C2PA 데이터 해시 assertion: 자산 바인딩을 검토하는 방법

결과를 만든 파일을 먼저 보존합니다

검증 도구로 열기 전에 실제로 받은 미디어 파일을 저장합니다. 출처 페이지, 다운로드 시각, 파일명, 크기와 기존 절차에서 계산하는 파일 해시가 있다면 함께 기록합니다. 플랫폼이 원본과 변환본을 제공하면 각 사본에 식별자를 붙이고 어느 파일을 검토하는지 명시합니다. 이 기록 방식은 본문이 제안하는 운영 절차이며 C2PA가 요구하는 양식은 아닙니다.

C2PA 호환 검증 도구의 이름과 버전을 적고 전체 출력을 파일과 함께 보존합니다. 배지나 짧은 상태 문구만으로는 어떤 assertion, 제외 범위, 파일 사본이 결과를 만들었는지 알 수 없습니다. 검증 전에 증거 사본을 변환하거나 다시 내보내거나 metadata를 고치지 않습니다. 그런 작업은 별도의 검토 대상을 만듭니다.

기록 옆에 질문을 씁니다. 검증 도구가 보고한 대로 data hash assertion이 검사 대상 byte를 자산에 결합하는지 확인합니다. 누가 미디어를 게시했는지, 설명이 맞는지, 화면 속 사건이 실제로 일어났는지는 다른 증거로 확인할 질문입니다.

Assertion과 제외 범위를 읽습니다

C2PA 2.2에서 data hash assertion의 label은 c2pa.hash.data입니다. 규격은 자산의 지정된 byte 범위에 대한 암호화 hash를 assertion에 저장한다고 설명합니다. Hash 값은 필수입니다. alg 필드는 알고리즘을 지정할 수 있으며, 없으면 바깥 구조의 alg 값을 사용합니다. 두 위치에 값이 모두 없으면 기본값 없이 구조가 유효하지 않습니다.

Assertion에는 exclusions가 있을 수 있습니다. 각 제외 범위에는 시작 위치와 길이가 있습니다. 범위는 start 값이 증가하는 순서로 놓여야 하며 서로 겹칠 수 없습니다. 한 제외 범위의 시작과 끝은 같은 논리 단위 안에 있어야 하고, free-box나 padding data를 제외하면 그 단위의 header 또는 length field와 겹치지 않아야 합니다. 규격은 제외되는 내용을 C2PA Manifest Store나 EXIF, IPTC 같은 자산 metadata로 제한합니다.

검증 도구가 보여 주는 assertion label, 알고리즘, hash 상태, 각 제외 범위의 start와 length만 옮겨 적습니다. 보이지 않는 필드는 “표시되지 않음”으로 남깁니다. 다른 사본의 byte offset을 가져오지 않습니다. 이전 url 필드는 폐기됐으며 claim generator가 추가하면 안 된다는 규정도 결과 해석과 분리해 기록합니다.

규격은 data hash assertion이 cloud data assertion에 들어갈 수 없고 compressed manifest와 함께 사용될 수 없다고 명시합니다. 도구가 해당 메시지를 표시하면 원문을 보존하고, 어떤 앱이 만들었는지나 왜 그런 구조가 생겼는지는 추정하지 않습니다.

일치와 불일치의 범위를 제한합니다

Hash 일치는 검증 도구가 포함된 byte를 대상으로 값을 계산했고 assertion의 값과 맞았다는 제한된 관찰을 뒷받침합니다. 모든 metadata가 정확하거나 서명자가 신뢰할 수 있거나 현실 사건에 관한 설명이 맞다는 뜻은 아닙니다. 제외 범위는 hash 계산 밖에 있으므로 별도로 검토합니다.

불일치는 이 파일과 assertion에서 계산값과 선언값이 맞지 않았다는 뜻입니다. 정확한 실패 코드나 메시지와 검사 파일을 함께 저장합니다. 이 결과만으로 어떤 byte가 바뀌었는지, 누가 언제 바꿨는지, 화면이 조작된 사건을 보여 주는지 알 수 없습니다. 다른 사본은 별도 식별자를 붙이고 독립적으로 검증한 뒤 비교합니다.

도구가 제외 범위, 알고리즘 선택, 전체 상태를 보여 주지 않으면 미확인으로 남깁니다. 추정으로 채운 표보다 범위가 명확한 불완전 기록이 재검토에 유용합니다.

탐지와 현실 사건 확인을 분리합니다

저장한 이미지, 영상, 음성 또는 텍스트는 DeepFakeCheck에서 확률적 위험 신호를 받을 수 있습니다. 이 출력은 C2PA 검증 기록과 분리하고 실제 분석한 사본에 연결합니다. c2pa.hash.data 검토에는 C2PA 호환 검증 도구를 사용하고 DeepFakeCheck 출력은 별도 기록에 둡니다.

자동 분석은 진짜 자료를 의심스럽게 표시하는 오탐과 합성 또는 변경 자료를 놓치는 미탐을 낼 수 있습니다. 높은 위험은 추가 검토의 근거가 됩니다. 낮은 위험은 파일 인증, hash 불일치 복구, 화면 속 사건 확인을 뜻하지 않습니다.

현실 주장은 원 게시물, 미디어를 제시한 계정이나 기관, 주장된 날짜와 장소, 사건에 관한 독립 증거로 확인합니다. 마지막에는 파일 식별자, 검증 도구와 버전, assertion 필드, 제외 범위, 전체 상태, 탐지 결과, 외부 출처 확인과 실제 결정을 남깁니다.

출처

• C2PA, “C2PA Technical Specification — Data Hash”: https://spec.c2pa.org/specifications/specifications/2.2/specs/C2PA_Specification.html#_data_hash