Steganalyse: Oppdage skjulte meldinger

Den enkleste steganalyseteknikken er ganske enkelt å se nøye på et mistenkelig bilde. Ved å zoome inn på pikselnivå og undersøke områder med ensartet farge kan man avdekke blokkartefakter eller støymønstre som ikke stemmer med bildeinnholdet. Konvertering til gråtoner, justering av kontrast og undersøkelse av fargehistogrammer kan avdekke anomalier som tyder på at steganografisk innbygging har skjedd i bestemte områder.

Kji-kvadrat-testen er en klassisk statistisk test for LSB-steganografi. Naturlige bilder har karakteristiske fordelinger av fargeverdier, der tilstøtende par av partalls- og oddetallsverdier forekommer med omtrent samme frekvens. LSB-innbygging endrer oddetallsverdier til partallsverdier eller omvendt, og skaper detekterbare skjevheter i disse parene. Kji-kvadrat-statistikken måler avviket fra forventede parfrekvenser og øker betydelig når innbygging oppdages.

Sample pair-analyse er en mer avansert LSB-detektor som anslår lengden på den innebygde meldingen, ikke bare om innbygging har funnet sted. Den teller overgangene mellom nabopar av pikselverdier og modellerer hvordan antallet endres med ulike mengder innebygde data. Ved å tilpasse de observerte antallene til modellen kan en analytiker anslå hvor stor andel av bærekapasiteten som er brukt.

Metrikker for bildekvalitet som PSNR (Peak Signal-to-Noise Ratio) og SSIM (Structural Similarity Index) sammenligner et mistenkelig bilde med en antatt ren referanse eller med en statistisk modell av naturlige bilder. Svært høy PSNR tyder på minimal endring. En uvanlig jevn fordeling av støy over hele bildet (i stedet for konsentrasjon i komplekse områder) tyder på systematisk LSB-manipulering snarere enn naturlig kamerastøy.

RS-analyse deler bildepikslene inn i grupper og klassifiserer dem som Regular, Singular eller Unusable basert på hvordan målet for jevnhet endres når LSB-ene inverteres. I naturlige bilder er andelen Regular-grupper litt større enn andelen Singular-grupper. LSB-innbygging utjevner disse andelene på en forutsigbar måte. Ved å måle R- og S-verdier før og etter invertering av LSB-ene får man en robust detektor som anslår innbyggingsraten.

Målrettet steganalyse er utformet for å oppdage et bestemt steganografiverktøy eller en bestemt algoritme ved å utnytte den spesifikke statistiske signaturen. Blind steganalyse, også kalt universell steganalyse, forsøker å oppdage skjult innhold uten å vite hvilket verktøy som ble brukt. Blinde metoder trekker vanligvis ut hundrevis av statistiske egenskaper fra bildet og bruker maskinlæringsklassifikatorer som er trent på kjente rene bilder og stego-bilder.

Moderne steganalyse bruker konvolusjonelle nevrale nettverk som er trent på store datasett med rene bilder og stego-bilder. CNN-en lærer å identifisere de subtile andreordens statistiske forskjellene som steganografisk innbygging introduserer. Modeller som SRNet og Yedroudj-Net oppnår svært høy deteksjonsrate mot dagens steganografiverktøy, selv ved lave innbyggingsrater på 0,1 biter per piksel. Kappløpet mellom innbygging og deteksjon fortsetter.

StegExpose er et åpen kildekode-verktøy for batch-steganalyse som kjører flere deteksjonsalgoritmer på et sett med bilder og kombinerer resultatene. Det implementerer kji-kvadrat, RS-analyse, primary sets og sample pair-analyse, og produserer en samlet sannsynlighetsskår. Sikkerhetsteam bruker det til å skanne store bildelagre for mulig dataeksfiltrering. Det er effektivt mot vanlige verktøy som Steghide, OpenStego og Outguess.

Mange steganografiverktøy etterlater karakteristiske artefakter utover statistiske anomalier. Steghide produserer for eksempel et bestemt mønster i de første byteverdiene i endrede WAV-filer. OpenPuff endrer filhodet på en gjenkjennelig måte. Disse verktøysignaturene gjør det mulig for rettsteknisk programvare å identifisere ikke bare at steganografi er brukt, men også hvilket konkret verktøy som ble brukt, noe som gjør det enklere å velge riktig uttrekksforsøk.

Uventet store filer for innholdstypen kan tyde på en skjult nyttelast. Et PNG-skjermbilde som er dobbelt så stort som forventet ut fra dimensjonene, kan inneholde et skjult arkiv. Ved å sammenligne faktiske filstørrelser med forventede størrelser basert på dimensjoner, fargedybde og komprimeringsinnstillinger får man en rask førstesorteringsmetode for å identifisere mistenkelige filer før detaljert steganalyse utføres.

Digitale etterforskninger ser etter tegn på installasjon eller bruk av steganografiverktøy, ikke bare etter selve bærerfilene. Nettleserhistorikk som viser besøk på sider for nedlasting av steganografiprogramvare, installerte applikasjoner som OpenStego og midlertidige filer fra steganografiske operasjoner kan alle være rettsmedisinske indikatorer. Registeroppføringer i Windows kan loggføre nylig åpnede filer som ble brukt som bærere eller kilder til skjulte data.

Steganalyse spenner fra visuell inspeksjon til sofistikerte maskinlæringsklassifikatorer. Kji-kvadrat- og RS-analyse er klassiske statistiske detektorer for LSB-innbygging. Sample pair-analyse anslår innbyggingsraten. Maskinlæringsbaserte CNN-er oppnår høy deteksjonsrate mot moderne verktøy. StegExpose kombinerer flere tester for batch-skanning. Verktøysignaturer og filstørrelsesanomalier gir ytterligere rettsmedisinske indikatorer utover ren statistisk analyse.