Hur du verifierar när ett foto togs (och upptäcker ett förfalskat datum)

Snabbt svar: För att verifiera ett fotos datum, öppna det i en kostnadsfri EXIF-visare och jämför de tre tidsstämplar EXIF registrerar: DateTimeOriginal (när slutaren utlöstes), CreateDate, även kallat DateTimeDigitized (när filen först skrevs), och ModifyDate (senaste gången den sparades). På en äkta färsk tagning är alla tre nästan identiska. Om de inte stämmer överens på ett misstänkt sätt, eller om DateTimeOriginal saknas medan ModifyDate är nyligt, kan datumet ha ändrats. GPS-tid, filordning i en sekvens och content credentials ger ytterligare trygghet. Använd EXIF-visaren för att läsa tidsstämplarna och vårt Photo Forensics-verktyg för att gräva djupare.

När ett fotos datum spelar roll för ett försäkringskrav, en juridisk tvist, en garantideadline eller en "när hände den här skadan"-diskussion, kan du inte bara lita på det datum filen påstår. EXIF-datum går att redigera på sekunder med gratisverktyg, så ett datum ensamt är inte bevis. Den här guiden handlar om legitim verifiering: hur du läser tidsstämplarna ett foto bär på, hur ett normalt mönster ser ut jämfört med ett manipulerat, och hur du korskontrollerar datumet mot signaler som är svårare att förfalska. Den är strikt utformad för upptäckt, inte för att ändra något.

De tre EXIF-tidsstämplarna

EXIF lagrar tre separata datumfält, och relationen mellan dem är det enskilt mest användbara du kan läsa.

• DateTimeOriginal är avsett att registrera ögonblicket då slutaren utlöstes. Detta är "när togs detta"-datumet.
• CreateDate (EXIF-taggen DateTimeDigitized) registrerar när bilden först digitaliserades eller skrevs till en fil. På en digitalkamera är detta samma ögonblick som DateTimeOriginal.
• ModifyDate registrerar senaste gången filen sparades. Varje omsparning, redigering eller export uppdaterar det.

Det normala mönstret. Ett foto taget med en telefon eller kamera och aldrig redigerat har DateTimeOriginal, CreateDate och ModifyDate alla inom en sekund eller två från varandra. Den täta överensstämmelsen är hur en oberörd tagning ser ut.

Misstänkta mönster. Håll utkik efter dessa:

• DateTimeOriginal saknas, ModifyDate nyligt. Om slutardatumet är borta men filen sparades nyligen, kan originaldata för tagningen ha rensats, eller så kan filen ha genererats eller exporterats om snarare än tagits.
• ModifyDate tidigare än DateTimeOriginal. En fil kan logiskt sett inte sparas innan den togs. Detta betyder vanligtvis att ett av fälten redigerades för hand.
• Runda eller identiska påhittade värden. Datum satta till exakt midnatt, eller alla fält tvingade till samma godtyckliga dag, kan tyda på en manuell redigering.
• En Software-tagg som namnger en redigerare. Om DateTimeOriginal ser rent ut men Software-fältet visar "Adobe Photoshop" eller ett metadataverktyg, har datumen passerat genom programvara som kunde ha skrivit om dem.

Läs alla tre i vår EXIF-visare. För bakgrund om fälten, se hur du ser när ett foto togs.

Korskontroller bortom EXIF-datumet

Eftersom EXIF-datum går att redigera, jämför den starkaste verifieringen dem mot signaler som en tillfällig förfalskare sannolikt inte lyckas anpassa.

GPS-tidsstämpel. När Platstjänster var på skriver kameran också ett GPS-block som inkluderar sitt eget UTC-datum och tid, taget från satellittid. Jämför GPS-datumet med DateTimeOriginal. De bör matcha (med hänsyn till tidszonsförskjutning). Om EXIF säger en dag och den inbäddade GPS-tiden säger en annan, ändrades en av dem, och GPS-tid är den svårare att förfalska.

Solposition och skuggor. Skuggornas längd och riktning kodar tiden på dagen och årstiden för en given plats. Om ett foto påstår sig vara en vintereftermiddag men visar korta överliggande skuggor som stämmer med sommarmidnatt, är det påstådda datumet inkonsekvent med scenen. Detta är en rimlighetskontroll, inte en exakt klocka, men den fångar datum som är vansinnigt fel.

Omgivande foton i en sekvens. Kameror och telefoner tilldelar filnamn och nummer i ordning (IMG_0412, IMG_0413). Om fotot i fråga bär på ett datum som bryter den monotona ordningen för bildrutorna runt det, eller ligger i en mapp vars grannar alla är månader ifrån det, är datumet värt att ifrågasätta.

Filsystemets datum. Operativsystemets skapade och ändrade tidsstämplar på filen är svaga (de återställs vid kopiering och nedladdning), men ett filsystemsdatum som föregår det påstådda DateTimeOriginal är en motsägelse som förtjänar en andra titt.

Varför en inbränd tidsstämpel är svårare att förfalska

EXIF lever i filens header, separat från pixlarna, vilket är precis varför den är lätt att skriva om. En tidsstämpel inbränd i pixlarna vid tagningsögonblicket är en annan sak. För att ändra den måste någon redigera själva bilden: måla bort de gamla siffrorna och rendera nya som matchar originalets typsnitt, ljussättning och komprimering. Det lämnar den sortens spår som täcks i hur du avgör om ett foto har redigerats, och en noggrann titt med Error Level Analysis i Photo Forensics-verktyget kan ofta avslöja lagningen.

Det är därför, för foton där datumet senare kan ifrågasättas, det mest försvarbara tillvägagångssättet är att fotografera med datumet stämplat på bilden vid slutaren. Du kan lägga till en tidsstämpel på ett foto i samma ögonblick som du tar det, så att datumet lever i pixlarna och i EXIF tillsammans. För mer om hur domstolar och skadereglerare behandlar dessa, se är tidsstämpelfoton giltiga som bevis.

Content credentials

C2PA Content Credentials lägger till ett kryptografiskt lager ovanpå allt detta. Ett växande antal kameror, inklusive nyare iPhone-modeller, kan bifoga en signerad tagningscredential som registrerar när och med vilken enhet bilden skapades. Eftersom manifestet är signerat bryter en ändring av det registrerade datumet signaturen. Släpp filen i contentcredentials.org/verify eller läs hur du kontrollerar content credentials (C2PA) för att se om en credential finns och är intakt. När den gör det är det det starkaste datumbevis som finns tillgängligt.

Ärliga gränser

Ingen metod här är en garanti. EXIF-datum går att redigera på sekunder, så en ren uppsättning tidsstämplar bevisar bara att ingen brydde sig om att få dem att avvika, inte att datumet är sant. GPS-tid kan saknas om Plats var av. Content credentials är frivilliga och tas bort av många plattformar vid uppladdning, så deras frånvaro bevisar ingenting. En omexport genom en meddelandeapp kan tyst normalisera alla tre EXIF-datumen och radera just de avvikelser du letade efter. Det tillförlitliga tillvägagångssättet är att kombinera signaler: läs de tre tidsstämplarna, korskontrollera GPS och fotosekvensen, leta efter redigeringsspår, och sök originalfilen och dess content credentials från källan. Behandla en enda misstänkt signal som ett skäl att undersöka, inte en dom, och för alla foton vars datum du senare kan behöva bevisa, stämpla datumet vid tagningen så att beviset är inbakat från början.