تحليل الإخفاء: اكتشاف الرسائل المخفية

إن أبسط تقنية لتحليل الإخفاء المعلوماتي هي النظر عن قرب إلى الصورة المشبوهة. ويمكن أن يكشف التكبير إلى مستوى البكسل وفحص مناطق الألوان الموحدة عن تشوهات كتلية أو أنماط ضوضاء لا تتوافق مع محتوى الصورة. كما قد يكشف تحويل الصورة إلى تدرج رمادي وضبط التباين وفحص مخططات الألوان التكرارية عن شذوذات تشير إلى حدوث تضمين خفي في مناطق محددة.

يُعد اختبار كاي تربيع اختبارًا إحصائيًا تقليديًا للكشف عن الإخفاء باستخدام LSB. وتتميز الصور الطبيعية بتوزيعات خاصة لقيم الألوان، إذ تظهر أزواج القيم المتجاورة الزوجية والفردية بتكرارات متقاربة. ويغير تضمين LSB القيم الفردية إلى زوجية أو العكس، مما ينشئ اختلالات قابلة للكشف في هذه الأزواج. ويقيس إحصاء كاي تربيع الانحراف عن تكرارات الأزواج المتوقعة، ويرتفع بشكل ملحوظ عند اكتشاف التضمين.

يُعد تحليل أزواج العينات كاشفًا أكثر تطورًا لتضمين LSB، إذ يقدّر طول الرسالة المضمّنة، وليس مجرد تحديد ما إذا كان التضمين قد حدث. ويحصي الانتقالات بين أزواج قيم البكسلات المتجاورة، ثم ينمذج كيفية تغير هذه الأعداد مع اختلاف كمية البيانات المضمّنة. ومن خلال مواءمة الأعداد المرصودة مع النموذج، يمكن للمحلل تقدير نسبة سعة الحامل التي استُخدمت.

تقارن مقاييس جودة الصور، مثل PSNR (نسبة الإشارة إلى الضوضاء القصوى) وSSIM (مؤشر التشابه البنيوي)، الصورة المشبوهة بمرجع نظيف مفترض أو بنموذج إحصائي للصور الطبيعية. وتشير قيمة PSNR المرتفعة جدًا إلى تعديل طفيف للغاية، بينما يشير توزيع الضوضاء المتجانس بشكل غير اعتيادي عبر الصورة، بدلًا من تركّزه في المناطق المعقدة، إلى معالجة منهجية لـ LSB لا إلى ضوضاء الكاميرا الطبيعية.

يقسم تحليل RS بكسلات الصورة إلى مجموعات، ويصنّفها إلى منتظمة ومفردة وغير قابلة للاستخدام، بناءً على كيفية تغير مقياس نعومتها عند قلب بتات LSB. وفي الصور الطبيعية تتجاوز نسبة المجموعات المنتظمة نسبة المجموعات المفردة قليلًا. ويجعل تضمين LSB هاتين النسبتين متساويتين بطريقة يمكن التنبؤ بها. ويوفر قياس قيمتي R وS قبل قلب بتات LSB وبعده كاشفًا قويًا يقدّر معدل التضمين.

يُصمَّم التحليل الموجّه للكشف عن الإخفاء لاكتشاف أداة أو خوارزمية محددة للإخفاء المعلوماتي، وذلك باستغلال بصمتها الإحصائية الخاصة. أما التحليل الأعمى، الذي يُسمى أيضًا التحليل الشامل، فيحاول اكتشاف أي محتوى مخفي من دون معرفة الأداة المستخدمة. وتستخرج الأساليب العمياء عادةً مئات السمات الإحصائية من الصورة، ثم تستخدم مصنّفات تعلّم آلي مدرّبة على صور نظيفة معروفة وصور تحتوي على إخفاء.

يستخدم التحليل الحديث للإخفاء المعلوماتي شبكات عصبية التفافية مدرّبة على مجموعات بيانات كبيرة من الصور النظيفة والصور التي تحتوي على إخفاء. وتتعلم CNN تحديد الفروق الإحصائية الدقيقة من الرتبة الثانية التي يسببها التضمين الخفي. وتحقق نماذج مثل SRNet وYedroudj-Net معدلات اكتشاف مرتفعة جدًا ضد أدوات الإخفاء المعلوماتي الحالية، حتى عند معدلات تضمين منخفضة تبلغ 0.1 بت لكل بكسل. ولا يزال سباق التسلح بين التضمين والكشف مستمرًا.

StegExpose أداة مفتوحة المصدر للتحليل الجماعي للكشف عن الإخفاء، وتشغّل عدة خوارزميات للكشف على مجموعة من الصور ثم تدمج النتائج. وهي تطبق اختبار كاي تربيع وتحليل RS وprimary sets وتحليل أزواج العينات، وتنتج درجة احتمالية مجمّعة. وتستخدمها فرق الأمان لفحص مستودعات كبيرة من الصور بحثًا عن عمليات محتملة لاستخراج البيانات. وهي فعالة ضد أدوات شائعة مثل Steghide وOpenStego وOutguess.

تترك كثير من أدوات الإخفاء المعلوماتي تشوهات مميزة تتجاوز الشذوذات الإحصائية. فعلى سبيل المثال، ينتج Steghide نمطًا محددًا في البايتات القليلة الأولى من ملفات WAV المعدلة. ويعدل OpenPuff ترويسة الملف بطريقة يمكن تمييزها. وتتيح بصمات الأدوات هذه لبرامج التحليل الجنائي تحديد ليس مجرد استخدام الإخفاء المعلوماتي، بل الأداة المحددة المستخدمة أيضًا، مما يساعد في توجيه محاولة الاستخراج.

قد تشير الملفات الأكبر من المتوقع بالنسبة إلى نوع محتواها إلى وجود حمولة مخفية. فقد تحتوي لقطة شاشة بتنسيق PNG يبلغ حجمها ضعف الحجم المتوقع لأبعادها على أرشيف مخفي. وتوفر مقارنة أحجام الملفات الفعلية بالأحجام المتوقعة استنادًا إلى الأبعاد وعمق الألوان وإعدادات الضغط طريقة فرز أولي سريعة لتحديد الملفات المشبوهة قبل إجراء تحليل مفصل للكشف عن الإخفاء.

تبحث تحقيقات الأدلة الجنائية الرقمية عن علامات تثبيت أدوات الإخفاء المعلوماتي أو استخدامها، وليس عن الملفات الحاملة نفسها فقط. ويمكن أن تكون سجلات المتصفح التي تُظهر زيارات إلى صفحات تنزيل برامج الإخفاء المعلوماتي، والتطبيقات المثبتة مثل OpenStego، والملفات المؤقتة الناتجة عن عمليات الإخفاء، مؤشرات جنائية رقمية. وقد تسجل إدخالات السجل في Windows الملفات المفتوحة مؤخرًا التي استُخدمت كحوامل أو كمصادر لبيانات مخفية.

يمتد تحليل الإخفاء المعلوماتي من الفحص البصري إلى مصنّفات تعلّم آلي متطورة. ويُعد اختبار كاي تربيع وتحليل RS كاشفين إحصائيين تقليديين لتضمين LSB. ويقدّر تحليل أزواج العينات معدل التضمين. وتحقق شبكات CNN الخاصة بتعلّم الآلة معدلات اكتشاف مرتفعة ضد الأدوات الحديثة. وتجمع StegExpose اختبارات متعددة لفحص مجموعات من الملفات. كما توفر بصمات الأدوات وشذوذات حجم الملفات مؤشرات جنائية رقمية إضافية تتجاوز التحليل الإحصائي البحت.