Стегоанализ: обнаружение скрытых сообщений

Самый простой метод стегоанализа — внимательно рассмотреть подозрительное изображение. Увеличение изображения до уровня пикселей и изучение областей однородного цвета могут выявить блочные искажения или шумовые структуры, не соответствующие содержимому изображения. Преобразование в оттенки серого, настройка контрастности и изучение цветовых гистограмм могут обнаружить аномалии, указывающие на встраивание стеганографических данных в определённых областях.

Критерий хи-квадрат — классический статистический критерий для обнаружения стеганографии LSB. Естественные изображения имеют характерные распределения значений цветов, в которых соседние пары значений — чётного и нечётного — встречаются с близкой частотой. Встраивание LSB превращает нечётные значения в чётные и наоборот, создавая обнаружимые дисбалансы в этих парах. Статистика хи-квадрат измеряет отклонение от ожидаемых частот пар и значительно возрастает, когда обнаруживается встраивание.

Анализ пар отсчётов — более сложный детектор LSB, который оценивает длину встроенного сообщения, а не только факт встраивания. Он подсчитывает переходы между соседними парами значений пикселей и моделирует изменение этих количеств при разном объёме встроенных данных. Сопоставляя наблюдаемые количества с моделью, аналитик может оценить, какая доля ёмкости контейнера была использована.

Метрики качества изображения, такие как PSNR (пиковое отношение сигнала к шуму) и SSIM (индекс структурного сходства), сравнивают подозрительное изображение с предположительно чистым эталоном или со статистической моделью естественных изображений. Очень высокий PSNR указывает на минимальные изменения, а аномально равномерное распределение шума по всему изображению, а не его концентрация в сложных областях, указывает на систематическое изменение LSB, а не на естественный шум камеры.

RS-анализ делит пиксели изображения на группы и классифицирует их как регулярные, сингулярные или непригодные в зависимости от того, как меняется показатель их гладкости при инвертировании битов LSB. В естественных изображениях доля регулярных групп немного превышает долю сингулярных. Встраивание LSB предсказуемым образом выравнивает эти доли. Измерение значений R и S до и после инвертирования LSB позволяет получить надёжный детектор, оценивающий скорость встраивания.

Целевой стегоанализ предназначен для обнаружения определённого инструмента или алгоритма стеганографии на основе его характерного статистического профиля. Слепой стегоанализ, также называемый универсальным, пытается обнаружить любые скрытые данные, не зная, какой инструмент использовался. Слепые методы обычно извлекают из изображения сотни статистических признаков и используют классификаторы машинного обучения, обученные на известных чистых изображениях и стегоизображениях.

Современный стегоанализ использует свёрточные нейронные сети CNN, обученные на больших наборах чистых изображений и стегоизображений. CNN учится выявлять тонкие статистические различия второго порядка, возникающие при стеганографическом встраивании. Модели вроде SRNet и Yedroudj-Net достигают очень высокой точности обнаружения при работе с современными инструментами стеганографии даже при низкой скорости встраивания — 0,1 бита на пиксель. Гонка между встраиванием и обнаружением продолжается.

StegExpose — инструмент пакетного стегоанализа с открытым исходным кодом, который запускает несколько алгоритмов обнаружения для набора изображений и объединяет полученные оценки. Он реализует критерий хи-квадрат, RS-анализ, анализ первичных множеств и анализ пар отсчётов, формируя объединённую оценку вероятности. Специалисты по безопасности используют его для сканирования больших репозиториев изображений на предмет возможного похищения данных. Он эффективен против распространённых инструментов, таких как Steghide, OpenStego и Outguess.

Многие инструменты стеганографии оставляют характерные артефакты, выходящие за рамки статистических аномалий. Например, Steghide создаёт определённый шаблон в первых нескольких байтах изменённых файлов WAV. OpenPuff изменяет заголовок файла узнаваемым образом. Такие сигнатуры инструментов позволяют криминалистическому программному обеспечению определить не только факт использования стеганографии, но и конкретный применённый инструмент, что помогает направить попытку извлечения данных.

Неожиданно большие для своего типа содержимого файлы могут указывать на скрытую полезную нагрузку. Снимок экрана в формате PNG, размер которого вдвое превышает ожидаемый для его размеров, может содержать скрытый архив. Сравнение фактических размеров файлов с ожидаемыми размерами с учётом габаритов, глубины цвета и параметров сжатия позволяет быстро отбирать подозрительные файлы до проведения подробного стегоанализа.

При расследованиях в области цифровой криминалистики ищут признаки установки или использования инструментов стеганографии, а не только сами файлы-контейнеры. История браузера с посещениями страниц загрузки ПО для стеганографии, установленные приложения вроде OpenStego и временные файлы, созданные в ходе стеганографических операций, могут быть криминалистическими признаками. Записи реестра Windows могут фиксировать недавно открытые файлы, которые использовались как контейнеры или источники скрытых данных.

Какой метод стегоанализа оценивает объём скрытых данных, моделируя изменение количества переходов между парами значений пикселей в зависимости от скорости встраивания?

Стегоанализ охватывает всё — от визуального изучения до сложных классификаторов машинного обучения. Критерий хи-квадрат и RS-анализ — классические статистические средства обнаружения встраивания LSB. Анализ пар отсчётов оценивает скорость встраивания. Свёрточные нейронные сети CNN обеспечивают высокую точность обнаружения при работе с современными инструментами. StegExpose объединяет несколько проверок для пакетного сканирования. Сигнатуры инструментов и аномалии размера файлов дают дополнительные криминалистические признаки, дополняющие чисто статистический анализ.