Кейс. Вывод экспертов: как минимум, в фото, выложенном в блоге Навального, были изменены метаданные.

[yushchuk]

Пост Александра Кузина "Немного о том, как можно манипулировать метаданными фотографии", вызвал живой интерес не только среди блогеров, но и среди специалистов по работе с изображениями, в том числе - криминалистов.

Обсуждался вопрос - какое же фото было выложено в блоге известного блогера Навального - оригинальное, или подвергавшееся корректировке? На основании фотоснимка, могли предъявляться претензии, как минимум, этического характера, в связи с резонансным судебным иском. Поэтому вопрос приобретал дополнительное звучание.

Ннекоторая дискуссия, по поводу этого снимка, завязалась и на форуме МВД.

В результате, к обсуждению подключился авторитетный специалист по компьютерной криминалистике Денис aka Dec Анисимов.

С его разрешения, публикую результат исследования фото, размещенного в блоге Навального в качестве оригинала.

В тексте использованы обозначения:
Фото с блога Навального - "Фото Навального", фото, сделанное Nokia 6700 - "Оригинальное фото".

Далее - цитата.

Образцов "Оригинального фото" есть великое множество в сети Internet, просмотренное кол-во содержат одинаково хранящуюся метаинформацию.

1) Оригинальное фото не содержат JFIF-сегмент, фото Навального содержит - следовательно, даже если фото Навального было сделано Nokia 6700, позднее оно было открыто в какой либо программе и сохранено с JFIF-сегмент.

2) Разный список тегов Exif-сегментов в Оригинальном фото и фото Навального:

Фото Навального:
IFD0
  Make
  Model
  Software
  YCbCr
  ExifOffset
    IFD0
      Exif version
      DateTime creation
      DateTime digitized
      Component configuration
      Maker note
      FlashPix version
      Color space
      Pixel X Dimension
      Pixel Y Dimension
      Custom rendered
      Exposure mode
      White balance
      Digital zoom ratio
      Scene capture type
      OffsetSchema

Оригинальное фото:
IFD0
  Make
  Model
  Orientation
  X resolution
  Y resolution
  Resolution unit
  Software
  YCbCr positioning
  ExifOffset
    IFD0
      Exif version
      Component configuration
      FlashPix version
      Color space
      Pixel X Dimension
      Pixel Y Dimension
      Custom rendered
      Exposure mode
      White balance
      Scene capture type
      Digital zoom ratio
      Maker note
      DateTime creation
      DateTime digitized
IFD1
  Compression
  X resolution
  Y resolution
  Resolution unit
  ThumbnailOffset
  ThumbnailLength

Как видно, Nokia 6700 записывает в jpg-файл гораздо большее количество тегов. Следовательно, даже если фото Навального было сделано Nokia 6700, позднее оно было открыто в какой либо программе и сохранено, при этом программа не сохранила часть тегов.

2) Оригинальное фото содержит тег MakerNote с размером 30128 байт, фото Навального содержит тег MakerNote с размером 7 байт. Следовательно, даже если фото Навального было сделано Nokia 6700, позднее оно было открыто в какой либо программе и сохранено, при этом программа обрезала тег MakerNote.

3) Отсутствует второй IFD с эскизом. Следовательно, даже если...

4) В первом IFD есть тег OffsetSchema - который является "изобретением"
MicroSoft, а не Nokia. Следовательно, даже если...

Вывод: как минимум в фото, выложенном в блоге Навального, изменены метаданные оригинального фото.