บทความ
ทำความเข้าใจ Content Credentials และ C2PA
คุณอาจเคยเห็นตราสัญลักษณ์เล็ก ๆ บนภาพถ่ายที่อ้างว่ามันมี Content Credentials ติดอยู่ หรือเคยอ่านว่ากล้องหรือแอปแก้ไขภาพเดี๋ยวนี้ลงลายเซ็นผลงานด้วย C2PA แล้ว ต่อไปนี้คือคำอธิบายแบบตรงไปตรงมาว่าข้อมูลนั้นคืออะไร มันบอกอะไรคุณได้บ้าง และข้อจำกัดสามอย่างที่คุณควรเก็บไว้ในใจก่อนจะถือว่ามันเป็นหลักฐานของสิ่งใด.
Content Credentials และ C2PA คืออะไร
C2PA ย่อมาจาก Coalition for Content Provenance and Authenticity ซึ่งเป็นกลุ่มความร่วมมือในอุตสาหกรรมที่เผยแพร่ข้อกำหนดแบบเปิดสำหรับการแนบข้อมูลแหล่งที่มาที่เผยร่องรอยการดัดแปลงเข้ากับไฟล์สื่อ ส่วน Content Credentials คือชื่อที่ใช้สื่อสารกับผู้ใช้ทั่วไปสำหรับข้อมูลนั้น เมื่อมันถูกเขียนโดยกล้อง โทรศัพท์ และซอฟต์แวร์แก้ไข ในทางปฏิบัติมันคือบันทึกที่ลงลายเซ็นขนาดเล็กที่ฝังอยู่ภายในไฟล์ภาพ วิดีโอ หรือเสียง บันทึกนี้อาจระบุสิ่งต่าง ๆ เช่น อุปกรณ์หรือแอปพลิเคชันใดที่สร้างไฟล์ขึ้นมา สร้างขึ้นเมื่อใด และมีการแก้ไขใดบ้างที่ถูกนำมาใช้ตลอดเส้นทาง เช่น การครอปภาพหรือการปรับสี ลายเซ็นเข้ารหัสจะห่อหุ้มบันทึกไว้ เพื่อให้การเปลี่ยนแปลงใด ๆ ที่เกิดขึ้นภายหลังกับเนื้อหาที่ได้รับการปกป้องทำลายตราประทับนั้น เป้าหมายคือแหล่งที่มา ซึ่งเป็นห่วงโซ่ที่มีหลักฐานว่าไฟล์มาจากไหน ไม่ใช่คำตัดสินว่าเนื้อหานั้นเป็นจริงหรือไม่.
เครื่องมืออ่านของเราทำอะไรกับมัน
เครื่องมืออ่าน C2PA บนเว็บไซต์นี้จะอ่านไฟล์ระบุข้อมูล Content Credentials เมื่อมีอยู่ และแสดงข้อกล่าวอ้างที่มันบรรจุไว้ให้คุณเห็น ภายในเบราว์เซอร์ของคุณ โดยไม่มีการอัปโหลดสิ่งใด ไฟล์ที่คุณลากวางจะถูกแยกวิเคราะห์ในเครื่อง ดังนั้นภาพถ่ายหรือเอกสารจึงไม่เคยออกไปจากอุปกรณ์ของคุณ เมื่อพบไฟล์ระบุข้อมูล คุณจะเห็นผู้ออก การกระทำที่ถูกบันทึกไว้ และว่าลายเซ็นนั้นตรวจสอบผ่านกับใบรับรองที่ฝังไว้หรือไม่ นี่เป็นการบรรยาย ไม่ใช่การพิพากษา เครื่องมือจะรายงานสัญญาณที่มีอยู่จริงในไฟล์ มันเข้ากันได้อย่างเป็นธรรมชาติกับเครื่องมืออ่าน EXIF ซึ่งเผยข้อมูลกำกับเกี่ยวกับกล้องและตำแหน่ง และเครื่องมือดูข้อมูลกำกับของ Office สำหรับเอกสาร เพื่อให้คุณตรวจสอบชั้นแหล่งที่มาหลายชั้นเคียงข้างกันได้ โดยไม่ต้องมอบความไว้วางใจต้นฉบับให้เซิร์ฟเวอร์.
ข้อจำกัดสามอย่างที่ควรกล่าวอย่างตรงไปตรงมา
ประการแรก เครื่องมืออ่านสามารถแสดง Content Credentials ได้ก็ต่อเมื่อมันมีอยู่เท่านั้น ไฟล์ส่วนใหญ่ที่หมุนเวียนอยู่ในปัจจุบันไม่ได้มีมันติดมาเลย เพราะอุปกรณ์หรือซอฟต์แวร์ที่สร้างมันขึ้นมาไม่เคยเขียนอะไรไว้ ประการที่สอง การไม่มี Content Credentials ไม่ได้พิสูจน์อะไรเกี่ยวกับความแท้จริง ไฟล์ที่ไม่มีไฟล์ระบุข้อมูลไม่ได้เป็นของปลอม และก็ไม่ได้เป็นของแท้เช่นกัน มันเพียงแค่ไม่มีบันทึกแหล่งที่มาให้อ่าน ซึ่งเป็นสภาพปกติของสื่อส่วนใหญ่อย่างท่วมท้น การถือว่าไฟล์ระบุข้อมูลที่หายไปเป็นสัญญาณของการดัดแปลงย่อมเป็นความผิดพลาด ประการที่สาม ลายเซ็นที่ถูกต้องไม่ได้รับประกันว่าไม่มีสิ่งใดถูกดัดแปลง ลายเซ็นยืนยันว่าเนื้อหาตรงกับบันทึกที่ลงลายเซ็นไว้ และบันทึกนั้นมาจากผู้ออกตามที่ระบุ มันไม่ได้รับรองว่าฉากที่อยู่หน้ากล้องเป็นเรื่องจริง ว่าไม่มีการแก้ไขนอกห่วงโซ่ C2PA เกิดขึ้น หรือว่าการถ่ายภาพต้นฉบับนั้นซื่อตรง แหล่งที่มาและความจริงเป็นคนละคำถามกัน.
การอ่านแหล่งที่มาอย่างมีความรับผิดชอบ
วิธีที่เป็นประโยชน์ในการมอง Content Credentials คือมองมันเป็นบริบทชิ้นหนึ่งในหลายชิ้น ไม่ใช่คำตอบใช่หรือไม่เพียงคำตอบเดียว เมื่อมีไฟล์ระบุข้อมูลอยู่และลายเซ็นของมันตรวจสอบผ่าน คุณจะได้รู้บางอย่างที่เป็นรูปธรรมเกี่ยวกับวิธีที่ไฟล์ถูกสร้างและแก้ไขมา เมื่อมันไม่มีอยู่ คุณก็ได้รู้เพียงว่าไม่มีบันทึก และคุณก็กลับไปใช้วิจารณญาณเดียวกับที่คุณจะใช้กับไฟล์ใด ๆ ที่ไม่มีป้ายกำกับ เราจงใจไม่เสนอฟีเจอร์ตรวจจับ AI ใด ๆ เพราะไม่มีเครื่องมือใดสามารถตัดสินได้อย่างน่าเชื่อถือว่าเนื้อหาถูกสร้างขึ้นหรือถูกเปลี่ยนแปลงหรือไม่ และการกล่าวอ้างอย่างมั่นใจไม่ว่าในทางใดก็ตามย่อมเป็นการไม่ซื่อตรง หากคุณต้องการลบข้อมูลกำกับที่คุณไม่ได้ตั้งใจจะแบ่งปันก่อนเผยแพร่ คู่มือเรื่องการลบข้อมูล EXIF และ GPS ออกจากภาพถ่าย และคู่มือเรื่องการลบข้อมูลกำกับออกจากเอกสาร Word ครอบคลุมขั้นตอนเชิงปฏิบัติ โดยทั้งหมดทำงานในเครื่องบนอุปกรณ์ของคุณเอง.
สถาปัตยกรรมการเข้ารหัสของ C2PA manifests
ความปลอดภัยของ Content Credentials framework อิงอยู่บน Public Key Infrastructure (PKI) มาตรฐานและอัลกอริทึม hashing ที่ได้รับการพิสูจน์แล้ว เมื่อ application ที่สอดคล้องกับมาตรฐานสร้าง C2PA manifest จะคำนวณ hash การเข้ารหัสของข้อมูลสื่อที่อยู่เบื้องหลัง โดยทั่วไปใช้ SHA-256 หรือ SHA-384 hash นั้นจัดเก็บใน assertion store ภายใน manifest จากนั้น manifest จะถูกลงนามดิจิทัลโดยใช้ X.509 certificate: ผู้ออกลงนาม manifest hash ด้วย private key ของพวกเขา การตรวจสอบทำการตรวจสอบอิสระสองอย่าง: ตรวจสอบลายเซ็นกับ public key ของผู้ออก ยืนยันว่า manifest ถูกสร้างโดยหน่วยงานที่อ้างสิทธิ์และไม่ได้ถูกแก้ไข และ re-hash ข้อมูลสื่อเพื่อยืนยันว่าตรงกับ hash ที่บันทึกไว้ พิกเซลที่เปลี่ยนแปลงเพียงหนึ่งพิกเซลจะเปลี่ยน media hash ทั้งหมด ทำลาย cryptographic seal และสร้างผลการตรวจสอบที่ไม่ถูกต้อง
โครงสร้าง JUMBF และการฝัง metadata
ข้อมูล C2PA ฝังลงในไฟล์โดยใช้ JPEG Universal Metadata Box Format (JUMBF) ซึ่งมาตรฐานภายใต้ ISO/IEC 19566-5 JUMBF อนุญาตให้โครงสร้างข้อมูลแบบลำดับชั้นถูกแทรกเข้าไปในไฟล์สื่อโดยไม่ส่งผลต่อ legacy parsers ในไฟล์ JPEG กล่อง JUMBF อยู่ภายใน APP11 application marker segment ในไฟล์วิดีโอหรือเสียง MP4 มันอยู่ใน uuid box เฉพาะภายในโครงสร้าง ISO Base Media File Format manifest store ที่เก็บไว้ใน container นี้รวมถึง manifest ที่ใช้งานอยู่และ historical manifests ใดๆ ที่ก่อตัวเป็นห่วงโซ่ provenance เนื่องจาก JUMBF รองรับข้อมูลที่อ้างอิง manifest จึงสามารถรวม thumbnail ของไฟล์ในขั้นตอนการแก้ไขก่อนหน้า ทำให้ผู้ตรวจสอบสามารถตรวจสอบการเปลี่ยนแปลงที่บันทึกไว้เช่นการตัดหรือการปรับสีได้ ตัวอ่านในเบราว์เซอร์จะดึงกล่อง JUMBF เหล่านี้ แยกวิเคราะห์ข้อมูล manifest ที่เข้ารหัสด้วย CBOR และทำการตรวจสอบการเข้ารหัสทั้งหมดผ่าน WebCrypto APIs ในเครื่อง ดังนั้นไฟล์จึงไม่จำเป็นต้องไปถึงเซิร์ฟเวอร์ตรวจสอบ
เครื่องมือที่กล่าวถึงในบทความนี้
- ตัวอ่าน Content Credentials (C2PA)อ่านข้อมูลแหล่งที่มา C2PA / Content Credentials ของรูปภาพหรือไฟล์ในเบราว์เซอร์ของคุณ ไม่มีการอัปโหลด
- อ่าน EXIF metadataดูและลบ EXIF metadata จากรูปถ่ายของคุณโดยไม่ต้องส่งไปยังเซิร์ฟเวอร์
- ตัวลบข้อมูล metadata ของ Officeลบคุณสมบัติเอกสารที่ซ่อนอยู่ (ผู้แต่ง บริษัท วันที่…) จากไฟล์ Word, Excel และ PowerPoint 100% ในเบราว์เซอร์ของคุณ ไม่มีการอัปโหลด
คำถามที่พบบ่อย
หากภาพถ่ายไม่มี Content Credentials นั่นหมายความว่ามันถูกปลอมแปลงหรือถูกแก้ไขหรือไม่
ไม่ การไม่มีไฟล์ระบุข้อมูลบอกคุณเพียงว่าไม่มีการเขียนบันทึกแหล่งที่มาไว้ ซึ่งเป็นสถานการณ์ปกติของแทบทุกไฟล์ที่หมุนเวียนอยู่ มันไม่ใช่หลักฐานของการแก้ไข และไม่ใช่หลักฐานของความแท้จริง คุณไม่สามารถตีความสิ่งใดจากไฟล์ระบุข้อมูลที่หายไปได้นอกเหนือจากข้อเท็จจริงที่ว่าไม่มีอะไรให้อ่าน.
หากลายเซ็น C2PA ถูกต้อง ฉันจะเชื่อได้ไหมว่าภาพนั้นเป็นของจริงและไม่ได้ถูกเปลี่ยนแปลง
ลายเซ็นที่ถูกต้องยืนยันว่าเนื้อหาตรงกับบันทึกที่ลงลายเซ็นไว้ และบันทึกนั้นมาจากผู้ออกตามที่ระบุ มันไม่ได้พิสูจน์ว่าฉากนั้นเป็นเรื่องจริงหรือว่าไม่มีการดัดแปลงเกิดขึ้นนอกห่วงโซ่ C2PA บางคนสามารถจัดฉากถ่ายภาพและยังคงลงลายเซ็นได้อย่างถูกต้อง และการแก้ไขที่ทำด้วยเครื่องมือที่ไม่ได้เข้าร่วมในมาตรฐานนี้จะไม่ทิ้งร่องรอยไว้ในไฟล์ระบุข้อมูล จงอ่านลายเซ็นที่ถูกต้องว่าเป็นแหล่งที่มาที่ได้รับการยืนยัน ไม่ใช่ความจริงที่ได้รับการยืนยัน.
การอ่าน Content Credentials อัปโหลดไฟล์ของฉันไปที่ใดหรือไม่
ไม่ เครื่องมืออ่าน C2PA แยกวิเคราะห์ไฟล์ทั้งหมดภายในเบราว์เซอร์ของคุณ ดังนั้นภาพ วิดีโอ หรือเอกสารจึงอยู่บนอุปกรณ์ของคุณ คุณสามารถยืนยันสิ่งนี้ได้ด้วยการเปิดเครื่องมือสำหรับนักพัฒนาในเบราว์เซอร์ของคุณและเฝ้าดูแท็บ Network ขณะที่คุณโหลดไฟล์ จะไม่มีคำขออัปโหลดใด ๆ เกิดขึ้น.