Opin heimildaleit

Stundum er svarið ekki falið inni í meðfylgjandi skrá. Það er að finna í opinberri dagskrá, eldri útgáfu vefsíðu, korti, lénsupplýsingum eða mynd af kennileiti.

Opin heimildaleit (e. open-source intelligence, OSINT) er skipuleg leit að og greining á upplýsingum úr löglegum, opinberum heimildum.

Orðið open-source merkir hér opnar heimildir, ekki endilega opinn hugbúnað. Upplýsingarnar geta verið opinberar án þess að vera frjálsar til endurbirtingar eða söfnunar í stórum stíl.

Opinbert þýðir ekki siðferðilega ótakmarkað

Við leitum ekki að heimilisföngum, ferðum, fjölskyldutengslum eða öðrum viðkvæmum upplýsingum um raunverulegt fólk. Við reynum ekki að hafa samband, plata fólk, komast inn á lokaða reikninga eða fara fram hjá aðgangsstýringu. Æfingar kaflans nota skáldaðar persónur, frátekin lén og gervigögn.

Byrjum á rannsóknarspurningu

„Finndu allt um þetta“ er slæm rannsóknarspurning. Hún hefur hvorki skýr mörk né lokaskilyrði.

Betri CTF-spurning:

Hvað hét skáldaða verkefnið sem var kynnt á NorðurCon 2024 samkvæmt opinberri dagskrá ráðstefnunnar?

Við brjótum hana niður:

Hver er opinbera vefsíða NorðurCon í verkefninu?
Er dagskrá ársins 2024 enn aðgengileg?
Er dagskráin HTML, PDF eða mynd?
Hvaða færsla samsvarar vísbendingum verkefnisins?
Getur önnur opinber heimild staðfest heitið?

Við skilgreinum einnig lokaskilyrði:

Stöðvum þegar tvær óháðar eða frumlegar opinberar heimildir
styðja sama verkefnisheiti og það passar við fánasniðið.

Leitaðu að svari, ekki manneskju

Góð CTF-spurning biður um heiti opinbers verkefnis, kennileiti eða dagsetningu. Ef leiðin fer að snúast um einkalíf raunverulegs einstaklings erum við líklega komin út fyrir eðlileg mörk verkefnisins.

Æfing: afmarkaðu verkefnið

Æfing 1

Verkefnalýsing segir:

Hvaða herbergi hýsti lokafyrirlestur skálduðu ráðstefnunnar VetrarCon 2025?

Skrifaðu þrjár undirspurningar og skýrt lokaskilyrði.

Möguleg lausn við æfingu 1

Undirspurningar:

Hvar birti VetrarCon opinbera dagskrá ársins 2025?
Hver var síðasti fyrirlesturinn samkvæmt dagsetningu og tíma?
Hvaða herbergi er skráð við þann fyrirlestur og staðfestir önnur opinber síða sömu staðsetningu?

Lokaskilyrði:

Stöðva þegar opinber dagskrá nefnir herbergið við síðasta fyrirlesturinn og önnur heimild, til dæmis dagskrár-PDF eða opinber tilkynning, staðfestir sömu færslu.

Við þurfum ekki nöfn, tengiliði eða samfélagsmiðla gesta til að svara spurningunni.

Athugun, ályktun og staðfesting

Við greinum á milli:

athugunar: það sem heimildin sýnir beint,
ályktunar: túlkun okkar á athuguninni,
staðfestingar: önnur athugun sem styður eða hrekur ályktunina.

Dæmi:

Athugun: PDF-dagskrá segir „Salur: Eldborg“.
Ályktun: Fyrirlesturinn fór fram í Eldborg.
Staðfesting: Opinber viðburðasíða skráir sama tíma og sama sal.

Við ættum samt að orða niðurstöðuna varlega. Dagskráin sýnir hvað átti að gerast. Hún sannar ekki ein og sér að fyrirlesturinn hafi raunverulega farið fram þar.

Metum heimildir

Spyrjum um hverja heimild:

Uppruni: Hver birti hana?
Nálægð: Er þetta frumheimild eða endursögn?
Tími: Hvenær var hún birt eða uppfærð?
Tilgangur: Var hún gerð til að upplýsa, selja, skemmta eða sannfæra?
Stöðugleiki: Getur efnið breyst án sýnilegrar sögu?
Samhengi: Er brot tekið úr stærra skjali?
Óháðni: Er „önnur heimildin“ bara afrit af þeirri fyrri?

Heimild	Styrkur	Takmörkun
Opinber dagskrá	Frumheimild um fyrirhugaða dagskrá	Getur hafa breyst
Dagskrár-PDF frá sama aðila	Gagnlegt varðveitt skjal	Ekki óháð fyrri heimild
Frétt frá óháðum miðli	Getur staðfest að atburður varð	Getur innihaldið villur
Bloggfærsla þátttakanda	Nálæg reynsla	Einstaklingsbundin og óformleg
Leitarniðurstöðubrot	Fljótleg vísbending	Getur verið gamalt eða úr samhengi

Leitarniðurstöðubrot er ekki lokaheimild

Leitarvél getur sýnt texta úr eldri útgáfu, röngum hluta síðu eða efni sem er ekki lengur til. Opnaðu upprunalegu heimildina eða varðveitt afrit og lestu samhengið.

Æfing: tvær eða ein heimild?

Æfing 2

Blogg A segir að verkefnið heiti Jökull. Frétt B birtir sömu málsgrein orðrétt og tengir á Blogg A. Opinbert PDF segir einnig Jökull.

Hve margar sjálfstæðar stoðir höfum við fyrir heitið?

Lausn við æfingu 2

Við höfum í raun tvær stoðir:

Blogg A.
Opinbera PDF-skjalið.

Frétt B er afrit eða endursögn Bloggs A og telst ekki óháð staðfesting á fullyrðingunni. Opinbera PDF-ið er sterk frumheimild um hvað skipuleggjandinn kallaði verkefnið.

Markviss vefleit

Leitarvélar styðja oft leitaraðgerðir eins og:

"nákvæm setning"
site:example.invalid dagskrá
filetype:pdf "NorðurCon 2024"
site:example.invalid -draft verkefni

gæsalappir leita að nákvæmri runu,
site: takmarkar við lén,
filetype: leitar að skráarsniði,
mínus útilokar orð.

Stuðningur og nákvæm merking geta verið ólík milli leitarvéla. Dagsetningarsía segir heldur ekki alltaf hvenær atburður átti sér stað; hún gæti byggst á skriðtíma, lýsigögnum eða breytingardegi síðu.

Leitarstig

Byrjum þröngt og víkkum:

1. "NorðurCon 2024" "Jökull"
2. site:nordurcon.example "Jökull"
3. site:nordurcon.example filetype:pdf 2024
4. "Jökull" ráðstefna dagskrá

Ef við byrjum of vítt fáum við hávaða og óskyldar raunverulegar persónur eða stofnanir.

Vefsöfn og eldri síður

Vefsöfn (e. web archives) geta varðveitt eldri útgáfur opinberra vefsíðna. Wayback Machine er þekkt dæmi.

Við skráum að minnsta kosti:

Upprunaleg slóð:
Dagsetning varðveitts afrits:
Dagsetning sem efnið sjálft nefnir:
Titill síðu:
Hvaða texti styður niðurstöðuna:

Þrjár dagsetningar geta verið ólíkar:

atburðurinn átti sér stað,
síðan var birt eða uppfærð,
vefsafnið tók afrit.

Fjarvera í vefsafni sannar ekki fjarveru á vefnum

Skriðillinn gæti hafa misst af síðunni, fengið villu, verið útilokaður eða ekki vistað JavaScript-hlaðið efni. Vefsafn er gagnleg heimild en ekki fullkomin saga alls vefsins.

Við fylgjum skilmálum þjónustunnar og reynum ekki að sækja lokað eða aðgangsvarið efni í gegnum varðveittar slóðir.

Myndir og öfug myndaleit

Öfug myndaleit (e. reverse image search) notar mynd eða myndbrot til að finna sjónrænt lík efni.

Algengar þjónustur eru:

Google Lens,
Bing Visual Search,
TinEye,
Yandex Images.

Mismunandi þjónustur hafa mismunandi skrár og reiknirit. Ein gæti fundið upprunalega ljósmynd en önnur aðeins endurbirtingar.

Gott vinnulag:

Skoða myndina sjálfa og lýsigögn.
Leita með allri myndinni.
Skera út óviðkomandi ramma eða textaborða.
Leita að sérkennilegu kennileiti eða hlut.
Finna elstu eða opinberustu útgáfuna.
Staðfesta með öðru atriði en aðeins sjónrænu líkindamati.

Myndupphleðsla er gagnasending

Öfug myndaleit sendir mynd til þjónustuaðila. Notaðu aðeins CTF-myndir sem má hlaða upp. Ekki senda persónulegar myndir, skilríki eða skjöl sem sjást í bakgrunni.

Upprunaleg mynd eða elsta fundna mynd?

Elsta leitarniðurstaðan okkar er aðeins elsta útgáfan sem við fundum. Hún þarf ekki að vera upprunalega myndin. Eldri síða gæti vantað úr skránni eða verið utan leitarvélarinnar.

Við notum því orðalag eins og:

Elsta opinbera útgáfan sem fannst í leitinni var birt 12. mars 2024.

Ekki:

Myndin var fyrst birt 12. mars 2024.

nema heimildirnar styðji þá sterkari fullyrðingu.

Staðgreining mynda

Staðgreining (e. geolocation) reynir að finna hvar mynd var tekin. Í CTF notum við opinber kennileiti eða tilbúnar götumyndir, ekki heimili eða ferðir einstaklinga.

Vísbendingar geta verið:

texti á skiltum,
tungumál og stafróf,
vegmerkingar og akstursstefna,
strætisvagna- eða götunúmer,
fjöll, strandlína og byggingar,
verslanakeðjur,
fáni eða skjaldarmerki,
GPS-lýsigögn í tilbúnu verkefni.

Við aðgreinum styrk vísbendinga:

Veik: grátt veður og lágar byggingar.
Miðlungs: íslenskur texti og gular vegstikur.
Sterk: einstakt kennileiti ásamt lesanlegu götuheiti.

Kort, gervitunglamynd og opinber götumynd geta síðan staðfest afstöðu bygginga og kennileita.

Náttúruvísbendingar eru óvissar

Skuggar, gróður, veður og fjöll geta útilokað eða stutt svæði en eru sjaldan næg ein og sér. Mynd getur líka verið snúin, eldri en við höldum eða tekin á öðrum árstíma.

Æfing: hvað má álykta?

Æfing 3

Tilbúin CTF-mynd sýnir:

Hallgrímskirkju greinilega,
götuskilti með textanum Skólavörðustígur,
engin GPS-lýsigögn,
klukku í mynd sem sýnir 14:20.

Hvað getum við stutt vel og hvað ekki?

Lausn við æfingu 3

Við getum stutt vel að myndin sýni svæði við Hallgrímskirkju og Skólavörðustíg í Reykjavík, enda eru bæði einstakt kennileiti og lesanlegt götuheiti til staðar. Kort getur staðfest samhengið.

Við getum ekki fullyrt:

að myndavélin hafi verið nákvæmlega á tilteknum GPS-hnitum án frekari sjónarhornsgreiningar,
hvaða dag myndin var tekin,
að klukkan í myndinni hafi verið rétt,
hver tók myndina.

Klukkan er athugun í myndinni, ekki sjálfkrafa áreiðanlegur tökutími.

Skjöl sem opinberar heimildir

PDF, kynning og töflureiknir geta innihaldið:

texta sem leitarvél finnur,
höfundar- og hugbúnaðarlýsigögn,
falinn OCR-texta undir skannaðri síðu,
viðhengi eða tengla,
dagsetningu sem gæti verið útgáfu- eða breytingardagur.

Við getum sótt heimilað opinbert CTF-skjal og skoðað staðbundið:

file dagskra.pdf
pdfinfo dagskra.pdf
pdftotext dagskra.pdf dagskra.txt
exiftool dagskra.pdf
rg -n -i 'jökull|eldborg' dagskra.txt

Við skráum slóð og niðurhalsdag. Lýsigagnareiturinn Author: snaer sannar ekki að skáldaða persónan Snær hafi skrifað allt skjalið; hann er aðeins vísbending um hvernig skráin var búin til.

Lén, DNS og skráningargögn

Lén getur gefið tæknilegar vísbendingar. Notum aðeins lén sem CTF-verkefnið á eða segir okkur að rannsaka.

DNS

dig A verkefni.example
dig AAAA verkefni.example
dig MX verkefni.example
dig TXT verkefni.example

dig sýnir núverandi DNS-svör frá þeirri uppflettingu. Það sýnir ekki sjálfkrafa sögulegt eignarhald eða hver stjórnaði þjóninum áður.

RDAP og WHOIS

RDAP (e. Registration Data Access Protocol) veitir skipulögð skráningargögn fyrir mörg lén og netföng. WHOIS er eldra textaviðmót.

whois verkefni.example

Margar skráningar fela persónuupplýsingar af persónuverndarástæðum. Við reynum ekki að komast fram hjá þeirri vörn.

Upplýsingar eins og stofndagur léns geta stutt tímalínu en segja ekki endilega hvenær núverandi vefsíða fór í loftið eða hver skrifaði efnið.

Gagnsæisskrár vottorða

Gagnsæisskrár vottorða (e. certificate transparency logs, CT logs) birta upplýsingar um mörg TLS-vottorð. Þær geta afhjúpað nöfn eins og:

www.verkefni.example
beta.verkefni.example
archive.verkefni.example

Þetta sýnir að vottorð var gefið út fyrir nafn. Það sannar ekki að þjónustan sé enn virk, að síðan hafi verið opinber eða að sami aðili hafi stjórnað henni allan tímann.

Ekki breyta leit í skönnun

Að lesa opinber DNS-, RDAP- eða CT-gögn er ekki heimild til að skanna fundna netþjóna, prófa innskráningar eða nýta veikleika. Haltu þig við gögn og þjónustur sem verkefnið heimilar.

Æfing: byggðu varlega tímalínu

Æfing 4

Gervigögn fyrir verkefni.example segja:

RDAP creationDate: 2024-02-01
CT certificate for beta.verkefni.example: 2024-02-03
First archive capture of the homepage: 2024-02-10
Homepage text: "Launch 2024-02-15"

Hvaða fjórar athuganir má skrá og hvað er óvarlegt að fullyrða?

Lausn við æfingu 4

Athuganir:

Skráningargögnin gefa stofndag lénsins 1. febrúar.
CT-skrá sýnir vottorðsútgáfu fyrir beta 3. febrúar.
Elsta varðveitta heimasíðan sem gervigögnin sýna er frá 10. febrúar.
Texti síðunnar tilkynnti opnun 15. febrúar.

Óvarlegt væri að fullyrða að:

beta-þjónustan hafi verið opin almenningi 3. febrúar,
engin síða hafi verið til fyrir 10. febrúar,
opnunin hafi raunverulega farið fram 15. febrúar,
sami eigandi hafi stjórnað léninu allan tímann.

Gögnin styðja röð tæknilegra og birtingartengdra vísbendinga, ekki fulla atburðasögu.

Notandanöfn og skáldaðar persónur

Í CTF getur einstakt, tilbúið notandanafn tengt saman opinberar vísbendingar:

nordurljos_ctf_2026

En sama notandanafn á tveimur síðum sannar ekki sjálfkrafa sama notanda. Við leitum að staðfestingu eins og:

bein tilvísun milli reikninga,
sama opinbera verkefni,
sameiginlegur lykiltexti sem verkefnið gefur,
opinber síða sem skráir reikninginn.

Við notum ekki þessa aðferð á raunverulegt fólk í æfingum. Við söfnum ekki vinatengslum, staðsetningum eða eyddum persónulegum færslum.

Sjálfvirkni, hraðatakmörk og skilmálar

Lítil skrift getur hjálpað að:

lesa þegar niðurhalað HTML,
bera saman varðveittar síður,
draga tengla úr gervigögnum,
samræma dagsetningar,
reikna kássur skjala.

Hún á ekki að:

senda þúsundir beiðna án leyfis,
fara fram hjá CAPTCHA eða innskráningu,
hunsa hraðatakmörk,
skrapa persónugögn í stórum stíl,
brjóta skilmála þjónustu.

Fyrir heimilaðar beiðnir notum við bið, vistum niðurstöður og hættum við villur. Oft er öruggara og endurtakanlegra að verkefnið afhendi HTML-, JSON- eða RDAP-gervigögn sem skrár.

Skráum heimildir

Einföld heimildaskrá fyrir CTF-lausn:

Fullyrðing: Verkefnið hét Jökull.
Heimild: Opinber dagskrá NorðurCon 2024.
Slóð: https://nordurcon.example/2024/schedule
Skoðað: 2026-07-10
Varðveitt afrit: 2024-06-01T12:30Z
Tilvitnun: "14:00 — Jökull — Eldborg"
Takmörkun: Dagskrá sýnir fyrirhugaðan atburð.

Ef slóðin breytist getum við samt séð hvaða heimild og hvaða texti studdi niðurstöðuna.

Skráðu neikvæðar niðurstöður líka

„Leitað í dagskrár-PDF að Jökull; engin samsvörun“ kemur í veg fyrir að við endurtökum sömu leit. Fjarvera er þó aðeins niðurstaða fyrir þetta skjal og þetta mynstur.

Lokaverkefni: ráðstefnan sem var aldrei til

Æfing 5

Allar persónur, lén og gögn hér eru tilbúin.

Verkefnið spyr:

Hvert var kóðaheiti verkefnisins sem kynnt var í lokafyrirlestri NorðurCon 2024, og í hvaða sal átti hann að vera?

Fáninn á að nota ASCII-lágstafi, fjarlægja stafmerki og tengja svarhluta með undirstriki.

Þú finnur eftirfarandi opinber gervigögn:

Núverandi heimasíða:

NorðurCon — næsti viðburður 2026
Eldri dagskrár hafa verið fjarlægðar.

Vefsafn frá 2024-05-20:

17:00 Lokafyrirlestur — Verkefni Jökull — Salur Eldborg

PDF-dagskrá:

Title: NorðurCon 2024 — lokadagskrá
17:00 Verkefni Jökull
Staður: Eldborg

Óháð gervifrétt:

Lokafyrirlestur ráðstefnunnar kynnti Jökul.
Vegna tæknivandamála var erindið flutt í Silfurberg.

Hvert er svarið og hvernig orðum við það nákvæmlega?

Möguleg lausn við æfingu 5

Rannsóknarspurningin hefur tvo hluta: kóðaheiti og salurinn sem fyrirlesturinn átti að vera í.

Athuganir:

Varðveitta opinbera dagskráin nefnir Verkefni Jökull og Salur Eldborg.
PDF-dagskráin staðfestir sama kóðaheiti og fyrirhugaðan stað.
Óháða fréttin staðfestir kóðaheitið Jökull en segir að raunverulegur salur hafi orðið Silfurberg.

Nákvæmt svar:

Kóðaheitið var Jökull og samkvæmt lokadagskrá átti fyrirlesturinn að vera í Eldborg. Óháða fréttin bendir til að hann hafi í raun verið fluttur í Silfurberg.

Ef fánasniðið biður um kóðaheiti og fyrirhugaðan sal:

gg{jokull_eldborg}

Við megum ekki svara Silfurberg bara vegna þess að það var raunverulegur salur samkvæmt fréttinni; spurningin biður sérstaklega um hvar erindið átti að vera. Við látum samt breytinguna fylgja sem mikilvæga takmörkun.

Samantekt

Í þessum kafla lærðum við að:

opin heimildaleit er skipuleg greining opinberra heimilda, ekki leyfi til að rannsaka einkalíf,
afmarka rannsóknarspurningu og lokaskilyrði,
greina athugun, ályktun og staðfestingu,
meta uppruna, tíma, tilgang og óháðni heimilda,
nota markvissa leitarvirkja með fyrirvara um mismun milli leitarvéla,
lesa varðveittar vefsíður án þess að líta á vefsafn sem fullkomna sögu,
nota öfuga myndaleit og staðgreiningu aðeins á heimiluðum CTF-gögnum,
skoða skjöl, DNS, RDAP og CT-gögn með skýrum takmörkunum,
skilja að vottorð, lénsstofnun og fyrsta varðveitta síða sanna ólíka hluti,
skrá slóðir, dagsetningar, tilvitnanir og takmarkanir,
stöðva þegar spurningunni hefur verið svarað með nægilegri staðfestingu.

Í næsta kafla tengjum við saman verkfærin úr allri Ýmislegt-leiðinni í eitt samsett CTF-verkefni: skráarsnið, safnskrá, lýsigögn, falin gögn, QR-kóða og Python-hreinsun.