記事
コンテンツクレデンシャルとC2PAを理解する
写真にコンテンツクレデンシャルが付いていると示す小さなバッジを見かけたり、カメラや編集アプリが出力をC2PAで署名するようになったと読んだことがあるかもしれません。ここでは、その情報が何であり、何を教えてくれるのか、そしてそれを何かの証拠として扱う前に心に留めておくべき三つの限界を、平易に説明します。
コンテンツクレデンシャルとC2PAとは何か
C2PAはコンテンツの来歴と真正性のための連合(Coalition for Content Provenance and Authenticity)の略で、改ざんが検知できる来歴データをメディアファイルに付加するためのオープン仕様を公開している業界団体です。コンテンツクレデンシャルとは、そのデータがカメラ、スマートフォン、編集ソフトによって書き込まれたときの、利用者向けの呼び名です。実際には、画像、動画、音声ファイルの内部に埋め込まれた小さな署名付きの記録です。この記録には、そのファイルを作成した機器やアプリ、作成日時、そして途中で適用された切り抜きや色調整といった編集操作などが含まれることがあります。暗号署名がこの記録を包み込むため、保護された内容にあとから加えられた変更があれば封印が破れます。目的は、内容が真実かどうかの判定ではなく、ファイルがどこから来たのかを記録した来歴の連鎖です。
当サイトのリーダーが行うこと
本サイトのC2PAリーダーは、コンテンツクレデンシャルのマニフェストが存在する場合にそれを読み取り、そこに含まれる主張を、何もアップロードせずにあなたのブラウザ内で表示します。投入したファイルはローカルで解析されるため、写真や文書がデバイスから出ることはありません。マニフェストが見つかると、発行者、記録された操作、そして埋め込まれた証明書に対して署名が有効かどうかが表示されます。これは判断ではなく記述的なものです。ツールはファイルに実際に存在する信号を報告します。カメラや位置情報のメタデータを表示するEXIFリーダーや、文書向けのOfficeメタデータビューアと自然に組み合わせられるので、原本をサーバーに預けることなく、複数の来歴の層を並べて確認できます。
率直に述べておくべき三つの限界
第一に、リーダーはコンテンツクレデンシャルが存在するときにしかそれを表示できません。今日出回っているファイルの大半にはまったく付いていません。それを作った機器やソフトが何も書き込まなかったからです。第二に、コンテンツクレデンシャルが存在しないことは、真正性について何も証明しません。マニフェストのないファイルは偽物でもなければ本物でもなく、単に読み取るべき来歴の記録がないだけであり、これは大多数のメディアにとって通常の状態です。マニフェストの欠如を改ざんの兆候として扱うのは誤りです。第三に、有効な署名は、何も改ざんされていないことを保証しません。署名が確認するのは、内容が署名された記録と一致すること、そしてその記録が表示された発行者から来たことだけです。カメラの前の場面が現実だったことや、C2PAの連鎖の外で編集が行われていないこと、もとの撮影が誠実だったことを証明するものではありません。来歴と真実は別の問いです。
来歴を責任をもって読み解く
コンテンツクレデンシャルを扱う有益な方法は、それを一つきりの是か非かの答えとしてではなく、いくつもある文脈の一つとして捉えることです。マニフェストが存在し、その署名が有効であれば、ファイルがどのように作られ編集されたかについて具体的なことが分かります。存在しない場合は、記録がないと分かるだけであり、ラベルのないファイルに対するのと同じ判断に立ち返ることになります。私たちはあえてAI検出機能を一切提供していません。コンテンツが生成されたか改変されたかを確実に判定できるツールは存在せず、どちらであれ自信ありげな主張をすることは不誠実だからです。公開前に共有するつもりのなかったメタデータを取り除きたい場合は、写真からEXIFとGPSデータを削除するガイドや、Word文書からメタデータを削除するガイドが実践的な手順を扱っており、そのすべてがあなた自身のデバイス上でローカルに動作します。
C2PAマニフェストの暗号化アーキテクチャ
Content Credentialsフレームワークのセキュリティは、標準的な公開鍵基盤（PKI）と確立されたハッシュアルゴリズムに依存しています。対応するアプリケーションがC2PAマニフェストを生成する際、通常SHA-256またはSHA-384を使用して基となるメディアデータの暗号化ハッシュを計算します。そのハッシュはマニフェスト内のアサーションストアに保存されます。次にマニフェストはX.509証明書を使用してデジタル署名されます。発行者は秘密鍵でマニフェストハッシュに署名します。検証は2つの独立したチェックを実行します。発行者の公開鍵に対して署名を検証し、マニフェストが主張されたエンティティによって作成され変更されていないことを確認します。そしてメディアデータを再ハッシュして記録されたハッシュと一致することを確認します。1ピクセルの変更でもメディアハッシュが完全に変わり、暗号化シールが破れて無効な検証結果が生成されます。
JUMBF構造とメタデータの埋め込み
C2PAデータはJPEG Universal Metadata Box Format（JUMBF）を使用してファイルに埋め込まれます。これはISO/IEC 19566-5として標準化されています。JUMBFを使用すると、レガシーパーサーに影響を与えることなく、階層的なデータ構造をメディアファイルに挿入できます。JPEGファイルでは、JUMBFボックスはAPP11アプリケーションマーカーセグメント内に配置されます。MP4ビデオや音声ファイルでは、ISO Base Media File Format構造内の特定のuuidボックスを占有します。このコンテナに保持されるマニフェストストアには、アクティブなマニフェストと出所チェーンを形成する過去のマニフェストが含まれます。JUMBFは参照データをサポートしているため、マニフェストには過去の編集段階でのファイルのサムネイルを含めることができ、レビュアーはトリミングや色調整などの記録された変更を確認できます。ブラウザベースのリーダーはこれらのJUMBFボックスを抽出し、CBORエンコードされたマニフェストデータを解析し、ローカルのWebCrypto APIを通じて完全に暗号化検証を実行します。そのためファイルが検証サーバーに届く必要はありません。
この記事で紹介するツール
よくある質問
写真にコンテンツクレデンシャルがない場合、それは偽造または編集されたという意味ですか。
いいえ。マニフェストがないことは、来歴の記録が書き込まれなかったということを教えてくれるだけであり、これは出回っているほぼすべてのファイルにとって通常の状況です。編集された証拠でもなければ、真正性の証拠でもありません。マニフェストがないことから、読み取るべきものが何もないという事実以上のことを読み取ることはできません。
C2PAの署名が有効なら、その画像が本物で改変されていないと信用できますか。
有効な署名は、内容が署名された記録と一致すること、そしてその記録が表示された発行者から来たことを確認します。場面が現実だったことや、C2PAの連鎖の外で改ざんが起きなかったことは証明しません。人は写真を演出してもなお正しく署名することができますし、この規格に参加していないツールで加えた編集はマニフェストに痕跡を残しません。有効な署名は、確認された真実としてではなく、確認された来歴として読み取ってください。
コンテンツクレデンシャルを読み取ると、私のファイルはどこかにアップロードされますか。
いいえ。C2PAリーダーはファイルを完全にブラウザ内で解析するため、画像、動画、文書はあなたのデバイスにとどまります。ブラウザの開発者ツールを開き、ファイルを読み込む間にネットワークタブを見れば確認できます。アップロードの要求は一切発生しません。