Steganalisis: Mengesan Mesej Tersembunyi

Teknik analisis steganografi yang paling asas ialah memeriksa imej yang mencurigakan dengan teliti. Zum masuk hingga ke aras piksel dan memeriksa kawasan berwarna seragam boleh mendedahkan artifak blok atau corak hingar yang tidak selaras dengan kandungan imej. Menukar imej kepada skala kelabu, melaraskan kontras dan memeriksa histogram warna boleh mendedahkan anomali yang menunjukkan bahawa penyisipan steganografi telah berlaku di kawasan tertentu.

Ujian khi kuasa dua ialah ujian statistik klasik untuk steganografi LSB. Imej semula jadi mempunyai taburan nilai warna yang tersendiri, dengan pasangan nilai genap-ganjil bersebelahan muncul pada kekerapan yang serupa. Penyisipan LSB mengubah nilai ganjil kepada genap atau sebaliknya, lalu menghasilkan ketakseimbangan yang dapat dikesan dalam pasangan tersebut. Statistik khi kuasa dua mengukur sisihan daripada kekerapan pasangan yang dijangka dan meningkat dengan ketara apabila penyisipan dikesan.

Analisis pasangan sampel ialah pengesan LSB yang lebih canggih, yang menganggarkan panjang mesej tersisip, bukan sekadar menentukan sama ada penyisipan berlaku. Kaedah ini mengira peralihan antara pasangan nilai piksel bersebelahan dan memodelkan perubahan kiraan tersebut mengikut jumlah data yang disisipkan. Dengan memadankan kiraan yang diperhatikan dengan model, penganalisis boleh menganggarkan pecahan kapasiti pembawa yang telah digunakan.

Metrik kualiti imej seperti PSNR (Nisbah Isyarat kepada Hingar Puncak) dan SSIM (Indeks Keserupaan Struktur) membandingkan imej yang mencurigakan dengan rujukan bersih yang diandaikan atau dengan model statistik imej semula jadi. PSNR yang sangat tinggi menunjukkan pengubahsuaian yang minimum; taburan hingar yang luar biasa sekata di seluruh imej, bukannya tertumpu di kawasan kompleks, menunjukkan manipulasi LSB yang sistematik dan bukannya hingar kamera semula jadi.

Analisis RS membahagikan piksel imej kepada beberapa kumpulan dan mengelaskannya sebagai Biasa, Tunggal atau Tidak Boleh Digunakan berdasarkan perubahan ukuran kelicinan apabila LSB disongsangkan. Dalam imej semula jadi, kadar kumpulan Biasa sedikit melebihi kumpulan Tunggal. Penyisipan LSB menyamakan kadar ini dengan cara yang boleh diramalkan. Pengukuran nilai R dan S sebelum dan selepas penyongsangan LSB menyediakan pengesan yang kukuh untuk menganggarkan kadar penyisipan.

Analisis steganografi bersasar direka untuk mengesan alat atau algoritma steganografi tertentu dengan memanfaatkan tandatangan statistik khususnya. Analisis steganografi buta, yang juga dipanggil analisis steganografi universal, cuba mengesan sebarang kandungan tersembunyi tanpa mengetahui alat yang digunakan. Kaedah buta biasanya mengekstrak ratusan ciri statistik daripada imej dan menggunakan pengelas pembelajaran mesin yang dilatih dengan imej bersih dan imej steganografi yang diketahui.

Analisis steganografi moden menggunakan rangkaian neural konvolusi yang dilatih dengan set data besar yang mengandungi imej bersih dan imej steganografi. CNN mempelajari cara mengenal pasti perbezaan statistik tertib kedua yang halus, yang diperkenalkan oleh penyisipan steganografi. Model seperti SRNet dan Yedroudj-Net mencapai kadar pengesanan yang sangat tinggi terhadap alat steganografi semasa, malah pada kadar penyisipan rendah sebanyak 0.1 bit bagi setiap piksel. Persaingan antara penyisipan dan pengesanan terus berlaku.

StegExpose ialah alat analisis steganografi kelompok sumber terbuka yang menjalankan berbilang algoritma pengesanan pada sekumpulan imej dan menggabungkan skornya. Alat ini melaksanakan khi kuasa dua, analisis RS, set utama dan analisis pasangan sampel, lalu menghasilkan skor kebarangkalian gabungan. Pasukan keselamatan menggunakannya untuk mengimbas repositori imej yang besar bagi mencari kemungkinan pengeluaran data. Alat ini berkesan terhadap alat biasa seperti Steghide, OpenStego dan Outguess.

Banyak alat steganografi meninggalkan artifak khusus selain anomali statistik. Sebagai contoh, Steghide menghasilkan corak tertentu dalam beberapa bait pertama fail WAV yang telah diubah suai. OpenPuff mengubah suai pengepala fail dengan cara yang mudah dikenali. Tandatangan alat ini membolehkan perisian forensik mengenal pasti bukan sahaja bahawa steganografi telah digunakan, tetapi juga alat khusus yang digunakan, sekali gus membantu mengarahkan cubaan pengekstrakan.

Fail yang luar biasa besar berbanding jenis kandungannya boleh menunjukkan adanya muatan tersembunyi. Tangkapan skrin PNG yang bersaiz dua kali ganda daripada saiz yang dijangka berdasarkan dimensinya mungkin mengandungi arkib tersembunyi. Membandingkan saiz fail sebenar dengan saiz yang dijangka berdasarkan dimensi, kedalaman warna dan tetapan pemampatan menyediakan kaedah saringan pantas untuk mengenal pasti fail yang mencurigakan sebelum analisis steganografi terperinci dijalankan.

Siasatan forensik digital mencari tanda pemasangan atau penggunaan alat steganografi, bukan sekadar fail pembawa itu sendiri. Sejarah pelayar yang menunjukkan lawatan ke halaman muat turun perisian steganografi, aplikasi terpasang seperti OpenStego dan fail sementara daripada operasi steganografi semuanya boleh menjadi petunjuk forensik. Entri daftaran pada Windows mungkin merekodkan fail yang baru dibuka dan digunakan sebagai pembawa atau sumber data tersembunyi.

Analisis steganografi merangkumi pemeriksaan visual hingga pengelas pembelajaran mesin yang canggih. Analisis khi kuasa dua dan RS ialah pengesan statistik klasik untuk penyisipan LSB. Analisis pasangan sampel menganggarkan kadar penyisipan. CNN pembelajaran mesin mencapai kadar pengesanan yang tinggi terhadap alat moden. StegExpose menggabungkan berbilang ujian untuk pengimbasan kelompok. Tandatangan alat dan anomali saiz fail menyediakan petunjuk forensik tambahan selain analisis statistik semata-mata.