C2PA 콘텐츠 인증서란 무엇인가

한마디로

C2PA(Coalition for Content Provenance and Authenticity)는 Adobe, Google, Microsoft, OpenAI, Sony, Nikon, BBC 등이 포함된 연합에서 만든 개방형 표준입니다. 출처 정보를 파일에 기록하고 서명하는 방법을 정의합니다. Adobe는 이를 사용자에게 콘텐츠 인증서(Content Credentials)라고 부릅니다.

어떤 모양인가

C2PA 매니페스트는 이미지를 변경하지 않고 파일에 삽입됩니다. JPEG에서는 APP11 세그먼트에, PNG에서는 caBX 청크에, WebP에서는 C2PA 청크에 위치합니다. 세 가지 종류의 내용을 담고 있습니다:

• 단언(Assertions): 구체적인 진술. c2pa.actions는 "Photoshop에서 생성됨", "Firefly로 생성됨", "자르기" 등을 기록합니다. c2pa.hash.data는 이미지 콘텐츠의 해시를 기록합니다. c2pa.ingredient는 원본 자료를 기록합니다.
• 청구(Claim): 모든 단언의 해시를 묶고, 청구 생성자, 파일 형식 및 제목을 명시합니다.
• 서명(Signature): COSE 형식의 X.509 인증서로 청구에 서명합니다. 인증서 주체가 서명자입니다. 예를 들어 Adobe Inc., Google LLC 또는 카메라 제조사 등입니다.

무엇을 증명할 수 있는가

서명이 유효하고, 인증서 체인이 신뢰되며, 콘텐츠 해시가 이미지와 일치한다면, 이미지와 해당 매니페스트가 서명 이후 변경되지 않았음을 알 수 있으며, 매니페스트의 진술은 서명자가 작성한 것임을 알 수 있습니다.

진술이 사실이라고 증명할 수는 없습니다. 카메라는 "디지털 촬영"이라고 주장할 수 있고, 생성기는 "AI 생성"이라고 주장할 수 있습니다. 이것은 서명자의 단언입니다. 신뢰는 서명 행위가 아니라 누가 서명했는지에서 비롯됩니다.

현재 C2PA를 작성하는 곳

• AI 생성기: OpenAI의 DALL·E 및 GPT Image, Adobe Firefly, Microsoft Designer, 일부 Google 제품.
• 카메라 및 휴대폰: Leica M11-P, Sony α1 II 및 α9 III, Nikon Z6III, Google Pixel 10 (기본적으로 모든 사진에 서명), Samsung Galaxy S25 (AI 편집용).
• 편집기: Photoshop, Lightroom, Premiere 및 기타 Adobe 앱에서 선택적으로 사용 가능.
• 플랫폼: Instagram, LinkedIn, TikTok이 라벨을 읽고 표시하며, 일부는 매니페스트를 유지합니다.

흔한 오해

C2PA가 없으면 가짜인가? 아닙니다. 대부분의 도구가 아직 작성하지 않기 때문에 대부분의 이미지에는 C2PA가 없습니다. 부재는 "확인할 수 없다"는 의미일 뿐입니다.

C2PA가 있으면 진짜인가? 마찬가지로 아닙니다. 누가 서명했는지, 서명이 유효한지, 매니페스트가 무엇을 말하는지에 따라 다릅니다. 완전히 유효한 매니페스트도 "AI에 의해 생성됨"이라고 진술할 수 있습니다.

C2PA는 삭제되어도 남는가? 아닙니다. 매니페스트는 파일의 일부입니다. 메타데이터를 제거하면 사라집니다. 변조로부터 보호하지만, 제거로부터 보호하지는 않습니다.

AuditImage가 어떻게 표시하는가

이미지를 업로드하면 "C2PA 콘텐츠 인증서" 섹션에 각 매니페스트의 생성자, 서명자 인증서, 활동 및 성분이 나열되며, 각 단언의 원시 내용을 펼쳐서 볼 수 있습니다. "검증" 블록은 각 검사에 대한 결과를 제공합니다: 서명, 콘텐츠 해시 바인딩, 단언 해시 및 인증서 체인, 그리고 서명자가 C2PA 신뢰 목록에 있는지 여부를 표시합니다. 타임스탬프 토큰은 존재 여부만 보고됩니다. 두 번째 의견을 원하면 Content Authenticity Initiative의 Verify 또는 c2patool 명령줄 도구를 사용하십시오.