De balk kan iedereen lezen, op het scherm of op papier. De rest reist mee met het beeld en het dossier, en alleen een controle ziet het. Verander één pixel en die controle slaagt niet.
Elk dossier toont de keten als een rij van vier stippen, in de woorden van de app. Een open dossier verzamelt nog opnames; bij een verzegeld dossier staan alle vier op groen.
Elke schakel doet een ding, en bij elke schakel staat wat hij niet doet.
Zodra de camera de foto teruggeeft, wordt het beeld gehasht en met een sleutel uit de beveiligde hardware van je toestel ondertekend. Die sleutel is bij het maken door Apple of Google geattesteerd: hij bestaat alleen op dit toestel en kan er niet af. In dezelfde stap gaan de toestelklok, de plaats als je die aan hebt staan, en een oplopende teller mee.
Wat deze schakel niet doet: vaststellen wat er op de foto te zien is. Een foto van een scherm blijft een foto. Wat de app wel meeneemt, is een signaal dat daar iets over zegt: de beweging van de telefoon in de seconde rond de opname.
Elke opname wijst naar de vorige, en samen vormen ze een boom. In die boom zit ook het aantal opnames, zodat een afgeknipte staart opvalt. Bij het sluiten gaat de wortel van die boom, één hash die alle opnames samenvat, naar een gekwalificeerde tijdstempeldienst op de Europese vertrouwenslijst. Die stempelt met een eigen, geauditeerde klok.
Wat deze schakel niet doet: een tijd aannemen die jij opgeeft. In het protocol zit geen veld om een tijd te vragen. Daarom kan een dossier van vandaag nooit de datum van gisteren dragen.
Van elk dossier komt een vingerafdruk van 108 bytes in een openbaar logboek, dat zichzelf ook weer laat stempelen. Daarmee is achteraf vast te stellen dat dit dossier uit onze app komt, en niet ergens anders is verzonnen met een echte stempel eromheen.
Wat er niet in staat: je foto’s, of iets waaraan iemand jou of je klant kan herkennen. Het logboek bevat getallen. Foto's komen in drie gevallen bij ons: een deellink, waarbij de sleutel in de link blijft; een levering op het verzoek van een bedrijf; en elk dossier, als jouw organisatie bewaren bij EverStamp heeft aangezet. In de laatste twee bewaren wij ook de sleutel voor dat bedrijf; technisch kunnen wij ze dus ook openen, en dat doen wij alleen op schriftelijk verzoek van dat bedrijf, of als een rechter of autoriteit ons daartoe met een bevel of vordering verplicht.
Die krijgt een pdf en een archief. Het bestand naar de pagina slepen is genoeg; de rekensom draait in de browser en het bestand gaat niet naar ons; alleen de vraag of ons register de regel kent, gaat naar ons. Wie het liever zelf natrekt, gebruikt gewone OpenSSL en het open gereedschap voor Content Credentials.
Wat deze schakel niet doet: een eindoordeel geven over jouw zaak. De pagina zegt wat er is vastgelegd en wanneer, en waar dat ophoudt. Wat dat waard is, weegt de ontvanger.
Een dossier wordt verstuurd als archief, als rapport of als link. Wat er ook aankomt, het leidt naar dezelfde controle.
Ze bij naam noemen is juist de bedoeling. Een bewering die je niet kunt opzoeken is een bewering die je moet geloven, en van elk van deze staat de specificatie openbaar, voor iedereen te lezen.
| Wat | Welke norm | Wat het hier doet |
|---|---|---|
| Herkomst in het beeld | C2PA, Content Credentials | De foto draagt zijn eigen herkomst: welke app en welk toestel hem maakten, ondertekend. Dit is de norm die is gemaakt voor de vraag “wie maakte dit, en wanneer”. |
| De tijdstempel | RFC 3161, via een gekwalificeerde dienst op de Europese vertrouwenslijst | De dienst ondertekent een hash met een eigen, geauditeerde klok. In het protocol zit geen veld waarin een client om een tijd kan vragen, en daarom is terugdateren geen kwestie van beleid maar van rekenen. |
| De reeks | SHA-256 en een Merkle-boom | Elke opname wordt gehasht, wijst naar de vorige, en de boom heeft een wortel: één hash die alle opnames samenvat. Het aantal zit in de boom, dus een afgeknipte staart valt op. Een stempel op die wortel dekt daarmee elke opname eronder. |
| Het toestel | App Attest op iOS, hardware-attestatie van de sleutel op Android | De ondertekensleutel zit in beveiligde hardware en kan er niet uit. Apple of Google verklaart dat die sleutel daar is gemaakt, in onze app, op een toestel dat niet was opengebroken. De teller die de volgorde vastlegt komt van dezelfde plek. |
| De ondergrens | drand, een openbare toevalsbron | Een waarde die niemand vooraf kan kennen, opgehaald bij de laatste synchronisatie en meegenomen in het dossier. Een opname kan niet gemaakt zijn voordat de waarde die erin zit bestond. |
| Wie mag stempelen | eIDAS, verordening (EU) 910/2014, artikel 41 | Een gekwalificeerde dienst staat onder toezicht en op de lijst. De tijd die zij aangeeft, en de ongewijzigdheid van de gegevens waaraan die is gebonden, worden vermoed juist te zijn. In het Verenigd Koninkrijk geldt dezelfde regel via overgenomen recht. In de Verenigde Staten niet: daar is het FRE 902(13) en (14), zelf-authenticatie via een verklaring van een gekwalificeerd persoon. |
Twee dingen ontbreken bewust in deze lijst. Er zit geen blockchain in: een openbaar logboek dat zichzelf laat stempelen door dezelfde gekwalificeerde dienst is goedkoper, sneller en te verifiëren met gereedschap dat iedereen al heeft. En er zit geen eigen formaat van ons onder dat het geheel overeind houdt, want een formaat dat alleen wij kunnen lezen zet ons weer in het midden, en dat is precies wat we proberen te vermijden.
Elke tijdstempelcamera zet een tijd op je foto. Die tijd komt van de klok van je telefoon, en die kun je zelf verzetten. Wat wij vastleggen is een venster met twee harde randen eromheen, en hoe smal dat venster is, staat als getal in je dossier.
Dit is het blok dat ook in de app staat, in het rapport en op de controlepagina. Dezelfde woorden, overal, zodat niemand zich later verrast voelt.
De controlepagina toont de controles die horen bij het dossier dat je erop sleept: een pdf-rapport krijgt er minder dan het archief uit de app, en een licht dossier of een dossier zonder checklist nog minder. Wat wij eraan toevoegen is dat je de rekensom zelf kunt natrekken: op één na doet je browser alle controles met openbare standaarden. Voor het oordeel hoort de laatste erbij, en die vraagt ons register of het het dossier kent.
De controle tegen ons register is de enige die het verschil maakt tussen een dossier uit onze app en een verzonnen bestand met een echte stempel eromheen. Is het register niet bereikbaar, dan zegt de pagina dat, en blijft die controle openstaan in plaats van stilzwijgend goed te worden; zonder die controle wordt het oordeel nooit groen. De pagina stelt daarvoor één vraag aan ons register: kent u deze regel? Wij zien daarbij het IP-adres en het tijdstip, dertig dagen lang, en niet welk dossier het is.
Ze gelden voor elk bewijsmateriaal dat ooit is overgelegd, van een papieren bon tot een getuigenverklaring. Wij zetten ze erbij omdat een ontvanger ze toch bedenkt.
Wel de scheur fotograferen en niet het lekkende dak. Een checklist maakt dat zichtbaar: die zegt welke stappen er nog openstaan.
Een dossier verzwijgen dat je niet uitkomt. Daarom vermeldt een uittreksel uit zichzelf dat het opname 7 van 12 is, en kan de ander het geheel opvragen.
En achteraf het gunstigste kiezen. Elk is echt gemaakt op zijn eigen moment, dus geen ervan is vals; wel draagt elk zijn eigen datum.
Een gekwalificeerde tijdstempeldienst staat onder toezicht en op de Europese vertrouwenslijst. Onder eIDAS artikel 41 worden de tijd en de ongewijzigdheid van de gegevens vermoed juist te zijn, en artikel 13 legt de aansprakelijkheid voor de stempel bij die dienst. Dat is een Europese regel: in de Verenigde Staten werkt het anders, via een verklaring onder FRE 902(13) en (14).
Dan heb je niets, en wij kunnen je niet helpen. Op de gewone route komen je foto’s nooit bij ons, dus er is niets om terug te sturen. Onze 108 bytes in het logboek bevestigen alleen dat een dossier bestond, niet wat erin stond. Dat is de keerzijde van foto’s die op je eigen toestel blijven, en het is meteen de reden dat Plus een back-up naar je eigen cloud heeft. De uitzonderingen zijn een dossier dat je hebt geleverd op het verzoek van een bedrijf, en elk dossier dat je maakte terwijl jouw organisatie bewaren bij EverStamp aan had staan. Die staan bij ons, en dat bedrijf kan ze openen.
Nee. De app legt alleen vast met zijn eigen camera, zodat elke foto in een dossier in de gesigneerde reeks staat. Alleen voor je bedrijfslogo in Instellingen kies je een afbeelding uit je fotobibliotheek.
Dat kan, en het beeld gaat dan weg. Wat blijft staan is dat er iets is doorgehaald, met de reden erbij. Een dossier waar stilletjes iets uit verdwijnt is minder waard dan een dossier dat zijn eigen correcties toont, en technisch zou weghalen bovendien alle andere bewijzen breken.
Nee. Wij gebruiken een openbaar logboek dat zichzelf laat stempelen door dezelfde gekwalificeerde dienst. Dat is goedkoper, sneller en te verifiëren met gereedschap dat iedereen al heeft.
Ja. Voor de klant en de ontvanger maakt het toestel niet uit: hetzelfde dossier, dezelfde pagina, hetzelfde rapport. Op Android komt de attestatie van de sleutel uit de beveiligde hardware van het toestel, met Google als afgever.