Atomare Datenkrake - Die Datenschleuder - CCC

Auf „atomarer Ebene“ enthält eine PlusGut-
Datei zwei Hauptzweige: eine Audio-Spur mit
den AAC-Daten sowie einen applikationsspezifischen
„UserData“-Zweig, welcher die Metadaten
enthält. In den Metadaten lassen sich relativ
leicht Atome identifizieren, welche direkt
oder indirekt auf den Käufer verweisen; bei den
untersuchten Vergleichsdateien (gleiche Songs,
unterschiedliche Käufer) unterscheiden sich
die Werte der Atome apID und purd.
Ersteres enthält den iTMS-Accountnamen im
Klartext, letzteres das sekundengenaue Kaufdatum.
Diese Daten sind auch in den kopiergeschützten
iTunes-Dateien enthalten und werden
von iTunes im Info-Bereich angezeigt. Die
PlusGut-Dateien unterscheiden sich aber auch
in dem der AAC-Spur zugeordneten Bereich
der Datei. Apple bettet hier relativ tief in die
Atom-Hierarchie ein proprietäres, undokumentiertes
Atom ein, das den Typ pinf hat und bei
allen untersuchten Dateien exakt 32 KB groß
ist. Unspezifizierte Atome sind für Player kein
Problem, solange sie keine für die Wiedergabe
benötigten Daten enthalten; durch die Längen-
und Typangaben im Header können sie beim
Parsen übersprungen werden.
Der Datenteil des pinf-Atoms ist zwar (afaik)
nicht öffentlich dokumentiert, ein Blick auf die
Binärdaten legt aber die Vermutung nahe, daß
es sich wiederum um eine Atom-Struktur handelt.
Folgt man dieser Hypothese, ergibt sich
die in der Abbildung dargestellte Struktur von
Kind-Atomen.
Der Datenteil des righ-Atoms scheint keine vollwertigen
Atome zu enthalten, es fehlt jeweils
die Längenangabe. Stattdessen scheint es sich
um bis zu zehn „Pseudoatom“-Paare aus einer
FourCC-Feldbezeichnung und einen 32-Bit-
Datenteil zu handeln. Nicht alle dieser Pseudo-Atome
sind immer vorhanden; das mode-
Pseudoatom findet sich beispielsweise nur bei
bestimmten Werten des tool-Pseudoatoms. Der
nicht benutzte Rest der 80 zur Verfügung stehenden
Bytes ist mit Nullen aufgefüllt.
Bei allen untersuchten Dateien war der Datenteil
der frma, schm, cert, veID, plat, aver, medi und
48 48
apple Music inc.
ggf. mode-(Pseudo-)Atome mit den in der Abbildung
gezeigten Werten belegt; aus Sicht der
Frage, welche käuferspezifischen Daten eingebettet
werden, sollten sie folglich nicht weiter
interessant sein. Über den Inhalt einiger anderer
Atome lassen sich – auch durch die Art, wie
sie variieren – zumindest qualifizierte Vermutungen
anstellen:
user: Ist bei allen mit einem bestimmten
Account erworbenen Dateien identisch, variiert
aber von Account zu Account; scheint eine eindeutige
Benutzer-ID zu sein,
tran: Ist identisch für alle zusammen gekauften
Dateien, auch für unterschiedliche Alben/
Künstler; wahrscheinlich eine Transaktions-ID,
song: Ist jeweils für einen bestimmten Song
identisch, auch über verschiedene Käufer hinweg,
und entspricht dem Inhalt des cnID-Atoms
im Metadatenzweig. Möglicherweise eine eindeutige
ID des Musikstücks,
tool: Enthält offenbar einen FourCC, typischerweise
der Form Pxxx, wobei xxx eine dreistellige
Nummer ist. Könnte eine Art Versionsnummer
der erzeugenden Software sein,
name: Enthält den Namen des Käufers im Klartext,
der Rest der 256 Bytes ist mit Nullen gefüllt,
sign: Enthält zufällig aussehende Binärdaten,
die in jeder Datei – also auch bei gleichem Käufer,
Kauf, Künstler, Album etc. – unterschiedlich
sind. Der FourCC und die Länge legen
nahe, daß es sich um eine Signatur handelt.
Die große Unbekannte ist das chtb-Atom; der
FourCC entzieht sich einer naheliegenden
Interpretation. Der Datenteil ist bei allen untersuchten
Dateien ähnlich dem sign-Atom mit
zufällig wirkenden Binärdaten gefüllt, die sich,
ebenso wie beim sign-Atom, von Datei zu Datei
unterscheiden.
Neben diesen „direkt“ personenbezogenen
Daten gibt es ein weiteres Merkmal, welches
zumindest indirekt auf den Käufer einer Datei
weist. In verschiedenen Atomen sind Zeitstem-
die datenschleuder. #93 / 2008