Verifying Provenance of Digital Media: Why the C2PA Specifications Fall Short
تقدم هذه الورقة أول تحليل أمني مستقل وشامل لمواصفات C2PA، حيث تكشف من خلال الأساليب الصورية أن النظام يفشل في تحقيق أهدافه الأمنية المزعومة والمتطلبات الإضافية للنشر الموثوق، مما يحذر من الاعتماد المبكر عليه في التطبيقات عالية المخاطر مثل الصحافة والأدلة القانونية.
البحث الأصلي مُهدى إلى الملك العام بموجب CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك اشتريت للتو لوحة نادرة وباهظة الثمن. ولإثبات أنها أصلية، منحك الفنان غلافًا بلاستيكيًا خاصًا غير قابل للكسر عليه ملصق هولوغرام (تصوير مجسم). يقول الملصق: "لقد صنعت هذا يوم الثلاثاء، وأعد بأن هذا هو الأصل". تشعر بالأمان، أليس كذلك؟
الآن، تخيل أن مجموعة من خبراء الأمن (مؤلفو هذه الورقة البحثية) نظروا إلى ذلك الغلاف البلاستيكي والقواعد التي صُنع بها. اكتشفوا أنه بينما الفكرة رائعة، إلا أن الغلاف الفعلي يحتوي على ثغرات ضخمة. في الواقع، يمكن لمزور أن يستبدل الملصق بسهولة، أو يغير التاريخ، أو حتى يستخدم توقيعًا مسروقًا للفنان، ولن يلاحظ الغلاف ذلك.
إليك شرح بسيط لما تقوله الورقة البحثية حول C2PA، وهو نظام مصمم لإثبات مصدر الصور والفيديوهات الرقمية.
الفكرة الكبرى: "جواز سفر رقمي"
C2CPA هو بمثابة جواز سفر رقمي للصور والفيديوهات. عندما تقوم كاميرا أو برنامج ذكاء اصطناعي بإنشاء صورة، يحاول C2PA إرفاق "اعتماد محتوى" (علامة رقمية) بها. تهدف هذه العلامة إلى إخبارك بـ:
- من صنعها (كاميرا أو كمبيوتر).
- متى وأين تم صنعها.
- ما إذا تم تعديلها.
الهدف هو منع الناس من الانخداع بالصور المولدة بواسطة الذكاء الاصطناعي. الشركات التقنية الكبرى (مثل Adobe وGoogle وMicrosoft) تعمل على بناء هذا النظام.
المشكلة: الجواز به عيوب
اختبر الباحثون نظام C2PA ووجدوا أنه لا يعمل بالجودة التي تدعيها الشركات. لقد وجدوا ست طرق رئيسية يمكن لمخترق من خلالها خداع النظام.
1. "ملصق التاريخ" يمكن استبداله
التشبيه: تخيل أن جواز سفرك يحتوي على ختم يقول "صُدر في عام 2024". لكن الورقة التي تحمل الختم ليست ملتصقة بإحكام. يمكن للمزور نزع ختم 2024، ولصق ختم 2020، وسيظل جواز السفر يبدو "صالحًا".
ادعاء الورقة: يسمح C2PA للأشخاص بتغيير تاريخ إنشاء الصورة دون كسر الختم الأمني. إذا نشر سياسي فيديو مزيف من "الأسبوع الماضي"، فقد لا يكتشف النظام أن التاريخ كان مزيفًا.
2. استخدام مفاتيح "منتهية الصلاحية" أو "مسروقة"
التشبيه: تخيل حارس أمن عند ملهى ليلي يسمح لأي شخص بالدخول طالما يحمل بطاقة VIP. لكن الحارس لا يتحقق أبدًا مما إذا كانت تلك البطاقة قد أُبلغ عن سرقتها أو إذا كانت عضوية الشخص قد انتهت الشهر الماضي.
ادعاء الورقة: إذا سُرق المفتاح السري لكاميرا ما، أو ألغت الشركة تصريح الكاميرا لتوقيع الصور، فإن أدوات التحقق من C2PA (التي تعمل كـ "حراس") غالبًا لا تتحقق من ذلك. بل إنها لا تزال تسمح بدخول الصور المزيفة، معتقدة أنها حقيقية.
3. "الحكام" لا يتفقون
التشبيه: تخيل أنك تعرض صورة على حَكمين لتعرف ما إذا كانت حقيقية أم لا. الحكم (أ) يقول: "هذه حقيقية بنسبة 100%!". والحكم (ب) يقول: "هذا تزييف!". أنت لا تعرف من تصدق.
ادعاء الورقة: الأدوات المختلفة التي تفحص صور C2PA غالبًا ما تعطي إجابات مختلفة لنفس الصورة تمامًا. قد تقول إحدى الأدوات إن الصورة آمنة، بينما تقول أخرى إنها خطيرة. وهذا يسبب ارتباكًا للجميع.
4. ثغرة "منطقة الاستبعاد"
التشبيه: تخيل أن جواز سفرك يحتوي على قسم لـ "البيانات الشخصية" مغطى بقطعة من الشريط اللاصق. القواعد تقول: "لن نتحقق مما تحت الشريط". يمكن للمزور تمرير عنوان مزيف تحت هذا الشريط، ويظل جواز السفر يعتبر صالحًا.
ادعاء الورقة: يسمح C2PA لأجزاء معينة من الملف (مثل موقع GPS) بأن تكون "مستبعدة" من الحماية. يمكن للمهاجمين تغيير بيانات الموقع دون كسر الختم، مما يجعل الأمر يبدو وكأن الصورة التُقطت في باريس بينما التُقطت في الواقع في استوديو.
5. جواز السفر ينتهي بسرعة كبيرة
التشبيه: تحصل على جواز سفر صالح لمدة 6 أشهر فقط. بعد ذلك، حتى لو كانت الصورة حقيقية، يقول النظام: "لا يمكنني التحقق من هذا بعد الآن".
ادعاء الورقة: نظرًا لأن الشهادات الرقمية تنتهي صلاحيتها بسرعة، فإن الصور التي كانت صالحة اليوم قد تصبح "غير قابلة للتحقق" بعد بضعة أشهر. وهذا يمثل كارثة لأشياء مثل الأدلة القانونية أو سجلات الانتخابات، التي تحتاج إلى التحقق منها لسنوات لاحقًا.
6. "ختم الموافقة" مزيف
التشبيه: تخيل وجود ملصق "آمن ومعتمد" على خزنة بنك. لكن الشركة التي تمنح الملصق لا تفحص الخزنة فعليًا؛ بل تسأل مالك البنك فقط: "هل خزنتك آمنة؟" وتكتفي بتصديقه.
ادعاء الورقة: برنامج الامتثال الخاص بـ C2PA (المجموعة التي تصادق على المنتجات) لا يختبر البرمجيات أو يفحص الكود فعليًا. هم يعتمدون على الشركات لتقول: "لقد فعلنا ذلك بشكل صحيح". لذا، يمكن أن يكون المنتج "معتمدًا" ولكنه لا يزال يحتوي على الثغرات الأمنية المذكورة أعلاه.
الخلاصة
يقول الباحثون: لا تثقوا في C2PA بعد.
هم لا يقولون إن الفكرة سيئة. إنها مفهوم واعد، مثل مخطط جيد لبناء منزل. لكن البناء الحالي مليء بالشقوق. إذا استخدمنا هذا النظام الآن لأمور مهمة — مثل الأدلة القضائية، أو التقارير الإخبارية، أو السجلات المالية — فقد نُخدع بأشياء مزيفة تبدو حقيقية تمامًا.
الحل: قبل أن نعتمد على هذا النظام، يجب تشديد القواعد. نحن بحاجة للتأكد من:
- أن المفاتيح منتهية الصلاحية يتم حظرها بالفعل.
- أن التواريخ لا يمكن استبدالها.
- أن جميع أدوات التحقق تتفق مع بعضها البعض.
- أن "ختم الموافقة" يتضمن اختبارات أمنية حقيقية، وليس مجرد وعود.
حتى يتم إجراء هذه الإصلاحات، تحذر الورقة من أن الاعتماد على C2PA قد يجعل مشكلة الأخبار المزيفة أسوأ، وليس أفضل.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.