Come verificare quando è stata scattata una foto (e individuare una data falsa)

Risposta rapida: Per verificare la data di una foto, aprila in un visualizzatore EXIF gratuito e confronta i tre timestamp che gli EXIF registrano: DateTimeOriginal (quando è scattato l'otturatore), CreateDate, chiamato anche DateTimeDigitized (quando il file è stato scritto per la prima volta), e ModifyDate (l'ultima volta che è stato salvato). Su una genuina cattura fresca, tutti e tre sono quasi identici. Se sono in disaccordo in modo sospetto, o se DateTimeOriginal manca mentre ModifyDate è recente, la data potrebbe essere stata alterata. L'ora GPS, l'ordine dei file in una sequenza e i content credentials aggiungono fiducia. Usa il visualizzatore EXIF per leggere i timestamp e il nostro strumento Photo Forensics per approfondire.

Quando la data di una foto conta per una richiesta di risarcimento assicurativo, una controversia legale, una scadenza di garanzia o una discussione su "quando è successo questo danno", non puoi semplicemente fidarti della data che il file dichiara. Le date EXIF sono modificabili in pochi secondi con strumenti gratuiti, quindi una data da sola non è una prova. Questa guida riguarda la verifica legittima: come leggere i timestamp che una foto contiene, come appare un pattern normale rispetto a uno manomesso, e come effettuare una verifica incrociata della data rispetto a segnali più difficili da falsificare. È concepita rigorosamente per il rilevamento, non per alterare nulla.

I tre timestamp EXIF

EXIF memorizza tre campi data separati, e la relazione tra di essi è la cosa più utile che puoi leggere.

• DateTimeOriginal è destinato a registrare il momento in cui è scattato l'otturatore. Questa è la data "quando è stata scattata".
• CreateDate (il tag EXIF DateTimeDigitized) registra quando l'immagine è stata digitalizzata o scritta per la prima volta in un file. Su una fotocamera digitale questo è lo stesso istante di DateTimeOriginal.
• ModifyDate registra l'ultima volta che il file è stato salvato. Qualsiasi ri-salvataggio, modifica o esportazione lo aggiorna.

Il pattern normale. Una foto scattata con un telefono o una fotocamera e mai modificata ha DateTimeOriginal, CreateDate e ModifyDate tutti entro un secondo o due l'uno dall'altro. Quella stretta concordanza è l'aspetto di una cattura intatta.

Pattern sospetti. Fai attenzione a questi:

• DateTimeOriginal mancante, ModifyDate recente. Se la data dello scatto è scomparsa ma il file è stato salvato di recente, i dati di cattura originali potrebbero essere stati rimossi oppure il file potrebbe essere stato generato o ri-esportato anziché catturato.
• ModifyDate precedente a DateTimeOriginal. Un file non può logicamente essere salvato prima di essere stato scattato. Questo di solito significa che uno dei campi è stato modificato a mano.
• Valori tondi o identici dall'aspetto falso. Date impostate esattamente a mezzanotte, o tutti i campi forzati allo stesso giorno arbitrario, possono indicare una modifica manuale.
• Un tag Software che nomina un editor. Se DateTimeOriginal sembra pulito ma il campo Software riporta "Adobe Photoshop" o uno strumento per i metadati, le date sono passate attraverso un software che avrebbe potuto riscriverle.

Leggi tutti e tre nel nostro visualizzatore EXIF. Per il contesto sui campi, vedi come vedere quando è stata scattata una foto.

Verifiche incrociate oltre la data EXIF

Poiché le date EXIF sono modificabili, la verifica più forte le confronta con segnali che un falsario occasionale è improbabile riesca ad allineare.

Timestamp GPS. Quando i Servizi di localizzazione erano attivi, la fotocamera scrive anche un blocco GPS che include la propria data e ora UTC, presa dal tempo satellitare. Confronta la data GPS con DateTimeOriginal. Dovrebbero corrispondere (tenendo conto dell'offset del fuso orario). Se l'EXIF dice un giorno e l'ora GPS incorporata ne dice un altro, uno dei due è stato cambiato, e l'ora GPS è quella più difficile da falsificare.

Posizione del sole e ombre. La lunghezza e la direzione delle ombre codificano l'ora del giorno e la stagione per una data posizione. Se una foto afferma di essere un pomeriggio invernale ma mostra ombre corte e verticali coerenti con un mezzogiorno estivo, la data dichiarata è incoerente con la scena. Questo è un controllo di plausibilità, non un orologio preciso, ma cattura date completamente sbagliate.

Foto circostanti in una sequenza. Fotocamere e telefoni assegnano nomi e numeri di file in ordine (IMG_0412, IMG_0413). Se la foto in questione porta una data che rompe l'ordine monotono dei fotogrammi attorno ad essa, o si trova in una cartella i cui vicini sono tutti a mesi di distanza da essa, la data merita di essere messa in dubbio.

Date del file system. I timestamp di creazione e modifica del sistema operativo sul file sono deboli (si reimpostano alla copia e al download), ma una data del file system che precede il DateTimeOriginal dichiarato è una contraddizione che merita un secondo sguardo.

Perché un timestamp impresso è più difficile da falsificare

L'EXIF risiede nell'intestazione del file, separato dai pixel, ed è proprio per questo che è facile da riscrivere. Un timestamp impresso nei pixel al momento della cattura è una questione diversa. Per cambiarlo, qualcuno deve modificare l'immagine stessa: cancellare le vecchie cifre e renderne di nuove che corrispondano al font, all'illuminazione e alla compressione dell'originale. Questo lascia il tipo di tracce trattate in come capire se una foto è stata modificata, e un'attenta osservazione con l'Error Level Analysis nello strumento Photo Forensics può spesso rivelare la toppa.

Ecco perché, per le foto la cui data potrebbe essere contestata in seguito, l'approccio più difendibile è catturare con la data impressa sull'immagine allo scatto. Puoi aggiungere un timestamp a una foto nel momento in cui la scatti, così la data vive nei pixel e nell'EXIF insieme. Per saperne di più su come tribunali e periti trattano queste foto, vedi le foto con timestamp sono prove legali.

Content credentials

I C2PA Content Credentials aggiungono un livello crittografico sopra tutto questo. Un numero crescente di fotocamere, inclusi i recenti modelli di iPhone, può allegare un capture credential firmato che registra quando e con quale dispositivo è stata creata l'immagine. Poiché il manifest è firmato, alterare la data registrata rompe la firma. Trascina il file in contentcredentials.org/verify o leggi come controllare i content credentials (C2PA) per vedere se un credential è presente e intatto. Quando lo è, è la prova di data più forte disponibile.

Limiti onesti

Nessun metodo qui è una garanzia. Le date EXIF possono essere modificate in pochi secondi, quindi un insieme di timestamp dall'aspetto pulito dimostra solo che nessuno si è preso la briga di farle disaccordare, non che la data sia vera. L'ora GPS può essere assente se la localizzazione era disattivata. I content credentials sono facoltativi e vengono rimossi da molte piattaforme al caricamento, quindi la loro assenza non dimostra nulla. Una ri-esportazione attraverso un'app di messaggistica può normalizzare silenziosamente tutte e tre le date EXIF e cancellare proprio le discrepanze che stavi cercando. L'approccio affidabile è combinare i segnali: leggi i tre timestamp, effettua una verifica incrociata del GPS e della sequenza delle foto, cerca tracce di editing e cerca il file originale e i suoi content credentials dalla fonte. Tratta un singolo segnale sospetto come un motivo per indagare, non come un verdetto, e per qualsiasi foto la cui data potresti dover dimostrare in seguito, imprimi la data alla cattura così la prova è incorporata fin dall'inizio.