Metadati EXIF: cosa provano davvero

Quando si discute dell'autenticita' di una fotografia, i metadati EXIF sono la prima cosa che tutti guardano. Ed e' giusto guardarli. Il problema nasce quando si scambia quello sguardo per una verifica: gli EXIF sono testo, e il testo si riscrive.

Che cosa sono

EXIF (Exchangeable image file format, standard JEITA, oggi alla versione 2.32) e' il blocco di informazioni che la fotocamera inserisce dentro il file immagine. Contiene tipicamente marca e modello, data e ora dello scatto, parametri di esposizione, orientamento, e — se la geolocalizzazione e' attiva — le coordinate GPS.

Sono informazioni preziose. Raccontano una storia coerente e, nella stragrande maggioranza dei casi, vera. Il punto e' un altro: la loro veridicita' non e' garantita da nulla.

Perche' non sono una prova

Esistono strumenti gratuiti e diffusissimi che permettono di leggere e riscrivere qualunque campo EXIF: data di scatto, modello della fotocamera, coordinate. Non serve competenza particolare e non resta traccia dell'operazione nel file.

Questo significa che, davanti a una contestazione, l'argomento «gli EXIF dicono che la foto e' del 3 marzo» ha esattamente la stessa forza di «io dico che la foto e' del 3 marzo». Perche' e' la stessa affermazione: l'hai scritta tu, o l'ha scritta un dispositivo che controlli tu.

Gli EXIF sono un ottimo indizio e una pessima garanzia. Servono a ricostruire, non a dimostrare.

C'e' di peggio: spesso spariscono

Il secondo problema e' opposto al primo. I metadati non solo si falsificano: si perdono, e continuamente, senza che nessuno lo faccia apposta.

• Le piattaforme di messaggistica e i social ricomprimono le immagini e rimuovono gran parte degli EXIF. Una foto inviata via chat arriva quasi sempre senza coordinate e spesso senza data originale.
• Screenshot e ritagli generano un file nuovo, con i metadati del momento in cui hai premuto il tasto — non di quando la scena e' stata ripresa.
• Le esportazioni e i backup possono normalizzare o azzerare i campi.

Il risultato pratico e' paradossale: proprio la foto piu' importante, quella girata via chat e ritrovata mesi dopo, e' anche quella con meno metadati residui.

A cosa servono, allora

Non vanno buttati. Vanno collocati al posto giusto: sono elementi di coerenza, non di garanzia.

Se una foto dichiara un certo modello di fotocamera, un certo istante e certe coordinate, e tutto questo concorda con il resto delle informazioni disponibili, la ricostruzione si rafforza. Se invece un dato stona — coordinate incompatibili con il luogo, un orario che non torna con la luce della scena, un modello di dispositivo diverso da quello dichiarato — quella e' un'anomalia da spiegare.

Gli EXIF, insomma, servono benissimo a far crollare una ricostruzione falsa. Servono molto poco a reggerne una vera.

Come li tratta LOCUS

La scelta di LOCUS e' conservativa e dichiarata: i metadati originali della fotocamera non vengono toccati. Marca, modello e data originale restano esattamente come li ha scritti il dispositivo. LOCUS aggiunge soltanto due campi — Software e UserComment — senza riscrivere nulla di preesistente.

Il motivo e' semplice: un sistema forense non deve migliorare i dati, deve preservarli e rendere evidente ogni intervento. Inoltre il dump EXIF completo viene incluso nel manifest firmato, quindi i metadati stessi finiscono sotto sigillo: se qualcuno li modifica dopo l'acquisizione, il confronto con la copia firmata lo rivela immediatamente.

Ed e' qui il punto centrale: i metadati non diventano affidabili perche' li abbiamo trattati bene. Diventano verificabili perche' sono ancorati a un'impronta crittografica firmata e marcata temporalmente da un terzo. La garanzia non viene mai dagli EXIF — viene da cio' che li racchiude.

Il GPS merita una nota a parte

Le coordinate nei metadati hanno lo stesso identico problema: si riscrivono. LOCUS registra la posizione in modo piu' articolato — precisione dichiarata, direzione della bussola, e per video e audio un log continuo campionato ogni secondo invece di un punto singolo — e la include nel manifest firmato insieme alla risoluzione dell'indirizzo, con i parametri necessari perche' un verificatore possa ripetere la stessa interrogazione e confrontare il risultato.

Resta comunque un dato dichiarato dal dispositivo. Un log GPS coerente e firmato e' molto piu' difficile da costruire a tavolino di un singolo campo EXIF, ma non e' una prova di posizione in senso stretto: e' documentazione ancorata al sigillo. Chiamarla in altro modo sarebbe disonesto.

Continua con una foto ha valore legale? e la data di una foto. Per il significato dei termini, il glossario.