Ricercatori hanno compromesso la firma crittografica C2PA su Google Pixel 10

Un ricercatore indipendente ha dimostrato la possibilità di contraffare i metadati C2PA, creando un'immagine che supera con successo il controllo di autenticità come scattata con la fotocamera dello smartphone Google Pixel 10. Durante l'esperimento, è stato possibile incorporare contenuti generati da una rete neurale nel sistema di verifica, mantenendo al contempo una firma crittografica valida del dispositivo.

Per attuare l'attacco sono stati necessari circa 3 ore di lavoro, al termine delle quali il sistema ha riconosciuto l'immagine generata "glitter milk" come uno scatto originale. Il ricercatore ha ottenuto 10 punti nell'ambito della valutazione della vulnerabilità, dimostrando che l'attuale implementazione dello standard non garantisce la protezione dall'incorporazione di contenuti sintetici a livello di hardware.

Lo standard C2PA (Coalition for Content Provenance and Authenticity) è progettato per confermare la provenienza dei file multimediali e combattere i deepfake. Tuttavia, questo incidente mostra che la presenza di un "impronta digitale" del dispositivo non è una prova assoluta del fatto che l'immagine sia stata creata dalla matrice ottica della fotocamera e non da un algoritmo.

I risultati della ricerca mettono in dubbio l'affidabilità degli strumenti di controllo del contenuto esistenti utilizzati nell'industria dei media. La vulnerabilità indica la necessità di rivedere i protocolli di interazione tra i moduli di sicurezza hardware degli smartphone e i layer software responsabili della formazione dei metadati in tempo reale.