Jak zweryfikować, kiedy zrobiono zdjęcie (i wykryć sfałszowaną datę)

Szybka odpowiedź: Aby zweryfikować datę zdjęcia, otwórz je w darmowej przeglądarce EXIF i porównaj trzy znaczniki czasu, które zapisuje EXIF: DateTimeOriginal (kiedy zadziałała migawka), CreateDate, zwany też DateTimeDigitized (kiedy plik został po raz pierwszy zapisany), oraz ModifyDate (ostatni raz, gdy plik zapisano). W autentycznym świeżym przechwyceniu wszystkie trzy są niemal identyczne. Jeśli nie zgadzają się w podejrzany sposób albo jeśli DateTimeOriginal brakuje, podczas gdy ModifyDate jest niedawny, data mogła zostać zmieniona. Czas GPS, kolejność plików w sekwencji oraz content credentials dodają pewności. Użyj przeglądarki EXIF, aby odczytać znaczniki czasu, i naszego narzędzia Photo Forensics, aby zgłębić temat.

Gdy data zdjęcia ma znaczenie dla roszczenia ubezpieczeniowego, sporu prawnego, terminu gwarancji albo argumentu "kiedy nastąpiło to uszkodzenie", nie możesz po prostu ufać dacie, którą podaje plik. Daty EXIF można edytować w kilka sekund darmowymi narzędziami, więc sama data nie jest dowodem. Ten przewodnik jest o legalnej weryfikacji: jak odczytać znaczniki czasu, które niesie zdjęcie, jak wygląda normalny wzorzec w porównaniu z wzorcem zmanipulowanym oraz jak porównać datę z sygnałami, które trudniej sfałszować. Jest ujęty wyłącznie pod kątem wykrywania, a nie zmieniania czegokolwiek.

Trzy znaczniki czasu EXIF

EXIF przechowuje trzy oddzielne pola daty, a relacja między nimi to najbardziej użyteczna rzecz, jaką możesz odczytać.

• DateTimeOriginal ma zapisywać moment, w którym zadziałała migawka. To data "kiedy to zrobiono".
• CreateDate (tag EXIF DateTimeDigitized) zapisuje, kiedy obraz został po raz pierwszy zdigitalizowany lub zapisany do pliku. W aparacie cyfrowym jest to ten sam moment co DateTimeOriginal.
• ModifyDate zapisuje ostatni raz, gdy plik zapisano. Każde ponowne zapisanie, edycja lub eksport go aktualizuje.

Normalny wzorzec. Zdjęcie zrobione telefonem lub aparatem i nigdy nieedytowane ma DateTimeOriginal, CreateDate i ModifyDate w odstępie sekundy lub dwóch od siebie. Ta ścisła zgodność to wygląd nietkniętego przechwycenia.

Podejrzane wzorce. Uważaj na te:

• DateTimeOriginal brakuje, ModifyDate niedawny. Jeśli data migawki zniknęła, ale plik został niedawno zapisany, oryginalne dane przechwycenia mogły zostać usunięte albo plik mógł zostać wygenerowany lub ponownie wyeksportowany, a nie przechwycony.
• ModifyDate wcześniejszy niż DateTimeOriginal. Plik logicznie nie może zostać zapisany przed jego zrobieniem. Zwykle oznacza to, że jedno z pól zostało edytowane ręcznie.
• Okrągłe lub identyczne, fałszywie wyglądające wartości. Daty ustawione dokładnie na północ albo wszystkie pola wymuszone na ten sam dowolny dzień mogą wskazywać na ręczną edycję.
• Tag Software, który wymienia edytor. Jeśli DateTimeOriginal wygląda czysto, ale pole Software czyta "Adobe Photoshop" albo narzędzie do metadanych, daty przeszły przez oprogramowanie, które mogło je przepisać.

Odczytaj wszystkie trzy w naszej przeglądarce EXIF. Tło tych pól znajdziesz w jak zobaczyć, kiedy zrobiono zdjęcie.

Weryfikacje krzyżowe poza datą EXIF

Ponieważ daty EXIF są edytowalne, najsilniejsza weryfikacja porównuje je z sygnałami, których przypadkowy fałszerz raczej nie dopasuje.

Znacznik czasu GPS. Gdy usługi lokalizacji były włączone, aparat zapisuje też blok GPS, który zawiera własną datę i godzinę UTC, pobraną z czasu satelitarnego. Porównaj datę GPS z DateTimeOriginal. Powinny się zgadzać (uwzględniając przesunięcie strefy czasowej). Jeśli EXIF podaje jeden dzień, a osadzony czas GPS inny, jedno z nich zostało zmienione, a czas GPS trudniej sfałszować.

Położenie słońca i cienie. Długość i kierunek cieni kodują porę dnia i porę roku dla danej lokalizacji. Jeśli zdjęcie twierdzi, że to zimowe popołudnie, ale pokazuje krótkie, niemal pionowe cienie odpowiadające letniemu południu, deklarowana data jest niespójna ze sceną. To kontrola zdroworozsądkowa, a nie precyzyjny zegar, ale wychwytuje daty zupełnie błędne.

Sąsiednie zdjęcia w sekwencji. Aparaty i telefony przypisują nazwy i numery plików po kolei (IMG_0412, IMG_0413). Jeśli dane zdjęcie niesie datę łamiącą monotoniczną kolejność otaczających je kadrów albo leży w folderze, którego sąsiedzi są od niego oddaleni o miesiące, datę warto zakwestionować.

Daty systemu plików. Znaczniki czasu utworzenia i modyfikacji pliku w systemie operacyjnym są słabe (resetują się przy kopiowaniu i pobieraniu), ale data systemu plików wcześniejsza niż deklarowany DateTimeOriginal to sprzeczność zasługująca na ponowne spojrzenie.

Dlaczego wypalony znacznik czasu trudniej sfałszować

EXIF żyje w nagłówku pliku, oddzielnie od pikseli, i to właśnie dlatego łatwo go przepisać. Znacznik czasu wypalony w pikselach w momencie przechwycenia to inna sprawa. Aby go zmienić, ktoś musi edytować sam obraz: zamalować stare cyfry i wyrenderować nowe, które pasują do czcionki, oświetlenia i kompresji oryginału. To pozostawia rodzaj śladów opisanych w jak rozpoznać, czy zdjęcie było edytowane, a uważne spojrzenie z analizą poziomu błędów w narzędziu Photo Forensics często może ujawnić łatkę.

Dlatego w przypadku zdjęć, których data może być później kwestionowana, najbardziej obronnym podejściem jest przechwycenie z datą wypaloną na obrazie w momencie migawki. Możesz dodać znacznik czasu do zdjęcia w chwili jego robienia, aby data żyła w pikselach i w EXIF razem. Więcej o tym, jak traktują to sądy i likwidatorzy szkód, znajdziesz w czy zdjęcia ze znacznikiem czasu są dowodem prawnym.

Content credentials

C2PA Content Credentials dodają warstwę kryptograficzną na szczycie tego wszystkiego. Rosnąca liczba aparatów, w tym najnowsze modele iPhone, może dołączyć podpisane poświadczenie przechwycenia, które zapisuje, kiedy i jakim urządzeniem powstał obraz. Ponieważ manifest jest podpisany, zmiana zapisanej daty łamie podpis. Wrzuć plik do contentcredentials.org/verify albo przeczytaj jak sprawdzić content credentials (C2PA), aby zobaczyć, czy poświadczenie jest obecne i nienaruszone. Gdy jest, to najsilniejszy dostępny dowód daty.

Uczciwe ograniczenia

Żadna metoda tutaj nie jest gwarancją. Daty EXIF można edytować w kilka sekund, więc czysto wyglądający zestaw znaczników czasu dowodzi tylko, że nikt nie zadał sobie trudu, by je rozbieżnić, a nie że data jest prawdziwa. Czas GPS może być nieobecny, jeśli lokalizacja była wyłączona. Content credentials są opcjonalne i są usuwane przez wiele platform przy przesyłaniu, więc ich brak niczego nie dowodzi. Ponowny eksport przez komunikator może po cichu znormalizować wszystkie trzy daty EXIF i wymazać te same niezgodności, których szukałeś. Niezawodne podejście to łączenie sygnałów: odczytaj trzy znaczniki czasu, porównaj GPS i sekwencję zdjęć, poszukaj śladów edycji oraz zdobądź oryginalny plik i jego content credentials od źródła. Traktuj pojedynczy podejrzany sygnał jako powód do zbadania, a nie wyrok, a dla każdego zdjęcia, którego datę możesz później potrzebować udowodnić, wypal datę przy przechwyceniu, aby dowód był wbudowany od samego początku.