การวิเคราะห์สเตกาโนกราฟี: การตรวจจับข้อความที่ซ่อนอยู่

เทคนิคการวิเคราะห์การซ่อนข้อมูลที่พื้นฐานที่สุดคือการพิจารณาภาพที่น่าสงสัยอย่างละเอียด การขยายภาพจนถึงระดับพิกเซลและตรวจสอบบริเวณที่มีสีสม่ำเสมออาจเผยให้เห็นสิ่งแปลกปลอมเป็นบล็อกหรือรูปแบบสัญญาณรบกวนที่ไม่สอดคล้องกับเนื้อหาของภาพ การแปลงภาพเป็นระดับสีเทา การปรับความเปรียบต่าง และการตรวจสอบฮิสโตแกรมสีอาจเปิดเผยความผิดปกติที่บ่งชี้ว่ามีการฝังข้อมูลในบริเวณเฉพาะ

การทดสอบไคสแควร์เป็นการทดสอบทางสถิติแบบดั้งเดิมสำหรับการซ่อนข้อมูลด้วย LSB ภาพตามธรรมชาติมีการกระจายค่าที่เป็นลักษณะเฉพาะ โดยคู่ค่าคู่และคี่ที่อยู่ติดกันจะปรากฏด้วยความถี่ใกล้เคียงกัน การฝังข้อมูลด้วย LSB เปลี่ยนค่าคี่เป็นค่าคู่ หรือเปลี่ยนค่าคู่เป็นค่าคี่ ทำให้เกิดความไม่สมดุลที่ตรวจจับได้ในคู่เหล่านี้ ค่าสถิติไคสแควร์วัดการเบี่ยงเบนจากความถี่คู่ที่คาดหมาย และจะเพิ่มขึ้นอย่างมีนัยสำคัญเมื่อตรวจพบการฝังข้อมูล

ตัวชี้วัดคุณภาพภาพ เช่น PSNR (อัตราส่วนสัญญาณต่อสัญญาณรบกวนสูงสุด) และ SSIM (ดัชนีความคล้ายคลึงเชิงโครงสร้าง) เปรียบเทียบภาพที่น่าสงสัยกับภาพอ้างอิงที่สันนิษฐานว่าสะอาด หรือกับแบบจำลองทางสถิติของภาพตามธรรมชาติ ค่า PSNR ที่สูงมากบ่งชี้ว่ามีการดัดแปลงเพียงเล็กน้อย ส่วนการกระจายสัญญาณรบกวนที่สม่ำเสมอผิดปกติทั่วทั้งภาพ แทนที่จะกระจุกตัวอยู่ในบริเวณที่ซับซ้อน บ่งชี้ถึงการดัดแปลงด้วย LSB อย่างเป็นระบบมากกว่าสัญญาณรบกวนตามธรรมชาติของกล้อง

การวิเคราะห์ RS แบ่งพิกเซลในภาพออกเป็นกลุ่ม และจัดประเภทเป็นกลุ่มปกติ กลุ่มเอกฐาน หรือกลุ่มใช้การไม่ได้ โดยพิจารณาจากการเปลี่ยนแปลงของค่าความเรียบเมื่อกลับบิต LSB ในภาพตามธรรมชาติ สัดส่วนของกลุ่มปกติจะสูงกว่ากลุ่มเอกฐานเล็กน้อย การฝังข้อมูลด้วย LSB ทำให้สัดส่วนเหล่านี้เข้าใกล้กันในลักษณะที่คาดการณ์ได้ การวัดค่า R และ S ก่อนและหลังการกลับบิต LSB ทำให้ได้ตัวตรวจจับที่มีความน่าเชื่อถือ ซึ่งสามารถประมาณอัตราการฝังข้อมูลได้

การวิเคราะห์การซ่อนข้อมูลแบบเจาะจงได้รับการออกแบบมาเพื่อตรวจจับเครื่องมือหรืออัลกอริทึมการซ่อนข้อมูลหนึ่งโดยเฉพาะ ด้วยการใช้ลักษณะทางสถิติเฉพาะของเครื่องมือนั้น การวิเคราะห์แบบไม่เจาะจง หรือที่เรียกว่าการวิเคราะห์แบบทั่วไป พยายามตรวจจับเนื้อหาที่ซ่อนอยู่ทุกประเภทโดยไม่ทราบว่าใช้เครื่องมือใด วิธีแบบไม่เจาะจงมักดึงคุณลักษณะทางสถิติหลายร้อยรายการจากภาพ แล้วใช้ตัวจำแนกด้วยการเรียนรู้ของเครื่องที่ฝึกด้วยภาพต้นฉบับที่สะอาดและภาพที่ซ่อนข้อมูลซึ่งทราบข้อมูลอยู่แล้ว

การวิเคราะห์การซ่อนข้อมูลสมัยใหม่ใช้โครงข่ายประสาทเทียมแบบคอนโวลูชันที่ฝึกด้วยชุดข้อมูลขนาดใหญ่ของภาพต้นฉบับที่สะอาดและภาพที่ซ่อนข้อมูล CNN เรียนรู้เพื่อระบุความแตกต่างทางสถิติอันดับสองที่ละเอียดอ่อนซึ่งเกิดจากการฝังข้อมูล เครื่องมืออย่าง SRNet และ Yedroudj-Net มีอัตราการตรวจจับสูงมากเมื่อใช้กับเครื่องมือซ่อนข้อมูลในปัจจุบัน แม้ใช้อัตราการฝังข้อมูลต่ำเพียง 0.1 บิตต่อพิกเซล การแข่งขันระหว่างการฝังข้อมูลกับการตรวจจับยังคงดำเนินต่อไป

StegExpose เป็นเครื่องมือวิเคราะห์การซ่อนข้อมูลแบบกลุ่มที่เป็นโอเพนซอร์ส ใช้อัลกอริทึมตรวจจับหลายแบบกับชุดภาพ แล้วรวมคะแนนเข้าด้วยกัน เครื่องมือนี้ใช้ไคสแควร์ การวิเคราะห์ RS เซตปฐมภูมิ และการวิเคราะห์คู่ตัวอย่าง พร้อมสร้างคะแนนความน่าจะเป็นรวม ทีมรักษาความปลอดภัยใช้เครื่องมือนี้สแกนคลังภาพขนาดใหญ่เพื่อค้นหาการขโมยข้อมูลออกที่อาจเกิดขึ้น เครื่องมือนี้มีประสิทธิภาพกับเครื่องมือทั่วไปอย่าง สเตกไฮด์ OpenStego และเอาต์เกส

เครื่องมือซ่อนข้อมูลจำนวนมากทิ้งสิ่งแปลกปลอมที่มีลักษณะเฉพาะไว้นอกเหนือจากความผิดปกติทางสถิติ ตัวอย่างเช่น สเตกไฮด์สร้างรูปแบบเฉพาะในไบต์สองสามไบต์แรกของไฟล์ WAV ที่ถูกดัดแปลง OpenPuff ดัดแปลงส่วนหัวไฟล์ในลักษณะที่จดจำได้ ลายเซ็นของเครื่องมือเหล่านี้ช่วยให้ซอฟต์แวร์นิติวิทยาศาสตร์ระบุได้ไม่เพียงว่ามีการใช้การซ่อนข้อมูล แต่ยังระบุได้ว่าใช้เครื่องมือใด ซึ่งช่วยชี้แนวทางในการพยายามสกัดข้อมูล

ไฟล์ที่มีขนาดใหญ่เกินคาดเมื่อเทียบกับชนิดเนื้อหาอาจบ่งชี้ว่ามีข้อมูลซ่อนอยู่ ภาพหน้าจอ PNG ที่มีขนาดไฟล์เป็นสองเท่าของขนาดที่คาดหมายจากมิติภาพอาจมีคลังข้อมูลที่ซ่อนอยู่ การเปรียบเทียบขนาดไฟล์จริงกับขนาดที่คาดหมายจากมิติภาพ ความลึกสี และการตั้งค่าการบีบอัด เป็นวิธีคัดกรองเบื้องต้นที่รวดเร็วเพื่อระบุไฟล์ที่น่าสงสัยก่อนดำเนินการวิเคราะห์การซ่อนข้อมูลโดยละเอียด

การสืบสวนทางนิติวิทยาศาสตร์ดิจิทัลมองหาสัญญาณของการติดตั้งหรือใช้งานเครื่องมือซ่อนข้อมูล ไม่ได้ตรวจสอบเฉพาะไฟล์สื่อพาหะเท่านั้น ประวัติเบราว์เซอร์ที่แสดงการเข้าชมหน้าดาวน์โหลดซอฟต์แวร์ซ่อนข้อมูล แอปพลิเคชันที่ติดตั้งไว้ เช่น OpenStego และไฟล์ชั่วคราวจากการดำเนินการซ่อนข้อมูล ล้วนเป็นตัวบ่งชี้ทางนิติวิทยาศาสตร์ได้ รายการในรีจิสทรีของ Windows อาจบันทึกไฟล์ที่เพิ่งเปิด ซึ่งถูกใช้เป็นสื่อพาหะหรือแหล่งข้อมูลที่ซ่อนอยู่

การวิเคราะห์การซ่อนข้อมูลมีตั้งแต่การตรวจสอบด้วยสายตาไปจนถึงตัวจำแนกด้วยการเรียนรู้ของเครื่องที่ซับซ้อน การวิเคราะห์ไคสแควร์และ RS เป็นตัวตรวจจับทางสถิติแบบดั้งเดิมสำหรับการฝังข้อมูลด้วย LSB การวิเคราะห์คู่ตัวอย่างใช้ประมาณอัตราการฝังข้อมูล CNN ที่ใช้การเรียนรู้ของเครื่องมีอัตราการตรวจจับสูงเมื่อใช้กับเครื่องมือสมัยใหม่ StegExpose รวมการทดสอบหลายแบบเพื่อสแกนเป็นกลุ่ม ลายเซ็นของเครื่องมือและความผิดปกติของขนาดไฟล์เป็นตัวบ่งชี้ทางนิติวิทยาศาสตร์เพิ่มเติมนอกเหนือจากการวิเคราะห์ทางสถิติล้วน ๆ