C2PA Manifestの状態：Well-Formed、Valid、Trustedの見分け方

状態名を付ける前にファイルと出力を保存する

保存したファイルをC2PA対応validatorで開き、badgeや総合表示だけでなく全出力を残します。ファイル名または取得元URL、取得時刻、validator名と版、active-manifest label、表示されたstatus codeを記録します。この表は再確認のための本文の提案であり、C2PAが要求する書式ではありません。

問いは、この実行でactive manifestがどのvalidation stateの条件を満たし、どの検査がその状態を支えるかに限定します。C2PAの関係は階層型です。Trusted manifestは必ずValidで、Valid manifestは必ずWell-Formedです。逆方向は成立しません。

Manifestの状態をassetや現実の出来事に関する主張と分けます。Content bindingが対象とするasset部分がactive manifest生成後に変更されず、active manifestがValidまたはTrustedなら、C2PAはassetをValidとします。この結果も対象bytesとprovenance validationに関するもので、caption、人物、場所、描写された出来事の正確さは確定しません。

Well-Formedの条件から確認する

Manifest内容がvalidation processで確認される規範要件に従い、そのmanifest typeに許可されたassertionだけを含み、各assertionとingredientがそれぞれの要件を満たすとWell-Formedです。四つの条件を別の行に置き、validatorの表示をそのまま記録します。

詳細が表示されない項目はpassと推測せず「未表示」とします。Well-Formedは構造と規則への適合を示し、Validの前提です。署名後の非改変、claim signature、validity period、signer trustの成功までは示しません。

Validに必要な検査を加える

Valid manifestは最初にWell-Formedである必要があります。さらに署名後にmanifestが変更されていないこと、claim signatureがclaimSignature.validated、署名の有効期間検査がclaimSignature.insideValidityを受けることが必要です。

Signer credentialはsigningCredential.ocsp.revokedまたはsigningCredential.ocsp.unknownで拒否されていてはいけません。署名、時間、revocationの結果を別々に残します。異なる技術的問いですが、すべてValidの条件です。

ManifestがValidなら、claimはclaim_generator_info fieldが示すclaim generatorに帰属できます。表示されたfieldを記録し、ツールが出来事を目撃した、またはassertion内の全記述を確認したという意味には広げません。

Trustedにはsigner trustが必要です

TrustedはValidに一条件を追加し、signing credentialがsigningCredential.trustedを受ける必要があります。Validだけが表示された場合、publisherやsoftware名が有名でもTrustedに書き換えません。

Trustはvalidatorの設定にも関係します。仕様は許可するExtended Key Usage値とX.509 trust anchorのリストを維持するよう求めます。c2pa-kp-claimSigning EKUではC2PA Trust Listを含みますが、リストは空の場合があり、追加anchorをユーザーが設定できる場合もあります。表示されたvalidator版とtrust contextを保存します。

表にはmanifest label、Well-Formed条件、signature integrity、validity period、revocation、signer trust、最終状態、未解決項目を分けて置きます。“trusted”という一語で根拠となる検査を隠さないためです。

状態と現実の主張を分けて記録する

Success、informational、failureのstatus code一覧とvalidation stateを一つにしません。Codeは個別検査の記録で、Well-Formed、Valid、Trustedは必要条件から導く状態です。Content-binding結果を追加するValid assetの条件もValid manifestとは別にします。

保存したファイルをDeepFakeCheckで分析する場合、確率的risk signalを別欄に置きます。自動検出には本物を疑う偽陽性と、合成または変更mediaを見逃す偽陰性があります。DeepFakeCheckはC2PAのmanifest stateやvalidation codeを発行しません。

低riskはWell-Formed manifestをValidまたはTrustedに変えません。Trusted manifestも出来事、caption、話者の身元を証明しません。現実の主張は元の公開ページと独立資料で確認します。最後に正確なファイル、全出力、状態別の必須検査、trust context、表示されたcontent-binding結果と対応を残します。

出典

• C2PA, “C2PA Technical Specification, Validation states”: https://spec.c2pa.org/specifications/specifications/2.2/specs/C2PA_Specification.html#_validation_states