Steganaliza: wykrywanie ukrytych wiadomości

Najbardziej podstawową techniką steganalizy jest po prostu uważne przyjrzenie się podejrzanemu obrazowi. Powiększenie obrazu do poziomu pikseli i analiza obszarów o jednolitym kolorze może ujawnić artefakty blokowe lub wzorce szumu niespójne z treścią obrazu. Konwersja do skali szarości, dostosowanie kontrastu i analiza histogramów kolorów mogą ujawnić anomalie sugerujące, że w określonych obszarach zastosowano osadzanie steganograficzne.

Test chi-kwadrat jest klasycznym testem statystycznym stosowanym w steganografii LSB. Naturalne obrazy mają charakterystyczne rozkłady wartości kolorów, w których sąsiednie pary wartości parzystej i nieparzystej występują z podobną częstością. Osadzanie LSB zmienia wartości nieparzyste na parzyste lub odwrotnie, tworząc wykrywalne zaburzenia w tych parach. Statystyka chi-kwadrat mierzy odchylenie od oczekiwanych częstości par i znacznie wzrasta po wykryciu osadzania.

Analiza par próbek jest bardziej zaawansowanym detektorem LSB, który szacuje długość osadzonej wiadomości, a nie tylko stwierdza, czy doszło do osadzania. Zlicza przejścia między sąsiednimi parami wartości pikseli i modeluje, jak te liczby zmieniają się przy różnych ilościach osadzonych danych. Dopasowując zaobserwowane liczby do modelu, analityk może oszacować, jaka część pojemności nośnika została wykorzystana.

Metryki jakości obrazu, takie jak PSNR (szczytowy stosunek sygnału do szumu) i SSIM (indeks podobieństwa strukturalnego), porównują podejrzany obraz z założonym czystym obrazem referencyjnym lub modelem statystycznym obrazów naturalnych. Bardzo wysoki PSNR sugeruje minimalną modyfikację; anormalnie równomierny rozkład szumu na obrazie, zamiast koncentracji w złożonych obszarach, sugeruje systematyczną manipulację LSB, a nie naturalny szum aparatu.

Analiza RS dzieli piksele obrazu na grupy i klasyfikuje je jako Regularne, Singularne lub Nieużyteczne, zależnie od tego, jak zmienia się miara ich gładkości po odwróceniu bitów LSB. W naturalnych obrazach odsetek grup Regularnych nieznacznie przewyższa odsetek grup Singularnych. Osadzanie LSB wyrównuje te proporcje w przewidywalny sposób. Pomiar wartości R i S przed odwróceniem bitów LSB i po nim zapewnia skuteczny detektor, który szacuje współczynnik osadzania.

Steganaliza ukierunkowana służy do wykrywania konkretnego narzędzia lub algorytmu steganograficznego poprzez wykorzystanie jego charakterystycznego podpisu statystycznego. Steganaliza ślepa, nazywana również uniwersalną, próbuje wykryć dowolne ukryte dane bez wiedzy o użytym narzędziu. Metody ślepe zazwyczaj wyodrębniają z obrazu setki cech statystycznych i używają klasyfikatorów uczenia maszynowego wytrenowanych na znanych obrazach czystych i steganograficznych.

Współczesna steganaliza wykorzystuje konwolucyjne sieci neuronowe trenowane na dużych zbiorach czystych i steganograficznych obrazów. CNN uczy się rozpoznawać subtelne różnice statystyczne drugiego rzędu wprowadzone przez osadzanie steganograficzne. Modele takie jak SRNet i Yedroudj-Net osiągają bardzo wysoką skuteczność wykrywania w przypadku obecnych narzędzi steganograficznych, nawet przy niskim współczynniku osadzania wynoszącym 0,1 bitu na piksel. Rywalizacja między metodami osadzania i wykrywania trwa.

StegExpose to narzędzie open source do wsadowej steganalizy, które uruchamia wiele algorytmów wykrywania dla zbioru obrazów i łączy uzyskane wyniki. Implementuje test chi-kwadrat, analizę RS, primary sets oraz analizę par próbek, generując łączny wynik prawdopodobieństwa. Zespoły ds. bezpieczeństwa używają go do skanowania dużych repozytoriów obrazów pod kątem potencjalnej eksfiltracji danych. Narzędzie jest skuteczne w przypadku popularnych programów, takich jak Steghide, OpenStego i Outguess.

Wiele narzędzi steganograficznych pozostawia charakterystyczne artefakty wykraczające poza anomalie statystyczne. Na przykład Steghide tworzy określony wzorzec w kilku pierwszych bajtach zmodyfikowanych plików WAV. OpenPuff modyfikuje nagłówek pliku w rozpoznawalny sposób. Sygnatury narzędzi pozwalają oprogramowaniu śledczemu ustalić nie tylko, że użyto steganografii, lecz także którego konkretnego narzędzia użyto, co pomaga ukierunkować próbę wydobycia danych.

Niespodziewanie duże pliki w stosunku do typu zawartości mogą wskazywać na ukryty ładunek. Zrzut ekranu PNG, którego rozmiar jest dwukrotnie większy od oczekiwanego dla jego wymiarów, może zawierać ukryte archiwum. Porównywanie rzeczywistych rozmiarów plików z rozmiarami oczekiwanymi na podstawie wymiarów, głębi kolorów i ustawień kompresji zapewnia szybką metodę wstępnej selekcji podejrzanych plików przed przeprowadzeniem szczegółowej steganalizy.

Śledztwa z zakresu informatyki cyfrowej poszukują oznak instalacji lub użycia narzędzi steganograficznych, a nie tylko samych plików-nośników. Historia przeglądarki wskazująca odwiedziny stron pobierania oprogramowania steganograficznego, zainstalowane aplikacje, takie jak OpenStego, oraz pliki tymczasowe powstałe podczas operacji steganograficznych mogą być wskaźnikami śledczymi. Wpisy rejestru systemu Windows mogą rejestrować ostatnio otwierane pliki używane jako nośniki lub źródła ukrytych danych.

Która technika steganalizy szacuje ilość ukrytych danych, modelując, jak liczba przejść między parami wartości pikseli zmienia się wraz ze współczynnikiem osadzania?

Steganaliza obejmuje zarówno kontrolę wzrokową, jak i zaawansowane klasyfikatory uczenia maszynowego. Analiza chi-kwadrat i analiza RS to klasyczne detektory statystyczne osadzania LSB. Analiza par próbek pozwala oszacować współczynnik osadzania. Konwolucyjne sieci neuronowe osiągają wysoką skuteczność wykrywania w przypadku współczesnych narzędzi. StegExpose łączy wiele testów na potrzeby skanowania wsadowego. Sygnatury narzędzi i anomalie rozmiaru plików dostarczają dodatkowych wskaźników śledczych, wykraczających poza czystą analizę statystyczną.