如何驗證一張照片何時拍攝（並識破被偽造的日期）

快速解答： 要驗證一張照片的日期，在免費的 EXIF 檢視器 中開啟它，並比較 EXIF 記錄的三個時間戳記：DateTimeOriginal（快門按下的時刻）、CreateDate（又稱 DateTimeDigitized，檔案首次被寫入的時刻），以及 ModifyDate（最後一次儲存的時間）。在一張真實的新鮮拍攝上，這三者幾乎一模一樣。如果它們以可疑的方式互相矛盾，或是 DateTimeOriginal 缺失而 ModifyDate 是近期的，日期可能被改動過。GPS 時間、序列中的檔案順序與 content credentials 能增加可信度。使用 EXIF 檢視器來讀取時間戳記，並用我們的 Photo Forensics 工具 來深入挖掘。

當一張照片的日期對於保險理賠、法律糾紛、保固期限，或一場「這個損壞是什麼時候發生的」爭論很重要時，你不能只信任檔案聲稱的日期。EXIF 日期用免費工具幾秒鐘就能編輯，所以光憑日期不是證據。本指南談的是正當的驗證：如何讀取照片帶有的時間戳記、正常模式與被竄改模式各長什麼樣子，以及如何把日期與更難偽造的訊號交叉比對。它嚴格地以偵測為導向，而非為了改動任何東西。

三個 EXIF 時間戳記

EXIF 儲存三個獨立的日期欄位，而它們之間的關係是你能讀到的最有用的單一資訊。

• DateTimeOriginal 用來記錄快門按下的那一刻。這是「這是什麼時候拍的」日期。
• CreateDate（EXIF 標籤 DateTimeDigitized）記錄影像首次被數位化或寫入檔案的時刻。在數位相機上，這與 DateTimeOriginal 是同一瞬間。
• ModifyDate 記錄檔案最後一次被儲存的時間。任何重新儲存、編輯或匯出都會更新它。

正常模式。 一張用手機或相機拍攝且從未編輯過的照片，其 DateTimeOriginal、CreateDate 與 ModifyDate 全都在彼此的一兩秒之內。那種緊密的一致正是一張未經觸碰的拍攝看起來的樣子。

可疑模式。 留意這些：

• DateTimeOriginal 缺失、ModifyDate 是近期的。 如果快門日期不見了，但檔案最近被儲存過，原始拍攝資料可能被清除了，或這個檔案可能是被生成或重新匯出的，而非拍攝的。
• ModifyDate 早於 DateTimeOriginal。 一個檔案在邏輯上不可能在它被拍攝之前就被儲存。這通常意味著其中一個欄位被手動編輯過。
• 整數或看起來相同的假值。 被設成正好午夜的日期，或所有欄位都被硬塞成同一個任意的某一天，都可能表示有手動編輯。
• 列出某個編輯器的 Software 標籤。 如果 DateTimeOriginal 看起來乾淨，但 Software 欄位寫著「Adobe Photoshop」或某個中繼資料工具，那這些日期經過了可能改寫它們的軟體。

在我們的 EXIF 檢視器 中讀取全部三個。關於這些欄位的背景，請參閱 如何查看照片何時拍攝。

超越 EXIF 日期的交叉比對

因為 EXIF 日期是可編輯的，最有力的驗證會把它們與一個隨意的偽造者不太可能對齊的訊號比較。

GPS 時間戳記。 當「定位服務」開啟時，相機也會寫入一個 GPS 區塊，其中包含取自衛星時間、它自己的 UTC 日期與時間。把 GPS 日期與 DateTimeOriginal 比較。它們應該相符（容許時區偏移）。如果 EXIF 說是某一天，而內嵌的 GPS 時間說是另一天，那其中一個被改過了，而 GPS 時間是比較難偽造的那個。

太陽位置與陰影。 陰影的長度與方向，為一個給定的地點編碼了一天中的時間與季節。如果一張照片聲稱是冬天的下午，卻顯示著與夏天正午一致的短而高懸的陰影，那聲稱的日期就與場景不一致。這是一種合理性檢查，而非精確的時鐘，但它能抓出嚴重錯誤的日期。

序列中周圍的照片。 相機與手機會依順序指派檔名與編號（IMG_0412、IMG_0413）。如果問題中的照片帶有的日期打破了它周圍畫面的單調順序，或位於一個鄰居全都與它相隔數月的資料夾中，那這個日期就值得質疑。

檔案系統日期。 作業系統在檔案上的建立與修改時間戳記是脆弱的（它們在複製與下載時會重設），但一個早於聲稱的 DateTimeOriginal 的檔案系統日期，是一個值得再看一眼的矛盾。

為什麼烙印在畫面上的時間戳記更難偽造

EXIF 存在於檔案標頭中，與像素分離，這正是它容易被改寫的原因。一個在拍攝那一刻就烙印進像素的時間戳記則是另一回事。要改變它，有人必須編輯影像本身：把舊的數字塗掉，並渲染出符合原始字型、光線與壓縮的新數字。那會留下 如何判斷一張照片是否被編輯過 中所述的那類痕跡，而在 Photo Forensics 工具 中用 Error Level Analysis 仔細查看，往往能揭露那塊補丁。

這就是為什麼，對於日期之後可能會被質疑的照片來說，最站得住腳的做法是在快門按下時就把日期戳印到影像上拍攝。你可以在拍攝的那一刻 為照片加上時間戳記，這樣日期就同時活在像素與 EXIF 裡。關於法院與理賠人員如何看待這些，請參閱 時間戳記照片是合法證據嗎。

Content credentials

C2PA Content Credentials 在這一切之上加了一層密碼學。越來越多的相機，包括近期的 iPhone 機型，都能附加一份簽署過的拍攝 credential，記錄影像是何時、用什麼裝置製作的。因為這份 manifest 經過簽署，改動記錄的日期會破壞簽章。把檔案丟進 contentcredentials.org/verify，或讀 如何檢查 content credentials (C2PA)，來看看 credential 是否存在且完好。當它存在時，它是可得最有力的日期證據。

誠實的限制

這裡沒有任何方法是保證。EXIF 日期幾秒鐘就能編輯，所以一組看起來乾淨的時間戳記只證明了沒人費心讓它們互相矛盾，而非日期是真的。如果「定位」關閉，GPS 時間可能不存在。Content credentials 是選擇性加入的，而且會在上傳時被許多平台清除，所以它們的缺席什麼也證明不了。一次透過通訊軟體的重新匯出，可能會悄悄地把全部三個 EXIF 日期正規化，並抹除你正在尋找的那些不符之處。可靠的做法是把訊號組合起來：讀取三個時間戳記、交叉比對 GPS 與照片序列、尋找編輯痕跡，並向來源索取原始檔及其 content credentials。把單一個可疑訊號當作調查的理由，而非定論，而對於任何你之後可能需要證明其日期的照片，在拍攝時就戳上日期，這樣證據從一開始就被烤進去了。