Reference Image — режим камеры, доступный только для основного датчика на iPhone 18 Pro и Pro Max. Он создаёт криптографически подписанную запись, показывающую, что именно снято на камеру, но не раскрывающую, кто сделал снимок. Функция включается в настройках камеры, после чего появляется отдельный режим съёмки.
В момент срабатывания сенсор сразу подписывает необработанные пиксельные данные, прежде чем к ним получит доступ операционная система. Подписанные данные вместе с метаданными экспозиции и защищёнными временными границами сохраняются как защищённый цифровой негатив в формате DNG. Система отметок времени использует токен, выдаваемый примерно каждые пятнадцать минут, как нижнюю границу, а после съёмки запрашивает второй токен как верхнюю. Вместе они криптографически ограничивают момент съёмки.
При проявке негатив отправляется в среду Private Cloud Compute. Она проверяет подписи сенсора и Secure Enclave, связанные на заводе через цепочку из трёх удостоверяющих центров, затем обрабатывает изображение. Полученный JPEG получает составную постквантовую подпись. Этот стандарт рассчитан на десятилетия проверки — как запечатанное судебное доказательство, переживающее рост вычислительной мощности. Подписанное изображение возвращается на устройство и появляется в отдельном альбоме. После проявки исходный негатив перемещается в папку удалённых фото и стирается через тридцать дней.
Никакой внешний наблюдатель не может связать эталонные изображения с устройством, и система не требует публичной личности фотографа. Архитектура PCC не позволяет даже сотрудникам Apple получить доступ к содержимому: запросы отметок времени идут через Oblivious HTTP, а проверки отзыва выполняются на устройстве по локально загруженным спискам. Функция охватывает только основной модуль камеры.
