Steganalys: upptäcka dolda meddelanden

Den enklaste steganalysmetoden är helt enkelt att granska en misstänkt bild noggrant. Om man zoomar in till pixelnivå och undersöker områden med enhetlig färg kan blockartefakter eller brusmönster som inte stämmer med bildinnehållet avslöjas. Omvandling till gråskala, kontrastjustering och granskning av färghistogram kan avslöja avvikelser som tyder på att steganografisk inbäddning har skett i vissa områden.

Chi-två-testet är ett klassiskt statistiskt test för LSB-steganografi. Naturliga bilder har karakteristiska fördelningar av färgvärden där intilliggande par av jämna och udda värden förekommer med liknande frekvens. LSB-inbäddning ändrar udda värden till jämna eller tvärtom, vilket skapar detekterbara obalanser i dessa par. Chi-två-statistikan mäter avvikelsen från de förväntade parfrekvenserna och ökar betydligt när inbäddning upptäcks.

Analys av samplepar är en mer avancerad LSB-detektor som uppskattar längden på det inbäddade meddelandet, inte bara om inbäddning har skett. Den räknar övergångarna mellan intilliggande pixelvärdespar och modellerar hur dessa antal förändras vid olika mängder inbäddad data. Genom att anpassa de observerade antalen till modellen kan en analytiker uppskatta hur stor andel av bärarens kapacitet som har använts.

Bildkvalitetsmått som PSNR (Peak Signal-to-Noise Ratio) och SSIM (Structural Similarity Index) jämför en misstänkt bild med en antagen ren referensbild eller med en statistisk modell av naturliga bilder. Mycket högt PSNR tyder på minimal ändring. En onormalt jämn brusfördelning över hela bilden, i stället för en koncentration i komplexa områden, tyder på systematisk LSB-manipulation snarare än naturligt kamerabrus.

RS-analys delar upp bildpixlar i grupper och klassificerar dem som Regular, Singular eller Unusable, baserat på hur deras jämnhetsmått förändras när LSB:erna inverteras. I naturliga bilder är andelen Regular-grupper något större än andelen Singular-grupper. LSB-inbäddning utjämnar dessa andelar på ett förutsägbart sätt. Genom att mäta R- och S-värden före och efter LSB-invertering erhålls en robust detektor som uppskattar inbäddningsgraden.

Riktad steganalys är utformad för att upptäcka ett specifikt steganografiverktyg eller en specifik algoritm genom att utnyttja dess särskilda statistiska signatur. Blind steganalys, även kallad universell steganalys, försöker upptäcka dolt innehåll utan att veta vilket verktyg som användes. Blinda metoder extraherar vanligtvis hundratals statistiska egenskaper från bilden och använder maskininlärningsklassificerare som tränats på kända rena bilder och stego-bilder.

Modern steganalys använder konvolutionella neuronnät som tränats på stora dataset med rena bilder och stego-bilder. CNN-modellen lär sig att identifiera de subtila statistiska skillnader av andra ordningen som steganografisk inbäddning orsakar. Modeller som SRNet och Yedroudj-Net uppnår mycket hög detekteringsgrad mot aktuella steganografiverktyg, även vid låga inbäddningsgrader på 0,1 bitar per pixel. Kapprustningen mellan inbäddning och detektering fortsätter.

StegExpose är ett batchverktyg med öppen källkod för steganalys som kör flera detekteringsalgoritmer på en uppsättning bilder och kombinerar resultaten. Det implementerar chi-två-test, RS-analys, primära mängder och analys av samplepar och producerar ett kombinerat sannolikhetsvärde. Säkerhetsteam använder det för att genomsöka stora bildarkiv efter möjlig dataexfiltrering. Det är effektivt mot vanliga verktyg som Steghide, OpenStego och Outguess.

Många steganografiverktyg lämnar karakteristiska artefakter utöver statistiska avvikelser. Steghide skapar till exempel ett specifikt mönster i de första byten i modifierade WAV-filer. OpenPuff ändrar filhuvudet på ett igenkännbart sätt. Dessa verktygssignaturer gör det möjligt för kriminalteknisk programvara att identifiera inte bara att steganografi har använts, utan även vilket specifikt verktyg som användes, vilket underlättar valet av metod för extraktionsförsöket.

Oväntat stora filer i förhållande till sin innehållstyp kan tyda på en dold nyttolast. En PNG-skärmbild som är dubbelt så stor som förväntat med tanke på dess mått kan innehålla ett dolt arkiv. Genom att jämföra faktiska filstorlekar med förväntade storlekar utifrån mått, färgdjup och komprimeringsinställningar får man en snabb sorteringsmetod för att identifiera misstänkta filer innan en detaljerad steganalys utförs.

Digitala kriminaltekniska utredningar letar efter tecken på att steganografiverktyg har installerats eller använts, inte bara efter själva bärarfilerna. Webbläsarhistorik som visar besök på sidor för nedladdning av steganografiprogram, installerade program som OpenStego och temporära filer från steganografiska operationer kan alla vara kriminaltekniska indikatorer. Registerposter i Windows kan logga nyligen öppnade filer som använts som bärare eller källor för dold data.

Steganalys sträcker sig från visuell granskning till avancerade maskininlärningsklassificerare. Chi-två- och RS-analys är klassiska statistiska detektorer för LSB-inbäddning. Analys av samplepar uppskattar inbäddningsgraden. CNN-baserad maskininlärning uppnår hög detekteringsgrad mot moderna verktyg. StegExpose kombinerar flera tester för batchgenomsökning. Verktygssignaturer och filstorleksavvikelser ger ytterligare kriminaltekniska indikatorer utöver ren statistisk analys.