Експертиза цифрових фотографій: походження фото, метадані та ознаки змін
Завдання експертизи цифрових фотографій
На дослідження були надані цифрові фотознімки на окремому носії та мобільний телефон Samsung. Перед експертом поставили питання про можливе походження фотографій, використання одного чи різних технічних засобів, застосування додаткового програмного забезпечення, дату й час створення файлів та можливі зміни після первинної фіксації.
Питання про «фотомонтаж» було уточнено в межах компетенції комп’ютерно-технічного експерта як дослідження файлів на ознаки внесення змін після первинної фіксації. Це обмеження важливе: сторінка не приписує комп’ютерно-технічній експертизі висновок фототехнічної експертизи, якого у вихідному документі немає.
Об’єкти та копіювання цифрових даних
Інформацію з наданого оптичного носія було скопійовано до робочого сховища експерта. Під час копіювання виявилися помилки читання, тому для отриманих даних і для записаної копії були окремо обчислені контрольні MD5 та SHA-256. Подальше дослідження проводилося за робочою копією.
Окремо досліджувався інформаційний вміст мобільного телефону. У його пам’яті файлів спірних фотознімків або слідів їх попереднього існування не виявили. Саме тому можливість категорично довести походження файлів безпосередньо з пам’яті конкретного телефона була обмежена.
Порівняння з експериментальними фотографіями
Щоб перевірити характеристики наданого пристрою, експерт зробив ним три експериментальні фотографії та дослідив їх метадані. Після цього цифрові характеристики експериментальних знімків порівнювалися з метаданими файлів, наданих на окремому носії.
У досліджуваному наборі містилося 229 файлів цифрових фотографій; один файл був пошкоджений і не зчитувався належним чином. Доступні знімки містили відомості про одну модель пристрою Samsung SM-J320H, однакову версію програмного забезпечення камери та типові для неї розміри зображення. Серійного номера конкретного телефона метадані фотографій не містили.
Метадані фотографій: дата, час і програмне забезпечення
Внутрішні EXIF-метадані містили позначки дати й часу первинної фіксації, а інформація, закодована в іменах файлів, узгоджувалася з цими значеннями. Для основного масиву зображень час модифікації збігався з часом створення.
Для окремих файлів файлові дати відрізнялися. Експерт пов’язав це з можливою зміною орієнтації зображення та каталогізацією. При цьому в метаданих не було ознак застосування програмного забезпечення для редагування самого змісту фотографій.
Що встановив експерт щодо походження і змін фото
За результатами порівняння встановлено, що досліджені фото були виготовлені пристроєм тієї самої моделі та з таким самим програмним забезпеченням, що й наданий телефон. З огляду на це експерт сформулював обережний висновок: цілком ймовірно, що знімки могли бути зроблені саме цим пристроєм, а сам набір фотографій, ймовірно, створено одним і тим самим мобільним пристроєм.
Ознак використання графічних редакторів у метаданих не виявлено. Ознак змін змісту зображень після первинної фіксації також не встановлено; зафіксовані пізніші зміни окремих файлів обмежувалися можливими операціями орієнтації та каталогізації.
Результат експертизи цифрових фото
Експертиза цифрових фотографій дала змогу встановити модель і програмне середовище пристрою, з яким узгоджуються файли, дослідити час їх створення та модифікації, оцінити ознаки редагування і сформулювати ймовірний висновок про спільне походження знімків.
Водночас питання про походження файлів від копій, які мали б зберігатися у пам’яті досліджуваного телефона, не було вирішено через відсутність відповідних файлів у його запам’ятовуючому пристрої. Це демонструє, чому для цифрових доказів важливе збереження первинного носія та вихідних файлів.
Потрібна комп’ютерно-технічна експертиза?
Надішліть цифрові файли та опишіть завдання — визначимо можливість дослідження метаданих і походження зображень.