Penjelasan lengkap soal cara kerja Reference Image dipublikasikan Apple lewat blog Security Research berjudul "Apple Reference Image: A New Approach for Verified Photography". Di sana perusahaan memaparkan arsitektur, teknologi, dan alasan di balik pengembangan mode kamera tersebut. Pemicu utamanya adalah makin rendahnya hambatan untuk membuat atau memodifikasi gambar secara sintetis.
Apple menilai standar industri seperti C2PA sebenarnya sudah menjawab masalah ini, tetapi masih rentan dikompromikan di titik-titik tertentu dalam rantai penyuntingan. Karena itu, Apple membangun sistem verifikasi berantai yang diklaim privat, aman, dan menurut pengetahuan perusahaan, satu-satunya sistem provenance gambar yang menyediakan pertahanan quantum-secure.
Bagaimana Rantai Verifikasi Reference Image Bekerja
Apple memakai istilah fotografi klasik untuk menjelaskannya: secure digital negative. Berkas ini menyimpan piksel mentah hasil tangkapan sensor, lengkap dengan metadata bertanda tangan dan timestamp. Proses pengembangannya berlangsung di lingkungan aman dan privat di dalam struktur Private Cloud Compute milik Apple.
Keaslian semantik itu hanya satu dari tiga syarat inti yang menurut Apple harus dipenuhi sistem provenance fotografi berjaminan tinggi. Dua syarat lainnya adalah ketahanan terhadap kompromi dan terjaganya privasi.
Rantai kepercayaan Reference Image dimulai saat sensor kamera pertama kali diinisialisasi, yakni pada proses manufaktur iPhone. Sensor menghasilkan pasangan kunci penandatanganan, menyimpan kunci privat untuk dirinya sendiri, dan membagikan kunci verifikasi publik ke stasiun perekaman pabrik.
Stasiun pabrik kemudian menandatangani kunci itu dengan certificate authority pabrik dan mencatatnya di manifest perangkat keras perangkat. Kunci privat tersebut nantinya dipakai menandatangani setiap foto yang diambil dalam mode Reference Image, mengikat data piksel dan metadata sensor ke sensor kamera spesifik sebelum gambar mencapai iOS untuk diproses lebih lanjut.
Timestamp Kriptografis dan Peran Secure Enclave
Apple juga memakai timestamp kriptografis untuk menetapkan jendela waktu pengambilan foto yang bisa diverifikasi. Alih-alih mengandalkan timestamp dari sistem operasi perangkat yang menurut Apple bisa dikompromikan, iPhone secara berkala menerima token timestamp aman sebagai batas bawah.
Perangkat lalu meminta token lain setelah pengambilan gambar untuk menetapkan batas atas. Dari dua batas itu, Apple bisa memverifikasi bahwa gambar diambil di antara keduanya.
Secure Enclave ikut berperan dengan menandatangani metadata yang berasal dari luar sensor kamera. Private Cloud Compute kemudian memverifikasi tanda tangan tersebut, memastikan sensor dan Secure Enclave berada di iPhone yang sama, serta memeriksa timestamp sebelum mengembangkan secure digital negative.
Jika semua pemeriksaan lolos, Private Cloud Compute memproses negative menjadi JPEG Reference Image final dan menandatanganinya memakai kombinasi kriptografi tradisional dan post-quantum. Apple menyebut pendekatan ini dirancang agar gambar tetap bisa diverifikasi bahkan terhadap serangan komputer kuantum di masa depan.
Sensor dan Foto Bermasalah Bisa Dicabut
Jika sistem penilaian keyakinan Apple mengidentifikasi sebuah sensor berperingkat rendah dan sensor itu dicabut, Private Cloud Compute tidak akan lagi menandatangani Reference Image yang diambil olehnya. Hal serupa berlaku pada Reference Image individual yang belakangan terbukti palsu.
Perangkat Apple secara rutin mengambil daftar pencabutan terbaru untuk memastikan foto dari sensor atau berkas yang dicabut tidak lagi mendapat tanda tangan verifikasi.
Kerangka Reference Image juga dirancang agar pengamat luar tidak bisa menentukan identitas fotografer, perangkat yang dipakai, atau apakah dua Reference Image diambil oleh perangkat yang sama. Apple menyebut hal ini penting bagi fotografer yang bekerja di lingkungan sensitif, termasuk zona konflik, di mana membuktikan keaslian gambar seharusnya tidak menuntut mereka melepas anonimitas.