Bild-Steganografie: LSB-Technik

Ein digitales Farbbild besteht aus Pixeln. Jedes Pixel speichert drei Farbkanalwerte: Rot, Grün und Blau, jeweils im Bereich von 0 bis 255 und in einem Byte gespeichert. Ein Bild mit 1000 × 1000 Pixeln enthält daher drei Millionen einzelne Bytes an Farbdaten. Dieser große Datenumfang schafft Raum, um kleine Mengen zusätzlicher Informationen zu verbergen, ohne sichtbare Veränderungen zu verursachen.

In einem 8-Bit-Wert trägt das niederwertigste Bit bei gesetztem Zustand nur 1 zum Wert bei, verglichen mit 128 beim höchstwertigen Bit. Das Umlegen des LSB eines Farbkanals verändert den Pixelwert um höchstens 1 von 255 – eine für das menschliche Auge völlig unsichtbare Änderung. Dadurch ist das LSB die ideale Stelle, um versteckte Bits einzubetten, ohne die sichtbare Bildqualität zu beeinträchtigen.

Um ein Byte (8 Bit) geheimer Daten zu verbergen, überschreiben wir das LSB von acht aufeinanderfolgenden Pixeln in einem einzelnen Farbkanal. Wenn diese LSBs anschließend in der richtigen Reihenfolge ausgelesen werden, lässt sich das ursprüngliche versteckte Byte rekonstruieren. Dies ist der einfachste Algorithmus für LSB-Steganografie. Die Veränderung des Bildes ist so gering, dass Pixelpaare wie (200, 201) optisch identisch wirken, während die LSB-Differenz aussagekräftige Daten trägt.

Ein 24-Bit-Farbbild im BMP-Format mit 1 Million Pixeln enthält 3 Millionen Bytes an Pixeldaten und 3 Millionen einzelne Farbkanalwerte. Wenn wir ein LSB pro Kanal verwenden, können wir 3 Millionen Bit oder 375 Kilobyte Daten verbergen. Bei einer Trägerdatei mit 10 Megapixeln lassen sich ungefähr 3,75 Megabyte verbergen. Das reicht für Tausende von Textdokumenten oder kleine ausführbare Dateien.

Das menschliche Sehsystem reagiert deutlich empfindlicher auf Farbton und Sättigung als auf winzige Helligkeitsunterschiede von 1 Einheit. Ein Bild, in dem jedes LSB durch geheime Daten ersetzt wurde, ist bei der Anzeige auf einem normalen Bildschirm optisch nicht vom Original zu unterscheiden. Die Metrik PSNR (Peak Signal-to-Noise Ratio) für LSB-Steganografie liegt typischerweise über 50 dB und damit deutlich über der menschlichen Wahrnehmungsschwelle.

Der einfachste Ansatz bettet Bits beginnend in der oberen linken Ecke sequenziell in Pixel ein. Dies ist leicht zu implementieren und zu erkennen, da Steganalysten genau wissen, wo sie suchen müssen. Ein sichererer Ansatz verwendet einen mit einem gemeinsamen Schlüssel initialisierten Pseudozufallszahlengenerator, um auszuwählen, welche Pixel und Farbkanäle versteckte Bits aufnehmen. Ein Analyst ohne den Schlüssel kann nicht feststellen, wo die Payload eingebettet ist.

Durch die Initialisierung eines PRNG mit einem geheimen Schlüssel können Sender und Empfänger unabhängig voneinander dieselbe pseudozufällige Folge von Pixelkoordinaten erzeugen. Der Sender bettet Bits nur an diesen Koordinaten ein; der Empfänger liest Bits an denselben Koordinaten in derselben Reihenfolge aus. Ein Angreifer, der den Schlüssel nicht kennt, steht vor einem kombinatorischen Suchproblem, selbst wenn er weiß, dass Steganografie verwendet wurde.

OpenStego und Steghide sind beliebte quelloffene Werkzeuge, die LSB-Steganografie mit optionaler passwortbasierter Verschlüsselung implementieren. Steghide unterstützt die Formate JPEG, BMP, WAV und AU und verwendet eine Passphrase sowohl zur Auswahl der Einbettungspositionen als auch zur Verschlüsselung der Payload. Eine Passphrase stellt sicher, dass selbst nach der Entdeckung versteckter Daten für die Wiederherstellung des Inhalts die Passphrase erforderlich ist.

BMP-Dateien speichern unkomprimierte Pixeldaten, wodurch das Einbetten von LSB-Daten einfach und verlustfrei möglich ist. JPEG verwendet eine verlustbehaftete Komprimierung, die Details hoher Frequenzen verwirft und Pixelwerte leicht verändert. In ein JPEG eingebettete LSB-Daten werden durch eine erneute Komprimierung zerstört. Steganografie in JPEG muss daher im Frequenzbereich (DCT-Koeffizienten) statt in den Pixelwerten arbeiten. Das ist komplexer, wird aber häufig eingesetzt.

Das Einbetten größerer Datenmengen erhöht die Payload-Kapazität, aber auch die statistische Verzerrung. Die Verwendung von zwei Bits pro Kanal verdoppelt die Kapazität, macht die statistische Signatur jedoch stärker. Werkzeuge wie StegExpose können gängige LSB-Werkzeuge erkennen, indem sie die Verteilungen von Pixelpaaren analysieren. Die sichere Payload wird im Allgemeinen auf weniger als 10 bis 15 Prozent der Trägerkapazität begrenzt, um das Auslösen von Erkennungsalgorithmen zu vermeiden.

Die Pixelpaaranalyse nutzt ein vorhersehbares Artefakt der LSB-Einbettung. Natürliche Bilder weisen eine charakteristische Verteilung von Pixelwertpaaren auf; die LSB-Einbettung stört diese leicht, indem sie ungerade Werte in gerade oder umgekehrt ändert. Durch die Messung des Verhältnisses von Pixelpaaren mit ähnlichen Werten können Steganalysten sowohl feststellen, ob eine Einbettung stattgefunden hat, als auch ungefähr schätzen, wie viele Daten verborgen wurden.

Ein 24-Bit-Farbbild im BMP-Format mit 1.000.000 Pixeln verwendet ein LSB pro Farbkanal. Wie viele Daten können darin verborgen werden?

Die LSB-Steganografie bettet geheime Bits in die niederwertigsten Bits der Farbkanäle von Pixeln ein, wodurch eine mit bloßem Auge nicht wahrnehmbare visuelle Veränderung entsteht. Für ein Byte verborgener Daten werden acht Pixel benötigt. Ein 1-Megapixel-Bild kann bei Verwendung eines LSB pro Kanal etwa 375 KB verbergen. Eine PRNG-basierte Pixelauswahl mit einem gemeinsam genutzten Schlüssel erhöht die Sicherheit. Für JPEG muss in der DCT-Domäne eingebettet werden. Eine statistische Analyse mithilfe von Pixelpaarverteilungen kann das LSB-Einbetten erkennen.