Tänkte skriva en text om ett sätt att avgöra om en bild är en förfalskning eller inte. Ni får gärna fylla i saker som saknas eller rätta felaktigheter.

EXIF
Det första man skall göra är att kolla om fotografens historia stämmer med datat i EXIF. När en bild sparas i kameran så skriver kameran in data om bilden i EXIF. Den skriver bland annat kameramodell, datum, och exponeringsdata så som slutartid,bländare och om blixten tändes. Ett exempel på där storyn inte stämmer med EXIF var två bilder på ett "alien-spöke" spöke på ett fält och samma spöke i ett fönster. (Tråden är nu borttagen). Enligt fotografen var båda bilderna en vecka gamla, men bild ett var tagen på sommaren och bild två på våren. EXIF bekräftade detta.

Granska bilden

Nästa steg är att kontrollera själva bilden. Stämmer perspektiv, avstånd, färger? Ser bilden annorlunda ut just vid spöket? Zooma in och titta på pixlarna. Ser brus och störningar ut på samma sätt vid spöket som på övriga bilden? Leta efter onaturliga kanter runt omkring spöket. En bild kan vara varm eller kall färgtemperatur. En glödlampa ger varmt ljus på bild. Lysrör ger betydligt kallare. Har spöket samma färgtemperatur som övriga bilden? Skillnader i färgtemperatur mellan spöke och omgivning tyder på manipulation.

Bildanalys
Nästa steg är att köra en bildanalys på bilden. Det finns flera program, jag använder jpegsnoop.

Här hittar man en snabbguide.

Vad jpegsnoop gör är att leta efter "taggar" från olika programvaror som använts manipulera bilden. Man skall komma ihåg att det finns massor med sätt att skapa en falsk bild. Photoshop och andra bildbehandlingsprogram är ett sätt. Många kameramobiler har inbyggda funktioner för att enkelt lägga till snygga spöken i bilder:
ex1, ex2.

Det finns en uppsjö av siter där du editerar online, tex picnik.com, fotoflexer.com, snipshot.com, pixlr.com. Här är två förfalskningar från picnik som lades upp på spökbilder.

Alla programvaror avslöjar sig i taggar i jpeg-filerna och där kommer Jpegsnoop in. Jpegsnoop letar signaturer i bildfilen och jämför funna signaturer med en egen databas av kända programvaror. Nackdelen här är att om databasen inte är uppdaterad med det program som använts blir resultatet "inconclusive" dvs jpegsnoop kan ej avgöra om signaturen är från kameran eller från ett bildbehandlingsprogram. Här är en fallgrop, många minskar ner bildernas storlek innan de laddar upp på spökbilder, eller markerar intressanta områden. Då skriver man in signaturer i filen som trots att bilden är äkta. Därför skall man alltid begära att fotografen laddar upp originalbilden med EXIF. Vill inte fotografen göra det kan man ana ugglor i mossen och sluta lägga tid på bilden.

Här är ett exempel på en bild som jag tagit med en systemkamera och sparat i RAW-format, redigerat i Photoshop CS3 och sparat i jpeg-format. Till sist har jag minskat storleken på bilden en bildvisare som heter Irfanview.

Jpeg snoop hittar följande i EXIF:

*** Marker: APP1 (xFFE1) *** OFFSET: 0x00000014 length = 3041 Identifier = [Exif] Identifier TIFF = 0x[49492A00 08000000] Endian = Intel (little) TAG Mark x002A = 0x002A

EXIF IFD0 @ Absolute 0x00000026 Dir Length = 0x0009 [Make ] = "Canon" [Model ] = "Canon EOS-1D Mark III" [Orientation ] = Row 0: top, Col 0: left [XResolution ] = 300/1 [YResolution ] = 300/1 [ResolutionUnit ] = Inch [Software ] = "Adobe Photoshop CS3 Windows" [DateTime ] = "2009:11:15 22:04:23" [ExifOffset ] = @ 0x00D0 Offset to Next IFD = 0x0000028C

Notera att Photoshop CS3 skriver i Software-fältet, men långt ifrån alla program gör det.

Sen hittar jpegsnoop detta:

*** Marker: APP13 (xFFED) *** OFFSET: 0x00000BF7 length = 3888 Identifier = [Photoshop 3.0] 8BIM: [0x0404] Name=[] Len=[0x0007] IPTC [0x1C02:000] Record Version = [0x1FEA] 8BIM: [0x0425] Name=[] Len=[0x0010] 8BIM: [0x042F] Name=[] Len=[0x004A] 8BIM: [0x03ED] Name=[] Len=[0x0010] 8BIM: [0x0426] Name=[] Len=[0x000E] 8BIM: [0x040D] Name=[] Len=[0x0004] 8BIM: [0x0419] Name=[] Len=[0x0004] 8BIM: [0x03F3] Name=[] Len=[0x0009] 8BIM: [0x040A] Name=[] Len=[0x0001] 8BIM: [0x2710] Name=[] Len=[0x000A] 8BIM: [0x03F5] Name=[] Len=[0x0048] 8BIM: [0x03F8] Name=[] Len=[0x0070] 8BIM: [0x0408] Name=[] Len=[0x0010] 8BIM: [0x041E] Name=[] Len=[0x0004] 8BIM: [0x041A] Name=[] Len=[0x034B] 8BIM: [0x0428] Name=[] Len=[0x000C] 8BIM: [0x0414] Name=[] Len=[0x0004] 8BIM: [0x040C] Name=[] Len=[0x090B] 8BIM: [0x0421] Name=[] Len=[0x0055] 8BIM: [0x0406] Name=[] Len=[0x0007] Photoshop Save As Quality = [12] Photoshop Save Format = [Standard]

Åter igen avslöjar sig Photoshop genom att skriva metadata i olika segment i filen. Jag vet dock ej varför det står 3.0 istället för CS3.

Nästa intressanta sak är "embedded thumbnails":

*** Embedded JPEG Thumbnail *** Offset: 0x00000308 Length: 0x000008EF (2287)

* Embedded Thumb Marker: SOI

* Embedded Thumb Marker: APP0 Length = 16

* Embedded Thumb Marker: APP13 Length = 12

* Embedded Thumb Marker: APP14 Length = 14

* Embedded Thumb Marker: DQT Length = 132 ---- Precision=0 bits Destination ID=0 (Luminance) DQT, Row #0: 12 8 8 12 17 21 24 17 DQT, Row #1: 8 9 9 11 15 19 12 12 DQT, Row #2: 8 9 10 12 19 12 12 12 DQT, Row #3: 12 11 12 21 12 12 12 12 DQT, Row #4: 17 15 19 12 12 12 12 12 DQT, Row #5: 21 19 12 12 12 12 12 12 DQT, Row #6: 24 12 12 12 12 12 12 12 DQT, Row #7: 17 12 12 12 12 12 12 12 ---- Precision=0 bits Destination ID=1 (Chrominance) DQT, Row #0: 13 11 13 16 20 20 17 17 DQT, Row #1: 11 14 14 14 14 12 12 12 DQT, Row #2: 13 14 14 14 12 12 12 12 DQT, Row #3: 16 14 14 12 12 12 12 12 DQT, Row #4: 20 14 12 12 12 12 12 12 DQT, Row #5: 20 12 12 12 12 12 12 12 DQT, Row #6: 17 12 12 12 12 12 12 12 DQT, Row #7: 17 12 12 12 12 12 12 12

* Embedded Thumb Marker: SOF Frame header length = 17 Precision = 8 Number OF Lines = 107 Samples per Line = 160 Image Size = 160 x 107

* Embedded Thumb Marker: DRI Length = 4

* Embedded Thumb Marker: DHT Length = 319

* Embedded Thumb Marker: SOS Skipping scan data Skipped 1747 bytes

* Embedded Thumb Marker: EOI

* Embedded Thumb Signature: 01C2DDA29A1B5DCCD5E217CF9C558A62

Faktum är att i jpeg-formatet ligger tumnaglar sparade från olika versioner av filen och jpegsnoop kan visa dessa. Har du tur kan du på tumnaglarna se att bilden har editerats mellan den har sparats. Bläddra mellan de olika tumnaglarna gör du i översta menyn.

Till sist presenterar Jpegsnoop matchningar på funna signaturer i databasen:

*** Searching Compression Signatures ***

Signature: 01BBB1709AC9C1F89220D955A31A8F34 Signature (Rotated): 01BBB1709AC9C1F89220D955A31A8F34 File Offset: 0 bytes Chroma subsampling: 2x2 EXIF Make/Model: OK [Canon] [Canon EOS-1D Mark III] EXIF Makernotes: NONE EXIF Software: OK [Adobe Photoshop CS3 Windows]

Searching Compression Signatures: (3327 built-in, 1 user(*) )

EXIF.Make / Software EXIF.Model Quality Subsamp Match? ------------------------- ----------------------------------- ---------------- -------------- CAM:[CASIO COMPUTER CO.,LTD ] [EX-Z750 ] [ ] Yes CAM:[CASIO COMPUTER CO.,LTD. ] [EX-Z1000 ] [ ] Yes CAM:[PENTAX ] [PENTAX Optio S5i ] [ ] Yes CAM:[SIGMA ] [SIGMA SD9 ] [ ] Yes SW :[ACDSee ] [100 ] SW :[Apple ImageIO.framework ] [100 (Best) ] SW :[Digital Photo Professiona] [10 ] SW :[IJG Library ] [100 ] SW :[MS Office Pic Mgr ] [ ] SW :[Nikon Scan ] [Excellent Qualit] SW :[Picasa ] [100 (Maximum) ] SW :[ZoomBrowser EX ] [highest ] SW :[EOS Viewer Utility ] [ ]

The following IJG-based editors also match this signature: SW :[GIMP ] [100 ] SW :[IrfanView ] [100 ] SW :[idImager ] [100 ] SW :[FastStone Image Viewer ] [100 ] SW :[NeatImage ] [100 ] SW :[Paint.NET ] [100 ] SW :[Photomatix ] [100 ] SW :[XnView ] [100 ]

NOTE: Photoshop IRB detected NOTE: EXIF Software field recognized as from editor Based on the analysis OF compression characteristics and EXIF metadata:

ASSESSMENT: Class 1 - Image is processed/edited

Här listas en rad kameror som vars signaturer matchar signaturer funna i filen(men vi vet ju från EXIF vilken kamera det är). Jpegsnoop listar också ett antal mjukvaror som matchar funna signaturer, och i listan ser vi Irfanview som jag använde sista gången filen sparades. Den här filen har sparats flera gånger och i olika program, så det finns flera signaturer som matchar. Normalt är Jpegsnoop mer precist än så här.

Jpegsnoop gör slutsatsen: "Class 1 - Image is processed/edited". Vilket också stämmer.

Lycka till!

Capo