Steganalyse: Verborgene Nachrichten erkennen

Die grundlegendste Steganalyse-Technik besteht darin, ein verdächtiges Bild einfach genau zu betrachten. Eine Vergrößerung auf Pixelebene und die Untersuchung von Bereichen mit gleichmäßiger Farbe können Blockartefakte oder Rauschmuster sichtbar machen, die nicht zum Bildinhalt passen. Eine Umwandlung in Graustufen, eine Kontrastanpassung und die Untersuchung von Farbhistogrammen können Anomalien aufdecken, die in bestimmten Regionen auf eine steganografische Einbettung hindeuten.

Der Chi-Quadrat-Test ist ein klassischer statistischer Test für die LSB-Steganografie. Natürliche Bilder weisen charakteristische Verteilungen von Farbwerten auf, bei denen benachbarte Paare gerader und ungerader Werte mit ähnlicher Häufigkeit auftreten. Beim LSB-Einbetten werden ungerade Werte in gerade Werte umgewandelt oder umgekehrt, wodurch erkennbare Ungleichgewichte in diesen Paaren entstehen. Die Chi-Quadrat-Statistik misst die Abweichung von den erwarteten Häufigkeiten der Paare und steigt deutlich an, wenn eine Einbettung erkannt wird.

Die Analyse von Sample-Paaren ist ein ausgefeilterer LSB-Detektor, der die Länge der eingebetteten Nachricht schätzt, nicht nur, ob eine Einbettung stattgefunden hat. Sie zählt die Übergänge zwischen benachbarten Pixelwertpaaren und modelliert, wie sich diese Anzahlen bei unterschiedlichen Mengen eingebetteter Daten verändern. Durch Anpassung der beobachteten Anzahlen an das Modell kann ein Analyst schätzen, welcher Anteil der Trägerkapazität verwendet wurde.

Bildqualitätsmetriken wie PSNR (Peak Signal-to-Noise Ratio) und SSIM (Structural Similarity Index) vergleichen ein verdächtiges Bild mit einer angenommenen unveränderten Referenz oder mit einem statistischen Modell natürlicher Bilder. Ein sehr hoher PSNR deutet auf minimale Änderungen hin; eine anomal gleichmäßige Rauschverteilung über das gesamte Bild (statt einer Konzentration in komplexen Regionen) deutet eher auf systematische LSB-Manipulation als auf natürliches Kamerarauschen hin.

Die RS-Analyse unterteilt Bildpixel in Gruppen und klassifiziert sie als Regular, Singular oder Unusable, abhängig davon, wie sich ihr Glattheitsmaß ändert, wenn die LSBs umgeschaltet werden. In natürlichen Bildern ist der Anteil der Regular-Gruppen geringfügig höher als der der Singular-Gruppen. LSB-Einbettung gleicht diese Anteile auf vorhersehbare Weise an. Die Messung der R- und S-Werte vor und nach dem Umschalten der LSBs liefert einen robusten Detektor, der die Einbettungsrate schätzt.

Die gezielte Steganalyse ist darauf ausgelegt, ein bestimmtes Steganografie-Tool oder einen bestimmten Algorithmus zu erkennen, indem sie dessen spezifische statistische Signatur ausnutzt. Die blinde Steganalyse, auch universelle Steganalyse genannt, versucht, verborgene Inhalte zu erkennen, ohne zu wissen, welches Tool verwendet wurde. Bei blinden Verfahren werden typischerweise Hunderte statistischer Merkmale aus dem Bild extrahiert und mithilfe von Klassifikatoren des maschinellen Lernens ausgewertet, die mit bekannten unveränderten und Stego-Bildern trainiert wurden.

Moderne Steganalyse verwendet auf großen Datensätzen unveränderter und Stego-Bilder trainierte Convolutional Neural Networks (CNNs). Das CNN lernt, die feinen statistischen Unterschiede zweiter Ordnung zu erkennen, die durch steganografisches Einbetten entstehen. Modelle wie SRNet und Yedroudj-Net erreichen bei aktuellen Steganografie-Tools sehr hohe Erkennungsraten, selbst bei niedrigen Einbettungsraten von 0,1 Bit pro Pixel. Das Wettrüsten zwischen Einbettung und Erkennung geht weiter.

StegExpose ist ein Open-Source-Batch-Steganalysewerkzeug, das mehrere Erkennungsalgorithmen auf eine Gruppe von Bildern anwendet und die Ergebnisse kombiniert. Es implementiert Chi-Quadrat-Tests, RS-Analyse, Primary Sets und Sample-Pair-Analyse und erzeugt einen kombinierten Wahrscheinlichkeitswert. Sicherheitsteams verwenden es, um große Bildarchive auf mögliche Datenexfiltration zu prüfen. Es ist wirksam gegen gängige Tools wie Steghide, OpenStego und Outguess.

Viele Steganografie-Tools hinterlassen neben statistischen Anomalien charakteristische Artefakte. Steghide beispielsweise erzeugt ein bestimmtes Muster in den ersten Bytes veränderter WAV-Dateien. OpenPuff verändert den Dateikopf auf erkennbare Weise. Diese Tool-Signaturen ermöglichen forensischer Software, nicht nur die Verwendung von Steganografie zu erkennen, sondern auch, welches konkrete Tool eingesetzt wurde. Das erleichtert die Auswahl eines geeigneten Extraktionsversuchs.

Unerwartet große Dateien für ihren Inhaltstyp können auf eine verborgene Nutzlast hindeuten. Ein PNG-Screenshot, dessen Dateigröße bei seinen Abmessungen doppelt so groß wie erwartet ist, kann ein verborgenes Archiv enthalten. Der Vergleich der tatsächlichen Dateigröße mit der anhand von Abmessungen, Farbtiefe und Komprimierungseinstellungen erwarteten Größe bietet eine schnelle Triage-Methode, um verdächtige Dateien zu identifizieren, bevor eine detaillierte Steganalyse durchgeführt wird.

Digitale forensische Untersuchungen suchen nicht nur nach den Trägerdateien selbst, sondern auch nach Anzeichen für die Installation oder Verwendung von Steganografie-Tools. Der Browserverlauf mit Besuchen von Downloadseiten für Steganografie-Software, installierte Anwendungen wie OpenStego und temporäre Dateien aus steganografischen Vorgängen können allesamt forensische Indikatoren sein. Registrierungseinträge unter Windows können kürzlich geöffnete Dateien protokollieren, die als Träger oder Quellen verborgener Daten verwendet wurden.

Steganalyse reicht von visueller Untersuchung bis hin zu hochentwickelten Klassifikatoren des maschinellen Lernens. Chi-Quadrat- und RS-Analyse sind klassische statistische Detektoren für LSB-Einbettung. Die Analyse von Sample-Paaren schätzt die Einbettungsrate. CNNs des maschinellen Lernens erreichen hohe Erkennungsraten gegen moderne Tools. StegExpose kombiniert mehrere Tests für die Stapelverarbeitung. Tool-Signaturen und Dateigrößenanomalien liefern neben der reinen statistischen Analyse zusätzliche forensische Indikatoren.