반품 접수창에 올라온 파손 사진이 실제 카메라로 찍혔다는 사실을 확인할 수 있다면, 합성 이미지로 접수하는 사기를 줄이는 데 도움이 된다. 그렇다고 사진 속 물건이 배송 중에 망가졌다는 사실까지 증명되는 것은 아니다. 애플이 9월 15일 공개한 Apple Reference Image는 이 두 질문 중 앞쪽을 다룬다. 센서가 받은 영상과 촬영 시간 구간을 인증하는 사진 기능이다.
시작 대상은 아이폰 18 프로와 아이폰 18 프로 맥스의 메인 카메라 센서다. 사용자가 Reference 모드를 직접 켜는 선택형(opt-in) 기능이므로, 아이폰으로 찍은 모든 사진에 자동으로 인증이 붙는다고 이해하면 안 된다. 사진을 증빙으로 받는 제품팀에는 지원 기기인지 묻는 것보다, 어떤 파일을 받아 무엇을 검증할지 정하는 일이 먼저다.
촬영 원본을 인증하는데 왜 클라우드가 필요한가
카메라 센서가 내보낸 원시 픽셀은 곧바로 사람이 보는 사진이 되지 않는다. 색을 복원하고 밝기를 조정하는 처리가 필요하다. 애플은 촬영 직후의 데이터를 보호하는 단계와, 이를 볼 수 있는 이미지로 만드는 단계를 나눴다.
Reference 모드에서는 센서가 보안 부팅한 뒤 픽셀과 센서 메타데이터에 직접 암호학적 서명을 붙인다. 디지털 줌 등 센서 바깥에서 정해지는 정보는 별도의 보안 프로세서인 Secure Enclave가 서명한다. 이 자료와 시간 증명 등을 묶은 DNG 파일이 기기 안에 저장되는 '보안 디지털 네거티브'다. 일반 사진 처리 과정에서 만들어진 사진과 연결되지만, 두 파일은 역할이 다르다.
사용자가 참조 이미지 만들기를 선택하면 이 네거티브를 애플의 Private Cloud Compute(PCC)로 올린다. PCC는 센서와 보안 프로세서가 같은 기기의 구성품인지, 서명과 시간이 유효한지 검사하고 색 복원·톤 매핑·압축을 거쳐 JPEG를 만든다. 최종 서명은 애플의 서명 서비스가 붙인다. 따라서 여기서 말하는 '원본 인증'은 무가공 픽셀을 그대로 보여 준다는 뜻이 아니다. 센서 출력에서 최종 이미지까지 어떤 처리 경로를 거쳤는지 신뢰할 수 있게 만든다는 뜻이다.
애플은 PCC가 처리 중인 이미지 내용을 애플도 열람할 수 없도록 설계했다고 설명한다. 운영 소프트웨어 빌드는 공개 검토가 가능한 투명성 로그에 기록되며, 기기는 그 로그에 있는 빌드를 실행한다고 증명하는 노드에만 데이터를 보낸다. 이 보호는 클라우드 전송을 생략하는 방식이 아니다. 사용자가 현상을 요청하면 업로드와 서버 처리가 필요하다.
촬영 시각은 한 점이 아니라 구간으로 확인한다
휴대전화 운영체제가 적어 둔 촬영 시각 대신, 애플의 시간 인증 서비스가 서명한 두 시각을 사용한다. 촬영 전에 받은 최신 토큰이 구간의 시작이고, 촬영 후 사진에 연결된 정보를 보내 돌려받는 토큰이 끝이다. 사진이 그 사이에 촬영됐다는 것을 보장한다.
촬영 전 토큰 갱신은 전 세계 평균으로 약 15분마다 이뤄지지만 네트워크 상황에 따라 달라진다. '촬영 시각 오차가 최대 15분'이라는 뜻이 아니다. 오프라인에서는 촬영 후 토큰을 바로 받을 수 없고, 백그라운드 재시도가 성공할 때까지 구간의 끝이 늦어질 수 있다.
예외 처리도 구간을 넓힌다. PCC에서 시작 토큰 검증이 실패하면 기능이 존재하지 않았던 시기와 구분하는 기준일인 2026년 3월 31일을 시작으로 대체한다. 끝 토큰이 없거나 검증되지 않으면 PCC의 현상 시각을 끝으로 쓴다. 넓어진 구간도 시간 증명이지만, '접수 직전에 찍은 사진'을 요구하는 업무에는 부족할 수 있다. 접수 시스템은 단일 촬영 시각만 저장하지 말고 시작과 끝을 함께 보관해야 한다.
촬영자 신원을 공개하지 않고도 사진을 취소할 수 있다
공개된 참조 이미지에는 촬영자가 자기 신원을 걸고 보증하는 대신 애플의 최종 서명이 붙는다. 외부 관찰자가 인증 정보만 보고 두 사진이 같은 기기에서 나왔는지 연결하지 못하도록 설계했다. 사진 내용에 얼굴이나 주소가 보이는 경우까지 익명성을 보장한다는 뜻은 아니다.
시스템 내부에는 연결 정보가 남는다. 폐기 서비스는 사진 식별자와 센서의 관계를 비공개로 기록하며, 이미지 픽셀에는 접근하지 않는다. PCC는 원시 이미지가 센서의 물리적 특성에 맞는지 점수를 계산해 이 서비스에 전달한다. 해당 센서가 폐기 대상이 되면 이후 사진에 서명하지 않고, 특정 사진이나 그 센서의 기존 사진들도 인증을 철회할 수 있다.
여기서 폐기는 사진 파일을 원격 삭제한다는 뜻이 아니다. 이미 배포된 사진을 더 이상 유효한 인증으로 받아들이지 않도록 하는 절차다. 애플 기기는 갱신된 폐기목록을 받아 두고, 참조 이미지를 볼 때 JPEG 서명과 사진 식별자를 확인한다. 조회는 기기 안에서 끝나므로 어느 사진을 보고 있는지 폐기 서비스에 매번 알려 줄 필요가 없다.
폐기목록에 없다는 상태는 그 사진의 인증이 현재 철회돼 있지 않다는 의미다. 장면 속 사건의 경위는 따로 조사해야 한다. 장기 보관용 증빙은 접수 시점의 통과 기록과 함께 실제 판단 시점의 인증 상태도 확인하는 편이 좋다.
사진 접수창의 '진짜' 표시를 어떻게 바꿔야 할까
제품팀이 분리해야 할 것은 파일 검증과 사건 심사다. 서명된 참조 이미지는 센서가 받은 장면의 출처를 뒷받침한다. 누군가 물건을 일부러 훼손한 뒤 촬영했는지, 화면에 띄운 다른 이미지를 다시 찍었는지는 별도의 문제다. 이 구분은 인증 범위에서 따라오는 실무적 해석이다. 반품이라면 주문 내역이나 배송 기록, 다른 각도의 사진을 함께 봐야 한다.
접수 단계에서는 서명이 담긴 참조 JPEG를 보존하고, 화면 표시용으로 축소한 사본과 나눠 관리하는 편이 좋다. 일반 사진이나 스크린샷만 받으면 참조 파일에 붙은 검증 정보를 확인할 수 없다. 보안 디지털 네거티브까지 보관할 업무라면 사용자에게 별도 보존을 안내해야 한다. 애플 설명상 현상에 성공한 네거티브는 삭제된 사진 폴더로 이동하며, 사용자가 복구하지 않으면 30일 뒤 지워진다.
검토 화면도 '진짜 사진' 하나의 배지로 끝내지 않는 편이 정확하다. '서명 유효', 촬영 가능한 시간 구간, 마지막 폐기목록 확인 시점을 보여 주고 사건 심사 결과는 따로 둔다. 지원 기기와 선택형 촬영 조건이 있는 만큼 인증 없는 사진은 '합성'이 아니라 '이 방식의 인증 없음'으로 받는다. 이렇게 해야 새 인증을 활용하면서도 일반 기기 사용자와 기존 증빙을 잘못 거절하지 않는다.
출처: Apple Security Research, Apple Reference Image: A New Approach for Verified Photography (2026년 9월 15일)