Resumo Técnico: Não-Montagem Semântica (Semantic Non-Assembly)

1. Definição do Problema

Os frameworks de privacidade existentes (confidencialidade, controle de acesso, controle de fluxo de informação e limitação de divulgação estatística) focam em restringir o acesso a informações sensíveis que existem dentro de um sistema. Esses modelos assumem um "armazenamento" para proteger e um "fluxo" para restringir. No entanto, em um ambiente de ameaças onde o comprometimento de componentes (roubo de credenciais, acesso interno, violação de infraestrutura) é provável em vez de excepcional, esses frameworks falham. Se um único componente detém informação suficiente para realizar uma função de identificação de alvo (ex: vincular um dispositivo de captura específico a um conteúdo específico), o comprometimento desse único componente colapsa toda a garantia de privacidade.

O artigo identifica uma lacuna: não existe uma classe de sistema que não conceda nada após a exposição do componente porque não há nada a ser concedido. O desafio é arquitetar um sistema onde a exposição completa e autorizada de qualquer componente individual resulte em nenhum dado acionável em relação à função de identificação de alvo.

2. Metodologia: Não-Montagem Semântica (SNA)

O artigo introduz a Não-Montagem Semântica (SNA), uma classe de garantia de privacidade definida não pela dificuldade de alcançar a exposição, mas pelo rendimento de informação da exposição quando ela ocorre.

Definição Central

A SNA impede a avaliação de um predicado designado $f$ (ex: atribuição dispositivo-conteúdo) ao garantir que nenhuma coalizão de menos de um limiar definido de $t+1$ componentes possa montar uma atribuição suficiente ao domínio de entrada de $f$.

• Semântica: Refere-se ao nível de significado da informação (o que os dados permitem com relação a $f$), distinto da segurança semântica criptográfica.
• Não-Montagem: O estado suficiente (a combinação de campos de informação necessária para executar $f$) é estruturalmente impedido de existir em qualquer componente individual ou em qualquer coalizão abaixo do limiar.
• Inércia Arquitetural: A garantia é estrutural, não procedural. É alcançada por design, garantindo que a co-localização de informação suficiente seja estruturalmente impossível abaixo do limiar de comprometimento, em vez de depender de política ou confiança.

Distinção de Mecanismos Existentes

• Vs. Confidencialidade: A confidencialidade restringe o acesso a dados que existem em um lugar; a SNA impede que o conjunto de dados suficiente exista em um lugar.
• Vs. Controle de Acesso: O controle de acesso media operações sobre armazenamentos existentes; a SNA elimina o armazenamento.
• Vs. Controle de Fluxo de Informação (IFC): O IFC restringe caminhos de propagação para dados existentes; a SNA garante que o estado alvo esteja arquiteturalmente ausente, de modo que nenhum fluxo exista para ser restringido.
• Vs. Limitação de Divulgação Estatística (SDL): A SDL limita a inferência a partir de dados liberados; a SNA impede que o conjunto de informação suficiente exista em qualquer componente sub-limiar, não deixando nenhum conjunto de dados para aplicar inferência.

Instanciação de Referência: Arquitetura de Proveniência de Dois Canais

O artigo instancia a SNA em um sistema de proveniência de mídia (o Padrão Birthmark) projetado para vincular dispositivos de captura a conteúdo autenticado sem permitir atribuição passiva. A arquitetura separa as submissões em dois canais independentes:

1. Canal de Conteúdo: Carrega um hash do conteúdo da mídia ($H_{content}$) e metadados opcionais em hash. É roteado para um Registro público (blockchain de consórcio).
2. Canal de Credencial: Carrega um token de dispositivo criptografado (criptografado sob a chave pública do Validador de Credenciais) e uma referência de chave. É roteado para um Validador de Credenciais.

Fluxo Operacional:

• O Servidor de Submissão recebe ambos os canais, mas os separa. Ele roteia a credencial criptografada para o Validador e o hash do conteúdo para o Registro.
• O Validador de Credenciais descriptografa o token, verifica a participação do dispositivo e retorna uma aprovação assinada. Ele nunca vê o hash do conteúdo.
• O Registro armazena o hash do conteúdo e a assinatura de aprovação. Ele nunca vê a identidade do dispositivo.
• Resultado: Nenhuma parte detém tanto um identificador de dispositivo quanto um hash de conteúdo. O estado suficiente para atribuição está estruturalmente ausente.

Extensão Forense (Busca Reversa) e Rede de Segurança

Para cenários que exigem revogação de dispositivo, o artigo propõe um caminho forense de quatro partes (Servidor de Governo, Servidor de Submissão 1, Servidor de Submissão 2, Validador de Credenciais). Este caminho exige a travessia sequencial de todas as quatro partes para reconstruir a atribuição.

• Defesa Ativa (Rede de Segurança): Inclui um mecanismo de "Rede de Segurança" baseado em linhas de disparo (tripwires) em dados roubados. Se dados forem comprometidos, essas linhas de disparo alertam outros repositórios para purgar o contexto associado antes que eles possam ser hackeados, tornando os dados alvo permanentemente inacessíveis.
• Expiração Temporal: Todos os dados da cadeia forense são automaticamente deletados após três anos, cortando permanentemente a cadeia de atribuição.

3. Principais Contribuições

1. Formalização da Não-Montagem Semântica: Uma nova classe de garantia de privacidade caracterizada pelo rendimento de informação da exposição de componentes, distinta de confidencialidade e controle de acesso.
2. Arquitetura de Proveniência de Dois Canais: Uma instanciação estrutural de SNA com provas ProVerif executáveis estabelecendo:
   • Propriedade A (Não-Correlação de Dispositivo): O validador aprende a identidade do dispositivo, mas não o hash do conteúdo.
   • Propriedade B (Não-Identificação de Observador do Registro): Observadores veem hashes de conteúdo, mas não podem identificar dispositivos.
   • Propriedade C (Cegueira do Servidor de Submissão): O servidor roteia dados, mas não pode descriptografar credenciais para identificar dispositivos.
   • Propriedade D (Portão de Defesa Ativa): Verificação formal de correspondência de portão, segredo de estado de purga e integridade de cadeia.
3. Custo de Privacidade Limitado de Forense: Uma caracterização formal mostrando que adicionar capacidade forense (busca reversa) requer o comprometimento coordenado de quatro fronteiras organizacionais independentes, limitando o custo de privacidade.
4. O Padrão Birthmark: Uma instanciação de referência demonstrando a implementabilidade em hardware de captura restrito (ex: ISPs de câmeras) onde abordagens de Prova de Conhecimento Zero (ZK) são computacionalmente inviáveis.

4. Resultados e Verificação

• Verificação Formal: O artigo estabelece quatro propriedades verificadas pelo ProVerif. O modelo utiliza ECIES (assimétrico IND-CCA2) para criptografia de credenciais, com o modelo ProVerif refletindo diretamente esta implementação.
• Viabilidade Computacional: As operações do lado do dispositivo (encapsulamento ECIES, AES-256-GCM, SHA-256) foram testadas para rodar dentro de um orçamento de 100ms no caminho de captura em processadores embarcados da classe ARM comuns. Isso contrasta com as abordagens de prova ZK, que exigem segundos ou minutos por prova em hardware semelhante.
• Eficiência de Armazenamento: Os registros do Registro são compactos (153 bytes on-chain), permitindo uma operação de baixo custo para o validador.
• Divulgação Limitada: A Tabela 3 no artigo detalha que qualquer comprometimento de componente único produz apenas "fragmentos de superfície de atribuição". Mesmo com a extensão de busca reversa, a atribuição em massa passiva é impossível; o pior cenário para um adversário coordenado é o teste de hipótese direcionado sobre a mídia que ele já possui.

5. Significância e Alegações

O artigo alega que a Não-Montagem Semântica oferece uma abordagem distinta e necessária para a privacidade em um ambiente de ameaças onde a exposição de componentes é inevitável.

• Estrutural vs. Procedural: A principal significância é a mudança de uma separação baseada em política (que falha sob ameaça interna) para uma separação estrutural (que falha apenas sob comprometimento de múltiplos componentes coordenados).
• Implementabilidade: A arquitetura aborda o "gap de implementação" onde abordagens baseadas em ZK são computacionalmente pesadas demais para hardware de captura em tempo real, mas sistemas de proveniência padrão (como o C2PA) falham quando os metadados são removidos durante a distribuição.
• Degradação Previsível: Ao contrário de sistemas que colapsam inteiramente após uma única violação, os sistemas SNA degradam-se previsivelmente. A garantia de privacidade mantém-se enquanto o adversário não controla o número de componentes do limiar ($t+1$).
• Governança como Segurança: O artigo enfatiza que a arquitetura depende de restrições organizacionais auditadas (ex: limites de propriedade de validador, distribuição jurisdicional) para manter a independência estrutural. A camada de governança é tratada como um componente de segurança de carga, não meramente um overlay administrativo.

O artigo conclui que, em um mundo onde vazamentos são inevitáveis, projetar para as consequências da falha (garantindo que não haja nada a ser concedido) é tão crítico quanto projetar contra a falha. O Padrão Birthmark fornece um caminho concreto e verificável para alcançar isso para a proveniência de mídia.