Capitolo 26 · Video forensics, codec e frame timing

Autenticità video: frame, codec, tagli e montaggi

Guida operativa all’analisi forense dei video: frame, codec, timing, tagli, montaggi, ricodifiche e sincronizzazione audio per perizie a Roma.

Dott. Marcello Quaranta · Studio Quaranta Digital Forensics · Aggiornato il 14 luglio 2026

Richiedi una valutazione preliminare Indice del manuale

Dati rapidi

Ambito: autenticità video, frame timing, codec, tagli, montaggi e ricodifiche
Area: Roma e Lazio
Fonti: video, smartphone, DVR/NVR, chat, cloud, metadati, frame, pacchetti, audio e log
Output: hash, report tecnici, framehash, timeline, matrice delle ipotesi e relazione

← Capitolo 25 Indice manuale Capitolo 27 →

Introduzione

Un video digitale non è una semplice sequenza di fotografie.

È un oggetto multimediale che può contenere:

uno o più flussi video;
uno o più flussi audio;
sottotitoli;
timecode;
metadati;
capitoli;
miniature;
tracce GPS;
informazioni di orientamento;
dati relativi alla stabilizzazione;
manifesti di provenienza;
tabelle temporali necessarie alla riproduzione.

Il video può essere stato prodotto da:

smartphone;
telecamera di videosorveglianza;
dashcam;
bodycam;
webcam;
sistema di videoconferenza;
registratore professionale;
drone;
fotocamera;
piattaforma social;
software di screen recording;
sistema industriale;
applicazione di messaggistica.

La stessa ripresa può poi essere:

esportata;
inoltrata;
ricodificata;
ritagliata;
ruotata;
stabilizzata;
rallentata;
accelerata;
privata dell’audio;
sovrapposta a testi o loghi;
concatenata con altre sequenze;
registrata nuovamente dallo schermo;
pubblicata su una piattaforma;
scaricata in una versione ridotta.

Quando un cliente di Roma domanda:

«Questo video è autentico?»

la domanda deve essere precisata.

Il termine “autentico” può significare:

il file proviene effettivamente dal dispositivo indicato;
il file è la prima versione prodotta dalla telecamera;
il contenuto non è stato ricodificato;
non sono stati eliminati o aggiunti frame;
la velocità di riproduzione non è stata modificata;
audio e video appartengono alla stessa registrazione;
la scena non è stata montata;
il filmato non contiene immagini sintetiche;
la data dichiarata è coerente;
ciò che viene mostrato corrisponde realmente all’evento descritto.

Questi significati non coincidono.

Un file può essere una ricodifica completa di una ripresa genuina.

Un video può essere tecnicamente continuo ma rappresentare una scena preparata o recitata.

Un filmato può contenere immagini autentiche, ma essere stato accelerato o rallentato.

Una telecamera può non aver registrato alcuni secondi per effetto del rilevamento del movimento, della perdita di pacchetti o della modalità di registrazione.

Un file può contenere frame duplicati senza che sia stato manipolato intenzionalmente.

Una discontinuità audio può dipendere dalla telefonia o dal software di esportazione e non da un taglio.

Le buone pratiche SWGDE distinguono tra:

contestualizzazione, relativa alla storia tecnica e alla provenienza del file;
identificazione della sorgente, relativa al dispositivo o al sistema che può averlo prodotto;
autenticazione del contenuto, relativa a possibili alterazioni delle immagini o della sequenza temporale.

La metodologia necessaria per identificare la sorgente può essere diversa da quella usata per stabilire se il contenuto sia stato modificato. SWGDE raccomanda inoltre l’impiego di più metodi quando possibile e il confronto con video di riferimento prodotti dal dispositivo dichiarato. SWGDE — Best Practices for Digital Video Authentication

Regola fondamentale: l’autenticità video non si determina contando i frame o osservando un singolo metadato: richiede la correlazione tra contenitore, codec, struttura temporale, immagini decodificate, audio, dispositivo, provenienza e contesto.

Sintesi operativa

1. acquisire il video nella forma più vicina possibile all’originale;
2. preservare il dispositivo, la piattaforma o il sistema sorgente;
3. documentare ogni esportazione, inoltro e conversione;
4. calcolare l’hash prima della riproduzione o dell’elaborazione;
5. identificare il formato reale senza fidarsi dell’estensione;
6. distinguere contenitore, codec, stream e metadati;
7. conservare separatamente originale e copie di analisi;
8. acquisire MediaInfo, ExifTool e FFprobe in formato strutturato;
9. estrarre l’elenco dei pacchetti e dei frame;
10. analizzare PTS, DTS, durata e timebase;
11. distinguere frame rate nominale, medio e timing effettivo;
12. verificare se il video sia CFR o VFR;
13. analizzare GOP, I-frame, P-frame e B-frame;
14. non confondere keyframe e punto di montaggio;
15. verificare frame mancanti, duplicati o congelati;
16. analizzare eventuali edit list e offset iniziali;
17. verificare la sincronizzazione audio-video;
18. esaminare scene, dissolvenze, fotogrammi neri e transizioni;
19. cercare ricodifiche globali e modifiche locali;
20. verificare crop, resize, rotazione, stabilizzazione e variazioni di velocità;
21. confrontare eventuali versioni mediante hash e frame decodificati;
22. acquisire registrazioni di riferimento comparabili;
23. valutare metadati e Content Credentials C2PA;
24. correlare il video con chat, email, cloud, smartphone e log;
25. distinguere alterazione tecnica e falsità dell’evento rappresentato;
26. indicare sempre fonti mancanti e ipotesi alternative;
27. formulare conclusioni proporzionate;
28. produrre una relazione tecnica riproducibile.

1. Avvertenza preliminare

Le procedure descritte devono essere utilizzate esclusivamente:

su video propri;
su file consegnati dal legittimo titolare;
nell’ambito di un incarico professionale;
su dispositivi e sistemi amministrati lecitamente;
per attività difensive, aziendali o peritali;
su copie di lavoro;
nel rispetto della riservatezza;
con un quesito tecnico definito.

Non è lecito utilizzare queste procedure per:

accedere a telecamere di terzi;
superare password o autenticazioni;
collegarsi a DVR o NVR senza autorizzazione;
installare software di acquisizione occulto;
intercettare flussi video;
modificare il reperto originale;
diffondere immagini private;
utilizzare token o sessioni sottratte;
ricostruire dati di terzi oltre il perimetro dell’incarico;
accedere a cloud o social personali senza titolo.

Il video può rappresentare:

minori;
abitazioni;
luoghi di cura;
incidenti;
dati biometrici;
targhe;
documenti;
schermi;
persone estranee al procedimento.

Il perito deve quindi valutare:

minimizzazione;
oscuramento nelle copie destinate alla diffusione;
accessi agli allegati;
cifratura;
periodo di conservazione;
necessità di includere l’intero filmato.

Le regole deontologiche per le investigazioni difensive e la tutela di un diritto si applicano anche ai professionisti che trattano dati personali su incarico per tali finalità. Garante privacy — Regole deontologiche

2. Inquadramento probatorio essenziale

L’articolo 2712 del codice civile include le riproduzioni fotografiche, informatiche e cinematografiche tra le rappresentazioni meccaniche di fatti e cose, disciplinandone l’efficacia in relazione all’eventuale disconoscimento della conformità. La valutazione processuale concreta compete al legale e al giudice. Codice civile, articolo 2712

La relazione informatico-forense deve distinguere:

integrità del file
≠
provenienza del file
≠
autenticità tecnica del contenuto
≠
completezza della scena
≠
veridicità dell’evento
≠
valore probatorio

Il perito può documentare:

hash;
struttura;
flussi;
frame;
timing;
codec;
ricodifiche;
discontinuità;
metadati;
provenienza.

Non dovrebbe concludere:

«Il video dimostra certamente la responsabilità della persona.»

«Il filmato è valido in giudizio.»

«La scena rappresentata è sicuramente vera.»

3. Che cosa significa autenticità video

Un video è tecnicamente compatibile con la storia dichiarata quando, nei limiti del materiale disponibile:

il contenitore è coerente;
il codec è compatibile col dispositivo o software;
il timing è coerente;
la struttura dei frame non presenta anomalie non spiegate;
i metadati non contraddicono la provenienza;
audio e video risultano coerenti;
non emergono modifiche incompatibili col processo descritto;
eventuali trasformazioni sono spiegate.

3.1 Video camera-original

È la versione prodotta direttamente dal sistema di acquisizione.

Può comunque contenere elaborazioni automatiche:

stabilizzazione;
HDR;
riduzione del rumore;
autofocus;
frame rate variabile;
compressione;
segmentazione;
orientamento logico.

3.2 Video nativo esportato

Un DVR o una piattaforma può produrre un export in formato aperto a partire da un formato proprietario.

L’export può essere utile, ma può:

ricodificare;
modificare i timestamp;
unire segmenti;
aggiungere overlay;
cambiare frame rate;
perdere metadati.

3.3 Video derivato

Può essere:

inviato via chat;
pubblicato su social;
scaricato dal web;
estratto da un video più lungo;
convertito;
registrato dallo schermo.

La sua utilità dipende dal quesito e dalla disponibilità della fonte precedente.

4. Contestualizzazione, sorgente e contenuto

4.1 Contestualizzazione

Risponde a domande come:

quale software ha creato l’attuale file;
quale successione tecnica è plausibile;
il file è stato esportato;
è transitato attraverso una piattaforma;
contiene tracce di ricodifica.

4.2 Identificazione della sorgente

Valuta la compatibilità con:

smartphone;
telecamera;
DVR;
NVR;
dashcam;
software;
piattaforma.

È più robusta quando sono disponibili video di riferimento prodotti dallo stesso apparato.

4.3 Autenticazione del contenuto

Valuta:

immagini aggiunte o rimosse;
alterazioni locali;
cambi temporali;
frame mancanti;
variazioni di velocità;
montaggi;
audio sostituito;
overlay.

SWGDE indica che la provenienza, l’identificazione della sorgente e l’autenticazione del contenuto sono risultati differenti e possono richiedere tecniche differenti. SWGDE — Best Practices for Digital Video Authentication

5. Autenticità tecnica e verità della scena

Un video tecnicamente continuo può rappresentare:

una scena recitata;
una simulazione;
un evento preparato;
una prospettiva parziale;
una sequenza priva del contesto precedente;
un’azione provocata.

Un video tecnicamente modificato può invece rappresentare correttamente l’evento essenziale.

Esempio:

un filmato può essere ritagliato per proteggere un minore
senza alterare il fatto principale rappresentato.

La relazione deve evitare:

«Il video è autentico, quindi l’evento è vero.»

Meglio:

«Il file presenta caratteristiche tecniche compatibili con la storia di produzione dichiarata; la valutazione del significato e della veridicità fattuale della scena esula dall’accertamento informatico.»

6. Anatomia di un file video

Un contenitore può includere:

contenitore
├── stream video
├── stream audio
├── sottotitoli
├── timecode
├── capitoli
├── miniature
├── metadati
├── dati GPS
└── informazioni di sincronizzazione

SWGDE descrive il contenitore come la struttura che organizza flussi video, audio, testi, metadati e informazioni necessarie alla riproduzione; il formato di codifica è invece l’algoritmo con cui i campioni vengono rappresentati e compressi. SWGDE — Technical Overview of Digital Video Files

7. Le domande tipiche del cliente

Un cliente di Roma può chiedere:

il video contiene tagli?
mancano alcuni secondi?
è stato accelerato?
è stato rallentato?
sono stati eliminati frame?
il video proviene davvero da quel telefono?
il filmato della telecamera è completo?
l’audio appartiene alla stessa registrazione?
i frame sono duplicati?
il video social è una copia dell’originale?
la data è corretta?
è stato aggiunto un testo?
il video è stato ricodificato?
è un montaggio di due filmati?
è possibile stabilire la velocità di un veicolo?
è presente un deepfake?

Ogni domanda richiede un metodo distinto.

8. Che cosa non deve promettere il perito

Non promettere:

rilevazione di ogni montaggio;
prova certa di autenticità;
datazione assoluta;
identificazione automatica della telecamera;
ricostruzione di frame eliminati;
determinazione certa della velocità dal solo frame rate;
identificazione dell’autore;
esclusione assoluta di modifiche;
rilevazione infallibile dei deepfake;
esito processuale.

Una modifica ben eseguita e successivamente ricodificata può non lasciare indicatori univoci nel file disponibile.

9. Materiale da richiedere

[ ] file più vicino all’originale;
[ ] dispositivo sorgente;
[ ] memoria o supporto;
[ ] DVR/NVR;
[ ] software di esportazione;
[ ] manuale del sistema;
[ ] file proprietario;
[ ] export MP4 o AVI;
[ ] eventuale player proprietario;
[ ] file ricevuto in chat;
[ ] email o cloud;
[ ] versioni alternative;
[ ] video precedente e successivo;
[ ] audio separato;
[ ] registrazioni di riferimento;
[ ] screenshot del contesto;
[ ] descrizione dei punti contestati.

Quando il video proviene da WhatsApp, Telegram o Signal, acquisire anche:

database;
record del messaggio;
ID;
account;
allegato locale;
timestamp;
dispositivo;
backup.

10. Gerarchia orientativa delle fonti

1. file camera-original sul dispositivo sorgente;
2. file proprietario del DVR o NVR;
3. export nativo senza ricodifica;
4. export aperto prodotto dal sistema;
5. file nel cloud originario;
6. allegato conservato nell’app;
7. file inoltrato;
8. file pubblicato su social;
9. video scaricato da una pagina;
10. screen recording;
11. video ripreso da un altro schermo.

La gerarchia deve essere adattata al caso.

Un export proprietario con player e log può contenere più informazioni di un MP4 apparentemente “originale”.

11. Questionario di provenienza

1. Chi ha registrato il video?
2. Con quale dispositivo?
3. Con quale applicazione?
4. Il dispositivo era in modalità automatica?
5. Il filmato è stato interrotto?
6. È stato utilizzato il tasto pausa?
7. È stata attivata la registrazione al movimento?
8. Il file è stato esportato?
9. Quale intervallo è stato selezionato?
10. Il software ha aggiunto data e ora?
11. Il video è stato inviato in chat?
12. È stato pubblicato online?
13. È stato ritagliato o ruotato?
14. È stato rallentato?
15. È stato estratto da una registrazione più lunga?
16. Esistono file immediatamente precedenti e successivi?
17. Esiste il dispositivo?
18. Quale punto viene contestato?
19. Quale fatto dovrebbe essere verificato?
20. Sono già stati utilizzati strumenti di editing?

12. Definire il quesito tecnico

Quesito improprio:

«Dimostrare che il video è falso.»

Quesiti più corretti:

- verificare se il file presenti ricodifiche;
- verificare se manchino frame nella sequenza;
- analizzare il timing dei frame;
- verificare la presenza di segmenti concatenati;
- confrontare due versioni;
- valutare la compatibilità con il dispositivo dichiarato;
- verificare se la velocità di riproduzione sia stata alterata;
- verificare se audio e video appartengano alla stessa sequenza;
- identificare eventuali edit list;
- valutare una transizione specifica;
- verificare se il file sia uno screen recording.

Formula:

«L’accertamento è finalizzato alla valutazione della compatibilità tecnica del video con il processo dichiarato e alla ricerca di eventuali modifiche o discontinuità osservabili.»

13. Cartella del caso

CASO_RM_2026_026/
├── 00_incarico/
├── 01_verbali/
├── 02_originali/
├── 03_hash/
├── 04_copie_analisi/
├── 05_mediainfo/
├── 06_exiftool/
├── 07_ffprobe/
├── 08_packets/
├── 09_frames/
├── 10_keyframes/
├── 11_framehash/
├── 12_scenes/
├── 13_freeze_black/
├── 14_signalstats/
├── 15_audio/
├── 16_c2pa/
├── 17_reference_videos/
├── 18_confronti/
├── 19_timeline/
├── 20_immagini_report/
├── 21_report/
└── 22_relazione/

14. Registro dei reperti

ID	Reperto	Fonte	Formato	Data acquisizione	Hash
VID-001	Video sorgente	smartphone	MOV	data e ora	SHA-256
VID-002	Video ricevuto	WhatsApp	MP4	data e ora	SHA-256
VID-003	Export DVR	sistema proprietario	formato vendor	data e ora	SHA-256
VID-004	Copia analisi	laboratorio	MKV/FFV1	data e ora	SHA-256
VID-005	Frame report	laboratorio	JSON	data e ora	SHA-256

15. Catena di custodia

Per ogni reperto annotare:

- identificativo;
- nome originale;
- dispositivo;
- fonte;
- supporto;
- data e ora;
- fuso;
- soggetto consegnante;
- modalità di trasferimento;
- dimensione;
- hash;
- posizione;
- copie;
- accessi;
- strumenti;
- anomalie.

La procedura generale è descritta nel Capitolo 2 — Catena di custodia, hash e verbale tecnico.

16. Calcolo dell’hash

Windows PowerShell

Get-FileHash -Algorithm SHA256 `
  -LiteralPath ".\video-contestato.mp4"

Linux

sha256sum -- video-contestato.mp4

macOS

shasum -a 256 -- video-contestato.mp4

L’hash del file completo include:

contenitore;
stream;
metadati;
padding;
miniature;
eventuali manifesti.

Due video visivamente identici possono avere hash differenti.

17. Tipi di hash utili

17.1 Hash binario

Identifica l’intero file bit per bit.

17.2 Hash dei pacchetti

Può essere calcolato sul payload codificato dei pacchetti.

17.3 Framehash decodificato

Calcola un hash per ogni frame decodificato secondo parametri definiti.

17.4 Firma percettiva

Cerca somiglianze visive anche dopo:

ricodifica;
resize;
variazioni lievi;
crop limitato.

Non deve essere confusa con un hash crittografico.

FFmpeg supporta output di hash per frame e un filtro signature basato sulla firma video MPEG-7, utile per confronti di similarità o corrispondenza tra segmenti. FFmpeg Filters

18. Identificare il formato reale

Non fidarsi dell’estensione.

Linux e macOS

file --brief -- video.mp4
file --brief --mime-type -- video.mp4
xxd -l 128 -- video.mp4

PowerShell

Format-Hex `
  -LiteralPath ".\video.mp4" `
  -Count 128

FFprobe

ffprobe \
  -v error \
  -show_format \
  -show_streams \
  -of json \
  "video.mp4" \
  > ffprobe-full.json

19. Contenitore, codec ed estensione

Contenitore

Organizza:

tracce;
pacchetti;
timestamp;
indice;
metadati;
sincronizzazione.

Codec

Definisce come le immagini sono codificate e ricostruite.

Estensione

È il suffisso del file:

.mp4
.mov
.avi
.mkv
.webm
.3gp
.mts

La stessa estensione può contenere codec differenti.

20. Contenitori comuni

Estensione	Contenitore	Utilizzo frequente
`.mp4`	ISO Base Media	smartphone, web, social
`.mov`	QuickTime	Apple, camere, editing
`.avi`	RIFF AVI	sistemi Windows, DVR
`.mkv`	Matroska	archiviazione, export
`.webm`	Matroska/WebM	web, VP9, AV1
`.3gp`	ISO BMFF	telefoni
`.mts/.m2ts`	MPEG-TS	videocamere, AVCHD
`.asf/.wmv`	ASF	sistemi Microsoft
proprietario	vendor	videosorveglianza

SWGDE elenca tra i contenitori comuni MP4, MOV, AVI, MKV, 3GP, MPEG-TS e vari formati proprietari, evidenziando che alcuni richiedono player o strumenti specifici per conservare tutte le informazioni disponibili. SWGDE — Technical Overview of Digital Video Files

21. Codec comuni

21.1 H.264 / AVC

Molto diffuso in:

smartphone;
videosorveglianza;
web;
videoconferenza;
broadcasting.

21.2 H.265 / HEVC

Utilizzato per:

4K;
smartphone;
telecamere moderne;
HDR;
videosorveglianza.

La raccomandazione H.265 continua a essere aggiornata; la versione ITU-T in vigore nel 2026 include ulteriori profili e messaggi supplementari. ITU-T H.265

21.3 AV1

Codec aperto sviluppato da AOMedia, impiegato per streaming, contenuti ad alta risoluzione e applicazioni web. AOMedia — AV1

21.4 VP9

Diffuso nel web e nei contenitori WebM e MP4 secondo specifici binding. WebM Project — VP9

21.5 ProRes

Codec intra-frame impiegato in produzione e post-produzione professionale.

21.6 Motion JPEG

Ogni immagine è normalmente compressa come JPEG indipendente.

21.7 Codec proprietari

Frequenti in:

DVR;
NVR;
bodycam;
sistemi industriali;
videosorveglianza.

22. Compressione intra-frame e inter-frame

22.1 Intra-frame

Ogni frame può essere decodificato senza dipendere da immagini vicine.

Esempi frequenti:

Motion JPEG;
alcune varianti ProRes;
FFV1.

22.2 Inter-frame

Alcuni frame dipendono da immagini precedenti o successive.

Esempi:

H.264;
H.265;
VP9;
AV1.

La dipendenza temporale rende necessaria l’analisi di:

GOP;
frame di riferimento;
ordine di decodifica;
ordine di presentazione;
keyframe.

23. Chroma subsampling, pixel format e bit depth

Possibili formati:

yuv420p
yuv422p
yuv444p
yuv420p10le
rgb24

23.1 Chroma subsampling

Riduce la risoluzione delle componenti colore rispetto alla luminanza.

Esempi:

4:2:0;
4:2:2;
4:4:4.

23.2 Bit depth

Può essere:

8 bit;
10 bit;
12 bit;
superiore in workflow professionali.

La conversione tra pixel format può modificare:

colore;
dettaglio;
valori numerici;
hash dei frame;
possibilità di rilevare alterazioni sottili.

24. SDR, HDR e gestione del colore

Un video può contenere:

primarie colore;
transfer characteristics;
matrix coefficients;
range;
metadata HDR;
Dolby Vision;
HDR10.

Un player che interpreta male tali dati può mostrare:

immagini scure;
colori slavati;
contrasti errati.

La diversa visualizzazione non dimostra che i pixel siano stati alterati.

Registrare:

color_space
color_transfer
color_primaries
color_range
chroma_location

25. Progressivo e interlacciato

25.1 Progressivo

Ogni frame rappresenta normalmente un’immagine completa.

25.2 Interlacciato

Ogni quadro può essere composto da due campi acquisiti in momenti differenti.

Possibili conseguenze:

combing;
differenze temporali tra i campi;
frame rate e field rate distinti;
deinterlacciamento del player.

Un artefatto a pettine non dimostra un montaggio.

La creazione di immagini per il report deve documentare se è stato applicato un deinterlacciamento.

26. Che cos’è un frame

Il termine “frame” può indicare:

immagine codificata;
immagine decodificata;
unità presentata;
campo interlacciato;
output duplicato dal player;
frame sintetizzato.

Occorre distinguere:

frame codificato
≠
frame decodificato
≠
frame mostrato
≠
immagine estratta dal player

27. I-frame, P-frame e B-frame

I-frame

Può essere decodificato senza dipendere direttamente da altri frame.

P-frame

Utilizza riferimenti precedenti.

B-frame

Può utilizzare riferimenti precedenti e successivi.

Questa struttura produce una possibile differenza tra:

ordine di memorizzazione;
ordine di decodifica;
ordine di visualizzazione.

28. Group of Pictures

Il GOP è una sequenza organizzata di frame.

Esempio:

I B B P B B P B B I

Analizzare:

lunghezza;
regolarità;
frame I;
frame IDR;
pattern;
eventuali reset;
variazioni locali.

Una variazione del GOP può derivare da:

cambio scena;
encoder adattivo;
segmentazione;
montaggio;
ricodifica;
live streaming.

29. Keyframe non significa automaticamente taglio

Un keyframe può essere inserito:

periodicamente;
a ogni cambio scena;
per consentire il seek;
per esigenze di streaming;
all’inizio di un segmento;
dopo un errore.

Un taglio può cadere:

su un keyframe;
tra frame predittivi;
dopo una ricodifica completa senza lasciare un keyframe anomalo.

La presenza di un I-frame nel punto contestato è un elemento da valutare, non una prova del montaggio.

30. Unità del bitstream

H.264 e H.265

Utilizzano unità NAL che possono contenere:

slice;
parametri;
informazioni supplementari;
delimitatori;
frame codificati.

AV1

Utilizza Open Bitstream Units raggruppate in unità temporali secondo la specifica. AV1 ISO Base Media File Format Binding

VP9

Può utilizzare frame e superframe secondo la propria struttura. VP9 Bitstream and Superframe Specification

L’analisi approfondita del bitstream richiede strumenti e competenze codec-specifiche.

31. Frame rate nominale, medio ed effettivo

Un file può mostrare:

r_frame_rate
avg_frame_rate
time_base
duration
nb_frames

Questi valori non devono essere interpretati come sinonimi.

Frame rate nominale

È un valore dichiarato o derivato dalla struttura.

Frame rate medio

È il rapporto medio tra frame e durata.

Timing effettivo

È determinato dai timestamp di presentazione dei singoli frame.

La domanda corretta non è soltanto:

«Il video è a 30 fps?»

ma:

«Quali intervalli temporali sono assegnati ai singoli frame?»

32. CFR e VFR

Constant Frame Rate

Gli intervalli temporali sono idealmente uniformi.

Variable Frame Rate

La durata dei frame può variare.

È comune in:

smartphone;
screen recording;
videoconferenza;
streaming;
sistemi con carico variabile.

Un video VFR non è automaticamente manipolato.

La conversione VFR → CFR può:

duplicare frame;
eliminare frame;
modificare i timestamp;
alterare la sincronizzazione.

33. Timebase e timescale

Il timebase definisce l’unità utilizzata per rappresentare i timestamp.

Esempio:

time_base = 1/90000

Un timestamp pari a 180000 rappresenta:

180000 × 1/90000 = 2 secondi

Nei contenitori ISO Base Media le informazioni temporali possono essere distribuite in più box e tabelle, tra cui intestazioni del filmato, delle tracce e tabelle campione. SWGDE — Frame Timing Analysis

34. PTS e DTS

Presentation Timestamp

Indica quando il frame deve essere presentato.

Decoding Timestamp

Indica quando deve essere decodificato.

In presenza di B-frame:

ordine di decodifica
≠
ordine di presentazione

Non ordinare i frame esclusivamente in base alla posizione fisica nel file.

35. Best effort timestamp

FFprobe può produrre un timestamp “best effort” per il frame decodificato.

È utile per:

ordinare;
estrarre;
confrontare;
costruire una timeline.

Deve comunque essere verificato rispetto a:

pacchetti;
PTS;
DTS;
timebase;
contenitore;
edit list.

36. Timing in ISO Base Media

Nei file MP4, MOV, 3GP e M4V il timing può essere memorizzato in strutture come:

mvhd
tkhd
mdhd
stts
ctts

La tabella stts descrive il tempo associato ai campioni.

La tabella ctts può rappresentare l’offset tra tempo di decodifica e tempo di composizione.

SWGDE evidenzia che il calcolo del timing richiede la valutazione combinata delle informazioni del contenitore e del bitstream, e che la differenza tra timestamp sequenziali è più informativa della semplice etichetta del frame rate. SWGDE — Frame Timing Analysis

37. Frame timing e file ricodificati

L’analisi temporale finalizzata a ricostruzioni precise dovrebbe privilegiare il file nativo.

SWGDE raccomanda cautela e indica che l’analisi del frame timing non dovrebbe essere basata su video:

transcodificati;
registrati dallo schermo;
privi della provenienza;
elaborati da software esterno al dispositivo originario.

In tali file i timestamp possono essere stati ricostruiti o normalizzati. SWGDE — Frame Timing Analysis

38. Edit list

Un contenitore può includere una edit list per:

introdurre un offset;
omettere una parte iniziale;
sincronizzare tracce;
gestire priming o ritardi;
definire il periodo presentato.

Una edit list non è automaticamente un montaggio fraudolento.

Può essere creata da:

smartphone;
software;
camera;
editor;
conversione.

39. Start time e offset

Un flusso può non iniziare a zero.

Esempio:

start_time = 0.066733

oppure:

primo PTS = 12.400 secondi

Un offset può derivare da:

contenitore;
edit list;
mux;
ritardo audio;
concatenazione;
segmentazione.

Non sottrarre automaticamente lo start time senza conservare il valore originale.

40. Durata

Possibili durate:

durata contenitore;
durata traccia;
durata stream;
ultima presentazione;
somma delle durate frame;
durata dichiarata dal player.

Piccole differenze possono derivare da:

arrotondamento;
timebase;
padding;
edit list;
audio più lungo;
frame finale;
VFR.

Una grande discrepanza richiede approfondimento.

41. Sincronizzazione audio-video

Verificare:

start time;
durata;
PTS;
offset;
eventi visibili e sonori;
lip sync;
impulsi;
battiti;
rumori d’impatto.

Un disallineamento può derivare da:

montaggio;
esportazione;
packet loss;
registrazione multi-dispositivo;
ritardo Bluetooth;
centralino;
concatenazione;
frame rate convertito.

L’analisi della traccia audio deve essere coordinata con il Capitolo 24 — Autenticità audio: tagli, montaggi e ricodifiche.

42. Video da smartphone

Uno smartphone può produrre:

frame rate variabile;
HDR;
stabilizzazione;
rotazione logica;
più microfoni;
HEVC;
H.264;
metadati QuickTime;
geolocalizzazione;
slow motion;
time lapse;
cinematic mode.

42.1 Slow motion

Può contenere:

acquisizione ad alta frequenza;
metadati di riproduzione rallentata;
edit list;
segmenti con velocità diversa.

42.2 Rotazione

Il video può essere memorizzato orizzontalmente e mostrato verticalmente tramite matrice di rotazione.

La rotazione logica non implica alterazione dei pixel.

Approfondimenti:

43. Videosorveglianza DVR e NVR

I sistemi possono utilizzare:

formati proprietari;
codec standard con header proprietari;
timestamp sovrapposti;
registrazione continua;
registrazione al movimento;
segmenti;
canali multipli;
database;
watermark proprietari.

43.1 Acquisire

[ ] supporto originale;
[ ] export proprietario;
[ ] export aperto;
[ ] player;
[ ] log;
[ ] configurazione;
[ ] timezone;
[ ] NTP;
[ ] canale;
[ ] intervallo più ampio.

43.2 Video al movimento

Può contenere:

pre-record;
post-record;
gap;
frame iniziali ripetuti;
cambi di frame rate;
sequenze non continue.

Un gap può essere normale per il sistema.

44. Data e ora sovrapposte

Un timestamp visibile può essere:

inserito dalla telecamera;
aggiunto dall’export;
generato dal player;
prodotto dal DVR;
modificabile;
basato su un orologio errato.

Distinguere:

timestamp visibile
≠
timestamp del contenitore
≠
orologio del sistema
≠
tempo reale dell’evento

Verificare:

NTP;
fuso;
ora legale;
drift;
altri eventi;
registrazioni di riferimento.

45. Dashcam e bodycam

Possono produrre:

segmenti di durata fissa;
file consecutivi;
sovrapposizioni;
gap;
GPS;
accelerometro;
data;
audio;
checksum proprietari.

L’interruzione tra due file può dipendere dalla segmentazione normale.

Acquisire sempre i file precedenti e successivi.

Una piattaforma può:

ridimensionare;
ricodificare;
cambiare codec;
rimuovere metadati;
modificare frame rate;
aggiungere padding;
creare nuove miniature;
limitare l’audio.

Un video social non dovrebbe essere trattato automaticamente come camera-original.

L’acquisizione del contenuto online è descritta nel Capitolo 16 — Acquisizione di pagine web, social e contenuti online.

47. Screen recording

Può registrare:

interfaccia;
notifiche;
audio interno;
microfono;
frame persi;
VFR;
cursore;
touch indicator;
overlay.

Il file documenta ciò che è stato riprodotto sullo schermo.

Non costituisce automaticamente il video sorgente.

48. Remux e transcode

Remux

Cambia il contenitore senza ricodificare lo stream.

Esempio:

H.264 in MP4
→
H.264 in MKV

Transcode

Decodifica e ricodifica il contenuto.

Esempio:

H.264
→
H.265

Un remux produce un hash file differente ma può mantenere lo stesso payload video.

Una transcodifica modifica normalmente i dati codificati e i pixel decodificati possono differire.

49. Metadati video

Possibili famiglie:

QuickTime;
XMP;
EXIF;
GPS;
Matroska tags;
RIFF;
MXF;
C2PA;
dati proprietari.

ExifTool è in grado di leggere metadati da numerosi formati video, audio e immagini. ExifTool

Cercare:

- CreateDate;
- ModifyDate;
- MediaCreateDate;
- TrackCreateDate;
- Software;
- Encoder;
- Model;
- GPS;
- Rotation;
- Handler;
- TimeScale;
- Duration.

I metadati sono trattati in dettaglio nel Capitolo 14 — Metadati, EXIF, XMP, C2PA e provenienza dei file.

50. C2PA e Content Credentials

C2PA può associare al video un manifesto firmato contenente:

provenienza;
azioni;
strumenti;
ingredienti;
origine digitale;
informazioni sull’AI;
hash;
firma.

La specifica C2PA 2.4 supporta l’incorporamento nei formati basati su ISO BMFF e prevede meccanismi specifici anche per video frammentati e live. C2PA Technical Specification 2.4

50.1 Analisi

c2patool \
  "video.mp4" \
  --info \
  > c2pa-info.txt

c2patool \
  "video.mp4" \
  -d \
  > c2pa-detailed.json

50.2 Limiti

C2PA non dimostra automaticamente:

verità della scena;
identità delle persone;
completezza della storia;
assenza di modifiche precedenti;
liceità della registrazione.

L’assenza di C2PA non dimostra manipolazione o origine sintetica.

51. Strumenti principali

51.1 FFmpeg e FFprobe

Per:

stream;
pacchetti;
frame;
timestamp;
estrazioni;
framehash;
scene;
freeze;
black frame;
statistiche;
conversioni controllate.

51.2 MediaInfo

Visualizza:

contenitore;
codec;
profilo;
frame rate;
bit rate;
spazio colore;
chroma subsampling;
bit depth;
scan type;
audio;
metadati. MediaInfo

51.3 ExifTool

Per:

metadati;
QuickTime;
XMP;
GPS;
C2PA;
tag duplicati.

51.4 MediaConch

Può supportare:

controllo di conformità;
report tecnici;
verifica di file audiovisivi;
policy di conservazione. MediaConch

51.5 Strumenti specialistici

Amped FIVE;
DVR Examiner;
Cognitech;
software vendor;
strumenti di bitstream analysis;
editor esadecimale;
Python e OpenCV validati.

L’elenco non costituisce approvazione di uno specifico prodotto.

52. Registrare le versioni

ffmpeg -version
ffprobe -version
mediainfo --Version
exiftool -ver
c2patool -V

Annotare:

Strumento:
Versione:
Sistema operativo:
Librerie:
Decoder:
Hardware acceleration:
Data:

Per analisi riproducibili, evitare di affidare risultati differenti a decoder hardware e software senza documentarlo.

53. Prima estrazione MediaInfo

mediainfo \
  --Output=JSON \
  "video.mp4" \
  > mediainfo.json

mediainfo \
  --Full \
  "video.mp4" \
  > mediainfo-full.txt

Verificare:

- format;
- codec ID;
- duration;
- frame rate;
- frame rate mode;
- width;
- height;
- bit depth;
- color;
- encoded library;
- writing application;
- audio tracks;
- timecode.

54. Prima estrazione FFprobe

ffprobe \
  -v error \
  -show_error \
  -show_format \
  -show_streams \
  -show_chapters \
  -of json \
  "video.mp4" \
  > ffprobe-full.json

FFprobe può mostrare informazioni sul contenitore, sugli stream, sui pacchetti e sui frame e può produrre output strutturato. FFprobe

55. Report selettivo dello stream video

ffprobe \
  -v error \
  -select_streams v:0 \
  -show_entries \
stream=index,codec_name,codec_long_name,profile,level,pix_fmt,width,height,sample_aspect_ratio,display_aspect_ratio,color_range,color_space,color_transfer,color_primaries,chroma_location,field_order,r_frame_rate,avg_frame_rate,time_base,start_time,duration,bit_rate,nb_frames \
  -of json \
  "video.mp4" \
  > video-stream.json

Non assumere che tutti i campi siano presenti o affidabili in ogni formato.

56. Contare frame e pacchetti

ffprobe \
  -v error \
  -select_streams v:0 \
  -count_frames \
  -count_packets \
  -show_entries \
stream=nb_read_frames,nb_read_packets,nb_frames,r_frame_rate,avg_frame_rate,time_base,start_time,duration \
  -of json \
  "video.mp4" \
  > frame-packet-count.json

Il conteggio dei frame decodificati può differire dal campo dichiarato nb_frames.

57. Report dei frame

ffprobe \
  -v error \
  -select_streams v:0 \
  -show_frames \
  -show_entries \
frame=media_type,stream_index,key_frame,pict_type,best_effort_timestamp_time,pts_time,pkt_dts_time,pkt_duration_time,pkt_pos,pkt_size,width,height,pix_fmt,interlaced_frame,top_field_first,repeat_pict,color_range,color_space,color_transfer,color_primaries \
  -of csv=p=0 \
  "video.mp4" \
  > frames.csv

Analizzare:

sequenza;
timestamp;
durata;
tipo;
keyframe;
posizione;
dimensione;
interlacciamento;
ripetizione.

58. Report dei pacchetti

ffprobe \
  -v error \
  -select_streams v:0 \
  -show_packets \
  -show_entries \
packet=pts_time,dts_time,duration_time,pos,size,flags,stream_index \
  -of csv=p=0 \
  "video.mp4" \
  > packets.csv

Può aiutare a individuare:

gap;
timestamp non monotoni;
segmenti;
pacchetti corrotti;
variazioni di struttura.

59. Hash dei payload dei pacchetti

ffprobe \
  -v error \
  -select_streams v:0 \
  -show_packets \
  -show_data_hash sha256 \
  -of json \
  "video.mp4" \
  > packet-hashes.json

FFprobe può calcolare un hash sul payload dei pacchetti mediante -show_data_hash. FFprobe

60. Framehash

ffmpeg \
  -v error \
  -i "video.mp4" \
  -map 0:v:0 \
  -f framehash \
  -hash sha256 \
  "decoded-framehash.txt"

Il risultato dipende da:

decoder;
pixel format;
gestione hardware;
colori;
frame duplicati;
filtri impliciti.

Per confrontare due video utilizzare la stessa versione e gli stessi parametri.

61. Estrarre lo stream senza ricodifica

ffmpeg \
  -v warning \
  -i "video.mp4" \
  -map 0:v:0 \
  -c copy \
  "video-stream.mkv"

L’output cambia contenitore ma può preservare il bitstream.

Registrare:

comando;
stream index;
contenitore;
hash;
eventuali warning.

62. Estrarre H.264 o HEVC elementare

H.264

ffmpeg \
  -v warning \
  -i "video.mp4" \
  -map 0:v:0 \
  -c:v copy \
  -bsf:v h264_mp4toannexb \
  "video.h264"

HEVC

ffmpeg \
  -v warning \
  -i "video.mp4" \
  -map 0:v:0 \
  -c:v copy \
  -bsf:v hevc_mp4toannexb \
  "video.hevc"

L’estrazione elementare può perdere informazioni del contenitore, inclusi timestamp e metadati.

Conservare sempre il file originale.

63. Copia lossless di analisi

Quando necessario:

ffmpeg \
  -v warning \
  -i "video.mp4" \
  -map 0:v:0 \
  -c:v ffv1 \
  -level 3 \
  -g 1 \
  -slicecrc 1 \
  "video-analisi.mkv"

Limiti

file molto grande;
nuovo contenitore;
nuova codifica;
non preserva il bitstream;
utile soltanto come copia di lavoro.

Non sostituisce l’originale.

64. Estrarre tutti i frame

mkdir -p frames

ffmpeg \
  -v warning \
  -i "video.mp4" \
  -map 0:v:0 \
  -fps_mode passthrough \
  "frames/frame-%010d.png"

L’opzione passthrough evita la duplicazione automatica finalizzata ad adattare l’output a un frame rate uniforme. La documentazione FFmpeg raccomanda questa modalità anche nell’estrazione di keyframe. FFmpeg Documentation

Limiti

i PNG sono immagini derivate;
non conservano il bitstream;
il numero sequenziale non rappresenta da solo il tempo;
occorre mantenere la tabella PTS.

65. Estrarre i keyframe

mkdir -p keyframes

ffmpeg \
  -skip_frame nokey \
  -i "video.mp4" \
  -map 0:v:0 \
  -fps_mode passthrough \
  "keyframes/key-%010d.png"

L’estrazione serve a orientare l’analisi.

Non dimostra i punti di montaggio.

66. Estrarre un frame a un timestamp

ffmpeg \
  -ss "00:01:23.456" \
  -i "video.mp4" \
  -map 0:v:0 \
  -frames:v 1 \
  -fps_mode passthrough \
  "frame-01m23s456.png"

Per un’estrazione forense precisa è preferibile correlare l’immagine al PTS reale del frame e non affidarsi esclusivamente al timestamp richiesto.

67. Report `showinfo`

ffmpeg \
  -v info \
  -i "video.mp4" \
  -vf showinfo \
  -f null - \
  2> showinfo.txt

Il filtro showinfo non modifica l’immagine e riporta informazioni per ogni frame, tra cui numero, PTS, pixel format, dimensione e checksum dei piani. FFmpeg Filters

68. Contact sheet

ffmpeg \
  -i "video.mp4" \
  -vf "fps=1/5,scale=320:-1,tile=5x5" \
  -frames:v 1 \
  "contact-sheet.png"

La contact sheet è uno strumento di orientamento.

Non preserva il timing esatto e non sostituisce l’analisi frame-by-frame.

69. Rilevare cambi scena

ffmpeg \
  -i "video.mp4" \
  -vf "select='gt(scene,0.40)',showinfo" \
  -fps_mode passthrough \
  "scene-%06d.png" \
  2> scene-detection.txt

FFmpeg indica valori nell’ordine di 0,3–0,5 come intervallo spesso utile per una prima selezione, ma la soglia deve essere adattata al contenuto. FFmpeg Filters

Un cambio scena rilevato può derivare da:

taglio;
flash;
movimento rapido;
occlusione;
forte variazione di luce.

70. Rilevare video congelato

ffmpeg \
  -hide_banner \
  -i "video.mp4" \
  -vf "freezedetect=n=0.003:d=2" \
  -f null - \
  2> freeze-detection.txt

Il filtro freezedetect confronta la differenza media tra frame e segnala intervalli con variazione inferiore alla soglia per una durata definita. FFmpeg Filters

Un freeze può derivare da:

scena realmente immobile;
telecamera bloccata;
packet loss;
frame ripetuti;
montaggio;
sistema di videosorveglianza.

71. Rilevare intervalli neri

ffmpeg \
  -hide_banner \
  -i "video.mp4" \
  -vf "blackdetect=d=0.50:pic_th=0.98:pix_th=0.10" \
  -an \
  -f null - \
  2> black-detection.txt

Il filtro segnala intervalli quasi completamente neri secondo soglie configurabili e aggiunge metadati ai frame di inizio e fine. FFmpeg Filters

Un frame nero può essere:

transizione;
tappo della lente;
oscuramento reale;
errore;
perdita del segnale;
montaggio.

72. Statistiche per frame con `signalstats`

ffprobe \
  -f lavfi \
  "movie=video.mp4,signalstats" \
  -show_entries \
frame=pts_time:frame_tags=lavfi.signalstats.YMIN,lavfi.signalstats.YMAX,lavfi.signalstats.YAVG,lavfi.signalstats.SATMAX \
  -of csv=p=0 \
  > signalstats.csv

signalstats può produrre misure di luminanza, colore, valori fuori range e altri indicatori per frame. FFmpeg Filters

Variazioni nette possono orientare l’analisi, ma non dimostrano autonomamente un montaggio.

73. Scopi video

Strumenti utili:

histogram;
waveform monitor;
vectorscope;
RGB parade;
false color.

Possono mostrare:

gamma;
colore;
clipping;
range;
cambi di grading;
differenze tra segmenti.

Un cambio di colore può derivare da:

auto white balance;
esposizione;
HDR;
passaggio in un ambiente diverso;
filtro;
montaggio.

74. Continuità visiva

Analizzare:

movimento;
posizione;
illuminazione;
ombre;
riflessi;
messa a fuoco;
rumore;
rolling shutter;
motion blur;
compressione;
stabilizzazione.

Una discontinuità può essere spiegata da:

movimento rapido;
occlusione;
cambio obiettivo;
autofocus;
esposizione automatica;
frame perso;
montaggio.

75. Hard cut

Un hard cut passa direttamente da una scena a un’altra.

Possibili indicatori:

forte differenza tra frame;
reset del GOP;
cambio del rumore;
discontinuità audio;
cambio dei parametri;
keyframe.

Dopo una ricodifica completa, il GOP può essere uniforme anche in presenza di un taglio.

76. Dissolvenza

Una dissolvenza sovrappone gradualmente due scene.

Può produrre:

immagini miste;
variazione graduale;
doppio movimento;
transizione audio;
durata regolare.

Una dissolvenza può essere:

montaggio;
funzione della telecamera;
transizione del software;
effetto della piattaforma.

77. Fade to black

Può derivare da:

chiusura intenzionale;
effetto editoriale;
oscuramento della lente;
variazione dell’esposizione;
perdita di segnale.

Correlare:

andamento della luminanza;
audio;
metadati;
frame;
contesto.

78. Wipe e transizioni grafiche

Una transizione può includere:

scorrimento;
zoom;
rotazione;
maschera;
animazione;
blur.

La presenza evidente dimostra un’elaborazione, ma non chiarisce:

chi l’abbia effettuata;
quale software;
quali parti siano state rimosse;
la finalità.

79. Concatenazione

Due file possono essere uniti mediante:

remux;
concat demuxer;
editor;
ricodifica;
piattaforma.

Possibili indicatori:

cambio codec;
reset timestamp;
cambio GOP;
cambio risoluzione;
cambio audio;
modifica dei metadati;
edit list.

Una ricodifica uniforme può mascherare le differenze strutturali.

80. Eliminazione di frame

Può produrre:

salto temporale;
movimento discontinuo;
variazione del PTS;
GOP ristrutturato;
audio continuo o tagliato;
discontinuità di motion blur.

Dopo ricodifica, i timestamp possono essere rigenerati e apparire regolari.

81. Duplicazione di frame

Può derivare da:

conversione VFR → CFR;
rallentamento;
packet loss concealment;
telecamera;
player;
montaggio;
registrazione dello schermo.

Analizzare:

frame identici;
PTS;
durata;
audio;
pattern;
movimento.

82. Frame persi

Possono dipendere da:

carico del dispositivo;
rete;
memoria;
encoder;
telecamera IP;
registrazione al movimento;
corruzione;
montaggio.

L’assenza di un frame non implica automaticamente eliminazione intenzionale.

83. Variazione della velocità

Un video può essere:

accelerato;
rallentato;
sottoposto a speed ramp;
convertito da slow motion;
interpolato.

Possibili indicatori:

variazione dei PTS;
frame duplicati;
frame eliminati;
audio modificato o assente;
motion blur incoerente;
optical flow.

84. Interpolazione di frame

Software e televisori possono generare frame intermedi.

Il file può contenere frame sintetizzati mediante:

optical flow;
frame interpolation;
AI.

Possibili indicatori:

deformazioni;
ghosting;
bordi instabili;
movimento non coerente;
frame non presenti nella sorgente.

La presenza di frame interpolati non equivale necessariamente a deepfake.

85. Crop e resize

Un crop elimina parti dell’immagine.

Un resize modifica:

risoluzione;
dettaglio;
compressione;
rumore;
bordi.

Cercare:

aspect ratio;
dimensioni;
contenuto mancante;
matrici;
scaling;
black bar.

Un crop può essere legittimo per:

privacy;
composizione;
piattaforma;
adattamento verticale.

86. Rotazione e trasformazioni geometriche

Possibili trasformazioni:

rotazione;
mirror;
flip;
perspective;
lens correction;
rolling shutter correction.

Una rotazione tramite metadati non modifica necessariamente i pixel.

Una rotazione mediante ricodifica produce invece un nuovo stream.

87. Stabilizzazione

La stabilizzazione può:

ritagliare;
ridimensionare;
spostare;
deformare;
interpolare.

Può creare:

bordi mobili;
warp;
variazioni locali;
frame sintetizzati;
movimento apparentemente più fluido.

88. Riduzione del rumore e sharpening

Questi trattamenti possono modificare:

texture;
grana;
bordi;
compressione;
motion blur;
dettagli fini.

Un video “migliorato” non dovrebbe sostituire l’originale nell’analisi di autenticità.

89. Overlay, testo e loghi

Un overlay può includere:

data;
ora;
targa;
nome telecamera;
coordinate;
sottotitoli;
watermark;
logo;
evidenziazioni.

Verificare se è:

codificato nei pixel;
generato dal player;
traccia separata;
aggiunto dall’export;
aggiunto successivamente.

90. Mascheramento e blur

Può proteggere:

volti;
targhe;
documenti;
minori.

La presenza di blur dimostra un’elaborazione locale.

Non dimostra automaticamente un’alterazione ingannevole dell’evento.

91. Transcodifica globale

Una transcodifica completa può:

uniformare GOP;
rimuovere metadati;
cambiare frame rate;
modificare colore;
alterare i frame;
nascondere precedenti montaggi;
introdurre un nuovo encoder.

Conclusione corretta:

«Il file è una versione ricodificata e non consente l’esame integrale della struttura originaria.»

92. Ricodifica locale

Un segmento inserito può avere:

rumore differente;
quantizzazione differente;
cutoff diverso;
colore differente;
motion estimation differente.

Una successiva ricodifica globale può ridurre la visibilità di tali differenze.

93. Doppia compressione

Possibili indicatori:

pattern nei coefficienti;
differenze tra GOP;
quantizzazione;
blocking;
rumore;
mismatch locale.

La doppia compressione indica un precedente passaggio di codifica.

Non dimostra automaticamente:

un taglio;
una falsificazione;
una finalità fraudolenta.

94. Remux e “fast start”

Un file MP4 può essere riorganizzato spostando il box moov all’inizio per facilitare lo streaming.

L’operazione modifica:

ordine dei box;
offset;
hash del file.

Può non modificare il bitstream video.

Non interpretare automaticamente la diversa posizione di moov come montaggio.

95. Riparazione del contenitore

Un software può ricostruire:

indice;
header;
durata;
metadati;
tabelle.

La riparazione può consentire la riproduzione ma modificare la struttura.

Conservare:

file danneggiato;
output riparato;
comando;
strumento;
log;
hash.

96. Analisi della traccia audio

Verificare:

codec;
start time;
durata;
canali;
discontinuità;
rumore;
sincronizzazione;
ricodifica.

Il video può essere continuo e l’audio sostituito.

L’audio può essere autentico e il video montato.

Trattare i flussi separatamente e congiuntamente.

97. Confrontare due video

97.1 Hash binario

sha256sum video-A.mp4 video-B.mp4

97.2 MediaInfo e FFprobe

Confrontare:

contenitore;
codec;
risoluzione;
durata;
frame rate;
audio;
metadati;
encoder.

97.3 Framehash

Produrre il framehash con gli stessi parametri.

97.4 Allineamento

Verificare:

offset;
frame iniziali;
crop;
resize;
colore;
audio;
durata.

98. Firma MPEG-7

FFmpeg include il filtro signature, che può produrre una firma video e confrontare flussi interi o segmenti. FFmpeg Filters

Esempio concettuale:

ffmpeg \
  -i "video-A.mp4" \
  -vf "signature=filename=video-A-signature.bin" \
  -f null -

La firma percettiva:

supporta la ricerca di similarità;
non sostituisce l’hash crittografico;
può produrre corrispondenze su versioni ricodificate;
deve essere validata nel workflow utilizzato.

99. Confronto pixel-level

Quando i video sono allineati:

differenza assoluta;
PSNR;
SSIM;
VMAF;
sottrazione;
heatmap.

Queste metriche misurano differenze o qualità.

Non stabiliscono automaticamente:

quale video sia originale;
se la modifica sia fraudolenta;
chi l’abbia effettuata.

100. Video di riferimento

Produrre, quando possibile, file con:

stesso dispositivo;
stesso firmware;
stessa app;
stessa modalità;
stessa risoluzione;
stesso frame rate;
stesso orientamento;
stesso HDR;
stessa durata;
stesso workflow di export.

SWGDE raccomanda, quando possibile, l’acquisizione di campioni noti dal dispositivo dichiarato o di file che riproducano la storia generazionale contestata. SWGDE — Best Practices for Digital Video Authentication

101. Test utili sul dispositivo

- registrazione continua;
- stop e nuova registrazione;
- pausa e ripresa;
- cambio orientamento;
- zoom;
- ricezione di una chiamata;
- batteria scarica;
- memoria quasi piena;
- screen recording;
- slow motion;
- invio in chat;
- export;
- ritaglio nativo;
- rotazione.

Prima di eseguire test sul dispositivo probatorio:

acquisire i dati;
documentare lo stato;
preservare i file;
evitare sovrascritture;
utilizzare memoria o account separati, quando possibile.

102. Validazione degli strumenti

Il laboratorio dovrebbe verificare:

parser;
decodifica;
timestamp;
frame count;
gestione B-frame;
VFR;
colore;
rotazione;
estrazione;
output.

Una buona procedura utilizza file test noti con:

frame mancanti;
timestamp irregolari;
CFR;
VFR;
edit list;
H.264;
H.265;
AV1;
più tracce.

103. Caso pratico 1 — Video WhatsApp contestato

Scenario

Un avvocato di Roma consegna un video ricevuto tramite WhatsApp.

Sostiene che siano stati eliminati alcuni secondi.

Risultati

- MP4 H.264;
- risoluzione ridotta;
- metadati originari assenti;
- frame rate ricostruito dalla piattaforma;
- nessun dispositivo sorgente;
- nessuna chat sorgente completa;
- nessuna discontinuità univoca.

Conclusione

«Il file è una versione derivata dalla piattaforma e non conserva integralmente la struttura originaria. Nei limiti del materiale disponibile non sono stati rilevati elementi sufficienti per confermare o escludere l’eliminazione di segmenti prima dell’invio.»

104. Caso pratico 2 — Video iPhone VFR

Scenario

Un cliente di Roma contesta intervalli irregolari tra i frame.

Risultati

MOV HEVC;
frame rate variabile;
timestamp monotoni;
comportamento analogo nei video di riferimento;
nessun gap anomalo;
dispositivo disponibile.

Conclusione

«La variabilità degli intervalli risulta compatibile con il funzionamento del dispositivo e della modalità di registrazione utilizzata e non costituisce, da sola, indicatore di montaggio.»

105. Caso pratico 3 — DVR con registrazione al movimento

Scenario

Una telecamera installata in un negozio romano presenta un gap di dodici secondi.

Risultati

- registrazione motion-triggered;
- evento terminato;
- nuovo segmento avviato;
- pre-record di tre secondi;
- log coerenti;
- nessun file intermedio.

Conclusione

«L’interruzione è compatibile con la modalità di registrazione al movimento configurata sul sistema e non richiede l’ipotesi di una cancellazione successiva.»

106. Caso pratico 4 — MP4 concatenato

Scenario

Un filmato aziendale di Roma sembra continuo, ma presenta un cambio improvviso.

Risultati

cambio di risoluzione originaria;
reset del GOP;
differenza del rumore;
audio con offset;
metadati dell’editor;
ricodifica finale uniforme.

Conclusione

«Il file presenta caratteristiche compatibili con la concatenazione di almeno due segmenti successivamente ricodificati.»

107. Caso pratico 5 — Frame duplicati dopo conversione

Scenario

Un cliente ritiene che i frame duplicati dimostrino una manipolazione.

Risultati

- sorgente 29,97 VFR;
- export 30 CFR;
- duplicazioni periodiche;
- audio continuo;
- software di conversione noto.

Conclusione

«La duplicazione dei frame risulta compatibile con la conversione del timing variabile in un’uscita a frame rate costante.»

108. Caso pratico 6 — Video rallentato

Scenario

Un filmato mostra un’aggressione avvenuta a Roma e viene prodotto in versione rallentata.

Risultati

file originario disponibile;
versione rallentata;
frame duplicati;
audio rimosso;
metadati software;
sequenza delle immagini invariata.

Conclusione

«La versione prodotta è stata rallentata mediante duplicazione o estensione temporale dei frame. La sequenza visiva corrisponde alla sorgente, ma la percezione della durata e della dinamica risulta modificata.»

109. Caso pratico 7 — Export CCTV con timestamp aggiunto

Scenario

Un condominio romano consegna un AVI con data e ora sovrapposte.

Risultati

overlay aggiunto dall’export;
file proprietario disponibile;
orologio DVR avanti di 4 minuti e 18 secondi;
NTP disattivato;
altri eventi di riferimento.

Conclusione

«Il timestamp visibile deriva dal sistema di esportazione e presenta lo scarto documentato rispetto alla fonte temporale di riferimento.»

110. Caso pratico 8 — Screen recording di un social

Scenario

Un cliente consegna la registrazione dello schermo di un video pubblicato online.

Risultati

- video VFR;
- interfaccia visibile;
- notifiche;
- audio registrato dal microfono;
- sorgente online non più disponibile;
- frame persi durante la cattura.

Conclusione

«Il file documenta la riproduzione osservata sullo schermo e non consente di analizzare integralmente il video originariamente caricato sulla piattaforma.»

111. Caso pratico 9 — Audio sostituito

Scenario

Un video apparentemente continuo contiene una frase contestata.

Risultati

frame video continui;
traccia audio ricodificata separatamente;
offset locale;
rumore incompatibile;
metadati dell’editor;
video originale senza la frase.

Conclusione

«Le immagini risultano continue, mentre la traccia audio presenta caratteristiche compatibili con una sostituzione successiva.»

112. Caso pratico 10 — Video da dashcam segmentato

Scenario

Un incidente stradale a Roma è registrato in tre file consecutivi.

Risultati

segmentazione ogni tre minuti;
sovrapposizione di un frame;
timestamp coerenti;
GPS continuo;
nessun intervallo mancante.

Conclusione

«I tre file costituiscono segmenti consecutivi prodotti automaticamente dalla dashcam; la breve sovrapposizione risulta compatibile con il funzionamento del dispositivo.»

113. Caso pratico 11 — Keyframe interpretato come taglio

Scenario

Un consulente identifica un I-frame nel punto contestato.

Risultati

encoder inserisce keyframe a ogni cambio scena;
flash luminoso;
nessuna discontinuità di PTS;
audio continuo;
GOP coerente.

Conclusione

«La presenza dell’I-frame è compatibile con la decisione automatica dell’encoder in corrispondenza della variazione visiva e non costituisce prova autonoma di montaggio.»

114. Caso pratico 12 — Video ricodificato globalmente

Scenario

Un filmato viene dichiarato originale della telecamera.

Risultati

- software di editing;
- H.264 con parametri incompatibili col DVR;
- risoluzione ridotta;
- metadata riscritti;
- nessun file proprietario;
- timing regolare.

Conclusione

«Il file è una ricodifica successiva e non una copia camera-original del sistema dichiarato. Nei limiti di tale versione non è possibile esaminare integralmente eventuali modifiche precedenti.»

115. Caso pratico 13 — Video congelato per perdita di rete

Scenario

Una telecamera IP mostra quattro secondi di immagine immobile.

Risultati

frame ripetuti;
audio assente;
log di rete con packet loss;
NVR mantiene l’ultimo frame;
comportamento replicato nei test.

Conclusione

«L’intervallo congelato è compatibile con la perdita temporanea del flusso e con la ripetizione dell’ultima immagine disponibile da parte del sistema.»

116. Caso pratico 14 — Video con edit list

Scenario

Un video iPhone presenta uno start time non nullo.

Risultati

edit list;
traccia audio anticipata;
durata coerente;
nessun frame mancante;
comportamento analogo nei campioni.

Conclusione

«L’offset iniziale deriva dalla struttura di sincronizzazione del contenitore e non indica, da solo, l’eliminazione di una parte del video.»

117. Caso pratico 15 — Due copie visivamente identiche

Scenario

Due parti producono file con hash differenti.

Risultati

un MP4 e un MOV;
stesso H.264 elementary stream;
metadati differenti;
packet hash coincidenti;
frame decodificati coincidenti.

Conclusione

«I file non sono identici a livello binario, ma contengono lo stesso stream video nei limiti dei confronti effettuati; le differenze riguardano il contenitore e i metadati.»

118. Caso pratico 16 — Versione social con crop verticale

Scenario

Un video orizzontale viene pubblicato come reel verticale.

Risultati

crop laterale;
ridimensionamento;
ricodifica;
audio normalizzato;
sottotitoli aggiunti;
sequenza centrale coerente con l’originale.

Conclusione

«La versione social è una derivazione ritagliata e ricodificata; il contenuto centrale risulta compatibile con la sorgente, mentre le aree laterali sono state escluse.»

119. Errori da evitare

Analizzare soltanto lo screenshot del player. Non contiene il video originale.
Fidarsi dell’estensione. Può non corrispondere al formato reale.
Riprodurre prima di calcolare l’hash. Il player può creare o modificare file accessori.
Analizzare direttamente l’originale. Le operazioni devono avvenire su copie.
Convertire subito in AVI o MP4. Si perdono informazioni originarie.
Conservare soltanto i frame PNG. Si perde il timing del contenitore.
Contare i frame senza analizzare i PTS. Il video può essere VFR.
Considerare avg_frame_rate timing reale. È un valore medio.
Considerare r_frame_rate sempre frame rate effettivo. Può essere un valore dichiarato o derivato.
Ignorare la timebase. I timestamp non sono interpretabili correttamente.
Ordinare i frame per DTS anziché presentazione. I B-frame possono cambiare l’ordine.
Considerare ogni I-frame un taglio. Può essere inserito dall’encoder.
Considerare un taglio privo di I-frame impossibile. Una ricodifica può uniformare la struttura.
Considerare il GOP sempre costante. Molti encoder sono adattivi.
Considerare VFR prova di manipolazione. È comune negli smartphone.
Convertire VFR in CFR durante l’analisi. Si introducono duplicazioni o eliminazioni.
Ignorare l’edit list. Può spiegare offset e durata.
Considerare start time non nullo un taglio. Può essere normale.
Confondere durata contenitore e stream. Possono differire.
Ignorare l’audio. Può contenere il montaggio.
Ignorare i canali audio multipli. Possono rappresentare fonti differenti.
Considerare un freeze prova di editing. Può dipendere dalla rete.
Considerare frame duplicati prova di falsificazione. Possono derivare da conversione.
Considerare frame mancanti eliminazione intenzionale. Possono derivare dall’acquisizione.
Fidarsi del timestamp visibile. Può essere un overlay.
Fidarsi della data QuickTime. Può essere errata o riscritta.
Ignorare il fuso orario. La timeline può risultare falsa.
Non acquisire i file precedenti e successivi. Si perde la segmentazione.
Non acquisire il formato proprietario. L’export aperto può essere ricodificato.
Non acquisire il player vendor. Può essere necessario per i metadati.
Considerare MP4 sinonimo di H.264. Il contenitore può contenere codec differenti.
Confondere codec e contenitore. Sono livelli distinti.
Confondere remux e transcode. Il primo può preservare il bitstream.
Considerare hash file differente contenuto visivo differente. Può cambiare solo il contenitore.
Considerare hash coincidente prova della provenienza. Identifica il file, non la fonte personale.
Confrontare framehash con decoder differenti. Il risultato può cambiare.
Usare accelerazione hardware senza documentarla. Può produrre differenze.
Non registrare le versioni di FFmpeg. La decodifica può variare.
Applicare deinterlacciamento senza dichiararlo. Si creano nuovi frame.
Confondere field rate e frame rate. Nei video interlacciati sono distinti.
Ruotare fisicamente il video per comodità. Si produce una nuova codifica.
Ignorare la matrice di rotazione. Il player può mostrare orientamento diverso.
Considerare crop prova di inganno. Può essere una trasformazione dichiarata.
Ignorare la stabilizzazione. Può produrre deformazioni.
Migliorare il video prima dell’autenticazione. I filtri possono cancellare indicatori.
Usare il video migliorato come reperto. È una copia derivata.
Considerare una transizione prova di eliminazione fraudolenta. Dimostra un’elaborazione, non la finalità.
Fidarsi di un solo parser. I risultati possono differire.
Ignorare i warning del decoder. Possono indicare corruzione o incompatibilità.
Interpretare ogni warning come montaggio. Può derivare da file non standard.
Non verificare i limiti di frame extraction. Il numero progressivo non è il timestamp.
Utilizzare screenshot al posto dei frame estratti. Il player può applicare scaling e colore.
Non documentare i parametri della scene detection. La soglia influenza il risultato.
Considerare blackdetect prova di taglio. Rileva soltanto immagini scure.
Considerare freezedetect prova di duplicazione intenzionale. Rileva bassa variazione visiva.
Non considerare scene realmente statiche. Possono apparire congelate.
Non acquisire C2PA prima della conversione. Il manifesto può essere perso.
Considerare C2PA garanzia di verità. Documenta provenienza e integrità dichiarate.
Considerare assenza di C2PA prova di manipolazione. La marcatura non è universale.
Considerare il software metadata identificativo dell’autore. Indica un’applicazione.
Non acquisire lo smartphone. Si perdono file e database originari.
Non acquisire il DVR. Si perdono log e configurazioni.
Esportare solo l’intervallo minimo. Possono mancare frame di contesto.
Non verificare NTP e clock drift. La data può essere errata.
Calcolare una velocità dal frame rate nominale. Occorre verificare il timing effettivo.
Analizzare velocità su screen recording. I frame possono essere persi o duplicati.
Confondere continuità tecnica e completezza narrativa. Il filmato può iniziare tardi.
Confondere autenticità tecnica e verità. La scena può essere preparata.
Attribuire il video dal nome del file. Il nome è modificabile.
Attribuire il video dall’account. Le credenziali possono essere compromesse.
Formulare intenzioni dal solo montaggio. La finalità non è codificata nel file.
Dichiarare “video originale” senza definire originale. Occorre indicare il livello generazionale.
Non indicare le fonti mancanti. La conclusione diventa fuorviante.
Scrivere “nessun taglio” in termini assoluti. È preferibile indicare ciò che non è stato rilevato.
Formulare conclusioni giuridiche. Il perito deve restare nell’ambito tecnico.

120. Procedura operativa completa

Fase 1 — Autorizzazione

[ ] incarico;
[ ] titolare;
[ ] liceità;
[ ] quesito;
[ ] periodo;
[ ] privacy;
[ ] legale;
[ ] limiti.

Fase 2 — Ricezione

[ ] file;
[ ] dispositivo;
[ ] sistema;
[ ] applicazione;
[ ] versioni;
[ ] contesto;
[ ] verbale.

Fase 3 — Conservazione

[ ] originale;
[ ] SHA-256;
[ ] copia di lavoro;
[ ] cifratura;
[ ] accessi;
[ ] registro.

Fase 4 — Identificazione

[ ] estensione;
[ ] firma;
[ ] contenitore;
[ ] codec;
[ ] stream;
[ ] risoluzione;
[ ] durata.

Fase 5 — Metadati

[ ] MediaInfo;
[ ] FFprobe;
[ ] ExifTool;
[ ] QuickTime;
[ ] GPS;
[ ] encoder;
[ ] C2PA.

Fase 6 — Timing

[ ] timebase;
[ ] PTS;
[ ] DTS;
[ ] durata;
[ ] CFR/VFR;
[ ] edit list;
[ ] start time;
[ ] frame interval.

Fase 7 — Codifica

[ ] profilo;
[ ] livello;
[ ] pixel format;
[ ] bit depth;
[ ] GOP;
[ ] I/P/B frame;
[ ] keyframe;
[ ] packet.

Fase 8 — Frame

[ ] frame report;
[ ] frame count;
[ ] framehash;
[ ] estrazione;
[ ] keyframe;
[ ] duplicati;
[ ] gap.

Fase 9 — Scene

[ ] cambi scena;
[ ] black frame;
[ ] freeze;
[ ] dissolvenze;
[ ] transizioni;
[ ] concatenazioni.

Fase 10 — Contenuto

[ ] continuità;
[ ] illuminazione;
[ ] rumore;
[ ] motion blur;
[ ] stabilizzazione;
[ ] crop;
[ ] overlay.

Fase 11 — Audio

[ ] stream;
[ ] timing;
[ ] sincronizzazione;
[ ] discontinuità;
[ ] canali;
[ ] provenienza.

Fase 12 — Confronto

[ ] hash;
[ ] packet hash;
[ ] framehash;
[ ] signature;
[ ] metadati;
[ ] allineamento;
[ ] differenze.

Fase 13 — Riferimenti

[ ] stesso dispositivo;
[ ] stessa modalità;
[ ] stesso firmware;
[ ] stesso export;
[ ] stessi parametri;
[ ] test.

Fase 14 — Correlazione

[ ] smartphone;
[ ] DVR;
[ ] chat;
[ ] email;
[ ] cloud;
[ ] pagina web;
[ ] log;
[ ] timeline.

Fase 15 — Interpretazione

[ ] dato osservato;
[ ] ipotesi;
[ ] alternativa;
[ ] forza;
[ ] limite;
[ ] fonte mancante.

Fase 16 — Relazione

[ ] materiale;
[ ] metodo;
[ ] strumenti;
[ ] risultati;
[ ] punti contestati;
[ ] conclusioni;
[ ] allegati;
[ ] hash.

121. Checklist finale

Ricezione

[ ] file più vicino all’originale;
[ ] dispositivo;
[ ] sistema sorgente;
[ ] provenienza;
[ ] punti contestati;
[ ] autorizzazione.

Integrità

[ ] SHA-256;
[ ] originali protetti;
[ ] copie;
[ ] registro reperti;
[ ] catena di custodia.

Struttura

[ ] contenitore;
[ ] codec;
[ ] stream;
[ ] risoluzione;
[ ] pixel format;
[ ] colore;
[ ] metadati;
[ ] C2PA.

Timing

[ ] timebase;
[ ] PTS;
[ ] DTS;
[ ] frame duration;
[ ] CFR/VFR;
[ ] edit list;
[ ] audio offset;
[ ] clock.

Frame

[ ] frame count;
[ ] frame report;
[ ] framehash;
[ ] keyframe;
[ ] GOP;
[ ] duplicati;
[ ] freeze;
[ ] gap.

Contenuto

[ ] cambi scena;
[ ] transizioni;
[ ] crop;
[ ] rotazione;
[ ] stabilizzazione;
[ ] overlay;
[ ] rallentamento;
[ ] ricodifica.

Correlazione

[ ] dispositivo;
[ ] chat;
[ ] cloud;
[ ] log;
[ ] file precedenti;
[ ] file successivi;
[ ] campioni di riferimento.

Relazione

[ ] fatti separati dalle deduzioni;
[ ] valori temporali originali;
[ ] limiti;
[ ] formule prudenti;
[ ] immagini annotate;
[ ] hash degli output.

122. Output minimo dell’accertamento

1. incarico;
2. verbale di ricezione;
3. registro dei reperti;
4. file originale;
5. hash SHA-256;
6. copia di lavoro;
7. identificazione del formato;
8. MediaInfo JSON;
9. MediaInfo completo;
10. FFprobe format e stream;
11. frame count;
12. packet count;
13. frame report;
14. packet report;
15. packet hash;
16. framehash;
17. keyframe report;
18. frame estratti;
19. keyframe estratti;
20. contact sheet;
21. scene detection;
22. freeze detection;
23. black detection;
24. signalstats;
25. metadati ExifTool;
26. report C2PA;
27. tracce audio;
28. report sincronizzazione;
29. copie lossless di analisi;
30. video di riferimento;
31. tabella comparativa;
32. timeline;
33. matrice delle ipotesi;
34. immagini annotate;
35. relazione tecnica;
36. allegati;
37. manifesto hash.

123. Struttura della relazione tecnica

123.1 Incarico

committente;
quesito;
autorizzazione;
limiti.

123.2 Materiale

file;
dispositivo;
fonte;
versioni;
dimensione;
hash.

123.3 Metodo

strumenti;
versioni;
comandi;
copie;
decoder;
parametri.

123.4 Struttura del file

contenitore;
codec;
stream;
metadati;
C2PA;
warning.

123.5 Timing

timebase;
frame rate;
PTS;
DTS;
durata;
edit list;
offset.

123.6 Codifica

GOP;
I/P/B frame;
keyframe;
profilo;
bit depth;
colore.

123.7 Analisi del contenuto

scene;
frame mancanti;
duplicati;
freeze;
transizioni;
crop;
overlay.

123.8 Audio

codec;
timing;
sincronizzazione;
discontinuità.

123.9 Confronto

versioni;
hash;
framehash;
packet hash;
video di riferimento.

123.10 Punti contestati

Per ogni punto:

timestamp;
frame;
osservazione;
ipotesi;
spiegazioni alternative;
limite.

123.11 Conclusioni

Risposte tecniche proporzionate al quesito.

124. Modelli di frasi tecniche

124.1 Compatibilità generale

«Il file presenta caratteristiche compatibili con il processo di registrazione e trasferimento dichiarato, nei limiti delle fonti disponibili.»

124.2 Camera-original

«La struttura risulta compatibile con i file prodotti dal dispositivo di riferimento e non presenta indicatori di una successiva ricodifica.»

124.3 File derivato

«Il reperto è una versione derivata e non consente di esaminare integralmente la struttura del file sorgente.»

124.4 Ricodifica

«Il video presenta caratteristiche compatibili con almeno un processo di ricodifica successivo alla registrazione.»

124.5 Remux

«Le differenze riguardano il contenitore, mentre il bitstream video risulta coincidente nei limiti del confronto effettuato.»

124.6 Frame rate variabile

«Gli intervalli tra i frame non sono uniformi e risultano compatibili con una registrazione a frame rate variabile.»

124.7 Frame mancanti

«È stata rilevata la discontinuità temporale indicata; il dato è compatibile sia con perdita in acquisizione sia con eliminazione successiva.»

124.8 Frame duplicati

«La sequenza contiene frame duplicati, compatibili con la conversione temporale o con il comportamento del sistema dichiarato.»

124.9 Freeze

«L’intervallo presenta immagini sostanzialmente immutate; tale condizione non consente autonomamente di distinguere una scena statica da una ripetizione tecnica.»

124.10 Keyframe

«La presenza del keyframe non costituisce, da sola, prova di un punto di montaggio.»

124.11 GOP

«La variazione del GOP è stata valutata congiuntamente ai cambi di scena e ai parametri dell’encoder.»

124.12 Edit list

«L’offset iniziale risulta gestito mediante una edit list del contenitore e non indica automaticamente la rimozione di frame.»

124.13 Taglio compatibile

«La convergenza tra discontinuità visiva, timing e audio risulta compatibile con una giunzione tra segmenti.»

124.14 Dissolvenza

«La transizione graduale presenta caratteristiche compatibili con una dissolvenza applicata in post-produzione.»

124.15 Audio sostituito

«La traccia audio presenta caratteristiche temporali e strutturali non coerenti con il flusso video e compatibili con una sostituzione successiva.»

124.16 Timestamp visibile

«La data sovrapposta è generata dal sistema indicato e non costituisce, da sola, una certificazione temporale.»

124.17 Clock drift

«L’orologio del sistema presentava lo scarto documentato rispetto alla fonte temporale di riferimento.»

124.18 Frame timing

«Il calcolo è basato sui timestamp di presentazione dei frame e non sul solo frame rate nominale.»

124.19 Screen recording

«Il file documenta la riproduzione osservata sullo schermo, non il file video originariamente riprodotto.»

«La versione acquisita dalla piattaforma è stata ridimensionata e ricodificata e non rappresenta il camera-original.»

124.21 Hash differente

«Le impronte SHA-256 differiscono; i file non sono identici a livello binario.»

124.22 Framehash coincidente

«I frame decodificati secondo i parametri uniformi indicati risultano coincidenti nel periodo confrontato.»

124.23 C2PA valido

«Il manifesto C2PA risulta validamente associato al file e documenta le asserzioni di provenienza indicate.»

124.24 Assenza di C2PA

«L’assenza di Content Credentials non consente di inferire se il video sia originale, modificato o sintetico.»

124.25 Nessuna anomalia rilevata

«Non sono state rilevate discontinuità tecniche non spiegate mediante le metodologie applicate; il risultato non esclude in termini assoluti ogni possibile modifica.»

124.26 Autenticità e verità

«La compatibilità tecnica del file non determina la veridicità fattuale della scena rappresentata.»

124.27 Attribuzione

«Il file è associato al dispositivo o account indicato, ma tale elemento non identifica automaticamente la persona che lo ha utilizzato.»

124.28 Limite generale

«Le conclusioni sono formulate nei limiti della generazione del file disponibile, delle fonti acquisite e dei processi di ricodifica osservati.»

125. Immagini e figure suggerite

Figura 1 — Anatomia del file video

Descrizione: contenitore, video, audio, metadata e timecode.
Alt: Componenti tecnici di un file video digitale.

Figura 2 — Contenitore e codec

Descrizione: MP4 con H.264 e AAC, MKV con AV1 e Opus.
Alt: Differenza tra contenitore e codec video.

Figura 3 — Sequenza I, P e B

Descrizione: dipendenze tra i frame del GOP.
Alt: Organizzazione dei frame I, P e B.

Figura 4 — PTS e DTS

Descrizione: ordine di decodifica e presentazione.
Alt: Differenza tra timestamp PTS e DTS.

Figura 5 — CFR e VFR

Descrizione: frame uniformi e intervalli variabili.
Alt: Confronto tra frame rate costante e variabile.

Figura 6 — Timebase

Descrizione: timestamp convertiti in secondi.
Alt: Calcolo del timing dei frame.

Figura 7 — Edit list

Descrizione: media timeline e presentation timeline.
Alt: Funzione di una edit list in un file MP4.

Figura 8 — Hard cut

Descrizione: cambio netto tra due scene.
Alt: Possibile taglio diretto in un video.

Figura 9 — Dissolvenza

Descrizione: sovrapposizione graduale di due scene.
Alt: Transizione video mediante dissolvenza.

Figura 10 — Freeze

Descrizione: ripetizione dello stesso frame.
Alt: Intervallo congelato in un filmato.

Figura 11 — Frame duplicati

Descrizione: conversione da VFR a CFR.
Alt: Duplicazione di frame durante una conversione.

Figura 12 — Ricodifica globale

Descrizione: originale, decoder, encoder e nuovo file.
Alt: Processo di transcodifica di un video.

Figura 13 — Crop e resize

Descrizione: video orizzontale trasformato in verticale.
Alt: Modifica del campo visivo mediante ritaglio.

Figura 14 — Rotazione logica

Descrizione: pixel orizzontali e matrice di orientamento.
Alt: Rotazione video mediante metadati.

Figura 15 — Videosorveglianza

Descrizione: camera, NVR, export proprietario ed MP4.
Alt: Generazioni di un video di videosorveglianza.

Figura 16 — Sincronizzazione audio-video

Descrizione: evento visivo e impulso sonoro.
Alt: Verifica della sincronizzazione tra audio e video.

Figura 17 — Confronto tra versioni

Descrizione: hash file, packet hash e framehash.
Alt: Livelli di confronto tra due video.

Figura 18 — C2PA video

Descrizione: asset, manifesto, firma e azioni.
Alt: Content Credentials applicate a un video.

Figura 19 — Matrice delle ipotesi

Descrizione: perdita frame, montaggio, VFR e rete.
Alt: Valutazione alternativa di una discontinuità video.

Figura 20 — Workflow forense

Descrizione: acquisizione, hash, struttura, frame, timing e relazione.
Alt: Procedura completa per l’autenticità video.

126. Riferimenti tecnici e normativi esterni

127. Collegamenti interni consigliati

Capitolo precedente

Voice cloning e audio generati con intelligenza artificiale

Capitolo successivo

Analisi video deepfake e face swapping

Capitoli correlati

128. Pagine servizio consigliate

/servizi/perizia-informatica-forense-roma/
/servizi/analisi-smartphone-computer/
/servizi/acquisizione-pagine-web-social/
/servizi/analisi-email-pec-documenti-digitali/
/servizi/consulente-tecnico-parte-informatico-roma/
/contatti/

Anchor text consigliati

perizia di autenticità video a Roma
analisi forense di un filmato
verifica di tagli e montaggi video
analisi frame per frame
verifica del frame rate
analisi di un video MP4
perizia su video H.264 e H.265
analisi di videosorveglianza
verifica di video smartphone
analisi di frame mancanti
confronto tra due video
consulente informatico forense video a Roma

129. Box commerciale finale

Devi verificare un video o un filmato di videosorveglianza a Roma?

Lo Studio Quaranta Digital Forensics può supportare privati, aziende, professionisti, avvocati e studi legali nell’analisi tecnica di:

[ ] video da smartphone;
[ ] filmati MP4 e MOV;
[ ] videosorveglianza;
[ ] DVR e NVR;
[ ] dashcam e bodycam;
[ ] video WhatsApp;
[ ] video Telegram e Signal;
[ ] filmati social;
[ ] screen recording;
[ ] frame mancanti;
[ ] frame duplicati;
[ ] variazioni di velocità;
[ ] tagli e concatenazioni;
[ ] ricodifiche;
[ ] audio sostituito;
[ ] timestamp;
[ ] Content Credentials C2PA.

L’attività può comprendere:

acquisizione del file e del dispositivo;
calcolo hash;
analisi di contenitore e codec;
analisi del timing;
estrazione dei frame;
studio di GOP e keyframe;
verifica CFR e VFR;
analisi di freeze e frame neri;
confronto tra versioni;
verifica audio-video;
registrazioni di riferimento;
timeline;
relazione tecnica;
supporto al legale e al CTP.

CTA principale:
Richiedi una valutazione preliminare

CTA secondaria:
Descrivi il video, la fonte e il punto contestato

Avvertenza:
Evita di convertire, ritagliare, rallentare o inoltrare ulteriormente il video prima di una valutazione tecnica. Conserva anche il dispositivo, il sistema sorgente e gli eventuali file precedenti e successivi.

Lo Studio non garantisce:

rilevazione di ogni modifica;
recupero dei frame eliminati;
identificazione dell’autore;
datazione assoluta;
autenticità certa;
esito processuale.

130. Conclusione del capitolo

L’autenticità video non può essere stabilita osservando soltanto il filmato con un player.

Una corretta analisi deve considerare l’intera catena:

scena
→ sensore
→ elaborazione
→ codec
→ contenitore
→ trasferimento
→ esportazione
→ ricodifica
→ piattaforma
→ acquisizione forense
→ analisi

Ogni passaggio può introdurre:

nuovi timestamp;
frame duplicati;
frame mancanti;
variazioni di colore;
ricompressione;
metadati;
ritardi;
edit list;
nuovi overlay.

Il frame rate nominale non descrive necessariamente il tempo di ogni frame.

Un keyframe non dimostra un taglio.

Un frame duplicato non dimostra una falsificazione.

Una ricodifica non dimostra un montaggio.

Un timestamp visibile non costituisce una certificazione temporale.

Un video tecnicamente continuo non prova che l’evento sia spontaneo o completo.

L’autenticità di un video consiste nella compatibilità complessiva tra struttura, timing, codec, immagini, audio, dispositivo e storia dichiarata; ogni anomalia deve essere correlata e confrontata con spiegazioni alternative prima di essere interpretata come montaggio.

Una relazione tecnicamente corretta deve indicare:

- quale generazione del video è stata esaminata;
- come è stata acquisita;
- quale struttura contiene;
- quali timestamp sono presenti;
- come sono stati estratti i frame;
- quali trasformazioni sono osservabili;
- quali campioni di riferimento erano disponibili;
- quali fonti mancavano;
- quali ipotesi sono maggiormente supportate;
- quali alternative restano plausibili.

Non rilevare un montaggio non significa dimostrare che il video non sia mai stato modificato.

Rilevare una ricodifica non significa dimostrare che la scena sia falsa.

Rilevare una discontinuità non identifica automaticamente il processo che l’ha prodotta.

Il compito dell’informatica forense è trasformare affermazioni come:

«Il video sembra tagliato.»

in una valutazione:

documentata;
riproducibile;
tecnicamente motivata;
prudente;
utile al legale e al decisore.

131. Anticipazione del capitolo successivo

Capitolo 27 — Analisi video deepfake e face swapping

Il prossimo capitolo tratterà:

video integralmente sintetici;
face swapping;
face reenactment;
lip sync artificiale;
avatar;
neural rendering;
generative face video;
sostituzione locale del volto;
incoerenze geometriche;
occhi, bocca, denti e capelli;
illuminazione;
riflessi;
pelle;
movimento;
compressione;
frame interpolation;
audio sintetico;
sincronizzazione labiale;
detector automatici;
domain shift;
falsi positivi;
replay e screen recording;
Content Credentials C2PA;
watermark;
confronto con video autentici;
acquisizione della fonte;
casi pratici ambientati a Roma;
formule peritali prudenti;
limiti nell’identificazione del generatore e dell’autore.

Continua con il Capitolo 27 — Analisi video deepfake e face swapping →