Comment se fier à l’image

Une photographie qui quitte PHOTARCH porte en elle quatre choses : ce qu’est l’objet, sa taille en millimètres, qui répond de l’image, et si quelqu’un a modifié le fichier depuis. Cette page explique, aussi simplement que nous le pouvons, comment cela fonctionne et ce que cela vaut.

Deux sortes de preuves, qui répondent à des questions différentes

L’empreinte

Une somme de contrôle SHA-256 est une longue suite de chiffres calculée à partir de chaque octet d’un fichier. Le même fichier donne toujours la même suite. Changez un pixel — ou ajoutez un fragment de métadonnées — et la suite devient tout autre.

Elle répond à une seule question : ce fichier est-il le même que celui que l’archive a publié ? Oui ou non. Elle ne peut vous dire ni qui a fait l’image, ni ce qu’elle montre, ni ce qui a changé. Seulement que quelque chose a changé.

La lettre scellée

Un Content Credential — la norme C2PA — est une courte lettre portée à l’intérieur de l’image. Elle énonce des faits : photographiée à telle date, couleur ajustée, recadrée, publiée par PHOTARCH, un pixel vaut 0,0163 mm sur l’objet. Le tout est ensuite signé avec une clé privée, puis contresigné par une autorité indépendante qui consigne quand la signature a eu lieu.

Chacun peut vérifier la signature d’après notre certificat. Si quelqu’un modifie l’image par la suite, le sceau se brise et le lecteur en est informé.

La lettre dans une image réelle

Ce n’est pas un exemple inventé par nos soins. C’est le sceau que porte Glass bead, KLM-39, tel qu’il est publié aujourd’hui dans l’archive. Ouvrez le fichier dans n’importe quelle visionneuse de Content Credentials et voici ce que vous voyez.

La mesure est la partie qui mérite qu’on s’y arrête. Parce qu’elle est à l’intérieur du sceau, l’échelle ne peut être ni corrigée discrètement, ni arrondie, ni perdue. Elle ne peut que se briser — et chacun peut alors voir qu’elle l’a été.

L’original n’est jamais modifié — la copie porte le dossier

C’est la question que l’on pose en premier, et elle mérite une réponse franche : si le maître n’est jamais modifié, comment le fichier que vous téléchargez peut-il porter des métadonnées ?

Parce que ce sont deux fichiers différents.

Rien n’est gravé dans l’original. C’est dans la copie que tout est gravé — au moment où la copie est faite, qui est aussi le moment où le sceau est apposé ; le sceau couvre donc le dossier autant que l’image.

Ce que le sceau n’est pas

Un Content Credential n’est pas une revendication de propriété. Il dit qui a fait le fichier et ce qui lui a été fait. Il existe pour que l’on puisse se fier à l’image, non pour que quelqu’un puisse la faire payer, et il ne porte aucune licence propre : le fichier circule sous les droits que portent l’objet et l’institution qui le détient.

Il n’expire pas non plus quand l’image est utilisée. Copiez-la, publiez-la, imprimez-la — le sceau continue à dire la même chose, et c’est tout son intérêt.

Trois choses différentes s’appellent licence

Presque tout le monde s’y perd, il vaut donc la peine de les distinguer.

Où en est-on aujourd’hui

Deux limites, en toute franchise

Une visionneuse dira que l’émetteur est inconnu. Notre certificat est le nôtre tant que le Conformance Program de la C2PA n’a pas examiné le produit. Ce qu’un validateur rapporte aujourd’hui, c’est a valid signature by an unidentified signer — la signature est réelle et le contenu est correct ; ce qui manque, c’est un tiers qui atteste qui nous sommes. Tout le reste du manifeste est déjà juste.

Un TIFF scellé demande un peu aux lecteurs stricts. La C2PA range son sceau dans un répertoire distinct à l’intérieur du TIFF, et quelques bibliothèques strictes — libvips, et les logiciels qui s’appuient sur elle — y voient une erreur et refusent d’ouvrir le fichier. L’image n’est pas endommagée : libtiff la lit, macOS la lit, et libvips la lit aussi quand on lui demande de ne pas échouer sur un avertissement. Les JPEG scellés ne posent aucun problème de ce genre. Si l’un de vos outils refuse un TIFF téléchargé, c’est pour cette raison, et le fichier lui-même est intact.