Tijdens de keynote kwam het al voorbij, met de iPhone 18 Pro en iPhone 18 Pro Max is het mogelijk om te bewijzen dat een foto niet is aangepast. Steeds belangrijker in een tijd waarin daar steeds meer vraagtekens bij kunnen worden geplaatst, onder andere door AI.

Apple heeft nu een blog-post gepubliceerd waarin uitgelegd wordt hoe dit precies werkt, en die is gelukkig zoveel mogelijk in duidelijke taal geschreven.



Hieronder het belangrijkste gedeelte, eerst in het Engels, gevolgd door de vertaling.

Other industry solutions require a photographer or institution to vouch for an image using their own credentials. We are concerned this puts some photographers, such as those operating in conflict zones, in a difficult position; it should not be necessary to forgo anonymity in order to prove image authenticity. We built Apple Reference Image to avoid using an explicit, public credential for photographers, and to avoid even implicit public association between different photos taken by the same sensor. The final reference image is instead signed by Apple’s signing service, after validation by (PCC). That signature is backed by Apple’s strongest technical guarantees.

Our implementation also protects the confidentiality of the image itself, including from Apple. Merely capturing a reference image should never expose the actual pixels to Apple or anyone else. We achieve this through the exceptional privacy properties of PCC — the nodes themselves are architected so that not even Apple can access image data, just as Apple cannot see the information processed for Apple Intelligence in PCC. While the revocation service must maintain a private record of photo GUIDs and associated sensors to allow for revocation, it never has access to the image data, and does not allow for public access to this record. And as final revocation checks occur using on-device lists, a device never reveals to anyone which photo it’s looking at in order to find out whether it’s still valid.

Waarbij het goed is om te weten dat PCC staat voor Private Cloud Compute.

De vertaling:

Andere oplossingen in de industrie vereisen dat een fotograaf of instelling garant staat voor een afbeelding met behulp van hun eigen inloggegevens. We zijn bezorgd dat dit sommige fotografen, zoals degenen die in conflictgebieden opereren, in een moeilijke positie brengt; het zou niet nodig moeten zijn om af te zien van anonimiteit om de authenticiteit van het beeld te bewijzen. We hebben Apple Reference Image gebouwd om te voorkomen dat we een expliciete, openbare referentie voor fotografen gebruiken, en om zelfs impliciete openbare associatie tussen verschillende foto's die door dezelfde sensor zijn gemaakt, te voorkomen. De uiteindelijke referentieafbeelding is in plaats daarvan ondertekend door de ondertekeningsservice van Apple, na validatie door PCC. Die handtekening wordt ondersteund door de sterkste technische garanties van Apple.

Onze implementatie beschermt ook de vertrouwelijkheid van de afbeelding zelf, ook van Apple. Alleen het vastleggen van een referentieafbeelding mag de werkelijke pixels nooit blootstellen aan Apple of iemand anders. We bereiken dit door de uitzonderlijke privacy-eigenschappen van PCC - de knooppunten zelf zijn zo ontworpen dat zelfs Apple geen toegang heeft tot beeldgegevens, net zoals Apple de verwerkte informatie voor Apple Intelligence in PCC niet kan zien. Hoewel de intrekkingsdienst een privérecord van foto-GUID's en bijbehorende sensoren moet bijhouden om intrekking mogelijk te maken, heeft deze nooit toegang tot de beeldgegevens en staat het geen openbare toegang tot dit record toe. En aangezien de laatste intrekkings-controles plaatsvinden met behulp van lijsten op het apparaat, onthult een apparaat nooit aan iemand naar welke foto het kijkt om erachter te komen of deze nog steeds geldig is.

Apple Reference Image is inmiddels wereldwijd beschikbaar, behalve in China en de EU.

. . . " een foto niet is aangepast " . . .

Vooraleer de opname zichtbaar is op het scherm is er al een horde aan software over gegaan die allerlei kunstgrepen uitvoerde om je foto er toch maar zo goed mogelijk te laten uitzien.

Maar ik neem dat men dat niet bedoelt.

Wat ik ervan begrijp is dat het systeem een referentieafbeelding bewaart, dan als er wijzigingen gedaan worden er een kopie wordt gemaakt. Die referentieafbeelding blijft onaangetast en is voorzien van geëncrypteerde kenmerken, waardoor je altijd kunt bewijzen dat die foto daadwerkelijk is genomen en dat het geen AI is.

. . . " een foto niet is aangepast " . . .

Vooraleer de opname zichtbaar is op het scherm is er al een horde aan software over gegaan die allerlei kunstgrepen uitvoerde om je foto er toch maar zo goed mogelijk te laten uitzien.

Nee, de pure pixel-output van de sensor, voordat zelfs de firmware van de sensor de pixels kan bewerken om er een RAW-bestand van te maken, wordt opgeslagen. Er wordt buiten de encryptie etc van Apple dus geen verdere software bewerking op uitgevoerd. Daarom werkt het ook alleen als de sensor zelf erop is aangepast, en niet op de raw-uitvoer van andere sensors.

Interessante discussie op HN.

  ...

Welke idioot ...

Bij Apple ...

Heeft ooit bedacht dat dit een goed idee zou zijn ...

 

What The F*ck ...

Oh ... mijn God ...

Dit is niet goed ... d-r-a-m-a-t-i-s-c-h 

van het ModeratorTeam

Onnodige herhaling van bovenstaande post verwijderd

De visionair die Apple soms graag is vindt dit een goed idee. Het leest als nobel, bescherming van de journalisten. Als dat waar is, buiten kijf staat dat journalisten beschermd moeten worden,  dan zet Apple een goede stap.

Ik lees dr Apple, vertel wat is het probleem?

d-r-a-m-a-t-i-s-c-h 

Jouw post ja, die is dramatisch. Doe even normaal en zeg wat je dwars zit in dit verhaal. Heel graag in beknopte vorm. Ik heb de HN discussie deels gelezen maar daar blijken ook nog wat verkeerde aannames rond te zingen dus ik hoor graag - kort en onderbouwd - wat er nou zo dramatisch zou zijn.

Waarde @boiing ...

Je hebt een punt, en je verdient hier nog een fatsoenlijk antwoord op. Mijn uitgebreide stuk volgt later vandaag, want mijn reactie van gisteren, "Welke idioot… WTF… dramatisch", was natuurlijk nogal uit de heup geschoten. 😇

En voor alle duidelijkheid: je punt over Apples privacymaatregelen klopt.

Apple heeft hier juist zichtbaar over nagedacht. Geen publieke sensor-ID waarmee iedereen foto's van hetzelfde toestel simpel aan elkaar kan knopen, PCC hoort de pixels niet te kunnen inzien, en Apple schrijft zelfs expliciet dat bijvoorbeeld een fotograaf in een conflictgebied zijn anonimiteit niet zou moeten hoeven opgeven om de authenticiteit van een beeld te kunnen aantonen.

Dat vind ik belangrijk om recht te zetten.
Mijn schrik zit daarom niet primair in wat Apple vandaag doet.
Mijn schrik zit in wat er technisch mogelijk wordt zodra anderen, platformen, opsporingsdiensten, overheden, wetgevers, daar later hun eigen beleidslaag bovenop leggen.

Heel kort samengevat:

• Vandaag kan zo'n attestatie aantonen: "deze echte sensor heeft deze pixels daadwerkelijk waargenomen."
• Dat is technisch bijzonder knap en ik twijfel eigenlijk niet eens aan de goede bedoeling erachter.
• Maar een platform of overheid kan daar ooit van maken: "alleen beelden mét een door ons erkende attestatie worden nog verwerkt, geïndexeerd of verspreid."
• Combineer dat met een account-, SIM-, toestel- of identiteitsverplichting en provenance kan alsnog aan een persoon worden gekoppeld, zonder dat Apple ooit een publieke fotograaf-ID in de foto heeft hoeven stoppen.
• En daarbovenop zit nog een tweede gevaar: het cryptografische feit kan extreem sterk zijn, terwijl de context die anderen eraan verbinden helemaal niet cryptografisch bewezen is.

Dat laatste vind ik inmiddels misschien nog belangrijker.

Een attestatie kan heel sterk onderbouwen:

Deze sensor heeft deze pixels gezien.

Maar een opsporings- of datasysteem kan daar vervolgens heel gemakkelijk een keten van maken:

Dit toestel zag gebeurtenis X → dit toestel hoort bij persoon Y → persoon Y was daar → persoon Y is relevant of verdacht.

En daar zit voor mij de angel.

Alleen die eerste stap is cryptografisch hard.
De rest bestaat uit gevolgtrekkingen.

Een sensor weet niet wie de telefoon vasthield. Hij weet niet of het toestel was uitgeleend. Hij weet niets over intentie. Hij weet zelfs niet of hij een werkelijke gebeurtenis, een scherm, spiegel, decor of andere gereproduceerde werkelijkheid fotografeerde.

Maar een machine kan de handtekening in een fractie van een seconde controleren.

VALID SIGNATURE.

Het reconstrueren van de context eromheen kan daarentegen weken, maanden of zelfs jaren kosten.
Daar ontstaat een enorme bewijsasymmetrie.
De staat, het platform of de veiligheidsdienst heeft één eenvoudig technisch datapunt.
De burger heeft vervolgens misschien een ingewikkeld menselijk verhaal nodig om uit te leggen waarom de conclusie die daaraan wordt verbonden niet klopt.

Dat klinkt misschien theoretisch, maar precies daarom moest ik tijdens mijn pauze denken aan het recente, afschuwelijke geval rond Marziyeh "Sevda" Ebrahimi Shamsabadi in Iran. Volgens de berichtgeving is zij ter dood veroordeeld op meerdere veiligheidsgerelateerde aanklachten; daarbij wordt haar onder meer verweten dat zij foto's van een militaire locatie heeft gemaakt en naar buitenlandse Perzischtalige media heeft gestuurd.

Ik zeg nadrukkelijk niet dat Apple Reference Image daarmee iets te maken heeft, natuurlijk niet.

Mijn punt is juist:

dit soort regimes en rechtssystemen bestaan vandaag al.
En dan hoef je voor het ongemakkelijke gedachtenexperiment niet eens naar Iran.
Ook binnen Europa bestaan plaatsen waar het vastleggen van bepaalde objecten wettelijk verboden kan zijn.

Neem Polen. Daar kan het zonder toestemming fotograferen, filmen of zelfs doorsturen van beeldgegevens van een militair of inlichtingendienstobject dat met het officiële verbodsbord is gemarkeerd, worden bestraft met een geldboete. De wet is in 2025 overigens versoepeld, de eerdere arrestmogelijkheid is geschrapt, maar het verbod zelf bestaat nog steeds.

Bijvoorbeeld zo'n bord:



En nu komt mijn probleem met deze techniek.

Vandaag kan iemand nog ontkennen dat een willekeurig JPEG-bestand daadwerkelijk uit zijn camera kwam. EXIF kan verdwijnen. Een afbeelding kan zijn doorgestuurd, aangepast, opnieuw opgeslagen of ergens anders vandaan komen. Het verband tussen bestand, capture-device en uiteindelijk persoon moet afzonderlijk worden bewezen.

Met hardware-attestatie voegen we daar ineens een kwalitatief ander soort bewijs aan toe:

Deze beeldinformatie kwam werkelijk uit een gecertificeerde fysieke capture-chain.

Apple heeft er verstandig voor gezorgd dat dat vandaag niet simpelweg publiek naar mijn identiteit terugleidt.

Maar stel nu dat een toekomstige wetgever zegt:

Authentieke beelden moeten hun provenance behouden.

Een platform zegt:

Zonder erkende provenance accepteren of verspreiden wij het beeld niet.

En tegelijkertijd geldt:

Om dit netwerk, account of communicatiesysteem te gebruiken moet je identiteit bekend zijn.

Dan klappen drie systemen in elkaar die afzonderlijk nog heel redelijk kunnen klinken:

hardware-attestatie + verplichte provenance + identiteitskoppeling

En daar zit mijn WTF-reactie.
Niet omdat Apple vandaag een trackingmachine heeft gebouwd.
Dat zou ik na het lezen van hun documentatie juist níét willen beweren.

Het probleem is dat Apple hiermee een buitengewoon krachtige bouwsteen voor digitale bewijsvoering introduceert, die later onderdeel kan worden van een heel andere technische en juridische omgeving dan Apple vandaag voor ogen heeft.

Sony verdient daarbij trouwens ook een vermelding: Apple heeft het algemene idee van camera-authenticatie niet uitgevonden. Sony gebruikt in ondersteunde Alpha-camera's al langer hardwarematige digitale ondertekening voor zijn Camera Authenticity Solution.

En technisch snap ik het doel volkomen.
In een wereld van generatieve AI wil je kunnen aantonen:

"nee, dit beeld is niet achteraf door een AI uit het niets gegenereerd; een echte sensor heeft dit daadwerkelijk gezien."

Fantastisch.

Maar vervolgens komt de vraag waar ik niet makkelijk overheen kom:

Hoe implementeer je als bedrijf dat privacy zo nadrukkelijk als kernwaarde presenteert een technologie met potentieel zó'n zware maatschappelijke impact, zonder óók heel nadrukkelijk na te denken over wat er gebeurt wanneer de rechtsorde rond die technologie verandert?

Want wetten veranderen.
Regeringen veranderen.
Definities van "gevaarlijke informatie", "staatsveiligheid", "desinformatie" en "toegestane bron" veranderen.
De cryptografie verandert daarbij niet.

En daarom zit mijn angst uiteindelijk niet in:

"Apple kan vandaag zien wie deze foto maakte."

Mijn angst zit in de mogelijke ontwikkeling van:

"verified is extra informatie"

naar:

"unverified vertrouwen we niet"

naar:

"unverified verspreiden we niet"

en uiteindelijk:

"unverified mág niet meer meedoen."

Dát is waar mijn nogal theatrale reactie van gisteren vandaan kwam. 😉

Uitgebreider binnenkort als de tijd het toestaat. Evenals de meesten van ons heb ik ook zo mijn verplichtingen.

Met hoogachtende groet,

Doctor

van het ModeratorTeam

We hebben een heleboel returns in dit bericht verwijderd, want het is al een erg lange bijdrage, en die werd daardoor echt onleesbaar.

Uitgebreider binnenkort als de tijd het toestaat.

Ehh, het is helder hoor. Nóg uitgebreider: liever niet. Ik begrijp wat je bedoelt maar zoals je zelf een aantal keren duidelijk aangeeft heb je geen probleem met wat Apple nu gemaakt heeft en hoe ze het bedoeld hebben. Je bent bang voor wat er theoretisch mee zou kunnen. Speculatie dus! Vooralsnog is er geen enkele aanwijzing dat het die richting uit gaat of zal gaan, en mocht dat wel zo zijn weet ik zeker dat Apple dat niet zal willen of niet zal toestaan of zal verhinderen. En voor zover ik het begrijp kan het technisch sowieso niet, dat waar jij bang voor bent. Een fotograaf kan bewijzen dat zijn foto authentiek is, maar het werkt niet andersom.

Privacy preservation: an outside observer cannot determine whether any pair of reference images were taken by the same device. Image contents are not exposed to Apple or anyone else. (Apple)

@boiing, ik denk dat we inmiddels op één woord uitkomen waar ik echt bezwaar tegen heb: "technisch onmogelijk".

Dat is volgens mij op basis van Apples eigen technische beschrijving niet vol te houden.

Je hebt namelijk volledig gelijk over deze privacygarantie:

Privacy preservation: an outside observer cannot determine whether any pair of reference images were taken by the same device.

Maar lees heel precies wat daar staat:

an outside observer

en:

cannot determine whether any pair of reference images were taken by the same device.

Dat betekent dat Apple probeert te voorkomen dat ik twee publiek verspreide Reference Images pak en daaruit kan afleiden:

"Aha, foto A en foto B zijn met dezelfde iPhone gemaakt."

Prima. Sterker nog, dat vind ik een erg goede ontwerpkeuze.

Maar de architectuur onder die publieke afbeelding werkt heel anders.

Apple beschrijft zelf dat PCC eerst controleert dat sensor en Secure Enclave bij dezelfde specifieke iPhone horen. PCC kan volgens Apple vaststellen dat de opname afkomstig is van een geldige sensor-device pairing.

Vervolgens gebeurt er iets dat voor deze discussie nogal belangrijk is.

Na ontwikkeling stuurt PCC volgens Apples eigen technische beschrijving onder meer:

photo GUID + raw hash + confidence score + sensor ID

naar een aparte companion service.

Die service registreert die gegevens en houdt bovendien een score voor die sensor bij, zodat uiteindelijk individuele foto's of een sensor kunnen worden ingetrokken.

Dus intern bestaat die koppeling wel degelijk.

Niet publiek:

Reference Image → publiek uitleesbaar serienummer iPhone

maar binnen de architectuur:

opname → photo GUID → sensor ID → gevalideerde sensor/device-combinatie

Apple schermt die relatie vervolgens bewust af voor de buitenwereld. Dat is iets wezenlijk anders dan zeggen dat die relatie technisch niet bestaat.

En daar komt PCC nog bij.

PCC is geen chipje in je telefoon. Het is Apples beveiligde cloud-computeomgeving.

Bij het ontwikkelen van een Reference Image wordt de secure digital negative daadwerkelijk naar PCC geüpload. Apple zegt zelf dat PCC daar onder andere demosaicing, tone mapping en compressie uitvoert.

Met andere woorden: de ruwe beeldinformatie moet binnen die vertrouwde PCC-workload daadwerkelijk leesbaar en verwerkbaar zijn.

Apple heeft daar een indrukwekkende beveiligingsarchitectuur omheen gebouwd. De telefoon controleert welke PCC-build draait, productiebuilds staan in een cryptografische transparency log en Apple stelt dat zelfs Apple-personeel niet bij de beelddata kan.

Maar ook hier is het belangrijke onderscheid:

De data kunnen niet worden verwerkt

is iets totaal anders dan:

De data worden verwerkt in een technisch afgeschermde omgeving waarvan Apple zegt dat alleen de toegestane code erbij kan.

Het tweede is wat Apple gebouwd heeft.

En juist daarom vind ik jouw stelling:

Een fotograaf kan bewijzen dat zijn foto authentiek is, maar het werkt niet andersom.

te absoluut.

Een buitenstaander kan uit de eindfoto inderdaad niet zomaar het toestel identificeren.

Maar een ontvangend systeem kan wel degelijk vaststellen:

heeft deze afbeelding een geldige Apple Reference Image-attestatie: ja of nee?

Anders zou het hele systeem weinig zin hebben.

En daarmee kan een platform, zonder één privacybescherming van Apple te breken, morgen de regel invoeren:

geldige Reference Image = accepteren
geen geldige Reference Image = niet accepteren

Daarvoor hoeft het helemaal niet te weten welke iPhone de foto maakte.

Dat noemde ik eerder het verschil tussen identificatie en toelatingscontrole.

En als datzelfde platform daarnaast al weet wie ik ben omdat mijn account, abonnement of aansluiting aan mij gekoppeld is, ontstaat identiteit buiten ARI om.

ARI hoeft mijn naam dus helemaal niet te bevatten.

Dat is precies mijn punt.

Wat mij nu trouwens nog nieuwsgieriger maakt, is de regionale beperking.

Apple zegt zelf dat ARI in China bij introductie niet beschikbaar is vanwege "regulatory requirements".

Voor de EU zegt Apple iets subtiel anders: capture is bij introductie niet beschikbaar, terwijl Europese gebruikers Reference Images wel kunnen ontwikkelen en bekijken.

Dat laatste is belangrijk, want ontwikkelen is juist de stap waarbij de secure digital negative door PCC wordt verwerkt.

Ik ga daarom nadrukkelijk niet beweren:

"Aha, de EU heeft ARI verboden vanwege PCC."

Dat weten we helemaal niet.

Apple vertelt voor de EU op dit moment niet waarom capture ontbreekt.

Maar het laat wel iets interessants zien: deze functie is kennelijk niet alleen een lokaal cameratrucje. Het is een keten van sensor, Secure Enclave, device-attestatie, timestamps, PCC, companion service, sensor-ID, revocatie en Apples signing service.

En delen van die keten krijgen kennelijk nu al per rechtsgebied een andere behandeling.

Dat alleen al is volgens mij reden om voorzichtig te zijn met:

"Apple zal het nooit toestaan en technisch kan het sowieso niet."

Overigens wil ik ook twee dingen nadrukkelijk in jouw voordeel noemen.

Reference Mode is vandaag opt-in.

En de gebruiker kan bij het delen de Reference Image weglaten.

Dus nee, de iPhone 18 Pro is vandaag geen verplicht staatsattestatie-apparaat. Dat beweer ik niet.

Mijn threat model begint juist bij de vraag:

Wat verandert er wanneer die vrijwilligheid ooit buiten Apple om verdwijnt?

Bijvoorbeeld doordat een verzekeraar, journalistiek platform, werkgever, overheid of netwerk zegt:

"Zonder geverifieerde provenance behandelen wij dit beeld niet meer als geldig."

Op dat moment hoeft Apple niets kwaadaardigs te doen.

De cryptografie hoeft niet gekraakt te worden.

De unlinkability tussen publieke foto's mag volledig blijven werken.

Het enige wat verandert is het beleid rond een eigenschap die technisch al verifieerbaar is.

En dat brengt mij eigenlijk bij de kern van mijn bezwaar.

Je mag mijn toekomstscenario gerust speculatief noemen. Dat is het ook.

Maar dan moeten we twee uitspraken uit elkaar houden:

"Er is momenteel geen aanwijzing dat Apple dit zo wil gebruiken."

Daar ben ik het mee eens.

en:

"De architectuur maakt zo'n gebruik technisch onmogelijk."

Daar zie ik in Apples documentatie juist geen basis voor.

Sterker nog, Apples eigen beschrijving laat zien dat de keten intern veel meer weet dan de uiteindelijke publieke Reference Image prijsgeeft.

En eerlijk gezegd is dat precies hoe goede privacyarchitectuur vaak werkt:

de informatie bestaat waar zij noodzakelijk is, maar wordt door technische scheidingen niet aan onbevoegde partijen prijsgegeven.

Dat vind ik een verdedigbaar ontwerp.

Maar daarmee wordt privacy dus mede afhankelijk van het intact blijven van die scheidingen, de toegestane PCC-code, de wettelijke kaders en het vrijwillige karakter van de toepassing.

En dát is precies waarom ik ernaar kijk als een securityvraag en niet alleen als een vraag naar Apples huidige intentie.

Goede intenties zijn relevant.

Een goed ontwerp is relevant.

Maar een threat model vraagt ook:

"Wat gebeurt er wanneer de omgeving waarin dat ontwerp moet functioneren verandert?"

Volgens mij is dat de discussie die we hier eigenlijk voeren. Maar ... ik liet me weer gaan, terwijl het werk roept!

Sluipen hier een soort bijbelteksten binnen ?
Alleszins dingen die je graag/noodgedwongen overslaat. 

dus ik hoor graag - kort en onderbouwd - wat er nou zo dramatisch zou zijn.

Moehaha!
Je vraagt een korte reactie van Doctor Apple!
Hoe naïef!
Of humor, dat kan ook...

Ik probeer er maar bij te glimlachen, lukt niet altijd. Zeker niet met de vele witregels die er sinds kort nog bijkomen .

Inhoudelijk: dank doctor_apple. Ik geef je gelijk dat ik iets te kort door de bocht was en begrijp nu beter je zorgen. Een onbedoeld neveneffect van de goede bedoelingen van Apple, denk ik. Ik zag het meer in het kader van bewijslast-tegen-de-maker in rechtszaken vs anonimiteit maar je stipt een belangrijk punt aan i.v.m. mogelijke toegangscontrole etc. Dat kan ik niet ontkennen, dat hier op die manier misbruik van gemaakt zou kunnen worden. Goed dat er opt-out is in ieder geval, en discussie hierover is belangrijk. Zodat het langzaam helder wordt wat de afwegingen tussen de voor- en nadelen zijn van deze 'feature'.