TetraFence: Re-Auditable Mobile Field Evidence with Immutable Location Anchoring

In der modernen Welt verlassen wir uns oft auf Smartphones, um die physische Welt zu dokumentieren – vom Nachverfolgen des Weges von Lebensmitteln vom Bauernhof bis zum Tisch bis hin zur Verifizierung, dass Bauarbeiten dort stattfanden, wo sie sollten. Doch in dieser digitalen Aufzeichnung existiert ein stilles Problem: Ein durch ein Telefon aufgenommenes Foto ist nur so vertrauenswürdig wie die Geschichte, die darüber erzählt wird, wo und wann es aufgenommen wurde. Wenn ein Foto in eine Datenbank hochgeladen wird, garantiert nichts in der Datenbank selbst, dass das Bild nicht an einem anderen Ort aufgenommen wurde oder dass die mit dem Bild verknüpften Koordinaten nicht gefälscht wurden. Diese Lücke zwischen dem Moment, in dem ein Bild geschossen wird, und dem Moment, in dem es gespeichert wird, schafft eine „Provenienz-Lücke“, einen Raum, in dem Vertrauen leicht verloren gehen kann. Um dies zu lösen, haben Forscher begonnen, sich mit Blockchain zu beschäftigen, einer Art digitalem Kontobuch, das Informationen so aufzeichnet, dass sie nach dem Schreiben nahezu unmöglich zu verändern sind. Das bloße Aufzeichnen eines Ergebnisses auf einer Blockchain behebt das Problem jedoch nicht, wenn das Ergebnis selbst auf einer Lüge oder einem Fehler basierte, der gemacht wurde, bevor die Daten das Register überhaupt erreichten. Die wahre Herausforderung besteht darin, nicht nur das endgültige Urteil zu erfassen, sondern die Rohbeweise – den exakten Standort, die Zeit und das Bild selbst –, damit jeder später zurückblicken und die Mathematik erneut prüfen kann, um zu sehen, ob die Geschichte immer noch Bestand hat.

Dies ist das spezifische Problem, das ein Team unter der Leitung von Duy-Quan Nguyen mit einem System namens TetraFence lösen wollte. Die Forscher wollten eine zuverlässige Pipeline für mobile Feldbeweise entwickeln, insbesondere für landwirtschaftliche Arbeiter, die nachweisen müssen, dass sie Erntekulturen oder Einrichtungen an den richtigen Orten inspiziert haben. Sie testeten ihr System in Vietnam an drei verschiedenen Standorten: einem riesigen Reisfeld, das sich über hunderte Hektar erstreckt, einer kleinen Verarbeitungsanlage und einer Baumschule. Das Ziel war es, einen Arbeitsablauf zu schaffen, bei dem das gewöhnliche Smartphone eines Arbeiters ein Foto aufnimmt, automatisch den aktuellen Standort und die Zeit des Geräts abruft und diese Informationen in einem sicheren, unveränderlichen Datensatz sperrt. Das System wurde streng in Bezug darauf gestaltet, wie Daten in das System gelangen; zum Beispiel erlaubte die App nur Fotos, die direkt durch die Kameralinse aufgenommen wurden, um zu verhindern, dass Nutzer einfach alte Bilder aus ihrer Galerie hochladen. Sobald das Foto und die Standortdaten gesammelt wurden, prüfte das System, ob sich der Arbeiter innerhalb einer angemessenen Entfernung des korrekten Grundstücks befand, bevor die Informationen an ein privates Blockchain-Netzwerk gesendet wurden.

Der Kern der Forschung bestand darin, zu sehen, ob dieses System tatsächlich in der Lage ist, die Fähigkeit zur späteren Re-Auditierung der Beweise zu bewahren. In einem Standard-System, wenn ein Manager die Karte eines Farmstücks ändert, könnten alte Fotos plötzlich so aussehen, als wären sie am falschen Ort aufgenommen worden, obwohl sich das Foto selbst nicht geändert hat. Die Forscher wollten wissen, ob sie die ursprüngliche Karte und das ursprüngliche Foto so zusammen speichern konnten, dass ein zukünftiger Auditor genau dieselbe Berechnung wiederholen und dasselbe Ergebnis erhält, unabhängig davon, wie sich die Karten später ändern. Um dies zu testen, führten sie 44 reale Ereignisse im Feld durch. Sie entwickelten daraufhin zwei verschiedene Computerprogramme, um die Ergebnisse zu prüfen: eines, das in einer für Webdienste üblichen Sprache geschrieben war, und eines, das speziell für die Blockchain geschrieben wurde. Sie speisten exakt dieselben 44 Datensätze in beide Programme ein, um zu sehen, ob sie sich darüber einig waren, ob der Arbeiter innerhalb oder außerhalb des ausgewiesenen Bereichs war.

Die Ergebnisse zeigten, dass das System mit bemerkenswerter Konsistenz arbeitete. Bei den 25 Ereignissen, bei denen sich die Grenzen des Landes nicht änderten, stimmten beide Computerprogramme perfekt darüber überein, ob der Arbeiter innerhalb oder außerhalb der Zone war. Wenn die Programme die Entfernung von der Grenze berechneten, waren ihre Antworten nahezu identisch und unterschieden sich im Durchschnitt um nur 0,16 Meter, wobei die größte Differenz lediglich 1 Meter betrug. Diese kleine Fehlermarge liegt gut innerhalb des normalen Unsicherheitsbereichs eines Standard-Smartphones mit GPS. Das System bewältigte auch Grenzfälle, wie etwa einen Arbeiter, der 51 Meter von einer Einrichtung entfernt stand. Anstatt das Foto einfach als „falsch“ abzulehnen, markierte das System es mit einer „gelben“ Warnung, wodurch der Datensatz erhalten blieb, während gleichzeitig vermerkt wurde, dass er weit genug entfernt war, um eine genauere Betrachtung zu erfordern. Dieser abgestufte Ansatz ermöglichte es dem System, nützliche Daten zu behalten, ohne eine starre „Ja oder Nein“-Entscheidung zu erzwingen, die rechtmäßige Arbeit, die sich nur knapp außerhalb einer Zaunlinie befand, verwerfen könnte.

Die Studie deckte jedoch auch einen kritischen Fehler auf, der in der Gestaltung solcher Systeme oft vorkommt und der erst sichtbar wurde, als die Forscher den Standort der Baumschule untersuchten. In diesem Fall wurde das Grundstück, das einer Charge von Datensätzen zugewiesen war, von einer kleinen Fläche von 9.999 Quadratmetern in eine riesige, 448 Hektar große Fläche geändert, die neun Kilometer entfernt lag. Als die Forscher versuchten, die alten Fotos unter Verwendung der neuen, größeren Karte neu zu bewerten, änderten sich die Ergebnisse vollständig. Zwei Fotos, die einst als „innerhalb“ des kleinen Grundstücks galten, wurden nun als „außerhalb“ des neuen Grundstücks eingestuft und umgekehrt. Dies geschah, weil die alten Datensätze nur das Foto und den Standort speicherten, aber nicht die spezifische Version der Karte, die zum Zeitpunkt der Aufnahme verwendet wurde. Die Forscher fanden heraus, dass ohne die Bindung der spezifischen Kartenversion an das Ereignis die Bedeutung der Beweise durch eine einfache administrative Änderung stillschweigend umgeschrieben werden konnte. Um dies zu beheben, kamen sie zu dem Schluss, dass jedes Stück Beweis an die exakte Version der Geometrie gebunden sein muss, gegen die es beurteilt wurde, um sicherzustellen, dass die ursprüngliche Entscheidung immer reproduzierbar bleibt.

Die Studie maß auch die Kosten für das Ausführen dieser Prüfungen auf der Blockchain. Sie fanden heraus, dass die Verifizierung eines einzelnen Fotos gegen eine komplexe Karte mit 17 Ecken eine bestimmte Menge an Rechenleistung, bekannt als „Gas“, erforderte, die gut innerhalb der Grenzen des Netzwerks lag. Dies deutete darauf hin, dass das System einen stetigen Strom von Prüfungen bewältigen könnte, ohne das Netzwerk zu überlasten. Dennoch war der Autor vorsichtig darauf hinzuweisen, was sein System nicht tat. Er bewies nicht, dass das Telefon physisch dort war, wo es vorgab zu sein; ein geschickter Nutzer mit einem gehackten Telefon könnte den Standort immer noch fälschen. Die Stärke des Systems lag nicht darin, einen entschlossenen Betrüger zu stoellen, sondern darin, einen transparenten, unveränderlichen Datensatz zu schaffen, der es jedem ermöglicht, genau zu sehen, welche Daten verwendet wurden, um eine Entscheidung zu treffen. Durch die Bewahrung der Rohinputs – das Foto, die Koordinate, die Zeit und die Kartenversion – verwandelte das System einen einfachen digitalen Datensatz in einen reproduzierbaren Beweis.

Letztendlich demonstrierte das TetraFence-Projekt, dass mobile Datenprovenienz möglich ist, aber sie erfordert einen Wandel in der Art und Weise, wie wir über digitale Datensätze denken. Es reicht nicht aus, einfach nur ein Foto und einen Standort zu speichern; das System muss auch den Kontext speichern, in dem dieser Standort beurteilt wurde. Die Forschung zeigte, dass man, wenn man die Version der Karte an das Ereignis bindet, verhindert, dass die Vergangenheit durch Änderungen in der Gegenwart versehentlich verändert wird. Während das System der Annahme beruht, dass das Telefon selbst ehrlich ist, schuf es erfolgreich eine Pipeline, in der die Logik der Entscheidung von jedem noch lange nachdem der Arbeiter sein Telefon weggelegt hat, überprüft und erneut geprüft werden kann. Dieser Ansatz bietet eine praktische Möglichkeit, Vertrauen in mobile Beweise aufzubauen, indem er sicherstellt, dass die Geschichte, die ein digitaler Datensatz erzählt, konsistent bleibt, selbst wenn sich die Welt um ihn herum verändert.