TetraFence: Re-Auditable Mobile Field Evidence with Immutable Location Anchoring

No mundo moderno, frequentemente dependemos de smartphones para documentar o mundo físico, desde o rastreamento da jornada dos alimentos da fazenda à mesa até a verificação de que um trabalho de construção ocorreu onde deveria ter ocorrido. Mas um problema silencioso existe neste registro digital: uma fotografia tirada por um telefone é tão confiável quanto a história contada sobre onde e quando ela foi tirada. Se uma foto é enviada para um banco de dados, nada no próprio banco de dados garante que a imagem não foi tirada de um local diferente, ou que as coordenadas anexadas a ela não foram falsificadas. Essa lacuna entre o momento em que uma foto é tirada e o momento em que ela é armazenada cria uma "lacuna de proveniência", um espaço onde a confiança pode ser facilmente perdida. Para resolver isso, pesquisadores começaram a olhar para o blockchain, um tipo de livro-razão digital que registra informações de uma forma que é quase impossível de alterar depois de escritas. No entanto, simplesmente registrar um resultado em um blockchain não resolve o problema se o resultado em si foi baseado em uma mentira ou um erro cometido antes de os dados chegarem ao livro-razão. O verdadeiro desafio é capturar não apenas o veredito final, mas a evidência bruta — a localização exata, o tempo e a própria imagem — para que qualquer pessoa possa olhar para trás mais tarde e rechecar a matemática para ver se a história ainda se sustenta.

Este é o problema específico que uma equipe liderada por Duy-Quan Nguyen se propôs a resolver com um sistema chamado TetraFence. Os pesquisadores queriam construir um fluxo confiável para evidências de campo móvel, especificamente para trabalhadores agrícolas que precisam provar que inspecionaram plantações ou instalações nos locais corretos. Eles testaram seu sistema no Vietnã em três locais diferentes: um enorme campo de arroz cobrindo centenas de hectares, uma pequena instalação de processamento e um viveiro de plantas. O objetivo era criar um fluxo de trabalho onde o smartphone comum de um trabalhador pudesse tirar uma foto, capturar automaticamente a localização e o tempo atuais do dispositivo e travar essa informação em um registro seguro e imutável. O sistema foi projetado para ser rigoroso sobre como os dados entravam no sistema; por exemplo, o aplicativo só permitia que fotos fossem tiradas diretamente pela lente da câmera, impedindo que os usuários simplesmente fizessem o upload de fotos antigas de sua galeria. Uma vez que a foto e os dados de localização eram coletados, o sistema verificava se o trabalhador estava dentro de uma distância razoável do lote de terra correto antes de enviar a informação para uma rede de blockchain privada.

O cerne da pesquisa foi verificar se este sistema poderia realmente preservar a capacidade de reauditar a evidência mais tarde. Em um sistema padrão, se um gerente altera o mapa de um lote de fazenda, fotos antigas podem subitamente parecer que foram tiradas no lugar errado, mesmo que a própria foto não tenha mudado. Os pesquisadores queriam saber se poderiam armazenar o mapa original e a foto original juntos, de uma forma que permitisse a um auditor futuro repetir exatamente o mesmo cálculo e obter a mesma resposta, independentemente de como os mapas mudassem depois. Para testar isso, eles executaram 44 eventos reais em campo. Eles então construíram dois programas de computador diferentes para verificar os resultados: um escrito em uma linguagem comum para serviços web e outro escrito em uma linguagem especificamente para blockchain. Eles alimentaram os mesmos 44 conjuntos de dados em ambos os programas para ver se eles concordavam sobre se o trabalhador estava dentro ou fora da área designada.

Os resultados mostraram que o sistema funcionou com uma consistência notável. Para os 25 eventos onde os limites da terra não mudaram, ambos os programas de computador concordaram perfeitamente sobre se o trabalhador estava dentro ou fora da zona. Quando os programas calcularam a distância da fronteira, suas respostas foram quase idênticas, diferindo em média apenas 0,16 metros, com a maior diferença sendo de apenas 1 metro. Essa pequena margem de erro está bem dentro do intervalo normal de incerteza de um GPS padrão de smartphone. O sistema também lidou com sucesso com casos extremos, como um trabalhador parado a 51 metros de uma instalação. Em vez de simplesmente rejeitar a foto como "errada", o sistema a marcou com um aviso "amarelo", preservando o registro enquanto observava que ela estava longe o suficiente para exigir uma inspeção mais próxima. Essa abordagem graduada permitiu que o sistema mantivesse dados úteis sem forçar uma decisão rígida de "sim ou não" que pudesse descartar o trabalho legítimo realizado logo fora de uma linha de cerca.

No entanto, o estudo também revelou uma falha crítica na forma como tais sistemas são frequentemente projetados, uma que só se tornou visível quando os pesquisadores observaram o site do viveiro. Neste caso, o lote de terra atribuído a um lote de registros foi alterado de uma pequena área de 9.999 metros quadrados para uma área massiva de 448 hectares localizada a nove quilômetros de distância. Quando os pesquisadores tentaram reavaliar as fotos antigas usando o novo mapa maior, os resultados mudaram completamente. Duas fotos que antes eram consideradas "dentro" do pequeno lote agora eram "fora" do novo, e vice-versa. Isso aconteceu porque os registros antigos armazenavam apenas a foto e a localização, mas não a versão específica do mapa que estava sendo usada no momento em que a foto foi tirada. Os pesquisadores descobriram que, sem travar a versão específica do mapa ao evento, o significado da evidência poderia ser silenciosamente reescrito por uma simples mudança administrativa. Para corrigir isso, eles concluíram que cada peça de evidência deve estar vinculada à versão exata da geometria contra a qual foi julgada, garantindo que a decisão original possa sempre ser reproduzida.

O estudo também mediu o custo de executar essas verificações no blockchain. Eles descobriram que verificar uma única foto contra um mapa complexo com 17 cantos exigia uma quantidade específica de esforço computacional, conhecido como gas, que estava bem dentro dos limites da rede. Isso sugeriu que o sistema poderia lidar com um fluxo constante de verificações sem sobrecarregar a rede. No entanto, o autor foi cuidadoso ao notar o que seu sistema não fazia. Ele não provou que o telefone estava fisicamente onde dizia estar; um usuário habilidoso com um telefone hackeado ainda poderia falsificar uma localização. A força do sistema não estava em impedir um trapaceiro determinado, mas em criar um registro transparente e imutável que permitia a qualquer pessoa ver exatamente quais dados foram usados para tomar uma decisão. Ao preservar as entradas brutas — a foto, a coordenada, o tempo e a versão do mapa — o sistema transformou um simples registro digital em uma evidência reproduzível.

Em última análise, o projeto TetraFence demonstrou que a proveniência de dados móveis é possível, mas requer uma mudança na forma como pensamos sobre registros digitais. Não basta simplesmente armazenar uma foto e uma localização; o sistema também deve armazenar o contexto no qual essa localização foi julgada. A pesquisa mostrou que, quando você vincula a versão do mapa ao evento, você impede que o passado seja acidentalmente alterado pelas mudanças do presente. Embora o sistema dependa da suposição de que o telefone em si é honesto, ele criou com sucesso um fluxo onde a lógica da decisão pode ser verificada e rechecada por qualquer pessoa, muito tempo depois de o trabalhador ter guardado seu telefone. Esta abordagem oferece uma maneira prática de construir confiança na evidência móvel, garantindo que a história contada por um registro digital permaneça consistente, mesmo conforme o mundo ao seu redor muda.