Met de EverStamp-app maak je opnames met datum, tijd en plaats in het beeld. Elke opname wordt op je telefoon digitaal ondertekend en komt in een dossier; sluit je het dossier, dan zet een onafhankelijke dienst er een gekwalificeerde tijdstempel op. Deze pagina legt die keten uit en zegt er precies bij waar hij ophoudt.
De balk kan iedereen lezen, op het scherm of op papier. De rest zit onzichtbaar in het beeld en het dossier, en alleen een controle ziet het. Verander één pixel en die controle slaagt niet.
Je legt vast met de camera van de app, en elke opname komt meteen in een dossier. Dat dossier toont de keten als een rij van vier stippen, in de woorden van de app. Een open dossier verzamelt nog opnames; bij een verzegeld dossier staan alle vier op groen.
Elke schakel doet een ding, en bij elke schakel staat wat hij niet doet.
Zodra de opname is gemaakt, berekent de app er een vingerafdruk van en ondertekent die met een sleutel uit de beveiligde hardware van je toestel. Een vingerafdruk is een korte code die uit een bestand wordt berekend: verandert er ook maar één pixel, dan verandert de code. Uit de code is het beeld niet terug te halen. Bij een video gebeurt dat stuk voor stuk terwijl je opneemt. Volgens de attestatie van Apple of Google is die sleutel in de beveiligde hardware van een echt toestel voor onze app gemaakt, en kan hij er niet af. In dezelfde stap gaan de toestelklok, de plaats als je die aan hebt staan, en een oplopende teller mee.
Wat deze schakel niet doet: vaststellen wat er op de opname te zien is. Een foto van een scherm blijft een foto. Wat de app bij een foto wel meeneemt, is een signaal dat daar iets over zegt: de beweging van de telefoon in de seconde rond de opname.
Elke opname wijst naar de vorige. Uit de vingerafdrukken van alle opnames, in hun volgorde, berekent de app de vingerafdruk van het dossier. Daarin zit ook het aantal opnames, zodat het opvalt als er achteraan opnames zijn weggehaald. Bij het sluiten gaat de vingerafdruk van het dossier naar een gekwalificeerde tijdstempeldienst op de Europese vertrouwenslijst. Die stempelt met een eigen klok, die door auditors wordt gecontroleerd.
Wat deze schakel niet doet: een tijd aannemen die jij opgeeft. In de standaard waarmee de dienst werkt (RFC 3161) is er geen manier om zelf een tijd op te geven. Daarom kan een dossier van vandaag nooit een stempel met de datum van gisteren krijgen.
Van elk dossier komt een vingerafdruk van 108 bytes in een openbaar logboek, dat zichzelf ook weer laat stempelen. Daarmee is achteraf vast te stellen dat EverStamp dit dossier heeft geregistreerd, en dat het niet ergens anders is verzonnen met een echte stempel eromheen.
Wat er niet in staat: je opnames, of iets waaraan iemand jou of je klant kan herkennen. Het logboek bevat getallen. Opnames komen in drie gevallen bij ons: een deellink, waarbij de sleutel in de link blijft; een levering op het verzoek van een bedrijf; en elk dossier, als jouw organisatie bewaren bij EverStamp heeft aangezet. In de laatste twee bewaren wij ook de sleutel voor dat bedrijf; technisch kunnen wij ze dus ook openen, en dat doen wij alleen op schriftelijk verzoek van dat bedrijf, of als een rechter of autoriteit ons daartoe met een bevel of vordering verplicht.
Die krijgt een pdf en een archief. Het bestand naar de pagina slepen is genoeg; de controle gebeurt in je browser en het bestand gaat niet naar ons. Alleen als het dossier een registerbewijs bevat dat de pagina niet zelf kan nagaan, zoals bij een dossier van vóór versie 1.1, gaat de vraag naar ons of ons register de vingerafdruk van dit dossier kent; een nieuwer dossier heeft meestal de handtekening van het register zelf, zodra het registerbewijs erin zit. Wie het liever zelf natrekt, gebruikt gewone OpenSSL en vrij beschikbare software voor Content Credentials.
Wat deze schakel niet doet: een eindoordeel geven over jouw zaak. De pagina zegt wat er is vastgelegd en wanneer, en waar dat ophoudt. Wat dat waard is, weegt de ontvanger.
Een dossier wordt verstuurd als archief, als rapport of als link. Wat er ook aankomt, het leidt naar dezelfde controle.
Ze bij naam noemen is juist de bedoeling. Een bewering die je niet kunt opzoeken is een bewering die je moet geloven, en van elk van deze staat de specificatie openbaar, voor iedereen te lezen.
| Wat | Welke norm | Wat het hier doet |
|---|---|---|
| Herkomst in het beeld | C2PA, Content Credentials | In de foto staan herkomstgegevens volgens C2PA: welke app en welk toestel, ondertekend door EverStamp. Wie fotografeerde en de tijd van het toestel blijven opgaven. C2PA is de gangbare standaard voor de herkomst van foto’s en video’s. |
| De tijdstempel | RFC 3161, via een gekwalificeerde dienst op de Europese vertrouwenslijst | De dienst ondertekent een hash met een eigen, geauditeerde klok. In het protocol zit geen veld waarin een client om een tijd kan vragen: de tijd van de stempel zet de dienst, niet de telefoon en niet wij. |
| De reeks | SHA-256 en een Merkle-boom | Elke opname wordt gehasht, wijst naar de vorige, en de boom heeft een wortel: één hash die alle opnames samenvat. Het aantal zit in de boom, dus een afgeknipte staart valt op. Een stempel op die wortel dekt daarmee elke opname eronder. |
| Het toestel | App Attest op iOS, hardware-attestatie van de sleutel op Android | De sleutel van het toestel zit in beveiligde hardware en kan er niet uit. Apple of Google verklaart dat die sleutel daar is gemaakt, voor onze app. Of het toestel was opengebroken, stelt die verklaring niet vast: een gehackte telefoon kan haar soms doorstaan. |
| Het tijdanker | drand, een openbaar netwerk van onafhankelijke partijen dat op vaste momenten zo’n getal publiceert | Een tijdanker is een willekeurig getal dat op een vast moment openbaar wordt; niemand kon het van tevoren weten. Wie dat getal mee ondertekent, kan dat dus pas na dat moment hebben gedaan. De app haalt het op toen hij voor het laatst verbinding had, en het staat in het dossier. Met onze app op een toestel dat niet is opengebroken, is de opname dan ook na dat moment gemaakt. |
| Wie mag stempelen | eIDAS, verordening (EU) 910/2014, artikel 41 | Een gekwalificeerde dienst staat onder toezicht en op de lijst. De tijd die zij aangeeft, en de ongewijzigdheid van de gegevens waaraan die is gebonden, worden vermoed juist te zijn. Dat is een Europese regel; buiten de Europese Unie hangt het af van het recht van het land. |
Twee dingen ontbreken bewust in deze lijst. Er zit geen blockchain in: een openbaar logboek dat zichzelf laat stempelen door dezelfde gekwalificeerde dienst is goedkoper, sneller en te verifiëren met software die iedereen al heeft. En er zit geen eigen formaat van ons onder dat het geheel overeind houdt, want een formaat dat alleen wij kunnen lezen zet ons weer in het midden, en dat is precies wat we proberen te vermijden. Voor het groene oordeel blijft ons register nodig; dat staat hieronder bij de controles.
Veel tijdstempelcamera’s zetten een tijd op je foto die van de klok van je telefoon komt, en die klok kun je zelf verzetten. Wat wij vastleggen is een venster: de tijd tussen het moment waarop het tijdanker openbaar werd en het moment waarop de stempel vastlegde dat de opname bestond. Hoe kort dat venster is, staat als getal in je dossier.
Ook de app, het rapport en de controlepagina zeggen bij elk dossier wat vaststaat en wat niet, zodat niemand zich later verrast voelt.
De controlepagina toont de controles die horen bij het dossier dat je erop sleept: een pdf-rapport krijgt er minder dan het archief uit de app, en een licht dossier of een dossier zonder checklist nog minder. Wat wij eraan toevoegen is dat je de controle zelf kunt natrekken: op één na doet je browser alle controles met openbare standaarden. Voor het oordeel hoort de laatste erbij, en die bevestiging komt van ons: een dossier vanaf versie 1.1 van de app heeft meestal de handtekening van het register, die je browser controleert tegen onze gepubliceerde sleutel; kan de pagina het registerbewijs niet zelf nagaan, zoals bij een ouder dossier, dan vraagt zij ons register of het de vingerafdruk van dit dossier kent.
De bevestiging van het register is de enige controle die het verschil maakt tussen een dossier dat EverStamp heeft geregistreerd en een verzonnen bestand met een echte stempel eromheen; zonder die bevestiging wordt het oordeel nooit groen. Een dossier vanaf versie 1.1 van de app heeft meestal de handtekening van het register, zodra de app het registerbewijs erin heeft gezet; dat kan pas als het register het uur van het dossier heeft gestempeld. Die handtekening controleert de pagina zelf, en dan vraagt zij ons niets. Een dossier zonder registerbewijs wordt niet groen. Bevat het dossier een registerbewijs dat de pagina niet zelf kan nagaan, zoals bij een ouder dossier, dan stelt de pagina één vraag aan ons register: kent het de vingerafdruk van dit dossier? Is het register dan niet bereikbaar, dan zegt de pagina dat, en blijft die controle openstaan in plaats van stilzwijgend goed te worden. Wij bewaren daarbij het IP-adres, de browser en het tijdstip, dertig dagen lang, en niet welk dossier het is.
Ze gelden voor alles wat ooit is overgelegd, van een papieren bon tot een getuigenverklaring. Wij zetten ze erbij omdat een ontvanger ze toch bedenkt.
Wel de scheur vastleggen en niet het lekkende dak. Een checklist maakt dat zichtbaar: die zegt welke stappen er nog openstaan.
Een dossier verzwijgen dat je niet uitkomt. Uit een dossier iets weglaten valt wel op: het aantal opnames zit in de stempel, en een doorgehaalde opname blijft zichtbaar met de reden.
En achteraf het gunstigste kiezen. Elk is echt gemaakt op zijn eigen moment, dus geen ervan is vals; wel heeft elk zijn eigen datum.
Een gekwalificeerde tijdstempeldienst staat onder toezicht en op de Europese vertrouwenslijst. Onder eIDAS artikel 41 worden de datum en de tijd van de stempel en de ongewijzigdheid van de gestempelde gegevens vermoed juist te zijn, niet het moment van de opname of wat de opname toont, en artikel 13 legt de aansprakelijkheid voor de stempel bij die dienst. Let op wat het vermoeden dekt en wat niet: het gaat over de tijd en de ongewijzigdheid, niet over de andere vragen in je geschil. Dat is een Europese regel; buiten de Europese Unie hangt het af van het recht van het land.
Dan heb je niets, en wij kunnen je niet helpen. Op de gewone route komen je opnames nooit bij ons, dus er is niets om terug te sturen. Onze 108 bytes in het logboek bevestigen alleen dat een dossier bestond, niet wat erin stond. Dat is de keerzijde van opnames die op je eigen toestel blijven, en het is meteen de reden dat Plus een back-up naar je eigen cloud heeft. De uitzonderingen zijn een dossier dat je hebt geleverd op het verzoek van een bedrijf, en elk dossier dat je maakte terwijl jouw organisatie bewaren bij EverStamp aan had staan. Die staan bij ons, en dat bedrijf kan ze openen.
Nee. De app legt alleen vast met zijn eigen camera, zodat elke opname in een dossier in de ondertekende reeks staat. Alleen voor je bedrijfslogo in Instellingen kies je een afbeelding uit je fotobibliotheek.
Dat kan zolang het dossier openstaat, en het beeld gaat dan weg. Wat blijft staan is dat er iets is doorgehaald, met de reden erbij. Een dossier waar stilletjes iets uit verdwijnt is minder waard dan een dossier dat zijn eigen correcties toont, en technisch zou weghalen bovendien alle andere controles breken.
Nee. Wij gebruiken een openbaar logboek dat zichzelf laat stempelen door dezelfde gekwalificeerde dienst. Dat is goedkoper, sneller en te verifiëren met software die iedereen al heeft.
Ja. Voor de klant en de ontvanger is het hetzelfde dossier, dezelfde pagina en hetzelfde rapport. Op Android komt de attestatie van de sleutel uit de beveiligde hardware van het toestel, met Google als afgever, en houdt de app de teller zelf bij.