Hoe je verifieert wanneer een foto genomen is (en een vervalste datum herkent)

Kort antwoord: Om de datum van een foto te verifieren, open je het in een gratis EXIF-viewer en vergelijk je de drie tijdstempels die EXIF vastlegt: DateTimeOriginal (wanneer de sluiter afging), CreateDate, ook wel DateTimeDigitized genoemd (wanneer het bestand voor het eerst geschreven werd), en ModifyDate (de laatste keer dat het opgeslagen werd). Bij een echte verse opname zijn alle drie vrijwel identiek. Als ze op een verdachte manier niet overeenkomen, of als DateTimeOriginal ontbreekt terwijl ModifyDate recent is, kan de datum gewijzigd zijn. GPS-tijd, bestandsvolgorde in een reeks en content credentials voegen vertrouwen toe. Gebruik de EXIF-viewer om de tijdstempels te lezen en onze Photo Forensics-tool om dieper te graven.

Wanneer de datum van een foto van belang is voor een verzekeringsclaim, een juridisch geschil, een garantiedeadline, of een "wanneer is deze schade ontstaan"-discussie, kun je niet zomaar de datum vertrouwen die het bestand beweert. EXIF-datums zijn in seconden te bewerken met gratis tools, dus een datum alleen is geen bewijs. Deze gids gaat over legitieme verificatie: hoe je de tijdstempels leest die een foto bevat, hoe een normaal patroon versus een gemanipuleerd patroon eruitziet, en hoe je de datum kruiscontroleert tegen signalen die moeilijker te vervalsen zijn. Hij is strikt bedoeld voor detectie, niet om iets te wijzigen.

De drie EXIF-tijdstempels

EXIF slaat drie aparte datumvelden op, en de relatie ertussen is het allernuttigste dat je kunt lezen.

• DateTimeOriginal is bedoeld om het moment vast te leggen waarop de sluiter afging. Dit is de "wanneer is dit genomen"-datum.
• CreateDate (de EXIF-tag DateTimeDigitized) legt vast wanneer het beeld voor het eerst gedigitaliseerd of naar een bestand geschreven werd. Op een digitale camera is dit hetzelfde moment als DateTimeOriginal.
• ModifyDate legt de laatste keer vast dat het bestand opgeslagen werd. Elke hersave, bewerking of export werkt het bij.

Het normale patroon. Een foto die op een telefoon of camera genomen is en nooit bewerkt, heeft DateTimeOriginal, CreateDate en ModifyDate allemaal binnen een seconde of twee van elkaar. Die strakke overeenstemming is hoe een onaangetaste opname eruitziet.

Verdachte patronen. Let op deze:

• DateTimeOriginal ontbreekt, ModifyDate recent. Als de sluiterdatum weg is, maar het bestand recent opgeslagen werd, kunnen de originele opnamegegevens verwijderd zijn, of kan het bestand gegenereerd of opnieuw geexporteerd zijn in plaats van vastgelegd.
• ModifyDate eerder dan DateTimeOriginal. Een bestand kan logischerwijs niet opgeslagen worden voordat het genomen werd. Dit betekent meestal dat een van de velden met de hand bewerkt is.
• Ronde of identieke nepwaarden. Datums die exact op middernacht ingesteld zijn, of alle velden geforceerd op dezelfde willekeurige dag, kunnen op een handmatige bewerking wijzen.
• Een Software-tag die een editor noemt. Als DateTimeOriginal er schoon uitziet, maar het Software-veld "Adobe Photoshop" of een metadatatool aangeeft, zijn de datums door software gegaan die ze had kunnen herschrijven.

Lees alle drie in onze EXIF-viewer. Voor achtergrond bij de velden, zie hoe je ziet wanneer een foto genomen is.

Kruiscontroles buiten de EXIF-datum

Omdat EXIF-datums bewerkbaar zijn, vergelijkt de sterkste verificatie ze met signalen die een terloopse vervalser waarschijnlijk niet op elkaar afstemt.

GPS-tijdstempel. Wanneer Locatievoorzieningen aanstonden, schreef de camera ook een GPS-blok dat zijn eigen UTC-datum en -tijd bevat, ontleend aan satelliettijd. Vergelijk de GPS-datum met DateTimeOriginal. Ze zouden moeten overeenkomen (met inachtneming van de tijdzoneverschuiving). Als de EXIF een dag zegt en de ingebedde GPS-tijd een andere, is een van beide gewijzigd, en GPS-tijd is de moeilijkere om te vervalsen.

Zonpositie en schaduwen. De lengte en richting van schaduwen coderen het tijdstip van de dag en het seizoen voor een gegeven locatie. Als een foto beweert een wintermiddag te zijn, maar korte schaduwen recht naar beneden toont die consistent zijn met een zomermiddag, is de geclaimde datum inconsistent met de scene. Dit is een plausibiliteitscontrole, geen precieze klok, maar het vangt datums die wild verkeerd zijn.

Omringende foto's in een reeks. Camera's en telefoons kennen bestandsnamen en -nummers in volgorde toe (IMG_0412, IMG_0413). Als de foto in kwestie een datum heeft die de monotone volgorde van de frames eromheen doorbreekt, of in een map zit waarvan de buren allemaal maanden van haar verwijderd zijn, is de datum het bevragen waard.

Bestandssysteemdatums. De datums van aangemaakt en gewijzigd van het besturingssysteem op het bestand zijn zwak (ze resetten bij kopieren en downloaden), maar een bestandssysteemdatum die voor de geclaimde DateTimeOriginal ligt, is een tegenstrijdigheid die een tweede blik verdient.

Waarom een ingebrande tijdstempel moeilijker te vervalsen is

EXIF leeft in de bestandsheader, los van de pixels, wat precies de reden is waarom het gemakkelijk te herschrijven is. Een tijdstempel die op het moment van vastleggen in de pixels ingebrand is, is een ander verhaal. Om die te wijzigen, moet iemand het beeld zelf bewerken: de oude cijfers wegschilderen en nieuwe renderen die overeenkomen met het lettertype, de belichting en de compressie van het origineel. Dat laat het soort sporen achter dat behandeld wordt in hoe je ziet of een foto bewerkt is, en een zorgvuldige blik met Error Level Analysis in de Photo Forensics-tool kan de patch vaak onthullen.

Dit is waarom, voor foto's waarvan de datum later betwist kan worden, de meest verdedigbare aanpak is om vast te leggen met de datum op het moment van de sluiter op het beeld gestempeld. Je kunt een tijdstempel aan een foto toevoegen op het moment dat je hem neemt, zodat de datum samen in de pixels en in de EXIF leeft. Voor meer over hoe rechtbanken en schade-experts hiermee omgaan, zie zijn tijdstempelfoto's wettig bewijs.

Content credentials

C2PA Content Credentials voegen een cryptografische laag toe bovenop dit alles. Een groeiend aantal camera's, waaronder recente iPhone-modellen, kan een ondertekend opnamecredential toevoegen dat vastlegt wanneer en met welk apparaat het beeld gemaakt is. Omdat het manifest ondertekend is, breekt het wijzigen van de vastgelegde datum de handtekening. Sleep het bestand in contentcredentials.org/verify of lees hoe je content credentials (C2PA) controleert om te zien of een credential aanwezig en intact is. Wanneer dat zo is, is het het sterkste datumbewijs dat beschikbaar is.

Eerlijke grenzen

Geen enkele methode hier is een garantie. EXIF-datums zijn in seconden te bewerken, dus een schoon ogende set tijdstempels bewijst alleen dat niemand de moeite nam ze te laten afwijken, niet dat de datum waar is. GPS-tijd kan ontbreken als Locatie uitstond. Content credentials zijn opt-in en worden door veel platforms verwijderd bij het uploaden, dus hun afwezigheid bewijst niets. Een herexport via een berichtenapp kan stilletjes alle drie de EXIF-datums normaliseren en juist de afwijkingen wissen waar je naar zocht. De betrouwbare aanpak is om signalen te combineren: lees de drie tijdstempels, kruiscontroleer GPS en de fotovolgorde, zoek naar bewerkingssporen, en zoek het originele bestand en zijn content credentials bij de bron. Behandel een enkel verdacht signaal als een reden om te onderzoeken, niet als een vonnis, en voor elke foto waarvan je de datum later mogelijk moet bewijzen, stempel de datum bij vastleggen zodat het bewijs vanaf het begin ingebakken is.