Steganalyse: Detektering af skjulte meddelelser

Den mest grundlæggende steganalyseteknik er ganske enkelt at se nøje på et mistænkeligt billede. Hvis man zoomer ind på pixelniveau og undersøger områder med ensartede farver, kan man opdage blokartefakter eller støjmønstre, der ikke passer til billedets indhold. Konvertering til gråtoner, justering af kontrasten og undersøgelse af farvehistogrammer kan afsløre anomalier, som tyder på, at steganografisk indlejring er forekommet i bestemte områder.

Chi-i-anden-testen er en klassisk statistisk test for LSB-steganografi. Naturlige billeder har karakteristiske fordelinger af farveværdier, hvor par af tilstødende lige og ulige værdier forekommer med næsten samme hyppighed. LSB-indlejring ændrer ulige værdier til lige eller omvendt, hvilket skaber målbare ubalancer i disse par. Chi-i-anden-statistikken måler afvigelsen fra de forventede parhyppigheder og stiger markant, når indlejring registreres.

Analyse af prøvepar er en mere avanceret LSB-detektor, der estimerer længden på den indlejrede meddelelse og ikke kun, om der er foregået indlejring. Den tæller overgangene mellem nabopar af pixelværdier og modellerer, hvordan disse tællinger ændrer sig ved forskellige mængder indlejrede data. Ved at tilpasse de observerede tællinger til modellen kan en analytiker estimere, hvor stor en andel af bærerens kapacitet der er blevet brugt.

Billedkvalitetsmål som PSNR (maksimalt signal-støj-forhold) og SSIM (strukturelt lighedsindeks) sammenligner et mistænkeligt billede med et antaget rent referencebillede eller med en statistisk model af naturlige billeder. Meget høj PSNR tyder på minimal ændring. En unormalt jævn støjfordeling over billedet, i stedet for en fordeling koncentreret i komplekse områder, tyder på systematisk LSB-manipulation snarere end naturlig kamerastøj.

RS-analyse opdeler billedets pixels i grupper og klassificerer dem som regulære, singulære eller uanvendelige ud fra, hvordan deres glathedsmål ændres, når LSB'erne vendes. I naturlige billeder er andelen af regulære grupper en smule større end andelen af singulære grupper. LSB-indlejring udjævner disse andele på en forudsigelig måde. Måling af R- og S-værdier før og efter vending af LSB'erne giver en robust detektor, der estimerer indlejringsraten.

Målrettet steganalyse er udviklet til at opdage et bestemt steganografiværktøj eller en bestemt algoritme ved at udnytte værktøjets særlige statistiske signatur. Blind steganalyse, også kaldet universel steganalyse, forsøger at opdage skjult indhold uden at vide, hvilket værktøj der blev brugt. Blinde metoder udtrækker typisk hundredvis af statistiske egenskaber fra billedet og bruger maskinlæringsklassifikatorer, der er trænet på kendte rene billeder og stego-billeder.

Moderne steganalyse bruger konvolutionelle neurale netværk, der er trænet på store datasæt med rene billeder og stego-billeder. CNN'et lærer at identificere de subtile statistiske forskelle af anden orden, som steganografisk indlejring medfører. Modeller som SRNet og Yedroudj-Net opnår meget høje detektionsrater mod moderne steganografiværktøjer, selv ved lave indlejringsrater på 0,1 bit pr. pixel. Kapløbet mellem indlejring og detektion fortsætter.

StegExpose er et værktøj med åben kildekode til massebehandling af steganalyse, som kører flere detektionsalgoritmer på et sæt billeder og kombinerer resultaterne. Det implementerer chi-i-anden-test, RS-analyse, primære sæt og analyse af prøvepar og genererer en samlet sandsynlighedsværdi. Sikkerhedsgrupper bruger det til at gennemgå store billedsamlinger for mulig dataeksfiltration. Det er effektivt mod almindelige værktøjer som Steghide, OpenStego og Outguess.

Mange steganografiværktøjer efterlader karakteristiske artefakter ud over statistiske anomalier. Steghide skaber for eksempel et bestemt mønster i de første få bytes i ændrede WAV-filer. OpenPuff ændrer filhovedet på en genkendelig måde. Disse værktøjssignaturer gør det muligt for retsmedicinsk software at identificere ikke kun, at steganografi er blevet brugt, men også hvilket bestemt værktøj der blev anvendt, hvilket kan hjælpe med at styre forsøget på at udtrække data.

Uventet store filer i forhold til deres indholdstype kan være tegn på skjulte data. Et PNG-skærmbillede, der er dobbelt så stort som forventet ud fra dets dimensioner, kan indeholde et skjult arkiv. Ved at sammenligne faktiske filstørrelser med forventede størrelser baseret på dimensioner, farvedybde og komprimeringsindstillinger får man en hurtig indledende metode til at identificere mistænkelige filer, før man udfører detaljeret steganalyse.

Digital efterforskning leder efter tegn på installation eller brug af steganografiværktøjer og ikke kun efter selve bærerfilerne. Browserhistorik, der viser besøg på sider med download af steganografisoftware, installerede programmer som OpenStego og midlertidige filer fra steganografiske handlinger kan alle være retsmedicinske indikatorer. Poster i registreringsdatabasen på Windows kan logge nyligt åbnede filer, der blev brugt som bærere eller kilder til skjulte data.

Steganalyse spænder fra visuel undersøgelse til avancerede maskinlæringsklassifikatorer. Chi-i-anden-analyse og RS-analyse er klassiske statistiske detektorer til LSB-indlejring. Analyse af prøvepar estimerer indlejringsraten. CNN'er baseret på maskinlæring opnår høje detektionsrater mod moderne værktøjer. StegExpose kombinerer flere tests til massebehandling. Værktøjssignaturer og filstørrelsesanomalier giver yderligere retsmedicinske indikatorer ud over ren statistisk analyse.