Потому что метаданные — отдельный контейнер, который едет рядом с пикселями, а не внутри них. Описание формата Библиотеки Конгресса США для Exif, то есть Exchangeable Image File Format, фиксирует, что сжатые файлы Exif — это базовый JPEG, метаданные которого лежат в сегментах маркеров приложения APP1 и APP2, что описанная версия — JEITA CP-3451 от апреля 2002 года, и что JEITA вместе с CIPA ведут стандарт совместно с 2009 года. Эти сегменты — обычные байты. Любой редактор метаданных перепишет в них дату или координаты, не тронув ни одного пикселя, а большинство мессенджеров просто удаляют их при повторном сжатии картинки. Метаданные — удобство для разбора галереи, а не доказательство. Tickfield Inspection Checklist бесплатно в App Store.

Он сводит весь файл к одному короткому числу, которое не выживает ни при одной правке. Описание приложения в App Store само называет пару файлов, которую оно пишет при съёмке:

Стандарт FIPS 180-4 института NIST задаёт семь алгоритмов безопасного хеширования (SHA-1, SHA-224, SHA-256, SHA-384, SHA-512, SHA-512/224 и SHA-512/256), чьи хеши имеют длину от 160 до 512 бит, и прямо говорит, что хеши существуют, чтобы обнаружить, изменились ли сообщения с момента их создания. SHA-256 даёт 256 бит, записанных 64 шестнадцатеричными знаками. Сожмите снимок заново, обрежьте угол или смените один пиксель — и эти 64 знака станут другими. Чего хеш не умеет, так это поручиться за сцену: он доказывает, что файл — это тот самый файл, и ничего о том, куда смотрел объектив.

Из часов устройства, а это утверждение, а не сертификат. Телефоны обычно держат эти часы близко к реальному времени через сеть: RFC 5905, спецификация четвёртой версии Network Time Protocol от июня 2010 года, сообщает, что клиенты остаются в пределах нескольких десятков миллисекунд при интервалах опроса до 36 часов и в пределах нескольких сотен микросекунд в быстрой локальной сети. Ничего из этого в снимок не попадает: камера пишет то, что сказали часы, включая часы, выставленные вручную. Более сильная конструкция старше. RFC 3161 от августа 2001 года описывает службу штампов времени, которая подписывает хеш вашего файла своими доверенными часами, а её запрос несёт только этот хеш, так что сама картинка никогда не уходит с телефона.

Меньше от устройства, чем принято думать, и больше от процедуры. Правило 901 американских Федеральных правил о доказательствах перечисляет десять примеров достаточного удостоверения, и девятый назван Доказательство о процессе или системе: доказательство, которое описывает процесс или систему и показывает, что они дают верный результат. Правило 902 идёт дальше в четырнадцатом пункте — Удостоверенные данные, скопированные с электронного устройства, носителя или файла, — которые удостоверяют себя сами, если были подтверждены процессом цифровой идентификации и это заверил квалифицированный человек. Хеш и есть такая цифровая идентификация. Это не юридическая консультация, и другие правопорядки формулируют иначе, но форма одна: опишите метод, затем покажите, что он работает.

Шесть шагов в таком порядке. Переведите телефон на сетевое время до первого снимка, потому что пометка наследует то, что говорят часы. Снимайте камерой, которая впечатывает в пиксели дату, время с часовым поясом, координаты и точность определения. Сохраняйте нетронутый оригинал каждого кадра. Считайте хеш обоих файлов при съёмке, а не потом. Выносите хеши с телефона в тот же день — в отчёте или письмом самому себе, чтобы существовала вторая копия. Выгружайте PDF вместо отправки картинки через мессенджер, который пережимает её и ломает хеш. Tickfield сам выполняет первые четыре шага.

Когда вопрос в том, что произошло, а не когда и где. Пометка и хеш привязывают к файлу время и место; ни то, ни другое не показывает, что в кадре именно то, о чём вы говорите. Описание самого приложения прямо об этом пишет: это инструмент документирования, и его чек-листы не заменяют предписанную законом проверку. Там, где будут атаковать сами часы, берите службу по RFC 3161, а не пометку устройства. И при 0 оценок пока нет никакого пользовательского опыта, на который можно опереться.