Apple Reference Image firma le foto, ma il vero salto costa 100 euro

L’intelligenza artificiale generativa ha reso sempre più ricorrente un quesito: questa fotografia proviene davvero da una fotocamera oppure è frutto di un modello AI? Apple prova a dare una risposta spostando il problema nel punto più vicino possibile all’origine dell’immagine, cioè nel sensore. Con Apple Reference Image, appena presentato insieme a iPhone 18 Pro e iPhone 18 Pro Max, la Mela introduce una modalità nella quale i dati provenienti dal sensore della fotocamera principale sono autenticati già durante la cattura.

Private Cloud Compute (PCC), infrastruttura cloud progettata da Apple per eseguire elaborazioni sensibili su server dedicati mantenendo forti garanzie di privacy e verificabilità del software in esecuzione, interviene successivamente per trasformare quei dati firmati in una sorta di “negativo digitale” non modificabile, utilizzabile come riferimento per verificare una fotografia.

A prima vista sembra la soluzione definitiva contro immagini sintetiche, deepfake e manipolazioni. Non lo è. Ma ridurre Reference Image a una trovata di marketing sarebbe altrettanto sbagliato.

Apple Reference Image: la verifica comincia dal sensore

Apple utilizza una formulazione particolarmente efficace: il nuovo sensore della fotocamera principale di iPhone 18 Pro sarebbe capace di “firmare ogni pixel che vede“.

Non significa che il sensore generi milioni di firme crittografiche indipendenti: sarebbe una soluzione enormemente inefficiente e Apple, soprattutto, non ha pubblicato al momento una specifica crittografica sufficientemente dettagliata.

Il significato tecnologicamente interessante è un altro: la catena di autenticazione nasce a livello dei dati prodotti dal sensore, prima che una normale applicazione possa sostituire arbitrariamente l’immagine con contenuti generati dal software.

Se un’applicazione ricevesse un’immagine, ne calcolasse l’hash e lo firmasse successivamente, la firma dimostrerebbe soltanto che quel file è passato attraverso quell’applicazione. Non dimostrerebbe che i pixel derivano realmente dal sensore fotografico. Reference Image cerca invece di introdurre una “garanzia” al livello più basso.

Fonte dell’immagine: Apple

Perché entra in gioco Private Cloud Compute

Se il sensore dispone già di meccanismi crittografici, perché non completare tutta la verifica localmente?

Il processo di autenticazione coinvolgerebbe dati provenienti dal sensore, firme associate alla cattura, informazioni temporali e identificatori hardware. PCC può stabilire se quei dati provengono effettivamente da un sensore riconosciuto e produrre quindi l’immagine autenticata. Il sistema prevede inoltre la possibilità di rifiutare autenticazioni provenienti da hardware ritenuto compromesso e di gestire eventuali revoche.

Si intravede quindi una vera e propria Public Key Infrastructure (PKI), anche se Apple non ne ha ancora illustrato pubblicamente ogni componente.

In un sistema di questo tipo ogni dispositivo, sensore o componente sicuro può possedere un’identità crittografica. Una chiave privata non esportabile consente di generare firme; Apple, attraverso la propria infrastruttura di fiducia, può verificare che la firma appartenga a hardware legittimo.

La sicurezza non dipende dunque soltanto dall’algoritmo utilizzato per firmare i dati. Dipende anche dalla protezione delle chiavi, dalla loro associazione con l’hardware e dalla possibilità di revocare una credenziale nel caso in cui un determinato componente venga compromesso.

Proof of Capture: costruire una fotocamera verificabile con meno di 100 euro

Il progetto Proof of Capture è stato sviluppato da María Benavente e Alex Hornstein.

Il prototipo utilizza componenti sorprendentemente semplici: Raspberry Pi Zero 2 W, Camera Module 3 basato su Sony IMX708, un pulsante di scatto, un display e soprattutto un secure element Microchip ATECC608. Il progetto può essere realizzato con meno di 100 euro ed è disponibile pubblicamente su GitHub.

L’idea di fondo coincide con quella che rende interessante Reference Image: non provare a identificare un falso dopo che è stato creato; certificare invece il contenuto nel momento in cui esso nasce.

I detector AI tentano di riconoscere artefatti statistici lasciati dai generatori. Ma generatori e detector partecipano a una competizione continua: quando il detector impara a riconoscere una determinata caratteristica, i sistemi generativi possono essere addestrati a eliminarla.

Proof of Capture cambia completamente il modello di sicurezza introducendo la domanda seguente: “esiste una prova crittografica secondo la quale una fotocamera autorizzata ha acquisito questa immagine?”

Fonte dell’immagine: María Benavente

Il meccanismo del pHash

La prima versione del progetto utilizzava un approccio semplice: calcolare la firma SHA-256 dell’immagine e incorporarla nei bit meno significativi dei pixel.

Se cambia anche un singolo bit del file, SHA-256 produce un hash completamente differente. Il problema è che una fotografia nel mondo reale non conserva gli stessi byte: WhatsApp può ricomprimerla, un social network può ridimensionarla, un editor può cambiare il livello di compressione JPEG. Perfino una semplice conversione tra formati produce un file differente. Una verifica basata sull’hash crittografico fallirebbe miseramente.

Gli sviluppatori sono quindi passati a un perceptual hash o pHash.

Un hash percettivo non cerca di identificare esattamente una sequenza di byte bensì cerca di condensare alcune caratteristiche visive dell’immagine.

Due immagini percettivamente molto simili possono quindi produrre valori pHash molto vicini anche se JPEG, risoluzione e compressione sono differenti.

Proof of Capture utilizza un pHash di 64 bit: l’immagine è prima normalizzata a una larghezza canonica di 2048 pixel; viene poi calcolato il pHash. Il valore ottenuto è firmato utilizzando ECDSA P-256. Il payload complessivo contiene:

• un identificatore POC\x01 da 32 bit;
• il pHash da 64 bit;
• la firma ECDSA completa r || s, pari a 512 bit.

In totale, il sistema aggiunge al contenuto dell’immagine 608 bit.

La firma non è nei metadati: è nascosta nell’immagine

Numerose piattaforme eliminano automaticamente i metadati durante upload, conversione o condivisione. Una firma inserita esclusivamente nei dati EXIF rischierebbe quindi di scomparire alla prima pubblicazione.

Proof of Capture utilizza invece la tecnica della steganografia: i 608 bit che abbiamo menzionato in precedenza, sono nascosti direttamente nel contenuto visivo mediante un watermark quasi invisibile basato su DWT e DCT: Discrete Wavelet Transform e Discrete Cosine Transform.

Il meccanismo ideato dai due ricercatori non scrive brutalmente uno zero o un uno dentro un pixel. Sposta leggermente un coefficiente frequenziale verso una delle due posizioni previste: una rappresenta 0, l’altra 1. Ogni bit è inoltre replicato su numerosi blocchi, circa 15 nel prototipo, permettendo al decoder di ricostruirlo. Il risultato è molto più resistente della classica tecnica LSB steganography.

Perché il watermark sopravvive a WhatsApp e JPEG

Supponiamo che una fotografia firmata sia  ridotta al 70% e ricompressa in JPEG qualità 60: i valori esatti dei pixel cambiano enormemente.

Il file non ha più lo stesso hash SHA-256 e probabilmente gran parte dei metadati originali è scomparsa. Ma le strutture visive a bassa frequenza dell’immagine rimangono sufficientemente stabili affinché la filigrana DWT+DCT possa essere recuperata.

Nei test pubblicati dagli autori, il payload è stato estratto senza errori anche dopo una trasformazione descritta come “JPEG q60 + resize 70%, WhatsApp-like“; il sistema è riuscito inoltre a superare JPEG qualità 50 con ridimensionamento al 50%. La firma, in altre parole, viaggia dentro l’immagine.

ATECC608: la chiave privata non deve mai uscire dalla fotocamera

La protezione della chiave privata è fondamentale. Se il file della chiave ECDSA fosse semplicemente memorizzato sulla microSD della scheda Raspberry Pi, un aggressore potrebbe copiarlo e iniziare a firmare immagini artificiali come se provenissero dalla fotocamera originale.

Proof of Capture utilizza quindi il citato ATECC608, un secure element economico progettato proprio per custodire materiale crittografico. Raspberry Pi può chiedere all’ATECC608 di firmare un valore, ma non può chiedergli di restituire la chiave privata.

È lo stesso principio generale utilizzato da TPM, Secure Element, smart card e moduli HSM. Il componente che esegue l’applicazione può essere compromesso; il segreto crittografico rimane comunque isolato. Il repository GitHub contiene anche la procedura di provisioning del chip, che gli autori sottolineano essere irreversibile.

Il problema della chiave pubblica e il balzo in avanti di Apple Reference Image

Una firma ECDSA è utile soltanto se sappiamo di chi è la chiave pubblica con cui la stiamo verificando. Il repository del progetto Proof of Capture riconosce esplicitamente che la chiave pubblica deve essere ottenuta “out of band“.

Se un aggressore crea una propria coppia di chiavi, produce un’immagine AI, vi inserisce un watermark e consegna anche la propria chiave pubblica, la firma risulterà perfettamente valida.

La crittografia direbbe soltanto: “questa immagine è stata firmata dalla chiave privata corrispondente a questa chiave pubblica“. Non direbbe: “questa è la fotocamera di un incaricato dell’agenzia Reuters“. Per arrivare a quella conclusione serve una catena di fiducia capace di associare in maniera verificabile una chiave a un dispositivo o a un soggetto.

Apple non inventa la firma digitale, ma può renderla davvero universale

È precisamente uno dei problemi che Apple può risolvere molto meglio grazie al controllo congiunto di hardware, sistema operativo, secure hardware e infrastruttura cloud.

Dal punto di vista della crittografia pura, Apple Reference Image non costituisce una rivoluzione: fotocamere che firmano digitalmente le fotografie esistevano già.

Leica ha integrato Content Credentials e C2PA a partire dalla M11-P; Nikon dispone del Nikon Authenticity Service; Sony crea firme digitali direttamente nella fotocamera e può associare alle immagini anche informazioni proprietarie sulla profondità della scena.

Con Apple Reference Image, per la prima volta, un meccanismo di questo tipo arriva potenzialmente nelle mani di milioni di persone attraverso uno smartphone, con una catena di fiducia che parte dall’hardware fotografico e arriva al sistema operativo e all’infrastruttura Apple. Non bisogna installare certificati professionali, acquistare fotocamere destinate ai fotoreporter o modificare il normale workflow.

Se Reference Image diventasse nel tempo disponibile su gran parte degli iPhone, potrebbe trasformare la provenienza crittografica da funzione di nicchia a caratteristica normale di una fotografia digitale.

Apple ha scelto una strada chiusa

Esiste però un’obiezione importante. Apple Reference Image non è semplicemente un’implementazione del sistema C2PA già utilizzato da altri produttori.

C2PA definisce una struttura aperta attraverso la quale informazioni sulla provenienza, le trasformazioni applicate e le firme digitali possono accompagnare un contenuto. Un claim è firmato e inserito all’interno di un manifest verificabile; le successive applicazioni compatibili possono aggiungere informazioni alla catena di provenienza.

Il risultato non è soltanto “foto autentica” o “foto non autentica“. È potenzialmente una storia: fotocamera, cattura, Lightroom, crop, correzione colore e pubblicazione.

Apple ha scelto invece una soluzione nella quale il root of trust rimane fortemente legato alla propria infrastruttura, e in particolare a PCC.

È esattamente la critica formulata da María Benavente, co-ideatrice del progetto Proof of Capture: Apple apre API affinché software di terze parti possano visualizzare le Reference Image, ma il meccanismo di fiducia sottostante rimane nelle mani di Apple.

Da un punto di vista dell’utente consumer è probabilmente una scelta efficace. Dal punto di vista dell’interoperabilità e dell’audit indipendente è molto meno apprezzabile.