Resumen Técnico: No-Ensamblaje Semántico

1. Planteamiento del Problema

Los marcos de privacidad existentes (confidencialidad, control de acceso, control de flujo de información y limitación de la divulgación estadística) se centran en restringir el acceso a la información sensible que existe dentro de un sistema. Estos modelos asumen un "almacén" para proteger y un "flujo" para restringir. Sin embargo, en un entorno de amenazas donde el compromiso de componentes (robo de credenciales, acceso de personal interno, brecha de infraestructura) es probable en lugar de excepcional, estos marcos fallan. Si un solo componente posee información suficiente para realizar una función de identificación de objetivos (por ejemplo, vincular un dispositivo de captura específico con un contenido específico), el compromiso de ese único componente colapsa toda la garantía de privacidad.

El documento identifica una brecha: no existe una clase de sistema que no conceda nada tras la exposición de un componente porque no hay nada que conceder. El desafío es arquitectar un sistema donde la exposición completa y autorizada de cualquier componente individual no produzca datos accionables con respecto a la función de identificación de objetivos.

2. Metodología: No-Ensamblaje Semántico (SNA)

El documento introduce el No-Ensamblaje Semántico (SNA), una clase de garantía de privacidad definida no por la dificultad de lograr la exposición, sino por el rendimiento de información de la exposición cuando esta ocurre.

Definición Central

El SNA evita la evaluación de un predicado designado $f$ (por ejemplo, la atribución de dispositivo-a-contenido) asegurando que ninguna coalición de menos de un umbral definido de $t+1$ componentes pueda ensamblar una asignación suficiente al dominio de entrada de $f$.

• Semántico: Se refiere al nivel de significado de la información (qué permite hacer los datos con respecto a $f$), distinto de la seguridad semántica criptográfica.
• No-Ensamblaje: El estado suficiente (la combinación de campos de información requeridos para ejecutar $f$) se evita estructuralmente de modo que no exista en un solo componente o en una coalición por debajo del umbral.
• Inercia Arquitectónica: La garantía es estructural, no procedimental. Se logra por diseño, asegurando que la co-localización de información suficiente sea estructuralmente imposible por debajo del umbral de compromiso, en lugar de depender de políticas o confianza.

Distinción de Mecanismos Existentes

• Vs. Confidencialidad: La confidencialidad restringe el acceso a datos que existen en un lugar; el SNA evita que los datos suficientes existan en un solo lugar.
• Vs. Control de Acceso: El control de acceso media operaciones sobre almacenes existentes; el SNA elimina el almacero.
• Vs. Control de Flujo de Información (IFC): El IFC restringe las rutas de propagación para datos existentes; el SNA asegura que el estado objetivo esté arquitectónicamente ausente, de modo que no existe ningún flujo que restringir.
• Vs. Limitación de la Divulgación Estadística (SDL): El SDL limita la inferencia a partir de datos liberados; el SNA evita que el conjunto de información suficiente exista en cualquier componente por debajo del umbral, sin dejar un conjunto de datos al cual aplicar la inferencia.

Instanciación de Referencia: Arquitectura de Proveniencia de Dos Canales

El documento instancia el SNA en un sistema de proveniencia de medios (el Estándar Birthmark) diseñado para vincular dispositivos de captura con contenido autenticado sin permitir la atribución pasiva. La arquitectura separa las entregas en dos canales independientes:

1. Canal de Contenido: Transporta un hash del contenido multimedia ($H_{content}$) y metadatos hasheados opcionales. Se encamina a un Registro público (blockchain de consorcio).
2. Canal de Credenciales: Transporta un token de dispositivo cifrado (cifrado bajo la clave pública del Validador de Credenciales) y una referencia de clave. Se encamina a un Validador de Credenciales.

Flujo Operativo:

• El Servidor de Envío recibe ambos canales pero los separa. Dirige la credencial cifrada al Validador y el hash del contenido al Registro.
• El Validador de Credenciales descifra el token, verifica la membresía del dispositivo y devuelve una aprobación firmada. Nunca ve el hash del contenido.
• El Registro almacena el hash del contenido y la firma de aprobación. Nunca ve la identidad del dispositivo.
• Resultado: Ninguna parte posee tanto un identificador de dispositivo como un hash de contenido. El estado suficiente para la atribución está estructuralmente ausente.

Extensión Forense (Búsqueda hacia Atrás)

Para escenarios que requieren la revocación de dispositivos, el documento propone una ruta forense de cuatro partes (Servidor de Gobierno, Servidor de Envío 1, Servidor de Envío 2, Validador de Credenciales). Esta ruta requiere la trayectoria secuencial de las cuatro partes para reconstruir la atribución.

• Defensa Activa (Red de Seguridad): Incluye un mecanismo de "Red de Seguridad" basado en cables detonadores sobre los datos robados. Si se detecta una trayectoria forense sin autorización o se comprometen datos, estos cables detonadores alertan a otros repositorios para que purguen el contexto antes de que puedan ser hackeados, renderizando los datos objetivo permanentemente inaccesibles.
• Expiración Temporal: Todos los datos de la cadena forense se eliminan automáticamente después de tres años, cortando permanentemente la cadena de atribución.

3. Contribuciones Clave

1. Formalización del No-Ensamblaje Semántico: Una nueva clase de garantía de privacidad caracterizada por el rendimiento de información de la exposición de componentes, distinta de la confidencialidad y el control de acceso.
2. Arquitectura de Proveniencia de Dos Canales: Una instanciación estructural de SNA con pruebas ProVerif ejecutables que establecen:
   • Propiedad A (No-Correlación de Dispositivo): El validador conoce la identidad del dispositivo pero no el hash del contenido.
   • Propiedad B (No-Identificación del Observador del Registro): Los observadores ven hashes de contenido pero no pueden identificar dispositivos.
   • Propiedad C (Ceguera del Servidor de Envío): El servidor enruta datos pero no puede descifrar credenciales para identificar dispositivos.
   • Propiedad D (Puerta de Defensa Activa): Verificación formal de la correspondencia de la puerta, el secreto del estado de purga y la integridad de la cadena.
3. Costo de Privacidad Acotado de la Forense: Una caracterización formal que muestra que añadir capacidad forense (búsqueda hacia atrás) requiere el compromiso coordinado de cuatro límites organizacionales independientes, acotando el costo de privacidad.
4. El Estándar Birthmark: Una instanciación de referencia que demuestra la capacidad de despliegue en hardware de captura restringido (por ejemplo, ISPs de cámaras) donde los enfoques de Conocimiento Cero (ZK) son computacionalmente inviables.

4. Resultados y Verificación

• Verificación Formal: El documento establece cuatro propiedades verificadas por ProVerif. El modelo utiliza ECIES (asimétrico IND-CCA2) para el cifrado de credenciales, con el modelo ProVerif reflejando directamente este despliegue.
• Viabilidad Computacional: Las operaciones del lado del dispositivo (encapsulación ECIES, AES-256-GCM, SHA-256) se han evaluado para ejecutarse dentro de un presupuesto de 100ms en la ruta de captura en procesadores embebidos de clase ARM de consumo. Esto contrasta con los enfoques de pruebas ZK, que requieren segundos o minutos por prueba en hardware similar.
• Eficiencia de Almacenamiento: Los registros del Registro son compactos (153 bytes en cadena), lo que permite una operación de bajo costo para el validador.
• Divulgación Acotada: La Tabla 3 del documento detalla que cualquier compromiso de un solo componente produce solo "fragmentos de superficie de atribución". Incluso con la extensión de búsqueda hacia atrás, la atribución masiva pasiva es imposible; el peor escenario para un adversario coordinado es el testeo de hipótesis dirigido sobre medios que ya posee.

5. Significado y Reivindicaciones

El documento sostiene que el No-Ensamblaje Semántico ofrece un enfoque distinto y necesario para la privacidad en un entorno de amenazas donde la exposición de componentes es inevitable.

• Estructural vs. Procedimental: El principal significado es el cambio de una separación basada en políticas (que falla ante amenazas internas) a una separación estructural (que solo falla bajo el compromiso coordinado de múltiples componentes).
• Capacidad de Despliegue: La arquitectura aborda la "brecha de despliegue" donde los enfoques basados en ZK son demasiado pesados computacionalmente para el hardware de captura en tiempo real, mientras que los sistemas de proveniencia estándar (como C2PA) fallan cuando los metadatos son eliminados durante la distribución.
• Degradación Predictible: A diferencia de los sistemas que colapsan por completo tras una sola brecha, los sistemas SNA se degradan de manera predecible. La garantía de privacidad se mantiene siempre que el adversario no controle el número de umbral de componentes ($t+1$).
• La Gobernanza como Seguridad: El documento enfatiza que la arquitectura depende de restricciones organizacionales auditadas (por ejemplo, topes de propiedad del validador, distribución jurisdiccional) para mantener la independencia estructural. La capa de gobernanza se trata como un componente de seguridad de carga, no simplemente como una superposición administrativa.

El documento concluye que en un mundo donde las filtraciones son inevitables, diseñar para las consecuencias del fallo (asegurando que no haya nada que conceder) es tan crítico como diseñar contra el fallo. El Estándar Birthmark proporciona un camino concreto y verificable para lograr esto para la proveniencia de medios.