意想不到的出卖者——元数据

2018年年中的一天，一个律师打来电话，咨询我电子数据鉴定的事情，说要鉴定一个AI文件。刚听到时我懵了一下，人工智能鉴定？但马上反应过来应该是AI格式文件（Adobe Illustrator默认的文件格式）的鉴定。我问对方，是设计图纸吗？对方连连点头，是的是的，是一个商标的设计图。

原来，对方想鉴定一个AI格式文件的创建时间。对方当事人在一个官司中涉及一个商标的纠纷，该当事人声称十年前自己就设计了该商标图，现在想鉴定以证明该事实。经了解，该文件这些年经过多次修改、复制，已经找不到原始设计的版本和当时的电脑。我向对方解释道，这种情况已经无法从文件系统相关痕迹判断文件的创建时间了，但可以尝试一下其他方式，当然，不保证成功，对方表示愿意让我尝试。

我所说的尝试其他方法，是指看元数据中是否有创建时间的相关线索。所谓“元数据”，就是“数据的数据”。例如jpg图片中可能包含拍摄日期、拍摄时的经纬度等信息，Office文档中可能创建者及相关信息，Adobe系列软件创建的文件中一般也包含大量的元数据。

挂完电话，我便下载了Adobe Illustrator试用版，分析了几个AI格式的文件。果然，AI文件中包含文件创建时间、文件修改历史等详细信息。使用Adobe Illustrator打开AI文件后，点击“文件(F)”，然后选择“文件信息(I)...”即可查看这些信息。如下图所示。

经过上述测试，我联系了对方，表示可以尝试从文件中尝试提取文件创建时间，但如果鉴定的话仅能如是描述，无法对文件真实的创建时间下结论。对方表示没问题，只要描述该时间即可，随后发给了我一个AI格式的文件。

使用元数据处理工具ExifTool处理该文件，得到的信息如下图所示。

文件内部记录的创建时间为2008-08-21 00:09:54+08:00，修改时间和元数据时间均为2008-08-21 00:17:39+08:00，记录的修改时间只有一次，亦为2008:08:21 00:09:54+08:00。从数据上看，没什么异常。但潜意识里总觉得好像哪里不对劲。

这个设计图还挺复杂的，但按照元数据中记录的，文件只修改了一次？且创建时间和修改时间仅相差8分钟？当然了，这些都是最基础的的疑问，没有具体证据支撑的只能停留在猜想怀疑阶段。我盯着ExifTool展示的结果，陷入了沉思。

突然，有了新思路。我飞快地打开了浏览器，进入百度，键入了一串字符……之后，我再次拔通了那个律师的电话。你们确定文件是十年前创建的吗？对方非常肯定，说，是的，2008年创建的！于是我告诉对方，这个文件中显示的创建时间确实是2008年，但这个时间是假的。对方听到前半句话的时候很满意，听到后半句话后，非常诧异，沉默了片刻后再三追问我原因。

我说，虽然你们这个文件中记录着文件创建时间为2018年，但文件中同时记录着当时的创建工具是Adobe Illustrator CS5。而Adobe Illustrator CS5在2010年才发布。

后来，该律师放弃了鉴定委托。

其实国外也有类似案例。2017年的巴基斯坦“巴拿马文件泄密案”中，一份2006年2月的文档中使用了Calibri字体。Calibri字体首次出现在2004年的Windows Vista测试版中，首次在2006年5月23日发布的Office 2007的Beta 2版本中可用该字体和其他ClearType字体集最终于2007年1月30日向公众发布。调查人员根据这一发现索确定该文件是伪造的，这一点是案件的关键线索。该案件目前在谷歌中还能搜索到。

这个真实案例并未设计多么复杂的取证原理，但还是让我印象非常深刻。其实这里案例中的判断方法非常常见。真实性判定的鉴定中，大部分鉴定，基本方法都是判断是否存在异常，发现异常下结论非真实，没发现异常根据实际情况下结论未发现异常。