Как проверить, когда была сделана фотография (и распознать поддельную дату)

Краткий ответ: Чтобы проверить дату фотографии, откройте её в бесплатном просмотрщике EXIF и сравните три временные метки, которые записывает EXIF: DateTimeOriginal (когда сработал затвор), CreateDate, также называемый DateTimeDigitized (когда файл был впервые записан), и ModifyDate (последний раз, когда файл был сохранён). На подлинном свежем снимке все три почти идентичны. Если они расходятся подозрительным образом или если DateTimeOriginal отсутствует, а ModifyDate недавний, дата могла быть изменена. Время GPS, порядок файлов в последовательности и content credentials добавляют уверенности. Используйте просмотрщик EXIF, чтобы прочитать временные метки, и наш инструмент фотокриминалистики, чтобы копнуть глубже.

Когда дата фотографии важна для страхового требования, юридического спора, гарантийного срока или спора "когда произошло это повреждение", вы не можете просто доверять дате, которую заявляет файл. Даты EXIF редактируются за секунды бесплатными инструментами, поэтому дата сама по себе не является доказательством. Это руководство о законной проверке: как прочитать временные метки, которые несёт фотография, как выглядит нормальная закономерность по сравнению с подделанной, и как сверить дату с сигналами, которые подделать труднее. Оно изложено строго для обнаружения, а не для изменения чего-либо.

Три временные метки EXIF

EXIF хранит три отдельных поля даты, и связь между ними это самое полезное, что вы можете прочитать.

• DateTimeOriginal предназначен для записи момента срабатывания затвора. Это дата "когда это было снято".
• CreateDate (тег EXIF DateTimeDigitized) записывает, когда изображение было впервые оцифровано или записано в файл. На цифровой камере это тот же момент, что и DateTimeOriginal.
• ModifyDate записывает последний раз, когда файл был сохранён. Любое пересохранение, редактирование или экспорт обновляет его.

Нормальная закономерность. У фотографии, сделанной на телефон или камеру и никогда не редактировавшейся, DateTimeOriginal, CreateDate и ModifyDate все в пределах секунды или двух друг от друга. Это плотное совпадение и есть то, как выглядит нетронутый снимок.

Подозрительные закономерности. Следите за этим:

• DateTimeOriginal отсутствует, ModifyDate недавний. Если дата затвора пропала, но файл был сохранён недавно, исходные данные о съёмке могли быть удалены, либо файл был сгенерирован или повторно экспортирован, а не снят.
• ModifyDate раньше, чем DateTimeOriginal. Файл логически не может быть сохранён до того, как был снят. Обычно это означает, что одно из полей было отредактировано вручную.
• Круглые или одинаковые значения, выглядящие фальшивыми. Даты, установленные точно на полночь, или все поля, принудительно приведённые к одному произвольному дню, могут указывать на ручное редактирование.
• Тег Software, называющий редактор. Если DateTimeOriginal выглядит чистым, но поле Software читается как "Adobe Photoshop" или инструмент для метаданных, даты прошли через программу, которая могла их переписать.

Прочитайте все три в нашем просмотрщике EXIF. О фоновых сведениях об этих полях смотрите как увидеть, когда была сделана фотография.

Перекрёстные проверки помимо даты EXIF

Поскольку даты EXIF редактируемы, самая надёжная проверка сравнивает их с сигналами, которые случайный фальсификатор вряд ли согласует.

Временная метка GPS. Когда службы геолокации были включены, камера также пишет блок GPS, который включает собственные дату и время в UTC, взятые из спутникового времени. Сравните дату GPS с DateTimeOriginal. Они должны совпадать (с поправкой на смещение часового пояса). Если EXIF говорит один день, а встроенное время GPS говорит другой, одно из них было изменено, и время GPS труднее подделать.

Положение солнца и тени. Длина и направление теней кодируют время суток и сезон для данного места. Если фотография заявляет, что это зимний день, но показывает короткие отвесные тени, соответствующие летнему полудню, заявленная дата несовместима со сценой. Это проверка на здравый смысл, а не точные часы, но она ловит даты, которые дико ошибочны.

Соседние фотографии в последовательности. Камеры и телефоны присваивают имена и номера файлов по порядку (IMG_0412, IMG_0413). Если рассматриваемая фотография несёт дату, которая нарушает монотонный порядок соседних кадров, или находится в папке, соседи которой все на месяцы отстоят от неё, дату стоит поставить под вопрос.

Даты файловой системы. Временные метки создания и изменения файла в операционной системе слабы (они сбрасываются при копировании и скачивании), но дата файловой системы, предшествующая заявленному DateTimeOriginal, это противоречие, заслуживающее второго взгляда.

Почему впечатанную временную метку труднее подделать

EXIF живёт в заголовке файла, отдельно от пикселей, что и есть причина, почему его легко переписать. Временная метка, впечатанная в пиксели в момент съёмки, это другое дело. Чтобы изменить её, кому-то приходится редактировать само изображение: закрасить старые цифры и отрисовать новые, которые соответствуют шрифту, освещению и сжатию оригинала. Это оставляет те виды следов, которые описаны в как определить, что фотография была отредактирована, и тщательный взгляд с анализом уровня ошибок в инструменте фотокриминалистики часто может выявить заплату.

Вот почему для фотографий, дата которых может быть оспорена позже, самый защищаемый подход это снимать с датой, отпечатанной на изображении при срабатывании затвора. Вы можете добавить временную метку на фотографию в момент съёмки, чтобы дата жила в пикселях и в EXIF вместе. Подробнее о том, как суды и страховые оценщики относятся к этому, смотрите в являются ли фотографии с временной меткой юридическим доказательством.

Content credentials

C2PA Content Credentials добавляют криптографический слой поверх всего этого. Растущее число камер, включая недавние модели iPhone, могут прикреплять подписанный credential съёмки, который записывает, когда и каким устройством было создано изображение. Поскольку манифест подписан, изменение записанной даты ломает подпись. Перетащите файл на contentcredentials.org/verify или прочитайте как проверить content credentials (C2PA), чтобы увидеть, присутствует ли credential и цел ли он. Когда он есть, это самое сильное доказательство даты из доступных.

Честные пределы

Ни один метод здесь не является гарантией. Даты EXIF можно отредактировать за секунды, поэтому чисто выглядящий набор временных меток доказывает лишь то, что никто не потрудился сделать их несовпадающими, а не то, что дата истинна. Время GPS может отсутствовать, если геолокация была выключена. Content credentials добровольны и удаляются многими платформами при загрузке, поэтому их отсутствие ничего не доказывает. Повторный экспорт через мессенджер может тихо нормализовать все три даты EXIF и стереть те самые несовпадения, которые вы искали. Надёжный подход это комбинировать сигналы: прочитать три временные метки, сверить GPS и последовательность фотографий, поискать следы редактирования и добиться оригинального файла и его content credentials от источника. Относитесь к единственному подозрительному сигналу как к причине для расследования, а не как к вердикту, и для любой фотографии, дату которой вам может понадобиться доказать позже, отпечатывайте дату при съёмке, чтобы доказательство было встроено с самого начала.