Что нужно выяснить
Проверить происхождение временных отметок документа в архиве и после извлечения, установить сопоставимые значения и оценить, какие события действительно подтверждаются без изменения исходного ZIP и файлов.
Какие материалы подготовить
- Исходный ZIP и извлечённые файлы с контрольными суммами
- Версии архиватора, системы и настройки часового пояса при извлечении
- Исходный отчёт со снимками свойств и перечнем сравниваемых полей
Что сопоставить
На проверенной копии раздельно читают временные поля локальных заголовков, центрального каталога и доступных расширений ZIP. Сопоставляют их с метками файловой системы после контролируемого извлечения, фиксируя программу и настройки. Учитывают местное время, точность хранения и возможное округление; совпадение содержимого проверяют отдельно от совпадения отображаемой даты файла.
Возможный результат разбора
Возможны таблица происхождения отметок и воспроизводимый опыт извлечения; хронология может уточниться либо остаться неоднозначной, если архив не сохраняет нужное поле или исходный часовой пояс неизвестен.
Границы выводов
Поле изменения не доказывает время написания текста или личность автора. Извлечение может создавать новые системные отметки; несогласованность дат сама по себе не подтверждает подделку документа.