Verifying Provenance of Digital Media: Why the C2PA Specifications Fall Short
यह शोध पत्र C2PA विनिर्देशों का पहला व्यापक स्वतंत्र सुरक्षा विश्लेषण प्रस्तुत करता है, जो औपचारिक विधियों के माध्यम से यह प्रकट करता है कि यह प्रणाली अपने दावा किए गए सुरक्षा लक्ष्यों और विश्वसनीय तैनाती के लिए अतिरिक्त आवश्यकताओं को पूरा करने में विफल रहती है, जिससे पत्रकारिता और कानूनी साक्ष्य जैसे उच्च-जोखिम वाले अनुप्रयोगों के लिए इस पर समयपूर्व निर्भरता के विरुद्ध चेतावनी दी जाती है।
मूल पेपर CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/) के तहत सार्वजनिक डोमेन को समर्पित है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपने अभी-अभी एक दुर्लभ, महंगी पेंटिंग खरीदी है। यह साबित करने के लिए कि यह असली है, कलाकार आपको एक विशेष, अटूट प्लास्टिक स्लीव देता है जिस पर एक होलोग्राम स्टिकर लगा है। स्टिकर कहता है, "मैंने इसे मंगलवार को बनाया था, और मैं वादा करता हूँ कि यह असली है।" आप सुरक्षित महसूस करते हैं, है ना?
अब, कल्पना कीजिए कि सुरक्षा विशेषज्ञों के एक समूह (इस शोध पत्र के लेखक) ने उस प्लास्टिक स्लीव और उसे बनाने के नियमों को देखा। उन्होंने पाया कि हालांकि विचार बहुत अच्छा है, लेकिन वास्तविक स्लीव में बहुत बड़ी खामियां हैं। वास्तव में, एक जालसाज आसानी से स्टिकर बदल सकता है, तारीख बदल सकता है, या कलाकार के चोरी किए गए हस्ताक्षर का उपयोग कर सकता है, और स्लीव को इसका पता भी नहीं चलेगा।
यहाँ एक सरल विवरण दिया गया है कि यह शोध पत्र C2PA के बारे में क्या कहता है, जो एक ऐसा सिस्टम है जिसे डिजिटल फोटो और वीडियो के स्रोत को प्रमाणित करने के लिए डिज़ाइन किया गया है।
बड़ा विचार: एक "डिजिटल पासपोर्ट"
C2PA फोटो और वीडियो के लिए एक डिजिटल पासपोर्ट की तरह है। जब कोई कैमरा या AI प्रोग्राम कोई छवि बनाता है, तो C2PA एक "कंटेंट क्रेडेंशियल" (एक डिजिटल टैग) को उससे जोड़ने की कोशिश करता है। यह टैग आपको बताने के लिए बनाया गया है कि:
- इसे किसने बनाया (एक कैमरा या एक कंप्यूटर)।
- यह कब और कहाँ बनाया गया।
- क्या इसमें कोई बदलाव (एडिटिंग) किया गया है।
इसका लक्ष्य लोगों को नकली AI छवियों से धोखा देने से रोकना है। बड़ी तकनीकी कंपनियाँ (जैसे Adobe, Google और Microsoft) इस सिस्टम को बना रही हैं।
समस्या: पासपोर्ट में खामियां हैं
शोधकर्ताओं ने C2PA सिस्टम का परीक्षण किया और पाया कि यह उतना अच्छा काम नहीं करता जितना कि कंपनियाँ दावा करती हैं। उन्होंने छह प्रमुख तरीके खोजे जिनसे एक बुरा व्यक्ति (bad actor) सिस्टम को धोखा दे सकता है।
1. "तारीख वाला स्टिकर" बदला जा सकता है
उपमा: कल्पना कीजिए कि आपके पासपोर्ट पर एक स्टैम्प है जिस पर लिखा है "2024 में जारी किया गया।" लेकिन जिस कागज पर वह स्टैम्प है, वह चिपका हुआ नहीं है। एक जालसाज 2024 के स्टैम्प को निकाल सकता है, उस पर 2020 का स्टैम्प चिपका सकता है, और पासपोर्ट फिर भी "वैध" ही दिखेगा।
शोध पत्र का दावा: C2PA लोगों को फोटो बनने की तारीख बदलने की अनुमति देता है बिना सुरक्षा सील को तोड़े। यदि कोई राजनेता "पिछले हफ्ते" का फर्जी वीडियो पोस्ट करता है, तो सिस्टम शायद यह नहीं पकड़ पाएगा कि तारीख बदली गई है।
2. "एक्सपायर्ड" या "चोरी की गई" चाबियों (Keys) का उपयोग करना
उपमा: कल्पना कीजिए कि एक क्लब में सुरक्षा गार्ड है जो किसी को भी तब अंदर आने देता है जब तक कि उनके पास VIP पास हो। लेकिन गार्ड कभी यह जांच नहीं करता कि क्या वह पास चोरी हुआ है या क्या उस VIP की सदस्यता पिछले महीने समाप्त हो गई थी।
शोध पत्र का दावा: यदि किसी कैमरे की गुप्त चाबी (secret key) चोरी हो जाती है या कंपनी कैमरे की फोटो साइन करने की अनुमति वापस ले लेती है, तो C2PA वैलिडेटर (गार्ड) अक्सर इसकी जांच नहीं करते। वे अभी भी उन फर्जी फोटो को असली मानकर अंदर आने देते हैं।
3. "रेफरी" आपस में सहमत नहीं हो पाते
उपमा: कल्पना कीजिए कि आप यह देखने के लिए दो रेफरी को एक फोटो दिखाते हैं कि क्या यह असली है। रेफरी A कहता है, "यह 100% असली है!" रेफरी B कहता है, "यह नकली है!" आपको नहीं पता कि किस पर भरोसा करें।
शोध पत्र का दावा: C2PA फोटो की जांच करने वाले अलग-अलग टूल्स अक्सर एक ही इमेज के लिए अलग-अलग जवाब देते हैं। एक टूल कह सकता है कि फोटो सुरक्षित है, जबकि दूसरा कह सकता है कि यह खतरनाक है। यह सबको भ्रमित कर देता है।
4. "एक्सक्लूजन ज़ोन" (Exclusion Zone) का लूपहोल
उपमा: कल्पना कीजिए कि आपके पासपोर्ट में "व्यक्तिगत डेटा" के लिए एक सेक्शन है जो एक टेप से ढका हुआ है। नियम कहते हैं, "हम टेप के नीचे की चीजों की जांच नहीं करेंगे।" एक जालसाज उस टेप के नीचे फर्जी पता डाल सकता है, और पासपोर्ट फिर भी वैध माना जाएगा।
शोध पत्र का दावा: C2PA फ़ाइल के कुछ हिस्सों (जैसे GPS लोकेशन) को सुरक्षा से "बाहर" (exclude) रखने की अनुमति देता है। हमलावर बिना सील तोड़े लोकेशन डेटा को बदल सकते हैं, जिससे ऐसा लग सकता है कि फोटो पेरिस में ली गई थी जबकि वास्तव में वह एक स्टूडियो में ली गई थी।
5. पासपोर्ट बहुत जल्दी एक्सपायर हो जाता है
उपमा: आपको एक पासपोर्ट मिलता है जो केवल 6 महीने के लिए वैध है। उसके बाद, भले ही फोटो असली हो, सिस्टम कहता है, "मैं अब इसकी पुष्टि नहीं कर सकता।"
शोध पत्र का दावा: क्योंकि डिजिटल सर्टिफिकेट जल्दी एक्सपायर हो जाते हैं, इसलिए आज जो फोटो वैध थीं, वे कुछ महीनों में "अपुष्ट" (unverifiable) हो सकती हैं। यह कानूनी सबूतों या चुनाव रिकॉर्ड जैसी चीजों के लिए एक आपदा है, जिन्हें सालों बाद भी जांचने की आवश्यकता होती है।
6. "प्रमाणन का सील" (Seal of Approval) फर्जी है
उपमा: कल्पना कीजिए कि बैंक के वॉल्ट (तिजोरी) पर "सर्टिफाइड सेफ" का लेबल लगा है। लेकिन जो कंपनी वह लेबल देती है, वह वास्तव में वॉल्ट की जांच नहीं करती है; वह बस बैंक के मालिक से पूछती है, "क्या आपकी तिजोरी सुरक्षित है?" और उनकी बात मान लेती है।
शोध पत्र का दावा: C2PA का "कन्फॉर्मेंस प्रोग्राम" (वह समूह जो उत्पादों को प्रमाणित करता है) वास्तव में सॉफ्टवेयर का परीक्षण नहीं करता या कोड को नहीं देखता है। वे कंपनियों के इस दावे पर निर्भर रहते हैं कि, "हमने इसे सही ढंग से किया है।" इसलिए, एक उत्पाद "प्रमाणित" हो सकता है लेकिन फिर भी ऊपर बताई गई सुरक्षा खामियों से भरा हो सकता है।
निष्कर्ष
शोधकर्ता कहते हैं: अभी C2-PA पर भरोसा न करें।
वे यह नहीं कह रहे हैं कि विचार बुरा है। यह एक आशाजनक अवधारणा है, जैसे घर के लिए एक अच्छा ब्लूप्रिंट। लेकिन वर्तमान निर्माण दरारों से भरा है। यदि हम अभी इस सिस्टम का उपयोग महत्वपूर्ण चीजों के लिए करते हैं—जैसे अदालती सबूत, समाचार रिपोर्टिंग, या वित्तीय रिकॉर्ड—तो हमें उन नकली चीजों से धोखा मिल सकता है जो बिल्कुल असली दिखती हैं।
समाधान: इससे पहले कि हम इस सिस्टम पर भरोसा करें, नियमों को सख्त करने की आवश्यकता है। हमें यह सुनिश्चित करना होगा कि:
- एक्सपायर्ड चाबियों को वास्तव में ब्लॉक किया जाए।
- तारीखों को बदला न जा सके।
- सभी जांच उपकरण एक-दूसरे के साथ सहमत हों।
- "प्रमाणन का सील" में केवल एक वादे के बजाय वास्तविक सुरक्षा परीक्षण शामिल हो।
जब तक ये सुधार नहीं किए जाते, शोध पत्र चेतावनी देता है कि C2PA पर भरोसा करना नकली खबरों की समस्या को कम करने के बजाय उसे और खराब कर सकता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।