TetraFence: Re-Auditable Mobile Field Evidence with Immutable Location Anchoring

Nel mondo moderno, spesso ci affidiamo agli smartphone per documentare il mondo fisico, dal monitoraggio del viaggio del cibo dal campo alla tavola alla verifica che un lavoro edilizio sia stato eseguito dove doveva essere fatto. Ma un problema silenzioso esiste in questa registrazione digitale: una fotografia scattata con un telefono è affidabile solo quanto la storia che racconta su dove e quando è stata scattata. Se una foto viene caricata in un database, nulla nel database stesso garantisce che l'immagine non sia stata scattata in un luogo diverso, o che le coordinate allegate ad essa non siano state falsificate. Questo divario tra il momento in cui viene scattata una foto e il momento in cui viene archiviata crea un "gap di provenienza", uno spazio in cui la fiducia può facilmente andare perduta. Per risolvere questo problema, i ricercatori hanno iniziato a guardare alla blockchain, un tipo di registro digitale che registra le informazioni in un modo che è quasi impossibile da alterare una volta scritte. Tuttavia, registrare semplicemente un risultato su una blockchain non risolve il problema se il risultato stesso si basa su una menzogna o su un errore commesso prima che il dato raggiungesse il registro. La vera sfida è catturare non solo il verdetto finale, ma l'evidenza grezza — l'esatta posizione, il tempo e l'immagine stessa — in modo che chiunque possa guardare indietro più tardi e ricontrollare i calcoli per vedere se la storia regge ancora.

Questo è il problema specifico che un team guidato da Duy-Quan Nguyen ha cercato di risolvere con un sistema chiamato TetraFence. I ricercatori volevano costruire una pipeline affidabile per le prove sul campo mobili, specificamente per gli operatori agricoli che devono dimostrare di aver ispezionato colture o strutture nei luoghi corretti. Hanno testato il loro sistema in Vietnam attraverso tre diversi siti: un enorme campo di riso che copre centinaia di ettari, un piccolo impianto di lavorazione e un vivaio. L'obiettivo era creare un flusso di lavoro in cui lo smartphone ordinario di un lavoratore potesse scattare una foto, acquisire automaticamente la posizione attuale del dispositivo e l'ora, e bloccare tali informazioni in un record sicuro e immutabile. Il sistema è stato progettato per essere rigoroso su come i dati entravano nel sistema; ad esempio, l'app permetteva solo di scattare foto direttamente attraverso l'obiettivo della fotocamera, impedendo agli utenti di caricare semplicemente vecchie foto dalla propria galleria. Una volta raccolti la foto e i dati sulla posizione, il sistema controllava se il lavoratore si trovasse entro una distanza ragionevole dal terreno corretto prima di inviare l'informazione a una rete blockchain privata.

Il nucleo della ricerca consisteva nel vedere se questo sistema potesse effettivamente preservare la capacità di ri-auditare le prove in un secondo momento. In un sistema standard, se un manager modifica la mappa di un appezzamento agricolo, le vecchie foto potrebbero improvvisamente sembrare scattate nel posto sbagliato, anche se la foto stessa non è cambiata. I ricercatori volevano sapere se avrebbero potuto archiviare la mappa originale e la foto originale insieme, in modo da consentire a un futuro auditor di ripetere esattamente lo stesso calcolo e ottenere la stessa risposta, indipendentemente da come le mappe cambiano in seguito. Per testare questo, hanno eseguito 44 eventi reali sul campo. Hanno poi costruito due diversi programmi informatici per controllare i risultati: uno scritto in un linguaggio comune per i servizi web e un altro scritto in un linguaggio specifico per la blockchain. Hanno inserito gli stessi 44 set di dati in entrambi i programmi per vedere se concordavano sul fatto che il lavoratore fosse all'interno o all'esterno dell'area designata.

I risultati hanno mostrato che il sistema funzionava con una coerenza notevole. Per i 25 eventi in cui i confini del terreno non cambiavano, entrambi i programmi concordavano perfettamente se il lavoratore fosse all'interno o all'esterno della zona. Quando i programmi calcolavano la distanza dal confine, le loro risposte erano quasi identiche, con una differenza media di soli 0,16 metri e la differenza massima di appena 1 metro. Questo piccolo margine di errore è ampiamente entro l'intervallo normale di incertezza per il GPS di uno smartphone standard. Il sistema ha gestito con successo anche i casi limite, come un lavoratore che si trovava a 51 metri da un impianto. Invece di rifiutare semplicemente la foto come "sbagliata", il sistema l'ha contrassegnata con un avviso "giallo", preservando il record ma annotando che era abbastanza lontano da richiedere un controllo più approfondito. Questo approccio graduato ha permesso al sistema di mantenere dati utili senza forzare una decisione rigida di tipo "sì o no" che avrebbe potuto scartare un lavoro legittimo svolto appena fuori da una recinzione.

Tuttavia, lo studio ha anche rivelato un difetto critico nel modo in cui tali sistemi sono spesso progettati, un difetto che è diventato visibile solo quando i ricercatori hanno esaminato il sito del vivaio. In questo caso, l'appezzamento di terreno assegnato a un lotto di record è stato cambiato da una piccola area di 9.999 metri quadrati a una vasta area di 448 ettari situata a nove chilometri di distanza. Quando i ricercatori hanno provato a rivalutare le vecchie foto utilizzando la nuova, più grande mappa, i risultati sono cambiati completamente. Due foto che un tempo erano considerate "all'interno" del piccolo appezzamento erano ora "all'esterno" di quello nuovo, e viceversa. Ciò è accaduto perché i vecchi record memorizzavano solo la foto e la posizione, ma non la versione specifica della mappa che veniva utilizzata al momento dello scatto. I ricercatori hanno scoperto che, senza vincolare la versione specifica della mappa all'evento, il significato delle prove poteva essere silenziosamente riscritto da un semplice cambiamento amministrativo. Per risolvere questo, hanno concluso che ogni pezzo di evidenza deve essere legato esattamente alla versione della geometria contro cui è stato giudicato, garantendo che la decisione originale possa sempre essere riprodotta.

Lo studio ha anche misurato il costo di esecuzione di questi controlli sulla blockchain. Hanno scoperto che la verifica di una singola foto rispetto a una mappa complessa con 17 angoli richiedeva una specifica quantità di sforzo computazionale, nota come "gas", che era ben entro i limiti della rete. Ciò suggeriva che il sistema potesse gestire un flusso costante di controlli senza intasare la rete. Tuttavia, l'autore è stato attento a precisare cosa il suo sistema non facesse. Non ha dimostrato che il telefono fosse fisicamente dove diceva di essere; un utente esperto con un telefono hackerato potrebbe comunque falsificare una posizione. La forza del sistema non risiedeva nello stoppare un imbroglione determinato, ma nel creare un record trasparente e immutabile che permettesse a chiunque di vedere esattamente quali dati sono stati utilizzati per prendere una decisione. Preservando gli input grezzi — la foto, la coordinata, il tempo e la versione della mappa — il sistema ha trasformato un semplice record digitale in un'evidenza riproducibile.

In definitiva, il progetto TetraFence ha dimostrato che la provenienza dei dati mobili è possibile, ma richiede un cambiamento nel modo in cui pensiamo ai record digitali. Non basta semplicemente archiviare una foto e una posizione; il sistema deve anche archiviare il contesto in cui quella posizione è stata giudicata. La ricerca ha dimostrato che quando si vincola la versione della mappa all'evento, si impedisce al passato di essere accidentalmente alterato dai cambiamenti del presente. Sebbene il sistema si basi sull'assunto che il telefono sia onesto, ha creato con successo una pipeline in cui la logica della decisione può essere controllata e ricontrollata da chiunque, molto tempo dopo che il lavoratore ha posato il proprio telefono. Questo approccio offre un modo pratico per costruire fiducia nelle prove mobili, assicurando che la storia raccontata da un record digitale rimanga coerente, anche mentre il mondo intorno ad esso cambia.