写丸君

撮った瞬間に「本物のカメラで撮った」証明を写真・動画に埋め込むカメラアプリ（Android）。

証明の形式は業界標準の C2PA（Content Credentials） です。Adobe・Google・Sony・Leica などが採用している同じ規格なので、 contentcredentials.org/verify などの検証ツールで誰でも中身を確かめられます。

証明を確かめる（写丸君を持っていない人も）

証明を確認するページに写真・動画を置くと、ブラウザの中だけで証明を読み取って表示します。ファイルはどこにも送信されません。検証エンジンは Content Authenticity Initiative の c2pa-web（MIT）を同梱しています。

何ができるか

写真（JPEG / PNG）と動画（MP4）、音声メモ（M4A）を撮影・録音し、保存する前に C2PA の署名を埋め込む
記録する内容: 「カメラで撮影（デジタル撮影）」という出自、撮影日時、撮影アプリ名とバージョン、端末メーカーと機種、サムネイル、改ざん検知用のハッシュ
アプリ内の「撮ったもの」で、各ファイルの署名状態（署名あり・改ざんなし / 壊れている / なし）と詳細を確認できる
保存先は端末のギャラリー DCIM/写丸君（音声メモは Music/写丸君）。ふつうのギャラリーアプリからも見える
「証明カードと一緒に共有」で、証明の内容を要約した画像を元ファイルに添えて送れる（カードは要約で、証明そのものは元ファイルの中）
位置情報オンのときは GPS 時刻と端末の時計の差も記録し、時計がずれていれば詳細に表示する
ホーム画面ウィジェット、OS の「カメラを起動」（ロック画面のショートカット等）から開ける

何が証明できて、何ができないか

できる: 「このファイルは写丸君がこの端末で署名してから1ビットも変わっていない」「AI 生成ではなくカメラ撮影として記録された」
できない: 署名鍵は端末ごとに作る自己署名なので、検証サイトでは「発行元不明（unknown source）」と表示されます。「写丸君公式が署名した」と表示させるには C2PA 適合プログラムを通した証明書が必要です
鍵は Android Keystore の中で作り、外に取り出せません。StrongBox（セキュリティチップ）があればそこに、無ければ TEE（ハードウェア保護領域）に置かれます。ただし root 化された端末では、どの C2PA カメラ実装でも任意のデータに署名させられることが知られています。写真そのものの真実性を絶対的に保証するものではありません
撮影日時は端末の時計です。第三者による時刻証明は、設定で「署名に時刻証明を付ける」をオンにしたときだけ付きます（「外部通信について」を参照）

プライバシー

写真・動画・鍵・証明書・位置情報は端末の外に出ません。広告・解析・クラッシュ報告などの仕組みは入っていません
使う権限はカメラとマイク（Android 9 のみ、ギャラリー保存のためストレージ権限）。位置情報とインターネットは下記のとおり同意制
「撮ったもの」一覧では写真・動画・音声の読み取り権限を求めます。Android 10 以降はアプリを入れ直すと自分の保存したファイルが見えなくなるためで、読むのは写丸君のフォルダ（DCIM/写丸君、Music/写丸君）の中だけです。断っても撮影と、入れ直し後に撮ったものの表示はできます
撮ったものは署名の前にアプリ内の保留フォルダへ移し、保存できたら消します。途中でアプリが落ちたり空き容量が足りなかったりしても撮ったものは残り、次回起動時に保存をやり直します。署名に失敗したときは署名なしで保存し、その旨を表示します
他アプリから「開く」「共有」で渡されたファイルの証明も確認できます（写丸君で証明を確認）。渡されたファイルは読むだけで、保存も送信もしません
位置情報は既定では記録しません。設定で「撮影場所（緯度経度）を記録する」をオンにした人だけ、撮影時の緯度・経度・高度・測位時刻を署名の中（EXIF アサーション）に入れます。測位は Android 標準の機能だけを使い、Google Play 開発者サービスには依存しません

外部通信について

iPhone 版は、既定ではインターネットに一切接続しません。 時刻証明の機能もありません（写丸君-iOS.md）。設定の「会社の証明書で署名する」をオンにしたときだけ、1 年に 1 回、証明書を受け取るために通信します（送るのは公開鍵と App Attest の証拠だけ。写真・動画は送りません）。さらに「会社のサーバーで署名する」もオンにすると、撮るたびに署名データのハッシュ値（32 バイト）を会社のサーバーに送ります。オフに戻せば、また一切接続しません。証明を読むときの遠隔取得（別サーバーにあるマニフェスト・OCSP）も切ったうえで、 c2pa に渡す HTTP の口そのものをふさいでいます（Provenance.swift の context）。

以下は Android 版の話です。

写丸君がインターネットに通信するのは、設定でオンにした機能を使うときだけです。すべて既定はオフで、全部オフなら一切通信しません。

会社の証明書を受け取る（設定「写丸君の運営会社の証明書を使う」）

自己署名だと、誰でも同じ名義を名乗れます。運営会社（株式会社カリロエ）の認証局から端末証明書をもらうと、証明書のつながりが会社のルートに辿り着くかどうかで本物かどうかが決まるようになります。

項目	内容
いつ	1 年に 1 回（証明書の期限が近づいたとき）。受け取ったあとの撮影・署名は端末の中だけ
相手	株式会社カリロエの認証局 `shamaru-ca-joizw6cvaq-an.a.run.app`
送るもの	署名鍵の公開鍵と、その鍵がこの端末の中で作られたという証拠（Android のハードウェア証明）
送らないもの	写真・動画・サムネイル・位置情報・アカウント情報・利用者を特定する情報
受け取るもの	この端末だけの証明書。端末や利用者を特定できる情報は入っていない（名義は全端末で同じ、区別が付くのは乱数の通し番号だけ）
失敗したら	撮影は止めない。自己署名のまま撮り、24 時間あけて再試行する
確かめ方	受け取った証明書が、アプリに同梱した会社のルートで検証できることを確かめてから使う

ルート証明書と中間証明書は <https://callirrhoe.jp/app/shamaru-kun/ca/> で公開しています。

公式の証明書で署名する（設定「公式の証明書で署名する」）

Android 0.1.10 以降・iPhone 1.1.0 以降。どちらも既定はオフ。

①の証明書はトラストリストに載らないので、よその検証サイトでは「未認識」のままです。公式に信頼される証明書は端末ごとに配れないため、端末が claim を組み立て、会社のサーバーが署名する形にします（C2PA の言い方では Distributed 実装クラス）。

項目	内容
いつ	1 つ署名するたびに 1 回
相手	株式会社カリロエの署名サーバー `shamaru-ca-joizw6cvaq-an.a.run.app`
送るもの	署名するデータのハッシュ値 32 バイト、この端末の証明書（①で受け取ったもの）、使い捨ての乱数と時刻、それらへの端末の鍵による署名
送らないもの	写真・動画・サムネイル・位置情報・アカウント情報・利用者を特定する情報
確かめ方	サーバーは、端末証明書が自社の中間 CA から出ていること・期限内・署名が合うこと・乱数が未使用であることを確かめてから署名する。証明書だけでは署名しない（端末の鍵による所持の証明が要る）
届かなかったら	撮影は止めない。その 1 枚は①の証明書で署名し、5 分は再試行しない
前提	①の証明書を受け取っていること（自己署名では認証が通らない）

1 つのファイルに付く署名は 1 つだけです。①と②を重ねません。

署名に時刻証明を付ける（設定「署名に時刻証明を付ける」）

項目	内容
いつ	上の設定がオンで、写真・動画・音声メモを1つ署名するたびに1回
相手	DigiCert のタイムスタンプ局 `timestamp.digicert.com`（RFC 3161）
送るもの	署名データのハッシュ値（数十バイト）。RFC 3161 のタイムスタンプ要求そのもの
送らないもの	写真・動画・サムネイル・位置情報・端末情報・鍵・証明書・利用者を特定する情報
受け取るもの	「このハッシュはこの時刻に存在した」という TSA 署名つきの応答。署名の中に埋め込む
相手に見えるもの	通信元の IP アドレス（インターネット通信の性質上避けられない）
通信できないとき	時刻証明なしで署名して保存し、その旨を画面に表示する。撮影は止めない
目的	撮影日時（端末の時計）とは別に、第三者が保証する時刻を署名に付けるため

この通信は Android の INTERNET 権限で行います。この権限は確認ダイアログが出ない種類のものなので、上の設定スイッチが実質的な同意の場所です。

撮影の設定

撮影モード: 写真 / 動画 / 音声メモ / QR。端末が対応していれば HDR / 夜景 / ポートレート / 美肌（CameraX Extensions）
写真: 縦横比（4:3 / 16:9 / 1:1）、解像度（端末の対応一覧から）、保存形式（JPEG / PNG）、JPEG 画質
撮影の補助: ズーム倍率のボタン、水準器（設定でオン）、画面の長押しで明るさとピントを固定
QR モード: QR コードとバーコードを読む。読み取りは端末の中だけで行い、通信しない。実際につながるホスト名を必ず表示し、@ を使った偽装・見た目が似た文字のドメイン・数字のアドレス・暗号化なしの接続を見つけたら警告する。開けるのは http / https だけ
動画: 解像度（SD〜4K の対応分）、フレームレート（30 / 60 の対応分）、音声の有無
画面: ピンチでズーム、タップでピント、フラッシュ（動画はライト）、明るさ補正、グリッド、セルフタイマー、長押しで連写

動作環境

Android 9（API 28）以上。arm64-v8a / armeabi-v7a
動作確認: SHARP SH-01L（Android 10）

ビルド

Android Studio は不要です。Unity 6000.4.3f1 に同梱の OpenJDK 17 / Android SDK / Gradle 8.13 を使います。

tools/gradle.sh assembleDebug

PowerShell なら .\tools\gradle.ps1 assembleDebug。出力は app/build/outputs/apk/debug/app-debug.apk。

local.properties に sdk.dir を書く（この PC 固有。git には入れない）
app/libs/c2pa-release.aar は c2pa-android の GitHub Releases から取得した 0.0.10
ウイルス対策ソフトが HTTPS を検査している環境では、Java に Windows の証明書ストアを使わせる指定（スクリプトに入れてあります）が必要です

構成

ファイル	役割
`MainActivity.kt`	カメラ画面。CameraX で撮影し、一時ファイルに書いてから署名・保存
`Settings.kt` / `SettingsActivity.kt`	撮影の設定と設定画面
`ImageConvert.kt`	JPEG を PNG に変換（EXIF の向きを反映）、署名用サムネイル
`LocationTracker.kt`	位置情報（同意制）。カメラ画面を開いている間だけ測位
`DeviceKey.kt`	Android Keystore に署名鍵を作り、自己署名証明書を付ける
`Provenance.kt`	マニフェスト（何を記録するか）の組み立て、署名、読み取りと要約
`MediaStorage.kt`	ギャラリー（DCIM/写丸君）への保存と一覧。Android 9 と 10 以降の差を吸収
`GalleryActivity.kt` / `DetailActivity.kt`	撮ったものの一覧と、証明の詳細表示

ライセンス

MIT License。第三者ソフトウェアの帰属表示は NOTICE.md を参照してください。