Steganografi i bilder och ljud

Ett meddelande är en sekvens av byte, där varje byte består av 8 bitar. För att dölja meddelandet med en header för längden omvandlar ni nyttolasten till en bitström och skriver en bit per färgkanal.

Ett praktiskt inbäddningsverktyg lagrar också ett längdprefix eller en unik avslutningssekvens, så att extraheraren vet när den ska sluta läsa. Annars går det inte att skilja nyttolasten från bruset i täckobjektet.

Detta är exakt vad verktyg som steghide, zsteg och stegano automatiserar, ofta med ett lösenord och ett krypteringslager.

Formatet spelar stor roll på grund av komprimering:

• Förlustfria format (PNG, BMP) bevarar varje pixel exakt. LSB-data överlever helt – idealiska bärare.
• Format med kvalitetsförlust (JPEG) kastar bort fina detaljer under komprimeringen, vilket förstör naiv LSB-data.

För JPEG måste inbäddningen ske i DCT-koefficienterna, alltså värdena i frekvensdomänen som används under komprimeringen, i stället för i råpixlar. Verktyg som steghide och de klassiska JSteg/OutGuess arbetar där, så att nyttolasten överlever komprimeringssteget.

Naiv pixelbaserad LSB-inbäddning är känslig. Alla åtgärder som ändrar pixelvärden förstör de dolda bitarna:

• Spara om som JPEG förstörande komprimering skriver om byten.
• Ändra storlek eller beskära omsampling ändrar varje värde.
• Färgjusteringar ändrar ljusstyrka och kontrast.
• Uppladdning till sociala medier plattformar kodar automatiskt om bilder.

Detta är robusthetshörnet i triangeln. Om en nyttolast måste tåla redigering (t.ex. ett vattenmärke), bäddar man in den i frekvensdomänen (DCT/DWT) och accepterar lägre kapacitet som motprestation.

Naiv LSB-inbäddning skriver sekventiellt till pixlar från det övre vänstra hörnet, vilket skapar en detekterbar statistisk signatur. Metoder med bättre smygförmåga sprider nyttolasten för att undvika analys:

• Pseudoslumpmässig placering en stego-nyckel initierar en PRNG som väljer vilka pixlar som ska bära bitar, så att mönstret ser slumpmässigt ut.
• Brusiga områden inbäddning i strukturerade områden (gräs, hår) där variation redan finns, i stället för i jämna himlar.
• Adaptiv inbäddning moderna algoritmer minimerar en kostnadsfunktion för detekterbarhet.

Stego-nyckeln fungerar också som ett lösenord: utan den kan en analytiker inte återskapa bitordningen, även om analytikern misstänker att något har dolts.

Ljud fungerar enligt samma princip som bilder, men i tids- eller frekvensdomänen. En WAV-fil lagrar samplingar, vanligtvis 16-bitars tal som representerar amplituden tusentals gånger per sekund.

LSB-inbäddning i ljud skriver över den lägsta biten i varje sampling. En förändring med ett steg i en 16-bitars amplitud ligger långt under människans hörseltröskel, så ljudet låter identiskt.

Med 44 100 samplingar per sekund och kanal erbjuder ljud stor kapacitet, även om förlustbringande format som MP3 förstör LSB-bitar i råa samplingar på samma sätt som JPEG förstör LSB-bitar i pixlar.

Utöver LSB använder ljudsteganografi perceptuella knep som bygger på hur hörseln fungerar:

• Faskodning ändrar ljudkomponenternas fas; örat är okänsligt för absolut fas.
• Ekodöljning introducerar små, omärkliga ekon vars fördröjning kodar bitar.
• Spridningsspektrum sprider nyttolasten över ett brett frekvensband som lågnivåbrus som tål redigering.
• Toninsättning döljer data med toner som maskeras av starkare ljud i närheten (psykoakustisk maskering).

Dessa metoder byter kapacitet mot robusthet och smygbarhet, på samma sätt som bildmetoder i frekvensdomänen.

En gemensam idé för olika medier är valet av domän:

• Rumslig/tidsdomän bädda in direkt i pixlar eller samplingar. Enkelt och med hög kapacitet, men känsligt för komprimering.
• Frekvensdomän transformera signalen (DCT för JPEG, DWT för wavelets, FFT för ljud), bädda in data i koefficienterna och transformera sedan tillbaka. Robustare och mindre detekterbart, men med lägre kapacitet och högre komplexitet.

Regeln är: om bäraren kommer att komprimeras, ändra storlek på eller delas, bör ni bädda in data i frekvensdomänen. För felfria, förlustfria bärare fungerar rumslig LSB-inbäddning bra.

Uppskatta före inbäddningen hur mycket data ni kan dölja på ett säkert sätt. En användbar riktlinje är inbäddningsgrad – antalet dolda bitar per bit i täckobjektet.

• 1 bit per kanal (full LSB) maximal kapacitet, men också lättast att upptäcka.
• Delvisa inbäddningsgrader att bara använda en del av pixlarna minskar kapaciteten, men förbättrar omärkligheten avsevärt.

En RGB-bild på 1920x1080 har ungefär 6,2 miljoner färgbyte, vilket motsvarar ungefär 777 KB vid full LSB. Säkerhetsmedveten inbäddning använder dock bara en del av detta, eftersom statistiska avvikelser uppstår när varje LSB fylls och lätt upptäcks av steganalysverktyg.

Ur försvararens perspektiv visar förståelse för inbäddning vad man bör vara uppmärksam på:

• Formatavvikelser en PNG/BMP där JPEG förväntas kan tyda på att en förlustfri bärare har valts för LSB.
• Storleksavvikelser en fil vars storlek inte står i proportion till det synliga innehållet.
• Omkodning som försvar plattformar som komprimerar om alla uppladdningar förstör naiva LSB-nyttolaster – en billig motåtgärd.
• Statistisk analys full LSB-inbäddning jämnar ut den naturliga fördelningen av bitvärden, vilket kan upptäckas genom steganalys.

Dessa signaturer leder vidare till nästa lektion: att upptäcka dold data.

Ni har lärt er hur data faktiskt bäddas in i mediefiler.

• LSB-inbäddning skriver över den lägsta biten i varje färg- eller ljudsampling – en omärklig förändring med ett steg.
• Ett längdprefix eller en avslutningssekvens markerar var nyttolasten slutar; verktyg som steghide och stegano automatiserar detta med valfri kryptering.
• Förlustfria format (PNG, BMP, WAV) bevarar LSB-data; format med kvalitetsförlust (JPEG, MP3) kräver inbäddning i frekvensdomänen (DCT/ekodöljning/spridningsspektrum).
• Smygbarheten förbättras genom pseudoslumpmässig placering, inbäddning i brusiga områden och adaptiva algoritmer som styrs av en stego-nyckel.
• Valet mellan rumslig domän och frekvensdomän innebär en avvägning mellan kapacitet och robusthet.
• Försvarare letar efter formatavvikelser, storleksavvikelser och statistiska signaturer och använder omkodning för att förstöra naiva nyttolaster.

Härnäst lär vi oss att upptäcka dold data genom steganalys.