Stéganalyse : détecter les messages cachés

La technique de stéganalyse la plus élémentaire consiste simplement à examiner attentivement une image suspecte. Effectuer un zoom jusqu’au niveau des pixels et examiner les zones de couleur uniforme peut révéler des artefacts en blocs ou des motifs de bruit incohérents avec le contenu de l’image. La conversion en niveaux de gris, le réglage du contraste et l’examen des histogrammes de couleurs peuvent faire apparaître des anomalies suggérant qu’une dissimulation stéganographique a eu lieu dans certaines régions.

L’analyse du chi carré est une méthode statistique classique pour la stéganographie par LSB. Les images naturelles présentent des distributions caractéristiques de valeurs de couleur, dans lesquelles les paires de valeurs paires et impaires adjacentes apparaissent à des fréquences similaires. La dissimulation par LSB transforme les valeurs impaires en valeurs paires, ou inversement, ce qui crée des déséquilibres détectables dans ces paires. La statistique du chi carré mesure l’écart par rapport aux fréquences attendues des paires et augmente nettement lorsqu’une dissimulation est détectée.

L’analyse par paires d’échantillons est un détecteur LSB plus sophistiqué qui estime la longueur du message dissimulé, et pas seulement la présence d’une dissimulation. Elle compte les transitions entre paires de valeurs de pixels voisines et modélise la variation de ces comptes selon la quantité de données dissimulées. En ajustant les comptes observés au modèle, un analyste peut estimer quelle fraction de la capacité du support a été utilisée.

Les mesures de qualité d’image telles que PSNR (rapport signal/bruit de crête) et SSIM (indice de similarité structurelle) comparent une image suspecte à une référence supposée saine ou à un modèle statistique d’images naturelles. Un PSNR très élevé suggère une modification minimale ; une répartition anormalement uniforme du bruit dans l’image, plutôt que concentrée dans les régions complexes, suggère une manipulation systématique par LSB plutôt que le bruit naturel de l’appareil photo.

L’analyse RS répartit les pixels de l’image en groupes et les classe comme Réguliers, Singuliers ou Inexploitables, selon la variation de leur mesure d’homogénéité lorsque les LSB sont inversés. Dans les images naturelles, la proportion de groupes Réguliers dépasse légèrement celle des groupes Singuliers. La dissimulation par LSB égalise ces proportions de manière prévisible. La mesure des valeurs R et S avant et après l’inversion des LSB fournit un détecteur robuste qui estime le taux de dissimulation.

La stéganalyse ciblée est conçue pour détecter un outil ou un algorithme de stéganographie précis en exploitant sa signature statistique particulière. La stéganalyse aveugle, également appelée stéganalyse universelle, tente de détecter tout contenu dissimulé sans connaître l’outil utilisé. Les méthodes aveugles extraient généralement des centaines de caractéristiques statistiques de l’image et utilisent des classifieurs d’apprentissage automatique entraînés sur des images connues sans dissimulation et des images stéganographiques.

La stéganalyse moderne utilise des réseaux neuronaux convolutifs entraînés sur de grands ensembles d’images sans dissimulation et d’images stéganographiques. Le CNN apprend à identifier les subtiles différences statistiques de second ordre introduites par la dissimulation stéganographique. Des modèles comme SRNet et Yedroudj-Net atteignent des taux de détection très élevés contre les outils de stéganographie actuels, même avec de faibles taux de dissimulation de 0,1 bit par pixel. La course aux armements entre dissimulation et détection se poursuit.

StegExpose est un outil de stéganalyse par lots à code source ouvert qui exécute plusieurs algorithmes de détection sur un ensemble d’images et combine les scores. Il implémente l’analyse du chi carré, l’analyse RS, les ensembles primaires et l’analyse par paires d’échantillons, puis produit un score de probabilité combiné. Les équipes de sécurité l’utilisent pour analyser de grands dépôts d’images à la recherche d’une éventuelle exfiltration de données. Il est efficace contre des outils courants comme Steghide, OpenStego et Outguess.

De nombreux outils de stéganographie laissent des artefacts caractéristiques qui s’ajoutent aux anomalies statistiques. Steghide, par exemple, produit un motif particulier dans les premiers octets des fichiers WAV modifiés. OpenPuff modifie l’en-tête du fichier d’une manière reconnaissable. Ces signatures d’outils permettent aux logiciels de criminalistique d’identifier non seulement l’utilisation de la stéganographie, mais aussi l’outil précis employé, ce qui aide à orienter la tentative d’extraction.

Des fichiers anormalement volumineux pour leur type de contenu peuvent révéler la présence d’une charge utile dissimulée. Une capture d’écran PNG dont la taille est deux fois supérieure à celle attendue pour ses dimensions peut contenir une archive dissimulée. La comparaison des tailles réelles des fichiers avec les tailles attendues selon les dimensions, la profondeur de couleur et les paramètres de compression fournit une méthode de tri initial rapide pour repérer les fichiers suspects avant d’effectuer une stéganalyse détaillée.

Les enquêtes de criminalistique numérique recherchent des signes d’installation ou d’utilisation d’outils de stéganographie, et pas uniquement les fichiers supports eux-mêmes. L’historique du navigateur indiquant des visites sur des pages de téléchargement de logiciels de stéganographie, les applications installées comme OpenStego et les fichiers temporaires issus d’opérations stéganographiques peuvent tous constituer des indices médicolégaux. Les entrées du registre Windows peuvent consigner les fichiers récemment ouverts qui ont servi de supports ou de sources de données dissimulées.

La stéganalyse va de l’inspection visuelle aux classifieurs sophistiqués d’apprentissage automatique. Les analyses du chi carré et RS sont des détecteurs statistiques classiques de la dissimulation par LSB. L’analyse par paires d’échantillons estime le taux de dissimulation. Les CNN d’apprentissage automatique atteignent des taux de détection élevés contre les outils modernes. StegExpose combine plusieurs évaluations pour analyser des lots d’images. Les signatures d’outils et les anomalies de taille des fichiers fournissent des indices médicolégaux supplémentaires au-delà de la seule analyse statistique.