Entwickeln mit der Trusteddit-PKI (Public Key Infrastructure)
Verifizierte Content Credentials in Ihre Anwendung integrieren
Trusteddit stellt C2PA-Content-Credential-Signaturen als Dienst bereit. Ihre Anwendung erzeugt kryptografische Schlüssel direkt auf dem Gerät (on-device), registriert sich für ein kurzlebiges Zertifikat (short-lived certificate) und signiert alle erfassten Mediendateien mit nachweisbarer Herkunft (provenance), bevor diese das Gerät verlassen.
Funktionsweise (How It Works)
Trusteddit verbindet Ihre Anwendung mit der C2PA-Vertrauensliste (C2PA Trust List)
Erzeugt Schlüssel auf dem Gerät (on-device). Signiert Medien mit dem Gerätezertifikat (device certificate).
Stellt kurzlebige Zertifikate (90 Tage Gültigkeit) für registrierte App-Installationen aus. Bindet über die Trusteddit-Journalist-Issuer-CA an die C2PA-Vertrauensliste (C2PA Trust List) an.
Prüfende Anwendungen (verifying applications wie Browser, Plattformen und News-Reader) validieren die Zertifikatskette (certificate chain) und zeigen dem Nutzer ein Herkunftsabzeichen (provenance badge) an.
Was Trusteddit bereitstellt
Trusteddit agiert als auf C2PA spezialisierte Zwischenzertifizierungsstelle (intermediate certificate authority). Statt ein einziges Zertifikat pro Journalist oder Organisation auszustellen, vergibt Trusteddit ein Pro-Installation-Zertifikat (per-install certificate) an jede registrierte App-Instanz. Dadurch verlässt der Signaturschlüssel (signing key) niemals das Endgerät.
Der Schutz der Privatsphäre wird durch opake Signer-IDs (opaque signer IDs) gewährleistet. Der allgemeine Name (Common Name, CN) des Zertifikats ist ein HMAC-abgeleiteter Token im Format ph_<hash>@thephenom.app, der von externen Parteien nicht auf eine reale Identität zurückgeführt werden kann. Nur Ihr Anwendungs-Backend besitzt die Zuordnung. Diese Architektur ist von Grund auf DSGVO-konform (GDPR-compliant by construction).
Wird eine Mediendatei hochgeladen, überprüft Ihr Backend das vom Gerät erstellte C2PA-Manifest (C2PA manifest) und ruft anschließend die Trusteddit-Badge-Signierdienst-API (badge-signer API) auf, um eine zweite Signatur anzubringen: ein Prüfabzeichen (verification badge), das bestätigt, dass Ihre Plattform den Inhalt geprüft und authentifiziert hat. Prüfende Anwendungen zeigen dem Betrachter beide Signaturen an.
Integrations-Leitfäden (Integration Guides)
Glossar (Glossary)
Wichtige Begriffe zu Kryptografie, Herkunftsnachweisen (provenance) und Standards in der Trusteddit-Entwicklerdokumentation.
Offener technischer Standard zur Zertifizierung von Ursprung und Bearbeitungsverlauf digitaler Medieninhalte.
Manipulationssichere Metadaten (tamper-evident metadata), die Herkunft und Änderungen digitaler Medien belegen.
System aus Richtlinien, Rollen und Software zur Ausstellung und Verwaltung digitaler Zertifikate.
Vertrauenswürdige Instanz zur Ausstellung kryptografisch signierter digitaler Zertifikate.
Standardisierter Antrag an eine Zertifizierungsstelle (Certificate Authority) zur Ausstellung eines Zertifikats.
Standardisiertes Format für digitale Zertifikate mit öffentlichem Schlüssel (public key certificates).
Elliptische-Kurven-Kryptografie (Elliptic Curve Cryptography) für sichere digitale Signaturen mit kompakten Schlüsseln.
Schlüsselbasierter Authentifizierungscode (keyed-hash message authentication code) zur sicheren Token-Generierung.
Kompaktes, URL-sicheres Format für den verifizierbaren Austausch von Autorisierungsdaten.
Strukturierte Metadaten-Einheit (manifest box) mit kryptografischen Nachweisen und Herkunftssignaturen.
Offizielle Liste anerkannter Zertifizierungsstellen (Certificate Authorities) für C2PA-Prüfungen.
Unabhängiger Zeitstempeldienst (Timestamp Authority) für kryptografische RFC-3161-Zeitnachweise.
Kryptografisch nachvollziehbare Herkunftskette (chain of custody) von der Aufnahme bis zur Veröffentlichung.
Datenschutz-Grundverordnung (General Data Protection Regulation) der Europäischen Union zum Schutz personenbezogener Daten.
Trusteddit, ein Dienst der SanMarcSoft LLC