Cosa sono davvero i metadati?
Quando si parla di metadati di foto e video ci si riferisce all’insieme di informazioni tecniche incorporate all’interno di un file multimediale. Sono dati che descrivono altri dati: non il contenuto visivo o sonoro in sé, ma le condizioni in cui quel contenuto è stato creato, modificato o salvato.
Nel caso delle immagini digitali, i metadati più noti sono quelli EXIF (Exchangeable Image File Format), mentre nei video le informazioni sono distribuite tra intestazioni del contenitore, codec, parametri di compressione e timestamp interni.
Questi dati non sono visibili a occhio nudo durante la normale visualizzazione del file, ma possono essere estratti e analizzati tramite strumenti specifici.
In ambito forense, i metadati rappresentano spesso il primo livello di analisi tecnica.
Cosa possono rivelare i metadati di una foto?
I metadati di una fotografia possono contenere informazioni come:
- data e ora di scatto
- modello del dispositivo
- impostazioni tecniche (ISO, apertura, tempo di esposizione)
- coordinate GPS, se attive
- software utilizzato per eventuali modifiche
Questi elementi possono aiutare a ricostruire il contesto tecnico di creazione dell’immagine.
Ad esempio, la presenza di un determinato modello di smartphone può confermare la compatibilità con altri elementi dell’indagine. Un timestamp coerente con altri eventi documentati può rafforzare una ricostruzione temporale.
Tuttavia, è fondamentale comprendere che i metadati non raccontano automaticamente “la verità”: raccontano la storia tecnica del file nel momento in cui quei dati sono stati scritti.
I metadati nei file video: una struttura più complessa
Nel caso dei video, la situazione è più articolata.
Un file video contiene informazioni relative:
- al contenitore (MP4, MOV, AVI, ecc.)
- al codec utilizzato (H.264, H.265, ecc.)
- al bitrate e ai parametri di compressione
- ai timestamp di creazione e modifica
- talvolta al dispositivo di registrazione
A differenza delle foto, i metadati video sono spesso meno “espliciti” per l’utente medio e più frammentati. Inoltre, molti software di editing riscrivono completamente la struttura del file, modificando profondamente i dati originari.
In ambito forense, l’analisi dei metadati video non si limita all’estrazione superficiale, ma include la lettura della struttura interna e delle intestazioni tecniche.
I limiti dei metadati: perché non bastano da soli
Un errore frequente è attribuire ai metadati un valore probatorio assoluto.
I metadati possono essere:
- modificati manualmente con strumenti specifici
- riscritti automaticamente da software di editing
- eliminati durante la condivisione via app di messaggistica
- alterati da piattaforme social che ricodificano il file
Ad esempio, l’invio di una foto tramite WhatsApp comporta quasi sempre la rimozione o la riscrittura di parte dei metadati originali. Allo stesso modo il caricamento su un social network può generare una nuova versione del file con informazioni diverse rispetto all’originale.
Questo significa che l’assenza di determinati metadati non dimostra necessariamente manipolazione dolosa. Potrebbe essere semplicemente il risultato di un processo tecnico automatico.
Quando i metadati possono essere fuorvianti?
Interpretare i metadati senza una corretta contestualizzazione può portare a conclusioni errate.
Una data incoerente potrebbe derivare da un dispositivo con orologio non aggiornato.
La presenza di un software di editing nei metadati non implica necessariamente alterazione fraudolenta: potrebbe trattarsi di un semplice ritaglio o di un salvataggio automatico.
Allo stesso modo, l’assenza di coordinate GPS non dimostra che una foto non sia stata scattata in un determinato luogo. Molti dispositivi hanno il geotagging disattivato per impostazione predefinita.
Per questo motivo, i metadati devono essere considerati indizi tecnici, non prove definitive.
L’importanza delle verifiche incrociate
In un’analisi forense corretta, i metadati rappresentano solo uno dei livelli di valutazione.
L’analisi può includere:
- studio della struttura del file
- verifica delle ricodifiche
- analisi delle compressioni
- valutazione delle incoerenze visive o temporali
- confronto con altre fonti digitali
È l’insieme coerente di elementi tecnici che consente di formulare conclusioni prudenziali, un singolo dato isolato raramente è sufficiente.
Metadati e catena di custodia
Un altro aspetto spesso sottovalutato è il rapporto tra metadati e conservazione del file.
Se un contenuto multimediale può avere rilevanza legale, è fondamentale evitare:
- inoltri ripetuti
- conversioni di formato
- aperture e salvataggi non necessari
- upload su piattaforme che ricodificano il contenuto
Ogni passaggio può modificare o cancellare informazioni tecniche utili. La corretta gestione iniziale del file è spesso determinante per preservare i metadati originari.
Strumenti di analisi dei metadati
L’esame dei metadati contenuti nei file digitali richiede l’impiego di strumenti software specifici in grado di leggere, estrarre e rappresentare in modo completo le informazioni tecniche incorporate nei file. Tali strumenti consentono di acquisire dati relativi alla struttura del file, ai parametri di codifica, alla cronologia delle modifiche e alle informazioni di origine del contenuto digitale, elementi che assumono rilievo nelle attività di analisi tecnica e forense dei reperti digitali.
Tra gli strumenti maggiormente utilizzati in ambito tecnico e forense si segnalano ExifTool, MediaInfo e Amped Authenticate, ciascuno caratterizzato da specifiche funzionalità di analisi.
ExifTool è un software sviluppato da Phil Harvey ampiamente utilizzato per l’estrazione e la lettura dei metadati EXIF, IPTC e XMP presenti nei file fotografici e, più in generale, in numerosi formati di file digitali. Il programma consente di visualizzare un elevato numero di informazioni tecniche, tra cui data e ora di creazione del file, modello del dispositivo utilizzato per l’acquisizione, parametri di scatto, coordinate GPS, software di modifica e cronologia delle operazioni sul file. In ambito tecnico-forense, ExifTool è frequentemente impiegato per la verifica delle informazioni di origine del file e per l’individuazione di eventuali tracce di elaborazione o modifica del contenuto digitale.
MediaInfo rappresenta uno strumento di analisi particolarmente diffuso per l’esame dei file video e audio. Il software consente di visualizzare in modo dettagliato le informazioni relative alla struttura del contenitore multimediale, ai codec utilizzati, alla risoluzione video, alla frequenza dei fotogrammi, alla durata del file, al bitrate e ai parametri di codifica audio e video. Tali informazioni risultano utili per comprendere le caratteristiche tecniche del file, la modalità di codifica e le eventuali trasformazioni subite nel corso del processo di acquisizione o di successiva elaborazione.
In ambito strettamente forense trova applicazione anche Amped Authenticate, software sviluppato specificamente per l’analisi dell’autenticità delle immagini digitali. Il programma integra numerosi strumenti di analisi, tra cui la lettura dei metadati del file, l’analisi della struttura JPEG, la verifica delle tracce di compressione e la rilevazione di possibili manipolazioni digitali. Attraverso tali funzionalità è possibile esaminare la coerenza tecnica del file, individuare eventuali anomalie strutturali e valutare la presenza di interventi di modifica o alterazione dell’immagine.
L’impiego combinato di tali strumenti consente di eseguire una analisi tecnica completa dei metadati e della struttura dei file digitali, fornendo elementi utili alla valutazione della provenienza, integrità e coerenza tecnica del contenuto digitale, nel rispetto dei criteri di riproducibilità e verificabilità propri delle metodologie di analisi forense dei reperti informatici.
