TetraFence: Re-Auditable Mobile Field Evidence with Immutable Location Anchoring

In de moderne wereld vertrouwen we vaak op smartphones om de fysieke wereld te documenteren, van het volgen van de reis van voedsel van boerderij naar tafel tot het verifiëren dat bouwwerkzaamheden plaatsvonden waar ze zouden moeten plaatsvinden. Maar er bestaat een stil probleem bij deze digitale dossiervorming: een door een telefoon genomen foto is slechts zo betrouwbaar als het verhaal dat erover wordt verteld waar en wanneer de foto is genomen. Als een foto naar een database wordt geüpload, garandeert niets in de database zelf dat de afbeelding niet op een andere locatie is genomen, of dat de coördinaten die eraan zijn gekoppeld niet zijn vervalst. Deze kloof tussen het moment waarop een foto wordt gemaakt en het moment waarop deze wordt opgeslagen, creëert een "provenance gap" (herkomstkloof), een ruimte waar vertrouwen gemakkelijk verloren kan gaan. Om dit op te lossen, zijn onderzoekers begonnen te kijken naar blockchain, een type digitale grootboek dat informatie op een manier vastlegt die bijna onmogelijk aan te passen is zodra het geschreven is. Het simpelweg vastleggen van een resultaat op een blockchain lost het probleem echter niet op als het resultaat zelf gebaseerd was op een leugen of een fout die werd gemaakt voordat de data de grootboek bereikte. De echte uitdaging is om niet alleen het definitieve oordeel vast te leggen, maar het ruwe bewijs — de exacte locatie, de tijd en de afbeelding zelf — zodat iedereen later kan terugkijken en de berekening opnieuw kan controleren om te zien of het verhaal nog steeds klopt.

Dit is de specifieke uitdaging die een team onder leiding van Duy-Quan Nguyen probeerde op te lossen met een systeem genaamd TetraFence. De onderzoekers wilden een betrouwbare pijplijn bouwen voor mobiel veldbeleg, specifiek voor landbouwmedewerkers die moeten bewijzen dat ze gewassen of faciliteiten op de juiste plaatsen hebben geïnspecteerd. Ze testten hun systeem in Vietnam op drie verschillende locaties: een enorm rijstveld dat honderden hectares beslaat, een kleine verwerkingsfaciliteit en een planten kwekerij. Het doel was om een workflow te creëren waarbij de gewone smartphone van een werker een foto kon maken, automatisch de huidige locatie en tijd van het apparaat kon ophalen en deze informatie in een beveiligd, onveranderlijk record kon vergrendelen. Het systeem was strikt over hoe data in het systeem kwam; bijvoorbeeld stond de app alleen toe dat foto's rechtstreeks via de cameralens werden genomen, wat voorkwam dat gebruikers oude foto's uit hun galerij konden uploaden. Zodra de foto en de locatiegegevens waren verzameld, controleerde het systeem of de werker zich binnen een redelijke afstand van het juiste perceel bevond voordat de informatie naar een privaat blockchain-netwerk werd verzonden.

De kern van het onderzoek was om te zien of dit systeem daadwerkelijk het vermogen kon behouden om het bewijs later opnieuw te auditeren. In een standaard systeem, als een manager de kaart van een landbouwperceel wijzigt, kunnen oude foto's plotseling lijken alsof ze op de verkeerde plek zijn genomen, ook al is de foto zelf niet veranderd. De onderzoekers wilden weten of ze de originele kaart en de originele foto samen konden opslaan op een manier die een toekomstige auditor in staat stelt om exact dezelfde berekening te herhalen en hetzelfde antwoord te krijgen, ongeacht hoe de kaarten later veranderen. Om dit te testen, voerden ze 44 realtime gebeurtenissen in het veld uit. Vervolgens bouwden ze twee verschillende computerprogramma's om de resultaten te controleren: één geschreven in een taal die gebruikelijk is voor webdiensten en een andere geschreven in een taal die specifiek voor de blockchain is bedoeld. Ze voedden beide programma's exact dezelfde 44 sets gegevens om te zien of ze het eens waren over de vraag of de werker zich binnen of buiten het aangewezen gebied bevond.

De resultaten toonden aan dat het systeem met opmerkelijke consistentie werkte. Voor de 25 gebeurtenissen waarbij de grenzen van het land niet veranderden, waren beide computerprogramma's het perfect eens over de vraag of de werker zich binnen of buiten de zone bevond. Wanneer de programma's de afstand tot de grens berekenden, waren hun antwoorden bijna identiek, met een gemiddeld verschil van slechts 0,16 meter, waarbij het grootste verschil slechts 1 meter was. Deze kleine foutmarge valt ruim binnen de normale onzekerheidsmarge van een standaard smartphone-GPS. Het systeem handelde ook lastige situaties (edge cases) succesvol af, zoals een werker die 51 meter van een faciliteit stond. In plaats van de foto simpelweg als "fout" af te keuren, markeerde het systeem het met een "geel" waarschuwingssignaal, waardoor het record behouden bleef terwijl werd genoteerd dat het ver genoeg weg was om een nadere blik te vereisen. Deze gegradeerde aanpak stelde het systeem in staat om nuttige gegevens te behouden zonder een rigide "ja of nee"-beslissing af te dwingen die legitiem werk net buiten een heklijn zou kunnen weggooien.

Echter, de studie bracht ook een kritiek gebrek aan het licht in hoe dergelijke systemen vaak worden ontworpen, een gebrek dat pas zichtbaar werd toen de onderzoekers naar de kwekerijlocatie keken. In dit geval werd het perceel land dat aan een batch records was toegewezen, gewijzigd van een klein gebied van 9.999 vierkante meter naar een enorm gebied van 448 hectare dat negen kilometer verderop lag. Toen de onderzoekers de oude foto's probeerden te evalueren met de nieuwe, grotere kaart, veranderden de resultaten volledig. Twee foto's die ooit als "binnen" het kleine perceel werden beschouwd, waren nu "buiten" het nieuwe perceel, en vice versa. Dit gebeurde omdat de oude records alleen de foto en de locatie opsloegen, maar niet de specifieke versie van de kaart die op het moment van de foto werd gebruikt. De onderzoekers ontdekten dat zonder de specifieke kaartversie aan de gebeurtenis te koppelen, de betekenis van het bewijs stilzwijgend kon worden herschreven door een eenvoudige administratieve wijziging. Om dit op te lossen, concludeerden zij dat elk stuk bewijs moet worden gekoppeld aan de exacte versie van de geometrie waartegen het werd beoordeeld, om ervoor te zorgen dat de oorspronkelijke beslissing altijd gereproduceerd kan worden.

De studie mat ook de kosten van het uitvoeren van deze controles op de blockchain. Ze vonden dat het verifiëren van een enkele foto tegen een complexe kaart met 17 hoekpunten een specifieke hoeveelheid rekenkracht vereiste, bekend als 'gas', wat ruim binnen de limieten van het netwerk viel. Dit suggereerde dat het systeem een constante stroom van controles kon afhandelen zonder het netwerk te verstoppen. Toch merkte de auteur voorzichtig op wat hun systeem niet deed. Ze bewezen niet dat de telefoon fysiek aanwezig was waar hij beweerde te zijn; een bekwame gebruiker met een gehackte telefoon zou nog steeds een locatie kunnen vervalsen. De kracht van het systeem lag niet in het stoppen van een vastberaden bedrieger, maar in het creëren van een transparant, onveranderlijk record dat iedereen in staat stelde precies te zien welke gegevens werden gebruikt om een beslissing te nemen. Door de ruwe inputs te bewaren — de foto, de coördinaat, de tijd en de kaartversie — veranderde het systeem een eenvoudig digitaal record in een reproduceerbaar stuk bewijs.

Uiteindelijk demonstreerde het TetraFence-project dat de herkomst van mobiele gegevens mogelijk is, maar dat dit een verschuiving vereist in hoe we over digitale records denken. Het is niet voldoende om simpelweg een foto en een locatie op te slaan; het systeem moet ook de context opslaan waarin die locatie werd beoordeeld. Het onderzoek toonde aan dat wanneer je de versie van de kaart aan de gebeurtenis koppelt, je voorkomt dat het verleden onbedoeld wordt gewijzigd door veranderingen in het heden. Hoewel het systeem uitgaat van de aanname dat de telefoon eerlijk is, heeft het succesvol een pijplijn gecreëerd waarbij de logica van de beslissing door iedereen gecontroleerd en opnieuw gecontroleerd kan worden, lang nadat de werker zijn telefoon heeft neergelegd. Deze aanpak biedt een praktische manier om vertrouwen in mobiel bewijs op te bouwen, waarbij wordt gegarandeerd dat het verhaal dat door een digitaal record wordt verteld consistent blijft, zelfs als de wereld eromheen verandert.