隐写分析：检测隐藏消息

最基本的隐写分析技术就是仔细查看可疑图像。放大到像素级别并检查颜色均匀的区域，可以发现与图像内容不一致的块状伪影或噪声模式。转换为灰度、调整对比度并检查颜色直方图，可以发现表明特定区域中发生隐写嵌入的异常。

卡方检验是检测 LSB 隐写术的经典统计检验。自然图像的颜色值具有特征性分布，其中相邻的偶数—奇数值对出现的频率相近。LSB 嵌入会将奇数值改为偶数，或反过来，从而在这些值对中产生可检测的不平衡。卡方统计量会衡量实际值对频率与预期频率之间的偏差；检测到嵌入时，该统计量会显著升高。

样本对分析是一种更先进的 LSB 检测器，它不仅判断是否发生了嵌入，还会估计嵌入消息的长度。它会统计相邻像素值对之间的转换，并建立这些计数随嵌入数据量变化的模型。通过将观察到的计数拟合到该模型，分析人员可以估计载体容量中有多少比例已被使用。

PSNR（峰值信噪比）和 SSIM（结构相似性指数）等图像质量指标，会将可疑图像与假定的干净参考图像，或自然图像的统计模型进行比较。非常高的 PSNR 表明修改很少；如果噪声在整幅图像中异常均匀地分布，而不是集中在复杂区域，则表明存在系统性的 LSB 操作，而非自然的相机噪声。

RS 分析会将图像像素划分为多个组，并根据翻转 LSB 后平滑度指标的变化，将这些组分类为规则组、奇异组或不可用组。在自然图像中，规则组的比例略高于奇异组。LSB 嵌入会以可预测的方式使这两种比例趋于相等。测量 LSB 翻转前后的 R 值和 S 值，可以构建一个稳健的检测器来估计嵌入率。

定向隐写分析旨在利用某种隐写工具或算法特有的统计特征来检测它。盲隐写分析也称为通用隐写分析，试图在不知道所用工具的情况下检测任何隐藏内容。盲分析方法通常会从图像中提取数百个统计特征，并使用在已知干净图像和隐写图像上训练的机器学习分类器。

现代隐写分析会使用在大量干净图像和隐写图像数据集上训练的卷积神经网络。CNN 会学习识别隐写嵌入引入的细微二阶统计差异。SRNet 和 Yedroudj-Net 等模型，即使面对每像素 0.1 比特的低嵌入率，也能对当前隐写工具实现非常高的检测率。嵌入与检测之间的攻防竞赛仍在继续。

StegExpose 是一种开源批量隐写分析工具，可以对一组图像运行多种检测算法并合并检测分数。它实现了卡方检验、RS 分析、主集合分析和样本对分析，并生成综合概率分数。安全团队使用它扫描大型图像库，以查找可能的数据外传。它对 Steghide、OpenStego 和 Outguess 等常见工具很有效。

许多隐写工具除了造成统计异常外，还会留下特征性伪影。例如，Steghide 会在修改后的 WAV 文件前几个字节中产生特定模式。OpenPuff 会以一种容易识别的方式修改文件头。这些工具特征使取证软件不仅能够识别是否使用了隐写术，还能识别具体使用了哪种工具，从而帮助指导提取尝试。

对于其内容类型而言异常大的文件可能表明存在隐藏载荷。一张尺寸相同的 PNG 截图如果文件大小达到预期值的两倍，其中可能包含隐藏的压缩包。根据尺寸、色彩深度和压缩设置，将实际文件大小与预期大小进行比较，可以在执行详细隐写分析之前，快速筛查出可疑文件。

数字取证调查不仅会查找载体文件本身，还会寻找安装或使用隐写工具的迹象。浏览器历史记录中显示访问过隐写软件的下载页面、已安装的 OpenStego 等应用，以及隐写操作产生的临时文件，都可能是取证线索。Windows 注册表项可能会记录最近打开的文件，而这些文件曾被用作载体或隐藏数据的来源。

哪种隐写分析技术通过建模像素对转换计数随嵌入率的变化，来估计隐藏数据量？

隐写分析涵盖从视觉检查到复杂机器学习分类器的各种方法。卡方检验和 RS 分析是检测 LSB 嵌入的经典统计方法。样本对分析可以估计嵌入率。机器学习 CNN 对现代工具具有很高的检测率。StegExpose 会组合多种检验，用于批量扫描。工具特征和文件大小异常为纯统计分析之外的取证工作提供了额外线索。