בפוסט מפורט בבלוג אבטחת המידע שלה (Apple Security Research), חברת אפל חשפה את המנגנון הטכנולוגי והארכיטקטורה העומדים מאחורי מצב המצלמה החדש Apple Reference Image ב-iPhone 18 Pro.
התכונה נועדה לספק הוכחה קריפטוגרפית לכך שתמונה אינה מחוללת AI או עריכה סינתטית, ומיועדת לתת מענה לעיתונאים, חוקרים ויוצרי תוכן.
שרשרת האימות מקצה לקצה (Chain of Verification)
שלא כמו תקני אימות קיימים (כגון C2PA) החשופים לפריצה בנקודות שונות בשרשרת העריכה, אפל פיתחה מערכת אימות היקפית:
- חתימה ברמת החיישן במפעל: תהליך האבטחה מתחיל עוד בקו הייצור. חיישן המצלמה הראשי מייצר זוג מפתחות קריפטוגרפיים (Public/Private Key). המפתח הפרטי נשאר שמור בתוך החיישן עצמו, בעוד המפתח הציבורי נחתם על ידי סמכות האישור (CA) של המפעל ונרשם במניפסט החומרה של המכשיר.
- חתימה ברמת הפיקסל: בעת צילום במצב Reference, החיישן חותם על הפיקסלים הגולמיים והמטא-דאטה לפני שהמידע מגיע למערכת ההפעלה iOS.
- חתימת מטא-דאטה ב-Secure Enclave: מידע חיצוני לחיישן (כגון נתוני מיקום וכיול) נחתם בנפרד על ידי רכיב ה-Secure Enclave של האייפון.
- חתימת זמן קריפטוגרפית (Cryptographic Timestamps): כדי למנוע זיוף של זמן הצילום דרך הגדרות המערכת, האייפון מקבל טוקני זמן מאובטחים מראש ולאחר הצילום, ובכך מגדיר חלון זמן תחום ומאומת לביצוע הצילום.
עיבוד ב-Private Cloud Compute והגנה קוונטית
לאחר לכידת המידע החתום, הנתונים מועברים לעיבוד מאובטח:
- פיתוח ה"תשליל הדיגיטלי" (Digital Negative): מעבד ה-Private Cloud Compute של אפל מוודא שהחיישן וה-Secure Enclave שייכים לאותו מכשיר, מאמת את חתימות הזמן ומפתח את נתוני הפיקסלים לקובץ Reference Image סופי.
- הגנה קוונטית (Post-Quantum Cryptography): קובץ ה-Reference החתום עושה שימוש בקריפטוגרפיה פוסט-קוונטית, המבטיחה כי יציבות האימות של התמונה תישמר גם מול יכולות פיענוח של מחשבים קוונטיים עתידיים.
- מנגנון ביטול חתימות (Revocation Lists): אם חיישן מסוים יפרץ או יוגדר כחשוד, או אם תמונה תזוהה כמתחזה, אפל תבטל את חתימת החיישן/התמונה דרך רשימות עדכון תקופתיות שנמשכות באופן אוטומטי למכשירים.
הגנת הפרטיות ואנונימיות הצלם
אפל שמה דגש מרכזי על שמירת פרטיות המשתמש במערכת האימות:
- אנונימיות מלאה: המערכת תוכננה כך שצופה חיצוני שמאמת את התמונה אינו יכול לדעת את זהות הצלם, את המזהה הייחודי של המכשיר שצילם אותה, או האם שתי תמונות reference שונות צולמו באותו מכשיר.
- חשיבות לעיתונאות חוקרת: תכונה זו קריטית עבור צלמי עיתונות ואנשי תקשורת הפועלים באזורי עימות או סביבות רגישות, המבקשים להוכיח את אותנטיות התמונה מבלי לחשוף את זהותם או מיקומם.
