Hash-waarden worden gebruikt om te verifiëren dat een bestand niet is gewijzigd. Door de hash bij creatie vast te leggen en later opnieuw te berekenen, kan worden vastgesteld of het bestand identiek is gebleven. Elke wijziging, hoe klein ook, produceert een compleet andere hash.

C2PA gebruikt hash-waarden als kern van de verificatie. De hash van het originele beeld wordt cryptografisch ondertekend. Bij verificatie wordt de hash opnieuw berekend en vergeleken met de ondertekende waarde. Komen ze overeen, dan is het beeld ongewijzigd sinds ondertekening. Wijken ze af, dan is manipulatie gedetecteerd.

The post Hash-waarde (cryptografische hash) appeared first on Visual Assurance.

Dit artikel legt uit hoe C2PA technisch werkt, welke informatie wordt vastgelegd, waarin het verschilt van reguliere metadata, hoe auditors verificatie in hun workflow integreren, en, cruciaal, wat de standaard wel en niet kan bewijzen.

Kernpunten

• C2PA embed onveranderlijke herkomstgegevens in beeldbestanden via cryptografische handtekeningen
• De standaard wordt ondersteund door camera’s van Sony, Leica en Nikon, en software van Adobe
• C2PA bewijst dat een bestand niet is gewijzigd sinds ondertekening, niet dat de afgebeelde situatie “waar” is
• Verificatie is eenvoudig: sleep een bestand naar contentcredentials.org/verify voor directe validatie
• Metadata kan worden gestript; afwezigheid van C2PA bewijst niets

Wat is C2PA?

De coalitie achter de standaard

C2PA staat voor Coalition for Content Provenance and Authenticity. De coalitie werd opgericht op 22 februari 2021 door zes founding members: Adobe, Microsoft, BBC, Intel, Arm en Truepic. De juridische structuur is een Joint Development Foundation project onder de Linux Foundation, wat een open, royalty-free standaard waarborgt.

Het Steering Committee omvat inmiddels grote technologiebedrijven en mediaorganisaties: Adobe, Amazon, BBC, Google, Intel, Meta, Microsoft, OpenAI, Sony en Truepic. Het Content Authenticity Initiative (CAI), de “marketing en implementatie-arm”, rapporteert meer dan 250 leden, waaronder cameraproducenten (Nikon, Canon, Leica, Sony), nieuwsorganisaties (Reuters, AP, New York Times) en platforms (Google, Meta, TikTok).

De huidige versie is C2PA Specification 2.2, gepubliceerd op 1 mei 2025. De specificatie is onder review bij ISO TC 171/SC 2 voor potentiële adoptie als internationale standaard.

Content Credentials: de consumententerm

In communicatie naar eindgebruikers wordt de term Content Credentials gebruikt. Dit is de consumentvriendelijke benaming voor een C2PA Manifest, de technische datastructuur die alle authenticiteitsgegevens bevat. Adobe beschrijft het als “een voedingslabel voor digitale content.”

De termen zijn uitwisselbaar: Content Credentials is wat gebruikers zien in interfaces, C2PA Manifest is de technische implementatie daaronder.

Hoe C2PA technisch werkt

De manifest-structuur

Een C2PA Manifest is een cryptografisch ondertekende datastructuur die wordt opgeslagen in het beeldbestand zelf. De technische container is JUMBF (JPEG Universal Metadata Box Format, ISO 19566-5:2023).

De hiërarchische structuur:

• Manifest Store, de container voor alle manifesten in een bestand
• Manifest, één set authenticiteitsgegevens (een bestand kan meerdere hebben na bewerkingen)
• Assertion Store, de individuele claims: hash-binding, acties, ingrediënten, metadata
• Claim, de ondertekende wrapper die naar alle assertions verwijst
• Signature, de digitale handtekening

Cryptografische hash: de vingerafdruk

Het kernmechanisme van C2PA is de cryptografische hash, een unieke vingerafdruk van het bestand. C2PA gebruikt standaard SHA-256 (alternatieven: SHA-384, SHA-512).

De werking is eenvoudig maar krachtig: de hash-functie berekent een unieke code op basis van alle bytes in het bestand. Verander je één pixel, dan verandert de hash volledig. Dit maakt elke manipulatie detecteerbaar.

Hashes worden toegepast op:

• De volledige asset-content (hard binding)
• Elke individuele assertion
• De claim voor ondertekening

Digitale handtekening: bewijs van herkomst

De hash alleen bewijst integriteit, niet herkomst. Daarvoor dient de digitale handtekening. C2PA gebruikt het COSE_Sign1_Tagged formaat (RFC 8152) met ondersteunde algoritmen als ES256 (ECDSA met P-256 curve) en Ed25519.

De handtekening werkt via public-key cryptografie:

1. De camera of software heeft een privésleutel (geheim)
2. Bij opname wordt de hash ondertekend met deze privésleutel
3. De bijbehorende publieke sleutel zit in een certificaat dat in het bestand wordt opgenomen
4. Bij verificatie controleert software of de handtekening klopt met het certificaat

De certificaten worden gevalideerd tegen de C2PA Trust List, een beheerde lijst van vertrouwde certificaatautoriteiten. Dit voorkomt dat iedereen zomaar geldige handtekeningen kan produceren.

Hard bindings en soft bindings

Hard bindings zijn cryptografische bindingen die byte-exacte integriteit verifiëren. Als één byte verandert, faalt de verificatie. Dit is de primaire bescherming.

Soft bindings zijn perceptuele hashes, fingerprints gebaseerd op de visuele inhoud, niet de exacte bytes. Ze maken “fuzzy matching” mogelijk: als metadata wordt gestript maar de afbeelding intact blijft, kan een soft binding het originele manifest mogelijk terugvinden in een database. Soft bindings kunnen hard bindings echter nooit vervangen voor verificatiedoeleinden.

Bewerkingsworkflow: het ingrediënt-systeem

Wat gebeurt er als een C2PA-ondertekend bestand wordt bewerkt? De standaard documenteert de volledige keten:

1. Bestaande manifest(en) worden gevalideerd
2. Bewerkingsacties worden geregistreerd (cropped, resized, filtered, color_adjustments)
3. Het originele bestand wordt opgeslagen als ingredient met referentie naar het oorspronkelijke manifest
4. Een nieuw manifest wordt aangemaakt met nieuwe hard binding
5. De nieuwe claim wordt ondertekend door de bewerkingssoftware

Zo ontstaat een keten van manifesten die de volledige geschiedenis van het bestand documenteert, van camera tot publicatie.

Welke informatie legt C2PA vast?

Capture-informatie

Bij opname registreert C2PA (via de stds.exif assertion):

Signer-informatie

Het manifest bevat ook informatie over de ondertekenaar:

• Claim Generator Info, software naam, versie, besturingssysteem
• X.509 Certificaat, identiteit van de ondertekenaar (camerafabrikant, softwareleverancier)
• Trust Anchor, de certificaatketen naar een vertrouwde root
• Timestamp, RFC 3161 tijdstip van ondertekening

Bewerkingsgeschiedenis

De c2pa.actions assertion registreert alle bewerkingen met gestandaardiseerde labels:

• c2pa.created, initiële creatie
• c2pa.opened, bestaand bestand geopend
• c2pa.cropped, bijgesneden
• c2pa.resized, formaat gewijzigd
• c2pa.filtered, filter toegepast
• c2pa.color_adjustments, kleur/belichting aangepast
• c2pa.removed, content verwijderd

Elke actie wordt geregistreerd met timestamp en softwareversie. Een auditor kan zo exact zien welke bewerkingen zijn uitgevoerd.

Verschil met reguliere metadata

EXIF, XMP en IPTC: de beperkingen

Standaard metadata-formaten (EXIF, XMP, IPTC) leggen vergelijkbare informatie vast: cameragegevens, GPS, tijdstempel. Maar ze hebben fundamentele beperkingen:

Het kernprobleem met reguliere metadata: iedereen kan ze wijzigen. Tools als ExifTool passen GPS-coördinaten, tijdstempels en cameragegevens aan in seconden. Er is geen manier om te detecteren of metadata authentiek is of gemanipuleerd.

Van tamper-evident naar tamper-proof

C2PA is tamper-evident, niet tamper-proof. Het verschil is cruciaal:

• Tamper-proof zou betekenen dat manipulatie onmogelijk is. Dat bestaat niet voor digitale bestanden.
• Tamper-evident betekent dat manipulatie detecteerbaar is. Als iemand een C2PA-ondertekend bestand wijzigt, faalt de hash-verificatie.

De analogie met een lakzegel is accuraat: je kunt de envelop openen, maar het verbroken zegel toont dat er is geknoeid.

De C2PA audit-workflow: drie routes naar verificatie

Voor een auditor is de workflow verdeeld in drie fasen: inname, authenticatie en corroboratie. De onderstaande tools faciliteren dit proces, afhankelijk van volume en context.

Route 1: De web-portal (steekproefsgewijze controle)

Dit is de meest toegankelijke methode voor een accountant tijdens een substantieve procedure.

Tool: Content Credentials Verify (contentcredentials.org/verify)

Workflow: De auditor sleept het aangeleverde bestand (bijvoorbeeld een.jpg van een zonnepaneel-installatie) naar de browser.

Resultaat: De portal opent het manifest en toont direct:

• Een groen vinkje bij “Content Credentials” (of rood bij problemen)
• De Source: welk specifiek apparaat de opname maakte (bijvoorbeeld “Sony A7 IV”)
• De Map: een interactieve kaart op basis van de GPS-coördinaten
• De History: een tijdlijn die toont of en hoe de foto is bewerkt

Audit-bewijs: De auditor maakt een PDF-export van het verificatierapport en voegt dit toe aan het controledossier als bewijsstuk voor authenticiteit.

Route 2: De browser-extensie (directe review)

Voor auditors die rapportages online of in PDF-viewers beoordelen.

Tool: Adobe Content Authenticity extensie (Chrome of Edge)

Workflow: Tijdens het doorbladeren van een digitaal duurzaamheidsverslag verschijnt bij afbeeldingen met Content Credentials een klein CR-icoon in de hoek.

Resultaat: Door over het icoon te hoveren ziet de auditor direct de herkomstgegevens zonder het verslag te verlaten. Ideaal voor een high-level review van visuele claims in een jaarverslag.

Route 3: Command line / API (automatisering bij grote volumes)

Voor grotere organisaties of IT-auditors die duizenden bewijsstukken per jaar verwerken.

Tool: c2patool, de officiële Rust-library van de coalitie (github.com/contentauth/c2patool)

Workflow: De auditor draait een script over een map met bewijsmateriaal:

c2patool image.jpg --detailed

Resultaat: De tool genereert een JSON-bestand met alle manifest-data. Deze JSON kan automatisch worden vergeleken met gegevens in het ERP- of ESG-systeem. Als de GPS-coördinaten in het manifest niet overeenkomen met de bekende locatie van de bedrijfslocatie, wordt het bewijsstuk automatisch geflagd voor nader onderzoek.

Verificatie-elementen voor het controledossier

Bij een audit onder reasonable assurance valideert de auditor de volgende manifest-velden tegen de onderliggende administratie:

Deze verificatie-elementen vormen samen het bewijs dat visuele documentatie authentiek, ongewijzigd en relevant is voor de gerapporteerde claims.

Welke apparatuur ondersteunt C2PA?

Camera’s

C2PA-compatibele camera’s bevinden zich momenteel in het hogere segment. Een Sony Alpha 1 of Leica M11-P vertegenwoordigt een investering van €5.000-9.000.

Smartphones

Google Pixel 10 (september 2025) is de eerste smartphone met native C2PA-ondersteuning, met hardware-backed verificatie via de Tensor G5-chip. Samsung Galaxy S25 biedt beperkte ondersteuning, alleen voor AI-bewerkte content, niet voor originele opnames. Apple iPhone heeft nog geen aankondiging gedaan.

Software

Adobe Creative Cloud ondersteunt C2PA volledig: Photoshop, Lightroom, Premiere Pro, Camera Raw. Bewerkingen worden geregistreerd in de manifest-keten. Capture One en Photo Mechanic ondersteunen eveneens Content Credentials.

Waarom C2PA relevant is voor compliance

Audit-proof documentatie

Voor CSRD-rapportages biedt C2PA een mechanisme om de integriteit van visueel bewijsmateriaal te documenteren. Een C2PA-ondertekende foto van zonnepanelen bevat:

• GPS-coördinaten die de bedrijfslocatie bevestigen
• Tijdstempel binnen de rapportageperiode
• Camera-identificatie die de bron verifieert
• Cryptografisch bewijs dat het bestand niet is gewijzigd

Dit is precies de corroborerende informatie die auditors zoeken bij claims over fysieke installaties.

Chain of custody

De ESRS-standaarden vereisen verifieerbaarheid: “verschillende deskundige en onafhankelijke waarnemers moeten consensus kunnen bereiken.” C2PA ondersteunt dit door een ononderbroken chain of custody te documenteren, van camera-opname via eventuele bewerkingen tot gebruik in rapportages.

De vraag “waar komt dit beeld vandaan?” is beantwoordbaar: de manifest-keten toont elke stap.

Greenwashing-preventie

De Green Claims Directive definieert milieuclaims als “elke representatie, inclusief afbeeldingen.” Een foto van zonnepanelen die niet op eigen terrein staat, is potentieel misleidend. C2PA-verificatie bewijst locatie en voorkomt dit risico.

De ACM heeft actief gehandhaafd tegen misleidende visuele claims (Booking.com, Albert Heijn, Zalando). Verifieerbaar beeldmateriaal wordt een risicomitigatie-instrument.

Beperkingen en nuances

Wat C2PA niet kan bewijzen

De officiële specificatie stelt expliciet:

“Provenance information alone cannot tell you whether the digital content is true, accurate or factual.”

C2PA verifieert:

• ✓ Cryptografische integriteit van het manifest
• ✓ Geldigheid van de handtekening
• ✓ Identiteit van het ondertekenende certificaat
• ✓ Dat ondertekende data niet is gewijzigd

C2PA verifieert niet:

• âœ, Of de content waarheidsgetrouw is
• âœ, Accuraatheid van metadata-claims
• âœ, Pre-capture manipulatie (geënsceneerde situaties)
• âœ, Of de ondertekenaar metadata heeft gevalideerd

Een geënsceneerde foto blijft geënsceneerd, ook met C2PA-handtekening. De standaard bewijst herkomst, geen waarheid.

Metadata stripping

Het meest fundamentele probleem: C2PA biedt “geen bescherming tegen volledige verwijdering van manifesten.” Een screenshot, een WhatsApp-verzending, een upload naar de meeste social media platforms, de metadata verdwijnt in milliseconden.

Dit betekent dat afwezigheid van C2PA niets bewijst. Een foto zonder manifest kan authentiek zijn (metadata gestript) of gefabriceerd.

Re-capture attacks

Een C2PA-camera die een beeldscherm fotografeert met AI-gegenereerde of gemanipuleerde content, ondertekent dit als “authentiek.” De specificatie erkent dit expliciet als kwetsbaarheid. De camera verifieert niet wat ervóór staat, alleen dat de opname op dat apparaat is gemaakt.

Bekende implementatieproblemen

Onderzoeker Adam Horshack demonstreerde in september 2025 dat Nikon Z6 III’s Multiple Exposure-modus toelaat RAW-foto’s van niet-C2PA camera’s te combineren met een C2PA-camera, resulterend in “geverifieerde” beelden die authenticatiechecks passeren. Google Pixel 10’s implementatie bleek EXIF en XMP metadata uit te sluiten van cryptografische bescherming.

De standaard evolueert snel om dergelijke problemen te adresseren, maar het illustreert dat C2PA geen onfeilbaar systeem is.

Implicaties voor duurzaamheidsrapportages

C2PA biedt voor CSRD-rapportages een gestandaardiseerd mechanisme om herkomst en integriteit van visueel bewijsmateriaal te documenteren. De cryptografische handtekeningen van vertrouwde hardware creëren een verifieerbare chain of custody.

Drie praktische aanbevelingen:

Documenteer welke beelden C2PA-geverifieerd zijn. Vermeld in rapportages door welke hardware/software ondertekend en welke aanvullende verificatiestappen zijn genomen.

Behandel C2PA als ondersteunend bewijs, niet als sluitend bewijs. De standaard bewijst herkomst en integriteit, niet dat de afgebeelde situatie “waar” is. Combineer met procedurele waarborgen: wie fotografeert, onder welke omstandigheden, met welke instructies.

Anticipeer op adoptie. De standaard evolueert snel. Google Pixel 10 brengt C2PA naar het consumentensegment. De Europese Commissie overweegt C2PA-vereisten voor AI-gegenereerde content. Organisaties die nu investeren, bouwen aan een bewijspositie die de komende jaren aan waarde wint.

The post Wat is C2PA? De standaard voor verifieerbare bedrijfsfotografie appeared first on Visual Assurance.