Hacker News Front Page · Retr0id ·
How to Hack Time, With C2PA
David Buchanan demuestra una vulnerabilidad crítica en C2PA mediante una "prueba de concepto" donde manipula la metadata de una imagen de lotería con timestamp válido. El ataque explota las "exclusiones" de C2PA: rangos de bytes que se excluyen de los cálculos de firma, permitiendo que un atacante excluya el archivo completo y firme una cadena vacía. Aunque el mecanismo de Time Stamp Authority (TSA) funciona correctamente, la especificación de C2PA permite que los firmantes creen deliberadamente exclusiones masivas que anulen cualquier detección de manipulación posterior. La solución no es eliminar las exclusiones (necesarias para ciertos formatos como PNG), sino especificar explícitamente qué partes pueden excluirse por formato y hacer que los verificadores enforzen estas restricciones.
By David Buchanan (aka retr0id), 2nd October 2026