TetraFence: Re-Auditable Mobile Field Evidence with Immutable Location Anchoring

Dans le monde moderne, nous comptons souvent sur les smartphones pour documenter le monde physique, de la traçabilité des aliments de la ferme à la table jusqu'à la vérification que des travaux de construction ont bien eu lieu là où ils étaient censés se dérouler. Mais un problème silencieux existe dans cette tenue de registres numériques : une photographie prise par un téléphone n'est aussi fiable que l'histoire racontée sur l'endroit et le moment où elle a été prise. Si une photo est téléchargée dans une base de données, rien dans la base de données elle-même ne garantit que l'image n'a pas été prise dans un lieu différent, ou que les coordonnées qui lui sont attachées n'ont pas été falsifiées. Ce fossé entre le moment où une photo est déclenchée et le moment où elle est stockée crée un « écart de provenance », un espace où la confiance peut facilement se perdre. Pour résoudre cela, des chercheurs ont commencé à s'intéresser à la blockchain, un type de registre numérique qui enregistre les informations d'une manière qui les rend presque impossibles à modifier une fois écrites. Cependant, le simple fait d'enregistrer un résultat sur une blockchain ne résout pas le problème si le résultat lui-même est basé sur un mensonge ou une erreur commise avant que la donnée n'atteigne le registre. Le véritable défi est de capturer non seulement le verdict final, mais aussi les preuves brutes — l'emplacement exact, l'heure et l'image elle-même — afin que quiconque puisse, plus tard, vérifier à nouveau les calculs pour voir si l'histoire tient toujours la route.

C'est ce problème spécifique qu'une équipe dirigée par Duy-Quan Nguyen a entrepris de résoudre avec un système appelé TetraFence. Les chercheurs voulaient construire un pipeline fiable pour les preuves de terrain mobiles, spécifiquement pour les travailleurs agricoles qui doivent prouver qu'ils ont inspecté les cultures ou les installations aux bons endroits. Ils ont testé leur système au Vietnam sur trois sites différents : un immense champ de riz couvrant des centaines d'hectares, une petite installation de transformation et une pépinière. L'objectif était de créer un flux de travail où le smartphone ordinaire d'un travailleur pourrait prendre une photo, récupérer automatiquement la position actuelle de l'appareil et l'heure, et verrouiller ces informations dans un enregistrement sécurisé et immuable. Le système a été conçu pour être strict sur la manière dont les données entraient dans le système ; par exemple, l'application ne permettait de prendre des photos que directement via l'objectif de la caméra, empênant ainsi les utilisateurs de simplement télécharger d'anciennes photos depuis leur galerie. Une fois la photo et les données de localisation collectées, le système vérifiait si le travailleur se trouvait à une distance raisonnable de la parcelle de terre correcte avant d'envoyer l'information vers un réseau blockchain privé.

Le cœur de la recherche consistait à voir si ce système pouvait réellement préserver la capacité de ré-auditer les preuves plus tard. Dans un système standard, si un gestionnaire modifie la carte d'une parcelle agricole, d'anciennes photos pourraient soudainement sembler avoir été prises au mauvais endroit, même si la photo elle-même n'a pas changé. Les chercheurs voulaient savoir s'ils pouvaient stocker la carte originale et la photo originale ensemble, de manière à permettre à un futur auditeur de répéter exactement le même calcul et d'obtenir la même réponse, quel que soit l'évolution ultérieure des cartes. Pour tester cela, ils ont exécuté 44 événements réels sur le terrain. Ils ont ensuite construit deux programmes informatiques différents pour vérifier les résultats : l'un écrit dans un langage courant pour les services web et un autre écrit dans un langage spécifiquement dédié à la blockchain. Ils ont injecté les mêmes 44 ensembles de données dans les deux programmes pour voir s'ils étaient d'accord sur le fait que le travailleur se trouvait à l'intérieur ou à l'extérieur de la zone désignée.

Les résultats ont montré que le système fonctionnait avec une cohérence remarquable. Pour les 25 événements où les limites du terrain n'ont pas changé, les deux programmes informatiques étaient parfaitement d'accord sur la présence ou l'absence du travailleur dans la zone. Lorsque les programmes calculaient la distance par rapport à la limite, leurs réponses étaient presque identiques, ne différant en moyenne que de 0,16 mètre, la plus grande différence étant de seulement 1 mètre. Cette faible marge d'erreur se situe largement dans la plage normale d'incertitude d'un GPS de smartphone standard. Le système a également géré avec succès les cas limites, comme un travailleur se tenant à 51 mètres d'une installation. Au lieu de simplement rejeter la photo comme étant « fausse », le système l'a signalée par un avertissement « jaune », préservant l'enregistrement tout en notant qu'il était assez éloigné pour nécessiter un examen plus approfondi. Cette approche graduée a permis au système de conserver des données utiles sans imposer une décision rigide de type « oui ou non » qui pourrait écarter un travail légitime effectué juste en dehors d'une clôture.

Cependant, l'étude a également mis en évidence une faille critique dans la conception de tels systèmes, une faille qui n'est devenue visible que lorsque les chercheurs ont examiné le site de la pépinière. Dans ce cas, la parcelle de terre assignée à un lot d'enregistrements a été modifiée, passant d'une petite zone de 9 999 mètres carrés à une zone massive de 448 hectares située à neuf kilomètres de là. Lorsque les chercheurs ont tenté de réévaluer les anciennes photos en utilisant la nouvelle carte plus grande, les résultats ont complètement changé. Deux photos qui étaient autrefois considérées comme étant « à l'intérieur » de la petite parcelle étaient désormais « à l'extérieur » de la nouvelle, et vice versa. Cela s'est produit parce que les anciens enregistrements ne stockaient que la photo et la localisation, mais pas la version spécifique de la carte qui était utilisée au moment où la photo a été prise. Les chercheurs ont constaté que sans verrouiller la version spécifique de la carte à l'événement, la signification de la preuve pouvait être silencieusement réécrite par un simple changement administratif. Pour corriger cela, ils ont conclu que chaque pièce de preuve doit être liée à la version exacte de la géométrie contre laquelle elle a été jugée, garantissant que la décision originale puisse toujours être reproduite.

L'étude a également mesuré le coût de l'exécution de ces vérifications sur la blockchain. Ils ont découvert que la vérification d'une seule photo par rapport à une carte complexe comportant 17 angles nécessitait un effort de calcul spécifique, connu sous le nom de « gas », qui était bien en deçà des limites du réseau. Cela suggérait que le système pouvait gérer un flux constant de vérifications sans encombrer le réseau. Pourtant, l'auteur a pris soin de noter ce que son système ne faisait pas. Il n'a pas prouvé que le téléphone était physement là où il disait l'être ; un utilisateur habile avec un téléphone piraté pourrait toujours falsifier une localisation. La force du système ne résidait pas dans l'arrêt d'un tricheur déterminé, mais dans la création d'un enregistrement transparent et immuable qui permet à quiconque de voir exactement quelles données ont été utilisées pour prendre une décision. En préservant les entrées brutes — la photo, la coordonnée, l'heure et la version de la carte — le système a transformé un simple enregistrement numérique en une preuve reproductible.

En fin de compte, le projet TetraFence a démontré que la provenance des données mobiles est possible, mais qu'elle nécessite un changement dans notre façon de concevoir les enregistrements numériques. Il ne suffit pas de stocker une photo et une localisation ; le système doit également stocker le contexte dans lequel cette localisation a été jugée. La recherche a montré que lorsque vous liez la version de la carte à l'événement, vous empêchez le passé d'être accidentellement altéré par les changements du présent. Bien que le système repose sur l'hypothèse que le téléphone lui-même est honnête, il a réussi à créer un pipeline où la logique de la décision peut être vérifiée et re-vérifiée par n'importe qui, longtemps après que le travailleur a posé son téléphone. Cette approche offre un moyen pratique de bâtir la confiance dans les preuves mobiles, garantissant que l'histoire racontée par un enregistrement numérique reste cohérente, même lorsque le monde qui l'entoure change.