Как проверить, был ли отредактирован PDF (без оригинала)

Один из самых частых вопросов при проверке документов: как определить, был ли отредактирован PDF, когда у вас нет оригинала для сравнения? Хотя идеального ответа нет, криминалистический анализ может выявить признаки модификации.

Проблема проверки без оригинала

Когда у вас есть оригинальный документ, проверка проста — сравните два файла. Но в большинстве реальных ситуаций у вас есть только документ, который вызывает вопросы. Здесь становится важным криминалистический анализ.

Ключевые индикаторы редактирования PDF

1. Временные метки метаданных

Метаданные PDF могут содержать даты создания и изменения. Эти необязательные и редактируемые поля описывают обработку файла, а не подтвержденную хронологию:

• CreationDate: Когда PDF был впервые создан
• ModDate: Когда он был последний раз изменён

На что обратить внимание:

• Различие дат создания и изменения может отражать экспорт, сканирование, обновление метаданных или другую обработку. Само по себе оно не доказывает изменение видимого содержания.
• Длительность промежутка между датами не измеряет объем или значимость изменения содержания.
• Перед выводом о дате из будущего проверьте часовой пояс, часы устройства и перенос значений программой.

2. Множественные подписи программного обеспечения

PDF отслеживают программное обеспечение, используемое для создания и модификации:

• Creator: Приложение, создавшее исходный контент (например, Word, InDesign)
• Producer: Программное обеспечение, создавшее/изменившее сам PDF (например, Adobe PDF Library)

Тревожные сигналы:

• Разные приложения Creator и Producer
• Разные Creator и Producer обычны, когда создание исходного документа и генерация PDF выполняются разными компонентами.
• Потребительские инструменты редактирования для "официальных" документов

3. Инкрементальные обновления

Когда PDF редактируются, многие приложения добавляют изменения, а не перезаписывают файл:

• Несколько совпадений %%EOF — предварительный структурный признак, а не надежный счетчик правок. Нужно разобрать цепочку перекрестных ссылок: такой текст может встречаться и внутри других данных.
• Размер файла больше ожидаемого для контента
• Следы ревизий в таблице перекрёстных ссылок

4. Структурные аномалии

Технический анализ может выявить:

• Осиротевшие объекты (остатки удалённого контента)
• Несогласованная нумерация объектов
• Необычные паттерны перекрёстных ссылок

Пошаговый процесс проверки

Шаг 1: Быстрая проверка метаданных

Откройте свойства PDF (правый клик → Свойства или Файл → Свойства):

• Отметьте даты создания и модификации
• Проверьте информацию об авторе и программном обеспечении
• Ищите что-то неожиданное

Шаг 2: Сравните даты с контекстом

Спросите себя:

• Соответствует ли дата создания тому, когда документ должен был быть создан?
• Имеет ли смысл дата модификации?
• Есть ли промежуток, предполагающий редактирование?

Шаг 3: Анализ подписей программного обеспечения

Учитывайте:

• Логично ли, что этот документ был создан в показанном программном обеспечении?
• Соответствует ли Producer тому, что вы ожидаете?
• Есть ли признаки использования нескольких инструментов?

Шаг 4: Используйте криминалистические инструменты

Для тщательного анализа используйте инструменты, которые могут:

• Обнаружить инкрементальные обновления
• Подсчитать маркеры EOF
• Проанализировать структуру объектов
• Эвристическая оценка найденных признаков; это не измеренная вероятность подделки.

Что может и не может сказать криминалистический анализ

Может выявить:

• Что документ был изменён после создания
• Какое программное обеспечение использовалось для модификаций
• Приблизительную временную шкалу изменений
• Происходили ли множественные сессии редактирования

Не может доказать:

• Какое конкретное содержимое было изменено
• Кто внёс изменения
• Были ли изменения злонамеренными
• Что документ на 100% подлинный (отсутствие признаков не означает отсутствие редактирования)

Реальные сценарии

Проверка контракта

Контракт, датированный прошлым месяцем, показывает:

• CreationDate: 3 месяца назад
• ModDate: на прошлой неделе

Метаданные описывают возможный процесс обработки, а не достоверность сведений документа. Запросите исходный экспорт или подтвердите значимую деталь у выдавшей организации, прежде чем делать вывод.

Проверка резюме

Диплом кандидата показывает:

• Creator: Adobe Photoshop
• Producer: Adobe Acrobat

Метаданные описывают возможный процесс обработки, а не достоверность сведений документа. Запросите исходный экспорт или подтвердите значимую деталь у выдавшей организации, прежде чем делать вывод.

Финансовые документы

Банковская выписка показывает:

• Множественные маркеры ревизий
• Producer: Generic PDF Writer

Метаданные описывают возможный процесс обработки, а не достоверность сведений документа. Запросите исходный экспорт или подтвердите значимую деталь у выдавшей организации, прежде чем делать вывод.

Ограничения для понимания

Ложные срабатывания

Признаки редактирования не всегда означают мошенничество:

• Легитимные исправления создают следы модификации
• Конвертации форматов изменяют метаданные
• Некоторые рабочие процессы естественным образом создают множественные ревизии

Ложные отрицания

Изощрённая манипуляция может:

• Использовать инструменты, минимизирующие следы
• Регенерировать весь документ
• Манипулировать метаданными, чтобы они выглядели чистыми

Контекст имеет значение

Всегда учитывайте:

• Предполагаемое происхождение документа
• Нормальные практики в этой отрасли
• Задействованные ставки

Лучшие практики

Для проверки

1. Не полагайтесь на один индикатор — Ищите множественные признаки
2. Учитывайте контекст — Что нормально для этого типа документа?
3. Документируйте ваши находки — Ведите записи того, что вы проверили
4. Обращайтесь за профессиональной помощью для важных документов — Когда это важно, используйте экспертов

Для безопасности документов

1. Запрашивайте оригиналы, когда возможно — Получайте документы напрямую из источников
2. Используйте цифровые подписи — Они предоставляют доказательства подделки
3. Проверяйте через альтернативные каналы — Подтверждайте с выдающей организацией

Заключение

Хотя вы не можете окончательно доказать, что PDF не был отредактирован без оригинала, криминалистический анализ может выявить сильные индикаторы модификации. Ключ в понимании того, на что обращать внимание, и интерпретации находок в контексте.

Ключевые выводы:

• Временные метки метаданных — ваш первый ключ
• Множественные подписи программного обеспечения предполагают обработку
• Инкрементальные обновления указывают на сессии редактирования
• Контекст критичен для интерпретации

Для важных документов тщательный анализ с использованием специализированных инструментов предоставляет лучшее понимание истории PDF.

Проверьте следы изменений в CleanPDF и рассмотрите найденные признаки в контексте. Оценка не подтверждает подлинность.

Технические источники: структура PDF и инкрементальные обновления, проверка подписей в Acrobat.