Цифровая стеганография

Грибунин Вадим Геннадьевич

Оков Игорь Николаевич

Туринцев Игорь Владимирович

Поделиться с друзьями:

Интерес к стеганографии появился в последнее десятилетие и вызван широким распространением мультимедийных технологий. Методы стеганографии позволяют не только скрытно передавать данные, но и решать задачи помехоустойчивой аутентификации, защиты информации от несанкционированного копирования, отслеживания распространения информации по сетям связи, поиска информации в мультимедийных базах данных.

Международные симпозиумы по скрытию данных проводятся с 1996 года, по стеганографии первый симпозиум состоялся в июле 2002 года. Стеганография – быстро и динамично развивающаяся наука, использующая методы и достижения криптографии, цифровой обработки сигналов, теории связи и информации.

На русском языке стеганографии было посвящено только несколько обзорных журнальных статей. Данная книга призвана восполнить существующий пробел. В ней обобщены самые последние результаты исследований зарубежных ученых. В книге рассмотрены как теоретические, так и практические аспекты стеганографии, выполнена классификация стегосистем и методов встраивания, детально исследованы вопросы повышения пропускной способности стегоканала, обеспечения стойкости и незаметности внедрения, приведено более 50 алгоритмов встраивания данных.

Книга предназначена для студентов, аспирантов, научных работников, изучающих вопросы защиты информации, а также для инженеров-проектировщиков средств защиты информации. Также несомненный интерес она вызовет у специалистов в области теории информации и цифровой обработки сигналов.

 

Введение

Задача защиты информации от несанкционированного доступа решалась во все времена на протяжении истории человечества. Уже в древнем мире выделилось два основных направления решения этой задачи, существующие и по сегодняшний день: криптография и стеганография. Целью криптографии является скрытие содержимого сообщений за счет их шифрования. В отличие от этого, при стеганографии скрывается сам факт существования тайного сообщения.

Слово «стеганография» имеет греческие корни и буквально означает «тайнопись». Исторически это направление появилось первым, но затем во многом было вытеснено криптографией. Тайнопись осуществляется самыми различными способами. Общей чертой этих способов является то, что скрываемое сообщение встраивается в некоторый безобидный, не привлекающий внимание объект. Затем этот объект открыто транспортируется адресату. При криптографии наличие шифрованного сообщения само по себе привлекает внимание противников, при стеганографии же наличие скрытой связи остается незаметным.

Какие только стеганографические методы не использовали люди для защиты своих секретов! Известные примеры включают в себя использование покрытых воском дощечек, вареных яиц, спичечных коробков и даже головы раба (сообщение читалось после сбривания волос гонца). В прошлом веке широко использовались так называемые симпатические чернила, невидимые при обычных условиях. Скрытое сообщение размещали в определенные буквы невинных словосочетаний, передавали при помощи внесения в текст незначительных стилистических, орфографических или пунктуационных погрешностей. С изобретением фотографии появилась технология микрофотоснимков, успешно применяемая Германией во время мировых войн. Крапление карт шулерами — это тоже пример стеганографии.

Во время Второй мировой войны правительством США придавалось большое значение борьбе против тайных методов передачи информации. Были введены определенные ограничения на почтовые отправления. Так, не принимались письма и телеграммы, содержащие кроссворды, ходы шахматных партий, поручения о вручении цветов с указанием времени и их вида; у пересылаемых часов переводились стрелки. Был привлечен многочисленный отряд цензоров, которые занимались даже перефразированием телеграмм без изменения их смысла.

Скрытие информации перечисленными методами возможно лишь благодаря тому, что противнику неизвестен метод скрытия. Между тем, еще в 1883 году Кергофф писал о том, что система защиты информации должна обеспечивать свои функции даже при полной информированности противника о ее структуре и алгоритмах функционирования. Вся секретность системы защиты передаваемой сведений должна заключаться в ключе, то есть в предварительно (как правило) разделенном между адресатами фрагменте информации. Несмотря на то, что этот принцип известен уже более 100 лет, и сейчас встречаются разработки, пренебрегающие им. Конечно, они не могут применяться в серьезных целях.

Развитие средств вычислительной техники в последнее десятилетие дало новый толчок для развития компьютерной стеганографии. Появилось много новых областей применения. Сообщения встраивают теперь в цифровые данные, как правило, имеющие аналоговую природу. Это — речь, аудиозаписи, изображения, видео. Известны также предложения по встраивании информации в текстовые файлы и в исполняемые файлы программ.

Существуют два основных направления в компьютерной стеганографии: связанный с цифровой обработкой сигналов и не связанный. В последнем случае сообщения могут быть встроены в заголовки файлов, заголовки пакетов данных. Это направление имеет ограниченное применение в связи с относительной легкостью вскрытия и/или уничтожения скрытой информации. Большинство текущих исследований в области стеганографии так или иначе связаны с цифровой обработкой сигналов. Это позволяет говорить о цифровой стеганографии. Именно этой науке и посвящена книга.

Можно выделить две причины популярности исследований в области стеганографии в настоящее время: ограничение на использование криптосредств в ряде стран мира и появление проблемы защиты прав собственности на информацию, представленную в цифровом виде. Первая причина повлекла за собой большое количество исследований в духе классической стеганографии (то есть скрытия факта передачи информации), вторая — еще более многочисленные работы в области так называемых водяных знаков. Цифровой водяной знак (ЦВЗ) — специальная метка, незаметно внедряемая в изображение или другой сигнал с целью тем или иным образом контролировать его использование.

В книге рассмотрены оба направления современной цифровой стеганографии. В первой главе приводится специфическая для этой области терминология, дана классификация стегосистем, рассмотрена наиболее общая математическая модель стегосистемы и приведены некоторые практические соображения повстраиванию данных. Во второй главе кратко рассмотрены основные типы атак на стегосистемы скрытой передачи данных и ЦВЗ. Третья и четвертая главы дают представление о достижениях в информационно-теоретических исследованиях стеганографических методов встраивания данных. В последующих главах основной упор делается на проблемы цифровой обработки сигналов, возникающие при внедрении информации, и рассмотрено большое количество алгоритмов встраивания, предложенных за последние годы.

Таким образом, нам, как представляется, удалось выдержать «баланс» между теоретическим и практическим наполнением книги. В ходе работы над книгой мы отказались от первоначально имеющейся идеи написать главу, посвященную описанию открыто распространяющихся стеганографических продуктов. Это объясняется их доступностью, наличием в Сети большого количества сайтов, где Вы найдете всю необходимую информацию.

При написании книги работа была разделена между авторами следующим образом: В.Г. Грибуниным написаны введение, заключение, гл.1, 2, 5, п.4.5, 6.2.1, 6.4; И.Н. Оковым написаны гл.3, 4 (кроме п.4.5); И.В. Туринцев выполнил обзор методов внедрения информации в изображения, аудио и видеосигналы в пп.6.1, 6.2, гл.7, 8.

Пункт 3.1 написан совместно с Головачевым В.Ю., п.3.2 — совместно с Ковалевым Р.М., а п.5.1 — совместно с Коняевым А.В.

 

1. ВВЕДЕНИЕ В ЦИФРОВУЮ СТЕГАНОГРАФИЮ

 

1.1. Цифровая стеганография. Предмет, терминология, области применения

Цифровая стеганография как наука родилась буквально в последние годы. По нашему мнению она включает в себя следующие направления:

1) встраивание информации с целью ее скрытой передачи;

2) встраивание цифровых водяных знаков (ЦВЗ) (watermarking);

3) встраивание идентификационных номеров (fingerprinting);

4) встраивание заголовков (captioning).

ЦВЗ могут применяться, в основном, для защиты от копирования и несанкционированного использования. В связи с бурным развитием технологий мультимедиа остро встал вопрос защиты авторских прав и интеллектуальной собственности, представленной в цифровом виде. Примерами могут являться фотографии, аудио и видеозаписи и т. д. Преимущества, которые дают представление и передача сообщений в цифровом виде, могут оказаться перечеркнутыми легкостью, с которой возможно их воровство или модификация. Поэтому разрабатываются различные меры защиты информации, организационного и технического характера. Один из наиболее эффективных технических средств защиты мультимедийной информации и заключается во встраивании в защищаемый объект невидимых меток — ЦВЗ. Разработки в этой области ведут крупнейшие фирмы во всем мире. Так как методы ЦВЗ начали разрабатываться совершенно недавно (первой статьей на эту тему была, видимо, работа [1]), то здесь имеется много неясных проблем, требующих своего разрешения.

Название этот метод получил от всем известного способа защиты ценных бумаг, в том числе и денег, от подделки. Термин «digital watermarking» был впервые применен в работе [2]. В отличие от обычных водяных знаков ЦВЗ могут быть не только видимыми, но и (как правило) невидимыми. Невидимые ЦВЗ анализируются специальным декодером, который выносит решение об их корректности. ЦВЗ могут содержать некоторый аутентичный код, информацию о собственнике, либо какую-нибудь управляющую информацию. Наиболее подходящими объектами защиты при помощи ЦВЗ являются неподвижные изображения, файлы аудио и видеоданных.

Технология встраивания идентификационных номеров производителей имеет много общего с технологией ЦВЗ. Отличие заключается в том, что в первом случае каждая защищенная копия имеет свой уникальный встраиваемый номер (отсюда и название — дословно «отпечатки пальцев»). Этот идентификационный номер позволяет производителю отслеживать дальнейшую судьбу своего детища: не занялся ли кто-нибудь из покупателей незаконным тиражированием. Если да, то «отпечатки пальцев» быстро укажут на виновного.

Встраивание заголовков (невидимое) может применяться, например, для подписи медицинских снимков, нанесения легенды на карту и т. д. Целью является хранение разнородно представленной информации в едином целом. Это, пожалуй, единственное приложение стеганографии, где в явном виде отсутствует потенциальный нарушитель.

Так как цифровая стеганография является молодой наукой, то ее терминология не до конца устоялась. Основные понятия стеганографии были согласованы на первой международной конференции по скрытию данных [3]. Тем не менее, даже само понятие «стеганография» трактуется различно. Так, некоторые исследователи понимают под стеганографией только скрытую передачу информации. Другие относят к стеганографии такие приложения как, например, метеорную радиосвязь, радиосвязь с псевдослучайной перестройкой радиочастоты, широкополосную радиосвязь. На наш взгляд, неформальное определение того, что такое цифровая стеганография, могло бы выглядеть следующим образом: «наука о незаметном и надежном скрытии одних битовых последовательностей в других, имеющих аналоговую природу». Под это определение как раз подпадают все четыре вышеприведенных направления скрытия данных, а приложения радиосвязи — нет. Кроме того, в определении содержится два главных требования к стеганографическому преобразованию: незаметность и надежность, или устойчивость к различного рода искажениям. Упоминание об аналоговой природе цифровых данных подчеркивает тот факт, что встраивание информации выполняется в оцифрованные непрерывные сигналы. Таким образом, в рамках цифровой стеганографии не рассматриваются вопросы внедрения данных в заголовки IP-пакетов и файлов различных форматов, в текстовые сообщения.

Как бы ни были различны направления стеганографии, предъявляемые ими требования во многом совпадают, как это будет показано далее. Наиболее существенное отличие постановки задачи скрытой передачи данных от постановки задачи встраивания ЦВЗ состоит в том, что в первом случае нарушитель должен обнаружить скрытое сообщение, тогда как во втором случае о его существовании все знают. Более того, у нарушителя на законных основаниях может иметься устройство обнаружения ЦВЗ (например, в составе DVD-проигрывателя).

Слово «незаметном» в нашем определении цифровой стеганографии подразумевает обязательное включение человека в систему стеганографической передачи данных. Человек здесь может рассматриваться как дополнительный приемник данных, предъявляющий к системе передачи достаточно трудно формализуемые требования.

Задачу встраивания и выделения сообщений из другой информации выполняет стегосистема. Стегосистема состоит из следующих основных элементов, представленных на рис. 1.1:

Рис. 1.1. Структурная схема типичной стегосистемы ЦВЗ

— прекодер — устройство, предназначенное для преобразования скрываемого сообщения к виду, удобному для встраивания в сигнал-контейнер. (Контейнером называется информационная последовательность, в которой прячется сообщение);

— стегокодер — устройство, предназначенное для осуществления вложения скрытого сообщения в другие данные с учетом их модели;

— устройство выделения встроенного сообщения;

— стегодетектор — устройство, предназначенное для определения наличия стегосообщения;

— декодер — устройство, восстанавливающее скрытое сообщение. Этот узел может отсутствовать, как будет пояснено далее.

Данные, содержащие скрытое сообщение, могут подвергаться преднамеренным атакам или случайным помехам, описание которых приведено в главе 3.

Как показано на рис. 1.1, в стегосистеме происходит объединение двух типов информации так, чтобы они могли быть различимы двумя принципиально разными детекторами. В качестве одного из детекторов выступает система выделения ЦВЗ, в качестве другого — человек.

Прежде, чем осуществить вложение ЦВЗ в контейнер, ЦВЗ должен быть преобразован к некоторому подходящему виду. Например, если в качестве контейнера выступает изображение, то и последовательность ЦВЗ зачастую представляется как двумерный массив бит. Для того, чтобы повысить устойчивость ЦВЗ к искажениям нередко выполняют его помехоустойчивое кодирование, либо применяют широкополосные сигналы. Первоначальную обработку скрытого сообщения выполняет показанный на рис. 1.1 прекодер. В качестве важнейшей предварительной обработки ЦВЗ (а также и контейнера) назовем вычисление его обобщенного преобразования Фурье. Это позволяет осуществить встраивание ЦВЗ в спектральной области, что значительно повышает его устойчивость к искажениям. Предварительная обработка часто выполняется с использованием ключа K для повышения секретности встраивания. Далее ЦВЗ «вкладывается» в контейнер, например, путем модификации младших значащих бит коэффициентов. Этот процесс возможен благодаря особенностям системы восприятия человека. Хорошо известно, что изображения обладают большой психовизуальной избыточностью. Глаз человека подобен низкочастотному фильтру, пропускающему мелкие детали. Особенно незаметны искажения в высокочастотной области изображений. Эти особенности человеческого зрения используются, например, при разработке алгоритмов сжатия изображений и видео.

Процесс внедрения ЦВЗ также должен учитывать свойства системы восприятия человека. Стеганография использует имеющуюся в сигналах психовизуальную избыточность, но другим, чем при сжатии данных образом. Приведем простой пример. Рассмотрим полутоновое изображение с 256 градациями серого, то есть с удельной скоростью кодирования 8 бит/пиксел. Хорошо известно, что глаз человека не способен заметить изменение младшего значащего бита. Еще в 1989 году был получен патент на способ скрытого вложения информации в изображение путем модификации младшего значащего бита. В данном случае детектор стего анализирует только значение этого бита для каждого пиксела, а глаз человека, напротив, воспринимает только старшие 7 бит. Данный метод прост в реализации и эффективен, но не удовлетворяет некоторым важным требованиям к ЦВЗ, как будет показано далее.

В большинстве стегосистем для внедрения и выделения ЦВЗ используется ключ. Ключ может быть предназначен для узкого круга лиц или же быть общедоступным. Например, ключ должен содержаться во всех DVD-плейерах, чтобы они могли прочесть содержащиеся на дисках ЦВЗ. Иногда по аналогии с криптографией стегосистемы делят на два класса: с открытым ключом и с секретным ключом. На наш взгляд, аналогия неверна, так как понятие открытого ключа в данном случае в корне различно. Правильным выражением было бы «общедоступный ключ», причем ключ встраивания совпадает с ключом выделения. Не существует, насколько известно, стегосистемы, в которой бы при выделении ЦВЗ требовалась другая информация, чем при его вложении. Хотя и не доказана гипотеза о невозможности существования подобной системы. В системе с общедоступным ключом достаточно сложно противостоять возможным атакам со стороны злоумышленников. В самом деле, в данном случае нарушителю точно известен ключ и месторасположение ЦВЗ, а также его значение.

В стегодетекторе происходит обнаружение ЦВЗ в (возможно измененном) защищенном ЦВЗ изображении. Это изменение может быть обусловлено влиянием ошибок в канале связи, операций обработки сигнала, преднамеренных атак нарушителей. Во многих моделях стегосистем сигнал-контейнер рассматривается как аддитивный шум[4]. Тогда задача обнаружения и выделения стегосообщения является классической для теории связи. Однако такой подход не учитывает двух факторов: неслучайного характера сигнала контейнера и требований по сохранению его качества. Эти моменты не встречаются в известной теории обнаружения и выделения сигналов на фоне аддитивного шума. Их учет позволит построить более эффективные стегосистемы.

Различают стегодетекторы, предназначенные для обнаружения факта наличия ЦВЗ и устройства, предназначенные для выделения этого ЦВЗ (стегодекодеры). В первом случае возможны детекторы с жесткими (да/нет) или мягкими решениями. Для вынесения решения о наличии/отсутствии ЦВЗ удобно использовать такие меры, как расстояние по Хэммингу, либо взаимную корреляцию между имеющимся сигналом и оригиналом (при наличии последнего, разумеется). А что делать, если у нас нет исходного сигнала? Тогда в дело вступают более тонкие статистические методы, основанные на построении моделей исследуемого класса сигналов. В последующих главах этот вопрос будет освещен подробнее.

В зависимости от того, какая информация требуется детектору для обнаружения ЦВЗ, стегосистемы ЦВЗ делятся на три класса: открытые, полузакрытые и закрытые системы. Эта классификация приведена в табл.1.1.

Табл.1.1

Что требуется детектору Выход детектора
Исходный сигнал Исходный ЦВЗ Да/Нет ЦВЗ
Закрытые Тип I + + + -
Тип II + - - +
Полузакрытые - + + -
Открытые - - - +

Табл.1.1. Классификация систем встраивания ЦВЗ

Наибольшее применение могут иметь открытые стегосистемы ЦВЗ, которые аналогичны системам скрытой передачи данных. Наибольшую устойчивость по отношению к внешним воздействиям имеют закрытые стегосистемы I типа.

Рассмотрим подробнее понятие контейнера. До стегокодера — это пустой контейнер, после него — заполненный контейнер, или стего. Стего должен быть визуально неотличим от пустого контейнера. Различают два основных типа контейнеров: потоковый и фиксированный.

Потоковый контейнер представляет собой непрерывно следующую последовательность бит. Сообщение вкладывается в него в реальном масштабе времени, так что в кодере неизвестно заранее, хватит ли размеров контейнера для передачи всего сообщения. В один контейнер большого размера может быть встроено и несколько сообщений. Интервалы между встраиваемыми битами определяются генератором псевдослучайной последовательности с равномерным распределением интервалов между отсчетами. Основная трудность заключается в осуществлении синхронизации, определении начала и конца последовательности. Если в данных контейнера имеются биты синхронизации, заголовки пакетов и т. д., то скрываемая информация может идти сразу после них. Трудность обеспечения синхронизации превращается в достоинство с точки зрения обеспечения скрытности передачи. Кроме того, потоковый контейнер имеет большое практическое значение: представьте себе, например, стегоприставку к обычному телефону. Под прикрытием обычного, незначащего телефонного переговора можно было бы передавать другой разговор, данные и т. п., и не зная секретного ключа нельзя было бы не только узнать содержание скрытой передачи, но и сам факт ее существования. Не случайно, что работ, посвященных разработке стегосистем с потоковым контейнером практически не встречается.

У фиксированного контейнера размеры и характеристики заранее известны. Это позволяет осуществлять вложение данных оптимальным в некотором смысле образом. В книге мы будем рассматривать, в основном, фиксированные контейнеры (далее — контейнеры).

Контейнер может быть выбранным, случайным или навязанным. Выбранный контейнер зависит от встраиваемого сообщения, а в предельном случае является его функцией. Этот тип контейнера больше характерен для стеганографии. Навязанный контейнер может появиться в сценарии, когда лицо, предоставляющее контейнер, подозревает о возможной скрытой переписке и желает предотвратить ее. На практике же чаще всего сталкиваются со случайным контейнером.

Встраивание сообщения в контейнер может производиться при помощи ключа, одного или нескольких. Ключ — псевдослучайная последовательность (ПСП) бит, порождаемая генератором, удовлетворяющим определенным требованиям (криптографически безопасный генератор). В качестве основы генератора может использоваться, например, линейный рекуррентный регистр. Тогда адресатам для обеспечения связи может сообщаться начальное заполнение этого регистра. Числа, порождаемые генератором ПСП, могут определять позиции модифицируемых отсчетов в случае фиксированного контейнера или интервалы между ними в случае потокового контейнера. Надо отметить, что метод случайного выбора величины интервала между встраиваемыми битами не особенно хорош. Причин этого две. Во-первых, скрытые данные должны быть распределены по всему изображению. Поэтому, равномерное распределение длин интервалов (от наименьшего до наибольшего) может быть достигнуто лишь приближенно, так как мы должны быть уверены в том, что все сообщение встроено, то есть «поместилось» в контейнер. Во-вторых, длины интервалов между отсчетами шума распределены не по равномерному, а по экспоненциальному закону. Генератор же ПСП с экспоненциально распределенными интервалами сложен в реализации.

Скрываемая информация внедряется в соответствии с ключом в те отсчеты, искажение которых не приводит к существенным искажениям контейнера. Эти биты образуют стегопуть. В зависимости от приложения, под существенным искажением можно понимать искажение, приводящее как к неприемлемости для человека-адресата заполненного контейнера, так и к возможности выявления факта наличия скрытого сообщения после стегоанализа.

ЦВЗ могут быть трех типов: робастные, хрупкие и полухрупкие (semifragile). Под робастностью понимается устойчивость ЦВЗ к различного рода воздействиям на стего. Робастным ЦВЗ посвящено большинство исследований.

Хрупкие ЦВЗ разрушаются при незначительной модификации заполненного контейнера. Они применяются для аутентификации сигналов. Отличие от средств электронной цифровой подписи заключается в том, что хрупкие ЦВЗ все же допускают некоторую модификацию контента. Это важно для защиты мультимедийной информации, так как законный пользователь может, например, пожелать сжать изображение. Другое отличие заключается в том, что хрупкие ЦВЗ должны не только отразить факт модификации контейнера, но также вид и местоположение этого изменения.

Полухрупкие ЦВЗ устойчивы по отношению к одним воздействиям и неустойчивы по отношению к другим. Вообще говоря, все ЦВЗ могут быть отнесены к этому типу. Однако полухрупкие ЦВЗ специально проектируются так, чтобы быть неустойчивыми по отношению к определенного рода операциям. Например, они могут позволять выполнять сжатие изображения, но запрещать вырезку из него или вставку в него фрагмента.

На рис. 1.2 представлена классификация систем цифровой стеганографии.

Стегосистема образует стегоканал, по которому передается заполненный контейнер. Этот канал считается подверженным воздействиям со стороны нарушителей. Следуя Симмонсу [5], в стеганографии обычно рассматривается такая постановка задачи («проблема заключенных»).

Двое заключенных, Алиса и Боб желают конфиденциально обмениваться сообщениями, несмотря на то, что канал связи между ними контролирует охранник Вилли. Для того, чтобы тайный обмен сообщениями был возможен предполагается, что Алиса и Боб имеют некоторый известный обоим секретный ключ. Действия Вилли могут заключаться не только в попытке обнаружения скрытого канала связи, но и в разрушении передаваемых сообщений, а также их модификации и создании новых, ложных сообщений. Соответственно, можно выделить три типа нарушителей, которым должна противостоять стегосистема: пассивный, активный и злоумышленный нарушители. Подробнее возможные действия нарушителей и защита от них рассмотрены во второй главе. Пока заметим лишь, что пассивный нарушитель может быть лишь в стегосистемах скрытой передачи данных. Для систем ЦВЗ характерны активные и злоумышленные нарушители.

Статья Симмонса [5], как он сам написал впоследствии [6], была вызвана желанием привлечь внимание научной общественности к закрытой в то время проблеме, связанной с контролем над ядерным оружием. Согласно Договору ОСВ СССР и США должны были разместить некие датчики на стратегических ракетах друг друга. Эти датчики должны были передавать инфор формацию о том, не подсоединена ли к ним ядерная боеголовка. Проблема, которой занимался Симмонс, заключалась в том, чтобы не допустить передачи како-либо другой информации этими датчиками, например, о местоположении ракет. Определение факта наличия скрытой информации — главная задача стегоанализа.

Рис. 1.2. Классификация систем цифровой стеганографии

Для того, чтобы стегосистема была надежной, необходимо выполнение при ее проектировании ряда требований.

— Безопасность системы должна полностью определяться секретностью ключа. Это означает, что нарушитель может полностью знать все алгоритмы работы стегосистемы и статистические характеристики множеств сообщений и контейнеров, и это не даст ему никакой дополнительной информации о наличии или отсутствии сообщения в данном контейнере.

— Знание нарушителем факта наличия сообщения в каком-либо контейнере не должно помочь ему при обнаружении сообщений в других контейнерах.

— Заполненный контейнер должен быть визуально неотличим от незаполненного. Для удовлетворения этого требования надо, казалось бы, внедрять скрытое сообщение в визуально незначимые области сигнала. Однако, эти же области используют и алгоритмы сжатия. Поэтому, если изображение будет в дальнейшем подвергаться сжатию, то скрытое сообщение может разрушиться. Следовательно, биты должны встраиваться в визуально значимые области, а относительная незаметность может быть достигнута за счет использования специальных методов, например, модуляции с расширением спектра.

— Стегосистема ЦВЗ должна иметь низкую вероятность ложного обнаружения скрытого сообщения в сигнале, его не содержащем. В некоторых приложениях такое обнаружение может привести к серьезным последствиям. Например, ложное обнаружение ЦВЗ на DVD-диске может вызвать отказ от его воспроизведения плейером.

— Должна обеспечиваться требуемая пропускная способность (это требование актуально, в основном, для стегосистем скрытой передачи информации). В третьей главе мы введем понятие скрытой пропускной способности и рассмотрим пути ее достижения.

— Стегосистема должна иметь приемлемую вычислительную сложность реализации. При этом возможна асимметричная по сложности реализации система ЦВЗ, то есть сложный стегокодер и простой стегодекодер.

К ЦВЗ предъявляются следующие требования.

— ЦВЗ должен легко (вычислительно) извлекаться законным пользователем.

— ЦВЗ должен быть устойчивым либо неустойчивым к преднамеренным и случайным воздействиям (в зависимости о приложения). Если ЦВЗ используется для подтверждения подлинности, то недопустимое изменение контейнера должно приводить к разрушению ЦВЗ (хрупкий ЦВЗ). Если же ЦВЗ содержит идентификационный код, логотип фирмы и т. п., то он должен сохраниться при максимальных искажениях контейнера, конечно, не приводящих к существенным искажениям исходного сигнала. Например, у изображения могут быть отредактированы цветовая гамма или яркость, у аудиозаписи — усилено звучание низких тонов и т. д. Кроме того ЦВЗ должен быть робастным по отношению к аффинным преобразованиям изображения, то есть его поворотам, масштабированию. При этом надо различать устойчивость самого ЦВЗ и способность декодера верно его обнаружить. Скажем, при повороте изображения ЦВЗ не разрушится, а декодер может оказаться неспособным выделить его. Существуют приложения, когда ЦВЗ должен быть устойчивым по отношению к одним преобразованиям и неустойчивым по отношению к другим. Например, может быть разрешено копирование изображения (ксерокс, сканер), но наложен запрет на внесение в него каких-либо изменений.

— Должна иметься возможность добавления к стего дополнительных ЦВЗ. Например, на DVD-диске имеется метка о допустимости однократного копирования. После осуществления такого копирования необходимо добавить метку о запрете дальнейшего копирования. Можно было бы, конечно, удалить первый ЦВЗ и записать на его место второй. Однако, это противоречит предположению о трудноудалимости ЦВЗ. Лучшим выходом является добавление еще одного ЦВЗ, после которого первый не будет приниматься во внимание. Однако, наличие нескольких ЦВЗ на одном сообщении может облегчить атаку со стороны нарушителя, если не предпринять специальных мер, как это будет описано в главе 2.

В настоящее время технология ЦВЗ находится в самой начальной стадии своего развития. Как показывает практика, должно пройти лет 10–20 для того, чтобы новый криптографический метод начал широко использоваться в обществе. Наверное, аналогичная ситуация будет наблюдаться и со стеганографией. Одной из проблем, связанных с ЦВЗ, является многообразие требований к ним, в зависимости от приложения. Рассмотрим подробнее основные области применения ЦВЗ.

Вначале рассмотрим проблему пиратства, или неограниченного неавторизованного копирования. Алиса продает свое мультимедийное сообщение Питеру. Хотя информация могла быть зашифрована во время передачи, ничто не помешает Питеру заняться ее копированием после расшифровки. Следовательно, в данном случае требуется дополнительный уровень защиты от копирования, который не может быть обеспечен традиционными методами. Как будет показано далее, существует возможность внедрения ЦВЗ, разрешающего воспроизведение и запрещающего копирование информации.

Важной проблемой является определение подлинности полученной информации, то есть ее аутентификация. Обычно для аутентификации данных используются средства цифровой подписи. Однако, эти средства не совсем подходят для обеспечения аутентификации мультимедийной информации. Дело в том, что сообщение, снабженное электронной цифровой подписью, должно храниться и передаваться абсолютно точно, «бит в бит». Мультимедийная же информация может незначительно искажаться как при хранении (за счет сжатия), так и при передаче (влияние одиночных или пакетных ошибок в канале связи). При этом ее качество остается допустимым для пользователя, но цифровая подпись работать не будет. Получатель не сможет отличить истинное, хотя и несколько искаженное сообщение, от ложного. Кроме того, мультимедийные данные могут быть преобразованы из одного формата в другой. При этом традиционные средства защиты целостности работать также не будут. Можно сказать, что ЦВЗ способны защитить именно содержание аудио-, видеосообщения, а не его цифровое представление в виде последовательности бит. Кроме того, важным недостатком цифровой подписи является то, что ее легко удалить из заверенного ею сообщения, после чего приделать к нему новую подпись. Удаление подписи позволит нарушителю отказаться от авторства, либо ввести в заблуждение законного получателя относительно авторства сообщения. Система ЦВЗ проектируется таким образом, чтобы исключить возможность подобных нарушений.

Как видно из рис. 1.3, применение ЦВЗ не ограничивается приложениями безопасности информации. Основные области использования технологии ЦВЗ могут быть объединены в четыре группы: защита от копирования (использования), скрытая аннотация документов, доказательство аутентичности информации и скрытая связь.

Рис. 1.3. Потенциальные области применения стеганографии

Популярность мультимедиа-технологий вызвало множество исследований, связанных с разработкой алгоритмов ЦВЗ для использования в стандартах MP3, MPEG-4, JPEG2000, защиты DVD дисков от копирования.

 

1.2. Встраивание сообщений в незначащие элементы контейнера

Цифровые изображения представляют из себя матрицу пикселов. Пиксел — это единичный элемент изображения. Он имеет фиксированную разрядность двоичного представления. Например, пикселы полутонового изображения кодируются 8 битами (значения яркости изменяются от 0 до 255).

Младший значащий бит (LSB) изображения несет в себе меньше всего информации. Известно, что человек обычно не способен заметить изменение в этом бите. Фактически, он является шумом. Поэтому его можно использовать для встраивания информации. Таким образом, для полутонового изображения объем встраиваемых данных может составлять 1/8 объема контейнера. Например, в изображение размером 512х512 можно встроить 32 килобайта информации. Если модифицировать два младших бита (что также почти незаметно), то можно скрытно передать вдвое больший объем данных.

Достоинства рассматриваемого метода заключаются в его простоте и сравнительно большом объеме встраиваемых данных. Однако, он имеет серьезные недостатки. Во-первых, скрытое сообщение легко разрушить, как это показано в третьей главе. Во-вторых, не обеспечена секретность встраивания информации. Нарушителю точно известно местоположение всего ЦВЗ. Для преодоления последнего недостатка было предложено встраивать ЦВЗ не во все пикселы изображения, а лишь в некоторые из них, определяемые по псевдослучайному закону в соответствии с ключом, известному только законному пользователю. Пропускная способность при этом уменьшается.

Рассмотрим подробнее вопрос выбора пикселов изображения для встраивания в них скрытого сообщения.

В работе [7] отмечается неслучайный характер поведения младшего значащего бита изображений. Скрываемое сообщение не должно изменять статистики изображения. Для этого, в принципе возможно, располагая достаточно большим количеством незаполненных контейнеров, подыскать наиболее подходящий. Теоретически возможно найти контейнер, уже содержащий в себе наше сообщение при данном ключе. Тогда изменять вообще ничего не надо, и вскрыть факт передачи будет невозможно. Эту ситуацию можно сравнить с применением одноразового блокнота в криптографии. Метод выбора подходящего контейнера требует выполнения большого количества вычислений и обладает малой пропускной способностью.

Альтернативным подходом является моделирование характеристик поведения LSB. Встраиваемое сообщение будет в этом случае частично или полностью зависеть от контейнера. Процесс моделирования является вычислительно трудоемким, кроме того, его надо повторять для каждого контейнера. Главным недостатком этого метода является то, что процесс моделирования может быть повторен нарушителем, возможно обладающим большим вычислительным ресурсом, создающим лучшие модели, что приведет к обнаружению скрытого сообщения. Это противоречит требованию о независимости безопасности стегосистемы от вычислительной мощности сторон. Кроме того, для обеспечения скрытности, необходимо держать используемую модель шума в тайне. А как нам уже известно, нарушителю неизвестен должен быть лишь ключ.

В силу указанных трудностей на практике обычно ограничиваются поиском пикселов, модификация которых не вносит заметных искажений в изображение. Затем из этих пикселов в соответствии с ключом выбираются те, которые будут модифицироваться. Скрываемое сообщение шифруется с применением другого ключа. Этот этап может быть дополнен предварительной компрессией для уменьшения объема сообщения.

 

1.3. Математическая модель стегосистемы

Стегосистема может быть рассмотрена как система связи [8].

Алгоритм встраивания ЦВЗ состоит из трех основных этапов: 1) генерации ЦВЗ, 2) встраивания ЦВЗ в кодере и 3) обнаружения ЦВЗ в детекторе.

1) Пусть есть множества возможных ЦВЗ, ключей, контейнеров и скрываемых сообщений, соответственно. Тогда генерация ЦВЗ может быть представлена в виде

, , (1.2)

где - представители соответствующих множеств. Вообще говоря, функция F может быть произвольной, но на практике требования робастности ЦВЗ накладывают на нее определенные ограничения. Так, в большинстве случаев, , то есть незначительно измененный контейнер не приводит к изменению ЦВЗ. Функция F обычно является составной:

где и , (1.3)

то есть ЦВЗ зависит от свойств контейнера, как это уже обсуждалось выше в данной главе. Функция G может быть реализована при помощи криптографически безопасного генератора ПСП с K в качестве начального значения.

Для повышения робастности ЦВЗ могут применяться помехоустойчивые коды, например, коды БЧХ, сверточные коды [9]. В ряде публикаций отмечены хорошие результаты, достигаемые при встраивании ЦВЗ в области вейвлет-преобразования с использованием турбо-кодов. Отсчеты ЦВЗ принимают обычно значения из множества {-1,1}, при этом для отображения {0,1}→{-1,1} может применяться двоичная относительная фазовая модуляция (BPSK).

Оператор T модифицирует кодовые слова , в результате чего получается ЦВЗ . На эту функцию можно не накладывать ограничения необратимости, так как соответствующий выбор G уже гарантирует необратимость F. Функция T должна быть выбрана так, чтобы незаполненный контейнер , заполненный контейнер и незначительно модифицированный заполненный контейнер  порождали бы один и тот же ЦВЗ:

, (1.4)

то есть она должна быть устойчивой к малым изменениям контейнера.

2) Процесс встраивания ЦВЗ в исходное изображение может быть описан как суперпозиция двух сигналов:

, , (1.5)

где

— маска встраивания ЦВЗ, учитывающая характеристики зрительной системы человека, служит для уменьшения заметности ЦВЗ;

— проектирующая функция, зависящая от ключа;

знаком обозначен оператор суперпозиции, включающий в себя, помимо сложения, усечение и квантование.

Проектирующая функция осуществляет «распределение» ЦВЗ по области изображения. Ее использование может рассматриваться, как реализация разнесения информации по параллельным каналам. Кроме того, эта функция имеет определенную пространственную структуру и корреляционные свойства, использующиеся для противодействия геометрическим атакам (см. гл.3).

Другое возможное описание процесса внедрения получим, представив стегосистему как систему связи с передачей дополнительной информации (рис. 1.4) [8]. В этой модели кодер и декодер имеют доступ, помимо ключа, к информации о канале (то есть о контейнере и о возможных атаках). В зависимости от положения переключателей А и Б выделяют четыре класса стегосистем (подразумевается, что ключ всегда известен кодеру и декодеру).

I класс: дополнительная информация отсутствует (переключатели разомкнуты) — «классические» стегосистемы. В ранних работах по стеганографии считалось, что информация о канале недоступна кодеку. Обнаружение ЦВЗ осуществлялось путем вычисления коэффициента корреляции между принятым стего и вычисленным по ключу ЦВЗ. Если коэффициент превышал некоторый порог, выносилось решение о присутствии ЦВЗ. Известно, что корреляционный приемник оптимален лишь в случае аддитивной гауссовой помехи. При других атаках (например, геометрических искажениях) эти стегосистемы показывали удручающие результаты.

Рис. 1.4. Представление стегосистемы, как системы связи с передачей дополнительной информации

II класс: информация о канале известна только кодеру (А замкнут, Б разомкнут). Эта конструкция привлекла к себе внимание благодаря статье [10]. Интересной особенностью схемы является то, что, будучи слепой, она имеет ту же теоретическую пропускную способность, что и схема с наличием исходного контейнера в декодере. К недостаткам стегосистем II класса можно отнести высокую сложность кодера (необходимость построения кодовой книги для каждого изображения), а также отсутствие адаптации схемы к возможным атакам. В последнее время предложен ряд практических подходов, преодолевающих эти недостатки. В частности, для снижения сложности кодера предлагается использовать структурированные кодовые книги, а декодер рассчитывать на случай наихудшей атаки.

III класс: дополнительная информация известна только декодеру (А разомкнут, Б замкнут). В этих схемах декодер строится с учетом возможных атак. В результате получаются робастные к геометрическим атакам системы. Одним из методов достижения этой цели является использование так называемой опорного ЦВЗ (аналог пилот-сигнала в радиосвязи). Опорный ЦВЗ — небольшое число бит, внедряемые в инвариантные к преобразованиям коэффициенты сигнала. Например, можно выполнить встраивание в амплитудные коэффициенты преобразования Фурье, которые инвариатны к аффинным преобразованиям. Тогда опорный ЦВЗ «покажет», какое преобразование выполнил со стего атакующий. Другим назначением пилотного ЦВЗ является борьба с замираниями, по аналогии с радиосвязью. Замираниями в данном случае можно считать изменение значений отсчетов сигнала при встраивании данных, атаках, добавлении негауссовского шума и т. д. В радиосвязи для борьбы с замираниями используется метод разнесенного приема (по частоте, времени, пространству, коду). В стеганографии же используется разнесение ЦВЗ по пространству контейнера. Пилотный ЦВЗ генерируется в декодере на основе ключа.

IV класс: дополнительная информация известна и в кодере и в декодере (оба ключа замкнуты). Как отмечено в [9], по всей видимости все перспективные стегосистемы должны строиться по этому принципу. Оптимальность этой схемы достигается путем оптимального согласования кодера с сигналом-контейнером, а также адаптивным управлением декодером в условиях наблюдения канала атак.

3) Также как в радиосвязи наиболее важным устройством является приемник, в стегосистеме главным является стегодетектор. В зависимости от типа он может выдавать двоичные либо М-ичные решения о наличии/отсутствии ЦВЗ (в случае детектора с мягкими решениями). Рассмотрим вначале более простой случай «жесткого» детектора стего. Обозначим операцию детектирования через D. Тогда

, . (1.6)

В качестве детектора ЦВЗ обычно используют корреляционный приемник, изображенный на рис. 1.5.

Пусть у половины пикселов изображения значение яркости увеличено на 1, а у остальных — осталось неизменным, либо уменьшено на 1. Тогда , где . Коррелятор детектора ЦВЗ вычисляет величину . Так как W может принимать значения ±1, то будет весьма мало, а будет всегда положительно. Поэтому будет очень близко к . Тогда можно воспользоваться результатами теории связи и записать вероятность неверного обнаружения стего, как дополнительную (комплементарную) функцию ошибок от корня квадратного из отношения («энергии сигнала») к дисперсии значений пикселов яркости («энергия шума»).

Для случая мягкого детектора и закрытой стегосистемы имеем две основные меры похожести:

Рис. 1.5. Корреляционный детектор ЦВЗ

— (1.7)

нормированный коэффициент взаимной корреляции и

— (1.8)

расстояние по Хэммингу.

В детекторе возможно возникновение двух типов ошибок. Существует вероятность того, что детектор не обнаружит имеющийся ЦВЗ и вероятность ложного нахождения ЦВЗ в пустом контейнере (вероятность ложной тревоги). Снижение одной вероятности приводит к увеличению другой. Надежность работы детектора характеризуют вероятностью ложного обнаружения. Система ЦВЗ должна быть построена таким образом, чтобы минимизировать вероятности возникновения обеих ошибок, так как каждая из них может привести к отказу от обслуживания.

 

1.4. Стеганографические протоколы

 

Важное значение для достижения целей стеганографии имеют протоколы. По протоколом понимается «порядок действий, предпринимаемых двумя или более сторонами, предназначенный для решения определенной задачи» [11]. Можно разработать исключительно эффективный алгоритм скрытия информации, но из-за его неправильного применения не добиться своей цели. И протокол и алгоритм есть некоторая последовательность действий. Различие заключается в том, что в протокол должны быть обязательно вовлечены двое или более сторон. При этом предполагается, что участники принимают на себя обязательство следовать протоколу. Также как и алгоритм, протокол состоит из шагов. На каждом шаге протокола выполняются некоторые действия, которые могут заключаться, например, в производстве каких-то вычислений, или осуществлении некоторых действий.

 

1.4.1. Стеганография с открытым ключом

Стеганография с открытым ключом опирается на достижения криптографии последних 25 лет. Понятие «открытый ключ» означает, что для дешифровки сообщения используется другой ключ, чем при его шифровании. При этом один из ключей делается общедоступным, открытым. Криптографическая система с открытым ключом используется, например, при цифровой подписи. При этом сообщение подписывается закрытым ключом, и любой, имеющий соответствующий открытый ключ, может удостовериться в ее подлинности. При шифровании данных используют обратный порядок: сообщение подписывается открытым ключом, а прочитать его может лишь имеющий соответствующий закрытый ключ. Естественно, что из открытого ключа никакими способами нельзя получить закрытый ключ (в вычислительном смысле).

Напомним, что стеганографический ключ не шифрует данные, а скрывает место их нахождения в контейнере. Спрятанные данные могут быть дополнительно зашифрованы обычными методами, но этот вопрос не относится к стеганографии. Для того, чтобы была возможность организации стегоканала, стороны должны, как правило, иметь перед началом сеанса некоторую информацию.

Вернемся к «проблеме заключенных». Предположим, что Алиса и Боб еще во время нахождения на свободе обменялись закрытыми или открытыми ключами друг с другом. Тогда их задача заключается во встраивании сообщений в контейнер в соответствии с ключом. Встроенное сообщение не должно заметно изменять контейнер и обнаруживаться посредством статистических тестов. Если Вилли злоумышленный нарушитель, то у него имеется возможность некоторого искажения сигнала, передаваемого от Алисы к Бобу. Это может привести к потере скрытого сообщения, если не использовать специальные методы (например, помехоустойчивое кодирование, или расширение спектра сигналов).

Возможно ли осуществление скрытой связи между Алисой и Бобом, если у них имеются только открытые ключи друг друга? Оказывается, да. В публикации [11] представлен протокол, следуя которому заключенные могут наладить в этом случае скрытую «переписку». При этом надо отметить, что предположение о том, что Алиса и Боб имеют открытые ключи друг друга не является чем-то необычным. Протокол, приведенный в [11] предполагает наличие пассивного нарушителя и заключается в следующем:

1. Алиса встраивает свое сообщение с использованием известного ей открытого ключа Боба в стегоканал, подверженный наблюдению со стороны Вилли.

2. Предполагается, что Бобу известны детали протокола, он ждет сообщение и, приняв его, извлекает из контейнера с использованием своего закрытого ключа.

Очевидным недостатком этого протокола является то что Алиса никаким путем не может предупредить Боба о начале передачи скрытого сообщения. Поэтому Боб должен подозревать его наличие во всех принятых сообщениях и проверять их. При интенсивном обмене данными, да еще в многопользовательской среде, это может быть невыполнимо.

С другой стороны, то, что Боб проверяет все поступающие данные говорит о том, что он может стать участником стеганографического протокола. При этом у Алисы появляется возможность передать Бобу свой открытый ключ.

Известна также и модификация этого протокола, не требующая предварительного обмена открытыми ключами между Алисой и Бобом:

1. Алиса генерирует на своем компьютере пару открытого и закрытого ключа.

2. Алиса пересылает открытый ключ по каналу Бобу. Эту же информацию получает и Вилли.

3. Боб предполагает, что пересланные данные есть открытый ключ Алисы. С его помощью он шифрует сообщение, состоящее из его открытого ключа для будущей связи и (возможно) краткого «приветствия». Боб пересылает это сообщение Алисе.

4. Алиса знает, что присланные данные содержат открытый ключ Боба, дешифрует их при помощи своего закрытого ключа. У узников есть вся необходимая информация для обеспечения скрытой двусторонней связи. Так как Вилли лишь Наблюдатель, то он не может никоим образом вмешаться и помешать установлению скрытой связи между Алисой и Бобом.

Иное дело, если Вилли является активным или злоумышленным нарушителем. Тогда он не только может вносить помехи в стегоканал, но и даже полностью имитировать, скажем, Алису. Так как у Боба нет никакой априорной информации об Алисе, он не сможет отличить подделку. Поэтому, осуществление скрытой передачи данных с открытым ключом в присутствии активного нарушителя есть намного более трудная проблема, чем при наличии пассивного нарушителя.

В работе [13] представлен протокол, позволяющий решить эту задачу. Он основан на введение в рассмотрение канала с исключительно малой пропускной способностью — надсознательного (supraliminal) канала. Этот канал образуется за счет встраивания скрываемых данных в наиболее важные признаки контейнера, искажение которых приведет к его полной деградации. Дело в том, что Вилли во многих случаях не может вносить значительные помехи в стегоканал, так чтобы передаваемая информация полностью изменялась. Не может по причинам не технического характера, а по юридическим или иным мотивам. Например, если Алиса пересылает Бобу книгу, Вилли не может подменить ее другой. Также недопустимо, например, изменение дипломатических посланий. За счет того, что скрытое сообщение зависит от контейнера, этот тип канала является робастным. По надсознательному каналу передается малый объем внешне незначимых данных. Например, это может быть сеансовый ключ.

Встраивание информации в наиболее важные свойства контейнера — основной принцип применения ЦВЗ. Отличие надсознательного канала заключается в том, что для встраивания и извлечения информации в этом случае не требуется секретный ключ. Местоположение скрываемых бит общеизвестно, а вот удалить их невозможно без разрушения контейнера. Кроме того, ЦВЗ может не нести в себе никакой осмысленной информации, например, быть функцией самого изображения. В случае же надсознательного канала, наоборот, контейнер может быть функцией скрываемого короткого сообщения.

В качестве примера надсознательного канала в [12] приведен такой сценарий. Пусть контейнером является озвученный видеоклип — речь Алисы. В целях стеганографии здесь обычно используются младшие значащие биты отсчетов клипа — то есть, фактически, шум. Принцип построения надсознательного канала иной. Предположим, что каждой букве алфавита сопоставлено некоторое числовое значение. Получив аудиоклип, Боб выбирает из него и выписывает все достаточно длинные слова, скажем, более пяти букв. Далее для каждого слова он находит произведение числовых эквивалентов этих букв по некоторому простому модулю . Упорядоченные значения получившихся чисел могут рассматриваться как представление некоторого целого числа по модулю .

Задача Алисы при подготовке клипа заключается в том, чтобы должным образом составить сообщение и сохранить его осмысленность. Эта задача облегчается тем, что для скрытия сообщения используются только длинные слова, а короткими можно манипулировать произвольно. Составив текст, Алиса осуществляет аудиовидеозапись. Получившийся канал является открытым, так как сама запись, числовые значения букв известны всем. Однако канал является и замаскированным, так как любая запись может интерпретироваться, как содержащая скрытое сообщение. Канал является робастным, так как Вилли достаточно трудно заменить отдельные сообщения, имитируя голос Алисы и движения ее губ.

Как видно из приведенного примера, основная трудность заключается в формировании контейнера, тогда как работа Боба может быть легко автоматизирована. Для практического применения надсознательного канала должны быть автоматизированы обе операции. Надсознательный канал не подходит для скрытой передачи сообщений, так как он обладает малой пропускной способностью и читается Вилли. Однако, он может быть использован для тайного обмена открытыми ключами, несмотря на наличие активного нарушителя.

Протокол обмена следующий [13]:

1. Алиса генерирует пару открытого и закрытого ключей.

2. Алиса вычисляет представительное описание контейнера, соответствующее ее открытому ключу, генерирует контейнер и пересылает его Бобу.

3. Боб извлекает из принятого контейнера открытый ключ Алисы. Он генерирует секретный ключ, шифрует его с помощью открытого ключа Алисы, находит соответствующее получившейся последовательности описание контейнера, генерирует контейнер и пересылает его Алисе.

4. Алиса и Боб теперь могут обмениваться сообщениями, встраиваемыми в контейнер с использованием этого ключа.

Вилли в результате перехвата канала может получить открытый ключ Алисы и зашифрованный этим ключом секретный ключ Боба. Не зная закрытого ключа Алисы он не сможет получить значение секретного ключа.

 

1.4.2. Обнаружение ЦВЗ с нулевым знанием

Робастные ЦВЗ могут применяться в различных приложениях, соответственно, и требования к ним могут предъявляться различные. Можно выделить следующие категории требований к робастным ЦВЗ:

— ЦВЗ обнаруживается всеми желающими. В этом случае он служит для уведомления о собственнике защищаемого контента и для предотвращения непреднамеренного нарушения прав собственника.

— ЦВЗ обнаруживается, по крайней мере, одной стороной. В этом случае его использование связано с поиском нелегально распространяемых копий, например, в сети Интернет.

— ЦВЗ крайне трудно модифицировать или извлечь из контента. В этом случае ЦВЗ служит для аутентификации.

Одновременное выполнение вышеприведенных требований невозможно, так как они являются противоречивыми. Поэтому, в различных приложениях используются как системы ЦВЗ с секретным, так и с общедоступным ключом. Системы с общедоступным ключом находят гораздо большее применение, так как они могут быть использованы как для обнаружения, так и для предотвращения несанкционированного использования контента. Для того, чтобы поисковая система обнаружила ЦВЗ с секретным ключом, ей необходимо проверить каждое изображение на наличие в нем каждого из возможных ЦВЗ, что является вычислительно трудоемкой задачей. В случае же общедоступного ЦВЗ алгоритм обнаружения единственный. Однако, общедоступные ЦВЗ обладают серьезным недостатком: так как их местоположение известно, то их можно без труда извлечь из защищаемого изображения.

Создается впечатление, что ЦВЗ с общедоступным ключом не могут быть робастными. Однако, является ли таковым ЦВЗ с секретным ключом? Да, его местоположение неизвестно, но лишь до тех пор, пока он не «вступает в действие». Как только ЦВЗ начинает выполнять свои функции по защите контента, у атакующего появляется все больше информации о нем, то есть ЦВЗ становится все более «открытым». В главе 2 представлен ряд атак, связанных с выявлением поведения детектора при незначительных модификациях изображения. Таким образом, сама природа ЦВЗ такова, что их в любом случае можно считать общедоступными, несмотря на наличие секретного ключа.

В работе [14] представлена система ЦВЗ, в которой этапы аутентификации и обнаружения разделены. Это делает возможным создание ЦВЗ, который легко обнаруживается, но трудно удаляется. Эта система строится на основе доказательства с нулевым знанием [11].

Представим себе следующую ситуацию. Алиса обладает некоторой информацией и хочет доказать этот факт Бобу. При этом доказательство должно быть косвенным, то есть Боб не должен получить каких-либо новых знаний об этой информации. Такое доказательство и называется доказательством с нулевым знанием. Оно принимает форму интерактивного протокола. Боб задает Алисе ряд вопросов. Если Алиса действительно владеет некоторой информацией, то она ответит на все вопросы правильно; если же она мошенничает, то вероятность правильного угадывания мала и уменьшается с увеличением количества вопросов.

В целом базовый протокол с нулевым знанием строится следующим образом:

1. Алисе известна некоторая информация, являющаяся решением некоторой трудной проблемы. Она использует эту информацию и случайное число для превращения этой трудной проблемы в другую, изоморфную первой и получает ее решение.

2. Боб просит Алису либо доказать, что старая и новая проблемы изоморфны, либо открыть решение новой проблемы и доказать, что оно является таковым. Алиса выполняет просьбу Боба.

3. Этапы 1 и 2 повторяются n раз.

В качестве трудной проблемы выбирается обычно вычисление по однонаправленной функции. Одной из наиболее известных однонаправленных функций является дискретный логарифм. Рассмотрим построение протокола с нулевым знанием на основе дискретного логарифма. При этом общеизвестными являются: большое простое число и порождающий элемент . Алиса выбирает некоторое число и публикует . Так как определение на основе знания M есть вычислительно трудная задача, то знание Алисой подтверждает ее идентичность.

Протокол строится следующим образом.

1. Алиса генерирует другое простое число , вычисляет число и посылает его Бобу. (То есть она передает Бобу изоморфную трудную задачу).

2. Боб может попросить Алису:

а) открыть , то есть дать решение изоморфной трудной задачи;

б) открыть , то есть логарифм произведения MN.

3. Алиса выполняет просьбу Боба, и шаги протокола повторяются при другом значении N.

Протоколы доказательства с нулевым знанием могут строиться также на основе использования свойств изоморфизма графов [11] и других трудных задач. В [11] рассмотрены также и слабости этих протоколов.

Итак, в криптографии известна и решена задача доказательства существования некоторой информации без раскрытия сведений о ней. К сожалению, идея доказательства с нулевым знанием не может быть непосредственно применена для построения системы ЦВЗ, из-за специфики последней. Далее рассмотрена эта специфика и возможные модификации протокола доказательства с нулевым знанием для применения в ЦВЗ [14].

В рассмотренном выше протоколе Алиса имеет возможность публиковать открытое число M и различные значения N, а также  и . В случае же системы ЦВЗ вся эта информация должна встраиваться в изображение. Если ее сделать доступной для Боба, тот может просто удалить ее из изображения, так как это не приведет к существенному ухудшению его качества. Возможным выходом являлось бы использование надсознательного канала, то есть ЦВЗ в виде хэш-функции от наиболее значимых признаков изображения. В этом случае удаление ЦВЗ приведет к значительной деградации изображения. Однако, таким образом невозможно встраивать новую информацию, например, вычисленное значение M. По существу, надсознательный канал доступен для Алисы в режиме «только для чтения».

Вначале рассмотрим возможную реализацию протокола с нулевым знанием в известной схеме построения системы ЦВЗ, носящей имя Питаса [15]. В основе схемы Питаса лежит разделение всего множества пикселов на два подмножества, увеличение значений на некоторое число k в одном подмножестве и уменьшение на то же число k - в другом. Таким образом, средние значения двух подмножеств будут отличаться на 2k.

Версия схемы Питаса для протокола с нулевым знанием строится следующим образом. После внесения ЦВЗ в контейнер Алиса выполняет перестановку . Затем она доказывает наличие перестановки ЦВЗ в перестановке контейнера без раскрытия значения ЦВЗ W. Для исключения обмана с ее стороны Алиса должна опубликовать множество сигналов таких, что их скремблированные значения дают множество всех возможных ЦВЗ.

Итак, в соответствии с [14]:

1. Алиса генерирует перестановку, вычисляет последовательность и посылает ее Бобу.

2. Боб теперь знает, как исходный контейнер, так и его перестановку и случайным образом просит Алису:

а) открыть перестановку, чтобы убедиться что нет обмана;

б) показать наличие в .

3. Алиса выполняет просьбу Боба.

4. Алиса показывает, что она не смошенничала и действительно является перестановкой ЦВЗ. Для этого она предъявляет допустимую процедуру скремблирования , такую что .

5. Использованная перестановка больше в протоколе не применяется.

Данный протокол порождает ряд проблем. Во-первых, даже небольшой сдвиг контейнера приведет к рассогласованию значений и . В принципе, эта проблема не самого протокола. Она вызвана чувствительностью схемы Питаса к пространственным сдвигам. Другая проблема состоит в некоторой «утечке» информации о выполненной Алисой перестановке. Дело в том, что значения интенсивностей пикселов при перестановке не изменяются, и атакующий будет использовать эту информацию для сужения круга возможных перестановок. Еще одна слабость протокола заключается в том, что Алиса может найти и использовать такие перестановки, что будет отыскиваться в , и Боб не сможет обнаружить мошенничество.

Поэтому, в [14] был предложен ряд усовершенствований вышеприведенного стеганографического протокола с нулевым знанием, с использованием криптографически сильных перестановок, основанных на сложных проблемах, например, поиска путей на графах.

 

1.5. Некоторые практические вопросы встраивания данных

Часто используют следующий принцип встраивания данных. Пусть сигнал контейнера представлен последовательностью из n бит. Процесс скрытия информации начинается с определения бит контейнера, которые можно изменять без внесения заметных искажений — стегопути. Далее среди этих бит обычно в соответствии с ключом выбираются биты, заменяемые битами ЦВЗ.

Рассмотрим другие возможные способы внедрения в контейнер битов ЦВЗ.

1) Инверсия бита. Значения битов стегопути заменяются на противоположные. При этом «1» может соответствовать замена 0->1, «0» — замена 1->0.

2) Вставка бита. Перед битом стегопути вставляется бит ЦВЗ. При этом значение бита ЦВЗ должно быть противоположно значению бита контейнера.

3) Удаление бита. Выбираются пары «01» или «10» битов стегопути, соответствующие разным значениям бита ЦВЗ. Затем первый бит пары удаляется.

4) Использование бита-флага. При этом на то, что очередной бит контейнера (неизменяемый!) является битом ЦВЗ указывает инверсия предшествующего бита-флага.

5) Применение пороговых бит. Также как и в предыдущем методе используется бит-флаг. Однако, одному биту ЦВЗ соответствует несколько идущих следом за флагом бит (нечетное число). Если среди этих бит больше единиц, то бит ЦВЗ равен «1».

6) Использование табличных значений. Для определения бита ЦВЗ в предыдущем методе, фактически, использовалась проверка на четность. С тем же успехом можно было бы применять и любое другое отображение множества бит в 1 бит, либо находить его значение по таблице.

7) Динамически изменяемая таблица. Метод тот же, что и в предыдущем случае, но таблица изменяется на каждом шаге. Например, использованное значение из таблицы может быть заменено на случайное.

8) Косвенная динамическая таблица. Так как табличные значения (биты контейнера) знает и кодер и декодер, то их можно не передавать.

 

2. АТАКИ НА СТЕГОСИСТЕМЫ И ПРОТИВОДЕЙСТВИЯ ИМ

 

2.1. Атаки против систем скрытной передачи сообщений

Вернемся к рассмотренной в первой главе стегосистеме, предназначенной для скрытой передачи сообщений. Исследуем подробнее возможности нарушителя Вилли по противодействию Алисе и Бобу. Как отмечалось в первой главе, нарушитель может быть пассивным, активным и злоумышленным. В зависимости от этого он может создавать различные угрозы.

Пассивный нарушитель может лишь обнаружить факт наличия стегоканала и (возможно) читать сообщения. Сможет ли он прочесть сообщение после его обнаружения зависит от стойкости системы шифрования, и этот вопрос, как правило, не рассматривается в стеганографии. Если у Вилли имеется возможность выявить факт наличия скрытого канала передачи сообщений, то стегосистема обычно считается нестойкой. Хотя существуют и другие точки зрения на стойкость стегосистем, которые будут рассмотрены в главе 4. Осуществление обнаружения стегоканала является наиболее трудоемкой задачей, а защита от обнаружения считается основной задачей стеганографии, по определению. Некоторые вопросы стегоанализа нами рассмотрены в пункте 2.5.

Диапазон действий активного нарушителя значительно шире. Скрытое сообщение может быть им удалено или разрушено. В этом случае Боб и, возможно, Алиса узнают о факте вмешательства. В большинстве случаев это противоречит интересам Вилли (например, по юридическим мотивам). Другое дело — удаление или разрушение цифрового водяного знака, которые могут рассматриваться как основные угрозы в этой области. Рассмотренные в пункте 2.2.2 атаки для удаления ЦВЗ как раз и реализуют эти угрозы.

Действия злоумышленного нарушителя наиболее опасны. Он способен не только разрушать, но и создавать ложные стего. История противостояния разведки и контрразведки знает немало примеров, когда реализация этой угрозы приводило к катастрофическим последствиям. Эта угроза актуальна и по отношению к системам ЦВЗ. Обладая способностью создавать водяные знаки, нарушитель может создавать копии защищаемого контента, создавать ложные оригиналы и т. д. Подобные атаки на протокол применения ЦВЗ описаны в подпункте 2.2.5. Во многих случаях нарушитель может создавать ложные стего без знания ключа.

Для осуществления той или иной угрозы нарушитель применяет атаки.

Наиболее простая атака — субъективная. Вилли внимательно рассматривает изображение (слушает аудиозапись), пытаясь определить «на глаз», имеется ли в нем скрытое сообщение. Ясно, что подобная атака может быть проведена лишь против совершенно незащищенных стегосистем. Тем не менее, она, наверное, наиболее распространена на практике, по крайней мере, на начальном этапе вскрытия стегосистемы. Первичный анализ также может включать в себя следующие мероприятия:

1. Первичная сортировка стего по внешним признакам.

2. Выделение стего с известным алгоритмом встраивания.

3. Определение использованных стегоалгоритмов.

4. Проверка достаточности объема материала для стегоанализа.

5. Проверка возможности проведения анализа по частным случаям.

6. Аналитическая разработка стегоматериалов. Разработка методов вскрытия стегосистемы.

7. Выделение стего с известными алгоритмами встраивания, но неизвестными ключами и т. д.

Подробное освещение этих мероприятий по разным причинам выходит за рамки нашей книги…

Из криптоанализа нам известны следующие разновидности атак на шифрованные сообщения [1]:

— атака с использованием только шифртекста;

— атака с использованием открытого текста;

— атака с использованием выбранного открытого текста;

— адаптивная атака с использованием открытого текста;

— атака с использованием выбранного шифртекста.

По аналогии с криптоанализом в стегоанализе можно выделить следующие типы атак.

— Атака на основе известного заполненного контейнера. В этом случае у нарушителя есть одно или несколько стего. В последнем случае предполагается, что встраивание скрытой информации осуществлялось Алисой одним и тем же способом. Задача Вилли может состоять в обнаружении факта наличия стегоканала (основная), а также в его извлечении или определения ключа. Зная ключ, нарушитель получит возможность анализа других стегосообщений.

— Атака на основе известного встроенного сообщения. Этот тип атаки в большей степени характерен для систем защиты интеллектуальной собственности, когда в качестве водяного знака используется известный логотип фирмы. Задачей анализа является получение ключа. Если соответствующий скрытому сообщению заполненный контейнер неизвестен, то задача крайне трудно решаема.

— Атака на основе выбранного скрытого сообщения. В этом случае Вилли имеет возможность предлагать Алисе для передачи свои сообщения и анализировать получающиеся стего.

— Адаптивная атака на основе выбранного скрытого сообщения. Эта атака является частным случаем предыдущей. В данном случае Вилли имеет возможность выбирать сообщения для навязывания Алисе адаптивно, в зависимости от результатов анализа предыдущих стего.

— Атака на основе выбранного заполненного контейнера. Этот тип атаки больше характерен для систем ЦВЗ. Стегоаналитик имеет детектор стего в виде «черного ящика» и несколько стего. Анализируя детектируемые скрытые сообщения, нарушитель пытается вскрыть ключ.

У Вилли может иметься возможность применить еще три атаки, не имеющие прямых аналогий в криптоанализе.

— Атака на основе известного пустого контейнера. Если он известен Вилли, то путем сравнения его с предполагаемым стего он всегда может установить факт наличия стегоканала. Несмотря на тривиальность этого случая, в ряде работ приводится его информационно-теоретическое обоснование. Гораздо интереснее сценарий, когда контейнер известен приблизительно, с некоторой погрешностью (как это может иметь место при добавлении к нему шума). В главе 4 показано, что в этом случае имеется возможность построения стойкой стегосистемы.

— Атака на основе выбранного пустого контейнера. В этом случае Вилли способен заставить Алису пользоваться предложенным ей контейнером. Например, предложенный контейнер может иметь большие однородные области (однотонные изображения), и тогда будет трудно обеспечить секретность внедрения.

— Атака на основе известной математической модели контейнера или его части. При этом атакующий пытается определить отличие подозрительного сообщения от известной ему модели. Например допустим, что биты внутри отсчета изображения коррелированы. Тогда отсутствие такой корреляции может служить сигналом об имеющемся скрытом сообщении. Задача внедряющего сообщение заключается в том, чтобы не нарушить статистики контейнера. Внедряющий и атакующий могут располагать различными моделями сигналов, тогда в информационно-скрывающем противоборстве победит имеющий лучшую модель.

Рассмотренные выше атаки имеют одну особенность: они не изменяют стегосообщения, посылаемые Алисой, а также не направлены на противодействие работы декодера Боба. В этом заключается их положительная сторона: действия Вилли вряд ли способны насторожить Алису и Боба. В пункте 2.2 будут рассмотрены атаки, польза от применения которых при передаче скрытых сообщений невелика. Они направлены, в основном, против систем защиты прав собственности на основе цифровых водяных знаков. Такие системы должны быть устойчивы (робастны) к незначительным изменениям стего.

Сравнение робастности стегосистем производится обычно по отношению к некоторым стандартным тестам. В качестве одного из них является атака, основанная на применении алгоритма сжатия JPEG (довольно неэффективная атака). Гораздо большее представление о достоинствах того или иного стегоалгоритма можно получить, комплексно используя различные атаки. Общедоступная в Интернете программа Stirmark позволяет более полно анализировать робастность стегоалгоритмов. По утверждению создателей программы на сегодняшний день не существует общеизвестного стегоалгоритма, устойчивого к их комплексным атакам.

Поэтому разработчиками придается большое значение обеспечению помехоустойчивости внедрения ЦВЗ. Это достигается, как правило, расширением спектра скрытого сообщения или применением помехоустойчивых кодов. Системы с расширением спектра широко применяются в связи для помехоустойчивой передачи сигналов. Но являются ли они достаточно помехоустойчивыми для применения в ЦВЗ? Оказывается, далеко не всегда. Рассмотрим предлагаемые исследователями методы атак и противодействия им.

 

2.2. Атаки на системы цифровых водяных знаков

 

2.2.1. Классификация атак на стегосистемы ЦВЗ

Как отмечалось в первой главе, ЦВЗ должны удовлетворять противоречивым требованиям визуальной (аудио) незаметности и робастности к основным операциям обработки сигналов. В дальнейшем без потери общности будем предполагать, что в качестве контейнера используется изображение.

Обратимся вновь к системе встраивания собщений путем модификации младшего значащего бита (LSB) пикселов, рассмотренной в первой главе. Практически любой способ обработки изображений может привести к разрушению значительной части встроенного сообщения. Например, рассмотрим операцию вычисления скользящего среднего по двум соседним пикселам , являющуюся простейшим примером низкочастотной фильтрации. Пусть значения пикселов и могут быть четными или нечетными с вероятностью . Тогда и значение младшего значащего бита изменится после усреднения в половине случаев. К тому же эффекту может привести и изменение шкалы квантования, скажем, с 8 до 7 бит. Аналогичное влияние оказывает и сжатие изображений с потерями. Более того, применение методов очистки сигналов от шумов, использующих оценивание и вычитание шума, приведет к искажению подавляющего большинства бит скрытого сообщения.

Существуют также и гораздо более губительные для ЦВЗ операции обработки изображений, например, масштабирование, повороты, усечение, перестановка пикселов. Ситуация усугубляется еще и тем, что преобразования стегосообщения могут осуществляться не только нарушителем, но и законным пользователем, или являться следствием ошибок при передаче по каналу связи.

Сдвиг на несколько пикселов может привести к необнаружению ЦВЗ в детекторе. Рассмотрим это на примере приведенного в первой главе стегоалгоритма. В детекторе имеем , где индексом обозначены смещенные версии соответствующих сигналов. Произведение , как и прежде, близко к нулю. Однако, если знаки ± в W выбирались случайно и независимо, то и будет близко к нулю, и стегосообщение не будет обнаружено. Аналоговые видеомагнитофоны, как правило, несколько сдвигают изображение из-за неравномерности вращения двигателя лентопротяжного механизма или изнашивания ленты. Сдвиг может быть незаметен для глаза, но привести к разрушению ЦВЗ.

Возможна различная классификация атак на стегосистемы, и одна из классификаций уже приведена нами в пункте 2.1. Теперь же рассмотрим атаки, специфичные для систем ЦВЗ. Можно выделить следующие категории атак против таких стегосистем [2], [3].

1. Атаки против встроенного сообщения — направлены на удаление или порчу ЦВЗ путем манипулирования стего. Входящие в эту категорию методы атак не пытаются оценить и выделить водяной знак. Примерами таких атак могут являться линейная фильтрация, сжатие изображений, добавление шума, выравнивание гистограммы, изменение контрастности и т. д.

2. Атаки против стегодетектора — направлены на то, чтобы затруднить или сделать невозможной правильную работу детектора. При этом водяной знак в изображении остается, но теряется возможность его приема. В эту категорию входят такие атаки, как аффинные преобразования (то есть масштабирование, сдвиги, повороты), усечение изображения, перестановка пикселов и т. д.

2. Атаки против протокола использования ЦВЗ — в основном связаны с созданием ложных ЦВЗ, ложных стего, инверсией ЦВЗ, добавлением нескольких ЦВЗ.

4. Атаки против самого ЦВЗ — направлены на оценивание и извлечение ЦВЗ из стегосообщения, по возможности без искажения контейнера. В эту группу входят такие атаки, как атаки сговора, статистического усреднения, методы очистки сигналов от шумов, некоторые виды нелинейной фильтрации [4] и другие.

Надо заметить, что рассматриваемая классификация атак не является единственно возможной и полной. Кроме того, некоторые атаки (например, удаление шума) могут быть отнесены к нескольким категориям. В работе [5] была предложена другая классификация атак, также имеющая свои достоинства и недостатки.

В соответствии с этой классификацией все атаки на системы встраивания ЦВЗ могут быть разделены на четыре группы:

1) атаки, направленные на удаление ЦВЗ;

2) геометрические атаки, направленные на искажение контейенера;

3) криптографические атаки;

4) атаки против используемого протокола встраивания и проверки ЦВЗ.

 

2.2.2. Атаки, направленные на удаление ЦВЗ

К этой группе относятся такие атаки, как очистка сигналов-контейнеров от шумов, перемодуляция, сжатие с потерями (квантование), усреднение и коллизии. Эти атаки основаны на предположении о том, что ЦВЗ является статистически описываемым шумом. Очистка от шума заключается в фильтрации сигнала с использованием критериев максимального правдоподобия или максимума апостериорной вероятности. В качестве фильтра, реализующего критерий максимального правдоподобия, может использоваться медианный (для ЦВЗ, имеющего распределение Лапласа) или усредняющий (для гауссовского распределения) фильтр, которые применены в программном пакете StirMark. По критерию максимума апостериорной вероятности наилучшим будет адаптивный фильтр Винера (в случае если в качестве модели контейнера используется нестационарный гауссовский процесс), а также пороговые методы очистки от шума (мягкий и жесткий пороги) (модель — обобщенный гауссовский процесс), которые имеют много общего с методами сжатия с потерями.

Сжатие с потерями и очистка сигналов от шумов значительно уменьшают пропускную способность стегоканала, особенно для гладких областей изображения, коэффициенты преобразования которых могут быть «обнулены» без заметного снижения качества восстановленного изображения.

Перемодуляция — сравнительно новый метод, который является специфичным именно для атак на ЦВЗ. Атака перемодуляции была впервые предложена в работе [5]. В настоящее время известны ее различные варианты, в зависимости от используемого в стегосистеме декодера. В построении атаки имеются свои нюансы для стегосистемы М-ичной модуляции, стегосистемы, использующей помехоустойчивые коды, использующей корреляционный декодер. В любом случае считается, что ЦВЗ внедрен в изображение с применением широкополосных сигналов и размножен на все изображение. Так как оцениваемый декодером ЦВЗ коррелирован с истинным, появляется возможность обмана декодера. Атака строится следующим образом. Вначале ЦВЗ «предсказывается» путем вычитания фильтрованной версии изображения из защищенного изображения (применяется медианный фильтр). «Предсказанный» ЦВЗ подвергается ВЧ фильтрации, усекается, умножается на два и вычитается из исходного изображения. Кроме того, если известно, что при внедрении ЦВЗ умножался на некоторую маску для повышения незаметности встраивания, то атакующий оценивает эту маску и домножает на нее ЦВЗ. В качестве дополнительной меры по «обману» декодера представляется эффективным встраивание в высокочастотные области изображения (где искажения незаметны) шаблонов, имеющих негауссовское распределение. Таким образом будет нарушена оптимальность линейного корреляционного детектора.

Такая атака будет эффективной лишь против высокочастотного ЦВЗ, поэтому реальные ЦВЗ строятся так, чтобы их спектр соответствовал спектру исходного изображения. Дело в том, что достоверная оценка получается лишь для высокочастотных компонент ЦВЗ. После ее вычитания низкочастотная компонента ЦВЗ остается неизменной и дает в детекторе положительный корреляционный отклик. Высокочастотная же составляющая даст отрицательный отклик, что в сумме даст нуль, и ЦВЗ не будет обнаружен. В качестве другого противодействия этой атаке было предложено выполнение предварительной низкочастотной фильтрации.

В работе [6] приведена модификация этого алгоритма, заключающаяся в применении фильтра Винера вместо медианного и более интеллектуального способа нахождения коэффициента умножения. Он выбирается так, чтобы минимизировать коэффициент взаимной корреляции между ЦВЗ и стего. Кроме того, добавляется еще один шаг: наложение случайного шума. Данная атака не работает против адаптивно встроенного ЦВЗ, так как в ней предполагается, что ЦВЗ и стего есть стационарный гауссовский процесс с нулевым средним. Ясно, что это предположение не выполняется также и для реальных изображений. Поэтому, С.Волошиновским и др. предложена атака, в которой сигналы моделируются как нестационарный гауссовский или обобщенный стационарный гауссовский процесс [7]. Коэффициент умножения ЦВЗ выбирается исходя из локальных свойств изображения. Вместо наложения случайного шума предложено добавлять отсчеты со знаком, противоположным знаку отсчета ЦВЗ (в предположении, что ЦВЗ есть последовательность биполярных символов). Это еще более затрудняет работу корреляционного детектора. Конечно, знаки нужно менять не у всех, а только у части отсчетов оцениваемого ЦВЗ, например, случайно.

К другим атакам этой группы относятся атака усреднения и атака сговора. В случае наличия большого числа копий стего с разными ЦВЗ или с разными ключами внедрения можно выполнить их усреднение. Например, кадры видеосигнала могут иметь различные ЦВЗ. Если ЦВЗ имел нулевое среднее, то после усреднения он будет отсутствовать в изображении.

Атака путем статистического усреднения представлена в [5]. Нарушитель может попытаться оценить ЦВЗ и вычесть ее из изображения. Такой вид атак особенно опасен в случае, когда атакующий может получить некоторый обобщенный ЦВЗ, например, некоторый , независящий сильно от исходного изображения .

Атакующий может обнаружить ЦВЗ путем усреднения нескольких изображений. Например, у него имеется , …, . Тогда их сумма будет достаточно близка к NW, если N велико, а изображения статистически независимы.

Противоядием против подобной атаки может быть случайное использование одного из двух ЦВЗ с вероятностями и . Тогда вышеприведенная атака даст лишь . Однако, атака может быть улучшена в том случае, если у атакующего есть какие-то предположения о том, какой ЦВЗ из двух встроен в данное изображение. Тогда все изображения могут быть распределены на два класса: 1 и 2. Пусть — вероятность того, что изображение отнесено к неверному классу. Тогда усреднение по большому числу изображений класса 1 дает . Аналогично усреднение по изображений класса 2 дает . Вычисление взвешенной разности дает . Следовательно, для любого , атакующий может оценить сумму и разность и , откуда он может получить и .

При атаке сговора имеется несколько одинаковых копий, содержащих различные ЦВЗ, а для атаки из каждой копии выбираются какие-то части, которые в совокупности и образуют атакуемое множество. Атаки на основе «сговора» описаны, например, в работах [8], [9]. Чем больше содержащих стего копий имеется у нарушителя, тем выше вероятность того, что близкое к исходному реконструированное изображение не будет содержать стего. В стегосистемах с закрытым ключом такая атака не столь эффективна в силу того, что атакующий не может проверить, содержат ли получающиеся у него аппроксимации ЦВЗ. Это повышает безопасность стегосистем с закрытым ключом. Защищенность от этой атаки можно также повысить за счет специального построения стего.

Еще одна эффективная атака на ЦВЗ называется мозаичной [10]. Эта атака направлена на поисковые системы, отслеживающие незаконно распространяемые изображения. Изображение разбивается на несколько частей, так что поисковая система ЦВЗ не обнаруживает. Интернет-броузер демонстрирует фактически несколько кусочков изображения, вплотную расположенных друг к другу, так что в целом изображение выглядит неискаженным. Для противодействия такой атаке ЦВЗ должен обнаруживаться даже в малых частях изображения. Это очень трудно выполнимое требование, даже более тяжелое, чем робастность к обрезанию краев изображения, так как в последнем случае атакующий ограничен необходимостью сохранения качества изображения. Наверное, более выполнимым было бы создание интеллектуальных поисковых систем, способных «собрать» изображение из кусочков и проверить наличие в нем ЦВЗ.

Интересная и практически значимая атака предлодена в работе [17]. Она основана на оценивании ЦВЗ, но не в области исходного изображения, а по его гистограмме. Атака особенно эффективна против систем неадаптивных систем ЦВЗ, но может быть использована и для оценивания адаптивно внедренного ЦВЗ.

Пояснить атаку можно на следующем примере. Пусть ЦВЗ , а в исходном изображении имеется изолированное значение пиксела. Например, значение 200 встречается 300 раз, а значения 199 и 201 — ни разу. Тогда после внедрения ЦВЗ значения 199 и 201 встретятся примерно 150 раз, а значение 200 — ни разу. Это и есть демаскирующий признак. Как показано на примере в работе [17], этот метод может быть применен и в случае наличия на гистограмме изображения нескольких ненулевых значений, разделенных тремя и больше нулями.

Для успешного использования гистограммной атаки предложено выполнять предварительное сглаживание изображения-контейнера. Тогда уменьшается диапазон значений цвета и появляется много нулевых цепочек. Впрочем, эффективность атаки повышается в результате сглаживания не для всех изображений.

В работе [17] показано также, как гистограммная атака усиливается при наличии нескольких изображений, то есть в случае ее комбинировании с атакой сговора.

 

2.2.3. Геометрические атаки

В отличии от атак удаления геометрические атаки стремятся не удалить ЦВЗ, но изменить его путем внесения пространственных или временных искажений. Геометрические атаки математически моделируются как аффинные преобразования с неизвестным декодеру параметром. Всего имеется шесть аффинных преобразований: масштабирование, изменение пропорций, повороты, сдвиг и усечение. Эти атаки приводят к потере синхронизации в детекторе ЦВЗ и могут быть локальными или глобальными (то есть примененными ко всему сигналу). При этом возможно вырезание отдельных пикселов или строк, перестановка их местами, применение каких-то преобразований и т. д. Подобные атаки реализованы в программах Unsign (локальные атаки) и Stirmark (локальные и глобальные атаки).

Существуют и более «интеллектуальные» атаки на применяемый метод синхронизации ЦВЗ. Основная идея этих атак заключается в распознавании метода синхронизации и разрушения его путем сглаживания пиков в амплитудном спектре ЦВЗ. Атаки эффективны в предположении о том, что в качестве механизма синхронизации используются периодические шаблоны. При этом для обеспечения синхронизации могут использоваться два подхода: встраивание пиков в спектральной области, либо периодическое внедрение последовательности ЦВЗ. В обоих случаях в спектре образуются пики, которые разрушаются в рассматриваемой атаке. После разрушения можно применять другие геометрические атаки: синхронизации уже нет.

Современные методы встраивания ЦВЗ робастны к глобальным атакам. В них применяются специальные методы восстановления синхронизации, имеющие много общего с применяемыми в технике связи. Робастность достигается за счет использования инвариантных к сдвигу областей [11], применения опорного ЦВЗ [12], вычисления автокорреляционной функции ЦВЗ.

Если обеспечение робастности к глобальным геометрическим атакам есть более или менее решенная задача, то обеспечение устойчивости к локальным изменениям изображения является открытым вопросом. Эти атаки основаны на том, что человеческий глаз мало чувствителен к небольшим локальным изменениям картинки.

 

2.2.4. Криптографические атаки

Криптографические атаки названы так потому, что они имеют аналоги в криптографии. К ним относятся атаки с использованием оракула, а также взлома при помощи «грубой силы».

Атака с использованием оракула позволяет создать незащищенное ЦВЗ изображение при наличии у нарушителя детектора. В работе [2] исследуется устойчивость ЦВЗ на основе расширения спектра к атаке при наличии детектора в виде «черного ящика». Метод заключается в экспериментальном изучении поведения детектора для выяснения того, на какие изображения он реагирует, на какие — нет. Например, если детектор выносит «мягкие» решения, то есть показывает вероятность наличия стего в сигнале, то атакующий может выяснить, как небольшие изменения в изображении влияют на поведение детектора. Модифицируя изображение пиксел за пикселом, он может вообще выяснить, какой алгоритм использует детектор. В случае детектора с «жестким» решением атака осуществляется возле границы, где детектор меняет свое решение с «присутствует» на «отсутствует».

Пример атаки на детектор с жестким решением:

1. На основе имеющегося изображения, содержащего стегосообщение, создается тестовое изображение. Тестовое изображение может быть создано разными путями, модифицируя исходное изображение до тех пор, пока детектор не покажет отсутствия ЦВЗ. Например, можно постепенно уменьшать контрастность изображения, либо пиксел за пикселом заменять действительные значения какими-то другими.

2. Атакующий увеличивает или уменьшает значение какого-либо пиксела, до тех пор, пока детектор не обнаружит ЦВЗ снова. Таким образом выясняется, увеличил или уменьшил значение данного пиксела ЦВЗ.

2. Шаг 2 повторяется для каждого пиксела в изображении.

4. Зная, насколько чувствителен детектор к модификации каждого пиксела, атакующий определяет пикселы, модификация которых не приведет к существенному ухудшению изображения, но нарушит работу детектора.

5. Данные пикселы вычитаются из исходного изображения.

Возможно ли построение стегоалгоритма, стойкого против подобной атаки, пока неизвестно.

Известна разновидность вышеприведенной атаки для вероятностного детектора. Также, как и ранее, атака начинается с построения тестового изображения на границе принятия решения детектором. Затем выбирается случайная двоичная последовательность, и ее элементы прибавляются к пикселам тестового изображения. Если детектор выносит решение о наличии, то эта последовательность считается ЦВЗ. В противном случае — ЦВЗ считается противоположная этой последовательность. Далее выполняется случайная перестановка элементов в последовательности, и процесс повторяется. Повторив эту процедуру несколько раз и просуммировав все промежуточные результаты, получим достаточно хорошую оценку ЦВЗ. Можно показать, что точность оценивания , где J - число попыток, N - число пикселов в исходном изображении. Отсюда следует, что при фиксированной точности оценивания число попыток линейно зависит от числа пикселов в изображении. Также может быть показано, что число попыток пропорционально квадрату ширины зоны принятия решения. Таким образом, разработчик вероятностного детектора должен компромиссно выбрать между следующими параметрами: большой величиной зоны принятия решения (то есть безопасностью), малым значением верхнего порога зоны (то есть малой вероятностью ложного обнаружения стего) и большим значением нижнего порога зоны (то есть малой вероятностью ложного необнаружения стего). В целом, из работы [2] и других следует, что системы ЦВЗ на основе расширения спектра не должны иметь общедоступного детектора.

 

2.2.5. Атаки против используемого протокола

В работах [13]-[15] показано, что многие стегосистемы ЦВЗ чувствительны к так называемой инверсной атаке. Эта атака заключается в следующем. Нарушитель заявляет, что в защищенном изображении часть данных есть его водяной знак. После этого он создает ложный оригинал, вычитая эту часть данных. В ложном оригинале присутствует настоящий ЦВЗ. С другой стороны, в защищенном изображении присутствует провозглашенный нарушителем ложный ЦВЗ. Наступает неразрешимая ситуация. Конечно, если у детектора имеется исходное изображение, то собственник может быть выявлен. Но, как показано в работе [14], далеко не всегда. В работах [13]-[15] представлены методы защиты от подобной атаки. В них показано, что устойчивый к подобной атаке ЦВЗ должен быть необратимым (см.п.2.3). Для этого он делается зависимым от изображения при помощи однонаправленной функции.

Пусть V - исходное изображение, W - водяной знак законного собственника. Тогда защищенное изображение . Нарушитель объявляет произвольную последовательность бит своим водяным знаком и вычитает ее из защищенного изображения, в результате чего получает ложный оригинал . Теперь если выполняется равенство , то цель нарушителя достигнута. ЦВЗ называется в этом случае обратимым. Невозможно определить, что является оригиналом: или и, следовательно, кто является собственником контента. Далее мы, следуя [14], дадим определения обратимости и необратимости систем ЦВЗ, а в пункте 2.4 рассмотрим подходы к решению проблемы прав собственника.

В работе [14] дано два определения необратимости: ослабленное и сильное. При этом используются следующие обозначения:

- - процедура встраивания ЦВЗ;

- (или ) — процедура извлечения ЦВЗ;

- - масштабирующий коэффициент;

- - бинарный признак подобия двух сигналов: равен 1, если коэффициент взаимной корреляции больше некоторого порога ; в противном случае — равен 0.

Первое определение необратимости следующее.

Стегоалгоритм является (строго) обратимым, если для любого существует отображение такое, что и . При этом вычислительно осуществимо, принадлежит к классу допустимых ЦВЗ, истинное и ложное изображения визуально сходны и . Иначе (слабо) необратим.

В этом определении требование, чтобы накладывает слишком сильное ограничение. В самом деле, даже может не выполняться в силу различного рода искажений . С другой стороны, это требование слишком слабо для определения обратимости. Поэтому, в работе [14] оно заменено на требование, чтобы , где .

Второе определение необратимости следующее.

Стегоалгоритм является (слабо) обратимым, если для любого существует отображение такое, что и . При этом вычислительно осуществимо, принадлежит к классу допустимых ЦВЗ, , и . Иначе (строго) необратим.

В настоящее время известны различные решения проблемы права собственности. Они представлены в пункте 2.3.

В работе [12] описаны атаки, использующие наличие стегокодера. Подобная атака является одной из наиболее опасных. Одним из возможных сценариев, когда ее опасность существует, является следующий. Пусть пользователю разрешено сделать одну копию с оригинала, но не разрешено делать копии с копий. Записывающее устройство должно изменить ЦВЗ с «разрешена копия» на «копирование не разрешено». В этом случае атакующий имеет доступ к сообщению до и после вложения ЦВЗ. Значит, он может вычислить разность между исходным и модифицированным сообщением. Эта разность равна . Далее исходное изображение предыскажается: из него вычитается . После осуществления копирования будет записано , что очень близко к исходному изображению . Эта близость объясняется тем, что ЦВЗ должны быть робастны к добавлению аддитивного шума. Следовательно, . В случае данной атаки в качестве шума выступает стегосообщение и .

В работе [3] и др. исследуются атаки на системы защиты от копирования. В ряде случаев гораздо проще не удалять ЦВЗ, а помешать его использованию по назначению. Например, возможно внедрение дополнительных ЦВЗ так, что становится неясно, какой из них идентифицирует истинного собственника контента.

Другой известной атакой на протокол использования ЦВЗ является атака копирования. Эта атака заключается в оценивании ЦВЗ в защищенном изображении и внедрении оцененного ЦВЗ в другие изображения. Целью может являться, например, противодействие системе имитозащиты или аутентификации.

Одна из слабостей стегосистемы, применяемой для защиты от копирования, является то, что детектор способен обнаружить ЦВЗ только когда видеосигнал визуально приемлем. Однако можно подвергнуть сигнал скремблированию, получить шумоподобный сигнал, затем без помех незаконно скопировать его. В видеоплейер в этом случае встраивается дескремблер, который и восстанавливает незаконно сделанную копию. Аппаратная реализация скремблера и дескремблера весьма проста и иногда используется для защиты, например, программ кабельного телевидения. Возможной защитой против такого подхода является разрешения копирования только определенного формата данных.

 

2.3. Методы противодействия атакам на системы ЦВЗ

В простейших стегосистемах ЦВЗ при встраивании используется псевдослучайная последовательность, являющаяся реализацией белого гауссовского шума и не учитывающая свойства контейнера. Такие системы практически неустойчивы к большинству рассмотренных выше атак. Для повышения робастности стегосистем можно предложить ряд улучшений.

В робастной стегосистеме необходим правильный выбор параметров псевдослучайной последовательности. Известно, что при этом системы с расширением спектра могут быть весьма робастными по отношению к атакам типа добавления шума, сжатия и т. п. Так считается, что ЦВЗ должен обнаруживаться при достаточно сильной низкочастотной фильтрации (7х7 фильтр с прямоугольной характеристикой). Следовательно, база сигнала должна быть велика, что снижает пропускную способность стегоканала. Кроме того, используемая в качестве ключа ПСП должна быть криптографически безопасной.

Атака «сговора» и возможные методы защиты от нее рассмотрена в работе [16]. Причиной нестойкости систем ЦВЗ с расширением спектра к подобным атакам объясняется тем, что используемая для вложения последовательность обычно имеет нулевое среднее. После усреднения по достаточно большому количеству реализаций ЦВЗ удаляется. Известен специальный метод построения водяного знака, направленный против подобной атаки. При этом коды разрабатываются таким образом, чтобы при любом усреднении всегда оставалась не равная нулю часть последовательности (статическая компонента). Более того, по ней возможно восстановление остальной части последовательности (динамическая компонента). Недостатком предложенных кодов является то, что их длина увеличивается экспоненциально с ростом числа распространяемых защищенных копий. Возможным выходом из этого положения является применение иерархического кодирования, то есть назначения кодов для группы пользователей. Некоторые аналогии здесь имеются с системами сотовой связи с кодовым разделением пользователей (CDMA).

Различные методы противодействия предлагались для решения проблемы прав собственности. Первый способ заключается в построении необратимого алгоритма ЦВЗ. ЦВЗ должен быть адаптивным к сигналу и встраиваться при помощи однонаправленной функции, например, хэш-функции [1]. Хэш-функция преобразует 1000 бит исходного изображения V в битовую последовательность , . Далее, в зависимости от значения используется две функции встраивания ЦВЗ. Если , то используется функция , если , то функция , где  - i-й коэффициент изображения,  - i-й бит встраиваемого сообщения. Предполагается, что такой алгоритм формирования ЦВЗ предотвратит фальсификацию. В работе [13] на примере показано, что для того, чтобы данный алгоритм был необратимым, все элементы должны быть положительными.

Второй способ решения проблемы прав собственности заключается во встраивании в ЦВЗ некоторой временной отметки, предоставляемой третьей, доверенной стороной. В случае возникновения конфликта лицо, имеющее на изображении более раннюю временную отметку, считается настоящим собственником.

Один из принципов построения робастного ЦВЗ заключается в адаптации его спектра. В ряде работ показано, что огибающая спектра идеального ЦВЗ должна повторять огибающую спектра контейнера. Спектральная плотность мощности ЦВЗ, конечно же, намного меньше. При такой огибающей спектра винеровский фильтр дает наихудшую оценку ЦВЗ из возможных: дисперсия значений ошибки достигает дисперсии значений заполненного контейнера. На практике адаптация спектра ЦВЗ возможна путем локального оценивания спектра контейнера. С другой стороны, методы встраивания ЦВЗ в области преобразования достигают этой цели за счет адаптации в области трансформанты.

Для защиты от атак типа аффинного преобразования можно использовать дополнительный (опорный) ЦВЗ. Этот ЦВЗ не несет в себе информации, но используется для «регистрации» выполняемых нарушителем преобразований. В детекторе ЦВЗ имеется схема предыскажения, выполняющая обратное преобразование. Здесь имеется аналогия с используемыми в связи тестовыми последовательностями. Однако, в этом случае атака может быть направлена именно против опорного ЦВЗ. Другой альтернативой является вложение ЦВЗ в визуально значимые области изображения, которые не могут быть удалены из него без существенной его деградации. Наконец, можно разместить стего в инвариантных к преобразованию коэффициентах. Например, амплитуда преобразования Фурье инвариантна к сдвигу изображения (при этом меняется только фаза).

Другим методом защиты от подобных атак является блочный детектор. Модифицированное изображение разбивается на блоки размером 12х12 или 16х16 пикселов, и для каждого блока анализируются все возможные искажения. То есть пикселы в блоке подвергаются поворотам, перестановкам и т. п. Для каждого изменения определяется коэффициент корреляции ЦВЗ. Преобразование, после которого коэффициент корреляции оказался наибольшим, считается реально выполненным нарушителем. Таким образом появляется возможность как бы обратить внесенные нарушителем искажения. Возможность такого подхода основана на предположении о том, что нарушитель не будет значительно искажать контейнер (это не в его интересах).

 

2.4. Статистический стегоанализ и противодействие

Основной задачей стегоанализа является определение факта наличия скрытого сообщения в предположительном контейнере (речи, видео, изображении). Решить эту задачу возможно путем изучения статистических свойств сигнала. Например, распределение младших битов сигналов имеет, как правило, шумовой характер (ошибки квантования). Они несут наименьшее количество информации о сигнале и могут использоваться для внедрения скрытого сообщения. При этом, возможно, изменится их статистика, что и послужит для атакующего признаком наличия скрытого канала.

Для незаметного встраивания данных стегокодер должен решить три задачи: выделить подмножество бит, модификация которых мало влияет на качество (незначимые биты), выбрать из этого подмножества нужное количество бит в соответствии с размером скрытого сообщения и выполнить их изменение. Если статистические свойства контейнера не изменились, то внедрение информации можно считать успешным. Так как распределение незначащих бит зачастую близко к белому шуму, встраиваемые данные должны иметь тот же характер. Это достигается за счет предварительного шифрования сообщения либо его сжатия.

Стегоаналитик на основе изучения сигнала всегда может выделить подмножество незначащих бит, делая те же предположения, что и стеганограф. Далее он должен проверить соответствие их статистики предполагаемой. При этом если аналитик располагает лучшей моделью данных, чем стеганограф, вложение будет обнаружено. Поэтому, по-настоящему хорошие модели сигналов различного характера, вероятно, держатся в секрете, и вы не встретите их в открытых публикациях. Можно лишь дать рекомендации общего характера. При построении модели надо учитывать:

— неоднородность последовательностей отсчетов;

— зависимость между битами в отсчетах (корреляцию);

— зависимость между отсчетами;

— неравновероятность условных распределений в последовательности отсчетов;

— статистику длин серий (последовательностей из одинаковых бит).

Соответствие реально наблюдаемой статистики ожидаемой обычно проверяется при помощи критерия хи-квадрат. Проверка может осуществляться на уровне монобитов, дибитов и т. д. Возможны и более сложные тесты, аналогичные применяющимся при тестировании криптографически безопасных программных датчиков случайных чисел. Как показано в одной из работ на примере звуковых файлов, критерий хи-квадрат позволяет обнаружить модификацию всего лишь 10 % незначащих битов. Там же показана эффективность для стегоанализа и еще более простого критерия , где - количество переходов из значения бита i в значение j. Применение теста длин серий основано на следующем факте: в случайной последовательности серии большой длины (>15) встречаются значительно реже, чем в незначащих битах реальных сигналов. Поэтому, встраивание случайного сигнала может быть замечено после применения этого теста.

Таким образом, противодействие статистическому стегоанализу должна заключаться в построении математических моделей сигналов-контейнеров, поиску на их основе «разрешенных» для модификации областей и внедрению в них скрытой информации, чья статистика неотличима от статистики контейнера. Эта неотличимость определяет стойкость стегосистемы — свойство, подробно рассмотренное в главе 4.

 

3. ПРОПУСКНАЯ СПОСОБНОСТЬ КАНАЛОВ ПЕРЕДАЧИ СКРЫВАЕМОЙ ИНФОРМАЦИИ

 

3.1. Понятие скрытой пропускной способности

Для стеганографических систем важно определить, насколько большой может быть пропускная способность каналов передачи скрываемых сообщений и как она зависит от других характеристик стегосистем и условий их использования. Неформально определим, что под пропускной способностью каналов передачи скрываемых сообщений или просто скрытой пропускной способностью (ПС) будем понимать максимальное количество информации, которое может быть вложено в один элемент контейнера. При этом скрываемые сообщения должны быть безошибочно переданы получателю и защищены от атак нарушителя, таких как попытки обнаружения факта наличия канала скрытой связи, чтения скрываемых сообщений, преднамеренного ввода ложных сообщений или разрушения встроенной в контейнер информации. Канал скрытой связи образуется внутри канала открытой связи, для которого в работах К.Шеннона по теории информации определена пропускная способность [1]. Пропускная способность канала открытой связи определяется как количество информации, которое потенциально можно передать без ошибок за одно использование канала. При этом не предъявляется никаких требований к защищенности от атак организованного нарушителя. Поэтому логично предположить, что скрытая пропускная способность должна быть меньше пропускной способности канала открытой связи, в котором за одно использование канала передается один элемент контейнера, в который вложена скрываемая информация.

Существуют различные подходы к определению количества информации, защищаемой от различных атак нарушителя стеганографическими методами. Эти различия, в частности, обусловлены различием в цели защиты информации, моделями нарушителя, его возможностями, реализуемыми им атаками на стегосистемы, видом используемых контейнеров и скрываемых сообщений и многими другими факторами. Методами теории информации оценим для различных стегосистем величину пропускной способности каналов передачи скрываемой информации. Теоретико-информационные методы позволяют получить строгие оценки количества скрываемой информации, и эти оценки могут быть использованы как теоретически достижимые верхние пределы скорости передачи скрываемой информации для стегосистем с произвольными принципами их построения.

Рассмотрим два основных подхода к оценке пропускной способности каналов передачи скрываемой информации. Первый из них, развиваемый в работах [2,3], ориентирован на стегосистемы, в которых защищаемые сообщения должны быть безошибочно переданы в условиях активного противодействия нарушителя. Этот подход описывает сценарий скрытия безизбыточных сообщений в контейнерных данных, и учитывает, что кроме искажений сообщений при их внедрении в контейнер возможны их преднамеренные искажения со стороны нарушителя, а также искажения случайного характера, вызванные непреднамеренными помехами канала связи или искажениями при сжатии контейнера. Рассматриваемый нарушитель, кроме пассивных действий анализа, может использовать и активные действия, поэтому активный нарушитель далее называется атакующим. Целью атакующего является разрушение скрываемой информации. Такая постановка задачи информационного скрытия характерна для систем цифрового водяного знака (ЦВЗ).

Сформулируем задачу информационного скрытия как задачу безошибочной передачи скрываемой информации при воздействии случайных и преднамеренных помех и определим максимальную скорость безошибочной передачи при различных стратегиях действий скрывающего информацию и атакующего. Данный подход определяет теоретически достижимую скорость достоверной передачи скрываемых сообщений, хотя в явном виде и не оценивает защищенность скрываемого сообщения от обнаружения факта его существования. Однако для ряда стегосистем не требуется скрывать факт использования стеганографической защиты: обладатель авторских или имущественных прав на защищаемый водяным знаком контейнер, как правило, открыто объявляет о применении системы ЦВЗ. В рассматриваемом подходе исследуются условия, при которых скрываемая информация гарантированно передается в условиях произвольных попыток нарушителя по ее разрушению. Например, такая задача может решаться при доставке скрываемой информации по каналам, в которых противоборствующая сторона пытается сорвать скрытую связь ее радиоэлектронным подавлением. В этой задаче знание нарушителем параметров стегосистемы и возможных стратегий действий скрывающего информацию не должно позволить нарушителю оптимизировать разрушающее воздействие и оценить эффективность подавления. Особенностью таких стегосистем является то, что разрушающее воздействие происходит только в момент передачи скрываемых сообщений и должно выполняться в режиме реального времени. Второй особенностью является априорная неизвестность для законного получателя скрытно доставляемой ему информации. Третьей особенностью является то, что нарушитель, как правило, не способен оценить эффективность своего подавления. «Слепое» подавление объясняется тем, что противоборствующая сторона ставит помехи в скрытом канале, о существовании которого она только подозревает. Иная картина в другой задаче информационного скрытия, в которой активный нарушитель пытается разрушить цифровой водяной знак, чтобы присвоить себе контейнер. Нарушитель может произвольно долго осуществлять разрушающее воздействие, выбирая ту стратегию противоборства, при которой, разрушив ЦВЗ, он сохранит требуемое высокое качество контейнера. В этой задаче нарушитель точно знает о существовании скрываемой информации, и используя общеизвестный детектор ЦВЗ, способен оценить эффективность своих атак на водяной знак.

Второй подход, развиваемый в работах [4,5], дает оценки скрытой пропускной способности при вложении скрываемых сообщений в избыточные контейнерные данные. Такой подход учитывает, что контейнеры формируются реальными избыточными источниками с существенной памятью, такими как источники изображений, речевых или аудио сигналов и т. п. В этой задаче оценки пропускной способности зависят от характеристик необнаруживаемости скрытого канала. Данный подход ориентирован на стегосистемы, в которых реализуется скрытая передача априори неизвестной получателю информации, причем пассивный нарушитель пытается в процессе наблюдения выявить факт наличия скрытой связи и, при установлении этого факта, пытается читать скрываемую информацию. Известно большое количество работ по синтезу стегосистем, в которых предлагаются самые различные способы вложения в избыточные контейнеры [6–8]. Авторы этих работ оценивают количество информации, которое можно вложить незаметно с учетом используемых ими критериев необнаруживаемости. Известные оценки скрытой пропускной способности таких стегоканалов не учитывают возможные случайные и преднамеренные искажения стего при их передаче по каналу связи.

 

3.2. Информационное скрытие при активном противодействии нарушителя

 

В рамках первого подхода к оценке скрытой пропускной способности рассмотрим общую формулировку задачи информационного скрытия при активном противодействии, оказываемым нарушителем. Основные результаты этого подхода получены в работе [2].

 

3.2.1. Формулировка задачи информационного скрытия при активном противодействии нарушителя

Используем традиционные для теоретического описания задач защиты информации обозначения. Рассмотрим обобщенную структурную схему стеганографической системы передачи скрываемых сообщений, представленную на рис. 3.1. Пусть источник контейнерных данных формирует случайную переменную , берущую значения в множестве в соответствии с общеизвестным распределением контейнера p( #i_143.png ) , источник секретного ключа формирует стегоключ K, принадлежащий множеству , и источник скрываемых сообщений формирует сообщение М из множества сообщений М.

В задачах стеганографической защиты информации контейнер есть блок данных или блок преобразованных данных (таких как коэффициенты дискретного косинусного преобразования или вейвлет — преобразования) изображений, видео, аудиосигналов, или некоторого другого множества контейнерных данных, в которые встраивается скрываемая информация. Алфавит может быть в зависимости от постановки задачи непрерывным (например, множеством неквантованных коэффициентов преобразования) или конечным дискретным (например, множеством квантованных коэффициентов преобразования).

Рис. 3.1. Обобщенная структурная схема стеганографической системы при активном противодействии нарушителя

Пусть контейнер есть последовательность с N независимо и идентично распределенными отсчетами в соответствии с p( #i_143.png ) .

Секретный ключ доступен кодеру и декодеру стегосистемы. Каждый символ ключа K i независимо и равновероятно распределен по функции p(K). По признаку наличия секретного ключа стегосистемы напоминают криптографические системы. Например, в системах шифрования секретный ключ предназначен для исключения возможности чтения нарушителем защищаемого сообщения. В отличие от криптографических систем, основной целью использования секретного ключа в рассматриваемых стегосистемах является обеспечение неопределенности для нарушителя распределения скрываемого сообщения в контейнере. Заметим, что в криптографии ключ и защищаемые сообщения должны быть взаимно независимы. Напротив, в ряде задач информационного скрытия полезно допускать зависимость между контейнером и ключом. Опишем эти зависимости, используя совместное распределение p(#i_143.png ,k ). Пример таких зависимостей возникает, когда контейнерные данные доступны декодеру, что используется в ряде систем ЦВЗ [9,10]. В этом случае контейнер может рассматриваться как часть секретного ключа. В других стегосистемах в качестве секретной ключевой информации могут использоваться выбранные отправителем хэш-функции [11], правило размещения водяных знаков в контейнере [12,13] или исходные данные для формирования псевдослучайных последовательностей в системах с расширением спектра контейнера [4,14].

В рассматриваемой обобщенной схеме стегосистемы скрываемые сообщения М равномерно распределены во множестве сообщений М и должны быть безошибочно переданы декодеру. Скрывающий информацию подает пустой контейнер , ключ и сообщение М на вход стегокодера, формируя стегограмму , передаваемую получателю по незащищенному каналу связи. Стего перехватывается и обрабатывается нарушителем с целью разрушения или удаления сообщения М. Искаженное нарушителем стего обозначим и опишем атакующее воздействие условной функцией распределения . Эта обработка включает, как частный случай, формирование искаженного стего в виде , где есть детерминированное отображение.

Нарушителю полезно знать описание стегосистемы, используемой скрывающим информацию, и использовать это знание для построения более эффективного атакующего воздействия . В частности, если известная нарушителю система информационного скрытия не использует секретного ключа , нарушитель способен декодировать сообщение М и затем удалить его из стего . Поэтому необходимо хранить описание бесключевой стегосистемы в секрете. Заметим, что история развития систем защиты информации, в частности, криптографических систем, свидетельствует, что не стоит надеяться на сохранение в тайне принципов построения системы защиты при ее широком применении. Поэтому нашим основным предположением является: нарушитель знает распределения всех переменных в стегосистеме и само описание стегосистемы, но не знает используемого секретного ключа (принцип Керкхофа для систем защиты информации).

Пусть контейнер , стего X и модифицированное нарушителем стего Y принадлежат одному и тому же множеству X. Декодер получателя вычисляет оценку исходного скрываемого сообщения . Если , то атакующий сумел разрушить защищаемую стегосистемой информацию.

Рассмотрим часто используемую схему построения системы ЦВЗ, представленную на рис. 3.2. В данной схеме учитывается, что сообщение M обычно не принадлежит алфавиту X и имеет длину отличную от длины контейнера . Например, если ЦВЗ представляет собой изображение фирменного знака производителя информационной продукции, то такой водяной знак по форме представления и по своим характеристикам существенно отличается от заверяемого контейнера. Поэтому скрываемое сообщение (ЦВЗ) M преобразуется в кодовую последовательность длиной N символов, . Эта операция преобразует водяной знак M к виду, удобному для встраивания в контейнер . Заметим, что на рис. 3.2 показан случай, когда это преобразование независимо от контейнерного сигнала.

Рис. 3.2. Структурная схема стегосистемы водяного знака при активном противодействии нарушителя

Заверенное водяным знаком стего в общем случае формируется по правилу , где есть функция встраивания по ключу . В обозначении функции встраивания неявно указывается, что она выполняет преобразования над блоком длины N. В простейшем примере встраивание может выполняться по правилу для , где переменные , и принадлежат конечному алфавиту . В современных системах водяного знака применяются сложные построения функции , учитывающие характеристики чувствительности органов зрения или слуха человека и не являющиеся аддитивными [15]. Преобразование должно быть удобным для скрывающего информацию, а также должно минимизировать вносимые искажения в контейнер при условии обеспечения требуемой устойчивости к атакам нарушителя. Оптимальное построение таких функций представляет сложную задачу.

Формально определим вносимые искажения в стратегиях скрывающего информацию и нарушителя. Это завершает математическое описание стегосистемы и позволяет определить скорость безошибочной передачи для стегосистемы, представленной на рис. 3.1.

Пусть искажения в стегосистеме оцениваются в соответствии с ограниченной неотрицательной функцией вида где . Используемая мера искажения симметрична: , выполнение равенства означает совпадение . Следовательно, используемая мера искажения является метрикой. Метрика искажений расширяется на последовательности длиной N символов и следующим образом: . Теория информационного скрытия использует классические метрики искажения, такие как метрики Хэмминга и Евклида, а также метрики, учитывающие особенности слуховой или зрительной чувствительности человека [16].

Назовем искажение контейнера , вызванное встраиванием в него скрываемого сообщения искажением кодирования.

Определение 3.1: Стегосистема с длиной блока N, приводящая к искажению кодирования не более , есть совокупность множеств скрываемых сообщений M, контейнеров , стего и ключей и определенных на них функций кодирования f N и декодирования , где есть отображение контейнера , сообщения m и ключа в стего . Это отображение ограничено величиной среднего искажения кодирования :

; (3.1)

а есть декодирующее отображение принятой стегопоследовательности и ключа в декодированное сообщение

Таким образом, величина характеризует искажение контейнера, максимально допустимое при встраивании в него скрываемого сообщения. Данное определение, хотя формально описывает стегосистемы блочного типа, может быть расширено и на стегосистемы поточного типа, у которых окно обработки описывается скользящим блоком длины N. В этом случае параметр N стегосистемы по аналогии с непрерывными кодами может быть назван длиной кодового ограничения стегосистемы.

Обычно искажение мало, так как встраиваемое в контейнер сообщение должно быть незаметным для нарушителя. В стегосистемах, в которых контейнер представляет полезный для получателя информационный сигнал, величина ограничивается отправителем сообщений для сохранения высокого качества контейнера. В системах ЦВЗ требование минимизации формулируется как требование прозрачности водяного знака, заверяющего контейнер.

Заметим, что данное определение искажения использует усреднение относительно распределения и относительно равномерного распределения сообщений. Это позволяет воспользоваться классическими методами теории информации, сформулированными К. Шенноном [1]. Также возможно, но более сложно использовать для анализа стегосистем максимальное искажение контейнеров, где максимум отыскивается для распределений , и m.

Распределения , p(m) и выбор отображения fN определяют конкретный вид распределения множества формируемых стегограмм.

Определение 3.2: Атакующее воздействие без памяти, приводящее к искажению D 2 , описывается условной функцией распределения из множества во множество , такой что

. (3.2)

По определению есть максимальная величина искажения стегограммы, вызванное преднамеренными действиями нарушителя. Физический смысл ограничения величины заключается в следующем. В системах ЦВЗ нарушитель, пытаясь удалить водяной знак из заверенного контейнера, вынужден сам уменьшать величину , чтобы не исказить ценный для него контейнер. В других стегосистемах величина ограничивается имеющимся у атакующего энергетическим потенциалом постановки помех, возникающими помехами для других каналов связи при использовании совместного ресурса и другими причинами.

Резонно предположить, что для реальных стегосистем обычно выполняется соотношение D 2 => D 1 .

В соответствии с определением 3.2 атакующее воздействие описывается и ограничивается усредненными искажениями между множествами и . В других случаях, если атакующий знает описание функции f N , то атакующее воздействие описывается и ограничивается усредненным искажением между множествами и :

. (3.3)

Определение D 2 в соответствии с выражением (3.3) предполагает, что нарушителю известны точные вероятностные характеристики контейнеров. Как будет показано далее, это обстоятельство существенно усложняет задачу обеспечения защищенности скрываемой информации, поэтому в стойких стегосистемах используются различные методы скрытия от нарушителя характеристик используемых контейнеров. Например, такие методы включают использование для встраивания подмножества контейнеров с вероятностными характеристиками, отличающимися от характеристик всего известного нарушителю множества контейнеров или рандомизированное сжатие контейнерного сигнала при встраивании в него скрываемого сообщения [17]. Поэтому вычисление искажения D 2 в соответствии с определением 3.2 является более универсальным, так как нарушитель всегда имеет возможность изучать вероятностные характеристики наблюдаемых стего.

Имея описание стегосистемы и атакующего воздействия можно описать состязание (игру) между скрывающим информацию и атакующим.

Определение 3.3: Информационно-скрывающее противоборство, приводящее к искажениям (D 1 ,D 2 ), описывается взаимодействием используемой стегосистемы, приводящей к искажению кодирования D 1 , и атакующего воздействия, приводящего к искажению D 2 .

Скорость передачи скрываемых сообщений по стегоканалу определим в виде R=1/N log#i_200.png . Скорость передачи R выражается в среднем числе бит скрываемых сообщений, безошибочно передаваемых (переносимых) одним символом (отсчетом) стегопоследовательности x N . Это определение созвучно «классическому» определению скорости передачи обычных сообщений по каналу передачи, выражаемой в среднем числе безошибочно передаваемых бит за одно использование канала [1].

Вероятность разрушения скрываемого сообщения в стегопоследовательности длины N определим как

, (3.4)

где скрываемые сообщения М равновероятно выбираются среди множества M. Вероятность есть средняя вероятность того, что атакующий успешно исказит скрытно передаваемое сообщение, усредненная над множеством всех сообщений. Атакующий добивается успеха в информационном противоборстве, если декодированное на приеме сообщение не совпадет с встроенным в контейнер скрываемым сообщением, или декодер не способен принять однозначного решения.

Теоретически достижимую скорость безошибочной передачи скрываемых сообщений и скрытую пропускную способность при искажениях не более величин (D 1 , D 2 ) определим следующим образом.

Определение 3.4: Скорость R безошибочной передачи скрываемых сообщений достижима для искажений не более (D 1 , D 2 ), если существует стегосистема с длиной блока N, приводящая к искажению кодирования не более D 1 на скорости R N > R , такая что Р e,N → 0 при N → ∞ при любых атаках нарушителя, приводящих к искажению не более D 2 .

Определение 3.5: Скрытая пропускная способность С(D 1 , D 2 ) есть супремум (верхняя грань) всех достижимых скоростей безошибочной передачи скрываемых сообщений при искажениях не более (D 1 , D 2 ).

Отметим, что введенные определения средних искажений контейнеров при встраивании скрываемых сообщений и при атакующем воздействии нарушителя, скорости передачи скрываемых сообщений и пропускной способности канала скрытой передачи соответствуют теоретико-информационному подходу К. Шеннона.

Таким образом, скрытая ПС есть верхний предел скорости безошибочной передачи скрываемых сообщений, при которой искажения контейнера, вызванные вложением в него данных сообщений и действиями нарушителя по разрушению этих сообщений, не превышают заданных величин. Как и ПС каналов передачи открытых сообщений, ПС каналов передачи скрываемых сообщений определяется в идеализированных условиях, в которых задержка кодирования/декодирования бесконечна (N → ∞), статистика контейнеров, скрываемых сообщений, стего и ключей точно известна, сложность построения стегосистемы неограничена. Очевидно, что такая скрытая ПС имеет смысл теоретического предела, указывающего области, в которых существуют и, соответственно, не существуют стегосистемы при заданных величинах искажений. Известно, что скорости реальных систем передачи открытых сообщений могут только приближаться к величине ПС открытых каналов, причем по мере приближения к ней вычислительная сложность реализации систем передачи растет сначала приблизительно по линейной, затем по квадратической и далее по экспоненциальной зависимости от длины блока кодирования N [1]. По всей вероятности, аналогичные зависимости роста сложности справедливы и для стегосистем по мере приближения скорости передачи скрываемых сообщений к величине скрытой ПС. Это предположение подтверждается имеющимся опытом построения стегосистем. Известно, что попытки увеличить скорость передачи скрываемых сообщений влекут за собой существенное усложнение методов скрытия информации [6,8].

Подчеркнем абсолютный характер величины скрытой ПС для произвольного передачи скрываемой информации. Если требуемая скорость передачи скрываемых сообщений меньше величины скрытой ПС, то обеспечение безошибочной передачи в принципе возможно, и имеет смысл разрабатывать принципы построения реализующей эту скрытую ПС стегосистему. Если это соотношение не выполняется, то безошибочная передача невозможна при любых принципах построения стегосистем.

 

3.2.2. Скрывающее преобразование

Для полного представления стегосистемы и условий ее функционирования формально опишем скрывающее преобразование, выполняемое при встраивании информации в контейнер, и атакующее воздействие, осуществляемое нарушителем для противодействия скрытой передаче. Для этого рассмотрим вспомогательную случайную последовательность U, определенную над множеством U. Физически последовательность U описывает результат преобразования скрываемого сообщения М с целью его адаптации к встраиванию в заданный контейнер. Заметим, что в то время как в стегосистеме контейнеры, ключи и стего представляют из себя последовательности одинаковой длины N, длина скрываемых сообщений, их алфавит и вероятностное распределение не совпадают с соответствующими характеристиками перечисленных последовательностей. Например, пусть лицензионную музыкальную запись на DVD-диске производитель для защиты своих прав на товарный продукт заверяет своим фирменным знаком (логотипом) или текстом, в котором указываются реквизиты производителя, и перечисляются его права на защищаемый товар. Очевидно, что рисунок фирменного знака или указанный текст целесообразно сначала привести к виду удобному для встраивания в музыкальный контейнер, причем встраивание должно быть таким, чтобы все части контейнера были бы защищены от «пиратского» копирования. Иначе у нарушителя появится возможность отрезать часть стего, в котором содержится заверяющая информация, и присвоить себе оставшееся. Поэтому логично предположить, что последовательность U должна иметь длину не меньшую длины заверяемого контейнера.

В общем виде определим скрывающее преобразование, используемое отправителем сообщений для встраивания скрываемого сообщения в контейнер.

Определение 3.6: Скрывающее преобразование, вызывающее искажение кодирования D 1 , описывается условной функцией распределения отображения из множества во множество такой, что выполняется условие

. (3.5)

Расширение скрывающего преобразования без памяти длины N описывается условной функцией вида #i_209.png .

Для успешного скрытия информации от квалифицированного нарушителя целесообразно пользоваться не одним, а множеством скрывающих преобразований, выбираемых отправителем сообщений.

Определение 3.7: Обобщенное скрывающее преобразование, приводящее к искажению кодирования не более величины D 1 , состоит из множества всех скрывающих преобразований, удовлетворяющих условию (3.5).

Обобщенное скрывающее преобразование описывает все возможные варианты действий скрывающего информацию при встраивании сообщений М в контейнер так, чтобы величина искажения кодирования не превышала допустимую. Подчеркнем, что в стеганографии важно, чтобы у скрывающего информацию было множество возможных вариантов, среди которых он равновероятно и непредсказуемо для нарушителя выбирает конкретный вариант скрытия защищаемого сообщения.

Для анализа стегосистемы удобно записать функцию в форме произведения функций распределения вида

(3.6)

где отнесем к «основному» скрывающему преобразованию и к «вспомогательному» скрывающему преобразованию.

 

3.2.3. Атакующее воздействие

Формально опишем действия нарушителя по преобразованию перехваченного стего X в искаженное стего Y с целью разрушения содержащейся в нем скрываемой информации.

Определение 3.8: Атакующее воздействие, приводящее к искажению D 2 , описывается условной функцией распределения отображения из множества X во множество Y такой, что выполняется условие

(3.7)

Расширение атакующего воздействия без памяти длины N описывается условной функцией вида .

Определение 3.9: Обобщенное атакующее воздействие, приводящее к искажению не более величины D 2 , состоит из множества всех атакующих воздействий удовлетворяющих условию (3.7).

Аналогично набору вариантов действий скрывающего информацию, у атакующего также есть свой набор атакующих воздействий (множество ). Нарушитель, перехватив стего, стремится выбрать такое атакующее воздействие из множества , которое максимизирует вероятность разрушения скрытой в нем информации.

 

3.3. Скрытая пропускная способность противника при активном противодействии нарушителя

 

3.3.1. Основная теорема информационного скрытия при активном противодействии нарушителя

Исследуем скрытую ПС при активном противодействии нарушителя, стремящегося разрушить скрытно передаваемую информацию. Информационно-скрывающее противоборство между отправителем сообщений и атакующим удобно описать методами теории игр. Цена игры равна величине скрытой ПС. Для максимизации скрытой ПС (максимизации платежа) скрывающий информацию оптимально строит скрывающее преобразование. Для минимизации скрытой ПС (минимизации платежа) атакующий синтезирует оптимальное атакующее воздействие. Величина скрытой ПС может быть получена последовательным соединением скрывающего преобразования и атакующего воздействия. Оценим величину скрытой ПС для стегосистемы с двоичным алфавитом. Исследуем теоретико-игровые аспекты проблемы скрытия информации стегосистемами.

Рассмотрим теорему, которая названа в [2] основной теоремой информационного скрытия при активном противодействии нарушителя. Для любых произвольно сложных стегосистем и любых атак без памяти эта теорема ограничивает сверху скорость безошибочной передачи для скрывающего информацию при условии, что атакующий знает описание скрывающего преобразования, а декодер знает описание и скрывающего преобразования и атакующего воздействия. Данное условие на самом деле не является трудновыполнимым, как это кажется на первый взгляд. Даже если стратегии действий скрывающего информацию и атакующего неизвестны, но стационарны, то можно утверждать, что и атакующий и декодер потенциально способны определить их, обработав достаточно большой объем статистического материала. Это допущение вполне реалистично, хотя и не всегда может быть достигнуто на практике из-за высокой вычислительной сложности.

Предварительно рассмотрим два утверждения, устанавливающие области существования стегосистем, потенциально способных безошибочно передавать скрываемую информацию при заданном атакующем воздействии.

Утверждение 3.1: Зафиксируем атакующее воздействия и выберем скрывающее преобразование , которое максимизирует количество информации вида

(3.8)

над . Для любого сколь угодно малого значения ε > 0 и достаточно большого значения N существует стегосистема с длиной блока N, обеспечивающая вероятность разрушения скрываемых сообщений для множества скрываемых сообщений мощностью .

Утверждение 3.2: Пусть стегосистема с длиной блока N способна безошибочно передавать скрываемые сообщения со скоростью при атакующем воздействии Q(y/x). Если для любого ε > 0 стегосистема обеспечивает вероятность при , то существует конечный алфавит и такое скрывающее преобразование , что выполняется .

Эти утверждения очень напоминают известные теоремы теории передачи сообщений в каналах связи с помехами [1].

Теорема 3.3: Пусть атакующий знает описание обобщенного скрывающего преобразования , а декодер знает описание обобщенного скрывающего преобразования и обобщенного атакующего воздействия . Для любого информационно-скрывающего противоборства, приводящего к искажениям не более (D 1 , D 2 ), скорость передачи R скрываемых сообщений достижима, если и только если R < #i_231.png , величина определяется как

, (3.9)

где U есть случайная переменная над произвольным конечным алфавитом U, переменные образуют марковскую цепь, и количество информации определяется выражением (3.8).

Таким образом, теорема 3.3 определяет величину нижней грани скрытой ПС в условиях, когда все участники информационного противоборства знают стратегии действий друг друга. Заметим, что в этой теореме определяется величина скрытой ПС стегоканала, существование которого атакующему известно. Данная скрытая ПС равна среднему количеству информации на один элемент контейнера, которое нарушитель не может разрушить, выбирая любую стратегию противодействия из множества при искажении контейнера не более величины D 2 .

Доказательство этой теоремы сводится к следующему: зафиксируем атакующее воздействие . В утверждении 3.1 доказывается, что все скорости безошибочной передачи скрываемых сообщений менее достижимы. Утверждение 3.2 включает обратный результат, то есть достоверная передача невозможна выше этой скорости. Так как атакующий знает распределение , он способен выбрать такое распределение Q, которое минимизирует скорость передачи.

Следствие 3.4 далее показывает, что в важном специальном случае (секретным ключом стегосистемы является описание используемого контейнера и сам контейнер известен декодеру), нет потери в оптимальности при ограничении кодера стегосистемы видом, представленным на рис. 3.2.

Следствие 3.4: В случае , выбор значения переменной U оптимален, если и только если стего X может быть записано в форме , где отображение обратимо для всех значений . В частности, выбор U = X оптимален. Скрытая ПС в этом случае определяется в виде

. (3.10)

Это следует из того, что когда , выражение (3.8) может быть записано в виде

. (3.11)

Представляется вполне логичным, что величина скрытой ПС равна взаимной информации между стего X и искаженным стего Y при условии, что отправителю и получателю скрываемой информации известен пустой контейнер .

Для практических систем защиты информации, если секретным ключом стегосистемы является описание используемого контейнера, возникают две проблемы. Во-первых, получатель должен знать исходный контейнер, что ограничивает возможную область применения таких стегосистем. Во-вторых, отправитель и получатель скрываемых сообщений должны использовать секретную ключевую информацию очень большого объема, что неудобно на практике.

 

3.3.2. Свойства скрытой пропускной способности стегоканала

Скрытая ПС является функцией аргументов и , что удобно выразить в виде . Скрытая ПС удовлетворяет следующим свойствам:

1. Величина монотонно увеличивается при увеличении искажения кодирования и монотонно уменьшается с ростом искажения .

2. Функция выпукла по аргументу .

3. Величина ограничена сверху энтропией искаженной стегограммы Y и энтропией контейнера :

4. .

Это свойство очевидно, так как скрытая пропускная способность не может быть больше энтропии искаженного стего Y. В свою очередь, в силу возможной потери информации из-за атакующего воздействия величина не может быть больше энтропии стего X, а из-за возможной потери информации при встраивании скрываемых сообщений равно или меньше энтропии пустого контейнера. Из теории информации известно, что энтропия источника контейнеров меньше или равна логарифму от мощности его алфавита [18]. Так как наиболее часто используются контейнеры в виде существенно избыточных изображений или речевых сигналов, то для таких контейнеров выполняется неравенство , что существенно уменьшает возможное значение скрытой ПС. Таким образом, в стегосистеме чем ближе характеристики дискретных контейнеров к бернуллиевскому распределению или непрерывных контейнеров к гауссовскому распределению, тем больше может быть величина скрытой ПС.

5. Величина для любых значений искажения , так как означает, что , то есть контейнер полностью совпадает со стего и никакой скрываемой информации не передается.

6. Если допустимо достаточно большое искажение , то для любого значения искажения может быть построена атака нарушителя, в которой формируется независимо от . Следовательно, в таком устранены все следы скрываемого сообщения и скрытая пропускная способность равна нулю для любых значений искажения кодирования . Таким образом, если атакующий имеет возможность подавлять канал передачи скрываемых сообщений неограниченно мощной помехой, то он гарантированно разрушит передаваемые сообщения. К счастью, во многих практических случаях информационного скрытия у нарушителя нет такого энергетического потенциала радиоэлектронного подавления или при его наличии им невозможно воспользоваться.

Сформулируем выводы из теоремы 3.3 и прокомментируем свойства скрытой ПС.

1. Теорема 3.3 определяет, что установление теоретической возможности скрытой безошибочной передачи информации и теоретической возможности противодействия этому сводится к вычислению величины скрытой ПС при известных стратегиях сторон и сравнению ее с требуемой скоростью передачи скрываемой информации. Если скрытая ПС меньше требуемой скорости, то даже теоретически не существует способа передачи скрываемых сообщений без искажений и задача атакующего по подавлению произвольных стегосистем гарантированно решается.

Оптимальная атака нарушителя заключается во внесении такого искажения , при котором величина скрытой ПС меньше требуемой скорости передачи скрываемых сообщений. Оптимальная стратегия скрывающего информацию заключается в выборе такого кодирования и такой величины искажения , при которых с учетом искажения требуемая скорость безошибочной передачи не превышает скрытой ПС. Это означает, что теоретически существует такой способ безошибочной передачи. Однако теоретическая возможность еще не означает, что скрывающий информацию способен реализовать ее на практике. Например, разработчик стегосистемы может не знать оптимальных принципов ее построения (они еще не открыты), из-за ограниченности в вычислительных ресурсах он не может себе позволить оптимальную обработку или требования к своевременности доставки скрываемых сообщений ограничивают длину N блока кодирования и так далее.

Таким образом, успех скрывающего информацию или атакующего определяется в конечном счете соотношением между скоростью передачи R и величинами искажения и контейнера, в котором скрывается информация. Рассмотренная теорема информационного скрытия при активном противодействии нарушителя очень напоминает фундаментальную теорему К. Шеннона, в которой определяется, что существует способ безошибочной передачи сообщений по каналу с помехами, если скорость передачи меньше пропускной способности канала, и невозможна достоверная передача со скоростью, большей пропускной способности. К. Шеннон также показал, что существуют зависимости между отношением мощности полезного сигнала к мощности помех в канале связи и величиной скорости безошибочной передачи сообщений по этому каналу. Аналогично этому, в информационно-скрывающем противоборстве существуют подобные зависимости между отношением величины искажения кодирования к величине искажения атакующего воздействия и величиной скорости безошибочной передачи скрываемых сообщений по стегоканалу.

Однако при внешнем сходстве у задач открытой и скрытой передачи есть существенные различия. Открытая связь осуществляется в условиях воздействия случайных помех канала связи, а передача скрываемой информации должна быть обеспечена при оптимизированном преднамеренном противодействии организованного нарушителя.

2. Рассмотрим связь задачи информационного скрытия с задачей защиты информации от перехватчика в подслушивающем канале. В 1975 году американский ученый А.Вайнер предложил метод защиты информации от чтения нарушителем, заложивший основу теории кодового зашумления [19,20]. Отправитель дискретных сообщений осуществляет их случайное избыточное кодирование на передаче и передает преобразованные сообщения получателя по основному каналу связи. Нарушитель наблюдает их в подслушивающем канале, который является отводом от основного канала. Случайное кодирование на передаче построено таким образом, что если в подслушивающем канале есть ошибки, то при декодировании они размножаются и надежно искажают защищаемую информацию. Метод кодового зашумления предназначен для систем передачи, в которых основной канал безошибочный. Например, основной канал образован на основе волоконно-оптической линии, а нарушитель пытается вести разведку по каналам побочного электромагнитного излучения и наводок, в которых в силу их природы имеется большое число ошибок. Отметим, что нарушитель знает описание системы кодового зашумления, которая не использует секретной ключевой информации (способ защиты некриптографический). Подслушивающий канал характеризуется секретной ПС, которая есть максимальная скорость безошибочной передачи по основному каналу при условии, что неопределенность для перехватчика максимальна (неопределенность защищаемых сообщений равна энтропии этих сообщений). Однако если подслушивающий канал менее шумный, чем основной канал, то секретная ПС равна нулю.

В задаче информационного скрытия атакующий способен на большее, чем обычный перехватчик в подслушивающем канале, так как он после перехвата защищаемого сообщения преднамеренно искажает основной канал. Поэтому основной канал передачи не менее шумный, чем подслушивающий канал. Следовательно, в задаче информационного скрытия с активным нарушителем секретная ПС равна нулю.

3. Выбор переменной U независимо от контейнера , как это делается в системе водяного знака согласно рис. 3.2, является в общем случае не оптимальным. Анализ выражения (3.8) показывает, что скорости безошибочной передачи в этом случае ограничены сверху величиной .

4. Пусть выполняется условие . Если атакующему известно описание контейнера , то оптимальная атака состоит просто в формировании искаженного стего в виде . В этом случае выходной сигнал после атакующего не содержит никаких следов сообщения и скрытая ПС равна нулю. На практике это означает следующее. Если нарушителю известен оригинал защищаемой от пиратского копирования мультимедийной информации, то никакие стегосистемы не защитят авторские и имущественные права производителей мультимедийной продукции.

Рассмотрим потенциально сильную атаку, в которой атакующий стремится сконструировать достаточно близкую к оригиналу оценку контейнера . Если атакующий способен синтезировать искаженное стего Y такое, что , то платеж ограничен сверху величиной

(3.12)

для всех U. Следовательно, величина скрытой ПС стегоканала < .

Таким образом, если нарушитель способен сформировать достаточно точную оценку контейнера (иными словами, выполняется неравенство , где величина ε достаточно мала), то величина скрытой ПС ограничена этой малой величиной. А на практике это означает, что располагая подписанным водяным знаком стего, нарушитель может попытаться воспроизвести из него с некоторой допустимой погрешностью пустой контейнер, из которого удалено скрываемое сообщение. Такие примеры известны еще с доэлектронных времен стеганографии. Например, если перерисовать картину, заверенную художником малозаметными для визуального восприятия авторскими знаками, то хорошая копия может быть практически неотличима от оригинала (по крайней мере, для обычных зрителей), а авторские знаки, скорее всего, будут разрушены.

 

3.4. Двоичная стегосистема передачи скрываемых сообщений

Определим величину скрытой ПС стегосистемы, в которой алфавит скрываемых сообщений, контейнеров, ключей и стего является двоичным алфавитом . Пусть контейнер формируется источником Бернулли, то есть символы последовательности контейнера являются независимыми друг от друга и равновероятными. Функция искажения описывается расстоянием Хэмминга: , если и в ином случае. Описание контейнера является секретным ключом стегосистемы ( ) и известно декодеру. Пусть двоичная последовательность формируется независимо и равновероятно. Стегограммы формируются в виде , где операция есть суммирование по модулю 2. Переменная Z имеет бернуллиевское распределение и отображает скрываемое сообщение M с искажением . Искажение означает, что каждый символ двоичной последовательности Z отличается от соответствующего символа двоичной последовательности M с вероятностью . Преобразование сообщения M в последовательность Z выполняется скрывающим информацию с использованием кодера с искажением . Нарушитель обрабатывает стего наложением на него двоичной шумовой последовательности , в которой единичный символ порождается с вероятностью . Получатель суммирует искаженное стего с двоичной последовательностью по модулю 2, и из полученной таким образом двоичной последовательности декодирует принятое скрываемое сообщение . Особенностью этой стегосистемы является то, что в ней скрываемое сообщение при встраивании искажается с вероятностью искажения и это искажение равно искажению кодирования стего. Такая стегосистема показана на рис. 3.3.

Рис. 3.3. Структурная схема двоичной стегосистемы

Утверждение 3.5: Для двоичной стегосистемы при величинах искажений скрытая ПС определяется в виде

, (3.13)

где, по определению, , и .

Оптимальная атака нарушителя определяется в виде , где есть случайная двоичная последовательность, распределенная по бернуллиевскому закону с вероятностью появления единичного символа . Для и скрытая ПС равна . Для и , скрытая ПС равна .

Опишем распределения переменных стегосистемы, при которых достигается такая величина скрытой пропускной способности. Для данной стегосистемы переменную U можно формировать как U = X или U = Z, причем оба варианта выбора могут быть оптимальны, так как в качестве операции встраивания используется операция суммирования по модулю 2.

Для и скрытая ПС равна . Заметим, что на первый взгляд удивительно, что при скрытая ПС не равна нулю независимо от значения . Это объясняется тем, что при преобразовании скрываемого сообщения M в последовательность искажение не является равновероятным: скрывающий информацию может выбрать такое распределение ошибок , при котором минимизируется изменение сообщения M. Для скрытая ПС равна нулю при любых значениях . Нетрудно заметить, что при выход канала связи не зависит от его входа X, что означает обрыв канала связи. И если при обрыве канала связи не передается никакой информации по открытому каналу связи, то тем более не передается по скрытому каналу, образованному на основе открытого канала.

Применим следствие 3.4 для анализа двоичной стегосистемы. Мы должны проверить, что распределения для и имеют седловую точку платежа . Сначала зафиксируем . Полагая , получим

где равенство (а) справедливо в соответствии с определением условной взаимной информации, (b) выполняется благодаря тому, что есть марковская цепь, неравенство (с) справедливо, так как условие уменьшает энтропию. Равенство достигается в (с) если и только если , следовательно, независима от . Неравенство (d) справедливо, так как Z и W независимы в силу того, что формируют марковскую цепь и . Равенство достигается, если переменная Z имеет бернуллиевское распределение с дисперсией . Распределение удовлетворяет обоим неравенствам с равенством и поэтому максимизирует значение

Второй шаг заключается в фиксации и минимизации над . При определенном ранее распределении , и независимы. Так как формирует марковскую цепь,  и также независимы.

Мы имеем

,

где неравенство (а) справедливо, так как условие уменьшает энтропию, и неравенство (b) справедливо потому, что Z и W независимы и , которое становится равенством, если W — переменная с бернуллиевским распределением с вероятностью единичного символа .

Рассмотренная двоичная стегосистема похожа на систему шифрования однократной подстановки (шифр гаммирования с бесконечной равновероятной независимой шифрующей гаммой). При независимой и равновероятной последовательности выполняется равенство , что означает, что эта система удовлетворяет требованию к совершенным криптосистемам [1], следовательно, перехват и анализ криптограммы Х не дает атакующему никакой информации о защищаемом сообщении Z. Однако эта двоичная система удовлетворяет также требованию к совершенным стеганографическим системам: распределения и идентичны, поэтому для нарушителя невозможно определить, принадлежат ли перехваченные данные к распределению пустых контейнеров или к распределению стего со встроенным сообщением [17]. Подробно совершенные стегосистемы будут описаны в следующем разделе. Однако заметим, что в рассматриваемой стегосистеме предполагается, что контейнеры и, соответственно, стегограммы описываются бернуллиевским распределением, что обычно не характерно для реальных систем скрытия информации.

Рассмотрим пример двоичной стегосистемы с выбором U = Z. Пусть требуется скрытно передать сообщение M, которое является цифровым представлением речевого сигнала. Первые несколько отсчетов речевого сигнала в моменты времени дискретизации t1, t2, t3, t4 принимают десятичные значения M1 = 0, M2 = 17, M3 = 35, M4 = 67 (рис. 3.4а). В общем виде скрываемое сообщение может быть представлено в виде M = (M1, M2, M3, M4,). В двоичной форме скрываемое сообщение запишем как

M1 = 0000 0000, M2 = 0001 0001, M3 = 0010 0011, M4 = 0100 0011,

В данной записи младшие двоичные разряды расположены справа. Преобразуем двоичную последовательность M в двоичную последовательность Z с погрешностью . В двоичной стегосистеме погрешность кодирования вычисляется по метрике Хэмминга. Пусть искажение = 1/8. Следовательно, для формирования последовательности = ( , , , ,…) скрывающий информацию искажает восьмую часть битов последовательности M. Для уменьшения погрешности скрываемого сообщения ему целесообразно искажать только младшие биты двоичной последовательности M. Поэтому скрывающий информацию выберет последовательность Z, например, такого вида: = 0000 0001, = 0001 0010, = 0010 0011, = 0100 0010,…

#i_319.png

Рис. 3.4. Пример двоичной стегосистемы с искажениями D1 = 1/8 и D2 = 1/16

В десятичном виде последовательность Z показана на рис. 3.4б. C помощью генератора случайных чисел сформируем секретный ключ K = (K1, K2, K3, K4, …).

K1 = 1001 0101, K2 = 0010 1110, K3 = 1101 1001, K4 = 0110 1001, …

Сформируем стегограмму по правилу , где X = ( , , , ,).

= 1001 0100, = 0011 1100, = 1111 1010, = 0010 1011,

Пусть искажение = 1/16. Нарушитель случайным образом формирует двоичную последовательность W, в которой вероятность появления единичных символов равна . Например, W = ( , , , ,) имеет вид

= 0000 0100, = 0000 0000, = 0000 0010, = 0000 0000,

Атакующее воздействие представляет собой сложение по модулю 2 стегограммы X и шумовой последовательности W. Образованное искаженное стего Y = ( , , , ,) имеет вид

= 1001 0000, = 0011 1100, = 1111 1000, = 0010 1011,

Получатель складывает последовательность Y с последовательностью ключа K для формирования принятой .

= 0000 0101, = 0001 0010, = 0010 0001, = 0100 0010,

В декодере получатель восстанавливает сообщение M из последовательности . В самом простом случае = . Вид последовательности показан на рис. 3.4 в. Если скрываемое сообщение представляет собой речевой сигнал, то при указанных величинах искажений и степень близости M и , то есть качество обеспечиваемой скрытой телефонной связи, для ряда телекоммуникационных задач может быть оценено удовлетворительной.

 

3.5. Теоретико-игровая формулировка информационно-скрывающего противоборства

Скрывающий информацию выбирает алфавит и скрывающее преобразование из множества . Атакующий выбирает атакующее воздействие из множества . В теореме 3.3 предполагается, что атакующий знает распределение , а декодер знает распределения Q и . Это вполне разумное предположение, хотя оно может в некоторых случаях и не выполняться на практике. Рассмотрим теоретико-игровую постановку противоборства между скрывающим информацию и атакующим.

Скрывающий информацию. Он желает обеспечить гарантированную скорость безошибочной передачи при любой атаке, при которой атакующее воздействие приводит к величине искажения не более согласно выражения (3.7). Пусть он синтезирует стегосистему при предположении, что атакующий знает описание используемого скрывающего преобразования. При этом предположении скрывающий информацию может гарантировать, что минимальная скорость безошибочной передачи скрытой информации определяется выражением (3.9), которое для удобства повторяем:

.

Такой метод часто рассматривается как безопасная стратегия в теории игр [21]. Для максимизации скорости согласно выражения (3.9), декодер получателя должен знать описание используемого атакующего воздействия.

Атакующий: Он стремится минимизировать скорость безошибочной передачи при любой стратегии скрытия информации, которая удовлетворяет искажению кодирования не более согласно выражения (3.5). Соответственно, нарушитель должен знать описание используемого скрывающего преобразования. Он может строить атакующее воздействие при прежнем предположении, что скрывающий информацию и декодер знают вероятностные характеристики используемого воздействия. При этом предположении, зная описание используемого скрывающего преобразования, атакующий может гарантировать, что скрываемая информация не способна надежно передаваться на скорости большей, чем

. (3.14)

Седловая точка. В соответствии с терминологией теории игр, величины пропускной способности согласно выражений (3.9) и (3.14) являются, соответственно, нижней и верхней ценой игры [21]. Если они равны, их значение определяет седловую точку игры. Скрывающий информацию и атакующий выбирают, соответственно, распределения и , которые удовлетворяют условию седловой точки.

Если какая-либо из противоборствующих сторон выбирает стратегию, отличающуюся от условия седловой точки, а вторая сторона придерживается условия седловой точки, то первая сторона уменьшает свои шансы на успех

, . (3.15)

Из выражения (3.15) видно, что если нарушитель использует неоптимальную стратегию , то величина скрытой ПС может быть увеличена по сравнению со случаем равновесия игры ( ). Соответственно, если скрывающий информацию отклоняется от своей оптимальной стратегии , то величина скрытой ПС может быть уменьшена.

Таким образом, если действия противоборствующих сторон заранее известны (случай чистых стратегий обоих игроков), то обоим целесообразно придерживаться условия седловой точки игры. Этот случай удобен для расчета величины скрытой ПС стегоканала. Однако в реальных информационно-скрывающих системах противоборствующие стороны стремятся скрыть стратегию своих действий. Атакующий может попытаться достоверно определить используемое скрывающее преобразование, анализируя перехваченные стего. Соответственно, декодер может пытаться вычислить вероятностные характеристики атакующего воздействия, анализируя искаженные стего. Для достоверной оценки и необходимо иметь универсальный декодер на множестве и , соответственно. Существует развитая теория универсального декодирования для составных каналов [18], но расширение этой теории и построение практически реализуемых алгоритмов универсального декодирования для информационно-скрывающих систем пока является нерешенной проблемой. Поэтому для реальных стегосистем характерны ситуации, когда точные описания стратегий действий игроков неизвестны.

Смешанные стратегии: Рассмотрим случай, когда игроки не знают стратегию оппонента. Это означает использование смешанной стратегии в теоретико-игровой терминологии. В этом случае скрывающий информацию и атакующий неизвестным для противостоящей стороны образом выбирают используемые стратегии и Q в соответствии с вероятностными распределениями и .

Таким образом, скрывающее преобразование и атакующее воздействие могут быть неэргодичны на длительных промежутках. Например, множество возможных стратегий для атакующего может включать недетерминированно выбираемые атаки из программы Stirmark [22]. Эта программа широко используется для тестирования практических систем водяного знака, использующих в качестве контейнера изображение. Множество возможных стратегий для скрывающего информацию может включать стратегию рандомизированного кодирования с расширением спектра [4], или недетерминированное квантование контейнера [23], или недетерминированные встраивание с одновременным изменением скрываемого речевого сигнала и контейнерного речевого сигнала [24]. При использовании смешанных стратегий скрывающий информацию на распределении , максимизирует платеж, равный , а атакующий минимизирует этот платеж на распределении . Для неэргодических скрывающих преобразований и атакующих воздействий определим средние искажения в виде

, (3.16)

, (3.17)

на распределениях и . Преимущество определения искажений в виде (3.16) и (3.17) заключается в том, что требуется учитывать только два искажения вместо значений искажений для каждой возможной пары распределений в выражениях (3.5) и (3.7).

Однако точное описание информационно-скрывающего противоборства при смешанных стратегиях противостоящих сторон затруднительно, так как возможное множество зависит от множества при распределении . В соответствии с теоретико-игровой терминологией, эти множества являются связанными [21]. К счастью, в некоторых случаях связь между этими множествами может быть несущественной. Например, это выполняется при малых величинах искажений и по сравнению с энергией контейнера, независимых от информационно-скрывающей стратегии, когда распределение стегограмм асимптотически приближается к распределению контейнеров. Этот случай будет далее рассмотрен в пункте 3.8. Если зависимость между множествами и является незначительной, то теоретико-игровой анализ дает следующие результаты. Сначала заметим, что функция непрерывна и ограничена сверху и снизу, и ее аргументы принадлежат компактному подмножеству. В общем случае функция выпукла в Q, но не вогнута в . Следовательно, оптимальной стратегией атакующего является чистая стратегия, в то время как оптимальной стратегией для скрывающего информацию есть смешанная стратегия.

Отметим, что использование смешанной стратегии защиты информации характерно для многих задач передачи информации в условиях преднамеренных помех. Примером является работа радиолинии в режиме псевдослучайной перестройки рабочей частоты (ППРЧ). Перескоки по частоте непредсказуемы для атакующего, осуществляющего радиоэлектронное подавление радиолинии. Атакующий, зная, что вероятность использования каждого значения частоты примерно равновероятна, максимизирует свои шансы на подавление радиолинии формированием заградительной помехи с равновероятным распределением в полосе рабочих частот. Известно, что выбор рандомизированной стратегии отправителем (работа в режиме ППРЧ) существенно повышает его шансы на доставку сообщений в условиях радиоэлектронного подавления, а выбор атакующим чистой стратегии максимизирует вероятность успешного подавления [25]. Возвращаясь к стегосистемам, отметим, что скрывающий информацию существенно повышает свои шансы на безошибочную доставку скрываемых сообщений в условиях активного противодействия, если стратегия скрытия неизвестна оппоненту. Поэтому целесообразно держать в секрете от атакующего выбранное распределение , а чтобы атакующий не смог определить его в процессе наблюдения за каналом, оно должно изменяться во времени непредсказуемым для оппонента образом.

Приведем простой пример смешанной стратегии скрывающего информацию и чистой стратегии атакующего. Пусть отправитель и получатель скрываемых сообщений для их встраивания и извлечения используют синхронно работающие криптографически стойкие генераторы псевдослучайных последовательностей. Напомним, что криптографически стойким генератором называется такой генератор, для которого нарушитель с полиномиально ограниченными вычислительными ресурсами, наблюдая за его выходной последовательностью произвольной длины, не в состоянии предсказать очередной генерируемый символ с вероятностью выше вероятности случайного угадывания [26]. В качестве начального заполнения в такие генераторы отправителем и получателем скрываемых сообщений записывается секретный ключ, и генераторы одновременно запускаются. Выходная последовательность генератора определяет те элементы контейнера, в которые встраиваются скрываемые сообщения, а оставшиеся элементы контейнера передаются без изменения. Если нарушитель не в состоянии различить между собой элементы стего и пустого контейнера, то для него оптимальное подавление стегоканала заключается в наложении на перехватываемую последовательность равновероятных ошибок. В описанной стегосистеме чем больше элементов пустого контейнера передается по сравнению с числом элементов стего, тем меньше вероятность разрушения скрываемых сообщений при фиксированной величине .

Далее в главе 4 будет показано, что рандомизированная стратегия полезна и для скрытия в тайне факта передачи сообщений при пассивном нарушителе.

Рис. 3.5. Информационно-скрывающее противоборство при чистой стратегии атакующего и смешанной стратегии скрывающего информацию

На рис. 3.5 проиллюстрирована игра между скрывающим информацию и атакующим. Атакующий придерживается чистой стратегии в вероятностном распределении , что на рисунке соответствует горизонтальной прямой, а скрывающий информацию — вероятностного распределения , что на рисунке обозначено вертикальной кривой справа. Кривая в центре рисунка определяет возможные значения цены игры при данном атакующем воздействии. Выбором своей смешанной стратегии скрывающий информацию может повысить свой выигрыш. Для максимизации величины скрытой ПС он выбирает выгодную для себя точку на кривой в центре рисунка.

 

3.6. Стегосистемы с бесконечными алфавитами

 

Результаты, приведенные выше, могут быть расширены на случай стегосистем с бесконечными алфавитами контейнеров и стего X и ключей K. Заметим, что стегосистемы с непрерывными сообщениями и ключами существенно отличаются от известных криптографических систем. Для бесконечномерных сигналов существуют криптосистемы, например, использующие частотные или временные преобразования речи или изображений. Системы шифрования, в которых криптографические преобразования осуществляются над непрерывными в пространстве или времени сигналами, называются маскираторами и, как правило, не обеспечивают высокой криптографической стойкости [27]. Забегая вперед, скажем, что в отличие от криптосистем, для стегосистем с бесконечными алфавитами известны доказуемые оценки их устойчивости к атакам нарушителя. К тому же маскираторы используют ключ конечной длины, элементы которого принадлежат дискретному алфавиту. И, вообще, представить себе произвольную криптосистему с ключом, элементы которого принадлежат бесконечному алфавиту, довольно затруднительно.

Расширим определение взаимной информации для переменных и K стегосистемы, принадлежащих бесконечным алфавитам в виде [25]:

где дискретные переменные и , принадлежащие конечным алфавитам, аппроксимируют с некоторой допустимой погрешностью соответствующие непрерывные переменные. Если все функции плотности вероятности являются абсолютно непрерывными, то результаты из пункта 3.3 справедливы при замене соответствующих сумм интегралами.

Особый интерес имеет случай контейнеров , распределенных по нормальному закону и оцениваемых среднеквадратической погрешностью вида . Назовем этот случай гауссовским контейнером. Он позволяет точно оценит величину скрытой ПС. Пусть множество X совпадает с множеством действительных значений, математическое ожидание значений отсчетов контейнера равно нулю и их дисперсия равна . В дальнейшем будем использовать условное обозначение нормального распределения с математическим ожиданием и дисперсией в виде .

Рассмотрим два случая. В первом случае секретным ключом К стегосистемы является контейнер . Во втором случае контейнер получателю не известен (слепая система скрытия информации).

Случай негауссовского распределения контейнера намного сложнее, но полезные результаты также могут быть получены. В частности, нижняя граница скрытой ПС может быть получена оценкой оптимальной атаки при конкретной, в общем случае подоптимальной, информационно-скрывающей стратегии . Нижние и верхние границы скрытой ПС могут быть вычислены оценкой оптимальной информационно-скрывающей стратегии при конкретной, в общем случае подоптимальной, атаке :

. (3.18)

Эти границы полезны для негауссовских контейнеров, полагая что распределения и выбраны соответствующим образом (см. пункт 3.8). Разумеется, если нижняя и верхняя границы в выражении (3.18) равны, пара распределений дает седловую точку платежа в формуле (3.8).

 

3.6.1. Использование контейнера как ключа стегосистемы

Рассмотрим случай, когда в качестве секретного ключа стегосистемы используется описание контейнера. Соответственно, ключ-контейнер должен быть известен получателю скрываемого сообщения. Для этого случая теорема 3.6 определяет величину скрытой ПС стегоканала с бесконечным алфавитом контейнеров.

Назовем гауссовским атакующим воздействием воздействие нарушителя, при котором искаженное стего имеет нормальное распределение с математическим ожиданием, величина которого пропорциональна среднему значению стего, и дисперсией, величина которой пропорциональна искажению .

Теорема 3.6: Пусть в стегосистеме с бесконечным алфавитом используется среднеквадратическая мера погрешности вида . При использовании контейнера в качестве секретного ключа K:

1) если контейнер имеет нормальное распределение с нулевым средним и дисперсией , то при использовании оптимального скрывающего преобразования величина скрытой ПС равна

(3.19)

где . Оптимальное скрывающее преобразование задается в виде , где переменная Z имеет нормальное распределение с нулевым средним и дисперсией и независима от контейнера . Оптимальная атака нарушителя есть гауссовское атакующее воздействие с функцией распределения вида

(3.20)

2) если контейнер является негауссовским с нулевым средним и дисперсией , то выражение (3.19) определяет верхнюю оценку скрытой ПС.

На рис. 3.6 представлена стегосистема с гауссовским контейнером и гауссовским атакующим воздействием. Скрываемое сообщение М преобразуется в последовательность Z с искажением кодирования не более . По условию последовательность Z описывается нормальным законом распределения с нулевым средним и дисперсией и независима от гауссовского контейнера . Нарушитель искажает стего X с помощью гауссовского атакующего воздействия. Для этого согласно рис. 3.6 на стего сначала накладывается шум W, описываемый нормальным законом распределения с нулевым средним и дисперсией , тем самым формируя промежуточную последовательность . Искаженное стего Y получается умножением последовательности V на коэффициент . На приемной стороне получатель восстанавливает суммированием последовательностей и .

Рис. 3.6. Стегосистема с гауссовским контейнером и гауссовским атакующим воздействием

Из формулы (3.19) видно, что величина скрытой ПС растет при увеличении отношения / и при уменьшении коэффициента . Коэффициент принимает минимальное значение, равное 1, при . Очевидно, что в реальных стегосистемах обычно > , следовательно, увеличение скрытой ПС может быть достигнуто за счет увеличения дисперсии . Скрытая ПС равна нулю, если , что соответствует случаю использования контейнера, энергия которого меньше величины искажения при атакующем воздействии.

Отметим, что в соответствии с выражением (3.19) для обеспечения ненулевой скрытой ПС при выполнении неравенства вклад обоих слагаемых суммы равноценен. Это потенциально обеспечивает возможность маневра при синтезе стегосистем: увеличивать или искажение кодирования при встраивании скрываемого сообщения или энергию контейнера, или сочетать оба подхода.

Для случая гауссовских контейнеров с распределением оптимальное атакующее воздействие легко синтезируется нарушителем. Атакующий просто заменяет стего шумовым сигналом, имеющим нормальное распределение с математическим ожиданием и дисперсией при . Если допустимое для нарушителя искажение достаточно велико, чтобы выполнилось неравенство , то согласно выражения (3.20) оптимальной стратегией нарушителя является, перехватив стего , замена его на сигнал , независимый от . Такая атака достаточно просто реализуется на практике. Таким образом, чтобы гарантированно подавить канал скрытой связи, нарушителю надо внести в стего искажение величиной порядка энергии контейнера.

В целом недопустимо малая величина скорости передачи скрываемой информации при активном противодействии нарушителя является основным недостатком многих ранее предложенных системах водяного знака, в которых водяной знак прячется в наименее значимых битах контейнера, что является уязвимым даже к небольшим по величине искажениям . Такие водяные знаки легко удаляются атакующим простой рандомизацией наименее значимых битов, при этом в контейнер вносятся минимальные искажения. Следовательно, в более совершенных системах водяные знаки должны скрытно внедряться в существенно значащие компоненты контейнера. Однако при этом увеличивается величина искажения кодирования и поэтому ухудшается качество контейнера (что актуально для систем ЦВЗ) или ухудшается незаметность стегоканала (что актуально для систем скрытия от нарушителя факта передачи информации).

Таким образом, задача синтеза стегосистемы может быть сформулирована как задача поиска компромисса между ее характеристиками, так как улучшение одного ее параметра, например, величины скрытой ПС, приходится обеспечивать за счет других параметров, таких как скрытность передачи информации или устойчивость к разрушающему воздействию.

 

3.6.2. Слепая стегосистема с бесконечным алфавитом

Рассмотрим стегосистему с бесконечным алфавитом, в которой декодеру получателя неизвестно описание использованного отправителем контейнера. Очевидно, что скорость достоверной передачи скрываемой информации в слепых системах не может быть выше, чем скорость передачи в случае, когда декодер имеет доступ к дополнительной информации, такой как использованный контейнер. Поэтому в слепых стеганографических системах величина скрытой ПС ограничена сверху выражением (3.19) для произвольных распределений контейнерных сигналов.

Рассматриваемая далее теорема 3.7 для слепых стегосистем определяет оптимальную стратегию скрывающего информацию и оптимальное атакующее воздействие для гауссовских контейнеров. Эта пара оптимальных стратегий противоборствующих сторон формирует решение седловой точки. Оптимальная атака нарушителя описывается гауссовским атакующим воздействием с распределением согласно выражения (3.20). Теорема 3.7 также определяет величину скрытой ПС для слепых информационно-скрывающих систем.

Теорема 3.7. Пусть в слепой стегосистеме с бесконечным алфавитом используется среднеквадратическая мера искажения вида . Контейнер описывается нормальным распределением с нулевым математическим ожиданием и дисперсией . Тогда следующее построение стегосистемы дает седловую точку платежа в выражении (3.8):

где коэффициенты принимают значения , переменная описывается нормальным распределением с нулевым математическим ожиданием и дисперсией и независима от контейнера , а распределение описывает гауссовское атакующее воздействие вида (3.20). Величина скрытой ПС слепой стегосистемы определяется выражением (3.19).

Таким образом, в общем случае максимальная скорость безошибочной передачи скрытой информации не зависит от того, знает или нет декодер описание контейнера.

Прокомментируем суть теоремы 3.7.

1. Рассмотрим построение скрывающего преобразования в виде , где значение отличается от оптимальной величины . Скорость безошибочной передачи скрываемых сообщений определяется в виде:

(3.21)

Рассмотрим частный случай построения скрывающего преобразования, при котором коэффициент . Это означает, что встраивание скрываемого сообщения совершенно не зависит от используемого контейнера . В явном виде этот вариант построения стегосистемы показан на рис. 3.2.

Из выражения (3.21) определим скорость безошибочной передачи для такого класса кодеров стегосистемы для случая малых искажений контейнера в виде

. (3.22)

Игнорирование характеристик контейнера существенно уменьшает скорость надежной передачи скрываемой информации. Уменьшение величины скрытой ПС при отклонении от оптимального построения скрывающего преобразования наглядно показано на рис. 3.7. Из графика видно, насколько величина скрытой ПС при оптимальном построении (сплошная линия) превышает величину скрытой ПС при неиспользовании характеристик контейнера выбором (штрих-пунктирная линия). При заданных величине искажения = 1 и дисперсии контейнера игнорирование характеристик контейнера приводит к снижению величины скрытой ПС в десятки раз.

Рис. 3.7. Зависимость скрытой ПС стегоканала с гауссовским контейнером при и ,

оптимальное скрывающее преобразование,

скрывающее преобразование при ,

скрывающее преобразование при .

Для оптимального построения скрывающего преобразования, если искажение кодирования существенно больше энергии контейнера , величина скрытой ПС очень мала. По мере увеличения величины искажения кодирования скрытая ПС быстро увеличивается, достигая максимума при .

2. Рассмотрим построение стегосистемы при выборе (соответственно, ). Практическая схема такой стегосистемы, в которой кодер построен по принципу кодовой книги, описана в [23]. Из выражения (3.21) следует, что максимальная скорость такой системы равна . Можно показать, что скорость передачи скрываемых сообщений равна нулю для . Следовательно, при выполнении неравенства такие стегосистемы нереализуемы. Зависимость скрытой ПС для случая вида показана на рис. 3.7 пунктирной линией при параметрах и . Из представленных графиков видно, что из-за неоптимальности построения стегосистемы для случая вида максимальный проигрыш в величине скрытой ПС составляет порядка 0,15 бит на отсчет гауссовского контейнера.

Из двух рассмотренных случаев очевидно, что стегосистему целесообразно строить для выбора , где .

3. Рассмотрим возможные атаки нарушителя на слепую стегосистему с бесконечным алфавитом. Атака с аддитивным белым гауссовским шумом со средним значением и мощностью является в общем случае подоптимальной, но она становится асимптотически оптимальной при так как в этом случае . Напротив, атака, в которой делается попытка разрушить скрытое сообщение путем восстановления пустого контейнера из перехваченного стего с использованием правила максимальной апостериорной вероятности (МАВ) вида , является совершенно неэффективной. В такой атаке , поэтому значения X и Y совпадают при . В этом случае условие выполняется с равенством и данная атака не способна удалить скрываемую информацию. Однако на практике такая стратегия действий нарушителя может быть достаточно эффективной, если законным получателем используется неоптимальный декодер, например, восстанавливающий водяные знаки при простом масштабировании яркости пикселов изображений, что приводит к невозможности обнаружения водяных знаков в таких декодерах.

4. На рис. 3.7 представлены зависимости достижимой скорости безошибочной передачи для гауссовских контейнеров при различных информационно-скрывающих стратегиях. Скорость является функцией от величины искажения при искажении с дисперсией контейнера . Показано, что при использовании оптимальной стратегии в каждом отсчете гауссовского контейнерного сигнала можно надежно передавать до 0,5 бит скрываемой информации (сплошная линия). В ряде работ приведены оценки достигнутых в реально построенных стегосистемах скоростей передачи скрываемой информации [4,5]. Достигнутые скорости во много раз меньше величины скрытой ПС, что должно стимулировать поиск более совершенных принципов построения стегосистем.

5. Вернемся к случаю малых искажений при . Из теории связи известно, что для достижения скорости безошибочной открытой передачи информации очень близкой к величине пропускной способности канала связи, требуется построить блочный код достаточно большой длины N, для которого количество кодовых комбинаций равно [25]. Соответственно, сложность реализации декодера системы открытой передачи пропорциональна числу вычислительных операций