Apple Reference Image: Dette kan et signert iPhone-bilde dokumentere

Et gyldig referansebilde fra iPhone 18 Pro kan etter Apples modell dokumentere hva hovedkameraets sensor registrerte, og et tidsintervall for opptaket. Det kan også gjøre forskjeller mellom referansebildet og en redigert versjon synlige. Men systemet dokumenterer ikke hvor bildet ble tatt, hvem som tok det, hvorfor noe skjedde eller om scenen var iscenesatt.[1][2]

Apple kaller funksjonen Apple Reference Image. På norske støttesider bruker selskapet også navnet «Apple-referansebilde». Den er valgfri og avslått som standard. Brukeren må først legge til referansemodus i Innstillinger og deretter velge Referanse i Kamera før det aktuelle bildet tas. Dette er en gjennomgang av Apples dokumentasjon og uavhengige faglige innvendinger – ikke en uavhengig sikkerhetsrevisjon eller en praktisk test av funksjonen i Norge.

Dette er en fordypning i funksjonen. Oversikten vår over iPhone 18 Pro dekker resten av telefonen.

Kort fortalt: Dette dokumenterer et gyldig referansebilde

Når et referansebilde består kontrollene på en støttet enhet, dokumenterer Apples system at:

råpikslene og sensorproduserte metadata samsvarer med en signatur fra en hovedkamerasensor som Apple har sertifisert
sensoren og Secure Enclave er registrert som deler av samme støttede iPhone i Apples fabrikkmanifest
dataene som dekkes av sensor- og Secure Enclave-signaturene, ikke er endret etter signeringen
opptaket faller innenfor tidsgrensene som følger med bildet, med reservegrensene Apple beskriver når et tidsstempel mangler eller ikke kan bekreftes
Apple har signert en JPEG som Private Cloud Compute opprettet etter Apples beskrevne kontroller og bildebehandling
den lokale kontrollen ved visning ikke finner bilde-ID-en på tilbakekallingslisten som da er tilgjengelig på enheten.[1]

Dette er dokumentasjon innenfor Apples egen tillitsmodell, ikke en uavhengig observasjon av motivet eller hendelsen.

Det dokumenterer ikke:

fotografens identitet eller telefonens eier
stedet, motivets bakgrunn eller en bildeteksts riktighet
at en hendelse var spontan, representativ eller ikke iscenesatt
at noe utenfor utsnittet ikke endrer forståelsen
at et bilde uten referansesignatur er manipulert.

En iPhone kan fortsatt fotografere en skjerm, en rekvisitt eller en arrangert scene. Referansebildet styrker kontrollen av selve opptaket, ikke sannheten i historien rundt det.

Ett opptak består av tre forskjellige deler

Det er viktig å skille mellom:

Det vanlige bildet, som behandles av kameraet og kan redigeres og deles som ellers.
Det sikre digitale negativet, en DNG-fil med rå pikseldata, signaturer, metadata og tidsgrenser.
Det utviklede referansebildet, en signert JPEG som lages fra negativet og kan sammenlignes med det vanlige bildet.[1]

Apple bruker noen steder «digitalt negativ» som en forenklet forklaring, men den tekniske beskrivelsen skiller tydelig mellom det uutviklede DNG-negativet og den ferdige, synlige JPEG-filen.[1][2]

Et vanlig bilde kan ikke gjøres sensorverifisert i etterkant. Referansemodus må være valgt når bildet tas. Omvendt er fravær av et referansebilde ikke bevis på at et bilde er falskt.

Tre iPhone 18 Pro viser et vanlig bilde, et referansebilde fra Apple og en redigert versjon i Bilder.

Apple viser hvordan et utviklet referansebilde kan sammenlignes med en redigert versjon. Personen i bakgrunnen og glasset på bordet er fjernet i den redigerte utgaven. Grensesnittet er på engelsk. Bilde: Apple.

Signaturen begynner i kamerasensoren

Når brukeren velger referansemodus, starter hovedsensoren i en særskilt, sikker opptaksmodus. Sensoren signerer pikseldata og sensorproduserte metadata umiddelbart etter opptaket. Opplysninger som kommer utenfra sensoren – blant annet digital zoom, eksponering og objektivdata – bindes til opptaket med en signatur fra Secure Enclave.[1]

Det sikre negativet sendes først til Apples Private Cloud Compute, når brukeren velger å utvikle referansebildet. Der kontrolleres blant annet sensorsignaturen, Secure Enclave-signaturen, tidsgrensene og at sensoren og sikkerhetsprosessoren hører til samme telefon. Dataene behandles deretter til et synlig bilde med blant annet demosaikkering, tonejustering og komprimering.[1]

«Referanse» betyr altså ikke at bildet er uten bildebehandling. Apples støtteartikkel sier at resultatet har minimal behandling og normalt mindre kontrast og lavere fargemetning enn det vanlige bildet.[2]

Det ferdige JPEG-bildet signeres av Apple. Når det vises på en støttet enhet, kontrollerer enheten signaturen og sammenligner bilde-ID-en med tilbakekallingslisten som er lagret lokalt. Apple sier at enhetene henter oppdaterte lister regelmessig, men lover ikke en sanntidskontroll mot tjenestene sine. Apple kan tilbakekalle et enkeltbilde eller alle referansebilder fra en bestemt sensor. De offentlige dokumentene beskriver ikke tersklene, varslingen eller en klageordning for slike vedtak.[1][3][5]

Tidspunktet er et intervall

Apple bruker kryptografiske tidsstempler i stedet for å stole bare på telefonens vanlige klokke. Et stempel hentet før opptaket gir den nedre tidsgrensen, og et nytt stempel etter opptaket gir den øvre. Apple oppgir at enheten globalt mottar et nytt nedre tidsstempel i gjennomsnitt omtrent hvert 15. minutt, men at intervallet avhenger av lokale nettforhold.[1]

Uten nett kan intervallet bli langt. Hvis den nedre grensen ikke kan bekreftes, bruker systemet 31. mars 2026 som reserveverdi. Hvis den øvre mangler eller ikke kan bekreftes, brukes tidspunktet da negativet utvikles i Private Cloud Compute.[1]

Et «signert tidspunkt» er derfor ikke nødvendigvis et presist klokkeslett. Den som bruker bildet som dokumentasjon, må kontrollere hvor bredt intervallet faktisk er.

Hva Apple dokumenterer for norske brukere

Opptak krever Fusion Main-kameraet på iPhone 18 Pro eller iPhone 18 Pro Max. Apple sier at utvikling, visning og deling i Bilder krever iOS 27, iPadOS 27 eller macOS 27 eller nyere. Utviklingen krever internett.[2][4]

Apple fører funksjonen opp på den norske spesifikasjonssiden og beskriver innstillinger og arbeidsflyt på norsk. Apple sier samtidig at opptaksmodusen ikke er tilgjengelig i EU. Norge er ikke medlem av EU, selv om landet er med i EØS. Dette taler for norsk støtte, men de kontrollerte Apple-sidene gir ikke en uttømmende landliste, og Epleposten har ikke testet aktivering med norsk konto og enhet.[2][4]

Når funksjonen er tilgjengelig, beskriver Apple denne arbeidsflyten:

Aktiver Apple-referansebilde under Kamera i Innstillinger.
Velg referansemodus i Kamera før opptaket.
Åpne bildet i Bilder og velg å utvikle referansebildet.
Sammenlign referansebildet med hovedbildet, og åpne informasjonen for å kontrollere metadata.
Velg uttrykkelig om referansebildet skal følge med når filen deles.[2]

Dette er Apples dokumenterte fremgangsmåte, ikke en trinnvis test utført av Epleposten.

Referansemodus støtter Live Photos, portrettbilder og Photographic Styles, men ikke alle kamerafunksjoner; Apple nevner Night mode som et eksempel. Funksjonen bruker også ekstra lagringsplass på enheten og, når iCloud-bilder brukes, i iCloud. Apple anslår omtrent 8–10 MB for uutviklede data og rundt 3 MB for et utviklet referansebilde ved 12 eller 24 MP. Ved 48 MP er anslagene omtrent 35–40 MB og 7–8 MB.[2]

Deling kan røpe mer enn det ferdige bildet

Et utviklet referansebilde kan inkluderes eller utelates ved deling. Mottakeren trenger en støttet Apple-enhet og systemversjon for å se referanseinformasjonen i Bilder. En skjermdump eller en komprimert kopi i sosiale medier bør derfor ikke behandles som om den har samme kontrollerbare signatur.[2]

En særskilt personvernrisiko oppstår dersom et referansemodusbilde deles før referansebildet er utviklet, eller hvis valget Alle bildedata brukes. Avhengig av delingsmåten kan materialet da inneholde unike maskinvareidentifikatorer og ubeskårne bildedata, også når fotografen brukte digital zoom. Alle bildedata kan i tillegg omfatte sted, dybdeinformasjon, bildetekster og redigeringshistorikk.[2][3]

Bevaring av det sikre negativet og anonym deling av et ferdig referansebilde er derfor to forskjellige oppgaver. «Send originalen med alt» er ikke et trygt standardråd når en kilde eller et sted må beskyttes.

Apple sier at selskapet ikke kan lese råbildet – men mottar identifikatorer og metadata

Råbildet og tilhørende metadata lastes opp til Private Cloud Compute når referansebildet utvikles. Apple sier at systemet er konstruert slik at selskapet ikke kan få tilgang til selve råbildets innhold under autentiseringen. Sensorens unike maskinvareidentifikatorer og metadata om bildet – blant annet vurderingsresultat, hash og bilde-ID – sendes derimot fra skybehandlingen til Apples øvrige tjenester for autentisering, svindelkontroll og tilbakekalling.[1][3]

Apples tjeneste fører en privat kobling mellom bilde-ID og sensor for å kunne tilbakekalle bilder eller en kompromittert sensor. Den engelske personvernteksten sier også at enkelte bilde-ID-er eller enhetsdata kan beholdes som forretningsdokumentasjon etter at funksjonen er slått av. Den norske oversettelsen bruker det uklare uttrykket «legitimasjon med bilde» på samme sted. Apple oppgir ingen fast slettefrist, bare at data beholdes så lenge selskapet har et forretningsmessig, kontraktsmessig eller juridisk behov.[1][3][6]

Apples uttalte personverngaranti er derfor at råbildeinnholdet holdes utilgjengelig for Apple under skybehandlingen, og at utenforstående ikke skal kunne koble to ferdige referansebilder til samme sensor. Det betyr ikke at Apple aldri mottar eller lagrer sensor- og bildeopplysninger, eller at Apple selv mangler en privat bilde–sensor-kobling.[1][3]

Apples sikkerhetsdesign er ikke en uavhengig fasit

Apple sier at eksperter kan inspisere binærfilene som brukes til bildebehandlingen i Private Cloud Compute, og at produksjonsversjonene føres i en manipulasjonsbestandig åpenhetslogg. Systemet bruker samtidig en nevral modell med skjulte vekter til å vurdere om rådataene har de fysiske egenskapene Apple forventer fra sine sensorer.[1]

Det gir eksterne eksperter materiale å undersøke, men Apples blogg er fortsatt selskapets egen beskrivelse av systemet. En analyse i Tech Policy Press vurderer sensorforankringen som et teknisk fremskritt, men peker blant annet på fotografering av skjermer eller utskrifter, Apples kontroll over tilbakekalling og svak interoperabilitet. Forfatteren var orientert av Apple og gjennomførte ikke en kryptografisk angrepstest.[5]

Epleposten fant ingen offentlig, uavhengig sikkerhetsrevisjon, penetrasjonstest eller publisert angrepstest som bekrefter hele kjeden fra sensor til visning. Påstanden om at hele løsningen er robust, må derfor fortsatt tilskrives Apple.

Bevar negativet før det slettes

Etter vellykket utvikling flyttes det sikre digitale negativet automatisk til mappen for nylig slettede bilder. Det kan gjenopprettes for arkivering, men slettes ellers automatisk etter 30 dager.[1]

Et bevart negativ er ikke en uavhengig, ferdig visbar attest: Apples dokumenterte arbeidsflyt krever Private Cloud Compute for å utvikle det, og kontroll av det ferdige referansebildet krever foreløpig kompatibel Apple-programvare. Apple har ikke offentlig lovet en bestemt levetid for tjenesten eller beskrevet en verifikator for nett, Android eller Windows. Langtidsarkivering bør derfor ikke bygge på referansebildet alene.[2][5]

For en redaksjon eller virksomhet er en forsvarlig rutine derfor å:

avklare om det sikre negativet skal bevares, og lagre det kontrollert
utvikle og kontrollere referansebildet i et støttet verktøy
undersøke tidsintervallet og metadataene
vurdere personvern før noe deles
kontrollere motiv, sted, kilde og kontekst uavhengig av signaturen.

Apple Reference Image kan være et nyttig ekstra ledd i kildekontrollen. Når bildet består kontrollene, er Apples system konstruert for å dokumentere en teknisk kjede fra en sertifisert sensor til en Apple-signert referansefil. Det avgjør ikke om motivet, stedet, bildeteksten eller historien rundt bildet er sann.