Come funziona
Le Content Credentials utilizzano firme crittografiche per creare un registro a prova di manomissione della storia di un file. Ecco come funziona il processo dall'inizio alla fine.
1. Il flusso di firma
Quando scatti una foto con un dispositivo abilitato C2PA o modifichi un file con un software compatibile, viene creato un manifesto firmato crittograficamente. Questo manifesto accompagna il file ovunque vada.
Dalla cattura alla verifica
Cattura
La fotocamera o l'app registra il contenuto con i metadati
Firma
Il dispositivo crea una firma crittografica
Distribuzione
Il file viene condiviso con le credenziali allegate
Verifica
Chiunque puo controllare che la firma sia valida
2. La catena di fiducia
Le firme da sole non bastano: dobbiamo anche sapere chi ha firmato il contenuto. C2PA utilizza una catena di fiducia dei certificati, simile a come funziona HTTPS per i siti web. Un'autorita di certificazione radice emette certificati alle organizzazioni, che li usano per firmare i propri contenuti.
Catena di fiducia dei certificati
CA radice
Autorita di certificazione attendibile
Intermedio
Certificato a livello di organizzazione
Entita finale
Certificato del dispositivo o del software
Firma
Firma il manifesto del contenuto
Quando RealConfirmation verifica un file, controlla se il certificato di firma risale a una radice attendibile. Se la catena e valida, il file viene mostrato come Verificato. Se la firma e crittograficamente valida ma il certificato non e nell'elenco di attendibilita, viene mostrato come Valido, firmatario non attendibile.
3. Il processo di verifica
Quando carichi un file su RealConfirmation, ecco cosa succede, tutto nel tuo browser, senza che nulla venga inviato ai nostri server:
Cosa fa RealConfirmation
Lettura file
Analizza il file nel tuo browser
Estrazione manifesto
Trova i metadati C2PA incorporati
Convalida firma
Verifica la firma crittografica
Controllo attendibilita
Verifica il certificato rispetto all'elenco di attendibilita
Mostra risultato
Visualizza lo stato di verifica e i dettagli
Cosa significa ogni risultato
Verificato
Il file ha un manifesto C2PA valido firmato da un certificato attendibile. Il contenuto non e stato manomesso dalla firma.
Valido, firmatario non attendibile
La firma crittografica e valida (il contenuto non e stato manomesso), ma il certificato di firma non e ancora nell'elenco di attendibilita standard. Questo e comune per i firmatari piu recenti come OpenAI.
Nessuna Content Credential
Il file non contiene metadati C2PA. Questo non significa che il contenuto sia falso: la maggior parte dei file oggi non ha ancora credenziali.
Credenziali non valide
Il file ha metadati C2PA, ma la firma e compromessa o il contenuto e stato modificato dopo la firma. Le credenziali non sono attendibili.