Sfoca un volto o oscura il testo in una foto, in modo permanente

Perché un riquadro nero in un documento non è una redazione

Il fallimento più comune in questo ambito non è tecnico. Qualcuno apre un PDF, una presentazione o uno screenshot, disegna un rettangolo nero sopra un nome, salva e pubblica. Il rettangolo è un oggetto su un livello sopra il contenuto. Il contenuto è ancora nel file. Selezionando il rettangolo e premendo Elimina il nome ricompare; lo stesso accade copiando il testo o aprendo il file in quasi qualsiasi editor.

È successo a studi legali. È successo a dipartimenti governativi. È successo a un giornale con un passaporto. Lo schema è sempre lo stesso, perché lo strumento che ha disegnato il riquadro ha fatto esattamente ciò che gli era stato chiesto e nulla nell'interfaccia indicava che l'originale fosse ancora presente.

Lo stesso vale per una sfocatura usata come livello di regolazione in un editor di immagini: il livello è non distruttivo per progettazione, ed è proprio questa la funzione, mentre i pixel originali restano sotto di esso nel file di progetto salvato. Esportare una copia appiattita risolve il problema; inviare il file di progetto no.

Questo strumento non ha livelli. La regione che disegni viene scritta nel buffer dei pixel — i pixel vengono sostituiti, non coperti — e il file viene poi codificato a partire da quel buffer. Il risultato è una nuova immagine in cui l'area coperta contiene un colore uniforme o una media, e nel file non c'è altro. È anche per questo che l'output viene ricodificato invece di essere modificato: una redazione che conserva i dati compressi originali non è una redazione.

Quale copertura usare e quando una sfocatura non basta

La sfocatura è un'operazione di media. Fare una seconda media degli stessi pixel fa perdere informazioni, ma non necessariamente abbastanza informazioni: se ciò che è stato sfocato proveniva da un insieme piccolo e noto — le cifre da zero a nove, l'alfabeto di una targa, un carattere a larghezza fissa che rappresenta un saldo bancario — un aggressore può sfocare ogni candidato nello stesso modo e confrontarlo. Questo attacco è stato dimostrato ripetutamente su testi leggermente pixelizzati e su volti sfocati con raggi ridotti, ed è il motivo per cui dire «lo abbiamo sfocato» non è, da solo, un'affermazione significativa.

Questo strumento distrugge la regione prima di sfocarla. Sia la modalità pixel sia quella sfocata riducono prima ogni cella a un unico colore, quindi la struttura fine da cui dipende l'attacco scompare prima ancora che venga applicato il passaggio di smoothing, e la dimensione della cella è proporzionale alla regione invece di essere fissata a un piccolo valore predefinito. Il risultato è davvero irreversibile. Non diventa però invisibile: un volto pixelizzato mostra ancora una disposizione di tonalità della pelle a forma di testa, e a volte questo basta per capire chi si trovava dove.

Quando l'obiettivo è rimuovere qualcosa e non lasciare sopravvivere nulla che lo riguardi, usa il blocco pieno. È l'unica modalità che comunica onestamente al lettore che è stata presa una decisione, ed è l'unica senza alcun residuo.

Dietro questa pagina non c'è un servizio di rilevamento dei volti

Il rilevamento automatico dei volti in una pagina web ha esattamente due implementazioni. Una invia la foto a un server che esegue un modello — è ciò che fanno la maggior parte dei siti «gratuiti per sfocare i volti online», ed è l'opposto di ciò per cui sei qui. L'altra scarica un modello nel browser, cosa che con un rilevatore moderno significa diversi megabyte attraverso la connessione del telefono prima che la pagina possa fare qualsiasi cosa.

Questa pagina non fa né l'una né l'altra cosa. Quando il browser espone la Shape Detection API sperimentale — Chrome su Android e, dietro un flag, alcune versioni desktop — il pulsante Scan la usa e il risultato viene indicato come suggerimento. Altrove il pulsante non viene mostrato, perché un pulsante che non fa nulla in silenzio è peggio di nessun pulsante.

Disegnare manualmente le aree richiede circa cinque secondi per volto e ha una caratteristica che nessun rilevatore possiede: hai guardato l'immagine. Un rilevatore trova i volti frontali. Non trova la persona di profilo al bordo dell'inquadratura, il bambino riflesso in una finestra, il volto su un manifesto, il nome su un lanyard o il cartello stradale che colloca l'intera fotografia.

Cos'altro nell'inquadratura identifica qualcuno

Un riquadro sopra un volto è l'inizio del lavoro, non la fine. Prima di pubblicare una foto in cui qualcuno non dovrebbe essere identificabile, vale la pena esaminare ancora una volta l'inquadratura alla ricerca di ciò che non sono volti:

• Cartellini con il nome, lanyard, tessere identificative e il retro di una tessera visibile attraverso la custodia del lanyard.
• Schermate — di un portatile, di un telefono o di un monitor sullo sfondo — che mostrano spesso un client email.
• Riflessi in finestre, specchi, bollitori, occhiali e tavoli lucidi.
• Numeri civici, cartelli stradali, insegne di negozi, numeri delle linee degli autobus e la vista da una finestra.
• Targhe dei veicoli, anche parziali, e veicoli distintivi.
• Tatuaggi, cicatrici e gioielli, che identificano una persona e raramente vengono considerati tali.
• Documenti, buste, ricette e etichette di consegna appoggiati su una superficie.
• Uniformi e distintivi che restringono l'identità di una persona a un solo luogo di lavoro durante un determinato turno.

E poi c'è la parte che non si trova affatto nell'inquadratura: i metadati del file. Una foto con ogni volto coperto può ancora contenere le coordinate del luogo in cui è stata scattata e il numero di serie della fotocamera che l'ha scattata. Questo strumento rimuove tutto ciò come effetto collaterale, perché l'output viene codificato dai pixel — lo strumento per i metadati è il posto da consultare se vuoi vedere cosa conteneva prima che sparisse.

Gli screenshot sono il caso più comune

La maggior parte dei file che passa da uno strumento di redazione non sono fotografie di persone. Sono screenshot: un estratto conto per una contestazione, una conversazione come prova, una segnalazione di bug con i dati di un cliente sullo schermo, una fattura per una nota spese. Gli screenshot contengono un insieme specifico di elementi che le persone dimenticano.

La barra di stato è il primo. Nome dell'operatore, intensità del segnale, percentuale della batteria e ora esatta si trovano tutti nei pochi pixel in alto e, insieme, restringono l'identità di una persona e il momento. Il secondo è l'interfaccia del browser: un URL con un token di sessione, un elenco di schede aperte che descrive un intero pomeriggio, un menu a discesa del completamento automatico, una barra dei segnalibri con gli strumenti interni di un'azienda. Il terzo è l'interfaccia circostante: una barra laterale con i nomi dei contatti, una notifica, un selettore di account che mostra un indirizzo personale accanto a uno di lavoro.

Copri tutto e usa PNG come formato di output per qualsiasi contenuto che abbia testo. JPEG comprime male i bordi del testo, e uno screenshot redatto difficile da leggere è uno screenshot redatto che verrà inviato di nuovo senza redazione.

Che cosa succede al file, passo dopo passo

L'immagine viene decodificata dal browser, applicando la rotazione EXIF ai pixel, così ciò che vedi sullo schermo è ciò che viene esportato. Disegnare una regione registra un rettangolo nelle coordinate dell'immagine, non dello schermo, quindi la copertura finisce nel punto giusto indipendentemente da come l'anteprima viene ridimensionata nella finestra. L'applicazione ridisegna l'immagine alla risoluzione originale, sostituisce i pixel di ogni regione e codifica il risultato.

Nulla viene caricato in alcun momento e non c'è nessuna richiesta che la pagina possa effettuare: i moduli in /js/tools/ non contengono alcun codice di rete. Dopo il caricamento della pagina puoi disconnettere completamente la rete e tutto continuerà a funzionare, che è la versione di questa affermazione che puoi verificare invece di dover accettare sulla fiducia.

Se una fotografia è abbastanza sensibile da dover essere redatta prima dell'invio, di solito è abbastanza sensibile da non dover risiedere nel rullino fotografico. È questo lo scopo di the vault — file cifrati sul dispositivo, fuori dalla libreria Foto — e la pagina sulla cifratura dichiara ogni parametro invece di definirla di livello militare.