Экспертиза цифровых фотографий: происхождение фото, метаданные и признаки изменений
Задача экспертизы цифровых фотографий
На исследование были предоставлены цифровые фотоснимки на отдельном носителе и мобильный телефон Samsung. Перед экспертом поставили вопросы о возможном происхождении фотографий, использовании одного или разных технических средств, применении дополнительного программного обеспечения, дате и времени создания файлов и возможных изменениях после первичной фиксации.
Вопрос о «фотомонтаже» был уточнён в пределах компетенции компьютерно-технического эксперта как исследование файлов на признаки внесения изменений после первичной фиксации. Это ограничение важно: страница не приписывает компьютерно-технической экспертизе вывод фототехнической экспертизы, которого в исходном документе нет.
Объекты и копирование цифровых данных
Информация с предоставленного оптического носителя была скопирована в рабочее хранилище эксперта. Во время копирования были выявлены ошибки чтения, поэтому для полученных данных и для записанной копии отдельно были вычислены контрольные значения MD5 и SHA-256. Дальнейшее исследование проводилось по рабочей копии.
Отдельно исследовалось информационное содержимое мобильного телефона. В его памяти файлов спорных фотоснимков или следов их предыдущего существования не обнаружили. Именно поэтому возможность категорически доказать происхождение файлов непосредственно из памяти конкретного телефона была ограничена.
Сравнение с экспериментальными фотографиями
Чтобы проверить характеристики предоставленного устройства, эксперт сделал им три экспериментальные фотографии и исследовал их метаданные. После этого цифровые характеристики экспериментальных снимков сравнивались с метаданными файлов, предоставленных на отдельном носителе.
В исследуемом наборе содержалось 229 файлов цифровых фотографий; один файл был повреждён и не считывался должным образом. Доступные снимки содержали сведения об одной модели устройства Samsung SM-J320H, одинаковой версии программного обеспечения камеры и типичных для неё размерах изображения. Серийного номера конкретного телефона метаданные фотографий не содержали.
Метаданные фотографий: дата, время и программное обеспечение
Внутренние EXIF-метаданные содержали отметки даты и времени первичной фиксации, а информация, закодированная в именах файлов, согласовывалась с этими значениями. Для основного массива изображений время модификации совпадало со временем создания.
Для отдельных файлов файловые даты отличались. Эксперт связал это с возможным изменением ориентации изображения и каталогизацией. При этом в метаданных не было признаков применения программного обеспечения для редактирования самого содержания фотографий.
Что установил эксперт относительно происхождения и изменений фото
По результатам сравнения установлено, что исследованные фото были изготовлены устройством той же модели и с тем же программным обеспечением, что и предоставленный телефон. Учитывая это, эксперт сформулировал осторожный вывод: вполне вероятно, что снимки могли быть сделаны именно этим устройством, а сам набор фотографий, вероятно, создан одним и тем же мобильным устройством.
Признаков использования графических редакторов в метаданных не выявлено. Признаков изменений содержания изображений после первичной фиксации также не установлено; зафиксированные более поздние изменения отдельных файлов ограничивались возможными операциями ориентации и каталогизации.
Результат экспертизы цифровых фото
Экспертиза цифровых фотографий позволила установить модель и программную среду устройства, с которым согласуются файлы, исследовать время их создания и модификации, оценить признаки редактирования и сформулировать вероятностный вывод об общем происхождении снимков.
Вместе с тем вопрос о происхождении файлов от копий, которые должны были храниться в памяти исследуемого телефона, не был решён из-за отсутствия соответствующих файлов в его запоминающем устройстве. Это показывает, почему для цифровых доказательств важно сохранение первичного носителя и исходных файлов.
Нужна компьютерно-техническая экспертиза?
Отправьте цифровые файлы и опишите задачу — определим возможность исследования метаданных и происхождения изображений.