Metadata Removal: Files, Images and Documents

En el ámbito de la seguridad de las operaciones (OpSec), los datos que un usuario decide compartir rara vez viajan solos. Prácticamente todo archivo digital —desde una captura fotográfica casual hasta un informe pericial en formato PDF— contiene una capa invisible de información estructurada: los metadatos. Estos registros auxiliares describen el contexto, la génesis y el ciclo de vida del documento, constituyendo vectores de fuga inadvertida que pueden desanonimizar fuentes periodísticas, revelar ubicaciones geográficas precisas o comprometer la infraestructura interna de una organización de investigación. Comprender los mecanismos mediante los cuales se registran e incrustan estos datos, así como dominar los procesos rigurosos para su erradicación, es un requisito no negociable para cualquier flujo de trabajo enfocado en la privacidad defensiva.

Anatomía de los metadatos: Estructuras y estándares comunes

Los metadatos no son un formato homogéneo, sino un mosaico de especificaciones que han evolucionado de forma concurrente con los formatos multimedia y los sistemas de oficina. Pueden clasificarse a grandes rasgos en técnicos (generados automáticamente por hardware o software) y descriptivos (introducidos de forma manual o administrativa).

EXIF, XMP e IPTC en imágenes rasterizadas

Las imágenes digitales (JPEG, TIFF, WebP, HEIC) son portadoras de tres estándares fundamentales:

EXIF (Exchangeable Image File Format): Es la especificación más extendida a nivel de hardware. Incrustada directamente por el firmware de la cámara o smartphone, almacena marcas de tiempo exactas (marcas temporales milimétricas), marca y modelo del dispositivo, longitud focal, velocidad de obturación, valor ISO, perfiles de lente y, de manera crítica, coordenadas de posicionamiento global (GPS) con altitud y rumbo de brújula.
IPTC-IIM (Information Interchange Model): Diseñado originalmente para agencias de prensa, contiene campos de autoría, derechos de uso, títulos, pies de foto y notas editoriales.
XMP (Extensible Metadata Platform): Desarrollado por Adobe, es un estándar basado en XML que serializa metadatos dentro de un bloque estructurado. XMP puede englobar propiedades EXIF e IPTC preexistentes y añadir información contextual compleja, como el historial de ediciones de software (nombres de capas, versiones de Photoshop o Lightroom utilizadas) e identificadores globales únicos (UUID) asignados al archivo durante su procesamiento.

Metadatos en documentos ofimáticos (OOXML y ODF)

Los formatos modernos de oficina, tales como .docx, .xlsx o .odt, no son binarios lineales planos, sino archivos comprimidos bajo el contenedor ZIP. En su interior residen estructuras XML normalizadas:

En OOXML (Open Packaging Conventions de Microsoft), archivos como docProps/core.xml y docProps/app.xml alojan el nombre o identificador del autor del sistema operativo, el nombre del último usuario que modificó el archivo, el número de revisión, el tiempo acumulado de edición, la plantilla utilizada y la ruta del sistema de archivos local.
Estos contenedores pueden preservar también información sobre impresoras de red conectadas y referencias a servidores corporativos compartidos (rutas UNC) a través de enlaces incrustados.

Contenedores PDF y flujos de objetos

El formato PDF (Portable Document Format) es un estándar complejo que funciona como un árbol de objetos estructurados. Tradicionalmente incluye un diccionario de información (Info dictionary) con claves como /Author, /Creator, /Producer y fechas de creación y modificación (/CreationDate, /ModDate). Asimismo, los PDF modernos suelen duplicar esta información en un flujo de metadatos XMP. Más allá de esto, los PDF retienen objetos no renderizados, texto invisible derivado de capas de reconocimiento óptico de caracteres (OCR), miniaturas cacheadas en baja resolución (que pueden conservar áreas que fueron censuradas en el texto principal) y descriptores de fuentes embebidas con información de licencia del sistema operativo anfitrión.

Vectores de ataque y correlación forense

El riesgo de seguridad que plantean los metadatos radica en la capacidad de los adversarios para utilizarlos en técnicas de correlación cruzada y triangulación forense. Un atacante no necesita descifrar la carga útil de un archivo si el marco contextual revela el entorno de origen.

Un documento aparentemente inocuo puede contener identificadores de licencia de software o nombres de usuario locales que vinculan una filtración anónima a una estación de trabajo específica dentro de un entorno corporativo o gubernamental.

Los principales vectores de análisis forense incluyen:

Huellas de hardware (Hardware Fingerprinting): Los números de serie de cámaras, objetivos fotográficos o periféricos integrados en campos EXIF propietarios (MakerNotes) permiten trazar de forma inequívoca qué dispositivo físico capturó una serie de imágenes dispersas en la red.
Fugas temporales (Temporal Leaks): Las discrepancias entre los registros temporales del sistema de archivos (MAC: modificación, acceso, cambio) y las marcas de tiempo internas de los formatos (como las marcas EXIF o las revisiones XML) permiten a analistas deducir desfases de zona horaria local, rutinas operacionales y hábitos de trabajo del usuario.
Rutas locales del sistema: Errores en la compilación de documentos o exportación de software suelen volcar rutas completas del entorno local (por ejemplo, C:\Users\jdoe_investigacion\Projects\...), exponiendo estructuras de directorios internas, convenciones de nombres corporativos o identidades civiles.

Herramientas forenses y de saneamiento de metadatos

La neutralización sistemática de estos riesgos exige herramientas diseñadas específicamente para inspeccionar, extraer y destruir bloques de datos no esenciales sin corromper la funcionalidad primaria del archivo.

ExifTool: Extracción profunda y sobrescritura

Desarrollada por Phil Harvey en lenguaje Perl, ExifTool es la herramienta de referencia de la industria para el análisis forense de bajo nivel. Posee la cobertura más amplia de formatos binarios, fabricantes y etiquetas propietarias existentes.

Para auditar todos los metadatos de un archivo, incluidos bloques duplicados y etiquetas no estándar:

exiftool -G -a -s documento.pdf

Para purgar de forma radical todos los metadatos soportados de un archivo gráfico o documental:

exiftool -all= -overwrite_original target.jpg

A pesar de su potencia, ExifTool opera eliminando o reescribiendo etiquetas individuales. En ciertos formatos complejos (como PDF o contenedores multimedia), esta aproximación puede dejar fragmentos residuales en áreas de espacio no asignado (slack space) del archivo o preservar estructuras semánticas que escapan al análisis puramente declarativo.

MAT2 (Metadata Anonymisation Toolkit 2)

Diseñado específicamente para casos de uso de OpSec y utilizado como componente central en sistemas operativos enfocados en la privacidad como Tails OS, MAT2 aborda el saneamiento con una filosofía distinta: la reconstrucción de seguridad.

En lugar de limitarse a "borrar" campos conocidos, MAT2 extrae el contenido útil (payload) del documento o imagen, descarta el contenedor original y ensambla un archivo nuevo desde cero aplicando parámetros de saneamiento predeterminados. Para documentos PDF, MAT2 puede recurrir a renderizar vectorialmente las páginas o rasterizarlas a través de librerías como Cairo o Poppler, garantizando que los flujos de objetos sospechosos sean completamente erradicados.

El uso básico en entornos Linux mediante terminal es directo:

# Verificación de metadatos presentes
mat2 --show archivo_sensible.png

# Saneamiento del archivo (genera archivo_sensible.cleaned.png)
mat2 archivo_sensible.png

Metodología paso a paso para el saneamiento seguro

El saneamiento de archivos no debe ser una acción aislada, sino un procedimiento estructurado que evite la recontaminación de los datos a nivel de sistema operativo.

Aislamiento de la copia de trabajo: Nunca aplique operaciones de saneamiento sobre el archivo original directamente en el medio de almacenamiento final. Monte un sistema de archivos temporal en memoria RAM (tmpfs) para que las operaciones intermedias no dejen artefactos recuperables en el almacenamiento persistente mediante análisis forense de disco.
Inspección previa: Ejecute exiftool -a -u -g1 para identificar qué campos específicos existen. Esto permite saber de antemano si el archivo contiene geolocalización, información de software o rutas de red.
Ejecución del saneamiento: Procese los archivos mediante mat2 para forzar la reescritura estructural. Si se trata de formatos no soportados por MAT2, utilice herramientas CLI nativas del formato orientadas a exportación limpia (por ejemplo, remuestrear una imagen a través de ImageMagick con la bandera -strip).
Verificación cruzada redundante: No asuma que una única herramienta ha completado la purga de forma absoluta. Inspeccione el archivo resultante con un visor forense alternativo o con ExifTool para certificar que ningún flujo residual de XMP o metadatos de aplicación haya sobrevivido.
Normalización de atributos del sistema de archivos: Los sistemas operativos reasignan marcas de tiempo del sistema de archivos (ctime, mtime, atime) al guardar el nuevo archivo. Si el archivo se va a transmitir a través de un canal que preserva estos valores (como un archivo comprimido .tar o .zip), normalice estas marcas a una fecha neutra fija mediante el comando touch:
```
touch -d "2000-01-01 00:00:00" archivo_limpio.pdf
```

Limitaciones estructurales y precauciones avanzadas

El borrado de metadatos técnicos mediante software especializado resuelve únicamente una parte del problema. Existen trampas contextuales y esteganográficas que permanecen intactas tras el uso de herramientas como ExifTool o MAT2:

Metadatos visuales o semánticos: Si una captura de pantalla contiene la barra de tareas del sistema operativo, el nombre de la red Wi-Fi, la interfaz de una ventana o la zona horaria en el reloj del sistema, el saneamiento de campos binarios no impedirá la identificación del operador. El contenido gráfico debe ser auditado visualmente y recortado de forma destructiva (no mediante máscaras de capas).
Marcas amarillas de impresoras (Tracking Dots / Machine Identification Codes): La gran mayoría de impresoras láser a color imprimen de manera invisible una matriz de diminutos puntos amarillos (MIC) que codifican la fecha, la hora exacta de la impresión y el número de serie único del hardware físico. Escanear un documento impreso introduce este vector físico en el mundo digital sin que quede registrado en los metadatos EXIF.
Control de cambios oculto: En procesadores de texto, deshabilitar la visualización del "Control de cambios" no elimina los historiales de edición que yacen serializados dentro del código XML subyacente. Los documentos deben ser purgados mediante la conversión forzada a texto plano (.txt) o renderizados a un PDF rasterizado antes de su distribución externa.

Consideraciones finales en la cadena de custodia y OpSec

La seguridad de los archivos no es un estado estático, sino un proceso de reducción de superficie de ataque. Un saneamiento de metadatos riguroso pierde su eficacia si el documento resultante se transmite a través de un canal de comunicación no autenticado, o si se almacena en infraestructuras en la nube que inyectan metadatos adicionales a nivel de red (direcciones IP de subida, identificadores de sesión de usuario y huellas criptográficas TLS).

Para usuarios bajo modelos de amenaza elevados, el saneamiento debe integrarse de forma estandarizada en sistemas con aislamiento estricto, como entornos amnésicos (Tails) o particiones desacopladas basadas en virtualización (Qubes OS con Disposable VMs). Asumir por defecto que todo archivo digitalmente generado es hostil y proclive a la auto-incriminación técnica es el primer principio de una defensa digital sólida.