EXIFメタデータの削除

EXIFが実際に記録しているもの

EXIFは画像ファイル自体に埋め込まれる標準のメタデータブロックで、1990年代にカメラ業界が定義し、それ以来ほぼすべてのスマホとカメラが書き込んできました。技術的な意味で隠されているわけではありません。ビューアや無料のEXIFリーダーなら1クリックで表示します。単にデフォルトでは見えないだけで、それゆえ自宅の座標を含んだ写真が誰にも気づかれず共有されるのです。典型的な内容は、プライバシーの棚卸しリストのようになっています。

• GPSの緯度と経度。カメラが測位できていれば記録されます――都市ではなく、正確な1点です。
• 撮影タイムスタンプ。秒単位で、元ファイルの作成履歴も一緒に入ります。
• カメラのメーカーと機種、場合によってはレンズとボディのシリアル番号――所有の証明にも、漏えいの発生源の特定にもなる情報です。
• 撮影設定、ソフトウェアのバージョン、そして多くの場合、小さな埋め込みプレビューのサムネイル。

再エンコードで残るもの――残らないもの

再エンコードは決定的です。パイプラインが生ピクセルを通るからです。デコーダーが画像を作り、エンコーダーが真新しいファイルを書き出し、その途中で元のメタデータブロックは一切参照されません。GPS、カメラの詳細、タイムスタンプ、埋め込みサムネイルはすべて失われます。破棄されずに尊重される唯一のEXIFタグは向きです。デコード時にピクセルへ適用されるため、横向きに撮れた写真も倒れた状態ではなく、まっすぐ出力されます。

正直な補足を2つ。第1に、これは全か無かです。「位置情報だけ消してカメラ情報は残す」といったオプションはありません。パイプラインは選択的な保持を何もしないためです。第2に、ブロック全体を捨てることで、古い埋め込みプレビューが編集前の未トリミングのフレームを写してしまうという種類の漏えいも一緒に取り除きます――実際に写真を晒してきたことのある失敗であり、元のサムネイルをまだ抱えたファイルにだけ残る問題です。

SNSはいずれにせよ除去してくれる――ただし全場面ではない

大手のソーシャルプラットフォームはアップロードを再エンコードするため、InstagramやFacebookなどは受信の段階でEXIFを捨てます――そこへの投稿自体が非可逆変換です。落とし穴はそれ以外のすべてです。メールの添付、写真をファイルとして送るメッセージアプリ、クラウドフォルダの同期、フリマ出品、フォーラム、印刷業者は、GPSブロック込みでバイト列をそのまま通すことがあります。そしてスクリーンショットという民間療法は、メタデータを落とす代わりに、新たな非可逆世代と低い解像度を科してきます――せいぜい粗末な除去ツールです。

だから正直な原則はこうです。共有する前に自分で除去する。プラットフォームの除去は計画ではなくボーナスとして扱う。座標を実際に読むのは、予想外の受け手――メールの添付先、共有フォルダ――です。

共有する前に検証する

確認にかかる時間は1分足らずです。出力を任意のEXIFビューアで開き（多くのOSには写真情報パネルがあり、コマンドライン派はファイルにexiftoolを実行できます）、GPS、カメラ、タイムスタンプの各フィールドが消えていることを確かめます。その際に確認する価値があるのは2つです。メタデータが消えたことと、画像がまだ正しく見えること。品質設定を低く引きすぎると、プライバシー上の勝利を視認できるアーティファクトと交換することになります。両方のチェックを通ったファイルは、マシンを出る準備ができています。

アップロード不要がここでは二重に重要な理由

除去対象になる写真は、定義上、非公開の写真です。まだ出品していない新居、子どもの顔、キッチンのテーブルの上の書類。アップロード前提のメタデータ除去ツールは、保護しようとしている対象そのものを、座標込みで受け取り、それからコピーを返します。ここではデコードと再エンコードがブラウザのタブの中で行われます。DevToolsを開き、変換中のNetworkパネルを見てください。写真を運ぶリクエストは一切ありません。このページのContent-Security-Policyはconnect-src 'self'を設定しているため、アップロードの試みはブラウザが丸ごと遮断します。元のファイルはマシンから出ません。除去済みのコピーも、ダウンロードするまでは同様です。