Khi nào che khuất không phải là công cụ phù hợp

Việc che khuất phá hủy vĩnh viễn văn bản bên dưới. Nếu sau này bạn cần tiết lộ số đó (một nhóm nội bộ xem xét bản gốc chưa bị che khuất), hãy giữ một bản sao chưa bị che khuất riêng biệt ở một nơi lưu trữ được kiểm soát và chỉ che khuất bản sao mà bạn phân phối. Tệp được phân phối phải là tệp đã được làm sạch; bản gốc vẫn nằm ở bất cứ đâu mà các bản gốc nhạy cảm của bạn đã nằm.

Đối với các biểu mẫu được tái sử dụng, mô hình tốt hơn thường là che khuất trên bản sao: giữ cho bản gốc sạch sẽ và tạo ra một phiên bản đã che khuất cho mỗi người nhận bên ngoài, như vậy sẽ không có sai lầm che khuất đơn lẻ nào lan ngược trở lại vào tài liệu nguồn của bạn.

Các câu hỏi thường gặp

Tôi có thể che khuất một tệp PDF được quét không? Bạn có thể che đi hình ảnh hiển thị, nhưng một bản quét không có lớp văn bản để loại bỏ — hãy áp dụng OCR cho nó trước (PDF OCR), che khuất văn bản được khôi phục, sau đó quyết định có nên giữ lại hay làm phẳng (flatten) lớp hình ảnh. Một hộp đen đè lên bản quét là đủ chỉ khi các pixel của bản quét thực sự bị phá hủy, chứ không chỉ bị tô đè lên.

Việc che khuất có thể đảo ngược được không? Không — đó chính là vấn đề. Các byte đã biến mất. Đây là lý do tại sao việc xác nhận từng ứng viên được phát hiện trước khi chạy lại quan trọng, và lý do tại sao bạn cần giữ lại một bản gốc sạch sẽ.

Việc bảo vệ bằng mật khẩu có được tính là che khuất không? Không. Mã hóa kiểm soát quyền truy cập; che khuất loại bỏ nội dung. Một tệp PDF được bảo vệ bằng mật khẩu với một SSN chưa được che khuất vẫn chứa SSN đó, và bất kỳ ai có mật khẩu (hoặc bản crack) đều có thể đọc được nó.

Tại sao nút “che khuất” của công cụ của tôi chỉ tạo ra một hộp đen? Nhiều trình chỉnh sửa cơ bản triển khai việc làm nổi bật/đóng hộp theo kiểu chú thích thay vì che khuất luồng nội dung thực sự. Nếu công cụ không thể cho bạn thấy một kết quả sạch sẽ khi tìm kiếm sau đó, thì nó đang vẽ, không phải đang che khuất.

Toàn bộ công việc thu gọn lại thành một tuyên bố có thể kiểm tra được: sau khi bạn hoàn tất, các ký tự nhạy cảm không được tồn tại trong tệp. Hãy tìm kiếm chúng, chọn chúng, trích xuất văn bản — nếu bất kỳ điều nào trong số đó tìm thấy con số, quá trình che khuất đã thất bại. Vẽ hộp, xóa các byte, xác minh trên tệp đã lưu, làm sạch siêu dữ liệu và giữ một bản gốc sạch sẽ. Trình tự đó — và không thể ít hơn thế — chính là ý nghĩa của “được che khuất”.