Så kan du lita på bilden

Ett fotografi som lämnar PHOTARCH bär fyra saker inuti sig: vad föremålet är, hur stort det är i millimeter, vem som står bakom bilden och om någon har ändrat filen sedan dess. Den här sidan förklarar, så enkelt vi kan, hur det fungerar och vad det är värt.

Två slags bevis, och de besvarar olika frågor

Fingeravtrycket

En SHA-256-kontrollsumma är en lång rad siffror som räknas ut ur varje byte i en fil. Samma fil ger alltid samma rad. Ändra en pixel – eller lägg till en liten bit metadata – och raden blir en helt annan.

Den besvarar exakt en fråga: är den här filen densamma som arkivet publicerade? Ja eller nej. Den kan inte säga vem som gjorde bilden, vad den visar eller vad som ändrats. Bara att något har ändrats.

Det förseglade brevet

En Content Credential – C2PA-standarden – är ett kort brev som bärs inuti bilden. Det anger saker: fotograferad detta datum, färgen justerad, beskuren, publicerad av PHOTARCH, en pixel är 0,0163 mm på föremålet. Allt detta signeras sedan med en privat nyckel och motsignas av en oberoende instans som registrerar när signeringen skedde.

Vem som helst kan kontrollera signaturen mot vårt certifikat. Om någon redigerar bilden efteråt brister sigillet och betraktaren får veta det.

Brevet inuti en verklig bild

Det här är inget exempel vi hittat på. Det är det sigill som bärs av Glaspärla, KLM-39, så som den publiceras i arkivet i dag. Öppna filen i vilken Content Credentials-visare som helst så ser du detta.

Mätningen är den del som är värd att dröja vid. Eftersom den ligger inuti sigillet kan skalan inte i tysthet rättas, avrundas eller gå förlorad. Den kan bara brytas – och då kan alla se att den har brutits.

Originalet ändras aldrig – kopian bär posten

Det här är den fråga folk ställer först, och den förtjänar ett rakt svar: om mastern aldrig ändras, hur kan då den fil du laddar ned bära metadata?

För att det är två olika filer.

Ingenting bränns in i originalet. Det bränns in i kopian – i det ögonblick då kopian görs, vilket också är det ögonblick då sigillet läggs på, så att sigillet täcker posten lika väl som bilden.

Vad sigillet inte är

En Content Credential är inget äganderättsanspråk. Den säger vem som gjorde filen och vad som gjorts med den. Den finns för att bilden ska kunna litas på, inte för att någon ska kunna ta betalt för den, och den bär ingen egen licens: filen följer de rättigheter som föremålet och den institution som förvaltar det har.

Den upphör inte heller att gälla när bilden används. Kopiera den, publicera den, skriv ut den – sigillet fortsätter säga detsamma, och det är hela dess nytta.

Tre olika saker kallas licens

Det här förvirrar nästan alla, så det är värt att hålla isär dem.

Hur det ser ut i dag

Två ärliga begränsningar

En visare säger att utfärdaren är okänd. Vårt certifikat är vårt eget tills C2PA:s Conformance Program har gått igenom produkten. Det en kontrollant redovisar i dag är en giltig signatur av en oidentifierad undertecknare – signaturen är verklig och innehållet är korrekt; det som saknas är att en tredje part går i god för vilka vi är. Allt annat i manifestet är redan rätt.

En förseglad TIFF kräver något av strikta läsare. C2PA lagrar sitt sigill i en egen katalog inuti TIFF-filen, och några strikta bibliotek – libvips och programvara byggd på det – behandlar det som ett fel och vägrar öppna filen. Bilden är inte skadad: libtiff läser den, macOS läser den, och libvips läser den också när det får besked att inte avbryta vid en varning. Förseglade JPEG-filer har inga sådana problem. Om ett verktyg hos dig vägrar en nedladdad TIFF är det därför, och själva filen är hel.