La data di una foto non e' la data del telefono

Di tutte le contestazioni che una fotografia puo' subire, la retrodatazione e' la piu' frequente e la piu' facile. Non richiede perizie ne' analisi: richiede di far notare che la data la scrive il tuo telefono, e che il tuo telefono lo controlli tu.

Il problema in una riga

Ogni fotografia porta con se' un istante di scatto. Quell'istante viene letto dall'orologio di sistema del dispositivo. E l'orologio di sistema e' un'impostazione modificabile: in tre passaggi si porta il telefono a una data qualsiasi, si scatta, e si ripristina l'ora corrente. Il file risultante e' indistinguibile da uno scattato davvero in quella data.

Una data che ti sei dato da solo non e' un fatto: e' una tua dichiarazione. Il valore probatorio nasce quando l'informazione viene da qualcun altro.

Tre livelli di «data», che non vanno confusi

L'orologio locale

E' l'ora che vedi sul telefono. Utile per te, priva di valore verso terzi, per il motivo detto sopra.

La sincronizzazione NTP

Il Network Time Protocol permette a un dispositivo di chiedere l'ora esatta a server pubblici (LOCUS interroga in cascata time.cloudflare.com, time.google.com, pool.ntp.org). Non e' una certificazione: e' una misura. Il valore sta nel fatto che LOCUS registra sia l'ora NTP sia lo scarto dell'orologio locale: se il telefono era indietro di 4 minuti, resta scritto nel manifest quanto era scollato. E' trasparenza, non prova.

La marca temporale RFC 3161

Qui cambia tutto. Il dispositivo calcola l'impronta del file e invia solo quella a un'autorita' di marcatura temporale (TSA). La TSA restituisce un token firmato che dice, in sostanza: «a quest'ora io ho visto questa impronta».

Due conseguenze pratiche, entrambe importanti:

• La riservatezza e' salva. La TSA riceve una stringa, non un'immagine. Non sa cosa hai fotografato, e non potrebbe dirlo nemmeno volendo.
• La marca prova l'anteriorita', non il contenuto. Dice che quel file esisteva gia'. Non dice che rappresenti la verita'. E' un limite reale, e va conosciuto invece che nascosto.

Marca ordinaria e marca qualificata: la differenza

Non tutte le marche temporali sono uguali, e la distinzione conta.

Una marca RFC 3161 ordinaria, come quelle emesse da autorita' pubbliche quali Sectigo, DigiCert o GlobalSign, e' tecnicamente solida e verificabile da chiunque con la CA pubblica dell'emittente. E' cio' che LOCUS applica di default, interrogando piu' autorita' su giurisdizioni diverse.

Una marca qualificata ai sensi del Regolamento eIDAS (UE) 910/2014, emessa da un prestatore di servizi fiduciari qualificato (QTSP), e' un'altra cosa sul piano giuridico: l'art. 41 le riconosce la presunzione di accuratezza della data e dell'ora che indica e di integrita' dei dati ai quali tali data e ora sono associate. In pratica, l'onere si sposta: non devi dimostrare che la data e' giusta, e' chi contesta a dover dimostrare il contrario. In LOCUS questa opzione e' disponibile su richiesta tramite un QTSP italiano (InfoCert) e consuma slot aggiuntivi.

Attenzione a una imprecisione diffusa: «accreditata» non e' sinonimo di «qualificata». Una TSA pubblica affidabile non e' automaticamente un QTSP eIDAS. Se ti serve la presunzione dell'art. 41, serve la marca qualificata.

Perche' LOCUS marca due volte

Ogni acquisizione riceve due marche temporali distinte. La prima sul media: fissa nel tempo la fotografia, il video o l'audio. La seconda sull'elenco firmato di tutti i file di servizio del pacchetto: fissa nel tempo l'intero fascicolo sigillato, non solo il contenuto.

La differenza si vede quando qualcuno prova a rimaneggiare il pacchetto: aggiungere un file, sostituire un documento accessorio, togliere un allegato scomodo. Con la sola marca sul media quelle manipolazioni non lascerebbero traccia. Con la seconda marca, si', e sono immediatamente evidenti.

Che cosa serve per verificarlo

Una marca RFC 3161 si verifica con OpenSSL, uno strumento standard che non ha niente a che vedere con noi:

openssl ts -verify -data data/media.jpg -in data/tsa.tsr -CAfile tsa-ca.pem

Il bundle LOCUS include i certificati delle autorita' emittenti (tsa-ca.pem), quindi la verifica funziona anche senza connessione. E' il senso della cosa: chi controlla non deve dipendere ne' dal nostro sito ne' dal nostro software. Su macOS attenzione a un dettaglio noto: l'OpenSSL di sistema e' in realta' LibreSSL, che non implementa il sottocomando ts — serve OpenSSL vero.

Il limite da tenere presente

La marca temporale risolve la domanda «quando?» e la risolve bene. Non risolve la domanda «e' vero?». Certifica che una certa impronta esisteva a un certo istante; il fatto che l'immagine corrispondente rappresenti fedelmente la realta' e' un'altra questione, che dipende dal contesto e da chi ha operato.

Serve anche sapere che marcare richiede connessione: senza rete non e' possibile interrogare la TSA, e per questo LOCUS non consente di acquisire offline. La verifica, invece, funziona perfettamente anche a dispositivo isolato.

Continua con che cosa serve perche' una foto regga oppure vedi come si valida un bundle passo passo.