Apple Reference Image：可验证摄影的新方案
文章摘要
这是 Apple 安全工程与架构团队（SEAR）和相机与照片团队 9 月 15 日在 Apple Security Research 博客上联合发布的技术文章，介绍 iPhone 18 Pro 和 iPhone 18 Pro Max 主摄上首发的”Apple Reference Image”（参考图像）功能。
问题背景。 如今强大而普及的 AI 工具可以轻松生成或篡改逼真照片，这让”照片证明某事确实发生过”这件事失效了——看起来逼真已经不足以证明真实。而这个问题并不简单：现代相机依赖复杂的计算摄影算法才能产出最终图像，要证明一张图忠实反映了传感器捕获的内容，信任链必须同时覆盖传感器和解读数据的计算摄影软件。基于 C2PA 标准的业界方案是在拍摄后附加来源元数据、记录此后的编辑历史，但 Apple 认为这种做法在编辑链的任何一环都可能被攻破，观看者无从察觉；而且把图片绑定到某台设备或某个人的公开身份，会给在危险环境下工作的摄影师带来隐私风险。
方案概述。 Reference Image 是一个需要主动开启的相机模式，能生成带安全时间戳、准确反映传感器所拍内容的”参考图像”。设备上的专用安全硬件保护其完整性，Private Cloud Compute（PCC，Apple 用于 Apple Intelligence 的隐私云计算）负责在处理过程中保护图像隐私；即使出现欺诈图像，也能在不暴露摄影师身份的前提下撤销。
三个核心要求：
- 语义真实性：参考图像必须忠实呈现传感器所捕获的内容，从原始像素到最终图像的变换必须可公开验证。
- 抗攻破能力：篡改传感器、常见密码学攻击或软件越狱都无法破坏真实性；万一仍产生了欺诈图像，可以撤销。
- 隐私保护：外部观察者无法判断任意两张参考图像是否来自同一设备，图像内容不暴露给 Apple 或任何人。
语义真实性：数字底片 + 云端冲洗。 只对传感器的原始值签名得不到可看的图像，还需要去马赛克、镜头阴影校正等大量处理；而业界方案等到软件流水线末端才签名，又容易遭受”在传感器数据总线上注入伪造像素”或”操作系统被攻破后在签名前任意改图”的攻击。Apple 的解法是把流程拆成两个阶段：生成安全数字底片，再把底片冲洗成参考图像。
第一阶段从传感器安全启动进入专门的参考拍摄模式开始：传感器在捕获后立即对像素数据做密码学签名，并禁止传感器固件修改数据，从硬件层面保证操作系统收到的就是传感器捕获的原样数据。传感器产生的元数据与像素一起签名；少数来自传感器之外的元数据（如数码变焦边界、焦距）由安全隔区处理器（SEP）签名，且它们无法改变像素值。时间方面，Apple 不信任操作系统时钟，而是给出一个上下界：设备借助定期心跳从 Apple 的密码学时间戳服务获取令牌并保留最新的一个（全球平均约每 15 分钟一次），作为拍摄时间的下界；拍摄后再请求一次时间戳作为上界，两者都嵌入并与传感器数据一起签名。
第二阶段，用户选择生成参考图像时，设备把数字底片上传到 PCC，由它执行去马赛克、色调映射和压缩。PCC 的每个生产版本都记录在只追加、防篡改的透明日志中，二进制文件可供公开审查，设备只会把数据发给能证明自己运行日志中某个版本的节点，因此专家可以核查 PCC 没有在冲洗时改动底片。
抗攻破能力。 为防范拆下传感器之类的硬件攻击，防线从工厂就开始了：传感器首次初始化时自己生成签名身份，只把公钥交给工厂；SEP 也生成一个单独认证的签名身份；两者被绑定进设备清单，之后可以验证某个传感器与某个 SEP 是否来自同一台设备。在密码学层面，Apple 指出现有照片签名方案据其所知都只用经典算法，但参考图像是长期公开的资产，”2026 年被认定为真实的图像应该能永久被安全验证”，因此最终签名采用 RSA-3072 与 ML-DSA-87 组合的复合后量子签名，并称这是唯一提供抗量子防御的图像来源系统。此外还有撤销机制：PCC 冲洗时会计算一个置信度分数，评估图像是否具有 Apple 传感器原始输出应有的物理特征，并把照片 GUID、传感器 ID 和分数发给一个配套服务，更新该传感器的累计分数；低分传感器被撤销后，PCC 不再为它签名，设备定期拉取撤销列表，查看参考图像时可确认它不在已知欺诈名单上。
隐私保护。 其他方案要求摄影师或机构用自己的凭证为图像背书，Apple 认为这让冲突地区的摄影师等人处境为难，”证明图像真实不应以放弃匿名为代价”。因此最终图像由 Apple 的签名服务在 PCC 验证后签名，而非摄影师凭证。PCC 的架构保证连 Apple 都看不到图像数据；撤销服务虽然保存照片 GUID 与传感器的私有记录，但接触不到图像，也不对外公开；撤销检查用的是设备本地列表，不会暴露你在看哪张照片。时间戳请求走 Oblivious HTTP，服务端不知道设备 IP；撤销和签名服务的调用都从 PCC 内部发出。
技术细节。 文章最后给出了完整流程：传感器在工厂生成 ECDSA P-256 密钥对，公钥由工厂 CA 签发并记入硬件清单；SEP 的密钥由 Basic Attestation Authority 认证；第三个 CA 为设备清单签名，把两者绑定为同一台 iPhone。时间戳借助 APNs 现有的心跳协议下发，采用 RFC 3161 格式。拍摄时用户切换到 Reference 模式，传感器重启进入安全模式，只接受操作系统的一个输入：由最新时间戳、设备清单和安全启动清单计算出的 SHA-256 摘要，嵌入帧元数据的固定位置；数字化后的帧与摘要在传感器内用私钥一起签名，OS 层元数据（变焦、曝光、镜头参数）连同传感器签名的承诺再由 SEP 签名；随后对 SEP 签名做承诺发给时间戳服务换取上界令牌，离线时后台会持续重试。所有这些以 DNG 格式存为安全数字底片，与普通照片关联，可以长期保留，也可以不冲洗直接分享（专业摄影师可能需要）。
冲洗时，PCC 逐一验证传感器签名、SEP 签名和设备清单签名的证书链，并确认传感器与 SEP 属于同一设备；下界时间戳验证失败则替换为 2026 年 3 月 31 日（该功能此前不存在），上界缺失则替换为 PCC 当前时间。接着用一个权重不公开的神经网络计算置信度分数，冲洗、压缩为 JPEG 并计算哈希，哈希既是待签名的值，也用于生成照片 GUID。通过撤销检查后，签名服务用 MLDSA87-RSA-3072-PSS-SHA512 混合方案签名，签名嵌入 JPEG 返回设备。冲洗成功后底片会被自动移到”最近删除”，30 天后清除。客户端每次显示参考图像时都会验证签名并检查撤销列表。
HN 评论精华
352 条评论，538 分。讨论集中在三个问题上：拍屏幕能不能绕过、到底要不要信任 Apple、这东西真正会被拿来干什么。
“拍一张屏幕上的假图”是被提到最多的漏洞。 tristanj 的评论是第二大讨论串：用 Photoshop 或 AI 做一张图，显示在高分辨率显示器上，用 iPhone 18 Pro 拍下来，就得到一张有效的参考图像；为了逼真，你可以去真实地点，把手机和显示器放进内壁涂 Vantablack 的纸箱，再用胶带挡住 LiDAR，”我等不及要看到 Apple 认证的金门大桥上空 UFO 照片了”。反驳意见很多：osy 说这不是它要解决的问题，摆拍自摄影诞生起就存在；BugsJustFindMe 则指出 Apple 原文明明写着”照片的核心作用是证明某件事真的发生过”。HALtheWise 认为这比想象中难：这是一颗 4800 万像素的传感器，显示器像素至少要是它的好几倍，否则会出现可检测的摩尔纹，这大概正是 Apple 用神经网络计算置信度分数的原因，”到了某个程度，真造一架 UFO 飞过金门大桥反而更便宜”。eutropia 注意到时间戳上下界的价值：如果你拥有”唯一一张某公共场所极不寻常事件的照片”，而时间被锁定在 15 到 30 分钟的窗口内，人们就可以去问”那天下午 3 点还有谁看到了金门大桥上的 UFO”。furyofantares 的观点是它不需要刀枪不入也很有价值：伪造的门槛从”几乎零成本”提高到”需要精心布置”，而被抓包时也更难用”实习生不知道 AI 放大还会改内容”之类的借口搪塞。clarkmoody 翻出自己 9 年前的类似提议，当时的第一条回复就是”拍屏幕就行了”，和今天如出一辙。
最大的讨论串来自 tgsovlerkhgsel：新闻记者只是公关故事。 他认为真正的用途是身份验证和保险理赔 App——许多保险已经要求通过手机 App 提交理赔照片，这类场景不需要抵御国家级对手，只需要挡住”瘾君子乔这种保险骗子”；它有可能把”不用智能手机就活不下去”变成”不用 iPhone 就活不下去”。rickdeckard 质疑：如果保险公司本来就是为了省钱把定损外包给不受信任的客户，又怎么能要求客户拥有一部上千美元的手机？tgsovlerkhgsel 回答：不是现在，而是等一半美国人都有足够新的 iPhone 时，其余人会被要求去借一部，或者走一个故意设计得很烦人的替代流程。alwillis 反驳说这不是身份系统，无法把参考图像关联到人；多人随即指出，按原文描述，Apple 自己其实能判断两张图是否来自同一设备（layer8 引用了”可以让 Apple 归因到特定手机的签名”一句），lxgr 则认为关键在于这类来源认证系统最终可能成为更大身份验证体系中举足轻重、因而具有反竞争效果的一环。jeroenhd 提到三星 S25 和 Pixel 10 早已有类似功能，难点在时间戳服务器和可验证计算，他预计 Google 很快会发一篇”为 C2PA 扩展时间戳”的博文。
信任 Apple 是这套系统的根。 modeless 说这东西复杂得离谱，需要信任大量闭源组件，还要把每张”冲洗”过的图上传到 Apple 服务器、放弃对自己设备的完全控制，而这一切只是为了验证光子，而这只是”验证事件真相”这个真正问题的一部分。grishka 抱怨 Apple 近来所有”安全”相关的东西都默认 Apple 必须被无条件信任；fckgw 回应说每次 Apple 说”相信我们”都会附上一份技术白皮书解释为什么可以信任。dsign 一开始想不到政府能借此伤害个人，只能想到”政府逼 Apple 伤害 Apple 的信誉”；bawolff 补充了几种可能：撤销真实照片的认证、强迫 Apple 认证假照片、甚至强迫它在 PCC 里植入漏洞以追踪摄影师。jeroenhd 的评价最刻薄：”这么多字，就是在说’我们重新发明了 C2PA，只不过把自己的服务器牵扯进来让它变得更糟’。”avianlyric 则指出了关键区别：密钥直接烧在传感器里，要注入任意数据可能得破坏性地开盖，这远比传感器与 TPM 分离的方案门槛高。calmingsolitude 附上了一篇 Android 上 C2PA”可被轻易利用”的博文作为对比。
历史教训。 NeoByte 和 nvme0n1p1 提醒，佳能和尼康二十年前就在单反上做过图像认证，都被破解了，密钥最后出现在 Pastebin 上；nvme0n1p1 还附上了 ElcomSoft 当年的公告。tlhunter 回应说这次的密钥是按传感器分配且可撤销的，就算有人花大价钱提取出某个传感器的密钥，也只能在被撤销前用很短一段时间。rasguanabana 好奇一个刚初始化的传感器从哪里获得足够的随机性生成私钥，londons_explore 答道：”相机上有几千万个热噪声传感器。”
社会层面的担忧。 akersten 认为根本问题不是技术：人们看到”已认证真实”的标签就会不加思考地接受附带的叙事。rickdeckard 也担心媒体渲染会让公众以为 Apple 验证的不只是图像的数字真实性。berkes 主张社会性解法：承认图像已不再是绝对证据，然后调整新闻、执法和司法对它的依赖方式。qurren 担心世界正走向”只有 Apple、Google 等少数特权厂商能做相机”，美国实际上成为全球的真相裁判。也有人给出最简单的方案：lwhi 和 pmlnr 都说”回去用胶片吧”。int32_64 则借机吐槽：他更想要的是直接来自传感器的参考图，而不是 Apple 自 iPhone 12 之后就不让关闭的”过曝 HDR 怪物”。