Windows Explorer verwijdert EXIF-data niet volledig uit bestanden
Windows Explorer heeft een optie om EXIF-data van media-bestanden te verwijderen, maar de optie werkt niet goed waardoor informatie achterblijft, zo stelt de Belgische beveiligingsonderzoeker Didier Stevens. Hij heeft Microsoft inmiddels over het probleem ingelicht.
Via het exchangeable image file format (EXIF) worden er door het fototoestel of smartphone allerlei gegevens aan foto's toegevoegd. Het gaat dan om informatie zoals datum en tijd van de opname, merk en model van de camera, naam van de eigenaar van de camera, camera-instellingen zoals belichtingstijd, diafragmagetal, diafragma, brandpuntsafstand en gps-gegevens zoals de breedtegraad en lengtegraad.
Fotografen kunnen deze informatie gebruiken om hun foto's bijvoorbeeld te organiseren of te doorzoeken. EXIF-data kan echter ook allerlei informatie over de fotomaker prijsgeven. Er zijn verschillende tools om EXIF-data uit afbeeldingen te verwijderen, maar Microsoft biedt zelf via Windows Explorer de mogelijkheid om persoonlijke informatie uit bestanden weg te halen.
Op het eerste gezicht lijkt Windows Explorer deze gegevens ook te verwijderen, maar uit onderzoek van Stevens blijkt dat zaken als type camera en gebruikte software in het bestand achterblijven en via een binary editor zichtbaar zijn. "Als je echt zeker wilt zijn dat alle metadata uit je mediabestanden zijn verwijderd, gebruik voor het moment dan geen Windows Explorer. Gebruik een andere tool. Idealiter een tool die de segmenten met metadata volledig verwijdert", aldus de onderzoeker.
daadwerkelijk de meta-data verwijderd,geef eens een tip
beste onderzoeker stevens.
The Matrix
Ach.... Het is een bericht over MS, en iets wat niet 100% goed gaat. Reden genoeg voor rode vlekken voor de ogen en schuim in de mondhoek...
Ik hou graag al mijn EXIF data intact, en als ik het kwijt wil, gebruik ik geen Explorer. Wist niet eens dat dat daarmee kon.
Dus dubbele gemiste kans, @Ongemodereerd ?
De open standaard is duidelijk, expliciet en ondubbelzinnig dus het is een koud kunstje om, als je suggereert om EXIF-data uit media-bestanden te verwijderen, om dat dan ook daadwerkelijk te doen, voor alle data die in de standaard worden beschreven.
Jij hebt blijkbaar nooit met ICT te maken of het ontbreekt je gewoon aan denkvermogen. Er is geen 'redesign van de oorspronkelijke formaten' nodig om de data van de standaard (die nota bene uit 1995 stamt) leeg te maken. Even uitkauwen voor de duidelijkheid: je hoeft de standaard niet aan te passen om data die door de standaard worden beschreven leeg te maken in bestanden.
Voor de volledigheid hier een link naar de EXIF-standaard want jij lijkt me niet iemand die dat zelf op internet kan vinden.
https://en.wikipedia.org/wiki/Exif
Ik ben dan altijd wel benieuwd: heeft Microsoft het dan ook meteen onderkent al al gerepareerd? Of was hun reactie dat ze het onbelangrijk vonden?
Bij Responsible Disclosure ben ik altijd wel benieuwd naar de wederhoor dus.
Het was vast nog ergens handig voor. En men had niet verwacht dat er iemand achter zou komen...
daadwerkelijk de meta-data verwijderd,geef eens een tip
beste onderzoeker stevens.
The Matrix
Er is hierboven al gelinkt naar Wikipedia. Ik neem aan dat je zelf in staat bent om op het idee te komen dat Wikipedia er informatie over kan hebben en dat je dat zelf kan vinden. Als je op die pagina gaat kijken blijkt er een hoofdstukje "Program support" te zijn:
https://en.wikipedia.org/wiki/Exif#Program_support
Als je daar even je cursor boven links naar een paar andere wikipedia-pagina's houdt kan je aan de samenvattingen die dan als een soort popups tevoorschijn komen al zien dat exiftool niet alleen een library is maar ook een commandline-applicatie. Je hoeft niet eens op een link te klikken om al iets op het spoor te komen.
Als je een Linux-gebruiker bent kan je in de software-repository van je distro zoeken op "exif", en vind je ook onder meer exiftool.
Beste niet-onderzoeker The Matrix, heb je werkelijk een onderzoeker als Didier Stevens nodig om achter dit soort makkelijk te vinden dingen te komen?
Ik ben dan altijd wel benieuwd: heeft Microsoft het dan ook meteen onderkent al al gerepareerd? Of was hun reactie dat ze het onbelangrijk vonden?
Bij Responsible Disclosure ben ik altijd wel benieuwd naar de wederhoor dus.
Dit is een duidelijke bug en een data lek, dus de kans is aanwezig dat ze hel wel repareren. Explorer verwijdert wel alleen de opgegeven onderdelen, maar hier blijkt dat de bepaalde onderdelen nog aanwezig zijn.
Voor degenen die het rapport niet hebben gelezen, Explorer verwijdert slechts de verwijzing naar de data maar niet de data zelf. Zoals een file in sommige bestandssystemen wordt "verwijderd" door in de directory de link daar naar toe te verwijderen terwijl het bestand nog blijft staan.
@Gisteren, 16:58 door karma4
Jij hebt het rapport van Stevens duidelijk niet gelezen, je doet een foute aanname en je probeert op basis daarvan een ander de les te lezen. Foei!
Misschien is het ook niet de bedoeling om alle EXIF informatie te verwijderen. Zaken als de camera en de software laten staan in de binary kan ook een keuze zijn, die gemaakt is om de gebruiker te helpen. Wanneer datum, tijd, locatie en persoonsgegevens van de maker zijn verwijderd, is de identificeerbaarheid daarvan al aardig weg. Camera en software worden pas interessant, wanneer je omgekeerd iets wil bewijzen. Want als je de foto aan iemand wil koppelen, moet je al kunnen bewijzen dat die toegang had tot zo'n camera en die software. Dus voor gerechtelijk onderzoek is het misschien nuttig/nodig om dat te laten staan. Maar het werkt alleen via de terugweg.
Misschien is het ook niet de bedoeling om alle EXIF informatie te verwijderen. Zaken als de camera en de software laten staan in de binary kan ook een keuze zijn, die gemaakt is om de gebruiker te helpen. Wanneer datum, tijd, locatie en persoonsgegevens van de maker zijn verwijderd, is de identificeerbaarheid daarvan al aardig weg. Camera en software worden pas interessant, wanneer je omgekeerd iets wil bewijzen. Want als je de foto aan iemand wil koppelen, moet je al kunnen bewijzen dat die toegang had tot zo'n camera en die software. Dus voor gerechtelijk onderzoek is het misschien nuttig/nodig om dat te laten staan. Maar het werkt alleen via de terugweg.
Dan is het nog steeds pruts werk, want die functionaliteit is totaal niet duidelijk, vandaar het artikel.
Ach, Microsoft, klein bedrijfje, heeft waarschijnlijk nog maar 2 ontwikkelaars aan Windows werken waardoor dit er tussendoor is geglipt. Je kan het ze vergeven, toch?
Voor de volledigheid hier een link naar de EXIF-standaard want jij lijkt me niet iemand die dat zelf op internet kan vinden.
https://en.wikipedia.org/wiki/Exif
https://www.media.mit.edu/pia/Research/deepview/exif.html. Volledig doornemen aub verder met https://www.exif.org/Exif2-2.PDF het loopt al snel in variaties en verschillen bij de makers (camera's) uit elkaar.
Open standaarden leiden nogal vaak aan onvoorziene niet duidelijke specificaties.
Jij hebt het rapport van Stevens duidelijk niet gelezen, je doet een foute aanname en je probeert op basis daarvan een ander de les te lezen. Foei!
Heel er vaak is de ophef niet terecht.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
