Ideju o fotografiji koja u sebi nosi dokaz o vlastitoj vjerodostojnosti jednostavno je opisati, no put od zamisli do pouzdanog dokaza znatno je zahtjevniji. Apple je cijeli postupak razložio u blog postu naslovljenom „Apple Reference Image: A New Approach for Verified Photography", a značajku ovako rješava kroz Reference Image: kamera uz snimku stvara zaštićenu kopiju onoga što je senzor uhvatio, zajedno s dokazom o tome kada je snimka nastala. Kad korisnik odluči, Appleov servis Private Cloud Compute provjerava da taj zapis nije diran i pretvara ga u fotografiju s digitalnim potpisom čiju je vjerodostojnost naknadno moguće provjeriti.

Dokaz počinje već u senzoru

Digitalni potpis oslonjen na Appleov oblak zvuči dobro, ali otvara očito pitanje: kako znati da je i sam potpis vjerodostojan? Apple priznaje da bi netko teoretski mogao zamijeniti ili izmijeniti sliku prije nego što bude označena kao autentična, pa prvu obranu smješta na najnižu moguću razinu, u sam senzor kamere.

Senzor pri proizvodnji dobiva vlastiti privatni kriptografski ključ koji ostaje zaključan u njemu i kojim potpisuje podatke koje uhvati. Riječ je o svojevrsnom digitalnom ključu: nijedan drugi telefon nema isti, a izmijeni li netko podatke, potpis više neće proći provjeru. Odgovarajući javni ključ Apple ovjerava tijekom proizvodnje, kako bi ga njegov oblak kasnije mogao provjeriti.

Način rada usput onemogućuje i firmveru senzora da dira uhvaćene podatke, čime se zatvara još jedan mogući put napada. Apple pritom bilježi koji senzor pripada kojem telefonu. Senzor i sigurnosni procesor uređaja imaju svaki svoj ključ i potpisuju dijelove zapisa o svakoj snimci, a oblak potom provjerava pripadaju li ta dva potpisa istom paru. Time se nastoji spriječiti scenarij u kojem netko izvadi originalni senzor i ubaci ga drugdje kako bi lažne snimke prošle kao prave.

Negativ koji putuje uz fotografiju

Dokazni materijal pohranjuje se u RAW formatu DNG, poznatom kao digitalni negativ, i povezan je s konačnom fotografijom. Prije nego što se snimka „razvije", negativ se može čuvati neograničeno ili proslijediti nekome drugome da je razvije. Oba zapisa vide se u aplikaciji Photos, jedan uz drugi. Nakon razvijanja negativ odlazi u mapu izbrisanih fotografija i automatski se briše nakon 30 dana, osim ako ga korisnik ne vrati.

Vrijeme koje se ne može podesiti u postavkama

Jedan od važnih dijelova sustava je vremenski žig. Reference Image bilježi kada je snimka nastala, ali se pritom ne oslanja na sat postavljen na telefonu, nego na potpisane vremenske oznake iz Appleova oblaka koje određuju vremenski prozor unutar kojeg je fotografija mogla nastati. Sustav radi i offline, jer telefon pamti posljednju primljenu oznaku, a kad se ponovno spoji, dobiva novu. Što je uređaj dulje bio bez mreže, to je prozor širi.

Poanta nije doznati točnu sekundu, nego onemogućiti očite laži. Ako netko tvrdi da je snimka nastala danas, a oznake je smještaju pola godine unatrag, nešto ne štima. Apple navodi da se potpisane oznake u prosjeku izdaju svakih 15 minuta, ovisno o vezi. Ako ranija oznaka ne prođe provjeru, sustav se vraća na najraniji mogući datum, jer prije toga značajka nije ni postojala. Ako pak nedostaje kasnija oznaka, kao vrijeme uzima trenutak razvijanja u oblaku, čime prozor postaje širi, ali i dalje omeđen provjerljivim granicama.

Provjera „rukopisa" senzora

Da bi se fotografija uopće vidjela, negativ treba obraditi. Kad korisnik pokrene razvijanje, telefon šalje zapis na Private Cloud Compute, pa je internet ovdje nužan čak i kad je snimka nastala offline. Servis provjerava potpis senzora i potpis sigurnosnog procesora, koji moraju pristajati jedan uz drugi, te kontrolira vremenske oznake.

Dodatno, Apple podatke provlači kroz neuronsku mrežu koja procjenjuje ima li slika obilježja kakva očekuje od snimke Appleova senzora. Sustav bilježi ocjenu pouzdanosti i vodi kumulativni rezultat za svaki senzor, a po potrebi može poništiti pojedinu snimku ili sve snimke određenog senzora. Tek nakon svih provjera dolazi konačni potpis.

Što se na kraju dobije?

Apple tvrdi da su serveri Private Cloud Computea nedostupni čak i njemu samome, te da se fotograf ne mora javno identificirati da bi ponudio provjerljivu snimku. Ne postoji ni javni identifikator koji bi povezao različite fotografije s istim uređajem. Apple doduše čuva privatnu evidenciju koja povezuje senzore i snimke, ali servis koji je drži nema pristup samim slikama.

Krajnji rezultat je fotografija s dokaznim lancem koji seže do trenutka kad je senzor uhvatio svjetlost. RAW se obrađuje i sažima u JPEG, dodaje se Appleov završni potpis i vraća povezan s originalom. Referentna snimka pritom vjerojatno neće izgledati jednako živo kao obična, jer je Apple tek minimalno obrađuje.

Za korištenje su potrebni iPhone 18 Pro ili Pro Max i podržana regija, a hardverska priroda ključeva znači da značajke nema na starijim modelima. Pregledati referentne snimke, s druge strane, može bilo koji uređaj s iOS-om 27, iPadOS-om 27 ili macOS-om 27.