Steganalyse: verborgen berichten detecteren

De eenvoudigste steganalysetechniek is gewoon goed kijken naar een verdachte afbeelding. Door in te zoomen tot op pixelniveau en gebieden met een egale kleur te onderzoeken, kunnen blokartefacten of ruispatronen zichtbaar worden die niet bij de inhoud van de afbeelding passen. Omzetten naar grijswaarden, het contrast aanpassen en kleurhistogrammen onderzoeken kan afwijkingen aan het licht brengen die erop wijzen dat in specifieke gebieden steganografische inbedding heeft plaatsgevonden.

De chi-kwadraattoets is een klassieke statistische toets voor LSB-steganografie. Natuurlijke afbeeldingen hebben kenmerkende verdelingen van kleurwaarden, waarbij aangrenzende paren van even en oneven waarden ongeveer even vaak voorkomen. Bij LSB-inbedding worden oneven waarden in even waarden veranderd, of omgekeerd, waardoor detecteerbare onevenwichtigheden in deze paren ontstaan. De chi-kwadraatstatistiek meet de afwijking van de verwachte paarfrequenties en neemt aanzienlijk toe wanneer inbedding wordt gedetecteerd.

Analyse van steekproefparen is een geavanceerdere LSB-detector die de lengte van het ingebedde bericht schat, en niet alleen vaststelt of er inbedding heeft plaatsgevonden. De analyse telt de overgangen tussen naburige paren van pixelwaarden en modelleert hoe die aantallen veranderen bij verschillende hoeveelheden ingebedde gegevens. Door de waargenomen aantallen aan het model aan te passen, kan een analist schatten welk deel van de capaciteit van de drager is gebruikt.

Kwaliteitsmaten voor afbeeldingen, zoals PSNR (piek-signaal-ruisverhouding) en SSIM (structurele-gelijkenisindex), vergelijken een verdachte afbeelding met een veronderstelde schone referentie of met een statistisch model van natuurlijke afbeeldingen. Een zeer hoge PSNR wijst op minimale wijziging; een opvallend gelijkmatige ruisverdeling over de afbeelding, in plaats van concentratie in complexe gebieden, wijst eerder op systematische LSB-manipulatie dan op natuurlijke cameraru is.

Bij RS-analyse worden pixels in groepen verdeeld en geclassificeerd als Regulier, Singulier of Onbruikbaar, op basis van de verandering in hun gladheidsmaat wanneer de LSB's worden omgedraaid. In natuurlijke afbeeldingen is het aandeel reguliere groepen iets groter dan het aandeel singuliere groepen. LSB-inbedding maakt deze verhoudingen op voorspelbare wijze gelijker. Door de R- en S-waarden voor en na het omdraaien van de LSB's te meten, ontstaat een robuuste detector die de inbeddingsgraad schat.

Gerichte steganalyse is ontworpen om een specifieke steganografietool of een specifiek algoritme te detecteren door de kenmerkende statistische signatuur ervan te benutten. Blinde steganalyse, ook wel universele steganalyse genoemd, probeert verborgen inhoud te detecteren zonder te weten welke tool is gebruikt. Bij blinde methoden worden doorgaans honderden statistische kenmerken uit de afbeelding gehaald en gebruikt in algoritmen voor machinaal leren die zijn getraind met bekende schone en stego-afbeeldingen.

Moderne steganalyse gebruikt convolutionele neurale netwerken die zijn getraind met grote datasets van schone en stego-afbeeldingen. Het CNN leert de subtiele statistische verschillen van de tweede orde te herkennen die door steganografische inbedding worden veroorzaakt. Modellen zoals SRNet en Yedroudj-Net bereiken zeer hoge detectiepercentages tegen huidige steganografietools, zelfs bij lage inbeddingsgraden van 0,1 bits per pixel. De wedloop tussen inbedding en detectie gaat door.

StegExpose is een opensourcehulpmiddel voor steganalyse in batches dat meerdere detectiealgoritmen op een verzameling afbeeldingen uitvoert en de scores combineert. Het implementeert chi-kwadraat, RS-analyse, primaire verzamelingen en analyse van steekproefparen en produceert een gecombineerde waarschijnlijkheidsscore. Beveiligingsteams gebruiken het om grote afbeeldingsopslagplaatsen te scannen op mogelijke gegevensuitlek. Het werkt goed tegen veelgebruikte hulpmiddelen zoals Steghide, OpenStego en Outguess.

Veel steganografietools laten naast statistische afwijkingen ook kenmerkende artefacten achter. Steghide produceert bijvoorbeeld een specifiek patroon in de eerste paar bytes van gewijzigde WAV-bestanden. OpenPuff wijzigt de bestandskop op een herkenbare manier. Met deze toolsignaturen kan forensische software niet alleen vaststellen dat steganografie is gebruikt, maar ook welke specifieke tool is ingezet. Dat helpt om de poging tot extractie gericht uit te voeren.

Onverwacht grote bestanden voor hun inhoudstype kunnen wijzen op een verborgen payload. Een PNG-schermafbeelding die voor zijn afmetingen twee keer zo groot is als verwacht, kan een verborgen archief bevatten. Door werkelijke bestandsgroottes te vergelijken met verwachte groottes op basis van afmetingen, kleurdiepte en compressie-instellingen, ontstaat een snelle eerste selectiemethode om verdachte bestanden te herkennen voordat gedetailleerde steganalyse wordt uitgevoerd.

Onderzoeken in digitale forensiek zoeken naar aanwijzingen voor de installatie of het gebruik van steganografietools, en niet alleen naar de dragerbestanden zelf. Browsergeschiedenis met bezoeken aan downloadpagina's voor steganografiesoftware, geïnstalleerde toepassingen zoals OpenStego en tijdelijke bestanden van steganografische bewerkingen kunnen allemaal forensische aanwijzingen zijn. Registervermeldingen in Windows kunnen recent geopende bestanden registreren die als dragers of bronnen van verborgen gegevens zijn gebruikt.

Steganalyse varieert van visuele inspectie tot geavanceerde classificatiealgoritmen voor machinaal leren. Chi-kwadraat- en RS-analyse zijn klassieke statistische detectors voor LSB-inbedding. Analyse van steekproefparen schat de inbeddingsgraad. CNN's voor machinaal leren bereiken hoge detectiepercentages tegen moderne hulpmiddelen. StegExpose combineert meerdere toetsen voor scannen in batches. Toolsignaturen en afwijkingen in bestandsgrootte bieden naast louter statistische analyse aanvullende forensische aanwijzingen.