تصویر مرجع اپل: رویکردی جدید برای عکاسی تایید شده

امروزه ابزارهای قدرتمند و گسترده هوش مصنوعی به کاربران این امکان را می‌دهند که به راحتی تصاویر واقعی واقعی را تولید یا تغییر دهند تا حدی که تصور آن تا چند سال پیش دشوار بود. این ابزارها ویژگی‌های مفیدی مانند حذف حواس‌پرتی پس‌زمینه با یک لمس را امکان‌پذیر می‌کنند، اما تمایز بین عکس‌هایی که رویدادهای واقعی را به تصویر می‌کشند و تصاویر مصنوعی که به شدت تغییر کرده یا کاملا تولید شده‌اند را دشوار می‌کنند.

بنابراین، در موردی که نقش اساسی یک عکس اثبات این است که چیزی واقعا اتفاق افتاده است، تصویری که فوتورئالیستی به نظر می رسد دیگر برای اثبات صحت آن کافی نیست.

رسیدگی به این مشکل ساده ای نیست. دوربین‌های مدرن برای تولید تصویر قابل مشاهده نهایی به الگوریتم‌های پیچیده پردازش تصویر متکی هستند، بنابراین تأیید اینکه یک تصویر دقیقا منعکس‌کننده چیزی است که یک حسگر دوربین واقعی گرفته است، نیاز به زنجیره‌ای از اعتماد دارد که سنسور و همچنین نرم‌افزار عکاسی محاسباتی را پوشش می‌دهد که عکس را تفسیر می‌کند. رویکردهای صنعتی به این مشکل، بر اساس استاندارد C2PA، پس از ضبط، ابرداده‌های منشأ را پیوست می‌کنند و تاریخچه ویرایش‌های تصویر را از آن نقطه به بعد تأیید می‌کنند.

با این حال، این رویکرد در هر نقطه از زنجیره ویرایش در معرض خطر است و بیننده راهی برای تشخیص چنین شکستی ندارد. همچنین می‌تواند خطرات حفظ حریم خصوصی را برای عکاسانی که در شرایط خطرناک کار می‌کنند، با گره زدن تصویر به یک هویت عمومی، چه به یک دستگاه خاص یا یک فرد، ایجاد کند.

آیفون محبوب‌ترین دوربین جهان و ایمن‌ترین دستگاه تلفن همراه مصرف‌کننده است و به این ترتیب اپل موقعیت منحصربه‌فردی برای مقابله با این چالش دارد. دوربین آیفون در پلتفرمی ادغام شده است که بالاترین استانداردهای امنیتی صنعت را از سیلیکون به بالا تعیین می کند. ما همچنین از Private Cloud Compute (PCC) بهره می‌بریم، یک زیرساخت ابری پیشرو در صنعت حفظ حریم خصوصی که ایمن، قابل بازرسی است و می‌تواند عملیات الگوریتمی قابل تأیید را انجام دهد بدون اینکه به کسی - حتی اپل - امکان دیدن داده‌های در حال پردازش را بدهد.

با استفاده از این قابلیت‌های پیشرفته، ما Apple Reference Image را ایجاد کرده‌ایم، یک راه‌حل جدید برای عکاسی قابل تأیید در آیفون، و اولین کار روی سنسور دوربین اصلی آیفون 18 پرو و ​​آیفون 18 پرو مکس. این حالت جدید دوربین انتخابی به عکاس اجازه می‌دهد یک تصویر مرجع با مهر زمانی ایمن ایجاد کند که به دقت آنچه را که توسط سنسور دوربین آیفون گرفته شده است، منعکس کند. سخت افزار اختصاصی ایمن روی دستگاه از یکپارچگی این تصویر مرجع محافظت می کند و Private Cloud Compute از حریم خصوصی داده های تصویر در حین پردازش محافظت می کند.

این سیستم به گونه ای ساخته شده است که در برابر مصالحه انعطاف پذیر باشد، مهم نیست چقدر بعید است: هر تصویر جعلی را می توان بدون افشای هویت عکاس باطل کرد.

Apple Reference Image تضمینی قابل اعتماد و مقیاس پذیر ارائه می دهد که یک تصویر مرجع همان چیزی است که ادعا می کند: یک عکس واقعی که توسط یک سنسور واقعی در دوربین آیفون در یک زمان خاص گرفته شده است. استاندارد جدیدی را برای عکاسی دیجیتال قابل تایید تعیین می کند.

یک سیستم منشأ عکاسی با اطمینان بالا باید سه شرط اصلی را برآورده کند:

Apple Reference Image از سنسورهای سفارشی طراحی شده تصویر در iPhone 18 Pro و iPhone 18 Pro Max برای اطمینان از ضبط مطمئن داده‌های تصویر استفاده می‌کند و به Private Cloud Compute متکی است که یک محیط محاسباتی برای پردازش عکاسی ایمن فراهم می‌کند که حتی در صورت به خطر افتادن دستگاه نمی‌تواند خراب شود. ما معتقدیم هیچ سیستم منشأ عکاسی تجاری دیگری این الزامات سختگیرانه را برآورده نمی کند.

برای هر سیستم اصالت عکاسی، هدف تعیین کننده این است که کاربر بتواند اعتماد کند که آنچه به عنوان تصویر تأیید شده نشان داده می شود با صحنه ای که واقعا عکس گرفته شده است مطابقت دارد. چالش اصلی این سیستم ها این است که چگونه خط لوله پردازش عکاسی گسترده یک دوربین محاسباتی مدرن را ایمن کنند. صرفا امضا کردن مقادیر خام ساطع شده توسط یک حسگر، تصویر قابل مشاهده ای به دست نمی دهد: این پیکسل ها برای قابل استفاده بودن همچنان به پردازش قابل توجهی مانند پاکسازی و اصلاح سایه لنز نیاز دارند.

برای حل این مشکل، سیستم‌های صنعتی قبلی امضای تصاویر را تا پایان خط لوله پردازش نرم‌افزارشان به تاخیر انداخته‌اند. اما این رویکرد در برابر حملاتی که داده‌های پیکسل جعلی را به انتقال داده از حسگر تزریق می‌کند، یا در معرض خطرات سیستم عامل دستگاه است که می‌تواند تصویر را قبل از امضای کامل تغییر دهد، آسیب‌پذیر است. نه امضای مقادیر خام حسگر، و نه به تأخیر انداختن امضا تا زمانی که عکس پردازش شود، با نوار ما برای صحت معنایی مطابقت ندارد.

راه حل ما به تقسیم فرآیند تصویر مرجع اپل به دو مرحله بستگی دارد: ایجاد یک نگاتیو دیجیتال امن، و توسعه آن نگاتیو به یک تصویر مرجع. هر فاز قوی ترین محافظت های ما را دریافت می کند.

ایجاد یک نگاتیو دیجیتال ایمن با بوت ایمن سنسور دوربین در حالت ضبط مرجع تخصصی آغاز می شود. این حالت به حسگر دستور می‌دهد تا داده‌های پیکسلی را بلافاصله پس از ضبط به صورت رمزنگاری امضا کند و از تغییر دادن داده‌ها توسط سفت‌افزار سنسور جلوگیری می‌کند. این یک اطمینان سخت افزاری ایجاد می کند که سیستم عامل داده های پیکسل را دقیقا همانطور که سنسور سخت افزار گرفته است دریافت می کند و از حملات تزریق یا دستکاری جلوگیری می کند.

ما ابرداده های تصویر را با همان سطح حفاظت درمان می کنیم. فراداده تولید شده توسط حسگر در زمان ضبط همراه با داده های پیکسل امضا می شود. برای مقادیر اندکی فراداده که فراتر از سنسور دوربین منشا می‌گیرند، مانند مرزهای زوم دیجیتال و فاصله کانونی، از Secure Enclave Processor (SEP) برای امضای مقادیر استفاده می‌کنیم. این فراداده غیرحسگر نمی تواند خود مقادیر پیکسل را تغییر دهد.

دانستن اینکه چه زمانی یک عکس گرفته شده است، اغلب یک عنصر حیاتی در اثبات صحت آن است. در حالی که سیستم‌های صنعتی قبلی یک مهر زمانی ارائه شده توسط سیستم عامل دستگاه عمومی را شامل می‌شدند، ما معتقدیم که این به وضوح از نیازهای تضمینی در دنیای واقعی کمتر است. درعوض، Apple Reference Image هم یک کران پایین و هم یک کران بالا را در زمان ضبط از سرویس مهر زمان رمزنگاری اپل ارائه می‌کند و ما تضمین می‌کنیم که عکس بین این دو کران گرفته شده است. در یک ضربان قلب معمولی، دستگاه یک نشانه زمانی رمزنگاری درخواست می‌کند و جدیدترین موردی که دریافت کرده را حفظ می‌کند.

در سطح جهانی این به طور متوسط ​​هر 15 دقیقه اتفاق می افتد، اگرچه فاصله زمانی بستگی به شرایط شبکه محلی دارد. این یک مهر زمانی با کران پایین اثبات شده برای عکسبرداری فراهم می کند. پس از ضبط، دستگاه از مهر زمانی دوم برای استفاده به عنوان کران بالایی درخواست می کند و هر دو مهر زمانی با داده های حسگر تعبیه شده و امضا می شوند.

در نتیجه، نگاتیو دیجیتال ایمن حاوی تمام اطلاعات ضروری برای ارائه یک تصویر مرجع - داده‌های پیکسل، ابرداده‌های ضروری حسگر، و مرزهای مهر زمانی ایمن - است که همگی در برابر آسیب‌پذیری نرم‌افزار دستگاه محافظت می‌شوند.

برای توسعه این نگاتیو دیجیتال ایمن به یک تصویر مرجع قابل مشاهده برای کاربر، از محیط محاسباتی حفظ حریم خصوصی ارائه شده توسط Private Cloud Compute بهره می بریم. هنگامی که کاربر انتخاب می کند یک تصویر مرجع ایجاد کند، دستگاه نگاتیو دیجیتال را در PCC آپلود می کند، که مراحل پردازش مورد نیاز برای ارائه تصویر - از جمله پاکسازی، نگاشت آهنگ، و فشرده سازی - را در یک محیط بسیار امن، خصوصی و قابل تأیید انجام می دهد. کارشناسان می توانند تأیید کنند که PCC در طول توسعه، نگاتیو دیجیتال را تغییر نمی دهد: آنها می توانند نرم افزاری را که کار را انجام می دهد، بررسی کنند.

هر ساخت تولید PCC فقط در یک لاگ شفاف رمزنگاری و بدون دستکاری ثبت می‌شود، باینری‌ها برای بازرسی عمومی در دسترس هستند و دستگاه فقط داده‌ها را به گره‌ای ارسال می‌کند که می‌تواند اجرای یک ساخت از آن گزارش را تأیید کند. اینها همان تضمین‌های فوق‌العاده‌ای هستند که ما برای نحوه محافظت PCC از حریم خصوصی درخواست‌های Apple Intelligence، که در پست‌های قبلی به طور کامل توضیح داده شده‌اند، می‌دهیم.

Apple Reference Image ضمانت‌های قوی این دو مرحله - تضمین سطح سخت‌افزار از نگاتیو دیجیتال امن و شفافیت قابل تأیید PCC روی الگوریتم‌های پردازش را ترکیب می‌کند تا صحت معنایی پیشرو در صنعت را برای تصاویر به دست آمده ارائه دهد.

در طراحی Apple Reference Image، طیف وسیعی از حملات را در نظر گرفتیم و سیستم را طوری ساختیم که در برابر سازش از چندین بردار مقاومت کند.

همانطور که در بالا توضیح داده شد، ما خط لوله تصویر مرجع اصلی را طراحی کردیم تا در برابر آسیب سیستم عامل یا حمله تزریق داده به گذرگاه حسگر مقاومت کند. اما ما به حفاظت‌های بیشتری در برابر دسته وسیع‌تری از حملات سخت‌افزاری نیاز داشتیم که می‌تواند شامل حذف سنسور از دستگاه باشد.

این دفاع ها قبل از گرفتن یک عکس واحد، در زمان ساخت شروع می شوند. هنگامی که حسگر تصویر برای اولین بار در کارخانه راه اندازی می شود، یک هویت امضای رمزنگاری ایجاد می کند و تنها کلید عمومی را با کارخانه به اشتراک می گذارد. SEP به طور مشابه یک هویت امضای تایید شده جداگانه ایجاد می کند. این هویت‌ها به مانیفست دستگاه متصل می‌شوند و به ما امکان می‌دهند بعدا بررسی کنیم که آیا یک حسگر خاص و SEP از یک دستگاه هستند یا خیر. در زمان ضبط، دستگاه این اطلاعات پلتفرم را در نگاتیو دیجیتالی که تولید می‌کند ترکیب می‌کند.

هنگامی که تصویر مرجع در PCC توسعه می یابد، PCC می تواند تأیید کند که عکس از یک جفت سنسور و دستگاه معتبر آمده است.

ما همچنین حملات رمزنگاری را در نظر گرفتیم. طبق دانش ما، طرح‌های امضای عکس موجود، همه با الگوریتم‌های امن کلاسیک امضا می‌کنند، اما الگوریتم‌های امن کوانتومی به طور فزاینده‌ای برای یکپارچگی طولانی‌مدت امضاهای رمزنگاری حیاتی هستند. از آنجایی که تصاویر مرجع دارایی‌های منتشر شده‌ای هستند که یکپارچگی آن‌ها باید تا زمانی که هر کسی بخواهد آنها را بررسی کند، باقی بماند، امضای ایمن فقط در برابر دشمنان کلاسیک کافی نیست: تصویری که در سال 2026 معتبر است باید به طور ایمن قابل تأیید باشد.

بنابراین ما سیستم را طوری طراحی کردیم که در برابر حملات کوانتومی بر روی هر الگوریتمی که برای محافظت از یکپارچگی تصاویر مرجع توزیع شده عمومی استفاده می شود، مقاومت کند. امضای نهایی در تصویر مرجع، یک امضای پس کوانتومی مرکب است که RSA-3072 و ML-DSA-87 را ترکیب می کند. طبق دانش ما، Apple Reference Image تنها سیستم منشأ تصویر است که دفاعی با امنیت کوانتومی ارائه می‌کند.

در نهایت، از آنجایی که هیچ سیستم امنیتی کامل نیست، ما یک سیستم ابطال ایجاد کردیم که می تواند عکس های فردی و همچنین تمام عکس ها را از یک سنسور خاص باطل کند. به عنوان بخشی از توسعه نگاتیو دیجیتال ایمن، PCC یک امتیاز اطمینان را محاسبه می کند که ارزیابی می کند آیا تصویر دارای ویژگی های فیزیکی مورد انتظار خروجی خام از سنسورهای دوربین ما است یا خیر. قبل از امضای تصویر مرجع توسعه‌یافته، PCC GUID عکس، شناسه حسگر، و این امتیاز اطمینان را به یک سرویس همراه می‌فرستد، که آنها را ثبت می‌کند و امتیاز اجرا مرتبط با آن سنسور را به‌روزرسانی می‌کند.

اگر یک سنسور با امتیاز پایین لغو شود، PCC دیگر تصاویر آن را امضا نمی کند. دستگاه های اپل لیست های ابطال به روز شده را به صورت منظم دریافت می کنند. هر زمان که یک تصویر مرجع مشاهده می شود، بیننده می تواند اطمینان داشته باشد که تصویر تقلبی شناخته نشده است.

راه‌حل‌های صنعتی دیگر به عکاس یا مؤسسه نیاز دارند تا تصویری را با استفاده از اعتبار خود تضمین کنند. ما نگران هستیم که برخی از عکاسان، مانند کسانی که در مناطق درگیری فعالیت می کنند، در موقعیت دشواری قرار بگیرند. برای اثبات صحت تصویر، نباید از ناشناس ماندن چشم پوشی کرد. ما تصویر مرجع Apple را ساختیم تا از استفاده از اعتبار صریح و عمومی برای عکاسان خودداری کنیم و حتی از ارتباط عمومی ضمنی بین عکس‌های مختلف گرفته شده توسط یک حسگر جلوگیری کنیم.

تصویر مرجع نهایی در عوض توسط سرویس امضای اپل، پس از تأیید اعتبار توسط PCC، امضا می‌شود. این امضا توسط قوی ترین ضمانت های فنی اپل پشتیبانی می شود.

پیاده سازی ما همچنین از محرمانه بودن خود تصویر، از جمله از اپل محافظت می کند. صرفا گرفتن یک تصویر مرجع هرگز نباید پیکسل های واقعی را در معرض اپل یا هر شخص دیگری قرار دهد. ما از طریق ویژگی‌های استثنایی حریم خصوصی PCC به این امر دست می‌یابیم - خود گره‌ها به گونه‌ای طراحی شده‌اند که حتی اپل نمی‌تواند به داده‌های تصویر دسترسی داشته باشد، همانطور که اپل نمی‌تواند اطلاعات پردازش شده برای Apple Intelligence را در PCC ببیند.

در حالی که سرویس ابطال باید یک رکورد خصوصی از GUID های عکس و حسگرهای مرتبط را حفظ کند تا امکان ابطال را فراهم کند، اما هرگز به داده های تصویر دسترسی ندارد و اجازه دسترسی عمومی به این رکورد را نمی دهد. و از آنجایی که بررسی‌های ابطال نهایی با استفاده از لیست‌های روی دستگاه انجام می‌شود، دستگاه هرگز به کسی نشان نمی‌دهد که کدام عکس را نگاه می‌کند تا بفهمد که آیا هنوز معتبر است یا خیر.

در آخر، ما مراقبت کرده‌ایم که دید شبکه را تا جایی که ممکن است محدود کنیم. درخواست‌های مهر زمانی از طریق HTTP فراموش می‌شوند، بنابراین سرویس مهر زمانی هرگز آدرس IP دستگاه درخواست‌کننده را نمی‌آموزد. به طور مشابه، تماس‌ها با خدمات لغو و امضا از داخل خود PCC انجام می‌شود که تنها حداقل اطلاعات مورد نیاز برای عملکرد آن سرویس‌ها را فراهم می‌کند.

در مجموع، ما معتقدیم که این حفاظت از حریم خصوصی بسیار قوی‌تر از هر سیستم منشأ تصویر موجود است و به عکاسان و بینندگان اجازه می‌دهد بدون افشای ناخواسته اطلاعات شخصی خود به تصاویر معتبر دسترسی داشته باشند.

در هر سه الزام - اعتبار معنایی، انعطاف پذیری در برابر مصالحه، و حفظ حریم خصوصی - ما معتقدیم که Apple Reference Image استاندارد جدیدی برای امنیت در صنعت ایجاد می کند. برای خوانندگانی که علاوه بر این به جزئیات فنی اجرای ما علاقه مند هستند، بخش بعدی مراحل دقیق ساخت، امضا و تأیید را که زیربنای ضمانت های امنیتی Apple Reference Image هستند، توضیح می دهد.

اساس تصویر مرجع اپل در طول ساخت دستگاه ایجاد می شود. هنگامی که یک سنسور عکس اپل برای اولین بار راه اندازی می شود، جفت کلید امضای ECDSA P-256 خود را تولید می کند و هرگز نیمه خصوصی را آزاد نمی کند. ایستگاه ضبط کارخانه فقط کلید تأیید عمومی مربوطه را بازیابی می کند، آن را با یک مرجع گواهی کارخانه (CA) امضا می کند و کلید و گواهی را در مانیفست سخت افزاری دستگاه ثبت می کند.

Secure Enclave Processor (SEP) فرآیند مشابهی را طی می‌کند: کلیدی را تولید می‌کند که توسط مرجع تأیید پایه (BAA) تحت یک CA جداگانه تأیید شده است، که به دستگاه اجازه می‌دهد بعدا امضاهایی تولید کند که اپل می‌تواند به آن تلفن خاص نسبت دهد. سپس یک CA سوم دستگاه خود را امضا می کند و کلید حسگر و کلید SEP تأیید شده با BAA را به عنوان متعلق به یک آیفون به هم متصل می کند. این اتصال همان چیزی است که بعدا به ما امکان می‌دهد بگوییم که یک حسگر خاص و یک Secure Enclave خاص بخشی از یک دستگاه بوده و هستند.

پس از استفاده از دستگاه، جمع‌آوری مهر زمانی آغاز می‌شود. Apple Push Notification Service (APNs) یک پروتکل ضربان قلب موجود را اجرا می کند تا از سلامت اتصال برای اعلان های فشار اطمینان حاصل کند. همزمان با این ضربان قلب، APN ها اکنون یک نشانه به روز RFC 3161 مهر زمانی را از سرویس مهر زمانی اپل، که با ECDSA P-256 بر روی SHA-256 امضا شده است، ارائه می دهند و دستگاه جدیدترین موردی را که دریافت کرده است، نگه می دارد.

برای شروع فرآیند ضبط، کاربر به حالت مرجع تغییر می کند. این سنسور را به حالت مرجع تخصصی و ایمن راه اندازی مجدد می کند. این حالت ضبط یک ورودی از سیستم عامل دستگاه را می پذیرد: خلاصه SHA-256 که در یک مکان ثابت در فراداده قاب گرفته شده جاسازی شود. خلاصه از آخرین مهر زمانی ایمن، مانیفست دستگاه و مانیفست راه‌اندازی ایمن دستگاه محاسبه می‌شود.

در هنگام گرفتن، سنسور نور را به عنوان سیگنال آنالوگ اندازه گیری می کند که دیجیتالی می شود. قاب دیجیتالی و خلاصه ابرداده تعبیه شده با هم، در داخل حسگر، با کلید خصوصی حسگر امضا می شوند. ابرداده های مشتق شده از سیستم عامل (ضریب زوم دیجیتال، نوردهی و پارامترهای لنز) از سیستم دوربین جمع آوری می شود. ما به همراه این ابرداده به امضای سنسور تعهد می‌دهیم و با استفاده از کلید تأیید شده با BAA، آن را با SEP امضا می‌کنیم.

ما یک تعهد SHA-256 را به امضای SEP محاسبه می‌کنیم و آن را به سرویس مهر زمانی ارسال می‌کنیم، که یک نشانه امضا شده را برمی‌گرداند که نشان می‌دهد عکس حداکثر تا آن لحظه وجود داشته است، کران بالایی برای تکمیل کران پایینی که قبلا در کادر تعبیه شده است. اگر دستگاه آفلاین است، هنوز هیچ کران بالایی در دسترس نیست. یک فرآیند پس‌زمینه به تلاش برای درخواست ادامه می‌دهد و پس از موفقیت، توکن را وارد می‌کند و کوتاه‌ترین فاصله زمانی را ایجاد می‌کند که شرایط اجازه می‌دهد.

هر چیزی که تاکنون تولید شده است - پیکسل‌ها، هر دو امضا، مهرهای زمانی، فراداده، مانیفست دستگاه و مانیفست راه‌اندازی امن - در نگاتیو دیجیتال امن روی دستگاه ذخیره می‌شوند، در قالب DNG، که به عکس پردازش شده معمولی از خط لوله استاندارد مرتبط است. نگاتیو می تواند به طور نامحدود آنجا بنشیند، و همچنین می تواند در این حالت توسعه نیافته به اشتراک گذاشته شود، ممکن است عکاسان حرفه ای به گردش کار نیاز داشته باشند.

هنگامی که کاربر شروع به ایجاد یک تصویر مرجع می کند، دستگاه نگاتیو دیجیتال امن را در Private Cloud Compute آپلود می کند. PCC خلاصه‌ی تعبیه‌شده در قاب را دوباره محاسبه می‌کند و امضای حسگر را روی پیکسل‌ها و آن هضم تأیید می‌کند و زنجیره گواهی را به سنسور CA تأیید می‌کند. PCC همچنین امضای SEP را تأیید می‌کند و آن را به BAA CA متصل می‌کند، و امضای مانیفست دستگاه را تأیید می‌کند و آن را به CA که مانیفست دستگاه را در کارخانه امضا می‌کند، زنجیر می‌کند. سپس تأیید می کند که سنسور و SEP نامگذاری شده در آن زنجیره ها متعلق به یک دستگاه هستند.

فقط در صورتی که همه این چک ها تایید شوند، پردازش ادامه می یابد.

PCC بعدا مهر زمانی را بررسی می کند. اگر مهر زمانی با کران پایین تأیید نشد، PCC جایگزین 31 مارس 2026 می شود، زیرا این ویژگی قبل از آن تاریخ وجود نداشت و هیچ عکسی نمی تواند قبل از آن باشد. اگر مهر زمانی کران بالا وجود نداشته باشد یا تأیید نشود، PCC زمان توسعه فعلی را در PCC جایگزین می‌کند.

PCC با استفاده از یک شبکه عصبی با وزن های پنهان، امتیاز اطمینان عکس را محاسبه می کند. این مرحله اضافی تأیید می کند که تصویر دارای ویژگی های فیزیکی مورد انتظار از خروجی خام از سنسورهای ما است، که باعث افزایش اطمینان در صحت آن می شود. PCC سپس نگاتیو را با پاکسازی، نقشه برداری تن و اصلاحات مربوطه ایجاد می کند. نتیجه به صورت JPEG فشرده شده و هش می شود و تعهدی به تصویر توسعه یافته ایجاد می کند. این هش دو هدف را دنبال می‌کند: مقداری است که امضا می‌شود، با فرض اینکه بررسی‌های باقیمانده ما را رد کند، و بیت‌های مورد استفاده برای GUID عکس را تامین می‌کند.

PCC GUID عکس، هش خام، امتیاز اطمینان و شناسه حسگر را به یک سرویس همراه می‌فرستد، که آنها را ثبت می‌کند، امتیاز اطمینان در حال اجرا مرتبط با آن سنسور را به‌روزرسانی می‌کند، و تأیید می‌کند که سنسور در فهرست لغو نمایش داده نمی‌شود. اگر این چک‌ها تأیید شوند، PCC تعهد را به سرویس امضای ما ارائه می‌کند، که آن را با امضای پس کوانتومی ترکیبی با استفاده از طرح ترکیبی MLDSA87-RSA-3072-PSS-SHA512 امضا می‌کند. امضا در JPEG تعبیه شده است و تصویر مرجع به دستگاه بازگردانده می شود که آن را با عکس اصلی از عکس اصلی مرتبط می کند.

پس از توسعه موفقیت آمیز نگاتیو دیجیتال ایمن، به طور خودکار به پوشه عکس های حذف شده منتقل می شود. مانند هر عکس حذف شده، کاربر می تواند در صورت تمایل، نگاتیو را برای حفظ بازیابی کند یا فورا آن را حذف کند. در غیر این صورت پس از 30 روز به طور خودکار پاک می شود.

در سمت مشتری، هر زمان که تصویر مرجع نمایش داده می شود، مشتری امضای نهایی را در JPEG تأیید می کند و تأیید می کند که GUID عکس آن قبل از نمایش تصویر در لیست ابطال فعلی ظاهر نمی شود.