Was ein Lumethic-Nachweis enthält und wie man ihn prüft

Die Zeitstempelstelle

Der Anker ist ein RFC-3161-Zeitstempel-Token. Lumethic signiert die Quittung, berechnet einen Hash dieser signierten Quittung und sendet nur den Hash an die Zeitstempelstelle, derzeit den öffentlichen Zeitstempeldienst von DigiCert. Die Stelle signiert den Hash zusammen mit der Zeit ihrer eigenen geprüften Uhr und gibt das Token zurück. Die Stelle sieht weder die Dateien noch das Manifest, und Lumethic kann die Zeit nicht setzen.

„Unabhängig“ bedeutet also: ein anderes Unternehmen mit eigenem Signaturschlüssel unter eigener Zertifikatshierarchie und eigener veröffentlichter Zeitstempel-Praxiserklärung, in einem Protokoll, in dem Lumethic einen Hash liefert und sonst nichts. Die Stelle bürgt nicht für die Dateien und steht in keiner Beziehung zu den Beteiligten. Sie ist ein öffentlicher Dienst, dem Lumethic vertraut und gegen den jeder prüfen kann.

Das Token ist kein qualifizierter elektronischer Zeitstempel nach eIDAS. In der Europäischen Union bestimmt Artikel 41 Absatz 1 der eIDAS-Verordnung, dass einem elektronischen Zeitstempel die Rechtswirkung und die Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden dürfen, weil er elektronisch vorliegt oder kein qualifizierter Zeitstempel ist; die Vermutung der Richtigkeit von Datum und Uhrzeit und der Unversehrtheit der verbundenen Daten nach Artikel 41 Absatz 2 ist qualifizierten Zeitstempeln vorbehalten, und das sind diese nicht. In Deutschland wird ein nicht qualifizierter Zeitstempel nach § 286 ZPO frei gewürdigt; § 371a ZPO, der qualifizierte elektronische Signaturen betrifft, greift nicht. Anderswo benennt die Rechtsberatung vor Ort die Regel.

Lumethics eigene Signatur auf der Quittung verwendet ein auf Lumethic ausgestelltes S/MIME-Zertifikat. Es identifiziert den Aussteller, und der Zeitstempel deckt die Signatur unabhängig vom Zertifikatstyp ab.

Was der Nachweis nicht abdeckt

Der Nachweis beginnt bei der ersten Sicherung. Nichts darin deckt die Speicherkarte zwischen dem Auslösen und dem Moment ab, in dem die Hash-Liste geschrieben wurde, und nichts darin sagt, wann die Fotos gemacht wurden; die Kamerauhr ist die Einstellung des Fotografen, und die Quittung datiert den Offload, nicht die Aufnahme. Wer am Aufnahmetag sichert, verkürzt diese Lücke auf Stunden. Wer eine Woche später sichert, hat eine Woche, die der Nachweis nicht abdeckt.

Der Nachweis sagt nicht, dass die Szene echt war, dass das Foto wahr ist oder dass eine Datei irgendwo als Beweis zulässig ist. Er sperrt keine Karte und kann keinen Abzug prüfen. Ein Verifizierungsbericht ist kein Echtheitsurteil. Er ist ein Satz von Vergleichen mit ihren Ergebnissen.

Die Prüfungen und ihr Validierungsstand

Eine Verifizierung vergleicht ein geliefertes JPEG mit der RAW-Datei, mit der es gepaart wurde. Die Prüfungen sind: Sensorrausch- und Strukturanalyse des RAW, Metadaten-Konsistenz zwischen RAW und JPEG, strukturelle Ähnlichkeit und ein perzeptueller Hash zwischen dem JPEG und einer aus dem RAW gerenderten Referenz, ein tonaler Histogrammvergleich, Erkennung von Abfotografien (ein Foto eines Bildschirms oder Abzugs) und Gesichtserkennung, die nur der Lokalisierung von Vergleichsregionen dient. Jede Prüfung hat eine Schwelle in der aktuellen Methodikversion, und der Bericht führt die Werte gegen diese Schwellen auf und markiert jede Prüfung, die nicht lief.

„Verifiziertes RAW“ bedeutet eine RAW-Datei, deren Sensorrauschstatistik, Bittiefenstruktur und Metadaten diese Konsistenzprüfungen bestanden haben. Es bedeutet nicht, dass die Datei nachweislich die erste Aufzeichnung der Szene ist. Die Verifizierung setzt voraus, dass das Fabrizieren einer sensorkonsistenten RAW-Datei zum Stand der aktuellen Methodikversion außerhalb der Möglichkeiten eines Angreifers liegt; diese Annahme steht hier mit Datum und wird vierteljährlich überprüft.

Validierungsstand zum Datum dieser Seite: Die Prüfungen wurden an 397 echten Aufnahmen einer Klasse kalibriert, und die Erkennung von Abfotografien wurde an zwölf Dateien ausgewertet. Fehlerraten für manipulierte RAW-JPEG-Paare sind noch nicht veröffentlicht. Bis dahin lesen Sie einen Bericht als Konsistenzfilter mit benannten Schwellen. Jede strittige Echtheitsfrage gehört zu einem qualifizierten Sachverständigen.

Welche Bearbeitungen bestehen

Beschnitt, Belichtungs- und Weißabgleichänderungen, Objektiv- und Perspektivkorrektur, Staubentfernung und Beschriftung bestehen erwartungsgemäß. Montagen, das Entfernen von Objekten und generatives Füllen fallen erwartungsgemäß durch. Das genaue Verhalten hängt von der Methodikversion ab und wird mit ihr veröffentlicht; der Bericht hält fest, welche Prüfungen liefen und welche übersprungen wurden, sodass sich ein Grenzfall im Zusammenhang lesen lässt.

Die Prüfungen nachvollziehen

Jede Quittung lässt sich auf der öffentlichen Quittungsseite ohne Konto prüfen. Für eine unabhängige Prüfung mit Standardwerkzeugen:

1. Berechnen Sie den Hash einer beliebigen Datei der Karte mit dem im Manifest genannten Algorithmus neu (c4id für C4, shasum -a 256 oder hashdeep -c sha256 für SHA-256) und vergleichen Sie ihn mit dem Manifesteintrag.
2. Bestätigen Sie, dass die Manifest-Bytes zum in der Quittung festgehaltenen Hash passen.
3. Prüfen Sie Lumethics Signatur über den Quittungskern und das Zeitstempel-Token über den signierten Kern mit den in der Quittung eingebetteten Zertifikaten, mit openssl ts -verify oder einem gleichwertigen Werkzeug.

Die Quittung enthält die Zertifikate, mit denen sie signiert wurde. Der Aufbau der Zertifikatskette und der Sperrstatus werden von der gehosteten Seite nicht geprüft und dort unter „Nicht geprüft“ aufgeführt; ein Sachverständiger, der sie braucht, führt sie gegen die veröffentlichte Kette der Zeitstempelstelle durch.

Wie lange sich eine Quittung prüfen lässt

Eine Quittung lässt sich mit Standardwerkzeugen prüfen, solange sich das Zertifikat der Zeitstempelstelle validieren lässt. Zeitstempelstellen wechseln ihre Zertifikate, und die Quittung enthält derzeit weder eine Momentaufnahme des Sperrstatus noch einen erneuerten Zeitstempel, der praktische Horizont ist also die Gültigkeit des Zertifikats der Stelle und der Signaturalgorithmen. Laden Sie jede Quittung und jeden Bericht bei Lieferung herunter und bewahren Sie sie zusammen mit dem Manifest und den Originalen auf. Eine langfristige Nachverankerung für mehrjährige Verfahren, die den Zeitstempel vor Ablauf des Zertifikats erneuern würde, ist in Entwicklung und in keinem Tarif enthalten.

Quittungen werden nie widerrufen. Das Löschen eines Datensatzes bei Lumethic macht eine bereits heruntergeladene Quittung nicht ungültig, weil sie sich gegen ihren eigenen Inhalt prüft.

Strittige Ergebnisse und wen man fragt

Wird ein Verifizierungsergebnis bestritten, beginnen Sie bei den im Bericht genannten Werten und Schwellen. Ein strittiges Echtheitsurteil ist die Arbeit eines qualifizierten forensischen Bildsachverständigen, der den Nachweis als Grundlage der Beweiskette nehmen und seine eigene Untersuchung an den Originalen durchführen kann. Lumethic beantwortet technische Fragen zu den Prüfungen per E-Mail und sagt, was es über einen bestimmten Nachweis aussagen kann und was nicht; Urteile über die Szene gibt es nicht ab.

Hinweis zur Verwendung

Jede Quittung und jeder Bericht ist mit diesem Hinweis zu lesen, der wiedergibt, was Lumethic selbst darüber sagt:

Dieses Dokument hält die durchgeführten Prüfungen und ihre Ergebnisse fest. Es sagt nicht, dass die abgebildete Szene echt ist, und es sagt nicht, dass eine Datei in irgendeinem Verfahren als Beweis zulässig ist. Wer sich darauf stützt, sollte es mit der öffentlichen Quittungsprüfung oder mit kryptografischen Standardwerkzeugen nachprüfen und vor jeder Schlussfolgerung die Prüfsummen-Einstufung und die Methodikversion lesen.