sci_tech Вадим Геннадьевич Грибунин Игорь Николаевич Оков Игорь Владимирович Туринцев Цифровая стеганография

Интерес к стеганографии появился в последнее десятилетие и вызван широким распространением мультимедийных технологий. Методы стеганографии позволяют не только скрытно передавать данные, но и решать задачи помехоустойчивой аутентификации, защиты информации от несанкционированного копирования, отслеживания распространения информации по сетям связи, поиска информации в мультимедийных базах данных.

Международные симпозиумы по скрытию данных проводятся с 1996 года, по стеганографии первый симпозиум состоялся в июле 2002 года. Стеганография – быстро и динамично развивающаяся наука, использующая методы и достижения криптографии, цифровой обработки сигналов, теории связи и информации.

На русском языке стеганографии было посвящено только несколько обзорных журнальных статей. Данная книга призвана восполнить существующий пробел. В ней обобщены самые последние результаты исследований зарубежных ученых. В книге рассмотрены как теоретические, так и практические аспекты стеганографии, выполнена классификация стегосистем и методов встраивания, детально исследованы вопросы повышения пропускной способности стегоканала, обеспечения стойкости и незаметности внедрения, приведено более 50 алгоритмов встраивания данных.

Книга предназначена для студентов, аспирантов, научных работников, изучающих вопросы защиты информации, а также для инженеров-проектировщиков средств защиты информации. Также несомненный интерес она вызовет у специалистов в области теории информации и цифровой обработки сигналов.

ru
Wit77 htmlDocs2fb2, FictionBook Editor Release 2.6.6 02.01.2013 74EB813F-01CC-4091-BC22-273E4F7516F7 1.0

1.0 - Wit77 конвертация, верстка

Цифровая стеганография Солон-Пресс Москва 2002 5-98003-011-5

Грибунин В. Г., Оков И. Н., Туринцев И. В.

Цифровая стеганография

Введение

Задача защиты информации от несанкционированного доступа решалась во все времена на протяжении истории человечества. Уже в древнем мире выделилось два основных направления решения этой задачи, существующие и по сегодняшний день: криптография и стеганография. Целью криптографии является скрытие содержимого сообщений за счет их шифрования. В отличие от этого, при стеганографии скрывается сам факт существования тайного сообщения.

Слово «стеганография» имеет греческие корни и буквально означает «тайнопись». Исторически это направление появилось первым, но затем во многом было вытеснено криптографией. Тайнопись осуществляется самыми различными способами. Общей чертой этих способов является то, что скрываемое сообщение встраивается в некоторый безобидный, не привлекающий внимание объект. Затем этот объект открыто транспортируется адресату. При криптографии наличие шифрованного сообщения само по себе привлекает внимание противников, при стеганографии же наличие скрытой связи остается незаметным.

Какие только стеганографические методы не использовали люди для защиты своих секретов! Известные примеры включают в себя использование покрытых воском дощечек, вареных яиц, спичечных коробков и даже головы раба (сообщение читалось после сбривания волос гонца). В прошлом веке широко использовались так называемые симпатические чернила, невидимые при обычных условиях. Скрытое сообщение размещали в определенные буквы невинных словосочетаний, передавали при помощи внесения в текст незначительных стилистических, орфографических или пунктуационных погрешностей. С изобретением фотографии появилась технология микрофотоснимков, успешно применяемая Германией во время мировых войн. Крапление карт шулерами — это тоже пример стеганографии.

Во время Второй мировой войны правительством США придавалось большое значение борьбе против тайных методов передачи информации. Были введены определенные ограничения на почтовые отправления. Так, не принимались письма и телеграммы, содержащие кроссворды, ходы шахматных партий, поручения о вручении цветов с указанием времени и их вида; у пересылаемых часов переводились стрелки. Был привлечен многочисленный отряд цензоров, которые занимались даже перефразированием телеграмм без изменения их смысла.

Скрытие информации перечисленными методами возможно лишь благодаря тому, что противнику неизвестен метод скрытия. Между тем, еще в 1883 году Кергофф писал о том, что система защиты информации должна обеспечивать свои функции даже при полной информированности противника о ее структуре и алгоритмах функционирования. Вся секретность системы защиты передаваемой сведений должна заключаться в ключе, то есть в предварительно (как правило) разделенном между адресатами фрагменте информации. Несмотря на то, что этот принцип известен уже более 100 лет, и сейчас встречаются разработки, пренебрегающие им. Конечно, они не могут применяться в серьезных целях.

Развитие средств вычислительной техники в последнее десятилетие дало новый толчок для развития компьютерной стеганографии. Появилось много новых областей применения. Сообщения встраивают теперь в цифровые данные, как правило, имеющие аналоговую природу. Это — речь, аудиозаписи, изображения, видео. Известны также предложения по встраивании информации в текстовые файлы и в исполняемые файлы программ.

Существуют два основных направления в компьютерной стеганографии: связанный с цифровой обработкой сигналов и не связанный. В последнем случае сообщения могут быть встроены в заголовки файлов, заголовки пакетов данных. Это направление имеет ограниченное применение в связи с относительной легкостью вскрытия и/или уничтожения скрытой информации. Большинство текущих исследований в области стеганографии так или иначе связаны с цифровой обработкой сигналов. Это позволяет говорить о цифровой стеганографии. Именно этой науке и посвящена книга.

Можно выделить две причины популярности исследований в области стеганографии в настоящее время: ограничение на использование криптосредств в ряде стран мира и появление проблемы защиты прав собственности на информацию, представленную в цифровом виде. Первая причина повлекла за собой большое количество исследований в духе классической стеганографии (то есть скрытия факта передачи информации), вторая — еще более многочисленные работы в области так называемых водяных знаков. Цифровой водяной знак (ЦВЗ) — специальная метка, незаметно внедряемая в изображение или другой сигнал с целью тем или иным образом контролировать его использование.

В книге рассмотрены оба направления современной цифровой стеганографии. В первой главе приводится специфическая для этой области терминология, дана классификация стегосистем, рассмотрена наиболее общая математическая модель стегосистемы и приведены некоторые практические соображения повстраиванию данных. Во второй главе кратко рассмотрены основные типы атак на стегосистемы скрытой передачи данных и ЦВЗ. Третья и четвертая главы дают представление о достижениях в информационно-теоретических исследованиях стеганографических методов встраивания данных. В последующих главах основной упор делается на проблемы цифровой обработки сигналов, возникающие при внедрении информации, и рассмотрено большое количество алгоритмов встраивания, предложенных за последние годы.

Таким образом, нам, как представляется, удалось выдержать «баланс» между теоретическим и практическим наполнением книги. В ходе работы над книгой мы отказались от первоначально имеющейся идеи написать главу, посвященную описанию открыто распространяющихся стеганографических продуктов. Это объясняется их доступностью, наличием в Сети большого количества сайтов, где Вы найдете всю необходимую информацию.

При написании книги работа была разделена между авторами следующим образом: В.Г. Грибуниным написаны введение, заключение, гл.1, 2, 5, п.4.5, 6.2.1, 6.4; И.Н. Оковым написаны гл.3, 4 (кроме п.4.5); И.В. Туринцев выполнил обзор методов внедрения информации в изображения, аудио и видеосигналы в пп.6.1, 6.2, гл.7, 8.

Пункт 3.1 написан совместно с Головачевым В.Ю., п.3.2 — совместно с Ковалевым Р.М., а п.5.1 — совместно с Коняевым А.В.

1. ВВЕДЕНИЕ В ЦИФРОВУЮ СТЕГАНОГРАФИЮ

1.1. Цифровая стеганография. Предмет, терминология, области применения

Цифровая стеганография как наука родилась буквально в последние годы. По нашему мнению она включает в себя следующие направления:

1) встраивание информации с целью ее скрытой передачи;

2) встраивание цифровых водяных знаков (ЦВЗ) (watermarking);

3) встраивание идентификационных номеров (fingerprinting);

4) встраивание заголовков (captioning).

ЦВЗ могут применяться, в основном, для защиты от копирования и несанкционированного использования. В связи с бурным развитием технологий мультимедиа остро встал вопрос защиты авторских прав и интеллектуальной собственности, представленной в цифровом виде. Примерами могут являться фотографии, аудио и видеозаписи и т. д. Преимущества, которые дают представление и передача сообщений в цифровом виде, могут оказаться перечеркнутыми легкостью, с которой возможно их воровство или модификация. Поэтому разрабатываются различные меры защиты информации, организационного и технического характера. Один из наиболее эффективных технических средств защиты мультимедийной информации и заключается во встраивании в защищаемый объект невидимых меток — ЦВЗ. Разработки в этой области ведут крупнейшие фирмы во всем мире. Так как методы ЦВЗ начали разрабатываться совершенно недавно (первой статьей на эту тему была, видимо, работа [1]), то здесь имеется много неясных проблем, требующих своего разрешения.

Название этот метод получил от всем известного способа защиты ценных бумаг, в том числе и денег, от подделки. Термин «digital watermarking» был впервые применен в работе [2]. В отличие от обычных водяных знаков ЦВЗ могут быть не только видимыми, но и (как правило) невидимыми. Невидимые ЦВЗ анализируются специальным декодером, который выносит решение об их корректности. ЦВЗ могут содержать некоторый аутентичный код, информацию о собственнике, либо какую-нибудь управляющую информацию. Наиболее подходящими объектами защиты при помощи ЦВЗ являются неподвижные изображения, файлы аудио и видеоданных.

Технология встраивания идентификационных номеров производителей имеет много общего с технологией ЦВЗ. Отличие заключается в том, что в первом случае каждая защищенная копия имеет свой уникальный встраиваемый номер (отсюда и название — дословно «отпечатки пальцев»). Этот идентификационный номер позволяет производителю отслеживать дальнейшую судьбу своего детища: не занялся ли кто-нибудь из покупателей незаконным тиражированием. Если да, то «отпечатки пальцев» быстро укажут на виновного.

Встраивание заголовков (невидимое) может применяться, например, для подписи медицинских снимков, нанесения легенды на карту и т. д. Целью является хранение разнородно представленной информации в едином целом. Это, пожалуй, единственное приложение стеганографии, где в явном виде отсутствует потенциальный нарушитель.

Так как цифровая стеганография является молодой наукой, то ее терминология не до конца устоялась. Основные понятия стеганографии были согласованы на первой международной конференции по скрытию данных [3]. Тем не менее, даже само понятие «стеганография» трактуется различно. Так, некоторые исследователи понимают под стеганографией только скрытую передачу информации. Другие относят к стеганографии такие приложения как, например, метеорную радиосвязь, радиосвязь с псевдослучайной перестройкой радиочастоты, широкополосную радиосвязь. На наш взгляд, неформальное определение того, что такое цифровая стеганография, могло бы выглядеть следующим образом: «наука о незаметном и надежном скрытии одних битовых последовательностей в других, имеющих аналоговую природу». Под это определение как раз подпадают все четыре вышеприведенных направления скрытия данных, а приложения радиосвязи — нет. Кроме того, в определении содержится два главных требования к стеганографическому преобразованию: незаметность и надежность, или устойчивость к различного рода искажениям. Упоминание об аналоговой природе цифровых данных подчеркивает тот факт, что встраивание информации выполняется в оцифрованные непрерывные сигналы. Таким образом, в рамках цифровой стеганографии не рассматриваются вопросы внедрения данных в заголовки IP-пакетов и файлов различных форматов, в текстовые сообщения.

Как бы ни были различны направления стеганографии, предъявляемые ими требования во многом совпадают, как это будет показано далее. Наиболее существенное отличие постановки задачи скрытой передачи данных от постановки задачи встраивания ЦВЗ состоит в том, что в первом случае нарушитель должен обнаружить скрытое сообщение, тогда как во втором случае о его существовании все знают. Более того, у нарушителя на законных основаниях может иметься устройство обнаружения ЦВЗ (например, в составе DVD-проигрывателя).

Слово «незаметном» в нашем определении цифровой стеганографии подразумевает обязательное включение человека в систему стеганографической передачи данных. Человек здесь может рассматриваться как дополнительный приемник данных, предъявляющий к системе передачи достаточно трудно формализуемые требования.

Задачу встраивания и выделения сообщений из другой информации выполняет стегосистема. Стегосистема состоит из следующих основных элементов, представленных на рис. 1.1:

Рис. 1.1. Структурная схема типичной стегосистемы ЦВЗ

— прекодер — устройство, предназначенное для преобразования скрываемого сообщения к виду, удобному для встраивания в сигнал-контейнер. (Контейнером называется информационная последовательность, в которой прячется сообщение);

— стегокодер — устройство, предназначенное для осуществления вложения скрытого сообщения в другие данные с учетом их модели;

— устройство выделения встроенного сообщения;

— стегодетектор — устройство, предназначенное для определения наличия стегосообщения;

— декодер — устройство, восстанавливающее скрытое сообщение. Этот узел может отсутствовать, как будет пояснено далее.

Данные, содержащие скрытое сообщение, могут подвергаться преднамеренным атакам или случайным помехам, описание которых приведено в главе 3.

Как показано на рис. 1.1, в стегосистеме происходит объединение двух типов информации так, чтобы они могли быть различимы двумя принципиально разными детекторами. В качестве одного из детекторов выступает система выделения ЦВЗ, в качестве другого — человек.

Прежде, чем осуществить вложение ЦВЗ в контейнер, ЦВЗ должен быть преобразован к некоторому подходящему виду. Например, если в качестве контейнера выступает изображение, то и последовательность ЦВЗ зачастую представляется как двумерный массив бит. Для того, чтобы повысить устойчивость ЦВЗ к искажениям нередко выполняют его помехоустойчивое кодирование, либо применяют широкополосные сигналы. Первоначальную обработку скрытого сообщения выполняет показанный на рис. 1.1 прекодер. В качестве важнейшей предварительной обработки ЦВЗ (а также и контейнера) назовем вычисление его обобщенного преобразования Фурье. Это позволяет осуществить встраивание ЦВЗ в спектральной области, что значительно повышает его устойчивость к искажениям. Предварительная обработка часто выполняется с использованием ключа K для повышения секретности встраивания. Далее ЦВЗ «вкладывается» в контейнер, например, путем модификации младших значащих бит коэффициентов. Этот процесс возможен благодаря особенностям системы восприятия человека. Хорошо известно, что изображения обладают большой психовизуальной избыточностью. Глаз человека подобен низкочастотному фильтру, пропускающему мелкие детали. Особенно незаметны искажения в высокочастотной области изображений. Эти особенности человеческого зрения используются, например, при разработке алгоритмов сжатия изображений и видео.

Процесс внедрения ЦВЗ также должен учитывать свойства системы восприятия человека. Стеганография использует имеющуюся в сигналах психовизуальную избыточность, но другим, чем при сжатии данных образом. Приведем простой пример. Рассмотрим полутоновое изображение с 256 градациями серого, то есть с удельной скоростью кодирования 8 бит/пиксел. Хорошо известно, что глаз человека не способен заметить изменение младшего значащего бита. Еще в 1989 году был получен патент на способ скрытого вложения информации в изображение путем модификации младшего значащего бита. В данном случае детектор стего анализирует только значение этого бита для каждого пиксела, а глаз человека, напротив, воспринимает только старшие 7 бит. Данный метод прост в реализации и эффективен, но не удовлетворяет некоторым важным требованиям к ЦВЗ, как будет показано далее.

В большинстве стегосистем для внедрения и выделения ЦВЗ используется ключ. Ключ может быть предназначен для узкого круга лиц или же быть общедоступным. Например, ключ должен содержаться во всех DVD-плейерах, чтобы они могли прочесть содержащиеся на дисках ЦВЗ. Иногда по аналогии с криптографией стегосистемы делят на два класса: с открытым ключом и с секретным ключом. На наш взгляд, аналогия неверна, так как понятие открытого ключа в данном случае в корне различно. Правильным выражением было бы «общедоступный ключ», причем ключ встраивания совпадает с ключом выделения. Не существует, насколько известно, стегосистемы, в которой бы при выделении ЦВЗ требовалась другая информация, чем при его вложении. Хотя и не доказана гипотеза о невозможности существования подобной системы. В системе с общедоступным ключом достаточно сложно противостоять возможным атакам со стороны злоумышленников. В самом деле, в данном случае нарушителю точно известен ключ и месторасположение ЦВЗ, а также его значение.

В стегодетекторе происходит обнаружение ЦВЗ в (возможно измененном) защищенном ЦВЗ изображении. Это изменение может быть обусловлено влиянием ошибок в канале связи, операций обработки сигнала, преднамеренных атак нарушителей. Во многих моделях стегосистем сигнал-контейнер рассматривается как аддитивный шум[4]. Тогда задача обнаружения и выделения стегосообщения является классической для теории связи. Однако такой подход не учитывает двух факторов: неслучайного характера сигнала контейнера и требований по сохранению его качества. Эти моменты не встречаются в известной теории обнаружения и выделения сигналов на фоне аддитивного шума. Их учет позволит построить более эффективные стегосистемы.

Различают стегодетекторы, предназначенные для обнаружения факта наличия ЦВЗ и устройства, предназначенные для выделения этого ЦВЗ (стегодекодеры). В первом случае возможны детекторы с жесткими (да/нет) или мягкими решениями. Для вынесения решения о наличии/отсутствии ЦВЗ удобно использовать такие меры, как расстояние по Хэммингу, либо взаимную корреляцию между имеющимся сигналом и оригиналом (при наличии последнего, разумеется). А что делать, если у нас нет исходного сигнала? Тогда в дело вступают более тонкие статистические методы, основанные на построении моделей исследуемого класса сигналов. В последующих главах этот вопрос будет освещен подробнее.

В зависимости от того, какая информация требуется детектору для обнаружения ЦВЗ, стегосистемы ЦВЗ делятся на три класса: открытые, полузакрытые и закрытые системы. Эта классификация приведена в табл.1.1.

Табл.1.1

Что требуется детектору Выход детектора
Исходный сигнал Исходный ЦВЗ Да/Нет ЦВЗ
Закрытые Тип I + + + -
Тип II + - - +
Полузакрытые - + + -
Открытые - - - +

Табл.1.1. Классификация систем встраивания ЦВЗ

Наибольшее применение могут иметь открытые стегосистемы ЦВЗ, которые аналогичны системам скрытой передачи данных. Наибольшую устойчивость по отношению к внешним воздействиям имеют закрытые стегосистемы I типа.

Рассмотрим подробнее понятие контейнера. До стегокодера — это пустой контейнер, после него — заполненный контейнер, или стего. Стего должен быть визуально неотличим от пустого контейнера. Различают два основных типа контейнеров: потоковый и фиксированный.

Потоковый контейнер представляет собой непрерывно следующую последовательность бит. Сообщение вкладывается в него в реальном масштабе времени, так что в кодере неизвестно заранее, хватит ли размеров контейнера для передачи всего сообщения. В один контейнер большого размера может быть встроено и несколько сообщений. Интервалы между встраиваемыми битами определяются генератором псевдослучайной последовательности с равномерным распределением интервалов между отсчетами. Основная трудность заключается в осуществлении синхронизации, определении начала и конца последовательности. Если в данных контейнера имеются биты синхронизации, заголовки пакетов и т. д., то скрываемая информация может идти сразу после них. Трудность обеспечения синхронизации превращается в достоинство с точки зрения обеспечения скрытности передачи. Кроме того, потоковый контейнер имеет большое практическое значение: представьте себе, например, стегоприставку к обычному телефону. Под прикрытием обычного, незначащего телефонного переговора можно было бы передавать другой разговор, данные и т. п., и не зная секретного ключа нельзя было бы не только узнать содержание скрытой передачи, но и сам факт ее существования. Не случайно, что работ, посвященных разработке стегосистем с потоковым контейнером практически не встречается.

У фиксированного контейнера размеры и характеристики заранее известны. Это позволяет осуществлять вложение данных оптимальным в некотором смысле образом. В книге мы будем рассматривать, в основном, фиксированные контейнеры (далее — контейнеры).

Контейнер может быть выбранным, случайным или навязанным. Выбранный контейнер зависит от встраиваемого сообщения, а в предельном случае является его функцией. Этот тип контейнера больше характерен для стеганографии. Навязанный контейнер может появиться в сценарии, когда лицо, предоставляющее контейнер, подозревает о возможной скрытой переписке и желает предотвратить ее. На практике же чаще всего сталкиваются со случайным контейнером.

Встраивание сообщения в контейнер может производиться при помощи ключа, одного или нескольких. Ключ — псевдослучайная последовательность (ПСП) бит, порождаемая генератором, удовлетворяющим определенным требованиям (криптографически безопасный генератор). В качестве основы генератора может использоваться, например, линейный рекуррентный регистр. Тогда адресатам для обеспечения связи может сообщаться начальное заполнение этого регистра. Числа, порождаемые генератором ПСП, могут определять позиции модифицируемых отсчетов в случае фиксированного контейнера или интервалы между ними в случае потокового контейнера. Надо отметить, что метод случайного выбора величины интервала между встраиваемыми битами не особенно хорош. Причин этого две. Во-первых, скрытые данные должны быть распределены по всему изображению. Поэтому, равномерное распределение длин интервалов (от наименьшего до наибольшего) может быть достигнуто лишь приближенно, так как мы должны быть уверены в том, что все сообщение встроено, то есть «поместилось» в контейнер. Во-вторых, длины интервалов между отсчетами шума распределены не по равномерному, а по экспоненциальному закону. Генератор же ПСП с экспоненциально распределенными интервалами сложен в реализации.

Скрываемая информация внедряется в соответствии с ключом в те отсчеты, искажение которых не приводит к существенным искажениям контейнера. Эти биты образуют стегопуть. В зависимости от приложения, под существенным искажением можно понимать искажение, приводящее как к неприемлемости для человека-адресата заполненного контейнера, так и к возможности выявления факта наличия скрытого сообщения после стегоанализа.

ЦВЗ могут быть трех типов: робастные, хрупкие и полухрупкие (semifragile). Под робастностью понимается устойчивость ЦВЗ к различного рода воздействиям на стего. Робастным ЦВЗ посвящено большинство исследований.

Хрупкие ЦВЗ разрушаются при незначительной модификации заполненного контейнера. Они применяются для аутентификации сигналов. Отличие от средств электронной цифровой подписи заключается в том, что хрупкие ЦВЗ все же допускают некоторую модификацию контента. Это важно для защиты мультимедийной информации, так как законный пользователь может, например, пожелать сжать изображение. Другое отличие заключается в том, что хрупкие ЦВЗ должны не только отразить факт модификации контейнера, но также вид и местоположение этого изменения.

Полухрупкие ЦВЗ устойчивы по отношению к одним воздействиям и неустойчивы по отношению к другим. Вообще говоря, все ЦВЗ могут быть отнесены к этому типу. Однако полухрупкие ЦВЗ специально проектируются так, чтобы быть неустойчивыми по отношению к определенного рода операциям. Например, они могут позволять выполнять сжатие изображения, но запрещать вырезку из него или вставку в него фрагмента.

На рис. 1.2 представлена классификация систем цифровой стеганографии.

Стегосистема образует стегоканал, по которому передается заполненный контейнер. Этот канал считается подверженным воздействиям со стороны нарушителей. Следуя Симмонсу [5], в стеганографии обычно рассматривается такая постановка задачи («проблема заключенных»).

Двое заключенных, Алиса и Боб желают конфиденциально обмениваться сообщениями, несмотря на то, что канал связи между ними контролирует охранник Вилли. Для того, чтобы тайный обмен сообщениями был возможен предполагается, что Алиса и Боб имеют некоторый известный обоим секретный ключ. Действия Вилли могут заключаться не только в попытке обнаружения скрытого канала связи, но и в разрушении передаваемых сообщений, а также их модификации и создании новых, ложных сообщений. Соответственно, можно выделить три типа нарушителей, которым должна противостоять стегосистема: пассивный, активный и злоумышленный нарушители. Подробнее возможные действия нарушителей и защита от них рассмотрены во второй главе. Пока заметим лишь, что пассивный нарушитель может быть лишь в стегосистемах скрытой передачи данных. Для систем ЦВЗ характерны активные и злоумышленные нарушители.

Статья Симмонса [5], как он сам написал впоследствии [6], была вызвана желанием привлечь внимание научной общественности к закрытой в то время проблеме, связанной с контролем над ядерным оружием. Согласно Договору ОСВ СССР и США должны были разместить некие датчики на стратегических ракетах друг друга. Эти датчики должны были передавать инфор формацию о том, не подсоединена ли к ним ядерная боеголовка. Проблема, которой занимался Симмонс, заключалась в том, чтобы не допустить передачи како-либо другой информации этими датчиками, например, о местоположении ракет. Определение факта наличия скрытой информации — главная задача стегоанализа.

Рис. 1.2. Классификация систем цифровой стеганографии

Для того, чтобы стегосистема была надежной, необходимо выполнение при ее проектировании ряда требований.

— Безопасность системы должна полностью определяться секретностью ключа. Это означает, что нарушитель может полностью знать все алгоритмы работы стегосистемы и статистические характеристики множеств сообщений и контейнеров, и это не даст ему никакой дополнительной информации о наличии или отсутствии сообщения в данном контейнере.

— Знание нарушителем факта наличия сообщения в каком-либо контейнере не должно помочь ему при обнаружении сообщений в других контейнерах.

— Заполненный контейнер должен быть визуально неотличим от незаполненного. Для удовлетворения этого требования надо, казалось бы, внедрять скрытое сообщение в визуально незначимые области сигнала. Однако, эти же области используют и алгоритмы сжатия. Поэтому, если изображение будет в дальнейшем подвергаться сжатию, то скрытое сообщение может разрушиться. Следовательно, биты должны встраиваться в визуально значимые области, а относительная незаметность может быть достигнута за счет использования специальных методов, например, модуляции с расширением спектра.

— Стегосистема ЦВЗ должна иметь низкую вероятность ложного обнаружения скрытого сообщения в сигнале, его не содержащем. В некоторых приложениях такое обнаружение может привести к серьезным последствиям. Например, ложное обнаружение ЦВЗ на DVD-диске может вызвать отказ от его воспроизведения плейером.

— Должна обеспечиваться требуемая пропускная способность (это требование актуально, в основном, для стегосистем скрытой передачи информации). В третьей главе мы введем понятие скрытой пропускной способности и рассмотрим пути ее достижения.

— Стегосистема должна иметь приемлемую вычислительную сложность реализации. При этом возможна асимметричная по сложности реализации система ЦВЗ, то есть сложный стегокодер и простой стегодекодер.

К ЦВЗ предъявляются следующие требования.

— ЦВЗ должен легко (вычислительно) извлекаться законным пользователем.

— ЦВЗ должен быть устойчивым либо неустойчивым к преднамеренным и случайным воздействиям (в зависимости о приложения). Если ЦВЗ используется для подтверждения подлинности, то недопустимое изменение контейнера должно приводить к разрушению ЦВЗ (хрупкий ЦВЗ). Если же ЦВЗ содержит идентификационный код, логотип фирмы и т. п., то он должен сохраниться при максимальных искажениях контейнера, конечно, не приводящих к существенным искажениям исходного сигнала. Например, у изображения могут быть отредактированы цветовая гамма или яркость, у аудиозаписи — усилено звучание низких тонов и т. д. Кроме того ЦВЗ должен быть робастным по отношению к аффинным преобразованиям изображения, то есть его поворотам, масштабированию. При этом надо различать устойчивость самого ЦВЗ и способность декодера верно его обнаружить. Скажем, при повороте изображения ЦВЗ не разрушится, а декодер может оказаться неспособным выделить его. Существуют приложения, когда ЦВЗ должен быть устойчивым по отношению к одним преобразованиям и неустойчивым по отношению к другим. Например, может быть разрешено копирование изображения (ксерокс, сканер), но наложен запрет на внесение в него каких-либо изменений.

— Должна иметься возможность добавления к стего дополнительных ЦВЗ. Например, на DVD-диске имеется метка о допустимости однократного копирования. После осуществления такого копирования необходимо добавить метку о запрете дальнейшего копирования. Можно было бы, конечно, удалить первый ЦВЗ и записать на его место второй. Однако, это противоречит предположению о трудноудалимости ЦВЗ. Лучшим выходом является добавление еще одного ЦВЗ, после которого первый не будет приниматься во внимание. Однако, наличие нескольких ЦВЗ на одном сообщении может облегчить атаку со стороны нарушителя, если не предпринять специальных мер, как это будет описано в главе 2.

В настоящее время технология ЦВЗ находится в самой начальной стадии своего развития. Как показывает практика, должно пройти лет 10–20 для того, чтобы новый криптографический метод начал широко использоваться в обществе. Наверное, аналогичная ситуация будет наблюдаться и со стеганографией. Одной из проблем, связанных с ЦВЗ, является многообразие требований к ним, в зависимости от приложения. Рассмотрим подробнее основные области применения ЦВЗ.

Вначале рассмотрим проблему пиратства, или неограниченного неавторизованного копирования. Алиса продает свое мультимедийное сообщение Питеру. Хотя информация могла быть зашифрована во время передачи, ничто не помешает Питеру заняться ее копированием после расшифровки. Следовательно, в данном случае требуется дополнительный уровень защиты от копирования, который не может быть обеспечен традиционными методами. Как будет показано далее, существует возможность внедрения ЦВЗ, разрешающего воспроизведение и запрещающего копирование информации.

Важной проблемой является определение подлинности полученной информации, то есть ее аутентификация. Обычно для аутентификации данных используются средства цифровой подписи. Однако, эти средства не совсем подходят для обеспечения аутентификации мультимедийной информации. Дело в том, что сообщение, снабженное электронной цифровой подписью, должно храниться и передаваться абсолютно точно, «бит в бит». Мультимедийная же информация может незначительно искажаться как при хранении (за счет сжатия), так и при передаче (влияние одиночных или пакетных ошибок в канале связи). При этом ее качество остается допустимым для пользователя, но цифровая подпись работать не будет. Получатель не сможет отличить истинное, хотя и несколько искаженное сообщение, от ложного. Кроме того, мультимедийные данные могут быть преобразованы из одного формата в другой. При этом традиционные средства защиты целостности работать также не будут. Можно сказать, что ЦВЗ способны защитить именно содержание аудио-, видеосообщения, а не его цифровое представление в виде последовательности бит. Кроме того, важным недостатком цифровой подписи является то, что ее легко удалить из заверенного ею сообщения, после чего приделать к нему новую подпись. Удаление подписи позволит нарушителю отказаться от авторства, либо ввести в заблуждение законного получателя относительно авторства сообщения. Система ЦВЗ проектируется таким образом, чтобы исключить возможность подобных нарушений.

Как видно из рис. 1.3, применение ЦВЗ не ограничивается приложениями безопасности информации. Основные области использования технологии ЦВЗ могут быть объединены в четыре группы: защита от копирования (использования), скрытая аннотация документов, доказательство аутентичности информации и скрытая связь.

Рис. 1.3. Потенциальные области применения стеганографии

Популярность мультимедиа-технологий вызвало множество исследований, связанных с разработкой алгоритмов ЦВЗ для использования в стандартах MP3, MPEG-4, JPEG2000, защиты DVD дисков от копирования.

1.2. Встраивание сообщений в незначащие элементы контейнера

Цифровые изображения представляют из себя матрицу пикселов. Пиксел — это единичный элемент изображения. Он имеет фиксированную разрядность двоичного представления. Например, пикселы полутонового изображения кодируются 8 битами (значения яркости изменяются от 0 до 255).

Младший значащий бит (LSB) изображения несет в себе меньше всего информации. Известно, что человек обычно не способен заметить изменение в этом бите. Фактически, он является шумом. Поэтому его можно использовать для встраивания информации. Таким образом, для полутонового изображения объем встраиваемых данных может составлять 1/8 объема контейнера. Например, в изображение размером 512х512 можно встроить 32 килобайта информации. Если модифицировать два младших бита (что также почти незаметно), то можно скрытно передать вдвое больший объем данных.

Достоинства рассматриваемого метода заключаются в его простоте и сравнительно большом объеме встраиваемых данных. Однако, он имеет серьезные недостатки. Во-первых, скрытое сообщение легко разрушить, как это показано в третьей главе. Во-вторых, не обеспечена секретность встраивания информации. Нарушителю точно известно местоположение всего ЦВЗ. Для преодоления последнего недостатка было предложено встраивать ЦВЗ не во все пикселы изображения, а лишь в некоторые из них, определяемые по псевдослучайному закону в соответствии с ключом, известному только законному пользователю. Пропускная способность при этом уменьшается.

Рассмотрим подробнее вопрос выбора пикселов изображения для встраивания в них скрытого сообщения.

В работе [7] отмечается неслучайный характер поведения младшего значащего бита изображений. Скрываемое сообщение не должно изменять статистики изображения. Для этого, в принципе возможно, располагая достаточно большим количеством незаполненных контейнеров, подыскать наиболее подходящий. Теоретически возможно найти контейнер, уже содержащий в себе наше сообщение при данном ключе. Тогда изменять вообще ничего не надо, и вскрыть факт передачи будет невозможно. Эту ситуацию можно сравнить с применением одноразового блокнота в криптографии. Метод выбора подходящего контейнера требует выполнения большого количества вычислений и обладает малой пропускной способностью.

Альтернативным подходом является моделирование характеристик поведения LSB. Встраиваемое сообщение будет в этом случае частично или полностью зависеть от контейнера. Процесс моделирования является вычислительно трудоемким, кроме того, его надо повторять для каждого контейнера. Главным недостатком этого метода является то, что процесс моделирования может быть повторен нарушителем, возможно обладающим большим вычислительным ресурсом, создающим лучшие модели, что приведет к обнаружению скрытого сообщения. Это противоречит требованию о независимости безопасности стегосистемы от вычислительной мощности сторон. Кроме того, для обеспечения скрытности, необходимо держать используемую модель шума в тайне. А как нам уже известно, нарушителю неизвестен должен быть лишь ключ.

В силу указанных трудностей на практике обычно ограничиваются поиском пикселов, модификация которых не вносит заметных искажений в изображение. Затем из этих пикселов в соответствии с ключом выбираются те, которые будут модифицироваться. Скрываемое сообщение шифруется с применением другого ключа. Этот этап может быть дополнен предварительной компрессией для уменьшения объема сообщения.

1.3. Математическая модель стегосистемы

Стегосистема может быть рассмотрена как система связи [8].

Алгоритм встраивания ЦВЗ состоит из трех основных этапов: 1) генерации ЦВЗ, 2) встраивания ЦВЗ в кодере и 3) обнаружения ЦВЗ в детекторе.

1) Пусть есть множества возможных ЦВЗ, ключей, контейнеров и скрываемых сообщений, соответственно. Тогда генерация ЦВЗ может быть представлена в виде

, , (1.2)

где - представители соответствующих множеств. Вообще говоря, функция F может быть произвольной, но на практике требования робастности ЦВЗ накладывают на нее определенные ограничения. Так, в большинстве случаев, , то есть незначительно измененный контейнер не приводит к изменению ЦВЗ. Функция F обычно является составной:

где и , (1.3)

то есть ЦВЗ зависит от свойств контейнера, как это уже обсуждалось выше в данной главе. Функция G может быть реализована при помощи криптографически безопасного генератора ПСП с K в качестве начального значения.

Для повышения робастности ЦВЗ могут применяться помехоустойчивые коды, например, коды БЧХ, сверточные коды [9]. В ряде публикаций отмечены хорошие результаты, достигаемые при встраивании ЦВЗ в области вейвлет-преобразования с использованием турбо-кодов. Отсчеты ЦВЗ принимают обычно значения из множества {-1,1}, при этом для отображения {0,1}→{-1,1} может применяться двоичная относительная фазовая модуляция (BPSK).

Оператор T модифицирует кодовые слова , в результате чего получается ЦВЗ . На эту функцию можно не накладывать ограничения необратимости, так как соответствующий выбор G уже гарантирует необратимость F. Функция T должна быть выбрана так, чтобы незаполненный контейнер , заполненный контейнер и незначительно модифицированный заполненный контейнер  порождали бы один и тот же ЦВЗ:

, (1.4)

то есть она должна быть устойчивой к малым изменениям контейнера.

2) Процесс встраивания ЦВЗ в исходное изображение может быть описан как суперпозиция двух сигналов:

, , (1.5)

где

— маска встраивания ЦВЗ, учитывающая характеристики зрительной системы человека, служит для уменьшения заметности ЦВЗ;

— проектирующая функция, зависящая от ключа;

знаком обозначен оператор суперпозиции, включающий в себя, помимо сложения, усечение и квантование.

Проектирующая функция осуществляет «распределение» ЦВЗ по области изображения. Ее использование может рассматриваться, как реализация разнесения информации по параллельным каналам. Кроме того, эта функция имеет определенную пространственную структуру и корреляционные свойства, использующиеся для противодействия геометрическим атакам (см. гл.3).

Другое возможное описание процесса внедрения получим, представив стегосистему как систему связи с передачей дополнительной информации (рис. 1.4) [8]. В этой модели кодер и декодер имеют доступ, помимо ключа, к информации о канале (то есть о контейнере и о возможных атаках). В зависимости от положения переключателей А и Б выделяют четыре класса стегосистем (подразумевается, что ключ всегда известен кодеру и декодеру).

I класс: дополнительная информация отсутствует (переключатели разомкнуты) — «классические» стегосистемы. В ранних работах по стеганографии считалось, что информация о канале недоступна кодеку. Обнаружение ЦВЗ осуществлялось путем вычисления коэффициента корреляции между принятым стего и вычисленным по ключу ЦВЗ. Если коэффициент превышал некоторый порог, выносилось решение о присутствии ЦВЗ. Известно, что корреляционный приемник оптимален лишь в случае аддитивной гауссовой помехи. При других атаках (например, геометрических искажениях) эти стегосистемы показывали удручающие результаты.

Рис. 1.4. Представление стегосистемы, как системы связи с передачей дополнительной информации

II класс: информация о канале известна только кодеру (А замкнут, Б разомкнут). Эта конструкция привлекла к себе внимание благодаря статье [10]. Интересной особенностью схемы является то, что, будучи слепой, она имеет ту же теоретическую пропускную способность, что и схема с наличием исходного контейнера в декодере. К недостаткам стегосистем II класса можно отнести высокую сложность кодера (необходимость построения кодовой книги для каждого изображения), а также отсутствие адаптации схемы к возможным атакам. В последнее время предложен ряд практических подходов, преодолевающих эти недостатки. В частности, для снижения сложности кодера предлагается использовать структурированные кодовые книги, а декодер рассчитывать на случай наихудшей атаки.

III класс: дополнительная информация известна только декодеру (А разомкнут, Б замкнут). В этих схемах декодер строится с учетом возможных атак. В результате получаются робастные к геометрическим атакам системы. Одним из методов достижения этой цели является использование так называемой опорного ЦВЗ (аналог пилот-сигнала в радиосвязи). Опорный ЦВЗ — небольшое число бит, внедряемые в инвариантные к преобразованиям коэффициенты сигнала. Например, можно выполнить встраивание в амплитудные коэффициенты преобразования Фурье, которые инвариатны к аффинным преобразованиям. Тогда опорный ЦВЗ «покажет», какое преобразование выполнил со стего атакующий. Другим назначением пилотного ЦВЗ является борьба с замираниями, по аналогии с радиосвязью. Замираниями в данном случае можно считать изменение значений отсчетов сигнала при встраивании данных, атаках, добавлении негауссовского шума и т. д. В радиосвязи для борьбы с замираниями используется метод разнесенного приема (по частоте, времени, пространству, коду). В стеганографии же используется разнесение ЦВЗ по пространству контейнера. Пилотный ЦВЗ генерируется в декодере на основе ключа.

IV класс: дополнительная информация известна и в кодере и в декодере (оба ключа замкнуты). Как отмечено в [9], по всей видимости все перспективные стегосистемы должны строиться по этому принципу. Оптимальность этой схемы достигается путем оптимального согласования кодера с сигналом-контейнером, а также адаптивным управлением декодером в условиях наблюдения канала атак.

3) Также как в радиосвязи наиболее важным устройством является приемник, в стегосистеме главным является стегодетектор. В зависимости от типа он может выдавать двоичные либо М-ичные решения о наличии/отсутствии ЦВЗ (в случае детектора с мягкими решениями). Рассмотрим вначале более простой случай «жесткого» детектора стего. Обозначим операцию детектирования через D. Тогда

, . (1.6)

В качестве детектора ЦВЗ обычно используют корреляционный приемник, изображенный на рис. 1.5.

Пусть у половины пикселов изображения значение яркости увеличено на 1, а у остальных — осталось неизменным, либо уменьшено на 1. Тогда , где . Коррелятор детектора ЦВЗ вычисляет величину . Так как W может принимать значения ±1, то будет весьма мало, а будет всегда положительно. Поэтому будет очень близко к . Тогда можно воспользоваться результатами теории связи и записать вероятность неверного обнаружения стего, как дополнительную (комплементарную) функцию ошибок от корня квадратного из отношения («энергии сигнала») к дисперсии значений пикселов яркости («энергия шума»).

Для случая мягкого детектора и закрытой стегосистемы имеем две основные меры похожести:

Рис. 1.5. Корреляционный детектор ЦВЗ

— (1.7)

нормированный коэффициент взаимной корреляции и

— (1.8)

расстояние по Хэммингу.

В детекторе возможно возникновение двух типов ошибок. Существует вероятность того, что детектор не обнаружит имеющийся ЦВЗ и вероятность ложного нахождения ЦВЗ в пустом контейнере (вероятность ложной тревоги). Снижение одной вероятности приводит к увеличению другой. Надежность работы детектора характеризуют вероятностью ложного обнаружения. Система ЦВЗ должна быть построена таким образом, чтобы минимизировать вероятности возникновения обеих ошибок, так как каждая из них может привести к отказу от обслуживания.

1.4. Стеганографические протоколы

Важное значение для достижения целей стеганографии имеют протоколы. По протоколом понимается «порядок действий, предпринимаемых двумя или более сторонами, предназначенный для решения определенной задачи» [11]. Можно разработать исключительно эффективный алгоритм скрытия информации, но из-за его неправильного применения не добиться своей цели. И протокол и алгоритм есть некоторая последовательность действий. Различие заключается в том, что в протокол должны быть обязательно вовлечены двое или более сторон. При этом предполагается, что участники принимают на себя обязательство следовать протоколу. Также как и алгоритм, протокол состоит из шагов. На каждом шаге протокола выполняются некоторые действия, которые могут заключаться, например, в производстве каких-то вычислений, или осуществлении некоторых действий.

1.4.1. Стеганография с открытым ключом

Стеганография с открытым ключом опирается на достижения криптографии последних 25 лет. Понятие «открытый ключ» означает, что для дешифровки сообщения используется другой ключ, чем при его шифровании. При этом один из ключей делается общедоступным, открытым. Криптографическая система с открытым ключом используется, например, при цифровой подписи. При этом сообщение подписывается закрытым ключом, и любой, имеющий соответствующий открытый ключ, может удостовериться в ее подлинности. При шифровании данных используют обратный порядок: сообщение подписывается открытым ключом, а прочитать его может лишь имеющий соответствующий закрытый ключ. Естественно, что из открытого ключа никакими способами нельзя получить закрытый ключ (в вычислительном смысле).

Напомним, что стеганографический ключ не шифрует данные, а скрывает место их нахождения в контейнере. Спрятанные данные могут быть дополнительно зашифрованы обычными методами, но этот вопрос не относится к стеганографии. Для того, чтобы была возможность организации стегоканала, стороны должны, как правило, иметь перед началом сеанса некоторую информацию.

Вернемся к «проблеме заключенных». Предположим, что Алиса и Боб еще во время нахождения на свободе обменялись закрытыми или открытыми ключами друг с другом. Тогда их задача заключается во встраивании сообщений в контейнер в соответствии с ключом. Встроенное сообщение не должно заметно изменять контейнер и обнаруживаться посредством статистических тестов. Если Вилли злоумышленный нарушитель, то у него имеется возможность некоторого искажения сигнала, передаваемого от Алисы к Бобу. Это может привести к потере скрытого сообщения, если не использовать специальные методы (например, помехоустойчивое кодирование, или расширение спектра сигналов).

Возможно ли осуществление скрытой связи между Алисой и Бобом, если у них имеются только открытые ключи друг друга? Оказывается, да. В публикации [11] представлен протокол, следуя которому заключенные могут наладить в этом случае скрытую «переписку». При этом надо отметить, что предположение о том, что Алиса и Боб имеют открытые ключи друг друга не является чем-то необычным. Протокол, приведенный в [11] предполагает наличие пассивного нарушителя и заключается в следующем:

1. Алиса встраивает свое сообщение с использованием известного ей открытого ключа Боба в стегоканал, подверженный наблюдению со стороны Вилли.

2. Предполагается, что Бобу известны детали протокола, он ждет сообщение и, приняв его, извлекает из контейнера с использованием своего закрытого ключа.

Очевидным недостатком этого протокола является то что Алиса никаким путем не может предупредить Боба о начале передачи скрытого сообщения. Поэтому Боб должен подозревать его наличие во всех принятых сообщениях и проверять их. При интенсивном обмене данными, да еще в многопользовательской среде, это может быть невыполнимо.

С другой стороны, то, что Боб проверяет все поступающие данные говорит о том, что он может стать участником стеганографического протокола. При этом у Алисы появляется возможность передать Бобу свой открытый ключ.

Известна также и модификация этого протокола, не требующая предварительного обмена открытыми ключами между Алисой и Бобом:

1. Алиса генерирует на своем компьютере пару открытого и закрытого ключа.

2. Алиса пересылает открытый ключ по каналу Бобу. Эту же информацию получает и Вилли.

3. Боб предполагает, что пересланные данные есть открытый ключ Алисы. С его помощью он шифрует сообщение, состоящее из его открытого ключа для будущей связи и (возможно) краткого «приветствия». Боб пересылает это сообщение Алисе.

4. Алиса знает, что присланные данные содержат открытый ключ Боба, дешифрует их при помощи своего закрытого ключа. У узников есть вся необходимая информация для обеспечения скрытой двусторонней связи. Так как Вилли лишь Наблюдатель, то он не может никоим образом вмешаться и помешать установлению скрытой связи между Алисой и Бобом.

Иное дело, если Вилли является активным или злоумышленным нарушителем. Тогда он не только может вносить помехи в стегоканал, но и даже полностью имитировать, скажем, Алису. Так как у Боба нет никакой априорной информации об Алисе, он не сможет отличить подделку. Поэтому, осуществление скрытой передачи данных с открытым ключом в присутствии активного нарушителя есть намного более трудная проблема, чем при наличии пассивного нарушителя.

В работе [13] представлен протокол, позволяющий решить эту задачу. Он основан на введение в рассмотрение канала с исключительно малой пропускной способностью — надсознательного (supraliminal) канала. Этот канал образуется за счет встраивания скрываемых данных в наиболее важные признаки контейнера, искажение которых приведет к его полной деградации. Дело в том, что Вилли во многих случаях не может вносить значительные помехи в стегоканал, так чтобы передаваемая информация полностью изменялась. Не может по причинам не технического характера, а по юридическим или иным мотивам. Например, если Алиса пересылает Бобу книгу, Вилли не может подменить ее другой. Также недопустимо, например, изменение дипломатических посланий. За счет того, что скрытое сообщение зависит от контейнера, этот тип канала является робастным. По надсознательному каналу передается малый объем внешне незначимых данных. Например, это может быть сеансовый ключ.

Встраивание информации в наиболее важные свойства контейнера — основной принцип применения ЦВЗ. Отличие надсознательного канала заключается в том, что для встраивания и извлечения информации в этом случае не требуется секретный ключ. Местоположение скрываемых бит общеизвестно, а вот удалить их невозможно без разрушения контейнера. Кроме того, ЦВЗ может не нести в себе никакой осмысленной информации, например, быть функцией самого изображения. В случае же надсознательного канала, наоборот, контейнер может быть функцией скрываемого короткого сообщения.

В качестве примера надсознательного канала в [12] приведен такой сценарий. Пусть контейнером является озвученный видеоклип — речь Алисы. В целях стеганографии здесь обычно используются младшие значащие биты отсчетов клипа — то есть, фактически, шум. Принцип построения надсознательного канала иной. Предположим, что каждой букве алфавита сопоставлено некоторое числовое значение. Получив аудиоклип, Боб выбирает из него и выписывает все достаточно длинные слова, скажем, более пяти букв. Далее для каждого слова он находит произведение числовых эквивалентов этих букв по некоторому простому модулю . Упорядоченные значения получившихся чисел могут рассматриваться как представление некоторого целого числа по модулю .

Задача Алисы при подготовке клипа заключается в том, чтобы должным образом составить сообщение и сохранить его осмысленность. Эта задача облегчается тем, что для скрытия сообщения используются только длинные слова, а короткими можно манипулировать произвольно. Составив текст, Алиса осуществляет аудиовидеозапись. Получившийся канал является открытым, так как сама запись, числовые значения букв известны всем. Однако канал является и замаскированным, так как любая запись может интерпретироваться, как содержащая скрытое сообщение. Канал является робастным, так как Вилли достаточно трудно заменить отдельные сообщения, имитируя голос Алисы и движения ее губ.

Как видно из приведенного примера, основная трудность заключается в формировании контейнера, тогда как работа Боба может быть легко автоматизирована. Для практического применения надсознательного канала должны быть автоматизированы обе операции. Надсознательный канал не подходит для скрытой передачи сообщений, так как он обладает малой пропускной способностью и читается Вилли. Однако, он может быть использован для тайного обмена открытыми ключами, несмотря на наличие активного нарушителя.

Протокол обмена следующий [13]:

1. Алиса генерирует пару открытого и закрытого ключей.

2. Алиса вычисляет представительное описание контейнера, соответствующее ее открытому ключу, генерирует контейнер и пересылает его Бобу.

3. Боб извлекает из принятого контейнера открытый ключ Алисы. Он генерирует секретный ключ, шифрует его с помощью открытого ключа Алисы, находит соответствующее получившейся последовательности описание контейнера, генерирует контейнер и пересылает его Алисе.

4. Алиса и Боб теперь могут обмениваться сообщениями, встраиваемыми в контейнер с использованием этого ключа.

Вилли в результате перехвата канала может получить открытый ключ Алисы и зашифрованный этим ключом секретный ключ Боба. Не зная закрытого ключа Алисы он не сможет получить значение секретного ключа.

1.4.2. Обнаружение ЦВЗ с нулевым знанием

Робастные ЦВЗ могут применяться в различных приложениях, соответственно, и требования к ним могут предъявляться различные. Можно выделить следующие категории требований к робастным ЦВЗ:

— ЦВЗ обнаруживается всеми желающими. В этом случае он служит для уведомления о собственнике защищаемого контента и для предотвращения непреднамеренного нарушения прав собственника.

— ЦВЗ обнаруживается, по крайней мере, одной стороной. В этом случае его использование связано с поиском нелегально распространяемых копий, например, в сети Интернет.

— ЦВЗ крайне трудно модифицировать или извлечь из контента. В этом случае ЦВЗ служит для аутентификации.

Одновременное выполнение вышеприведенных требований невозможно, так как они являются противоречивыми. Поэтому, в различных приложениях используются как системы ЦВЗ с секретным, так и с общедоступным ключом. Системы с общедоступным ключом находят гораздо большее применение, так как они могут быть использованы как для обнаружения, так и для предотвращения несанкционированного использования контента. Для того, чтобы поисковая система обнаружила ЦВЗ с секретным ключом, ей необходимо проверить каждое изображение на наличие в нем каждого из возможных ЦВЗ, что является вычислительно трудоемкой задачей. В случае же общедоступного ЦВЗ алгоритм обнаружения единственный. Однако, общедоступные ЦВЗ обладают серьезным недостатком: так как их местоположение известно, то их можно без труда извлечь из защищаемого изображения.

Создается впечатление, что ЦВЗ с общедоступным ключом не могут быть робастными. Однако, является ли таковым ЦВЗ с секретным ключом? Да, его местоположение неизвестно, но лишь до тех пор, пока он не «вступает в действие». Как только ЦВЗ начинает выполнять свои функции по защите контента, у атакующего появляется все больше информации о нем, то есть ЦВЗ становится все более «открытым». В главе 2 представлен ряд атак, связанных с выявлением поведения детектора при незначительных модификациях изображения. Таким образом, сама природа ЦВЗ такова, что их в любом случае можно считать общедоступными, несмотря на наличие секретного ключа.

В работе [14] представлена система ЦВЗ, в которой этапы аутентификации и обнаружения разделены. Это делает возможным создание ЦВЗ, который легко обнаруживается, но трудно удаляется. Эта система строится на основе доказательства с нулевым знанием [11].

Представим себе следующую ситуацию. Алиса обладает некоторой информацией и хочет доказать этот факт Бобу. При этом доказательство должно быть косвенным, то есть Боб не должен получить каких-либо новых знаний об этой информации. Такое доказательство и называется доказательством с нулевым знанием. Оно принимает форму интерактивного протокола. Боб задает Алисе ряд вопросов. Если Алиса действительно владеет некоторой информацией, то она ответит на все вопросы правильно; если же она мошенничает, то вероятность правильного угадывания мала и уменьшается с увеличением количества вопросов.

В целом базовый протокол с нулевым знанием строится следующим образом:

1. Алисе известна некоторая информация, являющаяся решением некоторой трудной проблемы. Она использует эту информацию и случайное число для превращения этой трудной проблемы в другую, изоморфную первой и получает ее решение.

2. Боб просит Алису либо доказать, что старая и новая проблемы изоморфны, либо открыть решение новой проблемы и доказать, что оно является таковым. Алиса выполняет просьбу Боба.

3. Этапы 1 и 2 повторяются n раз.

В качестве трудной проблемы выбирается обычно вычисление по однонаправленной функции. Одной из наиболее известных однонаправленных функций является дискретный логарифм. Рассмотрим построение протокола с нулевым знанием на основе дискретного логарифма. При этом общеизвестными являются: большое простое число и порождающий элемент . Алиса выбирает некоторое число и публикует . Так как определение на основе знания M есть вычислительно трудная задача, то знание Алисой подтверждает ее идентичность.

Протокол строится следующим образом.

1. Алиса генерирует другое простое число , вычисляет число и посылает его Бобу. (То есть она передает Бобу изоморфную трудную задачу).

2. Боб может попросить Алису:

а) открыть , то есть дать решение изоморфной трудной задачи;

б) открыть , то есть логарифм произведения MN.

3. Алиса выполняет просьбу Боба, и шаги протокола повторяются при другом значении N.

Протоколы доказательства с нулевым знанием могут строиться также на основе использования свойств изоморфизма графов [11] и других трудных задач. В [11] рассмотрены также и слабости этих протоколов.

Итак, в криптографии известна и решена задача доказательства существования некоторой информации без раскрытия сведений о ней. К сожалению, идея доказательства с нулевым знанием не может быть непосредственно применена для построения системы ЦВЗ, из-за специфики последней. Далее рассмотрена эта специфика и возможные модификации протокола доказательства с нулевым знанием для применения в ЦВЗ [14].

В рассмотренном выше протоколе Алиса имеет возможность публиковать открытое число M и различные значения N, а также  и . В случае же системы ЦВЗ вся эта информация должна встраиваться в изображение. Если ее сделать доступной для Боба, тот может просто удалить ее из изображения, так как это не приведет к существенному ухудшению его качества. Возможным выходом являлось бы использование надсознательного канала, то есть ЦВЗ в виде хэш-функции от наиболее значимых признаков изображения. В этом случае удаление ЦВЗ приведет к значительной деградации изображения. Однако, таким образом невозможно встраивать новую информацию, например, вычисленное значение M. По существу, надсознательный канал доступен для Алисы в режиме «только для чтения».

Вначале рассмотрим возможную реализацию протокола с нулевым знанием в известной схеме построения системы ЦВЗ, носящей имя Питаса [15]. В основе схемы Питаса лежит разделение всего множества пикселов на два подмножества, увеличение значений на некоторое число k в одном подмножестве и уменьшение на то же число k - в другом. Таким образом, средние значения двух подмножеств будут отличаться на 2k.

Версия схемы Питаса для протокола с нулевым знанием строится следующим образом. После внесения ЦВЗ в контейнер Алиса выполняет перестановку . Затем она доказывает наличие перестановки ЦВЗ в перестановке контейнера без раскрытия значения ЦВЗ W. Для исключения обмана с ее стороны Алиса должна опубликовать множество сигналов таких, что их скремблированные значения дают множество всех возможных ЦВЗ.

Итак, в соответствии с [14]:

1. Алиса генерирует перестановку, вычисляет последовательность и посылает ее Бобу.

2. Боб теперь знает, как исходный контейнер, так и его перестановку и случайным образом просит Алису:

а) открыть перестановку, чтобы убедиться что нет обмана;

б) показать наличие в .

3. Алиса выполняет просьбу Боба.

4. Алиса показывает, что она не смошенничала и действительно является перестановкой ЦВЗ. Для этого она предъявляет допустимую процедуру скремблирования , такую что .

5. Использованная перестановка больше в протоколе не применяется.

Данный протокол порождает ряд проблем. Во-первых, даже небольшой сдвиг контейнера приведет к рассогласованию значений и . В принципе, эта проблема не самого протокола. Она вызвана чувствительностью схемы Питаса к пространственным сдвигам. Другая проблема состоит в некоторой «утечке» информации о выполненной Алисой перестановке. Дело в том, что значения интенсивностей пикселов при перестановке не изменяются, и атакующий будет использовать эту информацию для сужения круга возможных перестановок. Еще одна слабость протокола заключается в том, что Алиса может найти и использовать такие перестановки, что будет отыскиваться в , и Боб не сможет обнаружить мошенничество.

Поэтому, в [14] был предложен ряд усовершенствований вышеприведенного стеганографического протокола с нулевым знанием, с использованием криптографически сильных перестановок, основанных на сложных проблемах, например, поиска путей на графах.

1.5. Некоторые практические вопросы встраивания данных

Часто используют следующий принцип встраивания данных. Пусть сигнал контейнера представлен последовательностью из n бит. Процесс скрытия информации начинается с определения бит контейнера, которые можно изменять без внесения заметных искажений — стегопути. Далее среди этих бит обычно в соответствии с ключом выбираются биты, заменяемые битами ЦВЗ.

Рассмотрим другие возможные способы внедрения в контейнер битов ЦВЗ.

1) Инверсия бита. Значения битов стегопути заменяются на противоположные. При этом «1» может соответствовать замена 0->1, «0» — замена 1->0.

2) Вставка бита. Перед битом стегопути вставляется бит ЦВЗ. При этом значение бита ЦВЗ должно быть противоположно значению бита контейнера.

3) Удаление бита. Выбираются пары «01» или «10» битов стегопути, соответствующие разным значениям бита ЦВЗ. Затем первый бит пары удаляется.

4) Использование бита-флага. При этом на то, что очередной бит контейнера (неизменяемый!) является битом ЦВЗ указывает инверсия предшествующего бита-флага.

5) Применение пороговых бит. Также как и в предыдущем методе используется бит-флаг. Однако, одному биту ЦВЗ соответствует несколько идущих следом за флагом бит (нечетное число). Если среди этих бит больше единиц, то бит ЦВЗ равен «1».

6) Использование табличных значений. Для определения бита ЦВЗ в предыдущем методе, фактически, использовалась проверка на четность. С тем же успехом можно было бы применять и любое другое отображение множества бит в 1 бит, либо находить его значение по таблице.

7) Динамически изменяемая таблица. Метод тот же, что и в предыдущем случае, но таблица изменяется на каждом шаге. Например, использованное значение из таблицы может быть заменено на случайное.

8) Косвенная динамическая таблица. Так как табличные значения (биты контейнера) знает и кодер и декодер, то их можно не передавать.

2. АТАКИ НА СТЕГОСИСТЕМЫ И ПРОТИВОДЕЙСТВИЯ ИМ

2.1. Атаки против систем скрытной передачи сообщений

Вернемся к рассмотренной в первой главе стегосистеме, предназначенной для скрытой передачи сообщений. Исследуем подробнее возможности нарушителя Вилли по противодействию Алисе и Бобу. Как отмечалось в первой главе, нарушитель может быть пассивным, активным и злоумышленным. В зависимости от этого он может создавать различные угрозы.

Пассивный нарушитель может лишь обнаружить факт наличия стегоканала и (возможно) читать сообщения. Сможет ли он прочесть сообщение после его обнаружения зависит от стойкости системы шифрования, и этот вопрос, как правило, не рассматривается в стеганографии. Если у Вилли имеется возможность выявить факт наличия скрытого канала передачи сообщений, то стегосистема обычно считается нестойкой. Хотя существуют и другие точки зрения на стойкость стегосистем, которые будут рассмотрены в главе 4. Осуществление обнаружения стегоканала является наиболее трудоемкой задачей, а защита от обнаружения считается основной задачей стеганографии, по определению. Некоторые вопросы стегоанализа нами рассмотрены в пункте 2.5.

Диапазон действий активного нарушителя значительно шире. Скрытое сообщение может быть им удалено или разрушено. В этом случае Боб и, возможно, Алиса узнают о факте вмешательства. В большинстве случаев это противоречит интересам Вилли (например, по юридическим мотивам). Другое дело — удаление или разрушение цифрового водяного знака, которые могут рассматриваться как основные угрозы в этой области. Рассмотренные в пункте 2.2.2 атаки для удаления ЦВЗ как раз и реализуют эти угрозы.

Действия злоумышленного нарушителя наиболее опасны. Он способен не только разрушать, но и создавать ложные стего. История противостояния разведки и контрразведки знает немало примеров, когда реализация этой угрозы приводило к катастрофическим последствиям. Эта угроза актуальна и по отношению к системам ЦВЗ. Обладая способностью создавать водяные знаки, нарушитель может создавать копии защищаемого контента, создавать ложные оригиналы и т. д. Подобные атаки на протокол применения ЦВЗ описаны в подпункте 2.2.5. Во многих случаях нарушитель может создавать ложные стего без знания ключа.

Для осуществления той или иной угрозы нарушитель применяет атаки.

Наиболее простая атака — субъективная. Вилли внимательно рассматривает изображение (слушает аудиозапись), пытаясь определить «на глаз», имеется ли в нем скрытое сообщение. Ясно, что подобная атака может быть проведена лишь против совершенно незащищенных стегосистем. Тем не менее, она, наверное, наиболее распространена на практике, по крайней мере, на начальном этапе вскрытия стегосистемы. Первичный анализ также может включать в себя следующие мероприятия:

1. Первичная сортировка стего по внешним признакам.

2. Выделение стего с известным алгоритмом встраивания.

3. Определение использованных стегоалгоритмов.

4. Проверка достаточности объема материала для стегоанализа.

5. Проверка возможности проведения анализа по частным случаям.

6. Аналитическая разработка стегоматериалов. Разработка методов вскрытия стегосистемы.

7. Выделение стего с известными алгоритмами встраивания, но неизвестными ключами и т. д.

Подробное освещение этих мероприятий по разным причинам выходит за рамки нашей книги…

Из криптоанализа нам известны следующие разновидности атак на шифрованные сообщения [1]:

— атака с использованием только шифртекста;

— атака с использованием открытого текста;

— атака с использованием выбранного открытого текста;

— адаптивная атака с использованием открытого текста;

— атака с использованием выбранного шифртекста.

По аналогии с криптоанализом в стегоанализе можно выделить следующие типы атак.

— Атака на основе известного заполненного контейнера. В этом случае у нарушителя есть одно или несколько стего. В последнем случае предполагается, что встраивание скрытой информации осуществлялось Алисой одним и тем же способом. Задача Вилли может состоять в обнаружении факта наличия стегоканала (основная), а также в его извлечении или определения ключа. Зная ключ, нарушитель получит возможность анализа других стегосообщений.

— Атака на основе известного встроенного сообщения. Этот тип атаки в большей степени характерен для систем защиты интеллектуальной собственности, когда в качестве водяного знака используется известный логотип фирмы. Задачей анализа является получение ключа. Если соответствующий скрытому сообщению заполненный контейнер неизвестен, то задача крайне трудно решаема.

— Атака на основе выбранного скрытого сообщения. В этом случае Вилли имеет возможность предлагать Алисе для передачи свои сообщения и анализировать получающиеся стего.

— Адаптивная атака на основе выбранного скрытого сообщения. Эта атака является частным случаем предыдущей. В данном случае Вилли имеет возможность выбирать сообщения для навязывания Алисе адаптивно, в зависимости от результатов анализа предыдущих стего.

— Атака на основе выбранного заполненного контейнера. Этот тип атаки больше характерен для систем ЦВЗ. Стегоаналитик имеет детектор стего в виде «черного ящика» и несколько стего. Анализируя детектируемые скрытые сообщения, нарушитель пытается вскрыть ключ.

У Вилли может иметься возможность применить еще три атаки, не имеющие прямых аналогий в криптоанализе.

— Атака на основе известного пустого контейнера. Если он известен Вилли, то путем сравнения его с предполагаемым стего он всегда может установить факт наличия стегоканала. Несмотря на тривиальность этого случая, в ряде работ приводится его информационно-теоретическое обоснование. Гораздо интереснее сценарий, когда контейнер известен приблизительно, с некоторой погрешностью (как это может иметь место при добавлении к нему шума). В главе 4 показано, что в этом случае имеется возможность построения стойкой стегосистемы.

— Атака на основе выбранного пустого контейнера. В этом случае Вилли способен заставить Алису пользоваться предложенным ей контейнером. Например, предложенный контейнер может иметь большие однородные области (однотонные изображения), и тогда будет трудно обеспечить секретность внедрения.

— Атака на основе известной математической модели контейнера или его части. При этом атакующий пытается определить отличие подозрительного сообщения от известной ему модели. Например допустим, что биты внутри отсчета изображения коррелированы. Тогда отсутствие такой корреляции может служить сигналом об имеющемся скрытом сообщении. Задача внедряющего сообщение заключается в том, чтобы не нарушить статистики контейнера. Внедряющий и атакующий могут располагать различными моделями сигналов, тогда в информационно-скрывающем противоборстве победит имеющий лучшую модель.

Рассмотренные выше атаки имеют одну особенность: они не изменяют стегосообщения, посылаемые Алисой, а также не направлены на противодействие работы декодера Боба. В этом заключается их положительная сторона: действия Вилли вряд ли способны насторожить Алису и Боба. В пункте 2.2 будут рассмотрены атаки, польза от применения которых при передаче скрытых сообщений невелика. Они направлены, в основном, против систем защиты прав собственности на основе цифровых водяных знаков. Такие системы должны быть устойчивы (робастны) к незначительным изменениям стего.

Сравнение робастности стегосистем производится обычно по отношению к некоторым стандартным тестам. В качестве одного из них является атака, основанная на применении алгоритма сжатия JPEG (довольно неэффективная атака). Гораздо большее представление о достоинствах того или иного стегоалгоритма можно получить, комплексно используя различные атаки. Общедоступная в Интернете программа Stirmark позволяет более полно анализировать робастность стегоалгоритмов. По утверждению создателей программы на сегодняшний день не существует общеизвестного стегоалгоритма, устойчивого к их комплексным атакам.

Поэтому разработчиками придается большое значение обеспечению помехоустойчивости внедрения ЦВЗ. Это достигается, как правило, расширением спектра скрытого сообщения или применением помехоустойчивых кодов. Системы с расширением спектра широко применяются в связи для помехоустойчивой передачи сигналов. Но являются ли они достаточно помехоустойчивыми для применения в ЦВЗ? Оказывается, далеко не всегда. Рассмотрим предлагаемые исследователями методы атак и противодействия им.

2.2. Атаки на системы цифровых водяных знаков

2.2.1. Классификация атак на стегосистемы ЦВЗ

Как отмечалось в первой главе, ЦВЗ должны удовлетворять противоречивым требованиям визуальной (аудио) незаметности и робастности к основным операциям обработки сигналов. В дальнейшем без потери общности будем предполагать, что в качестве контейнера используется изображение.

Обратимся вновь к системе встраивания собщений путем модификации младшего значащего бита (LSB) пикселов, рассмотренной в первой главе. Практически любой способ обработки изображений может привести к разрушению значительной части встроенного сообщения. Например, рассмотрим операцию вычисления скользящего среднего по двум соседним пикселам , являющуюся простейшим примером низкочастотной фильтрации. Пусть значения пикселов и могут быть четными или нечетными с вероятностью . Тогда и значение младшего значащего бита изменится после усреднения в половине случаев. К тому же эффекту может привести и изменение шкалы квантования, скажем, с 8 до 7 бит. Аналогичное влияние оказывает и сжатие изображений с потерями. Более того, применение методов очистки сигналов от шумов, использующих оценивание и вычитание шума, приведет к искажению подавляющего большинства бит скрытого сообщения.

Существуют также и гораздо более губительные для ЦВЗ операции обработки изображений, например, масштабирование, повороты, усечение, перестановка пикселов. Ситуация усугубляется еще и тем, что преобразования стегосообщения могут осуществляться не только нарушителем, но и законным пользователем, или являться следствием ошибок при передаче по каналу связи.

Сдвиг на несколько пикселов может привести к необнаружению ЦВЗ в детекторе. Рассмотрим это на примере приведенного в первой главе стегоалгоритма. В детекторе имеем , где индексом обозначены смещенные версии соответствующих сигналов. Произведение , как и прежде, близко к нулю. Однако, если знаки ± в W выбирались случайно и независимо, то и будет близко к нулю, и стегосообщение не будет обнаружено. Аналоговые видеомагнитофоны, как правило, несколько сдвигают изображение из-за неравномерности вращения двигателя лентопротяжного механизма или изнашивания ленты. Сдвиг может быть незаметен для глаза, но привести к разрушению ЦВЗ.

Возможна различная классификация атак на стегосистемы, и одна из классификаций уже приведена нами в пункте 2.1. Теперь же рассмотрим атаки, специфичные для систем ЦВЗ. Можно выделить следующие категории атак против таких стегосистем [2], [3].

1. Атаки против встроенного сообщения — направлены на удаление или порчу ЦВЗ путем манипулирования стего. Входящие в эту категорию методы атак не пытаются оценить и выделить водяной знак. Примерами таких атак могут являться линейная фильтрация, сжатие изображений, добавление шума, выравнивание гистограммы, изменение контрастности и т. д.

2. Атаки против стегодетектора — направлены на то, чтобы затруднить или сделать невозможной правильную работу детектора. При этом водяной знак в изображении остается, но теряется возможность его приема. В эту категорию входят такие атаки, как аффинные преобразования (то есть масштабирование, сдвиги, повороты), усечение изображения, перестановка пикселов и т. д.

2. Атаки против протокола использования ЦВЗ — в основном связаны с созданием ложных ЦВЗ, ложных стего, инверсией ЦВЗ, добавлением нескольких ЦВЗ.

4. Атаки против самого ЦВЗ — направлены на оценивание и извлечение ЦВЗ из стегосообщения, по возможности без искажения контейнера. В эту группу входят такие атаки, как атаки сговора, статистического усреднения, методы очистки сигналов от шумов, некоторые виды нелинейной фильтрации [4] и другие.

Надо заметить, что рассматриваемая классификация атак не является единственно возможной и полной. Кроме того, некоторые атаки (например, удаление шума) могут быть отнесены к нескольким категориям. В работе [5] была предложена другая классификация атак, также имеющая свои достоинства и недостатки.

В соответствии с этой классификацией все атаки на системы встраивания ЦВЗ могут быть разделены на четыре группы:

1) атаки, направленные на удаление ЦВЗ;

2) геометрические атаки, направленные на искажение контейенера;

3) криптографические атаки;

4) атаки против используемого протокола встраивания и проверки ЦВЗ.

2.2.2. Атаки, направленные на удаление ЦВЗ

К этой группе относятся такие атаки, как очистка сигналов-контейнеров от шумов, перемодуляция, сжатие с потерями (квантование), усреднение и коллизии. Эти атаки основаны на предположении о том, что ЦВЗ является статистически описываемым шумом. Очистка от шума заключается в фильтрации сигнала с использованием критериев максимального правдоподобия или максимума апостериорной вероятности. В качестве фильтра, реализующего критерий максимального правдоподобия, может использоваться медианный (для ЦВЗ, имеющего распределение Лапласа) или усредняющий (для гауссовского распределения) фильтр, которые применены в программном пакете StirMark. По критерию максимума апостериорной вероятности наилучшим будет адаптивный фильтр Винера (в случае если в качестве модели контейнера используется нестационарный гауссовский процесс), а также пороговые методы очистки от шума (мягкий и жесткий пороги) (модель — обобщенный гауссовский процесс), которые имеют много общего с методами сжатия с потерями.

Сжатие с потерями и очистка сигналов от шумов значительно уменьшают пропускную способность стегоканала, особенно для гладких областей изображения, коэффициенты преобразования которых могут быть «обнулены» без заметного снижения качества восстановленного изображения.

Перемодуляция — сравнительно новый метод, который является специфичным именно для атак на ЦВЗ. Атака перемодуляции была впервые предложена в работе [5]. В настоящее время известны ее различные варианты, в зависимости от используемого в стегосистеме декодера. В построении атаки имеются свои нюансы для стегосистемы М-ичной модуляции, стегосистемы, использующей помехоустойчивые коды, использующей корреляционный декодер. В любом случае считается, что ЦВЗ внедрен в изображение с применением широкополосных сигналов и размножен на все изображение. Так как оцениваемый декодером ЦВЗ коррелирован с истинным, появляется возможность обмана декодера. Атака строится следующим образом. Вначале ЦВЗ «предсказывается» путем вычитания фильтрованной версии изображения из защищенного изображения (применяется медианный фильтр). «Предсказанный» ЦВЗ подвергается ВЧ фильтрации, усекается, умножается на два и вычитается из исходного изображения. Кроме того, если известно, что при внедрении ЦВЗ умножался на некоторую маску для повышения незаметности встраивания, то атакующий оценивает эту маску и домножает на нее ЦВЗ. В качестве дополнительной меры по «обману» декодера представляется эффективным встраивание в высокочастотные области изображения (где искажения незаметны) шаблонов, имеющих негауссовское распределение. Таким образом будет нарушена оптимальность линейного корреляционного детектора.

Такая атака будет эффективной лишь против высокочастотного ЦВЗ, поэтому реальные ЦВЗ строятся так, чтобы их спектр соответствовал спектру исходного изображения. Дело в том, что достоверная оценка получается лишь для высокочастотных компонент ЦВЗ. После ее вычитания низкочастотная компонента ЦВЗ остается неизменной и дает в детекторе положительный корреляционный отклик. Высокочастотная же составляющая даст отрицательный отклик, что в сумме даст нуль, и ЦВЗ не будет обнаружен. В качестве другого противодействия этой атаке было предложено выполнение предварительной низкочастотной фильтрации.

В работе [6] приведена модификация этого алгоритма, заключающаяся в применении фильтра Винера вместо медианного и более интеллектуального способа нахождения коэффициента умножения. Он выбирается так, чтобы минимизировать коэффициент взаимной корреляции между ЦВЗ и стего. Кроме того, добавляется еще один шаг: наложение случайного шума. Данная атака не работает против адаптивно встроенного ЦВЗ, так как в ней предполагается, что ЦВЗ и стего есть стационарный гауссовский процесс с нулевым средним. Ясно, что это предположение не выполняется также и для реальных изображений. Поэтому, С.Волошиновским и др. предложена атака, в которой сигналы моделируются как нестационарный гауссовский или обобщенный стационарный гауссовский процесс [7]. Коэффициент умножения ЦВЗ выбирается исходя из локальных свойств изображения. Вместо наложения случайного шума предложено добавлять отсчеты со знаком, противоположным знаку отсчета ЦВЗ (в предположении, что ЦВЗ есть последовательность биполярных символов). Это еще более затрудняет работу корреляционного детектора. Конечно, знаки нужно менять не у всех, а только у части отсчетов оцениваемого ЦВЗ, например, случайно.

К другим атакам этой группы относятся атака усреднения и атака сговора. В случае наличия большого числа копий стего с разными ЦВЗ или с разными ключами внедрения можно выполнить их усреднение. Например, кадры видеосигнала могут иметь различные ЦВЗ. Если ЦВЗ имел нулевое среднее, то после усреднения он будет отсутствовать в изображении.

Атака путем статистического усреднения представлена в [5]. Нарушитель может попытаться оценить ЦВЗ и вычесть ее из изображения. Такой вид атак особенно опасен в случае, когда атакующий может получить некоторый обобщенный ЦВЗ, например, некоторый , независящий сильно от исходного изображения .

Атакующий может обнаружить ЦВЗ путем усреднения нескольких изображений. Например, у него имеется , …, . Тогда их сумма будет достаточно близка к NW, если N велико, а изображения статистически независимы.

Противоядием против подобной атаки может быть случайное использование одного из двух ЦВЗ с вероятностями и . Тогда вышеприведенная атака даст лишь . Однако, атака может быть улучшена в том случае, если у атакующего есть какие-то предположения о том, какой ЦВЗ из двух встроен в данное изображение. Тогда все изображения могут быть распределены на два класса: 1 и 2. Пусть — вероятность того, что изображение отнесено к неверному классу. Тогда усреднение по большому числу изображений класса 1 дает . Аналогично усреднение по изображений класса 2 дает . Вычисление взвешенной разности дает . Следовательно, для любого , атакующий может оценить сумму и разность и , откуда он может получить и .

При атаке сговора имеется несколько одинаковых копий, содержащих различные ЦВЗ, а для атаки из каждой копии выбираются какие-то части, которые в совокупности и образуют атакуемое множество. Атаки на основе «сговора» описаны, например, в работах [8], [9]. Чем больше содержащих стего копий имеется у нарушителя, тем выше вероятность того, что близкое к исходному реконструированное изображение не будет содержать стего. В стегосистемах с закрытым ключом такая атака не столь эффективна в силу того, что атакующий не может проверить, содержат ли получающиеся у него аппроксимации ЦВЗ. Это повышает безопасность стегосистем с закрытым ключом. Защищенность от этой атаки можно также повысить за счет специального построения стего.

Еще одна эффективная атака на ЦВЗ называется мозаичной [10]. Эта атака направлена на поисковые системы, отслеживающие незаконно распространяемые изображения. Изображение разбивается на несколько частей, так что поисковая система ЦВЗ не обнаруживает. Интернет-броузер демонстрирует фактически несколько кусочков изображения, вплотную расположенных друг к другу, так что в целом изображение выглядит неискаженным. Для противодействия такой атаке ЦВЗ должен обнаруживаться даже в малых частях изображения. Это очень трудно выполнимое требование, даже более тяжелое, чем робастность к обрезанию краев изображения, так как в последнем случае атакующий ограничен необходимостью сохранения качества изображения. Наверное, более выполнимым было бы создание интеллектуальных поисковых систем, способных «собрать» изображение из кусочков и проверить наличие в нем ЦВЗ.

Интересная и практически значимая атака предлодена в работе [17]. Она основана на оценивании ЦВЗ, но не в области исходного изображения, а по его гистограмме. Атака особенно эффективна против систем неадаптивных систем ЦВЗ, но может быть использована и для оценивания адаптивно внедренного ЦВЗ.

Пояснить атаку можно на следующем примере. Пусть ЦВЗ , а в исходном изображении имеется изолированное значение пиксела. Например, значение 200 встречается 300 раз, а значения 199 и 201 — ни разу. Тогда после внедрения ЦВЗ значения 199 и 201 встретятся примерно 150 раз, а значение 200 — ни разу. Это и есть демаскирующий признак. Как показано на примере в работе [17], этот метод может быть применен и в случае наличия на гистограмме изображения нескольких ненулевых значений, разделенных тремя и больше нулями.

Для успешного использования гистограммной атаки предложено выполнять предварительное сглаживание изображения-контейнера. Тогда уменьшается диапазон значений цвета и появляется много нулевых цепочек. Впрочем, эффективность атаки повышается в результате сглаживания не для всех изображений.

В работе [17] показано также, как гистограммная атака усиливается при наличии нескольких изображений, то есть в случае ее комбинировании с атакой сговора.

2.2.3. Геометрические атаки

В отличии от атак удаления геометрические атаки стремятся не удалить ЦВЗ, но изменить его путем внесения пространственных или временных искажений. Геометрические атаки математически моделируются как аффинные преобразования с неизвестным декодеру параметром. Всего имеется шесть аффинных преобразований: масштабирование, изменение пропорций, повороты, сдвиг и усечение. Эти атаки приводят к потере синхронизации в детекторе ЦВЗ и могут быть локальными или глобальными (то есть примененными ко всему сигналу). При этом возможно вырезание отдельных пикселов или строк, перестановка их местами, применение каких-то преобразований и т. д. Подобные атаки реализованы в программах Unsign (локальные атаки) и Stirmark (локальные и глобальные атаки).

Существуют и более «интеллектуальные» атаки на применяемый метод синхронизации ЦВЗ. Основная идея этих атак заключается в распознавании метода синхронизации и разрушения его путем сглаживания пиков в амплитудном спектре ЦВЗ. Атаки эффективны в предположении о том, что в качестве механизма синхронизации используются периодические шаблоны. При этом для обеспечения синхронизации могут использоваться два подхода: встраивание пиков в спектральной области, либо периодическое внедрение последовательности ЦВЗ. В обоих случаях в спектре образуются пики, которые разрушаются в рассматриваемой атаке. После разрушения можно применять другие геометрические атаки: синхронизации уже нет.

Современные методы встраивания ЦВЗ робастны к глобальным атакам. В них применяются специальные методы восстановления синхронизации, имеющие много общего с применяемыми в технике связи. Робастность достигается за счет использования инвариантных к сдвигу областей [11], применения опорного ЦВЗ [12], вычисления автокорреляционной функции ЦВЗ.

Если обеспечение робастности к глобальным геометрическим атакам есть более или менее решенная задача, то обеспечение устойчивости к локальным изменениям изображения является открытым вопросом. Эти атаки основаны на том, что человеческий глаз мало чувствителен к небольшим локальным изменениям картинки.

2.2.4. Криптографические атаки

Криптографические атаки названы так потому, что они имеют аналоги в криптографии. К ним относятся атаки с использованием оракула, а также взлома при помощи «грубой силы».

Атака с использованием оракула позволяет создать незащищенное ЦВЗ изображение при наличии у нарушителя детектора. В работе [2] исследуется устойчивость ЦВЗ на основе расширения спектра к атаке при наличии детектора в виде «черного ящика». Метод заключается в экспериментальном изучении поведения детектора для выяснения того, на какие изображения он реагирует, на какие — нет. Например, если детектор выносит «мягкие» решения, то есть показывает вероятность наличия стего в сигнале, то атакующий может выяснить, как небольшие изменения в изображении влияют на поведение детектора. Модифицируя изображение пиксел за пикселом, он может вообще выяснить, какой алгоритм использует детектор. В случае детектора с «жестким» решением атака осуществляется возле границы, где детектор меняет свое решение с «присутствует» на «отсутствует».

Пример атаки на детектор с жестким решением:

1. На основе имеющегося изображения, содержащего стегосообщение, создается тестовое изображение. Тестовое изображение может быть создано разными путями, модифицируя исходное изображение до тех пор, пока детектор не покажет отсутствия ЦВЗ. Например, можно постепенно уменьшать контрастность изображения, либо пиксел за пикселом заменять действительные значения какими-то другими.

2. Атакующий увеличивает или уменьшает значение какого-либо пиксела, до тех пор, пока детектор не обнаружит ЦВЗ снова. Таким образом выясняется, увеличил или уменьшил значение данного пиксела ЦВЗ.

2. Шаг 2 повторяется для каждого пиксела в изображении.

4. Зная, насколько чувствителен детектор к модификации каждого пиксела, атакующий определяет пикселы, модификация которых не приведет к существенному ухудшению изображения, но нарушит работу детектора.

5. Данные пикселы вычитаются из исходного изображения.

Возможно ли построение стегоалгоритма, стойкого против подобной атаки, пока неизвестно.

Известна разновидность вышеприведенной атаки для вероятностного детектора. Также, как и ранее, атака начинается с построения тестового изображения на границе принятия решения детектором. Затем выбирается случайная двоичная последовательность, и ее элементы прибавляются к пикселам тестового изображения. Если детектор выносит решение о наличии, то эта последовательность считается ЦВЗ. В противном случае — ЦВЗ считается противоположная этой последовательность. Далее выполняется случайная перестановка элементов в последовательности, и процесс повторяется. Повторив эту процедуру несколько раз и просуммировав все промежуточные результаты, получим достаточно хорошую оценку ЦВЗ. Можно показать, что точность оценивания , где J - число попыток, N - число пикселов в исходном изображении. Отсюда следует, что при фиксированной точности оценивания число попыток линейно зависит от числа пикселов в изображении. Также может быть показано, что число попыток пропорционально квадрату ширины зоны принятия решения. Таким образом, разработчик вероятностного детектора должен компромиссно выбрать между следующими параметрами: большой величиной зоны принятия решения (то есть безопасностью), малым значением верхнего порога зоны (то есть малой вероятностью ложного обнаружения стего) и большим значением нижнего порога зоны (то есть малой вероятностью ложного необнаружения стего). В целом, из работы [2] и других следует, что системы ЦВЗ на основе расширения спектра не должны иметь общедоступного детектора.

2.2.5. Атаки против используемого протокола

В работах [13]-[15] показано, что многие стегосистемы ЦВЗ чувствительны к так называемой инверсной атаке. Эта атака заключается в следующем. Нарушитель заявляет, что в защищенном изображении часть данных есть его водяной знак. После этого он создает ложный оригинал, вычитая эту часть данных. В ложном оригинале присутствует настоящий ЦВЗ. С другой стороны, в защищенном изображении присутствует провозглашенный нарушителем ложный ЦВЗ. Наступает неразрешимая ситуация. Конечно, если у детектора имеется исходное изображение, то собственник может быть выявлен. Но, как показано в работе [14], далеко не всегда. В работах [13]-[15] представлены методы защиты от подобной атаки. В них показано, что устойчивый к подобной атаке ЦВЗ должен быть необратимым (см.п.2.3). Для этого он делается зависимым от изображения при помощи однонаправленной функции.

Пусть V - исходное изображение, W - водяной знак законного собственника. Тогда защищенное изображение . Нарушитель объявляет произвольную последовательность бит своим водяным знаком и вычитает ее из защищенного изображения, в результате чего получает ложный оригинал . Теперь если выполняется равенство , то цель нарушителя достигнута. ЦВЗ называется в этом случае обратимым. Невозможно определить, что является оригиналом: или и, следовательно, кто является собственником контента. Далее мы, следуя [14], дадим определения обратимости и необратимости систем ЦВЗ, а в пункте 2.4 рассмотрим подходы к решению проблемы прав собственника.

В работе [14] дано два определения необратимости: ослабленное и сильное. При этом используются следующие обозначения:

-- процедура встраивания ЦВЗ;

- (или ) — процедура извлечения ЦВЗ;

-- масштабирующий коэффициент;

- - бинарный признак подобия двух сигналов: равен 1, если коэффициент взаимной корреляции больше некоторого порога ; в противном случае — равен 0.

Первое определение необратимости следующее.

Стегоалгоритм является (строго) обратимым, если для любого существует отображение такое, что и . При этом вычислительно осуществимо, принадлежит к классу допустимых ЦВЗ, истинное и ложное изображения визуально сходны и . Иначе (слабо) необратим.

В этом определении требование, чтобы накладывает слишком сильное ограничение. В самом деле, даже может не выполняться в силу различного рода искажений . С другой стороны, это требование слишком слабо для определения обратимости. Поэтому, в работе [14] оно заменено на требование, чтобы , где .

Второе определение необратимости следующее.

Стегоалгоритм является (слабо) обратимым, если для любого существует отображение такое, что и . При этом вычислительно осуществимо, принадлежит к классу допустимых ЦВЗ, , и . Иначе (строго) необратим.

В настоящее время известны различные решения проблемы права собственности. Они представлены в пункте 2.3.

В работе [12] описаны атаки, использующие наличие стегокодера. Подобная атака является одной из наиболее опасных. Одним из возможных сценариев, когда ее опасность существует, является следующий. Пусть пользователю разрешено сделать одну копию с оригинала, но не разрешено делать копии с копий. Записывающее устройство должно изменить ЦВЗ с «разрешена копия» на «копирование не разрешено». В этом случае атакующий имеет доступ к сообщению до и после вложения ЦВЗ. Значит, он может вычислить разность между исходным и модифицированным сообщением. Эта разность равна . Далее исходное изображение предыскажается: из него вычитается . После осуществления копирования будет записано , что очень близко к исходному изображению . Эта близость объясняется тем, что ЦВЗ должны быть робастны к добавлению аддитивного шума. Следовательно, . В случае данной атаки в качестве шума выступает стегосообщение и .

В работе [3] и др. исследуются атаки на системы защиты от копирования. В ряде случаев гораздо проще не удалять ЦВЗ, а помешать его использованию по назначению. Например, возможно внедрение дополнительных ЦВЗ так, что становится неясно, какой из них идентифицирует истинного собственника контента.

Другой известной атакой на протокол использования ЦВЗ является атака копирования. Эта атака заключается в оценивании ЦВЗ в защищенном изображении и внедрении оцененного ЦВЗ в другие изображения. Целью может являться, например, противодействие системе имитозащиты или аутентификации.

Одна из слабостей стегосистемы, применяемой для защиты от копирования, является то, что детектор способен обнаружить ЦВЗ только когда видеосигнал визуально приемлем. Однако можно подвергнуть сигнал скремблированию, получить шумоподобный сигнал, затем без помех незаконно скопировать его. В видеоплейер в этом случае встраивается дескремблер, который и восстанавливает незаконно сделанную копию. Аппаратная реализация скремблера и дескремблера весьма проста и иногда используется для защиты, например, программ кабельного телевидения. Возможной защитой против такого подхода является разрешения копирования только определенного формата данных.

2.3. Методы противодействия атакам на системы ЦВЗ

В простейших стегосистемах ЦВЗ при встраивании используется псевдослучайная последовательность, являющаяся реализацией белого гауссовского шума и не учитывающая свойства контейнера. Такие системы практически неустойчивы к большинству рассмотренных выше атак. Для повышения робастности стегосистем можно предложить ряд улучшений.

В робастной стегосистеме необходим правильный выбор параметров псевдослучайной последовательности. Известно, что при этом системы с расширением спектра могут быть весьма робастными по отношению к атакам типа добавления шума, сжатия и т. п. Так считается, что ЦВЗ должен обнаруживаться при достаточно сильной низкочастотной фильтрации (7х7 фильтр с прямоугольной характеристикой). Следовательно, база сигнала должна быть велика, что снижает пропускную способность стегоканала. Кроме того, используемая в качестве ключа ПСП должна быть криптографически безопасной.

Атака «сговора» и возможные методы защиты от нее рассмотрена в работе [16]. Причиной нестойкости систем ЦВЗ с расширением спектра к подобным атакам объясняется тем, что используемая для вложения последовательность обычно имеет нулевое среднее. После усреднения по достаточно большому количеству реализаций ЦВЗ удаляется. Известен специальный метод построения водяного знака, направленный против подобной атаки. При этом коды разрабатываются таким образом, чтобы при любом усреднении всегда оставалась не равная нулю часть последовательности (статическая компонента). Более того, по ней возможно восстановление остальной части последовательности (динамическая компонента). Недостатком предложенных кодов является то, что их длина увеличивается экспоненциально с ростом числа распространяемых защищенных копий. Возможным выходом из этого положения является применение иерархического кодирования, то есть назначения кодов для группы пользователей. Некоторые аналогии здесь имеются с системами сотовой связи с кодовым разделением пользователей (CDMA).

Различные методы противодействия предлагались для решения проблемы прав собственности. Первый способ заключается в построении необратимого алгоритма ЦВЗ. ЦВЗ должен быть адаптивным к сигналу и встраиваться при помощи однонаправленной функции, например, хэш-функции [1]. Хэш-функция преобразует 1000 бит исходного изображения V в битовую последовательность , . Далее, в зависимости от значения используется две функции встраивания ЦВЗ. Если , то используется функция , если , то функция , где  - i-й коэффициент изображения,  - i-й бит встраиваемого сообщения. Предполагается, что такой алгоритм формирования ЦВЗ предотвратит фальсификацию. В работе [13] на примере показано, что для того, чтобы данный алгоритм был необратимым, все элементы должны быть положительными.

Второй способ решения проблемы прав собственности заключается во встраивании в ЦВЗ некоторой временной отметки, предоставляемой третьей, доверенной стороной. В случае возникновения конфликта лицо, имеющее на изображении более раннюю временную отметку, считается настоящим собственником.

Один из принципов построения робастного ЦВЗ заключается в адаптации его спектра. В ряде работ показано, что огибающая спектра идеального ЦВЗ должна повторять огибающую спектра контейнера. Спектральная плотность мощности ЦВЗ, конечно же, намного меньше. При такой огибающей спектра винеровский фильтр дает наихудшую оценку ЦВЗ из возможных: дисперсия значений ошибки достигает дисперсии значений заполненного контейнера. На практике адаптация спектра ЦВЗ возможна путем локального оценивания спектра контейнера. С другой стороны, методы встраивания ЦВЗ в области преобразования достигают этой цели за счет адаптации в области трансформанты.

Для защиты от атак типа аффинного преобразования можно использовать дополнительный (опорный) ЦВЗ. Этот ЦВЗ не несет в себе информации, но используется для «регистрации» выполняемых нарушителем преобразований. В детекторе ЦВЗ имеется схема предыскажения, выполняющая обратное преобразование. Здесь имеется аналогия с используемыми в связи тестовыми последовательностями. Однако, в этом случае атака может быть направлена именно против опорного ЦВЗ. Другой альтернативой является вложение ЦВЗ в визуально значимые области изображения, которые не могут быть удалены из него без существенной его деградации. Наконец, можно разместить стего в инвариантных к преобразованию коэффициентах. Например, амплитуда преобразования Фурье инвариантна к сдвигу изображения (при этом меняется только фаза).

Другим методом защиты от подобных атак является блочный детектор. Модифицированное изображение разбивается на блоки размером 12х12 или 16х16 пикселов, и для каждого блока анализируются все возможные искажения. То есть пикселы в блоке подвергаются поворотам, перестановкам и т. п. Для каждого изменения определяется коэффициент корреляции ЦВЗ. Преобразование, после которого коэффициент корреляции оказался наибольшим, считается реально выполненным нарушителем. Таким образом появляется возможность как бы обратить внесенные нарушителем искажения. Возможность такого подхода основана на предположении о том, что нарушитель не будет значительно искажать контейнер (это не в его интересах).

2.4. Статистический стегоанализ и противодействие

Основной задачей стегоанализа является определение факта наличия скрытого сообщения в предположительном контейнере (речи, видео, изображении). Решить эту задачу возможно путем изучения статистических свойств сигнала. Например, распределение младших битов сигналов имеет, как правило, шумовой характер (ошибки квантования). Они несут наименьшее количество информации о сигнале и могут использоваться для внедрения скрытого сообщения. При этом, возможно, изменится их статистика, что и послужит для атакующего признаком наличия скрытого канала.

Для незаметного встраивания данных стегокодер должен решить три задачи: выделить подмножество бит, модификация которых мало влияет на качество (незначимые биты), выбрать из этого подмножества нужное количество бит в соответствии с размером скрытого сообщения и выполнить их изменение. Если статистические свойства контейнера не изменились, то внедрение информации можно считать успешным. Так как распределение незначащих бит зачастую близко к белому шуму, встраиваемые данные должны иметь тот же характер. Это достигается за счет предварительного шифрования сообщения либо его сжатия.

Стегоаналитик на основе изучения сигнала всегда может выделить подмножество незначащих бит, делая те же предположения, что и стеганограф. Далее он должен проверить соответствие их статистики предполагаемой. При этом если аналитик располагает лучшей моделью данных, чем стеганограф, вложение будет обнаружено. Поэтому, по-настоящему хорошие модели сигналов различного характера, вероятно, держатся в секрете, и вы не встретите их в открытых публикациях. Можно лишь дать рекомендации общего характера. При построении модели надо учитывать:

— неоднородность последовательностей отсчетов;

— зависимость между битами в отсчетах (корреляцию);

— зависимость между отсчетами;

— неравновероятность условных распределений в последовательности отсчетов;

— статистику длин серий (последовательностей из одинаковых бит).

Соответствие реально наблюдаемой статистики ожидаемой обычно проверяется при помощи критерия хи-квадрат. Проверка может осуществляться на уровне монобитов, дибитов и т. д. Возможны и более сложные тесты, аналогичные применяющимся при тестировании криптографически безопасных программных датчиков случайных чисел. Как показано в одной из работ на примере звуковых файлов, критерий хи-квадрат позволяет обнаружить модификацию всего лишь 10 % незначащих битов. Там же показана эффективность для стегоанализа и еще более простого критерия , где - количество переходов из значения бита i в значение j. Применение теста длин серий основано на следующем факте: в случайной последовательности серии большой длины (>15) встречаются значительно реже, чем в незначащих битах реальных сигналов. Поэтому, встраивание случайного сигнала может быть замечено после применения этого теста.

Таким образом, противодействие статистическому стегоанализу должна заключаться в построении математических моделей сигналов-контейнеров, поиску на их основе «разрешенных» для модификации областей и внедрению в них скрытой информации, чья статистика неотличима от статистики контейнера. Эта неотличимость определяет стойкость стегосистемы — свойство, подробно рассмотренное в главе 4.

3. ПРОПУСКНАЯ СПОСОБНОСТЬ КАНАЛОВ ПЕРЕДАЧИ СКРЫВАЕМОЙ ИНФОРМАЦИИ

3.1. Понятие скрытой пропускной способности

Для стеганографических систем важно определить, насколько большой может быть пропускная способность каналов передачи скрываемых сообщений и как она зависит от других характеристик стегосистем и условий их использования. Неформально определим, что под пропускной способностью каналов передачи скрываемых сообщений или просто скрытой пропускной способностью (ПС) будем понимать максимальное количество информации, которое может быть вложено в один элемент контейнера. При этом скрываемые сообщения должны быть безошибочно переданы получателю и защищены от атак нарушителя, таких как попытки обнаружения факта наличия канала скрытой связи, чтения скрываемых сообщений, преднамеренного ввода ложных сообщений или разрушения встроенной в контейнер информации. Канал скрытой связи образуется внутри канала открытой связи, для которого в работах К.Шеннона по теории информации определена пропускная способность [1]. Пропускная способность канала открытой связи определяется как количество информации, которое потенциально можно передать без ошибок за одно использование канала. При этом не предъявляется никаких требований к защищенности от атак организованного нарушителя. Поэтому логично предположить, что скрытая пропускная способность должна быть меньше пропускной способности канала открытой связи, в котором за одно использование канала передается один элемент контейнера, в который вложена скрываемая информация.

Существуют различные подходы к определению количества информации, защищаемой от различных атак нарушителя стеганографическими методами. Эти различия, в частности, обусловлены различием в цели защиты информации, моделями нарушителя, его возможностями, реализуемыми им атаками на стегосистемы, видом используемых контейнеров и скрываемых сообщений и многими другими факторами. Методами теории информации оценим для различных стегосистем величину пропускной способности каналов передачи скрываемой информации. Теоретико-информационные методы позволяют получить строгие оценки количества скрываемой информации, и эти оценки могут быть использованы как теоретически достижимые верхние пределы скорости передачи скрываемой информации для стегосистем с произвольными принципами их построения.

Рассмотрим два основных подхода к оценке пропускной способности каналов передачи скрываемой информации. Первый из них, развиваемый в работах [2,3], ориентирован на стегосистемы, в которых защищаемые сообщения должны быть безошибочно переданы в условиях активного противодействия нарушителя. Этот подход описывает сценарий скрытия безизбыточных сообщений в контейнерных данных, и учитывает, что кроме искажений сообщений при их внедрении в контейнер возможны их преднамеренные искажения со стороны нарушителя, а также искажения случайного характера, вызванные непреднамеренными помехами канала связи или искажениями при сжатии контейнера. Рассматриваемый нарушитель, кроме пассивных действий анализа, может использовать и активные действия, поэтому активный нарушитель далее называется атакующим. Целью атакующего является разрушение скрываемой информации. Такая постановка задачи информационного скрытия характерна для систем цифрового водяного знака (ЦВЗ).

Сформулируем задачу информационного скрытия как задачу безошибочной передачи скрываемой информации при воздействии случайных и преднамеренных помех и определим максимальную скорость безошибочной передачи при различных стратегиях действий скрывающего информацию и атакующего. Данный подход определяет теоретически достижимую скорость достоверной передачи скрываемых сообщений, хотя в явном виде и не оценивает защищенность скрываемого сообщения от обнаружения факта его существования. Однако для ряда стегосистем не требуется скрывать факт использования стеганографической защиты: обладатель авторских или имущественных прав на защищаемый водяным знаком контейнер, как правило, открыто объявляет о применении системы ЦВЗ. В рассматриваемом подходе исследуются условия, при которых скрываемая информация гарантированно передается в условиях произвольных попыток нарушителя по ее разрушению. Например, такая задача может решаться при доставке скрываемой информации по каналам, в которых противоборствующая сторона пытается сорвать скрытую связь ее радиоэлектронным подавлением. В этой задаче знание нарушителем параметров стегосистемы и возможных стратегий действий скрывающего информацию не должно позволить нарушителю оптимизировать разрушающее воздействие и оценить эффективность подавления. Особенностью таких стегосистем является то, что разрушающее воздействие происходит только в момент передачи скрываемых сообщений и должно выполняться в режиме реального времени. Второй особенностью является априорная неизвестность для законного получателя скрытно доставляемой ему информации. Третьей особенностью является то, что нарушитель, как правило, не способен оценить эффективность своего подавления. «Слепое» подавление объясняется тем, что противоборствующая сторона ставит помехи в скрытом канале, о существовании которого она только подозревает. Иная картина в другой задаче информационного скрытия, в которой активный нарушитель пытается разрушить цифровой водяной знак, чтобы присвоить себе контейнер. Нарушитель может произвольно долго осуществлять разрушающее воздействие, выбирая ту стратегию противоборства, при которой, разрушив ЦВЗ, он сохранит требуемое высокое качество контейнера. В этой задаче нарушитель точно знает о существовании скрываемой информации, и используя общеизвестный детектор ЦВЗ, способен оценить эффективность своих атак на водяной знак.

Второй подход, развиваемый в работах [4,5], дает оценки скрытой пропускной способности при вложении скрываемых сообщений в избыточные контейнерные данные. Такой подход учитывает, что контейнеры формируются реальными избыточными источниками с существенной памятью, такими как источники изображений, речевых или аудио сигналов и т. п. В этой задаче оценки пропускной способности зависят от характеристик необнаруживаемости скрытого канала. Данный подход ориентирован на стегосистемы, в которых реализуется скрытая передача априори неизвестной получателю информации, причем пассивный нарушитель пытается в процессе наблюдения выявить факт наличия скрытой связи и, при установлении этого факта, пытается читать скрываемую информацию. Известно большое количество работ по синтезу стегосистем, в которых предлагаются самые различные способы вложения в избыточные контейнеры [6–8]. Авторы этих работ оценивают количество информации, которое можно вложить незаметно с учетом используемых ими критериев необнаруживаемости. Известные оценки скрытой пропускной способности таких стегоканалов не учитывают возможные случайные и преднамеренные искажения стего при их передаче по каналу связи.

3.2. Информационное скрытие при активном противодействии нарушителя

В рамках первого подхода к оценке скрытой пропускной способности рассмотрим общую формулировку задачи информационного скрытия при активном противодействии, оказываемым нарушителем. Основные результаты этого подхода получены в работе [2].

3.2.1. Формулировка задачи информационного скрытия при активном противодействии нарушителя

Используем традиционные для теоретического описания задач защиты информации обозначения. Рассмотрим обобщенную структурную схему стеганографической системы передачи скрываемых сообщений, представленную на рис. 3.1. Пусть источник контейнерных данных формирует случайную переменную , берущую значения в множестве в соответствии с общеизвестным распределением контейнера p(), источник секретного ключа формирует стегоключ K, принадлежащий множеству , и источник скрываемых сообщений формирует сообщение М из множества сообщений М.

В задачах стеганографической защиты информации контейнер есть блок данных или блок преобразованных данных (таких как коэффициенты дискретного косинусного преобразования или вейвлет — преобразования) изображений, видео, аудиосигналов, или некоторого другого множества контейнерных данных, в которые встраивается скрываемая информация. Алфавит может быть в зависимости от постановки задачи непрерывным (например, множеством неквантованных коэффициентов преобразования) или конечным дискретным (например, множеством квантованных коэффициентов преобразования).

Рис. 3.1. Обобщенная структурная схема стеганографической системы при активном противодействии нарушителя

Пусть контейнер есть последовательность с N независимо и идентично распределенными отсчетами в соответствии с p().

Секретный ключ доступен кодеру и декодеру стегосистемы. Каждый символ ключа Ki независимо и равновероятно распределен по функции p(K). По признаку наличия секретного ключа стегосистемы напоминают криптографические системы. Например, в системах шифрования секретный ключ предназначен для исключения возможности чтения нарушителем защищаемого сообщения. В отличие от криптографических систем, основной целью использования секретного ключа в рассматриваемых стегосистемах является обеспечение неопределенности для нарушителя распределения скрываемого сообщения в контейнере. Заметим, что в криптографии ключ и защищаемые сообщения должны быть взаимно независимы. Напротив, в ряде задач информационного скрытия полезно допускать зависимость между контейнером и ключом. Опишем эти зависимости, используя совместное распределение p(,k). Пример таких зависимостей возникает, когда контейнерные данные доступны декодеру, что используется в ряде систем ЦВЗ [9,10]. В этом случае контейнер может рассматриваться как часть секретного ключа. В других стегосистемах в качестве секретной ключевой информации могут использоваться выбранные отправителем хэш-функции [11], правило размещения водяных знаков в контейнере [12,13] или исходные данные для формирования псевдослучайных последовательностей в системах с расширением спектра контейнера [4,14].

В рассматриваемой обобщенной схеме стегосистемы скрываемые сообщения М равномерно распределены во множестве сообщений М и должны быть безошибочно переданы декодеру. Скрывающий информацию подает пустой контейнер , ключ и сообщение М на вход стегокодера, формируя стегограмму , передаваемую получателю по незащищенному каналу связи. Стего перехватывается и обрабатывается нарушителем с целью разрушения или удаления сообщения М. Искаженное нарушителем стего обозначим и опишем атакующее воздействие условной функцией распределения . Эта обработка включает, как частный случай, формирование искаженного стего в виде , где есть детерминированное отображение.

Нарушителю полезно знать описание стегосистемы, используемой скрывающим информацию, и использовать это знание для построения более эффективного атакующего воздействия . В частности, если известная нарушителю система информационного скрытия не использует секретного ключа , нарушитель способен декодировать сообщение М и затем удалить его из стего . Поэтому необходимо хранить описание бесключевой стегосистемы в секрете. Заметим, что история развития систем защиты информации, в частности, криптографических систем, свидетельствует, что не стоит надеяться на сохранение в тайне принципов построения системы защиты при ее широком применении. Поэтому нашим основным предположением является: нарушитель знает распределения всех переменных в стегосистеме и само описание стегосистемы, но не знает используемого секретного ключа (принцип Керкхофа для систем защиты информации).

Пусть контейнер , стего X и модифицированное нарушителем стего Y принадлежат одному и тому же множеству X. Декодер получателя вычисляет оценку исходного скрываемого сообщения . Если , то атакующий сумел разрушить защищаемую стегосистемой информацию.

Рассмотрим часто используемую схему построения системы ЦВЗ, представленную на рис. 3.2. В данной схеме учитывается, что сообщение M обычно не принадлежит алфавиту X и имеет длину отличную от длины контейнера . Например, если ЦВЗ представляет собой изображение фирменного знака производителя информационной продукции, то такой водяной знак по форме представления и по своим характеристикам существенно отличается от заверяемого контейнера. Поэтому скрываемое сообщение (ЦВЗ) M преобразуется в кодовую последовательность длиной N символов, . Эта операция преобразует водяной знак M к виду, удобному для встраивания в контейнер . Заметим, что на рис. 3.2 показан случай, когда это преобразование независимо от контейнерного сигнала.

Рис. 3.2. Структурная схема стегосистемы водяного знака при активном противодействии нарушителя

Заверенное водяным знаком стего в общем случае формируется по правилу , где есть функция встраивания по ключу . В обозначении функции встраивания неявно указывается, что она выполняет преобразования над блоком длины N. В простейшем примере встраивание может выполняться по правилу для , где переменные , и принадлежат конечному алфавиту . В современных системах водяного знака применяются сложные построения функции , учитывающие характеристики чувствительности органов зрения или слуха человека и не являющиеся аддитивными [15]. Преобразование должно быть удобным для скрывающего информацию, а также должно минимизировать вносимые искажения в контейнер при условии обеспечения требуемой устойчивости к атакам нарушителя. Оптимальное построение таких функций представляет сложную задачу.

Формально определим вносимые искажения в стратегиях скрывающего информацию и нарушителя. Это завершает математическое описание стегосистемы и позволяет определить скорость безошибочной передачи для стегосистемы, представленной на рис. 3.1.

Пусть искажения в стегосистеме оцениваются в соответствии с ограниченной неотрицательной функцией вида где . Используемая мера искажения симметрична: , выполнение равенства означает совпадение . Следовательно, используемая мера искажения является метрикой. Метрика искажений расширяется на последовательности длиной N символов и следующим образом: . Теория информационного скрытия использует классические метрики искажения, такие как метрики Хэмминга и Евклида, а также метрики, учитывающие особенности слуховой или зрительной чувствительности человека [16].

Назовем искажение контейнера , вызванное встраиванием в него скрываемого сообщения искажением кодирования.

Определение 3.1: Стегосистема с длиной блока N, приводящая к искажению кодирования не более , есть совокупность множеств скрываемых сообщений M, контейнеров , стего и ключей и определенных на них функций кодирования fN и декодирования , где есть отображение контейнера , сообщения m и ключа в стего . Это отображение ограничено величиной среднего искажения кодирования :

; (3.1)

а есть декодирующее отображение принятой стегопоследовательности и ключа в декодированное сообщение

Таким образом, величина характеризует искажение контейнера, максимально допустимое при встраивании в него скрываемого сообщения. Данное определение, хотя формально описывает стегосистемы блочного типа, может быть расширено и на стегосистемы поточного типа, у которых окно обработки описывается скользящим блоком длины N. В этом случае параметр N стегосистемы по аналогии с непрерывными кодами может быть назван длиной кодового ограничения стегосистемы.

Обычно искажение мало, так как встраиваемое в контейнер сообщение должно быть незаметным для нарушителя. В стегосистемах, в которых контейнер представляет полезный для получателя информационный сигнал, величина ограничивается отправителем сообщений для сохранения высокого качества контейнера. В системах ЦВЗ требование минимизации формулируется как требование прозрачности водяного знака, заверяющего контейнер.

Заметим, что данное определение искажения использует усреднение относительно распределения и относительно равномерного распределения сообщений. Это позволяет воспользоваться классическими методами теории информации, сформулированными К. Шенноном [1]. Также возможно, но более сложно использовать для анализа стегосистем максимальное искажение контейнеров, где максимум отыскивается для распределений , и m.

Распределения , p(m) и выбор отображения fN определяют конкретный вид распределения множества формируемых стегограмм.

Определение 3.2: Атакующее воздействие без памяти, приводящее к искажению D2, описывается условной функцией распределения из множества во множество , такой что

. (3.2)

По определению есть максимальная величина искажения стегограммы, вызванное преднамеренными действиями нарушителя. Физический смысл ограничения величины заключается в следующем. В системах ЦВЗ нарушитель, пытаясь удалить водяной знак из заверенного контейнера, вынужден сам уменьшать величину , чтобы не исказить ценный для него контейнер. В других стегосистемах величина ограничивается имеющимся у атакующего энергетическим потенциалом постановки помех, возникающими помехами для других каналов связи при использовании совместного ресурса и другими причинами.

Резонно предположить, что для реальных стегосистем обычно выполняется соотношение D2 => D1.

В соответствии с определением 3.2 атакующее воздействие описывается и ограничивается усредненными искажениями между множествами и . В других случаях, если атакующий знает описание функции fN, то атакующее воздействие описывается и ограничивается усредненным искажением между множествами и :

. (3.3)

Определение D2 в соответствии с выражением (3.3) предполагает, что нарушителю известны точные вероятностные характеристики контейнеров. Как будет показано далее, это обстоятельство существенно усложняет задачу обеспечения защищенности скрываемой информации, поэтому в стойких стегосистемах используются различные методы скрытия от нарушителя характеристик используемых контейнеров. Например, такие методы включают использование для встраивания подмножества контейнеров с вероятностными характеристиками, отличающимися от характеристик всего известного нарушителю множества контейнеров или рандомизированное сжатие контейнерного сигнала при встраивании в него скрываемого сообщения [17]. Поэтому вычисление искажения D2 в соответствии с определением 3.2 является более универсальным, так как нарушитель всегда имеет возможность изучать вероятностные характеристики наблюдаемых стего.

Имея описание стегосистемы и атакующего воздействия можно описать состязание (игру) между скрывающим информацию и атакующим.

Определение 3.3: Информационно-скрывающее противоборство, приводящее к искажениям (D1,D2), описывается взаимодействием используемой стегосистемы, приводящей к искажению кодирования D1, и атакующего воздействия, приводящего к искажению D2.

Скорость передачи скрываемых сообщений по стегоканалу определим в виде R=1/N log. Скорость передачи R выражается в среднем числе бит скрываемых сообщений, безошибочно передаваемых (переносимых) одним символом (отсчетом) стегопоследовательности xN. Это определение созвучно «классическому» определению скорости передачи обычных сообщений по каналу передачи, выражаемой в среднем числе безошибочно передаваемых бит за одно использование канала [1].

Вероятность разрушения скрываемого сообщения в стегопоследовательности длины N определим как

, (3.4)

где скрываемые сообщения М равновероятно выбираются среди множества M. Вероятность есть средняя вероятность того, что атакующий успешно исказит скрытно передаваемое сообщение, усредненная над множеством всех сообщений. Атакующий добивается успеха в информационном противоборстве, если декодированное на приеме сообщение не совпадет с встроенным в контейнер скрываемым сообщением, или декодер не способен принять однозначного решения.

Теоретически достижимую скорость безошибочной передачи скрываемых сообщений и скрытую пропускную способность при искажениях не более величин (D1, D2) определим следующим образом.

Определение 3.4: Скорость R безошибочной передачи скрываемых сообщений достижима для искажений не более (D1, D2), если существует стегосистема с длиной блока N, приводящая к искажению кодирования не более D1 на скорости RN > R, такая что Рe,N 0 при N → ∞ при любых атаках нарушителя, приводящих к искажению не более D2.

Определение 3.5: Скрытая пропускная способность С(D1, D2) есть супремум (верхняя грань) всех достижимых скоростей безошибочной передачи скрываемых сообщений при искажениях не более (D1, D2).

Отметим, что введенные определения средних искажений контейнеров при встраивании скрываемых сообщений и при атакующем воздействии нарушителя, скорости передачи скрываемых сообщений и пропускной способности канала скрытой передачи соответствуют теоретико-информационному подходу К. Шеннона.

Таким образом, скрытая ПС есть верхний предел скорости безошибочной передачи скрываемых сообщений, при которой искажения контейнера, вызванные вложением в него данных сообщений и действиями нарушителя по разрушению этих сообщений, не превышают заданных величин. Как и ПС каналов передачи открытых сообщений, ПС каналов передачи скрываемых сообщений определяется в идеализированных условиях, в которых задержка кодирования/декодирования бесконечна (N → ∞), статистика контейнеров, скрываемых сообщений, стего и ключей точно известна, сложность построения стегосистемы неограничена. Очевидно, что такая скрытая ПС имеет смысл теоретического предела, указывающего области, в которых существуют и, соответственно, не существуют стегосистемы при заданных величинах искажений. Известно, что скорости реальных систем передачи открытых сообщений могут только приближаться к величине ПС открытых каналов, причем по мере приближения к ней вычислительная сложность реализации систем передачи растет сначала приблизительно по линейной, затем по квадратической и далее по экспоненциальной зависимости от длины блока кодирования N [1]. По всей вероятности, аналогичные зависимости роста сложности справедливы и для стегосистем по мере приближения скорости передачи скрываемых сообщений к величине скрытой ПС. Это предположение подтверждается имеющимся опытом построения стегосистем. Известно, что попытки увеличить скорость передачи скрываемых сообщений влекут за собой существенное усложнение методов скрытия информации [6,8].

Подчеркнем абсолютный характер величины скрытой ПС для произвольного передачи скрываемой информации. Если требуемая скорость передачи скрываемых сообщений меньше величины скрытой ПС, то обеспечение безошибочной передачи в принципе возможно, и имеет смысл разрабатывать принципы построения реализующей эту скрытую ПС стегосистему. Если это соотношение не выполняется, то безошибочная передача невозможна при любых принципах построения стегосистем.

3.2.2. Скрывающее преобразование

Для полного представления стегосистемы и условий ее функционирования формально опишем скрывающее преобразование, выполняемое при встраивании информации в контейнер, и атакующее воздействие, осуществляемое нарушителем для противодействия скрытой передаче. Для этого рассмотрим вспомогательную случайную последовательность U, определенную над множеством U. Физически последовательность U описывает результат преобразования скрываемого сообщения М с целью его адаптации к встраиванию в заданный контейнер. Заметим, что в то время как в стегосистеме контейнеры, ключи и стего представляют из себя последовательности одинаковой длины N, длина скрываемых сообщений, их алфавит и вероятностное распределение не совпадают с соответствующими характеристиками перечисленных последовательностей. Например, пусть лицензионную музыкальную запись на DVD-диске производитель для защиты своих прав на товарный продукт заверяет своим фирменным знаком (логотипом) или текстом, в котором указываются реквизиты производителя, и перечисляются его права на защищаемый товар. Очевидно, что рисунок фирменного знака или указанный текст целесообразно сначала привести к виду удобному для встраивания в музыкальный контейнер, причем встраивание должно быть таким, чтобы все части контейнера были бы защищены от «пиратского» копирования. Иначе у нарушителя появится возможность отрезать часть стего, в котором содержится заверяющая информация, и присвоить себе оставшееся. Поэтому логично предположить, что последовательность U должна иметь длину не меньшую длины заверяемого контейнера.

В общем виде определим скрывающее преобразование, используемое отправителем сообщений для встраивания скрываемого сообщения в контейнер.

Определение 3.6: Скрывающее преобразование, вызывающее искажение кодирования D1, описывается условной функцией распределения отображения из множества во множество такой, что выполняется условие

. (3.5)

Расширение скрывающего преобразования без памяти длины N описывается условной функцией вида .

Для успешного скрытия информации от квалифицированного нарушителя целесообразно пользоваться не одним, а множеством скрывающих преобразований, выбираемых отправителем сообщений.

Определение 3.7: Обобщенное скрывающее преобразование, приводящее к искажению кодирования не более величины D1, состоит из множества всех скрывающих преобразований, удовлетворяющих условию (3.5).

Обобщенное скрывающее преобразование описывает все возможные варианты действий скрывающего информацию при встраивании сообщений М в контейнер так, чтобы величина искажения кодирования не превышала допустимую. Подчеркнем, что в стеганографии важно, чтобы у скрывающего информацию было множество возможных вариантов, среди которых он равновероятно и непредсказуемо для нарушителя выбирает конкретный вариант скрытия защищаемого сообщения.

Для анализа стегосистемы удобно записать функцию в форме произведения функций распределения вида

(3.6)

где отнесем к «основному» скрывающему преобразованию и к «вспомогательному» скрывающему преобразованию.

3.2.3. Атакующее воздействие

Формально опишем действия нарушителя по преобразованию перехваченного стего X в искаженное стего Y с целью разрушения содержащейся в нем скрываемой информации.

Определение 3.8: Атакующее воздействие, приводящее к искажению D2, описывается условной функцией распределения отображения из множества X во множество Y такой, что выполняется условие

(3.7)

Расширение атакующего воздействия без памяти длины N описывается условной функцией вида .

Определение 3.9: Обобщенное атакующее воздействие, приводящее к искажению не более величины D2, состоит из множества всех атакующих воздействий удовлетворяющих условию (3.7).

Аналогично набору вариантов действий скрывающего информацию, у атакующего также есть свой набор атакующих воздействий (множество ). Нарушитель, перехватив стего, стремится выбрать такое атакующее воздействие из множества , которое максимизирует вероятность разрушения скрытой в нем информации.

3.3. Скрытая пропускная способность противника при активном противодействии нарушителя

3.3.1. Основная теорема информационного скрытия при активном противодействии нарушителя

Исследуем скрытую ПС при активном противодействии нарушителя, стремящегося разрушить скрытно передаваемую информацию. Информационно-скрывающее противоборство между отправителем сообщений и атакующим удобно описать методами теории игр. Цена игры равна величине скрытой ПС. Для максимизации скрытой ПС (максимизации платежа) скрывающий информацию оптимально строит скрывающее преобразование. Для минимизации скрытой ПС (минимизации платежа) атакующий синтезирует оптимальное атакующее воздействие. Величина скрытой ПС может быть получена последовательным соединением скрывающего преобразования и атакующего воздействия. Оценим величину скрытой ПС для стегосистемы с двоичным алфавитом. Исследуем теоретико-игровые аспекты проблемы скрытия информации стегосистемами.

Рассмотрим теорему, которая названа в [2] основной теоремой информационного скрытия при активном противодействии нарушителя. Для любых произвольно сложных стегосистем и любых атак без памяти эта теорема ограничивает сверху скорость безошибочной передачи для скрывающего информацию при условии, что атакующий знает описание скрывающего преобразования, а декодер знает описание и скрывающего преобразования и атакующего воздействия. Данное условие на самом деле не является трудновыполнимым, как это кажется на первый взгляд. Даже если стратегии действий скрывающего информацию и атакующего неизвестны, но стационарны, то можно утверждать, что и атакующий и декодер потенциально способны определить их, обработав достаточно большой объем статистического материала. Это допущение вполне реалистично, хотя и не всегда может быть достигнуто на практике из-за высокой вычислительной сложности.

Предварительно рассмотрим два утверждения, устанавливающие области существования стегосистем, потенциально способных безошибочно передавать скрываемую информацию при заданном атакующем воздействии.

Утверждение 3.1: Зафиксируем атакующее воздействия и выберем скрывающее преобразование , которое максимизирует количество информации вида

(3.8)

над . Для любого сколь угодно малого значения ε > 0 и достаточно большого значения N существует стегосистема с длиной блока N, обеспечивающая вероятность разрушения скрываемых сообщений для множества скрываемых сообщений мощностью .

Утверждение 3.2: Пусть стегосистема с длиной блока N способна безошибочно передавать скрываемые сообщения со скоростью при атакующем воздействии Q(y/x). Если для любого ε > 0 стегосистема обеспечивает вероятность при , то существует конечный алфавит и такое скрывающее преобразование , что выполняется .

Эти утверждения очень напоминают известные теоремы теории передачи сообщений в каналах связи с помехами [1].

Теорема 3.3: Пусть атакующий знает описание обобщенного скрывающего преобразования , а декодер знает описание обобщенного скрывающего преобразования и обобщенного атакующего воздействия . Для любого информационно-скрывающего противоборства, приводящего к искажениям не более (D1, D2), скорость передачи R скрываемых сообщений достижима, если и только если R < , величина определяется как

, (3.9)

где U есть случайная переменная над произвольным конечным алфавитом U, переменныеобразуют марковскую цепь, и количество информации определяется выражением (3.8).

Таким образом, теорема 3.3 определяет величину нижней грани скрытой ПС в условиях, когда все участники информационного противоборства знают стратегии действий друг друга. Заметим, что в этой теореме определяется величина скрытой ПС стегоканала, существование которого атакующему известно. Данная скрытая ПС равна среднему количеству информации на один элемент контейнера, которое нарушитель не может разрушить, выбирая любую стратегию противодействия из множества при искажении контейнера не более величины D2.

Доказательство этой теоремы сводится к следующему: зафиксируем атакующее воздействие . В утверждении 3.1 доказывается, что все скорости безошибочной передачи скрываемых сообщений менее достижимы. Утверждение 3.2 включает обратный результат, то есть достоверная передача невозможна выше этой скорости. Так как атакующий знает распределение , он способен выбрать такое распределение Q, которое минимизирует скорость передачи.

Следствие 3.4 далее показывает, что в важном специальном случае (секретным ключом стегосистемы является описание используемого контейнера и сам контейнер известен декодеру), нет потери в оптимальности при ограничении кодера стегосистемы видом, представленным на рис. 3.2.

Следствие 3.4: В случае , выбор значения переменной U оптимален, если и только если стего X может быть записано в форме , где отображение обратимо для всех значений . В частности, выбор U = X оптимален. Скрытая ПС в этом случае определяется в виде

. (3.10)

Это следует из того, что когда , выражение (3.8) может быть записано в виде

. (3.11)

Представляется вполне логичным, что величина скрытой ПС равна взаимной информации между стего X и искаженным стего Y при условии, что отправителю и получателю скрываемой информации известен пустой контейнер .

Для практических систем защиты информации, если секретным ключом стегосистемы является описание используемого контейнера, возникают две проблемы. Во-первых, получатель должен знать исходный контейнер, что ограничивает возможную область применения таких стегосистем. Во-вторых, отправитель и получатель скрываемых сообщений должны использовать секретную ключевую информацию очень большого объема, что неудобно на практике.

3.3.2. Свойства скрытой пропускной способности стегоканала

Скрытая ПС является функцией аргументов и , что удобно выразить в виде . Скрытая ПС удовлетворяет следующим свойствам:

1. Величина монотонно увеличивается при увеличении искажения кодирования и монотонно уменьшается с ростом искажения .

2. Функция выпукла по аргументу .

3. Величина ограничена сверху энтропией искаженной стегограммы Y и энтропией контейнера :

4. .

Это свойство очевидно, так как скрытая пропускная способность не может быть больше энтропии искаженного стего Y. В свою очередь, в силу возможной потери информации из-за атакующего воздействия величина не может быть больше энтропии стего X, а из-за возможной потери информации при встраивании скрываемых сообщений равно или меньше энтропии пустого контейнера. Из теории информации известно, что энтропия источника контейнеров меньше или равна логарифму от мощности его алфавита [18]. Так как наиболее часто используются контейнеры в виде существенно избыточных изображений или речевых сигналов, то для таких контейнеров выполняется неравенство , что существенно уменьшает возможное значение скрытой ПС. Таким образом, в стегосистеме чем ближе характеристики дискретных контейнеров к бернуллиевскому распределению или непрерывных контейнеров к гауссовскому распределению, тем больше может быть величина скрытой ПС.

5. Величина для любых значений искажения , так как означает, что , то есть контейнер полностью совпадает со стего и никакой скрываемой информации не передается.

6. Если допустимо достаточно большое искажение , то для любого значения искажения может быть построена атака нарушителя, в которой формируется независимо от . Следовательно, в таком устранены все следы скрываемого сообщения и скрытая пропускная способность равна нулю для любых значений искажения кодирования . Таким образом, если атакующий имеет возможность подавлять канал передачи скрываемых сообщений неограниченно мощной помехой, то он гарантированно разрушит передаваемые сообщения. К счастью, во многих практических случаях информационного скрытия у нарушителя нет такого энергетического потенциала радиоэлектронного подавления или при его наличии им невозможно воспользоваться.

Сформулируем выводы из теоремы 3.3 и прокомментируем свойства скрытой ПС.

1. Теорема 3.3 определяет, что установление теоретической возможности скрытой безошибочной передачи информации и теоретической возможности противодействия этому сводится к вычислению величины скрытой ПС при известных стратегиях сторон и сравнению ее с требуемой скоростью передачи скрываемой информации. Если скрытая ПС меньше требуемой скорости, то даже теоретически не существует способа передачи скрываемых сообщений без искажений и задача атакующего по подавлению произвольных стегосистем гарантированно решается.

Оптимальная атака нарушителя заключается во внесении такого искажения , при котором величина скрытой ПС меньше требуемой скорости передачи скрываемых сообщений. Оптимальная стратегия скрывающего информацию заключается в выборе такого кодирования и такой величины искажения , при которых с учетом искажения требуемая скорость безошибочной передачи не превышает скрытой ПС. Это означает, что теоретически существует такой способ безошибочной передачи. Однако теоретическая возможность еще не означает, что скрывающий информацию способен реализовать ее на практике. Например, разработчик стегосистемы может не знать оптимальных принципов ее построения (они еще не открыты), из-за ограниченности в вычислительных ресурсах он не может себе позволить оптимальную обработку или требования к своевременности доставки скрываемых сообщений ограничивают длину N блока кодирования и так далее.

Таким образом, успех скрывающего информацию или атакующего определяется в конечном счете соотношением между скоростью передачи R и величинами искажения и контейнера, в котором скрывается информация. Рассмотренная теорема информационного скрытия при активном противодействии нарушителя очень напоминает фундаментальную теорему К. Шеннона, в которой определяется, что существует способ безошибочной передачи сообщений по каналу с помехами, если скорость передачи меньше пропускной способности канала, и невозможна достоверная передача со скоростью, большей пропускной способности. К. Шеннон также показал, что существуют зависимости между отношением мощности полезного сигнала к мощности помех в канале связи и величиной скорости безошибочной передачи сообщений по этому каналу. Аналогично этому, в информационно-скрывающем противоборстве существуют подобные зависимости между отношением величины искажения кодирования к величине искажения атакующего воздействия и величиной скорости безошибочной передачи скрываемых сообщений по стегоканалу.

Однако при внешнем сходстве у задач открытой и скрытой передачи есть существенные различия. Открытая связь осуществляется в условиях воздействия случайных помех канала связи, а передача скрываемой информации должна быть обеспечена при оптимизированном преднамеренном противодействии организованного нарушителя.

2. Рассмотрим связь задачи информационного скрытия с задачей защиты информации от перехватчика в подслушивающем канале. В 1975 году американский ученый А.Вайнер предложил метод защиты информации от чтения нарушителем, заложивший основу теории кодового зашумления [19,20]. Отправитель дискретных сообщений осуществляет их случайное избыточное кодирование на передаче и передает преобразованные сообщения получателя по основному каналу связи. Нарушитель наблюдает их в подслушивающем канале, который является отводом от основного канала. Случайное кодирование на передаче построено таким образом, что если в подслушивающем канале есть ошибки, то при декодировании они размножаются и надежно искажают защищаемую информацию. Метод кодового зашумления предназначен для систем передачи, в которых основной канал безошибочный. Например, основной канал образован на основе волоконно-оптической линии, а нарушитель пытается вести разведку по каналам побочного электромагнитного излучения и наводок, в которых в силу их природы имеется большое число ошибок. Отметим, что нарушитель знает описание системы кодового зашумления, которая не использует секретной ключевой информации (способ защиты некриптографический). Подслушивающий канал характеризуется секретной ПС, которая есть максимальная скорость безошибочной передачи по основному каналу при условии, что неопределенность для перехватчика максимальна (неопределенность защищаемых сообщений равна энтропии этих сообщений). Однако если подслушивающий канал менее шумный, чем основной канал, то секретная ПС равна нулю.

В задаче информационного скрытия атакующий способен на большее, чем обычный перехватчик в подслушивающем канале, так как он после перехвата защищаемого сообщения преднамеренно искажает основной канал. Поэтому основной канал передачи не менее шумный, чем подслушивающий канал. Следовательно, в задаче информационного скрытия с активным нарушителем секретная ПС равна нулю.

3. Выбор переменной U независимо от контейнера , как это делается в системе водяного знака согласно рис. 3.2, является в общем случае не оптимальным. Анализ выражения (3.8) показывает, что скорости безошибочной передачи в этом случае ограничены сверху величиной .

4. Пусть выполняется условие . Если атакующему известно описание контейнера , то оптимальная атака состоит просто в формировании искаженного стего в виде . В этом случае выходной сигнал после атакующего не содержит никаких следов сообщения и скрытая ПС равна нулю. На практике это означает следующее. Если нарушителю известен оригинал защищаемой от пиратского копирования мультимедийной информации, то никакие стегосистемы не защитят авторские и имущественные права производителей мультимедийной продукции.

Рассмотрим потенциально сильную атаку, в которой атакующий стремится сконструировать достаточно близкую к оригиналу оценку контейнера . Если атакующий способен синтезировать искаженное стего Y такое, что , то платеж ограничен сверху величиной

(3.12)

для всех U. Следовательно, величина скрытой ПС стегоканала < .

Таким образом, если нарушитель способен сформировать достаточно точную оценку контейнера (иными словами, выполняется неравенство , где величина ε достаточно мала), то величина скрытой ПС ограничена этой малой величиной. А на практике это означает, что располагая подписанным водяным знаком стего, нарушитель может попытаться воспроизвести из него с некоторой допустимой погрешностью пустой контейнер, из которого удалено скрываемое сообщение. Такие примеры известны еще с доэлектронных времен стеганографии. Например, если перерисовать картину, заверенную художником малозаметными для визуального восприятия авторскими знаками, то хорошая копия может быть практически неотличима от оригинала (по крайней мере, для обычных зрителей), а авторские знаки, скорее всего, будут разрушены.

3.4. Двоичная стегосистема передачи скрываемых сообщений

Определим величину скрытой ПС стегосистемы, в которой алфавит скрываемых сообщений, контейнеров, ключей и стего является двоичным алфавитом . Пусть контейнер формируется источником Бернулли, то есть символы последовательности контейнера являются независимыми друг от друга и равновероятными. Функция искажения описывается расстоянием Хэмминга: , если и в ином случае. Описание контейнера является секретным ключом стегосистемы () и известно декодеру. Пусть двоичная последовательность формируется независимо и равновероятно. Стегограммы формируются в виде , где операция есть суммирование по модулю 2. Переменная Z имеет бернуллиевское распределение и отображает скрываемое сообщение M с искажением . Искажение означает, что каждый символ двоичной последовательности Z отличается от соответствующего символа двоичной последовательности M с вероятностью . Преобразование сообщения M в последовательность Z выполняется скрывающим информацию с использованием кодера с искажением. Нарушитель обрабатывает стего наложением на него двоичной шумовой последовательности , в которой единичный символ порождается с вероятностью . Получатель суммирует искаженное стего с двоичной последовательностью по модулю 2, и из полученной таким образом двоичной последовательности декодирует принятое скрываемое сообщение . Особенностью этой стегосистемы является то, что в ней скрываемое сообщение при встраивании искажается с вероятностью искажения и это искажение равно искажению кодирования стего. Такая стегосистема показана на рис. 3.3.

Рис. 3.3. Структурная схема двоичной стегосистемы

Утверждение 3.5: Для двоичной стегосистемы при величинах искажений скрытая ПС определяется в виде

, (3.13)

где, по определению, , и .

Оптимальная атака нарушителя определяется в виде , где есть случайная двоичная последовательность, распределенная по бернуллиевскому закону с вероятностью появления единичного символа . Для и скрытая ПС равна . Для и , скрытая ПС равна .

Опишем распределения переменных стегосистемы, при которых достигается такая величина скрытой пропускной способности. Для данной стегосистемы переменную U можно формировать как U = X или U = Z, причем оба варианта выбора могут быть оптимальны, так как в качестве операции встраивания используется операция суммирования по модулю 2.

Для и скрытая ПС равна . Заметим, что на первый взгляд удивительно, что при скрытая ПС не равна нулю независимо от значения . Это объясняется тем, что при преобразовании скрываемого сообщения M в последовательность искажение не является равновероятным: скрывающий информацию может выбрать такое распределение ошибок , при котором минимизируется изменение сообщения M. Для скрытая ПС равна нулю при любых значениях . Нетрудно заметить, что при выход канала связи не зависит от его входа X, что означает обрыв канала связи. И если при обрыве канала связи не передается никакой информации по открытому каналу связи, то тем более не передается по скрытому каналу, образованному на основе открытого канала.

Применим следствие 3.4 для анализа двоичной стегосистемы. Мы должны проверить, что распределения для и имеют седловую точку платежа . Сначала зафиксируем . Полагая , получим

где равенство (а) справедливо в соответствии с определением условной взаимной информации, (b) выполняется благодаря тому, что есть марковская цепь, неравенство (с) справедливо, так как условие уменьшает энтропию. Равенство достигается в (с) если и только если , следовательно, независима от . Неравенство (d) справедливо, так как Z и W независимы в силу того, что формируют марковскую цепь и . Равенство достигается, если переменная Z имеет бернуллиевское распределение с дисперсией . Распределение удовлетворяет обоим неравенствам с равенством и поэтому максимизирует значение

Второй шаг заключается в фиксации и минимизации над . При определенном ранее распределении , и независимы. Так как формирует марковскую цепь,  и также независимы.

Мы имеем

,

где неравенство (а) справедливо, так как условие уменьшает энтропию, и неравенство (b) справедливо потому, что Z и W независимы и , которое становится равенством, если W — переменная с бернуллиевским распределением с вероятностью единичного символа .

Рассмотренная двоичная стегосистема похожа на систему шифрования однократной подстановки (шифр гаммирования с бесконечной равновероятной независимой шифрующей гаммой). При независимой и равновероятной последовательности выполняется равенство , что означает, что эта система удовлетворяет требованию к совершенным криптосистемам [1], следовательно, перехват и анализ криптограммы Х не дает атакующему никакой информации о защищаемом сообщении Z. Однако эта двоичная система удовлетворяет также требованию к совершенным стеганографическим системам: распределения и идентичны, поэтому для нарушителя невозможно определить, принадлежат ли перехваченные данные к распределению пустых контейнеров или к распределению стего со встроенным сообщением [17]. Подробно совершенные стегосистемы будут описаны в следующем разделе. Однако заметим, что в рассматриваемой стегосистеме предполагается, что контейнеры и, соответственно, стегограммы описываются бернуллиевским распределением, что обычно не характерно для реальных систем скрытия информации.

Рассмотрим пример двоичной стегосистемы с выбором U = Z. Пусть требуется скрытно передать сообщение M, которое является цифровым представлением речевого сигнала. Первые несколько отсчетов речевого сигнала в моменты времени дискретизации t1, t2, t3, t4 принимают десятичные значения M1 = 0, M2 = 17, M3 = 35, M4 = 67 (рис. 3.4а). В общем виде скрываемое сообщение может быть представлено в виде M = (M1, M2, M3, M4,). В двоичной форме скрываемое сообщение запишем как

M1 = 0000 0000, M2 = 0001 0001, M3 = 0010 0011, M4 = 0100 0011,

В данной записи младшие двоичные разряды расположены справа. Преобразуем двоичную последовательность M в двоичную последовательность Z с погрешностью . В двоичной стегосистеме погрешность кодирования вычисляется по метрике Хэмминга. Пусть искажение = 1/8. Следовательно, для формирования последовательности = (,,,,…) скрывающий информацию искажает восьмую часть битов последовательности M. Для уменьшения погрешности скрываемого сообщения ему целесообразно искажать только младшие биты двоичной последовательности M. Поэтому скрывающий информацию выберет последовательность Z, например, такого вида: = 0000 0001, = 0001 0010, = 0010 0011, = 0100 0010,…

Рис. 3.4. Пример двоичной стегосистемы с искажениями D1 = 1/8 и D2 = 1/16

В десятичном виде последовательность Z показана на рис. 3.4б. C помощью генератора случайных чисел сформируем секретный ключ K = (K1, K2, K3, K4, …).

K1 = 1001 0101, K2 = 0010 1110, K3 = 1101 1001, K4 = 0110 1001, …

Сформируем стегограмму по правилу , где X = (,,, ,).

= 1001 0100, = 0011 1100, = 1111 1010, = 0010 1011,

Пусть искажение = 1/16. Нарушитель случайным образом формирует двоичную последовательность W, в которой вероятность появления единичных символов равна. Например, W = (, , , ,) имеет вид

= 0000 0100, = 0000 0000, = 0000 0010, = 0000 0000,

Атакующее воздействие представляет собой сложение по модулю 2 стегограммы X и шумовой последовательности W. Образованное искаженное стего Y = (, , , ,) имеет вид

= 1001 0000, = 0011 1100, = 1111 1000, = 0010 1011,

Получатель складывает последовательность Y с последовательностью ключа K для формирования принятой .

= 0000 0101, = 0001 0010, = 0010 0001, = 0100 0010,

В декодере получатель восстанавливает сообщение M из последовательности . В самом простом случае = . Вид последовательности показан на рис. 3.4 в. Если скрываемое сообщение представляет собой речевой сигнал, то при указанных величинах искажений и степень близости M и , то есть качество обеспечиваемой скрытой телефонной связи, для ряда телекоммуникационных задач может быть оценено удовлетворительной.

3.5. Теоретико-игровая формулировка информационно-скрывающего противоборства

Скрывающий информацию выбирает алфавит и скрывающее преобразование из множества . Атакующий выбирает атакующее воздействие из множества . В теореме 3.3 предполагается, что атакующий знает распределение , а декодер знает распределения Q и . Это вполне разумное предположение, хотя оно может в некоторых случаях и не выполняться на практике. Рассмотрим теоретико-игровую постановку противоборства между скрывающим информацию и атакующим.

Скрывающий информацию. Он желает обеспечить гарантированную скорость безошибочной передачи при любой атаке, при которой атакующее воздействие приводит к величине искажения не более согласно выражения (3.7). Пусть он синтезирует стегосистему при предположении, что атакующий знает описание используемого скрывающего преобразования. При этом предположении скрывающий информацию может гарантировать, что минимальная скорость безошибочной передачи скрытой информации определяется выражением (3.9), которое для удобства повторяем:

.

Такой метод часто рассматривается как безопасная стратегия в теории игр [21]. Для максимизации скорости согласно выражения (3.9), декодер получателя должен знать описание используемого атакующего воздействия.

Атакующий: Он стремится минимизировать скорость безошибочной передачи при любой стратегии скрытия информации, которая удовлетворяет искажению кодирования не более согласно выражения (3.5). Соответственно, нарушитель должен знать описание используемого скрывающего преобразования. Он может строить атакующее воздействие при прежнем предположении, что скрывающий информацию и декодер знают вероятностные характеристики используемого воздействия. При этом предположении, зная описание используемого скрывающего преобразования, атакующий может гарантировать, что скрываемая информация не способна надежно передаваться на скорости большей, чем

. (3.14)

Седловая точка. В соответствии с терминологией теории игр, величины пропускной способности согласно выражений (3.9) и (3.14) являются, соответственно, нижней и верхней ценой игры [21]. Если они равны, их значение определяет седловую точку игры. Скрывающий информацию и атакующий выбирают, соответственно, распределения и , которые удовлетворяют условию седловой точки.

Если какая-либо из противоборствующих сторон выбирает стратегию, отличающуюся от условия седловой точки, а вторая сторона придерживается условия седловой точки, то первая сторона уменьшает свои шансы на успех

, . (3.15)

Из выражения (3.15) видно, что если нарушитель использует неоптимальную стратегию , то величина скрытой ПС может быть увеличена по сравнению со случаем равновесия игры (). Соответственно, если скрывающий информацию отклоняется от своей оптимальной стратегии , то величина скрытой ПС может быть уменьшена.

Таким образом, если действия противоборствующих сторон заранее известны (случай чистых стратегий обоих игроков), то обоим целесообразно придерживаться условия седловой точки игры. Этот случай удобен для расчета величины скрытой ПС стегоканала. Однако в реальных информационно-скрывающих системах противоборствующие стороны стремятся скрыть стратегию своих действий. Атакующий может попытаться достоверно определить используемое скрывающее преобразование, анализируя перехваченные стего. Соответственно, декодер может пытаться вычислить вероятностные характеристики атакующего воздействия, анализируя искаженные стего. Для достоверной оценки и необходимо иметь универсальный декодер на множестве и , соответственно. Существует развитая теория универсального декодирования для составных каналов [18], но расширение этой теории и построение практически реализуемых алгоритмов универсального декодирования для информационно-скрывающих систем пока является нерешенной проблемой. Поэтому для реальных стегосистем характерны ситуации, когда точные описания стратегий действий игроков неизвестны.

Смешанные стратегии: Рассмотрим случай, когда игроки не знают стратегию оппонента. Это означает использование смешанной стратегии в теоретико-игровой терминологии. В этом случае скрывающий информацию и атакующий неизвестным для противостоящей стороны образом выбирают используемые стратегии и Q в соответствии с вероятностными распределениями и .

Таким образом, скрывающее преобразование и атакующее воздействие могут быть неэргодичны на длительных промежутках. Например, множество возможных стратегий для атакующего может включать недетерминированно выбираемые атаки из программы Stirmark [22]. Эта программа широко используется для тестирования практических систем водяного знака, использующих в качестве контейнера изображение. Множество возможных стратегий для скрывающего информацию может включать стратегию рандомизированного кодирования с расширением спектра [4], или недетерминированное квантование контейнера [23], или недетерминированные встраивание с одновременным изменением скрываемого речевого сигнала и контейнерного речевого сигнала [24]. При использовании смешанных стратегий скрывающий информацию на распределении , максимизирует платеж, равный , а атакующий минимизирует этот платеж на распределении . Для неэргодических скрывающих преобразований и атакующих воздействий определим средние искажения в виде

, (3.16)

, (3.17)

на распределениях и . Преимущество определения искажений в виде (3.16) и (3.17) заключается в том, что требуется учитывать только два искажения вместо значений искажений для каждой возможной пары распределений в выражениях (3.5) и (3.7).

Однако точное описание информационно-скрывающего противоборства при смешанных стратегиях противостоящих сторон затруднительно, так как возможное множество зависит от множества при распределении . В соответствии с теоретико-игровой терминологией, эти множества являются связанными [21]. К счастью, в некоторых случаях связь между этими множествами может быть несущественной. Например, это выполняется при малых величинах искажений и по сравнению с энергией контейнера, независимых от информационно-скрывающей стратегии, когда распределение стегограмм асимптотически приближается к распределению контейнеров. Этот случай будет далее рассмотрен в пункте 3.8. Если зависимость между множествами и является незначительной, то теоретико-игровой анализ дает следующие результаты. Сначала заметим, что функция непрерывна и ограничена сверху и снизу, и ее аргументы принадлежат компактному подмножеству. В общем случае функция выпукла в Q, но не вогнута в . Следовательно, оптимальной стратегией атакующего является чистая стратегия, в то время как оптимальной стратегией для скрывающего информацию есть смешанная стратегия.

Отметим, что использование смешанной стратегии защиты информации характерно для многих задач передачи информации в условиях преднамеренных помех. Примером является работа радиолинии в режиме псевдослучайной перестройки рабочей частоты (ППРЧ). Перескоки по частоте непредсказуемы для атакующего, осуществляющего радиоэлектронное подавление радиолинии. Атакующий, зная, что вероятность использования каждого значения частоты примерно равновероятна, максимизирует свои шансы на подавление радиолинии формированием заградительной помехи с равновероятным распределением в полосе рабочих частот. Известно, что выбор рандомизированной стратегии отправителем (работа в режиме ППРЧ) существенно повышает его шансы на доставку сообщений в условиях радиоэлектронного подавления, а выбор атакующим чистой стратегии максимизирует вероятность успешного подавления [25]. Возвращаясь к стегосистемам, отметим, что скрывающий информацию существенно повышает свои шансы на безошибочную доставку скрываемых сообщений в условиях активного противодействия, если стратегия скрытия неизвестна оппоненту. Поэтому целесообразно держать в секрете от атакующего выбранное распределение , а чтобы атакующий не смог определить его в процессе наблюдения за каналом, оно должно изменяться во времени непредсказуемым для оппонента образом.

Приведем простой пример смешанной стратегии скрывающего информацию и чистой стратегии атакующего. Пусть отправитель и получатель скрываемых сообщений для их встраивания и извлечения используют синхронно работающие криптографически стойкие генераторы псевдослучайных последовательностей. Напомним, что криптографически стойким генератором называется такой генератор, для которого нарушитель с полиномиально ограниченными вычислительными ресурсами, наблюдая за его выходной последовательностью произвольной длины, не в состоянии предсказать очередной генерируемый символ с вероятностью выше вероятности случайного угадывания [26]. В качестве начального заполнения в такие генераторы отправителем и получателем скрываемых сообщений записывается секретный ключ, и генераторы одновременно запускаются. Выходная последовательность генератора определяет те элементы контейнера, в которые встраиваются скрываемые сообщения, а оставшиеся элементы контейнера передаются без изменения. Если нарушитель не в состоянии различить между собой элементы стего и пустого контейнера, то для него оптимальное подавление стегоканала заключается в наложении на перехватываемую последовательность равновероятных ошибок. В описанной стегосистеме чем больше элементов пустого контейнера передается по сравнению с числом элементов стего, тем меньше вероятность разрушения скрываемых сообщений при фиксированной величине .

Далее в главе 4 будет показано, что рандомизированная стратегия полезна и для скрытия в тайне факта передачи сообщений при пассивном нарушителе.

Рис. 3.5. Информационно-скрывающее противоборство при чистой стратегии атакующего и смешанной стратегии скрывающего информацию

На рис. 3.5 проиллюстрирована игра между скрывающим информацию и атакующим. Атакующий придерживается чистой стратегии в вероятностном распределении , что на рисунке соответствует горизонтальной прямой, а скрывающий информацию — вероятностного распределения , что на рисунке обозначено вертикальной кривой справа. Кривая в центре рисунка определяет возможные значения цены игры при данном атакующем воздействии. Выбором своей смешанной стратегии скрывающий информацию может повысить свой выигрыш. Для максимизации величины скрытой ПС он выбирает выгодную для себя точку на кривой в центре рисунка.

3.6. Стегосистемы с бесконечными алфавитами

Результаты, приведенные выше, могут быть расширены на случай стегосистем с бесконечными алфавитами контейнеров и стего X и ключей K. Заметим, что стегосистемы с непрерывными сообщениями и ключами существенно отличаются от известных криптографических систем. Для бесконечномерных сигналов существуют криптосистемы, например, использующие частотные или временные преобразования речи или изображений. Системы шифрования, в которых криптографические преобразования осуществляются над непрерывными в пространстве или времени сигналами, называются маскираторами и, как правило, не обеспечивают высокой криптографической стойкости [27]. Забегая вперед, скажем, что в отличие от криптосистем, для стегосистем с бесконечными алфавитами известны доказуемые оценки их устойчивости к атакам нарушителя. К тому же маскираторы используют ключ конечной длины, элементы которого принадлежат дискретному алфавиту. И, вообще, представить себе произвольную криптосистему с ключом, элементы которого принадлежат бесконечному алфавиту, довольно затруднительно.

Расширим определение взаимной информации для переменных и K стегосистемы, принадлежащих бесконечным алфавитам в виде [25]:

где дискретные переменные и , принадлежащие конечным алфавитам, аппроксимируют с некоторой допустимой погрешностью соответствующие непрерывные переменные. Если все функции плотности вероятности являются абсолютно непрерывными, то результаты из пункта 3.3 справедливы при замене соответствующих сумм интегралами.

Особый интерес имеет случай контейнеров , распределенных по нормальному закону и оцениваемых среднеквадратической погрешностью вида . Назовем этот случай гауссовским контейнером. Он позволяет точно оценит величину скрытой ПС. Пусть множество X совпадает с множеством действительных значений, математическое ожидание значений отсчетов контейнера равно нулю и их дисперсия равна . В дальнейшем будем использовать условное обозначение нормального распределения с математическим ожиданием и дисперсией в виде .

Рассмотрим два случая. В первом случае секретным ключом К стегосистемы является контейнер . Во втором случае контейнер получателю не известен (слепая система скрытия информации).

Случай негауссовского распределения контейнера намного сложнее, но полезные результаты также могут быть получены. В частности, нижняя граница скрытой ПС может быть получена оценкой оптимальной атаки при конкретной, в общем случае подоптимальной, информационно-скрывающей стратегии . Нижние и верхние границы скрытой ПС могут быть вычислены оценкой оптимальной информационно-скрывающей стратегии при конкретной, в общем случае подоптимальной, атаке :

. (3.18)

Эти границы полезны для негауссовских контейнеров, полагая что распределения и выбраны соответствующим образом (см. пункт 3.8). Разумеется, если нижняя и верхняя границы в выражении (3.18) равны, пара распределений дает седловую точку платежа в формуле (3.8).

3.6.1. Использование контейнера как ключа стегосистемы

Рассмотрим случай, когда в качестве секретного ключа стегосистемы используется описание контейнера. Соответственно, ключ-контейнер должен быть известен получателю скрываемого сообщения. Для этого случая теорема 3.6 определяет величину скрытой ПС стегоканала с бесконечным алфавитом контейнеров.

Назовем гауссовским атакующим воздействием воздействие нарушителя, при котором искаженное стего имеет нормальное распределение с математическим ожиданием, величина которого пропорциональна среднему значению стего, и дисперсией, величина которой пропорциональна искажению .

Теорема 3.6: Пусть в стегосистеме с бесконечным алфавитом используется среднеквадратическая мера погрешности вида . При использовании контейнера в качестве секретного ключа K:

1) если контейнер имеет нормальное распределение с нулевым средним и дисперсией , то при использовании оптимального скрывающего преобразования величина скрытой ПС равна

(3.19)

где . Оптимальное скрывающее преобразование задается в виде , где переменная Z имеет нормальное распределение с нулевым средним и дисперсией и независима от контейнера . Оптимальная атака нарушителя есть гауссовское атакующее воздействие с функцией распределения вида

(3.20)

2) если контейнер является негауссовским с нулевым средним и дисперсией , то выражение (3.19) определяет верхнюю оценку скрытой ПС.

На рис. 3.6 представлена стегосистема с гауссовским контейнером и гауссовским атакующим воздействием. Скрываемое сообщение М преобразуется в последовательность Z с искажением кодирования не более . По условию последовательность Z описывается нормальным законом распределения с нулевым средним и дисперсией и независима от гауссовского контейнера . Нарушитель искажает стего X с помощью гауссовского атакующего воздействия. Для этого согласно рис. 3.6 на стего сначала накладывается шум W, описываемый нормальным законом распределения с нулевым средним и дисперсией , тем самым формируя промежуточную последовательность . Искаженное стего Y получается умножением последовательности V на коэффициент . На приемной стороне получатель восстанавливает суммированием последовательностей и .

Рис. 3.6. Стегосистема с гауссовским контейнером и гауссовским атакующим воздействием

Из формулы (3.19) видно, что величина скрытой ПС растет при увеличении отношения / и при уменьшении коэффициента . Коэффициент принимает минимальное значение, равное 1, при . Очевидно, что в реальных стегосистемах обычно >, следовательно, увеличение скрытой ПС может быть достигнуто за счет увеличения дисперсии . Скрытая ПС равна нулю, если , что соответствует случаю использования контейнера, энергия которого меньше величины искажения при атакующем воздействии.

Отметим, что в соответствии с выражением (3.19) для обеспечения ненулевой скрытой ПС при выполнении неравенства вклад обоих слагаемых суммы равноценен. Это потенциально обеспечивает возможность маневра при синтезе стегосистем: увеличивать или искажение кодирования при встраивании скрываемого сообщения или энергию контейнера, или сочетать оба подхода.

Для случая гауссовских контейнеров с распределением оптимальное атакующее воздействие легко синтезируется нарушителем. Атакующий просто заменяет стего шумовым сигналом, имеющим нормальное распределение с математическим ожиданием и дисперсией при . Если допустимое для нарушителя искажение достаточно велико, чтобы выполнилось неравенство , то согласно выражения (3.20) оптимальной стратегией нарушителя является, перехватив стего , замена его на сигнал , независимый от . Такая атака достаточно просто реализуется на практике. Таким образом, чтобы гарантированно подавить канал скрытой связи, нарушителю надо внести в стего искажение величиной порядка энергии контейнера.

В целом недопустимо малая величина скорости передачи скрываемой информации при активном противодействии нарушителя является основным недостатком многих ранее предложенных системах водяного знака, в которых водяной знак прячется в наименее значимых битах контейнера, что является уязвимым даже к небольшим по величине искажениям . Такие водяные знаки легко удаляются атакующим простой рандомизацией наименее значимых битов, при этом в контейнер вносятся минимальные искажения. Следовательно, в более совершенных системах водяные знаки должны скрытно внедряться в существенно значащие компоненты контейнера. Однако при этом увеличивается величина искажения кодирования и поэтому ухудшается качество контейнера (что актуально для систем ЦВЗ) или ухудшается незаметность стегоканала (что актуально для систем скрытия от нарушителя факта передачи информации).

Таким образом, задача синтеза стегосистемы может быть сформулирована как задача поиска компромисса между ее характеристиками, так как улучшение одного ее параметра, например, величины скрытой ПС, приходится обеспечивать за счет других параметров, таких как скрытность передачи информации или устойчивость к разрушающему воздействию.

3.6.2. Слепая стегосистема с бесконечным алфавитом

Рассмотрим стегосистему с бесконечным алфавитом, в которой декодеру получателя неизвестно описание использованного отправителем контейнера. Очевидно, что скорость достоверной передачи скрываемой информации в слепых системах не может быть выше, чем скорость передачи в случае, когда декодер имеет доступ к дополнительной информации, такой как использованный контейнер. Поэтому в слепых стеганографических системах величина скрытой ПС ограничена сверху выражением (3.19) для произвольных распределений контейнерных сигналов.

Рассматриваемая далее теорема 3.7 для слепых стегосистем определяет оптимальную стратегию скрывающего информацию и оптимальное атакующее воздействие для гауссовских контейнеров. Эта пара оптимальных стратегий противоборствующих сторон формирует решение седловой точки. Оптимальная атака нарушителя описывается гауссовским атакующим воздействием с распределением согласно выражения (3.20). Теорема 3.7 также определяет величину скрытой ПС для слепых информационно-скрывающих систем.

Теорема 3.7. Пусть в слепой стегосистеме с бесконечным алфавитом используется среднеквадратическая мера искажения вида . Контейнер описывается нормальным распределением с нулевым математическим ожиданием и дисперсией . Тогда следующее построение стегосистемы дает седловую точку платежа в выражении (3.8):

где коэффициенты принимают значения , переменная описывается нормальным распределением с нулевым математическим ожиданием и дисперсией и независима от контейнера , а распределение описывает гауссовское атакующее воздействие вида (3.20). Величина скрытой ПС слепой стегосистемы определяется выражением (3.19).

Таким образом, в общем случае максимальная скорость безошибочной передачи скрытой информации не зависит от того, знает или нет декодер описание контейнера.

Прокомментируем суть теоремы 3.7.

1. Рассмотрим построение скрывающего преобразования в виде , где значение отличается от оптимальной величины . Скорость безошибочной передачи скрываемых сообщений определяется в виде:

(3.21)

Рассмотрим частный случай построения скрывающего преобразования, при котором коэффициент . Это означает, что встраивание скрываемого сообщения совершенно не зависит от используемого контейнера . В явном виде этот вариант построения стегосистемы показан на рис. 3.2.

Из выражения (3.21) определим скорость безошибочной передачи для такого класса кодеров стегосистемы для случая малых искажений контейнера в виде

. (3.22)

Игнорирование характеристик контейнера существенно уменьшает скорость надежной передачи скрываемой информации. Уменьшение величины скрытой ПС при отклонении от оптимального построения скрывающего преобразования наглядно показано на рис. 3.7. Из графика видно, насколько величина скрытой ПС при оптимальном построении (сплошная линия) превышает величину скрытой ПС при неиспользовании характеристик контейнера выбором (штрих-пунктирная линия). При заданных величине искажения = 1 и дисперсии контейнера игнорирование характеристик контейнера приводит к снижению величины скрытой ПС в десятки раз.

Рис. 3.7. Зависимость скрытой ПС стегоканала с гауссовским контейнером при и ,

оптимальное скрывающее преобразование,

скрывающее преобразование при ,

скрывающее преобразование при .

Для оптимального построения скрывающего преобразования, если искажение кодирования существенно больше энергии контейнера , величина скрытой ПС очень мала. По мере увеличения величины искажения кодирования скрытая ПС быстро увеличивается, достигая максимума при .

2. Рассмотрим построение стегосистемы при выборе (соответственно, ). Практическая схема такой стегосистемы, в которой кодер построен по принципу кодовой книги, описана в [23]. Из выражения (3.21) следует, что максимальная скорость такой системы равна . Можно показать, что скорость передачи скрываемых сообщений равна нулю для . Следовательно, при выполнении неравенства такие стегосистемы нереализуемы. Зависимость скрытой ПС для случая вида показана на рис. 3.7 пунктирной линией при параметрах и . Из представленных графиков видно, что из-за неоптимальности построения стегосистемы для случая вида максимальный проигрыш в величине скрытой ПС составляет порядка 0,15 бит на отсчет гауссовского контейнера.

Из двух рассмотренных случаев очевидно, что стегосистему целесообразно строить для выбора , где .

3. Рассмотрим возможные атаки нарушителя на слепую стегосистему с бесконечным алфавитом. Атака с аддитивным белым гауссовским шумом со средним значением и мощностью является в общем случае подоптимальной, но она становится асимптотически оптимальной при так как в этом случае . Напротив, атака, в которой делается попытка разрушить скрытое сообщение путем восстановления пустого контейнера из перехваченного стего с использованием правила максимальной апостериорной вероятности (МАВ) вида , является совершенно неэффективной. В такой атаке , поэтому значения X и Y совпадают при . В этом случае условие выполняется с равенством и данная атака не способна удалить скрываемую информацию. Однако на практике такая стратегия действий нарушителя может быть достаточно эффективной, если законным получателем используется неоптимальный декодер, например, восстанавливающий водяные знаки при простом масштабировании яркости пикселов изображений, что приводит к невозможности обнаружения водяных знаков в таких декодерах.

4. На рис. 3.7 представлены зависимости достижимой скорости безошибочной передачи для гауссовских контейнеров при различных информационно-скрывающих стратегиях. Скорость является функцией от величины искажения при искажении с дисперсией контейнера . Показано, что при использовании оптимальной стратегии в каждом отсчете гауссовского контейнерного сигнала можно надежно передавать до 0,5 бит скрываемой информации (сплошная линия). В ряде работ приведены оценки достигнутых в реально построенных стегосистемах скоростей передачи скрываемой информации [4,5]. Достигнутые скорости во много раз меньше величины скрытой ПС, что должно стимулировать поиск более совершенных принципов построения стегосистем.

5. Вернемся к случаю малых искажений при . Из теории связи известно, что для достижения скорости безошибочной открытой передачи информации очень близкой к величине пропускной способности канала связи, требуется построить блочный код достаточно большой длины N, для которого количество кодовых комбинаций равно [25]. Соответственно, сложность реализации декодера системы открытой передачи пропорциональна числу вычислительных операций . В работе [2] показано, что для достижения скрытой ПС необходим блочный код с числом кодовых комбинаций не , а . Соответственно, сложность реализации стегосистемы пропорциональна числу операций . Величина обычно является существенно больше по сравнению со скоростью . Следовательно, построить стегосистему со скоростью передачи скрываемой информации, приближающейся к величине скрытой ПС, значительно сложнее, чем построить систему передачи открытой информации со скоростью, приближающейся к величине ПС открытого канала связи.

Таким образом, если мы желаем передавать информацию по каналу связи не только безошибочно, но и скрытно, то мы должны за это дополнительно платить. Эта плата заключается как в меньшей скрытой ПС по сравнению с пропускной способностью каналов открытой связи, так и в большей сложности стегосистемы по сравнению со сложностью системы открытой связи. Этот вывод подтверждается накопленным к настоящему времени опытом построения стегосистем. Известно, как сложно построить практическую стегосистему, способную безошибочно передавать скрываемую информацию в условиях целенаправленного активного противодействия нарушителя. Например, до сих пор известные системы ЦВЗ не обеспечивают требуемую защищенность авторских и имущественных прав производителей информационной продукции при всевозможных практически реализуемых атаках злоумышленников [22].

3.7. Построение декодера стегосистемы

Рассмотрим возможные методы извлечения получателем скрываемой информации из искаженной нарушителем стегограммы. Оптимальные характеристики декодирования достигаются использованием правилом МАВ декодирования вида , где В есть кодовая книга для последовательностей . Оптимальность декодера обеспечивается исчерпывающим перебором по кодовой книге. Для оптимальных информационно-скрывающей и атакующей стратегий

, (3.23)

где коэффициент определяется через математическое ожидание значений и в виде

,

где , если . Декодер просто масштабирует принятое значение с коэффициентом и находит кодовое слово, ближайшее по евклидовой метрике к значению . Практическая система водяного знака, основанная на этом принципе, описана в работе [16]. Для построения стегосистемы при выборе , описанного в главе 3.6.2, величины приблизительно одинаковы для всех последовательностей , и правило МАВ декодирования согласно (3.23) приблизительно эквивалентно правилу максимума корреляции вида

. (3.24)

Если сигналы и не являются гауссовскими, или если величины не одинаковы для всех , то правило максимума корреляции (3.24) подоптимально. В известных стегосистемах метод максимума корреляции, подобный (3.24), часто используется для оценки характеристик алгоритмов обнаружения водяных знаков. В декодере проверяется гипотеза и ее альтернатива для конкретного фиксированного значения [14]. Детектирование искомого водяного знака заключается в сравнении величины корреляции с некоторым пороговым значением, значение которого выбирается из условия, чтобы вероятность ошибочного решения декодера была бы достаточно мала. Другими часто используемыми в декодере стегосистемы статистиками являются нормализованный коэффициент корреляции между и [15,28].

3.8. Анализ случая малых искажений стего

Случай малых величин искажений и типичен для многих информационно-скрывающих задач. Этот случай для стегосистем аналогичен случаю малых искажений в теории зависимости скорости передачи открытых сообщений от величины их искажения [1]. Малыми искажениями в стегосистемах считаются те искажения контейнера, при которых величины и во много раз меньше дисперсии . В большинстве реальных стегосистемах величины искажений и являются малыми. В стегосистемах, ориентированных на необнаруживаемость факта наличия скрытой связи это обусловлено требованиями скрытности связи, в системах ЦВЗ формирователь водяного знака и атакующий вынуждены ограничивать искажения и , сохраняя потребительское и иные качества контейнера.

В случае малых искажений, при использовании оптимальных скрывающих преобразований величина скрытой ПС согласно выражения (3.19) близка к величине ½ бита на отсчет контейнера при =.

На рис. 3.8 показана зависимость скрытой ПС в битах на отсчет гауссовского контейнера от величины искажения  при фиксированном искажении кодирования  и дисперсии контейнера = 10. Из графика видно, что с ростом величины искажения значение скрытой ПС экспоненциально быстро уменьшается как для оптимального скрывающего преобразования, так и при выборе при построении стегосистемы случая . При малых величины скрытая ПС незначительно проигрывает оптимальному случаю, но и при = для таких систем скрытно передавать информацию нельзя (обрыв стегоканала). Для большинства применений стегосистем в условиях активного противодействия нарушитель может искажать контейнер на величину сопоставимую с величиной искажения кодирования. Например, такая ситуация характерна для атак на систему ЦВЗ, при условии сохранения требуемого качества контейнера. Или когда нарушитель подавляет заградительной помехой предполагаемый канал передачи скрываемых сообщений. Во втором случае нарушитель не ограничен необходимостью сохранения контейнера и может применить помеху с мощностью численно больше помехи вносимой при кодировании отправителем сообщений. Отметим, что в обоих случаях стегосистема, построенная по принципу , непригодна для практического использования.

Рис 3.8. Зависимость скрытой ПС в битах на отсчет гауссовского контейнера при и ,

оптимальное скрывающее преобразование,

при выборе ,

при выборе .

На рис. 3.8 также показана зависимость скрытой ПС для выбора при встраивании скрываемого сообщения. Видно, что такой принцип построения стегосистемы даже при по сравнению с другими вариантами построения обеспечивает существенно меньшую величину скрытой ПС. Когда величина искажения приближается к величине энергии контейнера, значения скрытой ПС при оптимальном скрывающем преобразовании и при выборе становятся сопоставимыми. Однако столь большие величины искажения не характерны для стегосистем. При использовании в качестве контейнеров звуковые (речевые) сигналы или изображения допустимая степень искажения таких контейнеров практически ограничивается. Например, если заверять речевые или музыкальные файлы водяными знаками, то для сохранения минимально приемлемого их качества требуется обеспечить отношение мощности заверяемого сигнала к мощности помехи не хуже 10–20 дБ. Для заверяемых изображений отношение сигнал/помеха должно быть не хуже 30 дБ. Если к стегосистеме предъявляются требования необнаруживаемости факта существования стегоканала, то требуемое отношение сигнал/помеха должно быть существенно выше. Следовательно, для наиболее употребительных в стеганографии контейнеров требуется обеспечить отношение . Заметим, что аналогичным образом на практике приходится уменьшать и отношение . Таким образом, для стегосистем практически интересен случай, когда величины искажения и существенно меньше энергии контейнера.

Особый интерес вызывает вопрос, как соотносятся между собой величины скрытой ПС стегоканала передачи скрываемых сообщений и обычной пропускной способности открытого канала передачи. Пусть по открытому каналу передается сигнал с нормальным распределением. На передаваемый сигнал воздействует гауссовский шум с мощностью . Из теории связи известно, что максимальная скорость передачи по открытому каналу равна

Пусть в стегосистеме в качестве контейнера используется рассмотренный сигнал с нормальным распределением. В него встраивается скрываемое сообщение, при этом в контейнер вносится искажение кодирования величиной . На стего накладывается такой же шум с мощностью , как и в открытом канале. Таким образом, для стегосистемы рассматривается случай гауссовского скрывающего преобразования и гауссовского атакующего воздействия. Таким образом, стегосистема и система открытой передачи поставлены в одинаковые условия (за исключением искажения кодирования, отсутствующего для системы открытой передачи). Для стегосистемы рассматривается случай гауссовского скрывающего преобразования и гауссовского атакующего воздействия.

На рис. 3.9 показаны зависимости величин ПС открытого канала передачи гауссовского сигнала и скрытой ПС стегоканала при оптимальном скрывающем преобразовании этого же гауссовского контейнера с дисперсией = 10. Пропускная способность выражена в битах на отсчет гауссовского сигнала (контейнера). Для стегосистемы рассмотрен случай фиксированной величины искажении кодирования (сплошная линия) и случай (штрих-пунктирная линия). Из рис. 3.9 видно, что ПС открытого канала передачи существенно превышает скрытую ПС стегоканала, причем при уменьшении искажения кодирования величина скрытой ПС составляет все меньшую часть величины ПС открытого канала. Следовательно, для случая малых искажений и , составляющего наиболее практически важный случай применения стегосистем, за скрытность передачи информации приходится платить уменьшением скорости защищенной передачи по сравнению со скоростью открытой передачи в десятки раз. Можно сделать вывод, что при образовании стегоканала внутри открытого канала передачи основной ресурс этого открытого канала расходуется не на передачу скрываемого сообщения, а на передачу контейнера, выступающего в роли сигнала прикрытия скрываемого сообщения.

Рис. 3.9. Зависимость ПС открытого канала передачи гауссовского сигнала от искажения (пунктирная линия) и скрытой ПС стегоканала с оптимальным скрывающим преобразованием гауссовского контейнера при и (сплошная линия), при и (штрих-пунктирная линия)

Используя среднеквадратическую метрику покажем, что величина скрытой ПС независима от статистики контейнера при асимптотическом уменьшении величин искажений и . Это дополняет полученные в главе 3.6.2 результаты для гауссовского распределения, которые справедливы для всех уровней искажения. Скрытая ПС существенно зависит от геометрии областей малых искажений, увеличиваясь при таких малых областях, в которых распределение равномерно.

Теорема 3.8: Пусть в стегосистеме с непрерывным алфавитом используется среднеквадратическая мера искажений вида . В стегосистеме распределение контейнеров имеет нулевое среднее значение и дисперсию , оно ограничено и непрерывно. Тогда при величина стремится к значению скрытой ПС при гауссовском контейнере, равной . Построение стегосистемы, при котором асимптотически достигается максимальное значение скрытой ПС, совпадает с гауссовским случаем: , , где , последовательность имеет нулевое математическое ожидание, дисперсию и является независимой от контейнера, а распределение описывает гауссовское атакующее воздействие вида (4.3) при .

Рассматриваемые результаты имеют очень важное практическое значение. Они определяют, что при использовании таких контейнеров как видео или речевые, характеристики которых не распределены по нормальному закону, при малых величинах и величина скрытой ПС практически не уменьшается по сравнению со случаем гауссовских контейнеров. Для этого встраиваемая информация должна внедряться в такие малые участки контейнера, для которых распределение приближается к равномерному.

3.9. Атакующее воздействие со знанием сообщения

В рассмотренных ранее стегосистемах предполагалось, что нарушитель не знает правила преобразования скрываемого сообщения M в последовательность которая встраивается в контейнер. Следовательно, даже если нарушитель знает вероятностные характеристики множества скрываемых сообщений, то ему неизвестны характеристики множества . Теперь рассмотрим случай, когда нарушитель знает распределение последовательностей и пытается использовать это знание для разрушения сообщения M. Назовем такие действия нарушителя атакующим воздействием со знанием преобразованного в последовательность скрываемого сообщения. Как это ни удивительно, обладание этой информацией автоматически не означает, что нарушитель всегда способен удалить скрываемое сообщение из стего X.

Ясно, что в такой стегосистеме скрытая ПС ограничена сверху значением скрытой пропускной способности, вычисленной согласно теоремы 3.3, так как атакующий использует больше информации, чем оговорено в этой теореме. Но может ли скрытая ПС при данной атаке нарушителя быть строго больше нуля? Рассмотрим подробнее эту задачу. Опишем атакующее воздействие условной функцией распределения и пусть есть множество таких воздействий, удовлетворяющих неравенству

. (3.25)

Приведем теорему, похожую на теорему 3.3, но отличающуюся тем, что нарушитель дополнительно знает использованные скрывающим информацию кодовые слова , а также тем, что рассматриваемое в ней множество больше.

Теорема 3.9: Пусть атакующий знает описание стегосистемы и распределение используемых кодовых слов а декодер знает описание атакующего воздействия. Для любой атаки, приводящей к искажению , скорость достижима, если и только если , где

. (3.26)

Доказательство этой теоремы аналогично доказательству теоремы 3.3.

Следствие 3.10: Если в качестве секретного ключа стегосистемы использовать контейнер то при выборе величина скрытой ПС в выражении (3.26) одинакова с величиной скрытой ПС в выражении (3.9).

Схема доказательства этого следствия состоит из следующих шагов. Если декодер знает , то из следствия 3.4 выбор является оптимальным построением для скрывающего преобразования. С другой стороны, если , то величина дополнительной информации для атакующего равна нулю.

Для данной теоремы и следствия из него просматриваются некоторые аналогии из области криптографии. Если нарушитель знает шифруемое сообщение, но не знает секретного ключа, то при использовании стойкой криптосистемы он все равно не в состоянии определить, какая шифрограмма будет сформирована. Соответственно, для стегосистемы, если нарушитель знает внедряемое в контейнер сообщение, но не знает секретного ключа, то для него знание скрываемой информации не должно увеличивать его возможности по разрушению этого сообщения.

Очевидно, что условие накладывает определенные ограничения на стегосистему. Ключ стегосистемы должен выбираться из множества естественных контейнеров с вероятностными распределениями, весьма отличающимися от привычных для криптографии распределений ключевой информации. Этот ключ, элементы которого в общем случае принадлежат непрерывному множеству, должен быть точно известен отправителю и получателю скрываемых сообщений. Для таких стегосистем возникает проблема рассылки ключа очень большого объема. И, очевидно, такой ключ стегосистемы может быть использован только один раз.

3.10. Скрывающие преобразования и атакующие воздействия с памятью

Расширим основные результаты пункта 3.3 на простой класс атакующих воздействий и скрывающих преобразований с памятью. Реальные скрывающие преобразования во многом определяются корреляционными зависимостями между элементами используемых контейнеров. Практически используемые методы скрытия в контейнерах, представляющие собой изображения и речевые сигналы, во многом базируются на хорошо разработанных методах блочного преобразования, таких как дискретное косинусное преобразование, вейвлет-преобразование, векторное квантование и других, в которых на длине блока преобразования имеется существенная зависимость от других элементов блока. И так как скрывающее преобразование синтезируется с учетом той памяти, то нарушитель также использует атакующее воздействие с соответствующей памятью. Например, при скрытии информации в изображении с использованием алгоритма сжатия JPEG целесообразно строить атакующее воздействие, искажающее соответствующим образом весь блок пикселов (обычно матрицу 8 8 пикселов). Например, такие атакующие воздействия с памятью на блок реализованы в программе тестирования практических систем водяного знака Stirmark [22]. В этой программе комплексно используется ряд атакующих воздействий, таких как сжатие изображений по алгоритму JPEG, модификация и фильтрация значений яркости блоков пикселов, удаление и перестановка в изображении строк и столбцов пикселов, сдвиг и обрезание краев изображения и т. д.

Дадим формальное описание скрывающего преобразования атакующего воздействия с памятью. Пусть скрывающее преобразование и атакующее воздействие учитывают зависимости между элементами контейнера, отстоящими друг от друга не более чем на L позиций. Назовем L глубиной памяти скрывающего преобразования и атакующего воздействия. Из последовательности контейнера , в которой N > L, скрывающий информацию и атакующий формирует блоки с памятью вида и , соответственно. Пусть есть условная функция распределения из множества во множество , для которой выполняется ограничение вида (3.2). Рассмотрим блочное атакующее воздействие без памяти, описываемое расширением :

где есть i-ый блок вида и . Заметим, что длина блока N стегосистемы выбрана кратной глубине памяти L.

Функцию совместного распределения контейнера и ключа аналогичным образом представим в виде

Коль в стегосистемах используются зависимости между ключами и контейнерами, то из наличия памяти в контейнере должно следовать наличие аналогичной памяти в ключе стегосистемы. И если между элементами контейнера наблюдаются существенные корреляционные зависимости, что справедливо для большинства реальных контейнеров практически используемых стегосистем, то между элементами ключа стегосистемы также должны быть существенные корреляционные зависимости. Такие свойства ключа стегосистем существенно отличают их от криптосистем. В криптосистемах наличие каких-либо зависимостей между элементами ключа является признаком низкой криптографической стойкости.

Определение 3.10: Блочное скрывающее преобразование без памяти, приводящее к искажению не более , описывается произведением условных функций распределения вида

из множества во множество таких, что

. (3.27)

Определение 3.11: Обобщенное блочное скрывающее преобразование без памяти, приводящих к искажению не более , описывается множеством всех блочных скрывающих преобразований без памяти, удовлетворяющих условию (3.27).

Структурная схема стегосистемы при скрывающих преобразованиях и атакующих воздействиях с памятью показана на рис. 3.10.

Рис. 3.10. Структурная схема стегосистемы при скрывающих преобразованиях и атакующих воздействиях с памятью

Рассмотрим следующий результат, который является следствием теоремы 3.3 при использовании алфавитов и вместо алфавитов и . Алфавит может быть представлен в форме произведения без потери общности.

Теорема 3.11: Пусть атакующему известно описание скрывающего преобразования, а декодер знает описание и скрывающего преобразования и атакующего воздействия с глубиной памяти не более L. При любой атаке, приводящей к искажению не более, скорость R достижима, если и только если , где

(3.28)

,

и цепочка переходов есть марковская цепь.

Таким образом, если скрывающее преобразование имеет память ограниченной длины, то используя стандартный в теории связи прием укрупнения алфавитов, можно привести его к преобразованию без памяти. Такой же подход годится для атакующего воздействия с памятью, и в целом потенциальные возможности по достоверной передаче скрываемой информации и возможности по ее подавлению помехой не изменяются. Однако здесь надо учитывать, что для построения оптимальной стегосистемы и для оптимального ее подавления необходимо существенно увеличить размерность решаемых вычислительных задач, а сложность их решения, как правило, экспоненциально зависит от их размерности.

3.11. Стегосистемы идентификационных номеров

С позиций теории информации рассмотрим особенности построения и обеспечения устойчивости к атакам нарушителя одного практически очень важного класса информационно-скрывающих систем, называемых стегосистемами идентификационных номеров (ИН). В стегосистемах ИН, как описано в главе 1, в каждый экземпляр контейнера , предоставляемый определенному пользователю, встраивается ее индивидуальный номер. Таким образом, в качестве скрываемого сообщения передается уникальный номер, который может быть использован для отслеживания любого неавторизованного использования данного контейнера конкретным пользователем. Актуальным практическим примером рассматриваемой задачи информационного скрытия является защита авторских и имущественных прав при выпуске и продаже CD-дисков (DVD-дисков, видео или аудиокассет) с уникальными номерами, наличие которых позволяет отследить, с какого экземпляра были сделаны нелегальные («пиратские») копии. Стегосистемы ИН также востребованы в области служебного делопроизводства различных организаций, в которых разграничивается доступ к информационным ресурсам разных пользователей и требуется контролировать копирование электронных документов. В таких стегосистемах законный пользователь электронного документа или лицензионного информационного товара, или не имеющий законных прав доступа злоумышленник, не должны иметь возможности удалить из заверенного контейнера идентификационный номер или подменить его на другой номер таким образом, чтобы нельзя было бы обнаружить факт этих противоправных действий. При этом при встраивании идентификационной информации искажение кодирования должно быть достаточно малым, чтобы не ухудшить потребительские и иные качества заверяемого контейнера [29].

Известно, что трудно построить стегосистемы идентификационных номеров, устойчивые к атакующему воздействию на них. Дополнительно к атакам на обычные системы ЦВЗ для них существует очень опасная атака сговора между многими пользователями [28,30].

Опишем атаку сговора против стегосистемы идентификационных номеров. Пусть отправителем формируется L* разных экземпляров заверенного контейнера и из них некоторое число L L* экземпляров попало в руки злоумышленных пользователей. Сформируем модель нарушителя, который представляет собой коалицию из L злоумышленных пользователей, каждый из которых получил свой экземпляр одного и того же контейнера, заверенного уникальным идентификационным номером. Согласованно действуя, коалиция злоумышленников пытается построить достаточно близкую к оригиналу оценку контейнера, из которой удалена идентификационная информация. Под достаточно близкой оценкой контейнера неформально будем понимать представление контейнера с такой погрешностью, при которой практически не снижаются его потребительские и иные качества как записи изобразительного, музыкального или иного произведения либо служебного электронного документа.

Покажем, что совместные действия позволяют злоумышленникам вычислить достаточно близкую к оригиналу оценку контейнера, что позволяет удалить индивидуальные отпечатки из защищаемых контейнеров и тем самым исключить возможность отслеживания неавторизованных действий пользователей. На рис. 3.11 представлена структурная схема стегосистемы идентификационных номеров при сговоре L пользователей. Рассмотрим следующую формулировку данной задачи информационного противоборства. Для каждого пользователя из контейнера индивидуально формируется стего где есть идентификационный номер для пользователя l и отображение описывает скрывающее преобразование в стегокодере. Таким образом, один и тот же контейнер и один и тот же ключ используется для встраивания всех L скрываемых сообщений. Будем полагать, что эти сообщения независимо и равновероятно распределены на множестве . Идентификационные номера декодируется по правилу , где есть функция декодирования стегосистемы. В декодере для всех экземпляров стего его идентификационный номер вычисляется по одной и той же функции с использованием неизменного ключа .

Рис. 3.11. Структурная схема стегосистемы идентификационных номеров при сговоре L пользователей

Пусть есть i-ый элемент стего, , предоставленный l-ому пользователю, . Согласованно действующие мошенники из всех i-ых элементов стего формируют последовательности вида и из каждой такой последовательности вычисляют оценку соответствующего элемента контейнера. Если злоумышленники сумели последовательно сформировать достаточно близкие оценки контейнера для всех , то они удалили из стего (или исказили) информацию идентификации. Атакующее воздействие опишем условной функцией распределения из множества во множество . Скрывающие преобразования и атакующие воздействия обозначим и , соответственно. Определим среднюю вероятность ошибочного декодирования идентификационного номера в виде

.

Если в результате действий нарушителя в произвольном экземпляре стего за номером l, где , детектор обнаруживает идентификационный номер, не принадлежащий множеству , то это значит, что нарушитель способен переложить ответственность за несанкционированное копирование на невиновного пользователя. Нарушитель также добился успеха, если детектор не обнаруживает никакого идентификационного номера. Любой из этих фактов классифицируется как взлом стегосистемы идентификационных номеров. Назовем совершенной стегосистемой идентификационных номеров систему, обеспечивающую нулевую вероятность ошибочного декодирования при ограничении искажений контейнера, вносимых атакующим, величиной при условии, что число доступных атакующему экземпляров бесконечно велико.

Также введем определение стойкой стегосистемы идентификационных номеров, для которой неравенство , где есть допустимое ненулевое значение, выполняется при ограничении искажений, вносимых атакующим, величиной при условии, что атакующему доступно конечное число L заверенных экземпляров. Определим такую стегосистему идентификационных номеров стойкой. Например, для практически востребованных стегосистем вероятность ошибочного декодирования идентификационных номеров, то есть вероятность успеха нарушителя, может быть задана величиной порядка , для заверяемых изображений допустимая величина искажения может быть получена из величины отношения средней мощности сигнала контейнера к величине не хуже 40–45 дБ, а число доступных злоумышленникам экземпляров L не более десятков-сотен. Предположим, что этот пример описывает задачу защиты имущественных прав фирмы-производителя, продающей лицензионные записи видеофильма на DVD-дисках. Величина L в этом случае ограничивается бюджетом коалиции злоумышленников, пытающихся стереть аутентифицирующую информацию с видеозаписи и тиражировать для продажи «пиратские» копии. Им невыгодно покупать слишком много экземпляров, так как доходы от нелегального бизнеса могут не покрыть расходы на приобретение дорогостоящих DVD-дисков. Злоумышленники вынуждены сами ограничивать величину искажений , так как иначе низкокачественные контрафактные видеозаписи никто не купит. И если вероятность успеха злоумышленников не превышает значения порядка , то этот вид преступного бизнеса оказывается бессмысленным.

Скорость передачи R идентификационных номеров и скрытая ПС стегоканала передачи идентификационных номеров определяется так же, как и для ранее описанных систем ЦВЗ.

Рассмотрим известные результаты для систем идентификационных номеров.

Теорема 3.12: При любой атаке нарушителя, приводящей к искажению, скорость передачи R идентификационных номеров достижима, если и только если , где величина скрытой ПС стегоканала передачи идентификационных номеров определяется в соответствии с выражением (3.28). Пусть используется симметричная функция искажений , величина искажения превышает величину искажения кодирования , для некоторого значения , где есть расстояние Чернова между распределениями и . Тогда скрытая ПС экспоненциально быстро стремится к нулю со скоростью, ограниченной снизу величиной при .

В работе [2] указывается, что оптимальное атакующее воздействие не имеет памяти, и что экспоненциальное уменьшение скрытой ПС с ростом L справедливо для любого распределения контейнеров . Быстрое уменьшение величины скрытой ПС при увеличении числа доступных нарушителю экземпляров свидетельствует о том, что трудности построения стойких систем идентификационных номеров существенно превышают трудности построения стойких систем ЦВЗ. Можно сказать, что для обычной системы ЦВЗ значение равно единице. В работах [28,30] приводятся примеры реальных систем идентификационных номеров, оказавшихся слабыми против сговора большого числа пользователей. В соответствии с теоремой 3.12, эти результаты справедливы для большого класса алгоритмов идентификационных номеров.

В атаке сговора злоумышленник для каждого элемента контейнера вычисляет его оценку по правилу максимальной апостериорной вероятности вида . Заметим, что атака на основе максимальной апостериорной вероятности, неэффективная для восстановления хорошей оценки контейнера с гауссовским распределением в обычной системе ЦВЗ (см. пункт 3.4.2), оказалась так эффективна против систем с ИН. Очевидно, это объясняется тем, что атака на систему ИН построена как детерминированная, используя множество заверенных контейнеров для получения одного решения.

В атаке сговора средняя вероятность ошибочного декодирования идентификационного номера уменьшается при увеличении размерности алфавита |X|. Это означает, что шансы сохранить неразрушенным идентификационный номер контейнера существенно возрастают при увеличении размерности алфавита символов контейнера. Этот результат интуитивно понятен, так как чем больше экземпляры стего отличаются друг от друга, тем сложнее нарушителю точно восстановить пустой контейнер. А при малой размерности алфавита |X| больших отличий разных экземпляров стего физически нельзя обеспечить.

Существуют также стегосистемы, в которых одновременно встраивается общая для всех экземпляров аутентифицирующая информация и идентификационный номер экземпляра. В таких системах внедряемое в контейнер сообщение содержит две части: сообщение , общее для всех пользователей (например, водяной знак для защиты авторских прав) и зависимые от номера конкретного пользователя сообщения (ИН). Тогда метод кодирования должен состоять из двух этапов: на первом этапе общее для всех сообщение внедряется в контейнер для формирования L* одинаковых экземпляров промежуточных стегограмм, и затем в каждый экземпляр встраивается свой идентификационный номер , формируя L* уникальных экземпляров стего. Очевидно, что этапов декодирования таких стего также будет два. В рассматриваемых стегосистемах задача защиты может ставиться в следующем виде: даже если и не удастся определить конкретный канал утечки защищаемой информации (нарушитель сумел стереть идентификационный номер), должны быть защищены авторские и имущественные права на заверенный контейнер.

В целом, несмотря на теоретическую невозможность построения стойкой стегосистемы ИН при в рамках условий теоремы 3.12, задача защиты реально используемых контейнеров (видео и музыкальных записей) от нелегального копирования не является безнадежной. Во-первых, теоретическая возможность построения оптимальной атаки на систему защиты информации, как известно из истории развития различных направлений информационной безопасности, отнюдь не означает возможность практической реализации такой сильной атаки. Во-вторых, если в рассматриваемой теореме для встраивания ИН использовать индивидуальные независимые друг от друга секретные ключи, то сговор произвольного числа злоумышленных пользователей может оказаться бесполезным. При этом, пользуясь похожими постановками в задачах защиты подлинности сообщений криптографическими методами, можно построить детектор с одним ключом для обнаружения множества идентификационных номеров. Например, в ряде известных систем цифровой подписи сообщений используется один и тот же ключ для проверки авторства отправителей сообщений, когда каждый отправитель имеет свой уникальный ключ [31]. И, в-третьих, рассматриваемую атаку сговора можно расстроить индивидуальной модификацией каждого экземпляра контейнера до встраивания ИН (видео и аудиофайлы это вполне допускают).

Авторы книги выражают уверенность в том, что в ближайшем будущем появятся практические стойкие стегосистемы идентификационных номеров, рационально учитывающие особенности построения для них скрывающих преобразований и атакующих воздействий и условия их функционирования.

3.12. Скрытая пропускная способность стегоканала при пассивном нарушителе

В ранее рассмотренном подходе к определению скрытой ПС не рассматривается зависимость между ее величиной и характеристиками скрытности вложенных в контейнер сообщений. Это, в частности, объясняется тем, что в ряде стегосистем, таких как системы ЦВЗ или системы с идентификационными номерами, факт наличия аутентифицирующей информации в контейнере может и не скрываться от нарушителя. Соответственно, необнаруживаемость водяного знака нужна только с целью минимизации искажений контейнера с целью сохранения высокого качества заверяемых музыкальных, изобразительных или иных контейнеров, а также с целью затруднения оценки нарушителем эффективности действий по удалению (разрушению) водяного знака. Иная ситуация в стегосистемах, в которых способность нарушителя выявлять факт передачи скрываемых сообщений классифицируется как взлом системы.

Исследуем величину скрытой ПС стегоканалов, предназначенных для скрытой передачи информации. Противоборствующая сторона представлена пассивным нарушителем, пытающимся установить факт применения стегосистемы. В этой задаче информационного скрытия нарушитель не оказывает на стего мешающего воздействия, следовательно, к рассматриваемой стегосистеме не предъявляются требования по обеспечению устойчивости к преднамеренному разрушению скрываемых сообщений. Также будем считать, что в процессе передачи стего на него не воздействуют непреднамеренные помехи, следовательно, .

Под скрытой ПС в рассматриваемых стегосистемах понимается максимальное количество информации, которое необнаруживаемым для нарушителя способом потенциально можно встроить в один элемент контейнера и затем извлечь без ошибок. В качестве элементов контейнера могут рассматриваться отсчеты звукового или речевого сигнала, дискретизированные в соответствии с теоремой Котельникова, или пикселы подвижного или неподвижного изображения.

Очевидно, что требования по повышению скрытой ПС, необнаруживаемости и устойчивости к удалению и разрушению являются взаимно противоречивыми, улучшить одну характеристику можно только за счет ухудшения других. Поэтому для систем ЦВЗ максимизируется устойчивость к удалению и разрушению водяного знака (максимизируется допустимое искажение D2) при обеспечении сравнительно небольшой пропускной способности и достаточной незаметности, характеризуемой максимально допустимой величиной искажения кодирования D1. В рассматриваемом классе информационно-скрывающих систем максимизируется скрытая пропускная способность при обеспечении требуемой необнаруживаемости стегоканала, а к помехоустойчивости предъявляются минимальные требования. Под необнаруживаемостью понимается способность стегосистемы скрывать факт передачи защищаемой информации от нарушителя.

В ряде работ [3, 4] величина скрытой ПС стегоканала определяется двумя факторами. Во-первых, аналогично тому, как в теории связи рассматривается передача сигналов по каналу связи, скрытая связь рассматривается как передача скрываемых сообщений по каналу с помехами. В качестве помехи рассматривается контейнерный сигнал. Это позволяет свести задачу передачи скрываемых сообщений к хорошо исследованной задаче передачи открытых сообщений по обычному каналу с помехами. В этой задаче отношение мощности скрываемого сигнала к мощности шума характеризует максимально достижимую скорость передачи скрываемой информации. В теории открытой связи целесообразно неограниченно увеличивать отношение сигнал/шум, чтобы максимизировать величину пропускной способности канала. В стеганографии, напротив, это отношение необходимо существенно ограничивать из-за действия второго фактора, заключающегося в необходимости обеспечения необнаруживаемости факта скрытой связи. При сопоставимых мощностях скрываемого сигнала и шума квалифицированным нарушителем легко выявляется факт наличия стегоканала. Следовательно, в стегосистемах приходится прятать скрываемый сигнал под значительно большим по величине шумом прикрытия. Поэтому, с одной стороны, для повышения скрытой ПС стегоканала необходимо увеличивать отношение сигнал/шум, а с другой стороны, для повышения защищенности стегоканала от его обнаружения необходимо это отношение существенно уменьшать. Следовательно, требуемый баланс может быть достигнут, если скрываемые сообщения безошибочно декодируются их законным получателем, но остаются необнаруживаемыми для нарушителя.

Заметим, что в соответствии с теорией оптимального приема если нарушитель и законный получатель скрываемых сигналов обладают одинаковой способностью по их обнаружению на фоне шумов контейнера, то величина скрытой ПС стегоканала равна нулю. Следовательно, для существования необнаруживаемого стегоканала нарушитель и получатель скрываемых сигналов должны находиться в неравных условиях. Канал передачи стегограмм для них равнодоступен, следовательно, получатель должен иметь преимущество в знании секретной информации, позволяющей ему выделить из смеси скрываемый сигнал+контейнер предназначенное для него сообщение, а нарушитель без знания этой информацию не должен быть способен отличить стего от пустого контейнера. Более подробно защищенность стегоканала от его обнаружения будет исследована в следующей главе.

В работе [4] для оценки скрытой пропускной способности аддитивного стегоканала используются оценки пропускной способности канала с аддитивным гауссовским шумом, описанным К. Шенноном в классической работе [1].

Пусть по каналу передается полезный сигнал с мощностью S, а в канале на него воздействует гауссовский шум Z с мощностью N. Выход аддитивного канала можно представить как . Упрощенная схема такой системы передачи представлена на рис. 3.12.

Рис. 3.12. Упрощенная схема стегоканала

Для оценки величины скрытой пропускной способности аддитивного стеганографического канала сопоставим ее с величиной пропускной способности канала с аддитивным белым гауссовским шумом. Если входной сигнал М и шум Z независимы, то условная энтропия выходного сигнала Х при заданном М равна энтропии шумового сигнала. Используем этот результат для определения пропускной способности аддитивного канала с шумом

.

Пусть шум Z имеет нормальное распределение со средним значением 0 и дисперсией N. Тогда энтропия Z равна

.

Чтобы достичь максимума величины ПС по всем возможным распределениям входа, будем считать, что входной сигнал M имеет также нормальное распределение с дисперсией S. Следовательно, X есть сумма двух гауссовских сигналов и имеет дисперсию S + N. Тогда пропускная способность Сg гауссовского канала выражается, как

. (3.29)

Из теории связи известно [25], что величина ПС канала минимальна, когда шум в канале гауссовский со средним значением 0. Следовательно, пропускная способность других аддитивных негауссовских каналов ограничивается снизу величиной Сg (3.29). Уравнения (3.30) — (3.32) определяют пропускные способности трех таких каналов с различными распределениями шума.

, (3.30)

, (3.31)

. (3.32)

Рассмотрим стеганографическую систему, в которой скрываемая информация добавлена некоторым образом к контейнерным данным. Например, скрываемое сообщение записывается на место наименее значащих бит (НЗБ) яркости пикселов контейнерного изображения. Во многих практических стегосистемах скрываемое сообщение до встраивания шифруется или сжимается каким-либо архиватором данных. Это повышает скрытность связи и позволяет описать зашифрованное (сжатое) сообщение в виде последовательности с независимо и равновероятно распределенными битами.

Величину скрытой пропускной способности стегоканала оценим путем сравнения с пропускной способностью канала с белым гауссовским шумом. Однако в действительности сигналы реальных источников информации, таких как речь и видео, нельзя описать гауссовскими сигналами, потому что в их структуре высока зависимость между соседними отсчетами. Как и в других случаях негауссовских каналов, скрытая пропускная способность стегоканала, в котором скрываемые сообщения внедряются в негауссовские сигналы, ограничена снизу пропускной способностью канала с белым гауссовским шумом.

Неопределенность шума с произвольным распределением может быть сравнена с белым гауссовским шумом, используя измерение энтропийной мощности Ne. Если произвольный шум Z имеет энтропию Н(Z), то его средняя шумовая мощность равна мощности гауссовского шума, имеющего такую же энтропию и определяется как

. (3.33)

Объединяя (3.33) с оценкой пропускной способности канала с аддитивным шумом получим, что скрытая пропускная способность С стегоканала ограничена

.

где Ne — энтропийная мощность контейнера. Так как величина Ne строго меньше, чем N для всех негауссовских сигналов, то величина Сg является нижней границей для скрытой ПС стегоканалов, использующих произвольные контейнеры.

Верхняя граница скрытой ПС определяется максимумом взаимной информацией между скрываемым сообщением и стего, полагая, что стего имеет нормальное распределение с дисперсией S + N и шум в канале является гауссовским с мощностью Ne. Следовательно

. (3.34)

Очевидно, что если контейнер можно представить в виде белого гауссовского шума, то его энтропийная мощность уменьшается до величины N и скрытая ПС принимает минимальное значение, равное Сg.

Для аналитической оценки количества скрываемой информации в избыточных контейнерах, таких как изображения или речевые сигналы, необходимо знать их распределения вероятностей. Однако точные вероятностные характеристики таких контейнеров неизвестны и вряд ли когда-либо станут известными в силу нестационарности естественных источников контейнеров. Несмотря на это, можно воспользоваться известными результатами сжатия избыточных сигналов, чтобы оценить верхнюю границу энтропии источника сигналов. В ряде работ разрабатывались достаточно сложные алгоритмы сжатия, предназначенные для максимального удаления избыточности из сжимаемых сигналов [4,32]. Достигнутое в ходе работы таких алгоритмов среднее число бит на один символ сжимаемых сигналов может быть использовано как практическая верхняя граница энтропии исследуемого источника. Например, для изображений лучшим на сегодня алгоритмом сжатия без потерь CALIC [4] достигнута скорость 2,99 бит на пиксел. Эта оценка получена на 18 полутоновых тестовых изображениях, выбранных ISO (Международной организацией по стандартизации), яркость пикселов которых представлена 8 битами. Используя величину достигнутой алгоритмом CALIC скорости как оценку энтропии изображений, мы можем вычислить как верхнюю, так и нижнюю границы скрытой пропускной способности стегоканала, в котором скрываемая информация встраивается в изображение-контейнер. Из полученной оценки энтропии изображений по формуле (3.33) легко определить величину энтропийной мощности контейнеров.

В итоге средняя мощность среди тестовых изображений ISO и средняя скорость алгоритма CALIC были использованы для вычисления границ скрытой пропускной способности для широкого диапазона значений отношения мощности скрываемого сигнала к мощности контейнерного шумового сигнала. На рис. 3.13 пунктирной линией показана величина пропускной способности Сg канала с белым гауссовским шумом. Средняя скорость CALIC по всем изображениям равна 4,9588 бит на пиксел, а средняя мощность сигналов изображения — 2284,7. Сплошная линия на рисунке показывает верхнюю границу скрытой пропускной способности, прерывистая — нижнюю. При уменьшении отношения мощности скрываемого сигнала к мощности контейнерного шумового сигнала нижняя граница скрытой пропускной способности снижается до 0. Реальное значение скрытой пропускной способности стегоканала находится между верхней и нижней границами и отражает то количество скрываемой информации, которое можно внедрить в один пиксел усредненного контейнерного изображения.

Рис. 3.13. Оценки скорости передачи скрываемых сообщений в зависимости от отношения сигнал/шум

Рис. 3.14. Оценки скорости передачи скрываемых сообщений в зависимости от отношения сигнал/шум для низкочастотного изображения «Lena» и высокочастотного изображения «Eiger»

Верхние и нижние границы скрытой ПС в работе [4] были вычислены для двух типовых полутоновых изображений. На левом графике рис. 3.14 показаны верхняя и нижняя границы величины скрытой пропускной способности стеганографического канала для тестового портретного изображения «Lena». В качестве оценки энтропии этого изображения была использована достигнутая алгоритмом CALIC скорость 4,6321 бит на пиксел. Правый график показывает верхнюю и нижнюю границы величины скрытой ПС для тестового пейзажного изображения «Eiger» (скорость CALIC 5,2366 бит на пиксел). На этих же графиках точками указаны достигнутые скорости передачи скрываемого сообщения в предложенной в работе [4] системе скрытия данных в изображении с расширением спектра (SSIS). Отметим, что достигнутые в стегосистеме SSIS скорости передачи скрываемых сообщений лежат между верхней и нижней границами скрытой пропускной способности, вычисленных для использованных контейнерных изображений.

Из рис. 3.13 и рис. 3.14 видно, что величина скрытой ПС приблизительно линейно зависит от отношения сигнал/шум при малых величинах ОСШ. Отношение сигнал/шум может быть использовано в качестве объективной оценки степени необнаруживаемости скрываемого сообщения. Для различных видов скрываемых сообщений допустимая величина ОСШ разная. Пусть в аддитивной стегосистеме речевое сообщение скрытно передается в составе контейнера с гауссовским распределением. Признаки наличия речи не выявляются на слух и с использование инструментальных методов при ОСШ не превышающем -16…-20 дБ [33]. Если прятать речь в изображении, характеристики которого существенно отличаются от статистики гауссовского сигнала, то можно надеяться, что допустимая с точки зрения необнаруживаемости величина ОСШ может быть уменьшена. Это важно с точки зрения увеличения скрытой ПС. Например, при ОСШ равном -18 дБ, согласно описанным границам в низкочастотном изображении «Lena» можно скрыть не менее 0,05…0,95 бит речевой информации на пиксел изображения.

Пусть в аддитивной стегосистеме в изображение-контейнер внедряется скрываемое изображение. Различные изображения характеризуются большим разбросом корреляционных зависимостей между пикселами. Для скрытой передачи низкочастотных изображений, у которых корреляционные зависимости являются значительными (например, к этому классу относится портретное изображение «Lena»), требуемое отношение мощности скрываемого изображения к мощности гауссовского контейнера должно быть не более -20…-25 дБ. Для высокочастотных изображений типа пейзаж, надежное скрытие может быть обеспечено при большем значении ОСШ, порядка -10…-15 дБ. Таким образом, проще прятать изображения с большим количеством мелких деталей в гауссовском контейнере. Заметим, что эти цифры являются ориентировочными и справедливы для контейнеров с нормальным распределением. При скрытии изображения в изображении, допустимая величина ОСШ может быть уменьшена. Таким образом, в зависимости от характера скрываемого и контейнерного изображения в каждом пикселе контейнерного изображения потенциально можно надежно прятать от 0,01 до 1 бита графической информации.

Однако следует учитывать, что приведенные оценки скрытой ПС указывают на потенциальную возможность скрытия такого количества информации в усредненном элементе контейнера, но не гарантируют, что в реальных стегосистемах скорости передачи скрываемой информации будут близки к этим теоретическим оценкам и при этом будет обеспечиваться стойкость к произвольным методам стегоанализа. От излишнего оптимизма предостерегает крах многих предложенных к настоящему времени стегосистем, для которых очень быстро были разработаны эффективные методы стегоанализа. В частности, в следующей главе будет показано, как на основе визуальной и статистических атак уверенно обнаруживаются следы скрываемой информации при ее встраивании в наименее значащие биты элементов изображений и аудиосигналов. Необходимо отметить, что отношение сигнал-шум является характеристикой скрытия не более чем первого порядка при использовании методов стегоанализа, и потому для уверенности в надежном скрытии информации требуется использовать и другие оценки необнаруживаемости.

В работе [5] с позиций теории информации исследована скрытая пропускная способность стегоканала при следующей постановке. При передаче изображений широко используются алгоритмы сжатия типа JPEG, JPEG2000, MPEG, вносящие в изображение некоторую допустимую для получателя погрешность. Пусть есть контейнерное изображение, М — встраиваемое сообщение. После вложения сообщение М в контейнер сформированное стего подвергается сжатию с погрешностью. Будем полагать, что встраивание сообщения в контейнер, а также сжатие стего описываются отображениями при которых на скрываемое сообщение аддитивно воздействуют шум встраивания и, соответственно, шум сжатия. Это позволяет представить анализируемую стегосистему в виде, показанном на рис. 3.15.

Рис. 3.15. Упрощенная схема аддитивной стегосистемы со сжатием стего

Обозначим мощность встраиваемого сигнала в виде , мощность контейнера — , а мощность шума, добавляемого при сжатии через . Предположим, что контейнер и шум сжатия имеют нормальное распределение. Тогда оба источника шума можно объединить в один источник Z с дисперсией =+. В соответствии с теорией связи, пропускная способность канала передачи сообщения М при воздействии независимого от него шума Z равна . При фиксированных вероятностных характеристиках шума пропускная способность увеличивается максимизацией значения энтропии выбором соответствующего распределения скрываемого сообщения. Известно [25], что величина максимальна при нормальном распределении:

, где есть дисперсия стего.

Соответственно, энтропия источника Z равна

.

Тогда скрытая пропускной способность рассматриваемого стегоканала равна

. (3.35)

Отметим, что данная оценка величины скрытой ПС справедлива при условии, что распределения скрываемых сообщений, контейнера и шума сжатия описываются нормальным законом. Это условие не выполняется строго для реальных изображений и реальных алгоритмов их сжатия. Поэтому в работе [5] для вычисления величины скрытой ПС мощность изображений приводится к энтропийной мощности гауссовского сигнала, оказывающего на скрываемое сообщение такое же мешающее воздействие, что и реальное изображение.

Рассмотрим гауссовский контейнер, амплитуды отсчетов которого равномерно распределены в диапазоне значений от 0 до 255 с дисперсией . Энтропия равномерно распределенной величины определяется выражением бит. Отсюда . Однако, как исследовано в работе [5], для реальных изображений , так как они обладают некоторой избыточностью.

Так как распределение шума сжатия в практически используемых алгоритмах обработки точно неизвестно, то на наихудший случай предположим, что шум сжатия гауссовский. Пусть при осуществлении вложения скрываемой информации в контейнер допускается искажение исходного изображения до величины пикового отношения сигнал/шум (ПОСШ) порядка 40 дБ. Такое искажение практически незаметно на глаз. Тогда допустимая мощность скрытого сообщения равна . В работе [5] производилась оценка шума, возникающего при сжатии изображений алгоритмом JPEG с показателем качества 50 %. Из результатов экспериментов следует, что . Тогда легко подсчитать, что величина скрытой пропускной способности составляет C = 0,0022 бит/пиксел, или 140 бит для изображения размером 256 × 256 пикселов. Пиковое отношение сигнал/шум изображения при этом обеспечивается не менее 37 дБ. При сжатии изображений с более высоким коэффициентом сжатия мощность шума сжатия существенно возрастает. При величина C уменьшается до 0,0019 бит/пиксел, или 124 бита для того же изображения. При этом ПОСШ снижается и составляет не менее 34 дБ, что еще допустимо для большинства изображений. Заметим, что при увеличении шума сжатия задача нарушителя по обнаружению стегоканала существенно усложняется, так как задачу обнаружения скрываемых сообщений приходится решать при большем уровне маскирующего шума. Таким образом, при увеличении шума обработки при сжатии изображений величина скрытой пропускной способности уменьшается достаточно плавно, а защищенность, напротив, существенно повышается. Следовательно, вполне может быть использована обработка изображений по алгоритму JPEG с умеренным коэффициентом сжатия после встраивания в них скрываемых сообщений.

4. ОЦЕНКИ СТОЙКОСТИ СТЕГАНОГРАФИЧЕСКИХ СИСТЕМ И УСЛОВИЯ ИХ ДОСТИЖЕНИЯ

4.1. Понятие стеганографической стойкости

По сравнению с достаточно хорошо исследованными криптографическими системами понятия и оценки безопасности стеганографических систем более сложны и допускают большее число их толкований [1–3]. В частности, это объясняется как недостаточной теоретической и практической проработкой вопросов безопасности стегосистем, так и большим разнообразием задач стеганографической защиты информации. Стегосистемы водяных знаков, в частности, должны выполнять задачу защиты авторских и имущественных прав на электронные сообщения при различных попытках активного нарушителя искажения или стирания встроенной в них аутентифицирующей информации. Формально говоря, системы ЦВЗ должны обеспечить аутентификацию отправителей электронных сообщений. Подобная задача может быть возложена на криптографические системы электронной цифровой подписи (ЭЦП) данных, но в отличие от стегосистем водяных знаков, известные системы ЭЦП не обеспечивают защиту авторства не только цифровых, но и аналоговых сообщений и в условиях, когда активный нарушитель вносит искажения в защищаемое сообщение и аутентифицирующую информацию. Иные требования по безопасности предъявляются к стегосистемам, предназначенным для скрытия факта передачи конфиденциальных сообщений от пассивного нарушителя. Также имеет свои особенности обеспечение имитостойкости стегосистем к вводу в скрытый канал передачи ложной информации [4,5].

Как и для криптографических систем защиты информации безопасность стегосистем описывается и оценивается их стойкостью (стеганографической стойкостью или для краткости стегостойкостью). Под стойкостью различных стегосистем понимается их способность скрывать от квалифицированного нарушителя факт скрытой передачи сообщений, способность противостоять попыткам нарушителя разрушить, исказить, удалить скрытно передаваемые сообщения, а также способность подтвердить или опровергнуть подлинность скрытно передаваемой информации.

В данном разделе рассмотрим определения стегостойкости, опишем классификацию атак на стегосистемы и попытаемся определить условия, в которых стегосистемы могут быть стойкими.

Исследуем стегосистемы, задачей которых является скрытая передача информации. В криптографических системах скрывается содержание конфиденциального сообщения от нарушителя, в то время как в стеганографии дополнительно скрывается факт существования такого сообщения. Поэтому определения стойкости и взлома этих систем различны. В криптографии система защиты информации является стойкой, если располагая перехваченной криптограммой, нарушитель не способен читать содержащееся в ней сообщение. Неформально определим, что стегосистема является стойкой, если нарушитель наблюдая информационный обмен между отправителем и получателем, не способен обнаружить, что под прикрытием контейнеров передаются скрываемые сообщения, и тем более читать эти сообщения.

Назовем в общем случае стегосистему нестойкой, если противоборствующая сторона способна обнаруживать факт ее использования. Рассмотрим базовую модель стегосистемы (рис. 4.1), в которой в стегокодере используется стеганографическая функция f встраивания по секретному ключу К скрываемого сообщения М в контейнер С, а в стегодекодере стеганографическая функция φ его извлечения по тому же ключу. Из стего по функции φ извлекается встроенное сообщение и при необходимости контейнер .

Рис. 4.1. Базовая модель стегосистемы

В результате искажений при встраивании, воздействия случайных и преднамеренных помех передачи, а также погрешностей при извлечении восстановленное получателем сообщение может отличаться от оригинала М. Аналогично, полученный контейнер будет отличаться от исходного С. Контейнер обязательно будет искажаться при встраивании скрываемого сообщения. В ряде стегосистем необходимо восстанавливать контейнер, так как он физически представляет собой обычные сообщения (изображения, речевые сигналы и т. п.) корреспондентов открытой связи, под прикрытием которых осуществляется скрытая связь. Эти сообщения открытой связи должны доставляться их получателям с качеством, определяемым установленными требованиями к достоверности открытой связи. Однако даже если используемый контейнер является только переносчиком скрываемого сообщения, степень допустимой погрешности контейнера также должна быть ограниченной, так как иначе нарушитель легко выявит факт использования стегосистемы.

По признаку использования ключа данная стегосистема классифицируется как симметричная. Логично предположить, что стойкость стегосистемы должна обеспечиваться при использовании несекретных (общеизвестных) функций встраивания f и извлечения φ. Безопасность стегосистем должна опираться на такие принципы их построения, при которых если нарушитель не знает секретной ключевой информации, то даже при полном знании функций встраивания и извлечения скрываемой информации, законов распределения скрываемых сообщений, контейнеров и стего он не способен установить факт скрытой передачи информации.

Рассмотрим классификацию атак нарушителя, пытающегося определить факт скрытой передачи сообщения и при установлении этого факта пытающегося просматривать их.

Атака только со стегограммой. Нарушителю известна одна или некоторое количество стегограмм и он пытается определить, не содержат ли они скрытых сообщений, и если да, то пытается читать их.

Нарушителю очень трудно взломать стегосистему в этой атаке. Это объясняется тем, что при неизвестности ни исходного контейнера, ни какой-либо части скрываемого сообщения можно получить очень большое число ложных расшифровок, среди которых ни одной нельзя отдать предпочтение. Дэвид Кан в своей знаменитой книге описывал, что если цензор при просмотре почтовых отправлений в годы Второй мировой войны не мог сразу найти следов скрываемых сообщений, то скорее всего эта задача не имеет однозначного решения [1].

Атака с известным контейнером. Нарушителю доступны одна или множество пар контейнеров и соответствующих им стегограмм. Заметим, что в этой атаке нарушитель знает исходный вид контейнера, что дает ему существенные преимущества по сравнению с первой атакой. Например, в качестве известного нарушителю контейнера может служить студийная запись музыкального произведения, которое передается по радиовещательному каналу со встроенной информацией. Или в качестве контейнера используется изображение какой-либо известной картины, демонстрирующейся в Эрмитаже, высококачественная цифровая копия которой свободно продается на CD-дисках.

Атака с выбранным контейнером. Нарушитель способен навязать для использования в стегосистеме конкретный контейнер, обладающий какими-то преимуществами для проведения стегоанализа по сравнению со всем множеством контейнеров. Усовершенствованная версия этой атаки: атака с адаптивно выбираемыми контейнерами. Нарушитель навязывает контейнер, анализирует полученное стего для формирования оценок вероятности факта скрытой передачи или оценок скрываемого сообщения или оценок используемого стегоключа. На основе полученных оценок нарушитель формирует очередной контейнер, с учетом очередного стего уточняет оценки и так далее до однозначного установления факта наличия скрытой связи или ее отсутствия, а при обнаружении канала скрытой связи до вычисления используемого стегоключа и чтения скрытой переписки. Например, такая атака может иметь место при несанкционированном использовании отправителем скрываемых сообщений чужого канала передачи информации, когда законный владелец информационных ресурсов проводит расследование с целью избавиться от непрошенных пользователей. В частности, в современных телекоммуникационных системах известны попытки бесплатно воспользоваться услугами дорогостоящей спутниковой и наземной мобильной связи.

Атака с известным сообщением. Нарушителю известно содержание одного или нескольких скрываемых сообщений и он пытается установить факт их передачи и/или используемый стегоключ. Например, такая атака выполняется тюремщиком Вилли в классической задаче о заключенных [6]. Вилли, зная вид сообщения о побеге, анализирует переписку между заключенными, чтобы выявить момент готовящегося побега. Очевидно, что отыскать следы конкретного сообщения в некотором множестве передаваемых стего существенно проще, чем выявить в этом же множестве факт скрытой передачи априори неизвестного сообщения.

Если нарушителю известны некоторые скрываемые сообщения и соответствующие им стегограммы, то его задачей является определение ключа стегосистемы для выявления и чтения других скрытно передаваемых сообщений, либо при невозможности (высокой сложности) определения ключа задачей нарушителя является построение методов бесключевого чтения или определения факта передачи скрываемой информации.

Атака с выбранным сообщением. Нарушитель способен навязать для передачи по стегосистеме конкретное сообщение и он пытается установить факт его скрытой передачи и используемый секретный ключ. Также возможна атака с адаптивно выбираемыми сообщениями, в которой нарушитель последовательно подбрасывает скрывающему информацию подбираемые сообщения и итеративно уменьшает свою неопределенность об использовании стегосистемы и ее параметрах.

Например, такая атака может выполняться, когда возникает подозрение, что с какого-то автоматизированного рабочего места (АРМ) локальной сети учреждения происходит утечка конфиденциальной информации, которая затем скрытно передается за пределы этой сети. Для выявления канала утечки администратор безопасности формирует сообщения, которые могли бы заинтересовать недобросовестного пользователя и вводит их в информационные массивы сети. Затем администратор пытается выявить следы этих сообщений в информационных потоках, передаваемых с АРМ пользователей через сервер во внешние сети. Для однозначного установления факта наличия или отсутствия канала скрытой связи администратор выбирает такие сообщения, которые легче других обнаружить при их передаче по стегоканалу.

Кроме того, возможны различные сочетания перечисленных атак, в которых нарушитель способен знать или выбирать используемые контейнеры и скрытно передаваемые сообщения. Степень эффективности атак на стегосистему возрастает по мере увеличения знаний нарушителя об используемых контейнерах, скрываемых сообщений, объема перехваченных стегограмм и его возможностей по навязыванию выбранных контейнеров и сообщений.

Введем модели нарушителя, пытающегося противодействовать скрытию информации. Следуя К. Шеннону, назовем первую из этих моделей теоретико-информационной [7]. Пусть, как это принято для систем защиты информации, для стегосистем выполняется принцип Кергоффа: нарушитель знает полное описание стегосистемы, ему известны вероятностные характеристики скрываемых сообщений, контейнеров, ключей, формируемых стегограмм. Нарушитель обладает неограниченными вычислительными ресурсами, запоминающими устройствами произвольно большой емкости, располагает бесконечно большим временем для стегоанализа и ему известно произвольно большое множество перехваченных стегограмм [8]. Единственное, что неизвестно нарушителю — используемый ключ стегосистемы. Если в данной модели нарушитель не в состоянии установить, содержится или нет скрываемое сообщение в наблюдаемом стего, то назовем такую стегосистему теоретико-информационно стойкой к атакам пассивного нарушителя или совершенной.

Стойкость различных стегосистем может быть разделена на стойкость к обнаружению факта передачи (существования) скрываемой информации, стойкость к извлечению скрываемой информации, стойкость к навязыванию ложных сообщений по каналу скрытой связи (имитостойкость), стойкость к восстановлению секретного ключа стегосистемы.

Очевидно, что если стегосистема является стойкой к обнаружению факта передачи (существования) скрываемой информации, то логично предположить, что она при этом является стойкой и к чтению скрываемой информации. Обратное в общем случае неверно. Стегосистема может быть стойкой к чтению скрываемой информации, но факт передачи некой информации под прикрытием контейнера может выявляться нарушителем. Перефразируя известное высказывание Ш.Гольдвассера о несимметричных системах шифрования [8], можно сказать, что если накрыть верблюда одеялом, то можно скрыть число горбов у верблюда (назовем это скрываемым сообщением), но трудно утаить, что под одеялом-контейнером что-то спрятано.

Стойкость стегосистемы к навязыванию ложных сообщений по каналу скрытой связи характеризует ее способность обнаруживать и отвергать сформированные нарушителем сообщения, вводимые им в канал передачи скрываемых сообщений с целью выдачи их за истинные, исходящие от законного отправителя. Например, если в классической задаче Симмонса о заключенных тюремщик Вилли окажется способным сфабриковать ложное сообщение об отмене побега и получатель Боб поверит, что ее автором является законный отправитель Алиса, то это означает существенную слабость используемой стегосистемы. Если в системе ЦВЗ злоумышленник способен ввести в контейнер, заверенный законным отправителем, свой водяной знак и детектор будет обнаруживать водяной знак злоумышленника и не обнаруживать ЦВЗ истинного отправителя, то это означает дискредитацию (взлом) системы ЦВЗ.

Стойкость к восстановлению секретного ключа стегосистемы характеризует ее способность противостоять попыткам нарушителя вычислить секретную ключевую информацию данной стегосистемы. Если нарушитель способен определить ключ симметричной стегосистемы, то он может однозначно выявлять факты передачи скрываемых сообщений и читать их или навязывать ложные сообщения без всяких ограничений. Такое событие можно назвать полной компрометацией стегосистемы. Очевидно, что атаки нарушителя на ключ стегосистемы могут быть построены аналогично атакам на ключ систем шифрования информации и систем аутентификации сообщений.

Если нарушитель способен вычислить ключ встраивания водяного знака какого-либо автора (владельца) информационных ресурсов, то он может поставить этот водяной знак на любой контейнер. Тем самым нарушитель дискредитирует либо водяной знак данного автора (владельца), либо целиком всю систему ЦВЗ. В обоих случаях ставится под сомнение законность прав одного или всех собственников информационных ресурсов на то, что действительно им принадлежит. Данная проблема имеет большое практическое значение для защиты авторских и имущественных прав производителей различного рода информационных продуктов, таких как лицензионное программное обеспечение, CD и DVD дисков, видео и аудио кассет и т. п. Мировой рынок информационной индустрии оценивается многими миллиардами долларов в год и поэтому неудивительно, что защита информации как товара от различных посягательств злоумышленников быстро приобретает конкретную практическую направленность.

Если система ЦВЗ построена как симметричная, то декодер должен использовать конфиденциальный ключ обнаружения водяного знака. Следовательно, такой детектор проблематично встраивать в массово эксплуатирующиеся устройства, к которым доступ нарушителя технически сложно ограничить, например, в персональные проигрыватели DVD дисков. Несимметричная система ЦВЗ использует секретный ключ встраивания водяного знака в контейнеры и открытый ключ проверки ЦВЗ. Очевидно, что из открытого ключа проверки должно быть невозможно вычисление секретного ключа встраивания водяного знака. Нарушитель не должен быть способен в контейнер встроить водяной знак произвольного автора (производителя), а сам водяной знак должен однозначно идентифицировать этого автора. Требования к ключевой информации несимметричных систем ЦВЗ очень напоминают требования к ключам известных из криптографии систем цифровой подписи данных. При использовании несимметричных систем ЦВЗ можно встраивать декодеры в любое оборудование, не опасаясь компрометации ключа встраивания водяного знака. Разумеется, при этом надо исключить возможность обхода нарушителем системы защиты. Если злоумышленник способен отключить детектор ЦВЗ, то он сможет несанкционированно воспользоваться платными информационными ресурсами. Например, в современные DVD устройства записывается информация о географическом регионе их производства и продажи, в пределах которого разрешается или ограничивается проигрывание DVD дисков с соответствующими метками доступа. Россия в соответствии с этим разграничением доступа относится к региону, в котором вероятность электронного воровства значительно выше, чем, например, в Западной Европе.

Заметим, что построение несимметричных систем ЦВЗ и иных стегосистем вызывает существенные практические проблемы. Во-первых, несимметричные системы, как известно из криптографии, в реализации оказываются вычислительно сложнее симметричных систем. Во-вторых, кроме требований к стойкости ключа стегосистемы, предъявляются жесткие требования к устойчивости системы ЦВЗ к разнообразным попыткам нарушителя искажения водяного знака. Несимметричные системы построены на основе однонаправленной функции с потайным ходом, идея которых предложена У.Диффи и М.Хэлманом [9]. Принципы построения подавляющего большинства известных однонаправленных функций с потайным ходом таковы, что любое сколь угодно малое искажение выходного значения этой функции при использовании законным получателем потайного хода приводит к существенному размножению ошибок в принимаемом сообщении. Этот недостаток однонаправленных функций характерен и для ныне используемых несимметричных криптографических систем. Однако там его можно скомпенсировать использованием дополнительных мер повышения достоверности передаваемых криптограмм или цифровых подписей сообщений. Но в стегосистемах использование этих же способов повышения достоверности затруднено. Во-первых, их применение демаскирует скрытый канал. Во-вторых, активный нарушитель в атаках на стегосистему ЦВЗ имеет большие возможности подобрать такое разрушающее воздействие, при котором доступные скрывающему информацию способы повышения достоверности могут оказаться неэффективными. Например, если скрывающий информацию использует помехоустойчивое кодирование, обеспечивающее защиту скрываемого сообщения от равновероятно распределенных ошибок, то нарушитель подбирает закон распределения пакетирующихся ошибок, при котором канальный декодер получателя не способен их исправить и размножает ошибки при декодировании.

4.2. Стойкость стегосистем к обнаружению факта передачи скрываемых сообщений

Для анализа стойкости стеганографических систем к обнаружению факта передачи скрываемых сообщений рассмотрим теоретико-информационную модель стегосистемы с пассивным нарушителем, предложенную в работе [3].

Нарушитель Ева наблюдает сообщения, передаваемые отправителем Алисой получателю Бобу. Ева не знает, содержат ли эти сообщения безобидный контейнер С или стего S со скрываемой информацией. Будем полагать, что Алиса может находится в одном из двух режимов: она или активна (и тогда по наблюдаемому каналу передается стего S) или пассивна (передается пустой контейнер С). Когда Алиса активна, она преобразует контейнер С вложением в него скрываемого сообщения М, используя секретный ключ К. Допустимо построение стегосистемы, в которой Алиса может сама генерировать для скрытия сообщения М подходящий контейнер. Получив стего S, Боб должен быть способен извлечь из него сообщение М, используя ключ К. В терминах теории информации стегосистема должна удовлетворять соотношениям:

1. H(S/CMK) = 0. Формируемое отправителем стего S однозначно определяется значениями контейнера C, ключа К и сообщения М.

2. H(М) > 0. Неопределенность до момента передачи скрываемого сообщения М и для получателя и для нарушителя строго больше нуля, иначе по скрытому каналу не передается неизвестной для получателя информации и теряется смысл использования стегосистемы. Заметим, что это может не выполняться для систем ЦВЗ, целью которых является не передача неизвестной для получателя или нарушителя информации, а установление авторства передаваемого контейнера.

3. H(М/SK) = 0. Получатель Боб должен однозначно восстановить скрываемое сообщение М из принятого стего S, пользуясь ключом К.

Будем полагать, что вероятностные распределения множеств скрываемых сообщений, контейнеров, стего и ключей известны для всех участников информационного противоборства. Дополнительно получатель Боб знает, активна или нет отправитель Алиса. Ева, наблюдая передаваемые Алисой сообщения, должна установить передается по каналу связи скрываемая информация или нет. Для выявления факта использования стегосистемы Ева пытается определить, соответствуют ли передаваемый информационный поток распределению контейнеров или распределению стего. Если Ева способна установить, что в наблюдаемом канале передаются сообщения с распределением стегограмм, то факт скрытой передачи информации от Алисы к Бобу доказан, а используемая ими стегосистема является нестойкой. Сформулируем задачу доказательства стойкости стегосистемы как задачу различения гипотез.

В рассматриваемой модели стегосистемы известно вероятностное распределение пустых контейнеров, обозначаемое РС, и вероятностное распределение стегограмм, обозначаемое РS. Нарушитель в контролируемом канале связи может наблюдать множество возможных пустых контейнеров и стегограмм. Обозначим это множество возможных наблюдений Q. Нарушитель, наблюдая передаваемое сообщение q Q, выдвигает две гипотезы НС и НS. Если справедлива гипотеза НС, то сообщение q порождено в соответствии с распределением РС, а если справедлива НS, то q соответствует распределению РS. Правило решения заключается в разбиении множества Q на две части так, чтобы назначить одну из двух гипотез каждому возможному сообщению q Q. В этой задаче различения возможны два типа ошибок: ошибка первого типа, которая заключается в установлении гипотезы НS, когда верной является НС и ошибка второго типа, когда принято решение НС при верной гипотезе НS. Вероятность ошибки первого типа обозначается α, вероятность ошибки второго типа — β.

Метод нахождения оптимального решения задается теоремой Неймана-Пирсона. Правило решения зависит от порога Т. Переменные α и β зависят от Т. Теорема устанавливает, что для некоторого заданного порога Т и допустимой максимальной вероятности β, вероятность α может быть минимизирована назначением такой гипотезы НС для наблюдения q Q, если и только если выполняются

(4.2)

Основным инструментом для различения гипотез является относительная энтропия (ОЭ) или различимость между двумя распределениями вероятностей PС и PS, определяемая в виде

(4.3)

Относительная энтропия между двумя распределениями всегда неотрицательна и равна 0, если и только если они неразличимы (совпадают). Хотя в математическом смысле ОЭ не является метрикой, так как она не обладает свойством симметричности и свойством треугольника, полезно ее использовать в качестве расстояния между двумя сравниваемыми распределениями. Двоичная относительная энтропия d(α,β) определяется как

Используем относительную энтропию D(Рс || Рs) между распределениями Рс и Рs для оценки стойкости стегосистемы при пассивном противнике. В работе [3] дано следующее определение: стегосистема называется ε-стойкой против пассивного нарушителя, если

Если ε = 0, то стегосистема является совершенной.

Если распределения контейнера и стего одинаковы, то , и такая стегосистема является совершенной. Это означает, что вероятность обнаружения факта передачи скрываемой информации не изменяется от того, наблюдает нарушитель информационный обмен от Алисы к Бобу или нет. Пассивный нарушитель, обладающий произвольно большими ресурсами и владеющий любыми методами стегоанализа, не способен обнаружить факт использования совершенной стегосистемы.

Рассмотрим условия обеспечения стойкости стегосистем. Известно соотношение между энтропией, относительной энтропией и размером алфавита |X| для произвольных случайных переменных S и С. Отметим, что контейнеры С и стего S принадлежат одному и тому же алфавиту Х. Если переменная S равновероятно и независимо распределена, то

. (4.4)

Если переменная С является равновероятно и независимо распределенной, то, как известно из теории информации [10], выполняется равенство и тогда . Следовательно, если в качестве контейнеров С использовать случайные последовательности и скрываемые сообщения будут описываться также случайными последовательностями, то сформированные стего S не будут иметь никаких статистических отличий от пустых контейнеров, и такая стегосистема будет совершенной. Если скрываемая информация представляет собой осмысленные сообщения, которые описываются последовательностями с неравномерными и зависимыми между собой символами, то к требуемому виду их легко привести путем шифрования любым стойким шифром.

Опишем пример формально совершенной стегосистемы, в которой контейнеры представляет собой последовательности независимых и равновероятных случайных бит и в качестве функции встраивания скрываемых сообщений используется известная криптографическая функция типа «однократная подстановка». Пусть контейнер С есть равновероятно распределенная случайная последовательность длиной n бит. Формирователь ключа генерирует случайную равновероятно распределенную последовательность ключа k длиной n бит и передает ее Алисе и Бобу. Если Алиса активна, то функция встраивания представляет собой побитное суммирование по модулю 2 для скрытия n-битового сообщения m, где стего формируется по правилу . Получатель Боб извлекает скрытое сообщение вычислением . Сформированное стего S равновероятно распределено для последовательности n битов и поэтому . Таким образом, построение функции встраивания как однократной подстановки обеспечивает совершенность стегосистемы, если контейнер формируется равновероятным случайным источником.

Однако реальные передаваемые по каналам связи сообщения, используемые в стегосистемах как пустые контейнеры, далеки от модели безизбыточных и равновероятных источников. Поэтому передача зашифрованных описанным способом сообщений на фоне сообщений естественных источников сразу же демаскирует канал скрытой связи. Для стеганографии характерен случай неравновероятного распределения переменной С, описывающей выход естественного источника с некоторой существенной памятью. Сообщения таких источников обычно используются в качестве контейнеров (изображения, речь и т. п.) и их энтропия H(S) обычно значительно меньше величины . Для встраивания скрываемых сообщений из таких контейнеров удаляется часть избыточности и в сжатые таким образом контейнеры вкладываются скрываемые сообщения. В результате этого вероятностные характеристики формируемых стегограмм отличаются от характеристик пустых контейнеров, приближаясь к характеристикам случайного независимого источника. В предельном случае дискретные стегограммы описываются бернуллиевским распределением. В этом случае вся избыточность контейнера удалена и встроенное сообщение порождено равновероятным случайным источником.

Рассмотрим следующий пример. Пусть в качестве контейнеров используются сообщения типа «деловая проза» на русском языке, для которых известна оценка энтропии H(C) = 0,83 бит/буква [11]. Величина для русского языка с алфавитом из 32 букв составляет log 32 = 5. Следовательно, в предельном случае относительная энтропия между обычными сообщениями с распределением РС и стегограммами с распределением РS равна

.

Очевидно, что в этом случае безизбыточные стего, выглядящие как случайный набор букв русского языка, сразу же выделяются на фоне избыточных контейнеров, представляющих собой осмысленные сообщения. Таким образом, факт использования такой стегосистемы легко обнаруживается при визуальном просмотре передаваемых от Алисы к Бобу сообщений. При использовании такой стегосистемы также легко автоматизировать процесс поиска следов скрытого канала. Для этого достаточно подсчитывать приблизительные оценки энтропии передаваемых сообщений. Так как энтропия стего примерно в 5 раз больше энтропии обычных сообщений, то достаточно просто выявить факты наличия скрытой связи.

В работе [3] доказывается, что произвольные детерминированные преобразования не увеличивают ОЭ между двумя распределениями.

Лемма 1: Пусть РQc и РQs описывают вероятностные распределения контейнеров и стего, соответственно, над множеством наблюдений Q. Детерминированное отображение f преобразует множество наблюдений Q в множество наблюдений T вида

,

где qc, qs Q, tc, ts T. Тогда справедливо выражение

.

Так как различение между гипотезами HC и HS есть частная форма преобразования, вероятности ошибок α и β удовлетворяют неравенству

. (4.5)

Это соотношение может использоваться в следующем виде: пусть δ есть верхняя граница и задана верхняя граница вероятности α. Тогда выражение (4.5) дает нижнюю границу вероятности β. Например, при α = 0 значение ошибки .

Используя эту лемму, в работе [3] доказывается следующая теорема.

Теорема 2: Если стегосистема является ε-стойкой против пассивного нарушителя, то вероятность β необнаружения факта скрытой связи и вероятность α ошибочного установления факта скрытой связи удовлетворяют неравенству . В частном случае, если α = 0, то .

Пусть Алисе разрешается передать Бобу цифровое изображение С. Используя модель чувствительности зрения, она может сформировать множество С эквивалентных изображений, которые визуально неразличимы от исходного С. Независимо от того, активна Алиса или нет, она передает выбранное изображение из множества С. Пусть Алиса и Боб заранее договорились, какой модификации изображения соответствует каждое из скрываемых сообщений. Формально это означает, что в стегосистеме каждому из изображений Сj, где j=1,2,…, |C|, по секретному ключу ставится в соответствие или одно из скрываемых сообщений Мj, где j=1,2,…, N, и N < |C|, или отсутствие скрываемого сообщения для |C|—N случаев. Если данное соответствие построено равновероятно и независимо для множества контейнеров и скрываемых сообщений, то при неразличимости распределений контейнеров и стего нарушитель Ева, наблюдая за информационным обменом между Алисой и Бобом, потенциально не способна получить больше той информации, которой обладала априори. Так как по определению Еве известны статистические характеристики всех множеств, входящих в стегосистему, то она априори знает, что вероятность активного состояния Алисы равна N/|C|, а вероятность отсутствия передачи скрываемой информации равна (|C|—N)/|C|. Активное и пассивное состояния Алисы составляют полную группу событий, следовательно,

.

Таким образом, если Алиса собирается передавать N скрываемых сообщений под прикрытием |C| контейнеров, то вероятность того, что Ева угадает, что произвольный контейнер содержит вложенную информацию не может быть меньше величины N/|C|. Если стегосистема совершенна, то вероятность угадывания нарушителем факта передачи скрываемого сообщения строго равна этой величине.

Из этого следует, что вероятность пассивного состояния Алисы должна быть во много раз больше вероятности ее активного состояния, и что используемых контейнеров с учетом их модификаций должно быть во много раз больше скрываемых сообщений. Перефразируя известную поговорку, можно сказать, что иголку более надежно можно спрятать от чужих глаз в большом стоге сена, чем в маленьком.

Рассмотрим влияние некоторой дополнительной информации на распределения контейнеров и стего и, соответственно, на стойкость стегосистемы. Пусть некоторые внешние события влияют на распределение контейнеров, например, выпуски новостей или погоды в известной «задаче заключенных». Эта дополнительная информация обозначается Y и известна всем участникам. Соответственно изменим нашу модель и определение стойкости. Определим средние вероятности вида для ошибки 1 рода и для ошибки 2 рода, где α(y) и β(y) означают, соответственно, величину вероятностей ошибок 1 и 2 рода для Y = y.

Условная относительная энтропия (УОЭ) между РС и PS, принадлежащих одному алфавиту Х, зависимая от переменной Y, определяется в виде

(4.6)

Из неравенства Иенсена [10] и из выражения (4.5) следует, что

(4.7)

Стегосистема с дополнительной информацией Y, контейнерами С и стего S называется ε-стойкой против пассивного противника, если условная относительная энтропия . В качестве примера использования в стегосистеме внешней информацией укажем «классическую» задачу Г.Симмонса, в которой заключенные скрытно обмениваются информацией о побеге. Вероятность передачи сообщения о побеге в темную ночь выше по сравнению со светлой ночью. Это общеизвестный факт не только для лиц, совершающих побеги, но и для их тюремщиков, ужесточающих контроль за возможными каналами скрытой передачи информации. Поэтому использование общеизвестной дополнительной информации в стегосистеме облегчает задачу нарушителя. Можно сказать, что ε-стойкая стегосистема с дополнительной информацией Y обеспечивает более высокую скрытность связи по сравнению с аналогичной ε-стойкой стегосистемой без этой информации.

4.3. Стойкость недетерминированных стегосистем

В предыдущем параграфе было показано, что на основе анализа распределений контейнеров и распределений стего выявляется факт использования стегосистемы. Для этого в рассмотренной теоретико-информационной модели предполагается, что нарушитель знает точные вероятностные характеристики контейнеров, стего, скрываемых сообщений и ключей. Также в модели предполагается, что передаваемые стегограммы и пустые контейнеры не претерпевают никаких искажений в процессе их доставки по каналу связи, а отправитель скрываемых сообщений выбирает только такие контейнеры, характеристики которых совпадают с характеристиками всего множества контейнеров. В итоге любое отклонение статистики наблюдаемого нарушителем в канале связи сообщения от среднестатистических характеристик пустых контейнеров должно квалифицироваться как факт выявления стегоканала. Очевидно, что такая идеальная модель не вполне адекватна реалиям информационно-скрывающих систем. Во-первых, нарушитель знает характеристики не действительно использованного отправителем контейнера, а усредненные характеристики множества сообщений некоторых источников, которые потенциально могут быть использованы в качестве контейнера. Во-вторых, все известные источники возможных контейнеров в силу их природы являются нестационарными, то есть их точных оценок не существует. В-третьих, скрывающий информацию для встраивания скрываемой информации волен выбирать из всего множества такие контейнеры, характеристики которых отличаются от известных нарушителю характеристик этого множества. Более того, отправитель может подбирать такие контейнеры или специально их генерировать, чтобы при встраивании в них скрываемых сообщений характеристики сформированного стего были бы неотличимы от среднестатистических характеристик пустых контейнеров. В-четвертых, в современных телекоммуникационных системах передаваемые избыточные сообщения, как правило, сжимаются с внесением некоторых допустимых для их получателей искажений, что изменяет их характеристики. Например, речевой сигнал кодируется методами линейного предсказания речи, изображения сжимаются алгоритмами JPEG, MPEG или H.263. И, в-пятых, канал связи может вносить помехи в передаваемые информационные потоки. А если канал идеален, то отправитель для маскировки может сам зашумлять передаваемые стего и пустые контейнеры такими помехами, которые в допустимых пределах искажая передаваемые сообщения, в достаточной для скрытия степени модифицируют статистику стего и контейнеров.

Перечисленные причины приводят к модели стегосистемы, в которой нарушитель может быть способен определить, что статистика наблюдаемых им в канале последовательностей отличается от известной ему статистики контейнеров, но он не способен установить причину этих отличий. Таким образом, нарушитель хотя и подозревает о существовании скрытого канала, но не может доказать или опровергнуть этого. Требуемые доказательства могут быть получены, если нарушитель сумеет прочитать скрываемое сообщение. Методами теории информации опишем стойкость стегосистемы к чтению скрываемых сообщений.

В работе [2] несколько с иных позиций, чем в подходе Качина [3] определяется стойкость стегосистемы. Стегосистема называется теоретико-информационно стойкой, если нарушитель не способен получить никакой информации о встроенном сообщении, анализируя перехваченные стего при условии знания статистических характеристик пустых контейнеров. В рамках этого определения подсчитывается взаимная информация между скрываемыми сообщениями М и множествами стего S и соответствующих им контейнеров C. В теоретико-информационно стойкой, или, иначе говоря, совершенной стегосистеме должно выполняться равенство . Как известно из теории информации [10], взаимная информация может быть определена через безусловную и условную энтропию:

. (4.8)

Это дает фундаментальное условие стойкости стегосистемы вида

. (4.9)

Такое определение теоретико-информационной стойкости стегосистемы очень напоминает соответствующее определение теоретико-информационной стойкости системы шифрования информации. Если неопределенность нарушителя относительно сообщения М не уменьшается при перехвате криптограммы Е, то по определению К.Шеннона данная система шифрования является совершенной [7]:

. (4.10)

Заметим, что выражения (4.9) и (4.10) указывают, что нарушитель не способен определить ни одного бита защищаемого сообщения. При этом для системы шифрования точно известно, что в криптограмме это сообщение содержится. Для стегосистемы выражение (4.9) может выполняться в следующих случаях:

1. Стегосистема не используется.

2. Осуществляется скрытая передача информации, используется совершенная к установлению факта наличия скрытой связи стегосистема. Если нарушитель не способен определить факт наличия скрываемого сообщения, то тем более он не способен прочитать ни одного бита этого сообщения.

3. Осуществляется скрытая передача информации, нарушитель способен определить факт наличия скрытой связи. Однако он не способен прочитать ни одного бита скрываемого сообщения.

Например, третий случай был описан в предыдущем параграфе при вложении безизбыточных скрываемых сообщений в равновероятные случайные контейнерные последовательности по функции встраивания однократная подстановка. Сформированные таким образом стего легко выявляются нарушителем на фоне обычных избыточных сообщений. Однако прочитать эти сообщения принципиально невозможно, если при встраивании используется случайная равновероятно распределенная ключевая последовательность [Шен].

Выражение (4.9) означает, что неопределенность нарушителя относительно сообщения М не должна уменьшаться при знании им стего S и контейнера C, то есть М должно быть независимо от S и С. Исследуем условия стойкости стегосистем. Полагаем, что не только алфавиты S и С, но и их энтропии H(S) и H(С) равны. Рассмотрим два случая.

1. Пусть никакое сообщение М не встраивается в контейнер С. Очевидно, что в этом случае, коль S и С совпадают, то выполняется H(S/C) = H(C/S) = 0.

2. В стего S имеется сообщение М с энтропией H(М) > 0. Очевидно, что при наличии этой встроенной информации у нарушителя появляется отличная от нуля неопределенность относительно S, если известно С и неопределенность относительно С, если известно S: H(S/C)) > 0, H(C/S) > 0. Следовательно, взаимная информация между скрываемыми сообщениями и соответствующими контейнерами и стего уже не может быть равной нулю:

.

Поэтому,

. (4.11)

Это означает, что условие стойкости стегосистемы не обеспечивается. Можно показать, что необходимым и достаточным условием стойкости является:

H(S/C) = H(C/S) = 0. (4.12)

Поэтому в работе [2] делается вывод, что если нарушителю известны стегограммы и соответствующие им контейнеры, то стегосистема не может быть совершенной. В рамках теоретико-информационной модели рассматриваемая стегосистема в атаке нарушителя с известным контейнером не может скрыть факта передачи скрываемого сообщения. А из выражения (4.11) следует, что нарушитель также способен узнать если не полностью, то частично содержание этого сообщения: если , то при известных S и С неопределенность нарушителя об этом сообщении меньше его энтропии.

Обеспечение требуемой стойкости может быть получено при переходе от детерминированных стегосистем к недетерминированным (вероятностным). Рассмотрим один из возможных вариантов построения вероятностной стегосистемы, предложенный в [2]. В рассматриваемой вероятностной стегосистеме для выполнения необходимого и достаточного условия стойкости вида H(S/C) = H(C/S) = 0 обеспечивается неизвестность для нарушителя используемого контейнера. Для этого в модель стегосистемы вводится источник контейнеров CS, характеристики которого известны нарушителю. Для встраивания скрываемых сообщений из множества CS случайно и равновероятно выберем подмножество контейнеров С, которое назовем подмножеством действительных контейнеров: . Пусть выполняется условие H(СS) >= H(С) и вероятностные характеристики подмножества С отличаются от соответствующих характеристик множества CS. Потребуем, чтобы неопределенность нарушителя относительно действительных контейнеров при известном множестве CS была бы строго больше нуля: H(С/СS) > 0. Физически это может быть обеспечено, если выбор действительных контейнеров осуществляется с помощью случайного и равновероятного значения R, полученного с выхода генератора случайных чисел, как это показано на рис. 4.2.

Необходимая неопределенность относительно С достигается выбором каждого контейнера совершенно случайным образом и сохранением выбора в тайне. Примером такого процесса может быть взятие выборок из аналогового входного сигнала, такого как речь или видео. Погрешность квантователя обеспечивает необходимую неопределенность. Если изменения контейнера в процессе встраивания информации остаются в пределах погрешности квантователя, то такая манипуляция не может быть обнаружена.

Рис. 4.2. Стегосистема с рандомизированным выбором контейнера

Определим, что для рассматриваемой вероятностной стегосистемы основное условие стойкости выражается в виде

. (4.13)

Это означает, что неопределенность нарушителя относительно M не может быть уменьшена знанием S и CS, или M является независимым от S и CS.

Исследуем условия, при которых нарушитель не способен обнаружить изменения в контейнере, произошедшие при встраивании сообщения M с энтропией H(M), наблюдая стего. Для этого определим требуемую величину неопределенности нарушителя относительно контейнера H(C/S). Можно показать, что

(4.14)

При наихудшем случае противник способен полностью определить M из S и C: .

Следовательно, в общем случае выполняется

. (4.15)

Так как взаимная информация  не может быть более величины H(M), неопределенность должна быть, по крайней мере, той же величины, чтобы сделать чтение сообщения невозможным.

В стойкой стегосистеме, нарушитель, наблюдая стего S, не должен получить информацию сверх той, которая ему известна априори из знания множества CS:

H(C/CS) = H(C/S), (4.16)

и, поэтому,

H(C/CS) >= H(M). (4.17)

Таким образом, для нарушителя, знающего характеристики множества CS, в стойкой стегосистеме неопределенность относительно подмножества действительных контейнеров C должна быть не меньше энтропии скрываемых сообщений.

Определим совместную энтропию H0 между множествами C и CS

H0 = H(C,CS) = H(C) + H(CS/C). (4.18)

Так как и H(CS) >= H(C), то

H(CS/C) >= H(C/CS).

Для стойкой стегосистемы получим нижнюю границу величины совместной энтропии

H0 >= H(C) + H(C/CS).

Используя выражение (4.17), запишем

H0 >= H(C) + H(M). (4.19)

Так как H(CS) >= H (C), то H(CS,S) >= H(C,S). Следовательно,

H(CS,S) >= H(C,S). (4.20)

В соответствии с выражением (4.15) получим, что граница может быть определена в виде:

H(CS,S) >= H(M). (4.21)

Сформируем заключение: при достижении нижней границы для H(C/S) (уравнение 4.15), нарушитель, знающий S и CS, не способен получить доступ к скрываемому в стего S сообщению M. Фундаментальное условие стойкости (4.13) может быть выполнено.

Рассмотрим условия, при которых нарушитель не способен определить ключ К стегосистемы. Потребуем, чтобы нарушитель, знающий S и CS, не мог получить никакой информации ни о ключе К, ни о сообщении М. Это может быть выражено в виде

I((K,М);(S,CS)) = H(K,М) — H((K,М)/(S,CS)) = (4.22)

H(K,М) — H(K/(S,CS)) — H(М/(S,CS,K)) = 0.

При знании ключа К, множества CS из стего S однозначно извлекается сообщение М:

H(М/(S,CS,K)) = 0,

Поэтому из выражения (4.22) получим

H(K/(S,CS) = H(K,М),

или

H(K/(S,CS) = H(М) + H(K/М) >= H(М), (4.23)

соответственно, так как H(K/М) >= 0.

Таким образом, для нарушителя неопределенность ключа стойкой стегосистемы должна быть не меньше неопределенности передаваемого скрытого сообщения. Это требование для совершенных стегосистем очень похоже на требование неопределенности ключа К для совершенных систем шифрования, для которых энтропия ключа К при перехваченной криптограмме Е должна быть не меньше энтропии шифруемого сообщения М [7]:

.

Делаем вывод, что действительный контейнер должен быть неизвестным для нарушителя, чтобы обеспечить теоретико-информационную стойкость стегосистемы. Нарушитель не способен ни обнаружить факт передачи скрываемого сообщения, ни читать его, если выполняются два условия:

1) Знание S и CS не уменьшает для нарушителя неопределенности о скрываемом сообщении

H(М/(S,CS)) = H(М/S) = H(М).

2) Условная энтропия ключа должна быть не меньше энтропии скрываемого сообщения:

H(K/(S,CS)) >= H(М).

При таких условиях требуемая стойкость может быть обеспечена в вероятностных стегосистемах.

В работе [2] приводятся общие описания возможных вероятностных стегосистем. Пусть отправитель для встраивания скрываемых сообщений в качестве действительных контейнеров использует цифровое изображение пейзажа на выходе электронной камеры. Нарушитель может знать общий вид снимаемого изображения и характеристики используемой камеры. Но атакующий и даже законный получатель не знают точное положение камеры и угол съемки. Колебание камеры даже на долю градуса приводит к существенно отличающимся снимкам. Поэтому при анализе нарушителем перехваченного стего он не способен определить какое цифровое изображение является действительным контейнером и тем самым не может выявить различия между стего и контейнером. В качестве множества контейнеров CS в данном примере используются всевозможные варианты изображения пейзажа под разными углами с учетом неидеальности оптико-электронного преобразователя используемой камеры.

Вторым примером вероятностной стегосистемы является использование в качестве действительных контейнеров значений отсчетов аналогового случайного сигнала, например, речевого. В различных технических устройствах для преобразования аналоговых сигналов к цифровому виду используются аналого-цифровые преобразователи с некоторой погрешностью квантования отсчетов, причем моменты дискретизации отсчетов определяются тактовым генератором, положение стробирующих импульсов которого также имеет некоторую погрешность. Следовательно, для нарушителя, точно знающего характеристики аналогового сигнала, существует неопределенность между аналоговым и цифровым представлением сигнала. При использовании такого сигнала в качестве контейнера, потенциально можно построить стойкую стегосистему, если энтропия встраиваемого сообщения не превышает величины указанной неопределенности [12].

4.4. Практические оценки стойкости стегосистем

4.4.1. Постановка задачи практической оценки стегостойкости

Ранее рассмотренные теоретические оценки стойкости стегосистем, например, теоретико-информационные, предполагают, что скрывающий информацию и нарушитель обладают неограниченными вычислительными ресурсами для построения стегосистем и, соответственно, стегоатак на них, придерживаются оптимальных стратегий скрывающего преобразования и стегоанализа, располагают бесконечным временем для передачи и обнаружения скрываемых сообщений и т. д. Разумеется, такие идеальные модели скрывающего информацию и нарушителя неприменимы для реалий практических стегосистем. Поэтому рассмотрим известные к настоящему времени практические оценки стойкости некоторых стегосистем, реально используемых для скрытия информации [13–15].

В последние годы появились программно реализованные стегосистемы, обеспечивающие скрытие информации в цифровых видео- и аудиофайлах. Такие программы свободно распространяются, легко устанавливаются на персональные компьютеры, сопрягаются с современными информационными технологиями и не требуют специальной подготовки при их использовании. Они обеспечивают встраивание текста в изображение, изображение в изображение, текста в аудиосигнал и т. п. В современных телекоммуникационных сетях типа Интернет передаются очень большие потоки мультимедийных сообщений, которые потециально могут быть использованы для скрытия информации. Одной из наиболее актуальных и сложных проблем цифровой стеганографии является выявление факта такого скрытия. В реальных условиях наиболее типичным видом атаки нарушителя является атака только со стего, так как истинный контейнер ему обычно неизвестен. В этих условиях обнаружение скрытого сообщения возможно на основе выявления нарушений зависимостей, присущих естественным контейнерам [14,16,17]. Практический стегоанализ цифровых стегосистем является очень молодой наукой, однако в его арсенале уже имеется ряд методов, позволяющих с высокой вероятностью обнаруживать факт наличия стегоканала, образованных некоторыми предложенными к настоящему времени стегосистемами. Среди методов практического стегоанализа рассмотрим визиальную атаку и ряд статистических атак. Эти атаки первоначально были предложены для выявления факты внедрения скрываемой информации в младшие разряды элементов контейнера, которые принято называть наименее значимыми битами (НЗБ).

4.4.2. Визуальная атака на стегосистемы

Рассмотрим принцип построения визуальной атаки, позволяющей выявить факт наличия скрываемого сообщения, вложенного в изображение-контейнер [14]. Пусть стегосистема построена таким образом, что НЗБ элементов изображения заменяются на биты скрываемого сообщения. Например, в системе EzStego младший бит цветовой компоненты каждого пиксела, начиная от начала изображения, последовательно заменяется соответствующим битом скрываемого сообщения. В других стегосистемах биты внедряемого сообщения замещают младшие биты яркостной компоненты каждого пиксела изображения. Ранее считалось, что НЗБ яркостной или цветовой компонент пикселов изображения, равно как и младшие биты отсчетов речевых или аудиосигналов независимы между собой, а также независимы от остальных битов элементов рассматриваемых контейнеров. Однако на самом деле это не так. Младшие биты не являются чисто случайными. Между младшими битами соседних элементов естественных контейнеров имеются существенные корреляционные связи. Также выявлены зависимости между НЗБ и остальными битами элементов естественных контейнеров.

На рис. 4.3 показано изображение мельницы, слева рисунок представляет пустой контейнер, справа в каждый НЗБ цветовой компоненты пикселов последовательно бит за битом вложено скрываемое сообщение. Различие между контейнером и стего визуально не проявляется. Но если изображение сформировать только из НЗБ пикселов стего, то можно легко увидеть следы вложения. На рис. 4.4 слева показано изображение, состоящее из НЗБ пустого контейнера. Видно, что характер изображения существенно не изменился. Справа представлено изображение из младших битов наполовину заполненного скрываемым сообщением контейнера. Видно, что верхняя часть изображения, куда внедрено сообщение, представляет собой случайный сигнал. В рассматриваемой стегосистеме скрываемое сообщение до встраивания зашифровывается, поэтому каждый его бит практически равновероятен и независим от соседних битов, что позволяет легко визуально выявить факт его встраивания, сопоставляя изображения из младших битов стего и пустых естественных контейнеров, соответственно. В некоторых стегосистемах сообщения до встраивания сжимаются. Это целесообразно как для уменьшения размера скрытно внедряемой информации, так и для затруднения его чтения посторонними лицами. Архиваторы данных преобразуют сжимаемое сообщение в последовательность битов, достаточно близкую к случайной. Чем выше степень сжатия, тем ближе последовательность на выходе архиватора к случайной, и тем проще обнаружить факт существования стегоканала при визуальной атаке. Однако даже если скрываемое сообщение до встраивания не шифруется и не сжимается, то его вероятностные характеристики не совпадают с вероятностными характеристиками НЗБ используемых контейнеров, что опять таки можно выявить. Заметим, что отправитель сообщения может подобрать контейнер с законом распределения, совпадающим с законом распределения конкретного встраиваемого сообщения. В этом случае визуальная атака, как и статистические атаки, неэффективна. Но трудности подбора требуемого контейнера могут сделать такую стегосистему непрактичной.

В известной программе Steganos [13] встраивание сообщения любой длины осуществляется во все НЗБ пикселов контейнера, поэтому выявляется визуальной атакой.

Рис. 4.3. Изображение мельницы, слева — пустой контейнер, справа — с вложенным сообщением

Рис. 4.4. Визуальная атака на EzStego, слева — изображение из НЗБ пустого контейнера, справа — изображение из НЗБ наполовину заполненного

Визуальная атака целиком основана на способности зрительной системы человека анализировать зрительные образы и выявлять существенные различия в сопоставляемых изображениях. Визуальная атака эффективна при полном заполнении контейнера, но по мере уменьшения степени его заполнения глазу человека все труднее заметить следы вложения среди сохраненных элементов контейнера.

В ряде стеганографических систем элементы скрываемого сообщения вкладываются в младшие биты коэффициентов преобразования Фурье контейнера-изображения. Например, 8 × 8 пикселов блока изображения сначала преобразовываются в 64 коэффициента дискретного косинусного преобразования (ДКП) по правилу

,

где и когда u и v равны нулю и в других случаях. Полученные коэффициенты квантуются с округлением до целого:

,

где  есть таблица квантования из 64 элементов.

Наименьшие значащие биты квантования ДКП коэффициентов, за исключением и , в стегосистеме являются избыточными битами и вместо них внедряются биты скрываемого сообщения.

Против таких методов скрытия визуальная атака малопригодна, так как изменение любого коэффициента преобразования приводит к изменению множества пикселов изображения. Например, в программе Jsteg преобразование выполняется над матрицей 16 × 16 пикселов контейнера. Следовательно, вложение скрываемого сообщения в младшие биты коэффициентов преобразования приведет к сравнительно небольшим изменениям каждого из 256 пикселов, что визуально малозаметно.

Поэтому рассмотрим второй класс практических стегоатак с целью обнаружения скрытого канала передачи информации, основанный на анализе различий между статистическими характеристиками естественных контейнеров и сформированных из них стего.

4.4.3. Статистические атаки на стегосистемы с изображениями-контейнерами

Одним из наиболее перспективных подходов для выявления факта существования скрытого канала передачи информации является подход, представляющий введение в файл скрываемой информации как нарушение статистических закономерностей естественных контейнеров. При данном подходе анализируются статистические характеристики исследуемой последовательности и устанавливается, похожи ли они на характеристики естественных контейнеров (если да, то скрытой передачи информации нет), или они похожи на характеристики стего (если да, то выявлен факт существования скрытого канала передачи информации). Этот класс стегоатак является вероятностным, то есть они не дают однозначного ответа, а формируют оценки типа «данная исследуемая последовательность с вероятностью 90 % содержит скрываемое сообщение». Вероятностный характер статистических методов стегоанализа не является существенным недостатком, так как на практике эти методы часто выдают оценки вероятности существования стегоканала, отличающиеся от единицы или нуля на бесконечно малые величины.

Класс статистических методов стегоанализа использует множество статистических характеристик, таких как оценка энтропии, коэффициенты корреляции, вероятности появления и зависимости между элементами последовательностей, условные распределения, различимость распределений по критерию Хи-квадрат и многие другие. Самые простые тесты оценивают корреляционные зависимости элементов контейнеров, в которые могут внедряться скрываемые сообщения. Для выявления следов канала скрытой передачи информации можно оценить величину энтропию элементов контейнеров. Стего, содержащие вложение скрываемых данных, имеют большую энтропию, чем пустые естественные контейнеры. Для оценки энтропии целесообразно использовать универсальный статистический тест Маурера [18].

Рассмотрим атаку на основе анализа статистики Хи-квадрат. В программе EzStego младший бит цветовой компоненты каждого пиксела контейнера-изображения заменяется битом скрываемого сообщения. Исследуем закономерности в вероятностях появления значений цветовой компоненты в естественных контейнерах и сформированных программой EzStego стего. При замене младшего бита цветовой компоненты очередного пиксела контейнера на очередной бит предварительно зашифрованного или сжатого сообщения номер цвета пиксела стего или равен номеру цвета пиксела контейнера, или изменяется на единицу. В работе [14] для поиска следов вложения предложен метод анализа закономерностей в вероятностях появления соседних номеров цвета пикселов. Номер цвета, двоичное представление которого заканчивается нулевым битом, назовем левым (L), а соседний с ним номер цвета, двоичное представление которого заканчивается единичным битом — правым (R). Пусть цветовая гамма исходного контейнера включает 8 цветов. Следовательно, при встраивании сообщения в НЗБ цветовой компоненты пикселов необходимо исследовать статистические характеристики в 4 парах номеров цвета. На рис. 4.5 слева показана одна из типичных гистограмм вероятностей появления левых и правых номеров цвета в естественных контейнерах. Справа показана гистограмма вероятностей появления левых и правых номеров цвета в стего, сформированного из этого контейнера программой EzStego. Видно, что вероятности появления левых и правых номеров цвета в естественных контейнерах существенно различаются между собой во всех парах, а в стего эти вероятности выровнялись. Это является явным демаскирующим признаком наличия скрываемой информации. Заметим, что среднее значение вероятностей для каждой пары в стего не изменилось по сравнению с контейнером (показано на рис. 4.5 пунктирной линией).

Рис. 4.5. Гистограмма частот появления левых и правых номеров цвета, слева — до встраивания, справа — после

При замещении битами внедряемого сообщения младших битов яркостной компоненты пикселов контейнера-изображения проявляются аналогичные статистические различия.

Степень различия между вероятностными распределениями элементов естественных контейнеров и полученных из них стего может быть использована для оценки вероятности существования стегоканала. Данную вероятность удобно определить с использованием критерия согласия Хи-квадрат [19]. По критерию Хи-квадрат сравнивается, насколько распределение исследуемой последовательности близко к характерному для стегограмм распределению. В исследуемой последовательности подсчитывается сколько раз ее элемент принял рассматриваемые значения, где всего k элементов. Например, в гистограмме левых и правых номеров цвета в левой части рис. 4.5 номер цвета 000 появился 2 раза (n0* = 2), а номер 001 — 5 раз (n1* = 5). При встраивании очередных битов скрываемого сообщения в НЗБ этой пары номер цвета 000 должен появляться в среднем n0 раз

.

Зная общее число n появления всех элементов исследуемой последовательности, легко подсчитать ожидаемую вероятность появления этих элементов в стего по правилу: . Соответственно, для исследуемой последовательности вероятности равны: .

Величина Хи-квадрат для сравниваемых распределения исследуемой последовательности и ожидаемого распределения стего равна

,

где v есть число степеней свободы. Число степеней свободы равно числу k минус число независимых условий, наложенных на вероятности . Наложим одно условие вида

.

Вероятность p того, что два распределения одинаковы, определяется как

p,

где Г есть гамма-функция Эйлера.

Чем больше значение p, тем выше вероятность встраивания скрываемой информации в исследуемую последовательность.

Рассмотрим использование критерия Хи-квадрат для отыскания следов стегоканала, образованного с использованием программы EzStego. Пусть в контейнерное изображение «Мельница», показанное в левой части рис. 4.3, в НЗБ спектральных коэффициентов изображения, начиная с его верхнего края до его середины, последовательно внедрено 3600 байт скрываемого сообщения. На рис. 4.6 показана вероятность встраивания скрываемой информации в зависимости от размера исследуемой последовательности. Начало графика получено при анализе первого фрагмента стего, составляющего одну сотую часть всего стего. Значение p составило 0,8826. Затем к анализируемому фрагменту была добавлена еще одна сотая часть стего, и так далее. На втором шаге вероятность составила 0,9808 и далее при анализе стего не опускалась ниже 0,77. При переходе к анализу нижней части части изображения, не содержащей скрываемой информации, величина p скачком уменьшилась до нуля.

Рис. 4.6. Вероятность встраивания по критерию Хи-квадрат при анализе EzStego

В программе Steganos встраиваемое двоичное сообщение любой длины дополняется до длины контейнера (до числа пикселов изображения). Поэтому критерий Хи-квадрат при встраивании сколь угодно малого сообщения с использованием Steganos дает вероятность существования стегоканала, практически не отличающуюся от единицы.

В программе S-Tools встраиваемое сообщение равномерно распределяется по всему контейнеру. При полностью заполненном контейнере по критерию Хи-квадрат уверенно выявляются следы вложения посторонней информации с пренебрежимо малой вероятностью ошибки (менее 10-16), но при заполненном контейнере на треть и менее следы стегоканала не выявляются.

Как и в EzStego, в программе Jsteg скрываемое сообщение последовательно встраивается в коэффициенты преобразования контейнера. На рис. 4.7 показана вероятность встраивания по критерию Хи-квадрат при анализе стего, сформированной с использованием Jsteg. Видно, что статистическая атака успешно обнаруживает следы скрываемой информации в первой части исследуемой последовательности, содержащей скрываемое сообщение, и не дает ложной тревоги во второй ее части, являющейся пустым контейнером.

Рис. 4.7. Вероятность встраивания по критерию Хи-квадрат при анализе Jsteg

Для сжатия изображений очень часто используется алгоритм JPEG. На рис. 4.8 показано, что вероятность ложного срабатывания по критерию Хи-квадрат при анализе пустых контейнеров, сжатых алгоритмом JPEG, не превышает пренебрежимо малой величины 0,407 %.

Рис. 4.8. Вероятность ложного срабатывания по критерию Хи-квадрат при сжатии по JPEG пустого контейнера

4.4.4. Статистические атаки на стегосистемы с аудиоконтейнерами

Рассмотрим статистические атаки, разработанные с целью обнаружения скрытых каналов передачи информации в аудиофайлах. В работе [16] показано, что следы скрытия проявляются при анализе таких статистических характеристик речи и музыки, как распределение НЗБ отсчетов, условные распределения младших и остальных разрядов отсчетов, величины коэффициента корреляции между соседними отсчетами и т. п.

Было исследовано более 1200 аудиофайлов, записанных на CD-дисках и представляющих собой различные музыкальные и вокальные произведения разных авторов. Показано, что для пустых аудиоконтейнеров НЗБ и остальные биты статистически взаимно зависимы, причем на характер этой зависимости влияет уровень записи (усредненная амплитуда отсчетов аудиосигнала). На рис. 4.9 показана полученная для аудиофайлов зависимость статистики Хи-квадрат. По критерию Хи-квадрат вычислялась степень различия между распределением пустых и заполненных контейнеров от характерного для стего бернуллиевского распределения.

Рис. 4.9. Зависимость величины Хи-квадрат от амплитуды отсчетов аудиосигнала:

— аудиоконтейнер;

— стего

Рис. 4.10. Статистические различия стего и пустых аудиоконтейнеров: а, б — по критерию Хи-квадрат, в — по модулю коэффициента корреляции

К настоящему времени известны различные программные средства скрытия информации в аудиофайлах. Используя статистику Хи-квадрат и коэффициент корреляции, в работе [16] проведен стегоанализ программ Steganos (version 1.0а) и S-Tools (Steganography Tools for Windows, version 4.0), которые скрывают информацию в наименее значимых битах звуковых отсчетов. В качестве исходных контейнеров исследовались считанные с CD-дисков 100 музыкальных фрагментов различных исполнителей длительностью звучания 15 секунд каждый (как со стандартных музыкальных компакт-дисков, так и с дисков в формате МРЗ). В качестве скрываемого сообщения использовалась псевдослучайная последовательность объемом 83 Кбайт и побитно внедрялась в каждый НЗБ контейнера. По критерию Хи-квадрат определялась степень отличия распределения НЗБ отсчетов исследуемой последовательности от от бернуллиевского распределения.

Результаты статистических вычислений для музыкальных контейнеров и сформированных из них полностью заполненных стего представлены в виде гистограмм на рис. 4.10, а-в. При этом область значений статистики (ось абсцисс) разбита на непересекающиеся и различные по размерам интервалы. Высота столбца (ось ординат) показывает число значений статистики, попавших в заданный интервал. На рисунке приведена частота встречаемости значений статистики Хи-квадрат (а — для S-Tools, б — для Steganos) и коэффициента корреляции (в — для S-Tools). Правые столбцы соответствуют пустым контейнерам, а левые — заполненным стего. Для стего величина Хи-квадрат была равна единицам, а для пустых контейнеров — десяткам и сотням. После встраивания среднее значение коэффициента корреляции соседних отсчетов уменьшилось в десятки раз.

Заметим, что диапазоны значений статистики Хи-квадрат, полученные до и после образования стегоканала, равно как диапазоны значений коэффициентов корреляции, не пересекаются. Эти признаки позволяют при использовании статистических атак с большой вероятностью отделить пустые аудиоконтейнеры от заполненных стего.

4.4.5. Направления повышения защищенности стегосистем от статистических атак

Таким образом, различные стегосистемы, использующие принцип замены младших битов элементов контейнеров на биты встраиваемого сообщения, оказались нестойкими против статистических атак. Повысить их стойкость можно различными способами, например, переходом к операциям встраивания вида взвешенное сложения элементов контейнера с элементами встраиваемого сообщения. Подобные операции не сохраняют баланс вероятностей появления соответствующих элементов контейнера и стего и поэтому обладают более высокой устойчивостью к анализу их статистик.

Очевидным способом является уменьшение степени заполнения контейнера битами скрываемого сообщения, то есть уменьшение пропускной способности стегоканала в обмен на повышение его защищенности. Предложенные в работе [14] статистические атаки на основе критерия Хи-квадрат в большинстве случаев не способны обнаружить стегоканал при заполнении контейнера на 50 % и менее, особенно если внедренное сообщение рассредоточено по контейнеру. Эти атаки всегда стартуют от начала исследуемой последовательности и используют равномерно увеличивающееся окно анализа. Они обнаруживают существование стегоканала, если статистические характеристики искажается непрерывно от начала контейнера. Промежуточные области в контейнере, которые не имеют искажения, могут вызывать неправильный результат теста. Поэтому в работе [15] предложена усовершенствованная статистическая атака, названная автором расширенный тест Хи-квадрат. Тест использует фиксированный размер окна анализа, перемещаемого вдоль исследуемой последовательности. Такая атака осуществляет локальный поиск и позволяет указать на место вложения скрываемого сообщения. В этой же работе предлагается способ повышения защищенности от статистических атак стегосистем с вложением скрываемого сообщения в НЗБ контейнера. Процесс встраивания скрытой информации в контейнер разделен на 3 этапа:

1) определение избыточных бит, которые можно изменять без ущерба для контейнера;

2) выбор НЗБ, в которые будет встраиваться скрываемая информация;

3) коррекция статистических изменений в сформированном стего.

На первом этапе оценивается количество НЗБ контейнера, которые можно заменить на биты скрываемого сообщения без потери качества контейнера типа изображение. Реально для встраивания можно использовать не более половины выявленных битов. Если найденных избыточных битов не достаточно, надо поменять контейнер. Затем по секретному ключу определяются равновероятно распределенные в пределах контейнера НЗБ, заменяемые на биты скрываемой информации. Затем сформированное стего оценивается статистическими тестами и при выявлении отклонений от статистических характеристик естественных контейнеров оставшиеся избыточные биты используются для исправления этих отклонений. Простым методом коррекции является сохранение взаимной корреляции и величины энтропии, вычисляемой по тесту Маурера. Действительно, если некоторый младший бит при встраивании изменяется от 0 к 1, то целесообразно изменить соседний НЗБ от 1 к 0 и т. п. Хотя этот метод позволяет сохранить величину энтропии и коэффициент корреляции при вложении в контейнер скрываемого сообщения, он имеет статистические слабости макроскопического характера. Это выражается в искажении гистограммы коэффициентов ДКП, аналогично тому, как это показано на рис. 4.5. Если левый коэффициент изменился, то чтобы гистограмма стего не отличалась от гистограммы исходного контейнера, необходимо изменить правый коэффициент на ту же величину.

Корректирующие преобразования должны удовлетворять требованиям:

1) для любого фрагмента изображения распределение коэффициентов ДКП стего должно быть аналогично их распределению в пустом контейнере;

2) число исправлений, необходимых для коррекции статистических характеристик, должно быть малым.

В работе [15] приведены результаты исследования алгоритма коррекции при встраивании сообщения в контейнерные изображения размером 640×480 пикселов. Среднее число коэффициентов ДКП, которые можно использовать для встраивания, равно 46000 и изменялось от 30000 до 97000. До встраивания вероятность совпадения соседних избыточных битов равна 63,8 % со средним квадратическим отклонением ± 3,4 % по множеству изображений. Длина сжатого скрываемого сообщения равна 14700 битов. Корректирующие преобразования привели к 2967 ± 434 дополнительным изменениям в избыточных битах. Это составило приблизительно 20 % от размера скрываемого сообщения. Среднее число искажений, которые не удалось скорректировать, составило 186…400.

В таблице 4.1 показаны результаты статистических тестов для исследуемого алгоритма. Видно, что в стего без коррекции заметно уменьшился коэффициент корреляции между избыточными битами и увеличилась их энтропия. Коррекция позволяет сделать встраивание скрываемых сообщений статистически необнаруживаемым.

Таблица 4.1

Исследуемая последовательность Коэффициент корреляции Универсальный тест Маурера
Исходный контейнер 63,77 % ±,37 % 6,704 ± 0,253
Стего без коррекции 59,10 % ± 3,19 % 6,976 ± 0,168
Стего с коррекцией 62,91 % ± 3,36 % 6,775 ± 0,231

Таким образом, если применить корректирующие преобразования к стего, то использованные методы статистического стегоанализа не способны выявить факт существования стегоканала. Однако справедливости ради необходимо отметить, что могут быть построены другие статистические атаки, для нейтрализации которых потребуется дополнительно использовать избыточные биты, что еще более уменьшит скорость передачи скрываемой информации.

Совершенствование стегосистем в общем случае может быть описано некоторым итеративным процессом. Стегосистемы разрабатываются и предлагаются авторами к использованию. Они исследуются известными методами стегоанализа, при необходимости для них разрабатываются новые методы анализа, и так до тех пор, пока не удается их взломать. Затем с учетом выявленных слабостей затем принципы построения стегосистем совершенствуются, но одновременно развиваются и стегоатаки. Этот процесс итеративно продолжается, пока не удается доказать, что при текущем уровне развития стегоанализа данная стегосистема является практически стойкой. Такой процесс сложился для анализа и синтеза криптосистем, и очевидно, что он справедлив и для стегосистем. Однако надо учитывать, во-первых, что по сравнению с криптосистемами в стегосистемах есть дополнительный параметр — контейнер, а во-вторых, практическая стойкость стегосистем может иметь значительно большее число толкований.

4.5. Теоретико-сложностный подход к оценке стойкости стеганографических систем

Рассмотренные в работах [2], [3] информационно-теоретические модели стойкости стеганографических систем имеют существенные недостатки. Впервые на это было обращено внимание в статье [19]. Как отмечено в этой работе, успешно применяемые для анализа криптосистем информационно- теоретические методы плохо подходят для анализа стегосистем. Причина этого в том, что процедура обнаружения скрытого сообщения не может быть смоделирована как непрерывный процесс. В самом деле, нарушитель может получить лишь два результата анализа подозрительного канала связи: либо он обнаружит факт присутствия стегосистемы, либо нет. Таким образом, мы имеем дело с прерывистым процессом, к которому неприменимы методы теории информации. В криптографии не так, там нарушитель может получать частичное знание об открытом сообщении (или ключе), и тем не менее система будет практически стойкой. Стегосистема же обязана быть совершенно стойкой по Шеннону. На рис. 4.11 на качественном уровне показана разность между криптосистемами и стегосистемами.

Рис. 4.11. Сравнение криптосистем и стегосистем. По оси ординат отложена степень секретности систем, по оси абсцисс — вычислительные ресурсы нарушителя

Осознание факта малопригодности информационно-теоретических моделей для анализа стегосистем повлекло за собой появление теоретико-сложностных подходов к оценке их стойкости [20]. В этой работе по-новому рассмотрено понятие стойкости стегосистем и построена конструктивная модель стойкой стегосистемы в виде вероятностной полиномиальной по времени игры между нарушителем и скрывающим информацию. К основным недостаткам информационно-теоретических моделей стегосистем можно отнести следующие.

1) Также как и в криптографии, на практике невозможно реализовать совершенно стойкую стегосистему. Можно показать, что реализация такой стегосистемы сводится к одноразовому блокноту (так называемому шифру Вернама). Таким образом, информационно-теоретические модели стегосистем неконструктивны.

2) Распределение вероятностей контейнеров на практике неизвестно, или известно с точностью до некоторой весьма и весьма приблизительной модели.

3) Используемые контейнеры отнюдь не являются реализацией случайного процесса, а, чаще всего, оцифрованными образами реальных физических объектов.

4) Вполне реалистично было бы предположить, что нарушитель имеет доступ лишь к ограниченным вычислительным ресурсам. Как и в криптографии достаточно потребовать, чтобы стегосистема выдерживала бы все полиномиальные тесты по ее обнаружению. Этот момент также не учитывают информационно-теоретические модели.

Рассмотрим модель стегосистемы, предложенную в работе [20]. Предположим, что имеется множество возможных контейнеров , элементы которого порождаются некоторым полиномиальным алгоритмом. Встраиваемое сообщение , выбирается из множества возможных сообщений . Стегосистема определяется тройкой полиномиальных алгоритмов.

Алгоритм G есть процесс генерации ключа, который в ответ на входную строку из единиц порождает псевдослучайный стегоключ . В соответствие с принципом Керхгофа стойкость зависит от ключа, а его длина является параметром секретности стегосистемы. Алгоритм E выполняет внедрение информации, формируя на основе , и k, стего . Алгоритм D извлекает из s с использованием ключа k сообщение m. В случае, если контейнер s действительно содержал встроенное сообщение, то . Для определения наличия стегосистемы нарушитель должен решить следующую задачу:

на основе контейнера определить, существует ли ключ , порождаемый G и сообщение такие, что .

Интересно отметить, что если на структуру скрытого сообщения не накладывается никаких ограничений, то для многих стегосистем эта задача неразрешима. В самом деле, любая комбинация бит может быть вложением, и даже если нарушитель каким-то образом и заподозрит наличие скрытой связи, все равно ему невозможно будет доказать это третьей стороне. Поэтому, в работе [20] на структуру скрытого сообщения накладывается ограничение: оно должно иметь какой-то семантический смысл.

Далее, считается, что у нарушителя имеется стегосистема в виде «черного ящика», то есть он имеет возможность порождать стего из выбираемых им контейнеров и скрытых сообщений, не зная при этом ключа. Для этой цели у него имеется два оракула: один для генерации пустых контейнеров (стеганографический оракул), другой — для получения из них стего, то есть имитации алгоритма внедрения (оракул оценки). Так как оба оракула вероятностные, то в случае выбора первым оракулом несколько раз подряд одного и того же контейнера, стего будут получаться различными. Это помогает нарушителю выяснять структуру алгоритма внедрения, выбрав в качестве контейнера, например, однотоновое изображение.

Атака (игра) заключается в следующем. Нарушитель имеет неоднократную возможность генерировать контейнеры и соответствующие им стего, пытаясь выяснить структуру стегоалгоритма. При этом имеется то ограничение, что вся процедура должна быть полиномиальной по длине ключа и размеру контейнера. После того, как он закончил работу, ему предъявляются два случайно выбранных контейнера: один пустой, другой — заполненный. Стегосистема называется условно стойкой, если у нарушителя нет возможности правильного определения стего с вероятностью, незначительно отличающейся от 1/2. В работе [20] дано определение понятия «незначительно отличающейся» и приведено математическое описание вербально изложенной выше модели. Условно стойкая стегосистема сохраняет это свойство для всех возможных ключей и всех возможных контейнеров.

Ясно, что понятие условно стойкой стегосистемы более слабое, чем понятие стегосистемы, стойкой с информационо-теоретической точки зрения и включает ее как частный случай. Безусловно стойкая стегосистема в приведенной выше модели получается в случае, если снять ограничение полиномиальности во времени игры.

Каким образом построить условно стойкую стегосистему? Одна из возможностей, широко используемая и в криптографии, заключается во взятии за основу какой-нибудь трудной в вычислительном смысле математической задачи, например, обращение односторонней функции (разложение на множители, дискретное логарифмирование и т. д.). Тогда останется показать связь между невозможностью решения этой задачи и невозможностью вскрытия стегосистемы — и условно стойкая стегосистема построена. Из криптографии известно, что, к сожалению, вопрос построения доказуемо односторонней функции нерешен. В работе [20] показано, как можно построить стегосистему на основе известного криптоалгоритма RSA.

4.6. Имитостойкость системы передачи скрываемых сообщений

Ранее была исследована стойкость стегосистем к попыткам пассивного нарушителя установления факта скрытия передаваемых сообщений. Дополнительно к требованиям скрытности связи могут предъявляться требования по исключению навязывания в стегоканале ложных сообщений активным нарушителем. Например, в работе Г.Симмонса описана так называемая задача заключенных [6]. В этой задаче арестованные Алиса и Боб пытаются по скрытому каналу связи договориться о побеге. Тюремщик Вилли пытается не только обнаружить факт обмена информации, но и от имени Алисы навязать Бобу ложную информацию. Потому рассмотрим особенности построения стегосистем с возможностью аутентификации передаваемых сообщений, возможные атаки нарушителя и определим оценки имитостойкости стегосистем.

Формально опишем построение стегосистемы с аутентификацией скрытно передаваемых сообщений. Пусть стегосистема использует секретный ключ, принимающий значения Множество контейнеров С разбивается на n подмножеств каждое из которых описывается своим вероятностным распределением Поставим подмножества контейнеров в соответствие секретным ключам При действующем ключе аутентификации сообщение, доставленное по каналу скрытой связи, считается получателем подлинным, если оно вложено в контейнер, принадлежащий подмножеству с распределением Если при действующем ключе заполненный контейнер не принадлежит подмножеству , то извлеченное из него сообщение признается получателем ложным. Таким образом, при действующем ключе все множество контейнеров разделено на допустимые, в которых подлинность вложенных в них сообщений признается получателем, и недопустимые, которые не могут быть выбраны для передачи отправителем скрываемых сообщений. Следовательно, получение таких контейнеров с вложенными сообщениями означает, что они навязаны нарушителем.

Если принятое стего S имеет распределение , совпадающее с распределением  множества допустимых контейнеров при действующем ключе , то функция проверки подлинности скрываемых в них сообщений принимает единичное значение и полученное сообщение признается подлинным, а если распределения не совпадают, то функция принимает нулевое значение и сообщение отвергается как имитонавязанное:

Функция проверки подлинности при построении стегосистемы с аутентификацией сообщений может быть задана аналитически, графически или в виде таблицы. При аналитическом задании каждому значению ключа ставится в соответствие свое подмножество допустимых контейнеров. Эти подмножества отличаются друг от друга законами распределения или их параметрами. Например, используются различные распределения вероятностей непрерывных контейнеров (нормальное, Райса, Накагами и другие). Или подмножества контейнеров-изображений отличаются спектральными характеристиками. Например, в каждом подмножестве энергия спектра изображений сосредоточена в своем диапазоне частот. Известно, что изображения можно разделить на высокочастотные, основная энергия спектра которых принадлежит верхней полосе частот, и на низкочастотные. Также можно разделить контейнеры-изображения на подмножества по типу сюжета: пейзаж, портрет, натюрморт и т. п. Хотя при сюжетном разбиении трудно математически строго задать функцию в терминах законов распределения, на практике задание такой функции не представляет труда. Множество всех контейнеров разбивается на n непересекающихся подмножеств контейнеров Например, контейнеры могут быть разбиты на подмножества их пересечением. При действующем ключе отправитель выбирает подмножество контейнеров . Скрываемое сообщение , где , встраивается в контейнер этого подмножества, образуя стегограмму . Получатель стегограммы проверяет ее соответствие действующему ключу. Он убеждается, что полученная стегограмма допустима при ключе , если выполняется . Это равенство выполняется, если стегограмма принадлежит подмножеству контейнеров . Следовательно, извлеченное из этой стегограммы сообщение подлинно. Но если принятая стегограмма не принадлежит допустимому подмножеству контейнеров, то функция проверки принимает нулевое значение, и принятое сообщение отвергается как ложное. Графическое описание функции проверки подлинности представлено на рис. 4.12. Пусть по стегоканалу могут передаваться k различных сообщений: Множество ключей стегосистемы состоит из n ключей, из которых равновероятно и случайно выбирается действующий ключ.

Рис. 4.12. Графическое описание функции проверки подлинности скрываемых сообщений

Из рис. 4.12 легко заметить, что подмножества контейнеров имеют одинаковые размеры. Если скрываемые сообщения равновероятны и равновероятно выбирается ключевая информация, то для нарушителя, не знающего действующий ключ, множество сообщений, подлинность которых подтверждается при проверке, в n — 1 раз меньше множества сообщений, отвергаемых при проверке как ложные.

Рассмотрим возможные атаки нарушителя на подлинность скрываемых сообщений и оценки имитостойкости стегосистем при этих атаках. Из криптографии известно, что активный нарушитель может выполнить атаку имитации или атаку замены [13]. При атаке имитации, иначе называемой имитонавязыванием в пустом канале, нарушитель не дожидаясь перехвата заверенного сообщения, от имени отправителя формирует ложное сообщение. Обозначим вероятность успеха нарушителя в атаке имитации через . Из рис. 4.3 очевидно, что для нарушителя не знающего действующего ключа и навязывающего любое сообщение из множества , вероятность успеха не может быть меньше чем число всех сообщений, поделенное на число всех стегограмм при и

. (4.24)

Граница Симмонса для систем аутентификации определяет, что выражение (4.24) выполняется с равенством при удовлетворении двух условий:

1. Атака имитации оптимальна, то есть имеет одинаковую вероятность успеха нарушителя при равновероятном случайном выборе им любой навязываемой стегограммы.

2. Для каждой стегограммы вероятность ее формирования отправителем одинакова при всех ключах аутентификации, для которых выполняется .

Если эти условия выполняются, то при заданных размерах множества скрываемых сообщений и множества стегограмм вероятность обмана является минимальной. Следуя Симмонсу, стегосистему с аутентификацией скрываемых сообщений можно назвать совершенной относительно атаки имитации, если она удовлетворяет равенству в выражении (4.24). Из выражения (4.24) следует, что малая вероятность обмана, то есть высокая имитозащищенность стегоканала обеспечивается при . Отметим, что ни при каких принципах построения стегосистемы величина не может быть получена меньшей, чем в выражении (4.24).

При второй стратегии имитонавязывания в стегоканале, называемой атакой замены первого порядка, нарушитель, перехватив стегограмму от законного отправителя, подменяет ее на ложную. Атака замены считается успешной, если навязанное стего декодируется получателем в любое допустимое для данной стегосистемы сообщение, причем ложное сообщение не должно совпадать с истинным сообщением законного отправителя. Обозначим вероятность обмана при атаке замены через . Если нарушитель перехваченное стего, содержащее некоторое неизвестное ему сообщение, заменил на любое другое стего, то очевидно (см. рис. 4.12), что при непересекающихся подмножествах , ни из какого стего извлеченное сообщение при действующем ключе не будет одновременно признано получателем подлинным и совпадать с истинным, передаваемым законным отправителем сообщений. Следовательно, у нарушителя есть шансы навязать одно из оставшихся k — 1 сообщений, используя одно из стего. Таким образом, вероятность успешного навязывания в атаке замены первого порядка не превышает

. (4.26)

Отметим, что как и при атаке имитации, высокая имитозащищенность стегоканала при атаке замены первого порядка обеспечивается при . Перечисленные ранее условия являются необходимыми, но уже недостаточными условиями выполнения выражения (4.26) со знаком равенства. Определим стегосистему с аутентификацией скрываемых сообщений совершенной относительно атаки замены первого порядка, если она удовлетворяет равенству в выражении (4.26).

Поясним на простом примере стратегии имитонавязывания и оценки защищенности от обмана для стегосистемы следующего вида. Зададим табличное описание функции проверки подлинности, представленное в табл. 4.1. Пусть двое заключенных, Алиса и Боб, договорились о следующем построении скрытого канала передачи с аутентификацией сообщений. Для этого они предварительно (до ареста) договорились о соответствии скрываемых сообщений условным сигналам. Они также установили, что при действующем ключе часть сообщений является допустимыми (Алиса их может передавать), а оставшиеся сообщения — недопустимыми (Алиса их передавать не будет). В таблице 4.1 указано, какие сообщения являются допустимыми при действующем ключе аутентификации (K1,K2 или K3).

Пусть Алиса и Боб организовали передачу скрываемых сообщений следующим образом. Каждое утро Боба выводят на прогулку и он наблюдает окно камеры Алисы. Для скрытой передачи сообщений Алиса выставляет в окне своей камеры горшки с геранью, число которых равно номеру условного сигнала согласно табл. 4.2. Если на этот день действует ключ аутентификации K1, то сообщению «побег сегодня» соответствует 2 горшка с цветами, а сообщению «побег отменен» — 6 горшков.

Таблица 4.2

Скрываемые Сообщения Номер условного сигнала Скрываемые сообщения Номер условного сигнала Действующий ключ аутентификации
Побег сегодня 2 Побег отменен 6 K1
Сегодня побег 5 Отменен побег 3 K2
Побег назначен на сегодня 1 Побег сегодня отменен 4 K3

Рассмотрим возможные стратегии ввода ложной информации в этот канал скрытой связи тюремщиком Вилли. Первый вариант действий Вилли реализуется атакой имитации. Тюремщик предполагает, что с помощью цветов передается скрытая информация. Не дожидаясь действий Алисы, он выставляет в окно ее камеры некоторое число горшков с геранью. При 2 или 6 предметах Боб, получив ложное сообщение, полагает, что оно действительно передано Алисой, так как эти сообщения допустимы при действующем ключе K1. В этих случаях нарушителю удалось навязать ложное сообщение, хотя Вилли не знает какое именно. Но если Вилли выберет для имитонавязывания условные сигналы 1, 3, 4 или 5, то Боб однозначно определит, что принятое сообщение инспирировано нарушителем.

Таким образом, при равновероятном выборе ложного сообщения вероятность успеха Вилли в атаке имитации равна .

Рассмотрим вторую стратегию имитонавязывания — атаку замены первого порядка. Вилли замечает, что Алиса выставила в окно, например, 2 горшка с цветами. Тюремщик предполагает, что это скрытно передаваемое сообщение и меняет условный сигнал на другой. Если Вилли навязывает условный сигнал 1, 3, 4 или 5, то Боб определит, что полученное сообщение является ложным. Но если Вилли использует условный сигнал номер 6, то имитоввод окажется успешным и Боб получит вместо сигнала «побег сегодня» сигнал «побег отменен» со всеми вытекающими для него последствиями. Таким образом, в данной атаке замены вероятность успешного навязывания ложного сообщения при равновероятном их выборе равна . Оказалось, что , но следует учесть, что успех нарушителя в атаке замены наносит больший урон по сравнению с атакой имитации, так как при успехе в атаке замены нарушителю удается навязать диаметрально противоположное сообщение. Заметим, что в отличие от этого в атаке имитации навязывание считается успешным, если нарушителю удалось навязать любое сообщение, даже совпадающее с тем, которое собиралась передавать Алиса.

В описанной стегосистеме фактически используются только 2 скрываемых сообщения вида «побег сегодня» и «побег сегодня отменен», передаваемых при помощи 6 стегограмм. Отметим, что несмотря на простоту этой стегосистемы, при ее использовании обеспечивается равенство в выражениях (4.24) и (4.25), то есть она является одновременно совершенной при атаке имитации и при атаке замены первого порядка.

В стегосистемах с аутентификацией по сравнению с криптосистемами, обеспечивающими контроль подлинности передаваемых сообщений, возникает практическая проблема следующего порядка. При атаке имитации не столь важно как разделено множество контейнеров на подмножества, так как для нарушителя в момент навязывания все контейнеры (стегограммы) равновероятны. Иная ситуация в атаке замены. Если, перехватив стегограмму, нарушитель способен выявить, к какому подмножеству контейнеров она принадлежит, то тем самым нарушитель полностью или частично определил действующий ключ и обрел способность навязывать с недопустимо высокой вероятностью. Поэтому для обеспечения высокой имитозащищенности стегосистемы должно быть сложно (вычислительно сложно) определить, к какому подмножеству принадлежит любое стего. Очевидный способ достижения этого заключается в случайном равновероятном разбиении множества С на подмножества Результат этого разбиения является секретным ключом аутентификации и должен быть известен только законным отправителю и получателю заверяемых сообщений. Однако объем этой секретной информации является чрезмерно большим для практических стегосистем. Вторым способом является формирование или отбор контейнеров по функциям формирования или выбора с использованием секретной информации аутентификации ограниченного объема при обеспечении подлинности. Если полученное стего может быть сгенерировано или выбрано при действующем ключе, то извлеченное из него сообщение признается подлинным. В криптографии известны подобные функции, устойчивые к их анализу нарушителем [8]. Однако существенные сложности заключаются в том, что такие стойкие функции должны порождать не просто последовательности, вычислительно неотличимые от случайных, а последовательности, неотличимые также от последовательностей, генерируемых естественными источниками (речь, видео).

В криптографических системах контроль подлинности передаваемой информации обеспечивается с помощью имитовставок или цифровых подписей [8]. Имитовставки и цифровые подписи заверяемых сообщений описываются бернуллиевским законом распределения [14]. Следовательно, они могут быть легко различимы нарушителем от контейнеров естественных источников, что ухудшает скрытность стегоканала заверяемых сообщений. Следовательно, имитостойкие стегосистемы не могут копировать принципы построения криптографических систем контроля подлинности передаваемой информации.

В заключение отметим, что стегосистемы с аутентификацией скрытно передаваемых сообщений в теоретическом и практическом плане находятся на самом начальном этапе своего развития и ждут своих исследователей.

5. СКРЫТИЕ ДАННЫХ В НЕПОДВИЖНЫХ ИЗОБРАЖЕНИЯХ

Большинство исследований посвящено использованию в качестве стегоконтейнеров изображений. Это обусловлено следующими причинами:

— существованием практически значимой задачей защиты фотографий, картин, видео от незаконного тиражирования и распространения;

— относительно большим объемом цифрового представления изображений, что позволяет внедрять ЦВЗ большого объема либо повышать робастность внедрения;

— заранее известным размером контейнера, отсутствием ограничений, накладываемых требованиями реального времени;

— наличием в большинстве реальных изображений текстурных областей, имеющих шумовую структуру и хорошо подходящих для встраивания информации;

— слабой чувствительностью человеческого глаза к незначительным изменениям цветов изображения, его яркости, контрастности, содержанию в нем шума, искажениям вблизи контуров;

— хорошо разработанными в последнее время методами цифровой обработки изображений.

Надо отметить, что последняя причина вызывает и значительные трудности в обеспечении робастности ЦВЗ: чем более совершенными становятся методы сжатия, тем меньше остается возможностей для встраивания посторонней информации. Развитие теории и практики алгоритмов сжатия изображений привело к изменению представлений о технике внедрения ЦВЗ. Если первоначально предлагалось вкладывать информацию в незначащие биты для уменьшения визуальной заметности, то современный подход заключается во встраивании ЦВЗ в наиболее существенные области изображений, разрушение которых приведет к полной деградации самого изображения. Не случайно поэтому стегоалгоритмы учитывают свойства системы человеческого зрения (СЧЗ), аналогично алгоритмам сжатия изображений. В стегоалгоритмах зачастую используются те же преобразования, что и в современных алгоритмах сжатия (дискретное косинусное преобразование в JPEG, вейвлет-преобразование в JPEG2000). При этом существуют, очевидно, три возможности. Вложение информации может производиться в исходное изображение, либо одновременно с осуществлением сжатия изображения-контейнера, либо в уже сжатое алгоритмом JPEG изображение. Поэтому в пункте 5.1 рассмотрены свойства человеческого зрения и их учет в алгоритмах сжатия изображений.

Выполнение линейных ортогональных преобразований изображений — вычислительно трудоемкий процесс, несмотря на наличие быстрых алгоритмов. Поэтому, в некоторых случаях можно ограничиться встраиванием информации в пространственной области изображения. Этот исторически первым появившийся метод рассмотрен в пункте 5.2 на примере нескольких интересных алгоритмов. Более эффективные стегоалгоритмы, реализующие внедрение ЦВЗ в области преобразования, рассмотрены в пункте 5.3.

5.1. Человеческое зрение и алгоритмы сжатия изображений

5.1.1. Какие свойства зрения нужно учитывать при построении стегоалгоритмов

Свойства СЧЗ можно разделить на две группы: низкоуровневые («физиологические») и высокоуровневые («психофизиологические»). Вплоть до середины 90-х годов исследователи принимали во внимание, главным образом, низкоуровневые свойства зрения. В последние годы наметилась тенденция построения стегоалгоритмов с учетом и высокоуровневых характеристик СЧЗ.

Выделим три наиболее важных низкоуровневых свойства, влияющих на заметность постороннего шума в изображении: чувствительность к изменению яркости изображения, частотная чувствительность и эффект маскирования.

Чувствительность к изменению яркости можно определить следующим образом [1]. Испытуемому показывают некоторую однотонную картинку (рис. 5.1(а)). После того, как глаз адаптировался к ее освещенности I, «настроился на нее», постепенно изменяют яркость вокруг центрального пятна. Изменение освещенности ΔI продолжают до тех пор, пока оно не будет обнаружено. На рис. 5.1(б) показана зависимость минимального контраста ΔI/I от яркости I (для удобства мы поменяли привычное расположение осей). Как видно из рисунка, для среднего диапазона изменения яркости, контраст примерно постоянен (аналогия с кратномасштабным анализом и вейвлетами!), тогда как для малых и больших яркостей значение порога неразличимости возрастает. Было установлено, что ΔI ≈ 0.01 — 0.03I для средних значений яркости.

Рис. 5.1. Чувствительность к контрасту и порог неразличимости ΔI

Интересно заметить, что результаты новейших исследований противоречат «классической» точке зрения и показывают, что при малых значениях яркости СЧЗ порог неразличимости уменьшается, то есть СЧЗ более чувствительна к шуму в этом диапазоне.

Частотная чувствительность СЧЗ проявляется в том, что человек гораздо более восприимчив к низкочастотному (НЧ), чем к высокочастотному (ВЧ) шуму. Это связано с неравномерностью амплитудно-частотной характеристики системы зрения человека. Экспериментально ее можно определить при помощи того же опыта, что и при яркостной чувствительности. Но на этот раз в центральном квадрате изменяются пространственные частоты до тех пор, пока изменения не станут заметными.

Элементы СЧЗ разделяют поступающий видеосигнал на отдельные компоненты. Каждая составляющая возбуждает нервные окончания глаза через ряд подканалов. Выделяемые глазом компоненты имеют различные пространственные и частотные характеристики, а также различную ориентацию (горизонтальную, вертикальную, диагональную) [2]. В случае одновременного воздействия на глаз двух компонентов со сходными характеристиками возбуждаются одни и те же подканалы. Это приводит к эффекту маскирования, заключающегося в увеличении порога обнаружения видеосигнала в присутствии другого сигнала, обладающего аналогичными характеристиками. Поэтому, аддитивный шум гораздо заметнее на гладких участках изображения, чем на высокочастотных, то есть в последнем случае наблюдается маскирование. Наиболее сильно эффект маскирования проявляется, когда оба сигнала имеют одинаковую ориентацию и местоположение.

Можно показать, что частотная чувствительность тесно связана с яркостной. Известно также и выражение для определения порога маскирования на основе известной яркостной чувствительности, что позволяет найти метрику искажения изображения, учитывающую свойства СЧЗ. Такого типа математические модели хорошо разработаны для случая квантования коэффициентов дискретного косинусного преобразования изображения, так как именно оно применяется в стандарте JPEG.

Эффект маскирования в пространственной области может быть объяснен путем построения стохастических моделей изображения. При этом изображение представляется в виде марковского случайного поля, распределение вероятностей которого подчиняется, например, обобщенному гауссовскому закону.

Таким образом, можно предложить следующую обобщенную схему внедрения данных в изображение:

1. Выполнить фильтрацию изображения при помощи ориентированных полосовых фильтров. При этом получим распределение энергии по частотно-пространственным компонентам.

2. Вычислить порог маскирования на основе знания локальной величины энергии.

3. Масштабировать значение энергии внедряемого ЦВЗ в каждом компоненте так, чтобы оно было меньше порога маскирования.

Многие алгоритмы встраивания информации, как мы увидим, так или иначе используют эту схему.

Высокоуровневые свойства СЧЗ пока редко учитываются при построении стегоалгоритмов. Их отличием от низкоуровневых является то, что эти свойства проявляются «вторично», обработавший первичную информацию от СЧЗ мозг выдает команды на ее «подстройку» под изображение. Перечислим основные из этих свойств.

1. Чувствительность к контрасту. Высококонтрастные участки изображения, перепады яркости обращают на себя значительное внимание.

2. Чувствительность к размеру. Большие участки изображения «заметнее» меньших размером. Причем существует порог насыщения, когда дальнейшее увеличение размера не существенно.

3. Чувствительность к форме. Длинные и тонкие объекты вызывают большее внимание, чем круглые однородные.

4. Чувствительность к цвету. Некоторые цвета (например, красный) «заметнее» других. Этот эффект усиливается, если фон заднего плана отличается от цвета фигур на нем.

5. Чувствительность к местоположению. Человек склонен в первую очередь рассматривать центр изображения.

6. Люди обычно внимательнее к изображениям переднего плана, чем заднего.

7. Если на изображении есть люди, в первую очередь человек обратит свое внимание на них. На фотографии человек обращает первоочередное внимание на лицо, глаза, рот, руки.

8. Чувствительность к внешним раздражителям. Движение глаз наблюдателя зависит от конкретной обстановки, от полученных им перед просмотром или во время него инструкций, дополнительной информации.

5.1.2. Принципы сжатия изображений

Под сжатием понимается уменьшение числа бит, требующихся для цифрового представления изображений. В основе сжатия лежат два фундаментальных явления: уменьшение статистической и психовизуальной избыточности. Можно выделить три типа статистической избыточности:

— пространственная, или корреляция между соседними пикселами;

— спектральная, или корреляция между соседними частотными полосами;

— временная, или корреляция между соседними кадрами (для видео).

Велика ли статистическая избыточность в неподвижном изображении? Для ответа на этот вопрос попробуйте сжать картинку каким-либо архиватором — результаты вас разочаруют. Высокие коэффициенты сжатия достижимы лишь с использованием психовизуальной избыточности изображения, то есть пренебрежения его визуально незначимыми частями. И тут уж не обойтись без знания системы человеческого зрения. «Выброшенные» части изображения заменяют нулями (константами), и если их много — применяют кодер длин серий. В реальных алгоритмах сжатия осуществляют обнуление не пикселов изображения, а спектральных коэффициентов. Преимущество такого подхода заключается в том, что близкие к нулю спектральные коэффициенты имеют тенденцию располагаться в заранее предсказуемых областях, что приводит к появлению длинных серий нулей и повышению эффективности кодирования. Большие по величине коэффициенты («значимые») подвергают более или менее точному квантованию и также сжимают кодером длин серий. Последним этапом алгоритма сжатия является применение энтропийного кодера (Хаффмана или арифметического).

Восстановленное после сжатия изображение, естественно, отличается от исходного. При прочих равных условиях, чем больше сжатие, тем больше искажение. Для оценки качества восстановленного изображения можно использовать меру среднеквадратического искажения, определяемую как

, (5.1)

где N — число пикселов в изображении, — значение пикселов исходного и восстановленного изображений. Гораздо чаще применяется модификация этой меры — пиковое отношение сигнал/шум, определяемое как

, (5.2)

где 255 — максимальное значение яркости полутонового изображения (т. е. 8 бит/пиксел). Восстановленное изображение считается приемлемым, если ПОСШ >= 28–30 дБ (в среднем). Перечисленные объективные меры искажения не всегда коррелируют с субъективным восприятием изображений, однако ничего лучшего до сих пор не придумано.

ПОСШ не всегда хорошо согласуется с визуально наблюдаемой ошибкой. Пусть имеется два изображения, которые полностью одинаковы, кроме небольшой области. Хотя визуально разность между этими изображениями хорошо заметна, ПОСШ будет примерно одинаковым. Учет системы человеческого зрения в схеме сжатия является трудной задачей. Было проведено множество исследований, но в силу трудностей с математическим описанием системы зрения человека более подходящей меры найдено не было.

Выше было показано, что в человеческом глазу выполняется операция кратномасштабного представления изображений. Глаз более чувствителен к искажениям в низкочастотной области. Отсюда существует возможность улучшения визуального качества реконструированного изображения путем взвешивания СКО субполос в соответствии с чувствительностью глаза в различных частотных диапазонах.

Процесс внедрения скрываемой информации в изображения в каком-то смысле дуален процессу их сжатия. Встраивание информации зачастую осуществляют в незначащие области, чтобы не изменить визуальное представление изображения. Оптимальный метод сжатия удалит эту информацию. К счастью, современные алгоритмы сжатия оставляют достаточно возможностей для реализации утонченных способов внедрения данных.

Рассмотрим вкратце некоторые алгоритмы сжатия изображений. Далее мы увидим, что при встраивании ЦВЗ в основном используются те же подходы.

Стандарт сжатия JPEG является в настоящее время наиболее распространенным и своеобразным «benchmark`ом» для алгоритмов ЦВЗ (то есть устойчивость системы ЦВЗ к сжатию JPEG проверяется обычно в первую очередь). В соответствии с этим стандартом изображение разбивается первоначально на блоки 8х8 элементов, к каждому из которых применяется дискретное косинусное преобразование (ДКП). Назначением ДКП является осуществление перераспределения энергии: значимые коэффициенты группируются в левом верхнем углу квадрата спектральных коэффициентов, так как соседние пикселы изображения коррелированы. Далее следуют равномерное табличное квантование коэффициентов, кодирование длин серий и кодирование Хаффмана.

В последние годы внимание специалистов в области эффективного кодирования привлечено к сжатию изображений с применением вейвлет-преобразования. В данном направлении ведутся активные исследования и уже получены первые результаты, показывающие эффективность применения вейвлет-преобразования для сжатия изображений. Разработано большое количество алгоритмов сжатия с использованием этого преобразования.

Вейвлет-преобразование, также как и ДКП перераспределяет энергию изображения. Эта компактность энергии ведет к эффективному применению скалярных квантователей. Однако они не учитывают остаточную структуру, сохраняющуюся в вейвлет-коэффициентах, в особенности высокочастотных субполос. Современные алгоритмы сжатия все тем или иным образом используют эту структуру для повышения эффективности сжатия.

Одним из наиболее естественных способов является учет взаимосвязей между коэффициентами из различных субполос. В высокочастотных субполосах имеются обычно большие области с нулевой или малой энергией. Области с высокой энергией повторяют от субполосы к субполосе свои очертания и местоположение. И это неудивительно — ведь они появляются вокруг контуров в исходном изображении — там, где вейвлет-преобразование не может адекватно представить сигнал, что приводит к «утечке» части энергии в ВЧ субполосы. Медленно изменяющиеся, гладкие области исходного изображения хорошо описывают НЧ вейвлет-базисы, что приводит к «упаковке» энергии в малом числе коэффициентов НЧ области. Этот процесс примерно повторяется на всех уровнях декомпозиции, что и приводит к визуальной «похожести» различных субполос.

Рис. 5.2. Зависимости между коэффициентами вейвлет-преобразования изображения, используемые в алгоритме нульдерева

Итак, априорное знание того, что изображение состоит из гладких областей, текстур и контуров, помогает учитывать эту межполосную структуру. Кодеры, использующие структуру нульдерева, сочетают учет структуры коэффициентов с совместным кодированием нулей, в результате чего получается очень эффективный алгоритм сжатия.

Впервые идея нульдерева была предложена в работе [3]. В их алгоритме применялась древовидная структура данных для описания вейвлет-коэффициентов (см. рис. 5.2).

Такая структура получается в результате применения двухканального разделимого вейвлет-преобразования. Корневой узел дерева представляет коэффициент масштабирующей функции в самой НЧ области и имеет три отпрыска. Узлы дерева соответствуют вейвлет-коэффициентам масштаба, равного их высоте в дереве. Каждый из узлов имеет четыре отпрыска, соответствующих вейвлет-коэффициентам следующего уровня и того же пространственного расположения. Низом дерева являются листьевые узлы, не имеющие отпрысков.

Для каждого из коэффициентов самой НЧ области существует три таких дерева, соответствующих трем порядкам фильтрации.

Квантование нульдеревом основано на наблюдении, что если коэффициент мал, его отпрыски на дереве зачастую тоже малы. Это объясняется тем, что значимые коэффициенты возникают вблизи контуров и текстур, которые локальны. Нетрудно увидеть, что это является разновидностью предсказания. Можно предположить, что если какой-либо коэффициент незначимый, то все его потомки также будут незначимыми. Дерево или субдерево, которое содержит (по крайней мере, так предполагается) только незначимые коэффициенты, называется нульдеревом.

В работе [3] был предложен следующий алгоритм квантования вейвлет-коэффициентов. Вначале каждый узел квантуется квантователем, оптимальным для плотности распределения Лапласа. Если значение узла меньше некоторого порога, его потомки игнорируются. Эти потомки будут восстановлены декодером как нули. Иначе осуществляется переход к четырем отпрыскам узла, и процедура повторяется. Если узел не имеет отпрысков (является листом), начинает обрабатываться следующий корневой узел и т. д.

Данный алгоритм является эффективным в силу двух причин. Во-первых, в силу хорошей «упаковки» энергии вейвлет-преобразованием и, во-вторых, за счет совместного кодирования нулей. Для кодирования нулей обычно применяется кодер длин серий. Для повышения эффективности на вход этого кодера коэффициенты должны подаваться в определенном порядке. Например, в JPEG применено зигзагообразное сканирование. Наверное, наиболее важным вкладом этой работы была демонстрация того, что область вейвлет-коэффициентов прекрасно приспособлена для работы кодера длин серий. В самом деле, генерируются большие серии нулей и не надо передавать их длину, так как высота дерева известна. Аналогично JPEG, данный алгоритм является разновидностью скалярного/векторного квантования. Каждый (значимый) коэффициент квантуется отдельно, а символы, соответствующие малым коэффициентам, образуют вектор. Этот вектор состоит из символа нульдерева и последовательности нулей длиной до конца дерева.

В большинстве алгоритмов сжатия изображений на основе вейвлет-преобразования имеется возможность выделить две составляющие скорости и две составляющие искажения. В алгоритмах выполняется оптимизация распределения бит между этими составляющими с учетом ограничения на общую скорость кодирования изображения.

Одна из составляющих связана с «обнулением» коэффициентов, не превосходящих некоторый порог, другая — с квантованием больших коэффициентов («значимых») и передачей их местоположения. Эффективность алгоритма сжатия зависит от правильного определения порога принятия решения о значимости коэффициентов, а также от выбранного способа квантования значимых коэффициентов и от метода передачи информации об их местоположении.

Для передачи информации о позициях значимых коэффициентов известен исключительно эффективный алгоритм «вложенного нульдерева» (EZW) [4], а также его разновидности — SPIHT [5] и другие.

Стандарт JPEG хорошо пригоден для сжатия изображений в 30–40 раз. При более сильном сжатии качество резко падает. Эта и множество других причин послужило причиной разработки нового стандарта на сжатие изображений — JPEG-2000. В новом стандарте реализованы такие опции, как последовательная передача, кодирование конкретного интересующего блока изображения, его масштабируемость, защищенность от ошибок передачи, произвольный доступ к сжатому изображению. В стандарте JPEG-2000 в качестве первичного преобразования применяется вейвлет-преобразование. Вейвлет-коэффициенты подвергаются квантованию по алгоритму, известному как «иерархическое кодирование блоков с оптимизированным усечением» (EBCOT), предложенному в работе [6]. Основное отличие этого алгоритма от EZW и SPIHT заключается в том, что EBCOT работает с независимыми неперекрывающимися блоками, которые кодируются итеративно. Таким образом вместо структуры данных нульдерева здесь используется структура квадродерева. В результате получается многоуровневый легко масштабируемый поток бит. Каждый уровень соответствует какой-то степени искажения. Распределение бит между уровнями осуществляется решением оптимизационной задачи с применением метода множителей Лагранжа [7].

В стеганографии используется много идей из области компрессии изображений. Кроме того, знание алгоритмов сжатия видео помогает конструировать робастные к этим алгоритмам ЦВЗ.

5.2. Скрытие данных в пространственной области

Алгоритмы, описываемые в данном пункте, внедряют ЦВЗ в области исходного изображения. Их преимуществом является то, что для внедрения ЦВЗ нет необходимости выполнять вычислительно громоздкие линейные преобразования изображений. ЦВЗ внедряется за счет манипуляций яркостью или цветовыми составляющими .

А1. (Kutter[8]). Пусть изображение имеет RGB-кодировку. Встраивание выполняется в канал синего цвета, так как к синему цвету система человеческого зрения наименее чувствительна. Рассмотрим алгоритм передачи одного бита секретной информации.

Пусть si - встраиваемый бит, I = {R,G,B} — контейнер, p = (x,y) — псевдослучайная позиция, в которой выполняется вложение. Секретный бит встраивается в канал синего цвета путем модификации яркости :

, (5.3)

где q — константа, определяющая энергию встраиваемого сигнала. Ее величина зависит от предназначения схемы. Чем больше q, тем выше робастность вложения, но тем сильнее его заметность.

Извлечение бита получателем осуществляется без наличия у него исходного изображения, то есть вслепую. Для этого выполняется предсказание значения исходного, немодифицированного пиксела на основании значений его соседей. В работе [8] предлагается для получения оценки пиксела использовать значения нескольких пикселов, расположенных в том же столбце и той же строке. Авторы использовали «крест» пикселов размером 7х7. Оценка получается в виде

, (5.4)

где c — число пикселов сверху (снизу, слева, справа) от оцениваемого пиксела (c = 3). Так как в процессе встраивания ЦВЗ каждый бит был повторен cr раз, то мы получим cr оценок одного бита ЦВЗ. Секретный бит находится после усреднения разности оценки пиксела и его реального значения

. (5.5)

Знак этой разности определяет значение встроенного бита.

Можно ли гарантировать всегда верное определение значения секретного бита? Нет, так как функция извлечения бита не является обратной функции встраивания. Для повышения надежности необходимо применение дополнительных мер.

В работе [8] рассмотрена также и модификация данного алгоритма для встраивания нескольких бит. Показано, что алгоритм является робастным ко многим из известных атак: низкочастотной фильтрации изображения, его сжатию в соответствии с алгоритмом JPEG, обрезанию краев.

А2. (Bruyndonckx[9]). ЦВЗ представляет собой строку бит. Для повышения помехоустойчивости применяется код БЧХ. Внедрение осуществляется за счет модификации яркости блока 8х8 пикселов.

Процесс встраивания осуществляется в три этапа.

1) Классификация, или разделение пикселов внутри блока на две группы с примерно однородными яркостями.

2) Разбиение каждой группы на категории, определяемые данной сеткой.

3) Модификация средних значений яркости каждой категории в каждой группе.

Рассмотрим подробнее каждый из этих этапов.

1) При классификации авторы выделяют два типа блоков: блоки с «шумовым контрастом» (рис. 5.3(а)) и блоки с резко выраженными перепадами яркости (рис. 5.3(б)).

Рис. 5.3. Два типа блока: а) с нечетким контрастом и б) с резко выраженным контрастом

В блоках второго типа зоны с отличающейся яркостью не обязательно должны располагаться вплотную друг к другу, не обязательно должны содержать равное количество пикселов. Более того, некоторые пикселы вообще могут не принадлежать ни одной зоне. В блоках первого типа классификация особенно затруднена.

Для выполнения классификации значения яркости сортируются по возрастанию (рис. 5.4(а) и (б)). Далее находится точка, в которой наклон касательной к получившейся кривой максимален (α). Эта точка является границей, разделяющей две зоны в том случае, если наклон больше некоторого порога. В противном случае пикселы делятся между зонами поровну.

2) Для сортировки пикселов по категориям на блоки накладываются маски, разные для каждой зоны и каждого блока. Назначение масок состоит в обеспечении секретности внедрения. Пример масок для двух зон приведен на рис. 5.5(а) и (б).

Рис. 5.4. Сортированные значения яркостей блоков

Рис. 5.5. Пример используемых масок

3) Модификация. Итак, множество пикселов оказалось разделенным на пять подмножеств: две зоны * две категории + пикселы, не принадлежащие какой-либо зоне (для блоков первого типа). Обозначим среднее значение яркости для пикселов двух зон и категорий через . Нам известно, что . Встраивание бита ЦВЗ s осуществляется по следующему правилу:

(5.6)

С другой стороны, необходимо обеспечить равенство значений яркости в каждой зоне:

и . (5.7)

Для достижения этого яркость всех пикселов одной зоны меняется одинаково. Например, для зоны 1, категории А это изменение составит .

Алгоритм извлечения ЦВЗ является обратным алгоритму внедрения. При этом вычисляются средние значения яркостей и находятся разности

(5.8)

А3. (Langelaar[10]). Данный алгоритм также работает с блоками 8х8. Вначале создается псевдослучайная маска нулей и единиц такого же размера . Далее каждый блок B делится на два субблока B0 и B1, в зависимости от значения маски. Для каждого субблока вычисляется среднее значение яркости, l0 и l1. Далее выбирается некоторый порог α, и бит ЦВЗ встраивается следующим образом:

(5.9)

Если условие (5.9) не выполняется, мы изменяем значение яркости пикселов субблока B1. Для извлечения бита ЦВЗ вычисляются средние значения яркости субблоков — l''0 и l''1. Разница между ними позволяет определить искомый бит:

(5.10)

А.5. (Pitas[11]). ЦВЗ представляет собой двумерный массив бит размером с изображение, причем число единиц в нем равно числу нулей. Существует несколько версий алгоритма, предложенного Питасом. Вначале предлагалось встраивать бит ЦВЗ в каждый пиксел изображения, но позже благоразумно было решено использовать для этой цели блоки размером 2х2 или 3х3 пиксела, что делает алгоритм более робастным к сжатию или фильтрации. ЦВЗ складывается с изображением:

. (5.11)

В случае использования для внедрения блоков детектор ЦВЗ вычисляет среднее значение яркости этого блока. Отсюда появляется возможность неравномерного внедрения ЦВЗ в пикселы, то есть величина . Таким образом можно получить ЦВЗ, оптимизированный по критерию робастности к процедуре сжатия алгоритмом JPEG. Для этого в блоке 8х8 элементов заранее вычисляют «емкость» каждого пиксела (с учетом ДКП и матрицы квантования JPEG). Затем ЦВЗ внедряют в соответствии с вычисленной емкостью. Эта оптимизация производится раз и навсегда, и найденная маска применяется для любого изображения. На рис. 5.6 (а) и (б) показан ЦВЗ до и после оптимизации.

Рис. 5.6. Оптимизация ЦВЗ: а) до оптимизации; б) после оптимизации

В работе [11] также приведена модификация этого алгоритма, устойчивая к атаке удаления линий из изображения.

А5. (Rongen [12]). Также, как и в предыдущем алгоритме, ЦВЗ представляет собой двумерную матрицу единиц и нулей с примерно равным их количеством. Пикселы, в которые можно внедрять единицы (то есть робастные к искажениям), определяются на основе некоторой характеристической функции (характеристические пикселы). Эта функция вычисляется локально, на основе анализа соседних пикселов. Характеристические пикселы составляют примерно 1/100 от общего числа, так что не все единицы ЦВЗ встраиваются именно в эти позиции. Для повышения количества характеристических пикселов в случае необходимости предлагается осуществлять небольшое предыскажение изображения.

Детектор находит значения характеристических пикселов и сравнивает с имеющимся у него ЦВЗ. Если в изображении ЦВЗ не содержится, то в характеристических пикселах количество единиц и нулей будет примерно поровну. Авторы рассчитали значение порога принятия решения, минимизирующего вероятность ложной тревоги.

А6. Алгоритм PatchWork([13]). В основе алгоритма Patchwork лежит статистический подход. Вначале псевдослучайным образом на основе ключа выбираются два пиксела изображения. Затем значение яркости одного из них увеличивается на некоторое значение (от 1 до 5), значение яркости другого — уменьшается на то же значение. Далее этот процесс повторяется большое число раз (~10000) и находится сумма значений всех разностей. По значению этой суммы судят о наличии или отсутствии ЦВЗ в изображении.

Для пояснения работы алгоритма введем ряд обозначений. Пусть значения выбираемых на каждом шаге пикселов ai и bi, величина приращения — δ. Тогда сумма разностей значений пикселов

(5.3)

Матожидание величины (суммы разности значений пикселов в незаполненном контейнере) близко к нулю при достаточно большом n. Матожидание величины Sn будет больше 2δ. В работе [13] показано, что Sn имеет гауссовское распределение. Таким образом, в стегодетекторе в соответствии с ключом проверяется значение Sn и в том случае, если она значительно отличается от нуля, выносится решение о наличии ЦВЗ.

Авторами также предложены улучшения основного алгоритма для повышения его робастности. Вместо отдельных пикселов предлагается использовать блоки, или patches. Отсюда и название алгоритма. Использование блоков различного размера может рассматриваться как формирование спектра вносимого ЦВЗ шума (шейпинг), аналогично тому, как это применяется в современных модемах. Так как наиболее вероятной модификацией стего является компрессия JPEG, то целесообразно, чтобы спектр ЦВЗ находился в области низких частот. С другой стороны, если характер возможных модификаций стего заранее неизвестен, целесообразно применение сигналов с расширенным спектром. От формы блока зависит невидимость вносимых искажений.

Алгоритм Patchwork является достаточно стойким к операциям сжатия изображения, его усечения, изменения контрастности. Основным недостатком алгоритма является его неустойчивость к афинным преобразованиям, то есть поворотам, сдвигу, масштабированию. Другой недостаток заключается в малой пропускной способности. Так, в базовой версии алгоритма для передачи 1 бита скрытого сообщения требуется 20000 пикселов.

А7.(Bender [13]). Алгоритм, основанный на копировании блоков из случайно выбранной текстурной области в другую, имеющую сходные статистические характеристики. Это приводит к появлению в изображении полностью одинаковых блоков. Эти блоки могут быть обнаружены следующим образом:

1. Анализ функции автокорреляции стегоизображения и нахождение ее пиков.

2. Сдвиг изображения в соответствии с этими пиками и вычитание изображения из его сдвинутой копии.

3. Разница в местоположениях копированных блоков должна быть близка к нулю. Поэтому можно выбрать некоторый порог и значения, меньшие этого порога по абсолютной величине, считать искомыми блоками.

Так как копии блоков идентичны, то они изменяются одинаково при преобразованиях всего изображения. Если сделать размер блоков достаточно большим, то алгоритм будет устойчивым по отношению к большинству из негеометрических искажений. В проведенных экспериментах показана робастность алгоритма к фильтрации, сжатию, поворотам изображения [13].

Основным недостатком алгоритма является исключительная сложность нахождения областей, блоки из которых могут быть заменены без заметного ухудшения качества изображения. Кроме того, в данном алгоритме в качестве контейнера могут использоваться только достаточно текстурные изображения.

Один из первых предложенных способов для проверки аутентичности изображений получил название метода проверочных сумм. Согласно этому методу отбирались семь старших бит восьми близлежащих пикселов. Получалось 56-битное слово. Выполнив эту операцию для всего изображения, имели N × N/8 таких слов, где N × N — число пикселов в изображении. Затем они поразрядно складывались по модулю два, то есть вычислялась проверочная сумма длиной 56 бит. Эта сумма записывалась в младшие значащие биты выбранных в соответствии с ключом пикселов. В детекторе осуществлялась проверка этих бит, получившаяся проверочная сумма сравнивалась с эталонной, и выносилось решение о наличии или отсутствии модификации изображения. Таким образом, в данном алгоритме в качестве ключа использовались местоположение несущих проверочную сумму пикселов и сама эта проверочная сумма.

Большинство предложенных алгоритмов встраивания ЦВЗ в пространственную область изображений основаны на использовании широкополосных сигналов (ШПС). Этот метод хорошо зарекомендовал себя в радиосвязи, при передаче узкополосных сигналов по каналам с шумами. Основной идеей применения ШПС в стеганографии является то, что данные внедряются в шумовой сигнал малой мощности. Так как сигнал малой мощности, то для защиты ЦВЗ применяют помехоустойчивые коды. Рассмотрим пример.

А8. (Marvel[14]). Стегокодер с применением ШПС изображен на рис. 5.7. Скрываемое сообщение шифруется на ключе k1 и кодируется помехоустойчивым кодом, в результате чего получается кодированное сообщение m. Это сообщение модулируется псевдослучайной последовательностью с выхода генератора, начальное заполнение которого равно k2. Получившийся сигнал с расширенным спектром подвергается перестановкам в соответствии с ключом k3 и складывается с изображением-контейнером. В декодере выполняются обратные операции. В качестве детектора ЦВЗ используют кореляционный приемник (см. гл.1).

Рис. 5.7. Стегокодер на основе ШПС

В качестве датчика псевдослучайной последовательности чаще всего предлагается использовать генератор M — последовательности в силу хороших корреляционных свойств этой последовательности.

5.3. Скрытие данных в области преобразования

5.3.1. Выбор преобразования для скрытия данных

В большинстве методов скрытия данных в изображениях используется та или иная декомпозиция изображения — контейнера. Среди всех линейных ортогональных преобразований наибольшую популярность в стеганографии получили вейвлет-преобразование и ДКП, что отчасти объясняется их успешным применением при сжатии изображений. Кроме того, желательно применять для скрытия данных то же преобразование изображения, как и то, котоорому оно подвергнется при возможном дальнейшем сжатии. В стандарте JPEG используется ДКП, а в JPEG2000 — вейвлет-преобразование. Стегоалгоритм может быть весьма робастным к дальнейшей компрессии изображения, если он будет учитывать особенности алгоритма сжатия. При этом, конечно стегоалгоритм, использующий ДКП, вовсе не обязательно будет робастным по отношению к вейвлетному алгоритму сжатию. Стегоалгоритм, использующий вейвлеты, может быть неробастным к сжатию с применением ДКП. Еще большие трудности с выбором преобразования при скрытии данных в видеопоследовательности. Причина заключается в том, что при сжатии видео основную роль играет кодирование векторов компенсации движения, а не только неподвижного кадра. Робастный стегоалгоритм должен каким-то образом учитывать это.

Возникает следующий вопрос: существует ли робастное преобразование, независимое от применяемого далее алгоритма сжатия? В работе [15] с позиций теории информации рассмотрены различные ортонормальные преобразования, такие как ДПФ, ДКП, Хартли, субполосное преобразование.

Известно много моделей для оценки пропускной способности канала скрытия данных. Так, в работе [16] представлена следующая модель.

Пусть S0 - исходное изображение (контейнер), W — вложение. Тогда модифицированное изображение . Модифицированное изображение визуально неотличимо от исходного и может быть подвергнуто сжатию с потерями: , где C(.) — оператор компрессии. Биты вложения W должны быть извлечены из . Вопрос: какое количество бит может быть вложено в данное изображение и извлечено из него с произвольно малой вероятностью ошибки, то есть какова пропускная способность канала скрытия данных, при данном алгоритме сжатия?

Блок-диаграмма рассматриваемого стегоканала представлена на рис. 5.8.

Рис. 5.8. Блок-диаграмма стегоканала

Рис. 5.9. Структурная схема стегосистемы

Сообщение W передается по каналу. Канал имеет два источника «шума»: S0 - изображение-контейнер и P — «шум», возникающий при компрессии/декомпрессии. - возможно искаженное сообщение.

Структурная схема схема стегосистемы приведена на рис. 5.9. Изображение декомпозируется на L субполос. К каждой субполосе «подмешивается» скрытая информация. После обратного преобразования получается модифицированное изображение Sw. После компрессии/декомпрессии получается изображение . Оно подвергается прямому преобразованию, и из каждой из L субполос независимо извлекается скрытое сообщение.

Реальные изображения вовсе не являются случайным процессом с равномерно распределенными значениями величин. Хорошо известно, и это используется в алгоритмах сжатия, что большая часть энергии изображений сосредоточена в низкочастотной части спектра. Отсюда и потребность в осуществлении декомпозиции изображения на субполосы. Стегосообщение добавляется к субполосам изображения. Низкочастотные субполосы содержат подавляющую часть энергии изображения и, следовательно, носят шумовой характер. Высокочастотные субполосы наиболее подвержены воздействию со стороны различных алгоритмов обработки, будь то сжатие или НЧ фильтрация. Таким образом, для вложения сообщения наиболее подходящими кандидатами являются среднечастотные субполосы спектра изображения. Типичное распределение шума изображения и обработки по спектру частоты показано на рис. 5.10.

Рис. 5.10. Зависимость шума изображения (сплошная линия) и шума обработки (пунктирная линия) от частоты

Стегоканал можно декомпозировать на ряд независимых подканалов. Это разделение осуществляется за счет выполнения прямого и обратного преобразования. В каждом из L подканалов имеется по два источника шума. Пусть — дисперсия коэффициентов преобразования (шума изображения) в каждом из подканалов. Тогда выражение для пропускной способности канала стегосистемы примет вид , где νj — визуальный порог для j-й субполосы. Иными словами, ν2j - максимально допустимая энергия стегосообщения, исходя из требований сохранения визуального качества изображения.

Шум обработки появляется в результате квантования коэффициентов трансформанты. Значение этого шума легко получить, скажем, для пары ДКП — JPEG, если известны таблицы квантования. Однако, например, в случае преобразования Адамара один коэффициент ДКП будет влиять на несколько коэффициентов Адамара. Хотелось бы иметь более общее определение шума обработки. Его можно рассматривать как уменьшение корреляции между коэффициентами трансформанты исходного изображения и квантованными коэффициентами. Например, при высоких степенях сжатия может возникнуть ситуация, когда будут отброшены целые субполосы. То есть дисперсия шума в этих субполосах, вообще говоря, бесконечна. Налицо уменьшение корреляции между коэффициентами субполосы до квантования и после. Конечно для получения приемлемых результатов необходимо усреднить значение шума обработки по многим изображениям.

Выбор значения визуального порога основывается на учете свойств СЧЗ. Известно, что шум в ВЧ областях изображения более приемлем, чем в НЧ областях. Можно ввести некоторые взвешивающие коэффициенты, , где и . Случаю α = 0 соответствует равномерное распределение стего по всем субполосам, случаю α = 1 соответствует распределение стего в соответствии с дисперсиями субполос. После некоторых упрощений можно получить выражение для пропускной способности: . Как видно из этого выражения, при α = 1 декомпозиция никак не будет влиять на пропускную способность стегоканала. При α < 1 это не так. Таким образом, пропускная способность возрастает за счет того, что в области с низкой дисперсией (высокочастотные) добавляется относительно больше энергии стегосигнала.

Рис. 5.11. Различные преобразования, упорядоченные по достигаемым выигрышам от кодирования

В работе [15] были произведены многочисленные эксперименты, которые позволили дать определенные рекомендации по выбору преобразования для стеганографии. Известно, что преобразования можно упорядочить по достигаемым выигрышам от кодирования (см. рис. 5.11). Под выигрышем от кодирования понимается степень перераспределения дисперсий коэффициентов преобразования.

Наибольший выигрыш дает преобразование Карунена-Лоэва (ПКЛ), наименьший — разложение по базису единичного импульса (то есть отсутствие преобразования). Преобразования, имеющие высокие значения выигрыша от кодирования, такие как ДКП, вейвлет-преобразование, характеризуются резко неравномерным распределением дисперсий коэффициентов субполос. Высокочастотные субполосы не подходят для вложения из-за большого шума обработки, а низкочастотные — из-за высокого шума изображения. Поэтому приходится ограничиваться среднечастотными полосами, в которых шум изображения примерно равен шуму обработки. Так как таких полос немного, то пропускная способность стегоканала невелика. В случае применения преобразования с более низким выигрышем от кодирования, например, Адамара или Фурье, имеется больше блоков, в которых шум изображения примерно равен шуму обработки. Следовательно, и пропускная способность выше. Неожиданный вывод: для повышения пропускной способности стеганографического канала лучше применять преобразования с меньшими выигрышами от кодирования, плохо подходящие для сжатия сигналов.

Эффективность применения вейвлет-преобразования и ДКП для сжатия изображений объясняется тем, что они хорошо моделируют процесс обработки изображения в СЧЗ, отделяют «значимые» детали от «незначимых». Значит, их более целесообразно применять в случае активного нарушителя. В самом деле, модификация значимых коэффициентов может привести к неприемлемому искажению изображения. При применении преобразования с низкими значениями выигрыша от кодирования существует опасность нарушения вложения, так как коэффициенты преобразования менее чувствительны к модификациям. Однако, существует большая гибкость в выборе преобразования. И если преобразование неизвестно нарушителю (хотя учет этого момента и противоречит принципу Керхгофа), то модификация стего будет затруднена.

5.3.2. Скрытие данных в коэффициентах дискретного косинусного преобразования

Впервые использование ДКП для скрытия информации было описано в работе [17]. При этом ДКП применялось ко всему изображению в целом.

Обычно же контейнер разбивается на блоки размером 8х8 пикселов. ДКП применяется к каждому блоку, в результате чего получаются матрицы коэффициентов ДКП, также размером 8х8. Коэффициенты будем обозначать через , где b — номер блока, (j,k) — позиция коэффициента внутри блока. Если блок сканируется в зигзагообразном порядке (как это имеет место в JPEG), то коэффициенты будем обозначать через cb,j. Коэффициент в левом верхнем углу обычно называется DC-коэффициентом. Он содержит информацию о яркости всего блока. Остальные коэффициенты называются АС-коэффициентами. Иногда выполняется ДКП всего изображения, а не отдельных блоков. Рассмотрим некоторые из предлагавшихся алгоритмов внедрения ЦВЗ в области ДКП.

А1. (Koch [17]). В данном алгоритме в блок размером 8х8 осуществляется встраивание 1 бита ЦВЗ. Описано две реализации алгоритма: псевдослучайно могут выбираться два или три коэффициента ДКП. Здесь мы рассмотрим вариацию алгоритма с двумя, а ниже, при описании следующего алгоритма — вариацию с тремя выбираемыми коэффициентами.

Встраивание информации осуществляется следующим образом: для передачи бита 0 добиваются того, чтобы разность абсолютных значений коэффициентов была бы больше некоторой положительной величины, а для передачи бита 1 эта разность делается меньше некоторой отрицательной величины:

(5.23)

Таким образом, исходное изображение искажается за счет внесения изменений в коэффициенты ДКП.

Для чтения ЦВЗ в декодере выполняется та же процедура выбора коэффициентов, и решение о переданном бите принимается согласно правилу:

(5.24)

А2. (Benham [18]). Этот алгоритм можно рассматривать как улучшенную версию предыдущего. Улучшения проведены по двум направлениям: во-первых, для встраивания используются не все блоки, а лишь «пригодные» для этого, во-вторых, внутри блока для встраивания выбираются не два, а три коэффициента, что уменьшает искажения, как будет показано далее. Разберем подробнее эти усовершенствования.

Пригодными для встраивания информации считаются блоки изображения, не являющиеся слишком гладкими, а также не содержащие малого числа контуров. Для первого типа блоков характерно равенство нулю высокочастотных коэффициентов, для второго типа — очень большие значения нескольких низкочастотных коэффициентов. Эти особенности и являются критерием отсечения непригодных блоков.

Встраивание бита ЦВЗ осуществляется следующим образом. Псевдослучайно выбираются три коэффициента ДКП блока. Если нужно вложить 1, коэффициенты изменяются так (если требуется), чтобы третий коэффициент стал меньше каждого из первых двух; если нужно встроить 0 он делается больше других. В том случае, если такая модификация приведет к слишком большой деградации изображения, коэффициенты не изменяют, и этот блок просто не используется.

Изменение трех коэффициентов вместо двух, а тем более отказ от изменений в случае неприемлемых искажений уменьшает вносимые ЦВЗ погрешности. Декодер всегда сможет определить блоки, в которые ЦВЗ не встроен, повторив анализ, выполненный в кодере.

А3. (Podilchuk [19]). При обнаружении ЦВЗ этот алгоритм требует наличия у детектора исходного изображения. Встраиваемые данные моделируются вещественным случайным процессом с нормальным распределением, единичной дисперсией и нулевым средним. Для каждого коэффициента ДКП определяется значение порога, изменение сверх которого может привести к деградации изображения. Этот порог зависит от позиции коэффициента в матрице (то есть частотного диапазона, за который он отвечает). Кроме того, порог обуславливается и свойствами самого изображения: контрастностью и яркостью блока.

Встраивание осуществляется следующим образом: если абсолютное значение коэффициента меньше порога, то он не изменяется. В противном случае к нему прибавляется произведение значения порога и значения ЦВЗ.

При обнаружении ЦВЗ вначале коэффициенты исходного изображения вычитаются из соответствующих коэффициентов модифицированного изображения. Затем вычисляется коэффициент корреляции, и устанавливается факт наличия ЦВЗ.

А5. (Hsu [20]). В данном алгоритме декодеру ЦВЗ также требуется исходное изображение. Однако, декодер определяет не факт наличия ЦВЗ, а выделяет встроенные данные. В качестве ЦВЗ выступает черно-белое изображение размером вдвое меньше контейнера. Перед встраиванием это изображение подвергается случайным перестановкам. ЦВЗ встраивается в среднечастотные коэффициенты ДКП (четвертая часть от общего количества). Эти коэффициенты расположены вдоль второй диагонали матрицы ДКП.

Для внедрения бита ЦВЗ si в коэффициент находится знак разности коэффициента текущего блока и соответствующего ему коэффициента из предыдущего блока

. (5.25)

Если надо встроить 1, коэффициент меняют так, чтобы знак разности стал положительным, если 0 — то чтобы знак стал отрицательным.

Авторами предложен также ряд улучшений основного алгоритма. Во-первых, вместо значений коэффициентов предлагается использовать их абсолютные значения. Во-вторых, вместо коэффициента из предыдущего блока предлагается использовать DC-коэффициент текущего блока. И, наконец, берется в учет процесс квантования коэффициентов:

. (5.26)

Еще одним усовершенствованием этого алгоритма является предложенный авторами порядок сортировки блоков ЦВЗ. Блоки ЦВЗ упорядочиваются по убыванию в них числа единиц. Блоки исходного изображения-контейнера также упорядочиваются по убыванию дисперсий. После этого выполняется соответствующее вложение данных.

Надо отметить, что этот алгоритм не является робастным по отношению к JPEG-компрессии.

А5. (Tao [21]). Для обнаружения ЦВЗ детектору требуется исходный контейнер. При встраивании ЦВЗ используются коэффициенты ДКП, имеющие наименьший шаг квантования в таблице JPEG. Число и местоположение этих коэффициентов не зависит от изображения.

Алгоритм работает следующим образом. Вначале выполняется классификация блоков по 6 категориям, в зависимости от степени гладкости и наличия в них контуров. Для каждого блока вычисляется коэффициент чувствительности к аддитивному шуму, и блоки упорядочиваются в соответствии с этим коэффициентом. Далее энергия встраиваемого ЦВЗ определяется либо этим коэффициентом (зависящим от изображения), либо шагом квантования (независимым от изображения) (смотря что больше).

Для обнаружения ЦВЗ вначале выполняют вычитание исходного изображения из принятого. Затем вычисляют ДКП исходного и разностного изображений и применяют статистические методы проверки гипотез.

А6. (Cox [22]). Этот алгоритм является робастным ко многим операциям обработки сигнала. Обнаружение встроенного ЦВЗ в нем выполняется с использованием исходного изображения. Внедряемые данные представляют собой последовательность вещественных чисел с нулевым средним и единичной дисперсией. Для вложения информации используются несколько АС-коэффициентов ДКП всего изображения с наибольшей энергией. Автором предложено три способа встраивания ЦВЗ в соответствии со следующими выражениями:

, (5.27)

(5.28)

и

. (5.29)

Выражение (5.27) может использоваться в случае, когда энергия ЦВЗ сравнима с энергией модифицируемого коэффициента. В противном случае либо ЦВЗ будет неробастным, либо искажения слишком большими. Поэтому так встраивать информацию можно лишь при незначительном диапазоне изменения значений энергии коэффициентов.

При обнаружении ЦВЗ выполняются обратные операции: вычисляются ДКП исходного и модифицированного изображений, находятся разности между соответствующими коэффициентами наибольшей величины.

А7. (Barni [23]). Этот алгоритм является улучшением предыдущего, и в нем также выполняется ДКП всего изображения. В нем детектору уже не требуется исходного изображения, то есть схема слепая. Для встраивания ЦВЗ используются не наибольшие АС-коэффициенты, а средние по величине. В качестве ЦВЗ выступает произвольная строка бит.

Выбранные коэффициенты модифицируются следующим образом:

. (5.30)

Далее выполняется обратное ДКП, и производится дополнительный шаг обработки: исходное и модифицированное изображения складываются с весовыми коэффициентами:

. (5.31)

Здесь β ≈ 1 для текстурированных областей (в которых человеческий глаз мало чувствителен к добавленному шуму) и β ≈ 0 в однородных областях. Значение β находится не для каждого пиксела в отдельности, а для неперекрывающихся блоков фиксированного размера. Например, в качестве β целесообразно использовать нормализованную дисперсию блоков.

В детекторе ЦВЗ вычисляется корреляция между модифицированным изображением и ЦВЗ, .

А8. (Fridrich [24]). Алгоритм является композицией двух алгоритмов: в одном данные встраиваются в низкочастотные, в другом — в среднечастотные коэффициенты ДКП. Как показали авторы, каскадное применение двух различных алгоритмов приводит к хорошим результатам в отношении робастности. Это объясняется видимо тем, что недостатки одного алгоритма компенсируются достоинствами другого. Также, как и в двух предыдущих алгоритмах, здесь осуществляется ДКП всего изображения. Исходный сигнал детектору ЦВЗ не требуется.

Перед встраиванием ЦВЗ в НЧ коэффициенты изображение преобразуется в сигнал с нулевым средним и определенной дисперсией так, чтобы абсолютные значения коэффициентов ДКП находились в диапазоне (200,250). Авторы использовали для этой цели следующее преобразование

, (5.32)

где σ(I) — стандартное отклонение, — среднее значение яркости. ЦВЗ представляет собой последовательность чисел {-1;1}.

Далее строится индексная функция ind(t) на основе последовательности вещественных чисел, определяемой выражением

, (5.33)

где параметр . Индексная функция

. (5.34)

Таким образом, для каждого вещественного числа t можно определить его индекс. Этот индекс изменится только в том случае, если к числу t прибавить/отнять число, превосходящее значение αt. На рис. 5.12 показан вид функции ind(t) для α = 0.1.

Для внедрения бита ЦВЗ si в коэффициент cj последний изменяется не менее, чем на 100α процентов так, чтобы . Если значение коэффициента мало (меньше 1), то в него информация не встраивается.

В детекторе используются все коэффициенты, а не только наибольшие. Это связано с тем, что позиции наибольших коэффициентов ДКП исходного и модифицированного изображений могут не совпадать. Вычисляется коэффициент корреляции, взвешиваемый с энергией коэффициентов

Рис. 5.12. Индексная функция ind(c)

, (5.35)

где параметр β определяет важность взвешивания: если он равен нулю, то взвешивания не происходит. Авторы рекомендуют использовать .

Если изображение было модифицировано, то стандартное отклонение σ(I') отлично от σ(I). При знании s = σ(I)/σ(I') можно было бы уточнить выражение для коэффициента корреляции:

. (5.36)

Однако, как было указано, исходное изображение отсутствует у детектора. Поэтому значение s выбирается так, чтобы оно максимизировало значение коэффициента корреляции:

. (5.37)

В среднечастотные коэффициенты ДКП информация встраивается путем умножения преобразованного значения ЦВЗ на параметр α и сложения результата со значением коэффициента. Предварительное кодирование ЦВЗ выполняется по следующему алгоритму.

Вход алгоритма: сообщение длины M, состоящее из символов .

Выход алгоритма: ЦВЗ длины N, состоящий из вещественных чисел si.

Для кодирования символа mi генерируется N+B+1 чисел псевдослучайной последовательности . Эту последовательность будем называть i-м случайным вектором.

Первые mi чисел этого вектора пропускаются, а следующие N чисел образуют вектор Vi, используемый при дальнейшем суммировании.

Для каждого символа сообщения генерируются статистически независимые различные случайные вектора.

В качестве ЦВЗ используется сумма векторов Vi. Если M достаточно велико, то ЦВЗ будет иметь гауссовское распределение. i-й символ исходного сообщения может быть получен после вычисления взаимной корреляции ЦВЗ с i-м случайным вектором. N имеет величину от 1000 до 10000.

Встраивание ЦВЗ в небольшие по размеру блоки имеет то преимущество, что при этом существует возможность адаптации к локальной яркости и гладкости изображения. Однако при достаточной энергии ЦВЗ появляется артефакт блочности, также как и при высокой степени сжатия в стандарте JPEG. Перекрывающееся ортогональное преобразование (ПОП) изначально было предложено для преодоления недостатка ДКП при сжатии изображений. В работе [25] предложено его использование для внедрения информации. Чтобы увеличить робастность алгоритма вложения, авторы предложили дополнительно встраивать некий шаблон, причем этот процесс происходит в области преобразования Фурье. В результате получился алгоритм, достаточно стойкий ко многим атакам.

6. ОБЗОР СТЕГОАЛГОРИТМОВ ВСТРАИВАНИЯ ИНФОРМАЦИИ В ИЗОБРАЖЕНИЯ

По способу встраивания информации стегоалгоритмы можно разделить на линейные (аддитивные), нелинейные и другие. Алгоритмы аддитивного внедрения информации заключаются в линейной модификации исходного изображения, а ее извлечение в декодере производится корреляционными методами. При этом ЦВЗ обычно складывается с изображением-контейнером, либо «вплавляется» (fusion) в него. Эти алгоритмы будут рассмотрены в п.6.1. В нелинейных методах встраивания информации используется скалярное либо векторное квантование. Обзор соответствующих алгоритмов выполнен в п.6.2. Среди других методов определенный интерес представляют методы, использующие идеи фрактального кодирования изображений. Их обзор приведен в п.6.3.

6.1. Аддитивные алгоритмы

6.1.1. Обзор алгоритмов на основе линейного встраивания данных

В аддитивных методах внедрения ЦВЗ представляет собой последовательность чисел wi длины N, которая внедряется в выбранное подмножество отсчетов исходного изображения f. Основное и наиболее часто используемое выражение для встраивания информации в этом случае

(6.1)

где - весовой коэффициент, а — модифицированный пиксел изображения.

Другой способ встраивания водяного знака был предложен И.Коксом [11]:

(6.2)

или, при использовании логарифмов коэффициентов

(6.3)

При встраивании в соответствии с (6.1) ЦВЗ в декодере находится следующим образом:

. (6.4)

Здесь под f* понимаются отсчеты полученного изображения, содержащего или не содержащего ЦВЗ w. После извлечения сравнивается с подлинным ЦВЗ. При чем в качестве меры идентичности водяных знаков используется значение коэффициента корреляции последовательностей

. (6.5)

Эта величина варьируется в интервале [-1; 1]. Значения, близкие к единице, свидетельствуют о том, что извлеченная последовательность с большой вероятностью может соответствовать встроенному ЦВЗ. Следовательно, в этом случае делается заключение, что анализируемое изображение содержит водяной знак.

В декодере может быть установлен некоторый порог, (здесь S — стандартное среднее квадратическое отклонение), который определяет вероятности ошибок первого и второго рода при обнаружении ЦВЗ. При этом коэффициент может не быть постоянным, а адаптивно изменяться в соответствии с локальными свойствами исходного изображения. Это позволяет сделать водяной знак более робастным (стойким к удалению).

Для увеличения робастности внедрения во многих алгоритмах применяются широкополосные сигналы. При этом информационные биты могут быть многократно повторены, закодированы с применением корректирующего кода, либо к ним может быть применено какое-либо другое преобразование, после чего они модулируются с помощью псевдослучайной гауссовской последовательности. Такая последовательность является хорошей моделью шума, присутствующего в реальных изображений. В то же время синтетические изображения (созданные на компьютере) не содержат шумов, и в них труднее незаметно встроить такую последовательность.

Обычно легче первоначально сгенерировать равномерно распределенную последовательность. Известен алгоритм преобразования такой последовательности в гауссовскую (алгоритм Бокса-Мюллера). Псевдокод этого алгоритма приведен ниже. Здесь ranf() — датчик равномерно распределенных случайных чисел, mean, deviation — среднее значение и СКО последовательности.

Алгоритм 6.1. Полярная форма алгоритма Бокса-Мюллера

double x1, x2, w;

do {

 x1 = 2.0 * ranf() — 1.0;

 x2 = 2.0 * ranf() — 1.0;

 w = x1 * x1 + x2 * x2;

} while (w >= 1.0);

w = sqrt((-2.0 * log(w)) / w);

double y1 = mean + x1 * w * deviation;

double y2 = mean + x2 * w * deviation;

Для извлечения внедренной информации в аддитивной схеме встраивания ЦВЗ обычно необходимо иметь исходное изображение, что достаточно сильно ограничивает область применения подобных методов.

Рядом авторов [22, 4, 34] были предложены слепые методы извлечения ЦВЗ, вычисляющие корреляцию последовательности w со всеми N коэффициентами полученного изображения f*:

. (6.6)

Затем полученное значение коэффициента корреляции сравнивается с некоторым порогом обнаружения ,

. (6.7)

Основным недостатком этого метода является то, что само изображение в этом случае рассматривается, как шумовой сигнал. Существует гибридный подход (полуслепые схемы), когда часть информации об исходном изображении доступно в ходе извлечения информации, но неизвестно собственно исходное изображение.

Корреляционный метод позволяет только обнаружить наличие или отсутствие ЦВЗ. Для получения же всех информационных битов нужно протестировать все возможные последовательности, что является крайне вычислительно сложной задачей.

Наиболее ярким представителем алгоритмов внедрения ЦВЗ на основе использования широкополосных сигналов является алгоритм Кокса, представленный ниже.

А17 (Cox, [8-10]).

ЦВЗ представляет собой последовательность псевдослучайных чисел, распределенных по гауссовскому закону, длиной 1000 чисел.

Для модификации отбираются 1000 самых больших коэффициентов дискретного косинусного преобразования (ДКП).

Встраивание информации выполняется в соответствии с выражением (6.2), а извлечение ЦВЗ в соответствии с выражением (6.4).

Достоинством алгоритма является то, что благодаря выбору наиболее значимых коэффициентов водяной знак является более робастным при сжатии и других видах обработки сигнала.

Вместе с тем алгоритм уязвим для атак, предложенных Гравером в [1,2,3]. Кроме того, операция вычисления двумерного ДКП трудоемка.

А18 (Barni, [4]).

ЦВЗ представляет собой последовательность бинарных псевдослучайных чисел . Длина последовательности определяется размерами исходного изображения M и N, где i= 0,…,.

При встраивании информации вначале выполняется четырехуровневое (l = 4) вейвлет-преобразование с использованием фильтров Добеши-6. Для внедрения водяного знака используются только детальные поддиапазоны первого подуровня разложения. При этом в качестве кандидатов для модификации выбираются все коэффициенты детальных поддиапазонов (LH, HL, HH), которые изменяются с учетом локальной чувствительности к шумам:

, (6.8)

где

.

Множитель в этом выражении определяется поддиапазоном и уровнем разрешения:

, (6.9)

второй множитель определяется локальной яркостью:

, (6.10)

и последний множитель определяется локальной дисперсией или степенью текстурированности.

В детекторе водяной знак обнаруживается при непосредственном вычислении значения корреляции wi с коэффициентами вейвлет-преобразования (ВП). Таким образом, возможно обнаружение ЦВЗ вслепую, без знания исходного изображения.

Данная схема использует модель зрительной системы человека, описанную в [15]. Каждое бинарное значение водяного знака предварительно домножается на весовой коэффициент, полученный на основе модели чувствительности человеческого зрения к шуму. Это позволяет добиться незаметности ЦВЗ

А19 (G.Nicchiotti [7, 21]).

ЦВЗ представляет собой массив псевдослучайных чисел, распределенных по гауссовскому закону, размером 32*32 = 1024 числа.

Исходное изображение подвергается вейвлет-преобразованию для того, чтобы получить низкочастотное изображение размером 32*32.

Для внедрения ЦВЗ отбираются все коэффициенты LL поддиапазона.

Встраивание информации в эти коэффициенты выполняется в соотвествии с выражением

, (6.11)

где — среднее значение выборки коэффициентов.

Извлечение информации выполняется по (6.4).

В работе [21] предложено усовершенствование описанной выше схемы за счет применения секретного ключа. Множество коэффициентов ВП разбивается по секретному ключу на два подмножества. Коэффициенты одного подмножества увеличиваются на некоторую величину к, коэффициенты другого подмножества на это же значение уменьшаются. Таким образом, средние значения по каждому из подмножеств в ходе работы алгоритма разносятся. Чтобы определить наличие/отсутствие водяного знака получатель снова поэтому же секретному ключу разбивает множество коэффициентов на два подмножества и проверяет различаются ли их средние значения приблизительно на два к.

А20 (R.Dugad [35]).

ЦВЗ представляет собой последовательность псевдослучайных действительных чисел, распределенных по гауссовскому закону. Длина последовательности соответствует размерам детальных поддиапазонов, несмотря на то, что водяной знак внедряется только в небольшое количество наибольших коэффициентов. Использование водяного знака такой длины помогает избежать зависимости от порядка вычисления корреляции при извлечении ЦВЗ.

Декомпозиция изображения трехуровневая, с использованием фильтров Добеши-8. Для встраивания информации отбираются коэффициенты детальных поддиапазонов, амплитуда которых выше некоторого порога .

Выражение для встраивания информации имеет вид

. (6.12)

При извлечении информации используется слепой метод обнаружения ЦВЗ, при этом рассматриваются только коэффициенты, амплитуда которых больше некоторого порога обнаружения .

По мнению авторов, визуальное маскирование достигается благодаря хорошей частотно-временной локализации ДВП. Детальные поддиапазоны, в которые добавляется водяной знак, содержат информацию об острых гранях и текстурированных поверхностях. Это обеспечивает незаметность внедренных данных, так как человеческий глаз мало чувствителен к изменениям на острых гранях и текстурированных поверхностях.

А21 (J.Kim [12]).

ЦВЗ представляет собой последовательность псевдослучайных действительных чисел, распределенных по гауссовскому закону, длиной 1000 чисел.

Декомпозиция изображения трехуровневая с использованием биортогональных вейвлет-фильтров.

Для встраивания ЦВЗ отбираются перцептуально значимые коэффициенты (существенное изменение которых приведет к искажениям, воспринимаемым зрительной системой человека). Порог отбора зависит от абсолютного максимума значений коэффициентов по всем подуровням i-поддиапазона .

Встраивание информации выполняется в соответствии с (6.2), но при этом коэффициент масштаба для каждого уровня — свой. Для уровня LL коэффициент масштаба равен 0.04, так как значения коэффициентов этого уровня достаточно велики. Для 3, 2 и 1 уровней декомпозиции используются соответственно коэффициенты 0.1, 0.2 и 0.4.

При извлечении ЦВЗ по (6.4) также учитывается адаптивный коэффициент масштаба..

Как отмечается в [12], данный алгоритм является робастным ко многим атакам.

А22 (Y.Kim [13]).

ЦВЗ представляет собой последовательность псевдослучайных действительных чисел, распределенных по гауссовскому закону. Длина последовательности для LL поддиапазона 500 чисел, для остающихся поддиапазонов 4500 чисел.

Предлагается использовать трехуровневую декомпозицию изображения. Водяной знак добавляется к наибольшим коэффициентам в каждом из поддиапазонов за исключением поддиапазонов наивысшего уровня разрешения (HL1, LH1, HH1). Количество элементов водяного знака wi в каждом из поддиапазонов пропорционально энергии этого поддиапазона. Энергия es определяется по формуле

(6.14)

где М, N — размеры поддиапазона.

Перед внедрением коэффициенты сортируются в порядке возрастания их абсолютных значений. Затем последовательность ЦВЗ складывается с последовательностью коэффициентов ВП, взятой в порядке убывания.

(6.15)

Для LL поддиапазона используется сравнительно малый коэффициент , составляющий приблизительно 1/100 от используемого для других поддиапазонов. Визуальный весовой коэффициент ws определяется для каждого поддиапазона и вводится в формулу для достижения гарантии незаметности водяного знака.

Извлечение информации выполняется также, как и в предыдущих алгоритмах.

А23 (P.Loo [16]).

ЦВЗ представляет собой массив биполярных псевдослучайных чисел. В алгоритме используется комплексное вейвлет-пакет преобразование, причем не только изображения, но и ЦВЗ.

Для модификации выбираются 1000 наибольших коэффициентов (рис. 6.1).

При встраивании информации элементы водяного знака домножаются на масштабирующий коэффициент и затем добавляются к коэффициентам ВП

(6.16)

где и — весовые коэффициенты, зависящие от уровня и предназначенные для достижения робастности и незаметности водяного знака, U(m,n) — среднее значение по окрестности 3*3 вокруг данного коэффициента.

Извлечение информации выполняется также, как и в предыдущих алгоритмах.

Рис 6.1. Отбор коэффициентов

А24 (С.Lu [19, 20, 17, 18]).

ЦВЗ представляет собой последовательность псевдослучайных действительных чисел, распределенных по гауссовскому закону , длина последовательности соответствует количеству отобранных коэффициентов.

Для декомпозиции изображения используется трехуровневое ВП.

Для модификации выбираются вейвлет-коэффициенты, амплитуда которых выше некоторого порога [JND — just noticeable difference].

Перед встраиванием информации вейвлет-коэффициенты сортируются в порядке возрастания их амплитуд. Таким же образом переупорядочиваются элементы гауссовской последовательности. На каждой итерации отбираются пара вейвлет-коэффициентов (fположит, fотриц) из «верха» упорядоченной последовательности вейвлет-коэффициентов исходного изображения и пара элементов последовательности ЦВЗ (wверх wнижн) из верхней и нижней части последовательности w.

При положительной модуляции правило

(6.17)

при отрицательной модуляции правило

(6.18)

применяется к отобранным вейвлет-коэффициентам для внедрения водяного знака. J обозначает JND-значение отобранного вейвлет-коэффициента, вычисленное на основе модели человеческого зрения, описанной в [31]. Весовой коэффициент определяет максимально возможное изменение и выбирается различным для аппроксимационного и детального поддиапазонов.

Перед извлечением ЦВЗ вейвлет-коэффициенты полученного изображения переупорядочиваются. Затем используется инверсная формула .

Авторы утверждают, что переупорядочивание вейвлет-коэффициентов (стратегия перемещений) перед встраиванием и извлечением водяного знака делает его более робастным к атакам подобным Stirmark.

В [17] приведена вариация этого метода, позволяющая осуществлять полуслепое извлечение водяного знака. Исходное изображение моделируется в ходе процесса извлечения информации с использованием гауссовской модели вейвлет-коэффициентов. Поэтому достаточно конечного количества параметров для описания распределения вероятностей вейвлет-коэффициентов переданного изображения. Но в этом случае только высокочастотные вейвлет-коэффициенты могут быть достаточно точно смоделированы. Следовательно, в этом случае необходимо отбирать коэффициенты только из детальных поддиапазонов.

А25 (С.Podilchuk [23, 24, 32]).

ЦВЗ представляет собой последовательность псевдослучайных действительных чисел, длина которой зависит от пропускной способности изображения, вычисляемой на основе модели человеческого зрения.

В алгоритме используется четырехуровневая декомпозиция ВП с использованием 7/9 биортогональных фильтров.

Для внедрения ЦВЗ отбираются только вейвлет-коэффициенты f(m,n), амплитуда которых выше некоторого порога (JND).

Встраивание информации выполняется в соответствии с (6.2), но с учетом порога JND:

(6.19)

Извлечение информации осуществляется при знании исходного изображения, по формуле (6.4). Перед вычислением корреляции все коэффициенты, меньшие по модулю текущего порога отбрасываются. Корреляция вычисляется отдельно для каждого уровня разрешения и рассматриваются пиковые значения корреляции.

Этот алгоритм можно рассматривать как модификацию алгоритма И.Кокса [11]. Модификация заключается в добавлении масштабирующего коэффициента масштаба, зависящего от мощности исходного сигнала. Весовой коэффициент вычисляется, исходя из модели зрения, основанной на парадигме JND. Этот подход применяется для достижения верхней границы возможной интенсивности ЦВЗ. Поэтому алгоритм позволяет незаметно внедрить достаточно робастный водяной знак. Важно отметить, что построение модели человеческого зрения гораздо проще осуществить при ДВП, чем при ДКП.

Предлагаемая схема может быть применена не только при ДВП, но и при ДКП, что позволяет встраивать информацию в данные сжатые как по стандарту JPEG2000, так и по стандарту JPEG [37].

А26 (X-G.Xia[33]).

Водяной знак представляет собой последовательность псевдослучайных действительных чисел, распределенных по Гауссовскому закону.

Для декомпозиции используется преобразование Хаара.

Для внедрения отбираются наибольшие коэффициенты из высокочастотного и среднечастотного диапазонов (поддиапазоны деталей).

Встраивание выполняется согласно аддитивной формуле

, (6.21)

где от значения зависит энергия ЦВЗ, а от значения - значение больших коэффициентов.

Для извлечения используется инверсная формула, аналогичная (6.4).

Благодаря иерархической декомпозиции, может быть сокращено количество вычислительных операций в процессе обнаружения водяного знака.

Большие вейвлет-коэффициенты соответствуют контурам и текстурам изображения. Именно в таких участках изображения и содержится большая часть энергии водяных знаков, так как человеческий глаз мало чувствителен к небольшим изменениям в таких областях. Авторы утверждают, что применение ВП позволяет достичь большей робастности к атакам с изменением масштаба, чем применение ДКП.

А27 (H.-J. Wang [27–30]).

Внедряется последовательность псевдослучайных действительных чисел, распределенных по гауссовскому закону, длина которой соответствует количеству отобранных коэффициентов.

Для встраивания выполняется пятиуровневое вейвлет-преобразование и отбираются значимые коэффициенты всех поддиапазонов. Поиск таких коэффициентов основан на принципах многопорогового вейвлет-кодера (MTWC) [25, 26]. Решение о значимости коэффициентов выносится на основании их сравнения с порогом данной субполосы TSi. После встраивания водяного знака порог делится на два. Начальное значение порога TSi определяется по формуле

(6.22)

где — весовой коэффициент данного поддиапазона.

Алгоритм начинает работу с наиболее энергетически значимого поддиапазона (наибольшее значение порога) и итерации продолжаются до тех пор, пока все биты ЦВЗ не будут внедрены… Для встраивания используются только детальные поддиапазоны.

Внедрение выполняется в соответствии с формулой

. (6.23)

Для извлечения информации используется инверсная формула, аналогичная (6.4).

Для большей безопасности стегосистемы внедрение можно выполнять не во все значимые коэффициенты подряд, а в выьираемые в соответствии с кллючом.

А28 (H.-J. Wang [28]).

Алгоритм А27 может быть изменен так, чтобы извлечение ЦВЗ стало слепым. Декодер должен в этом случае выполнить оценивание значений коэффициентов исходного изображения. Для упрощения его задачи перед встраиванием коэффициенты квантуются для уменьшения числа их возможных значений.

Пусть fs(m,n) — значимый коэффициент из поддиапазона s. То есть . Тогда коэффициент модифицируется согласно формуле

(6.24)

где sign — знак отобранного коэффициента, а определяется как

(6.25)

Целое число p выбирается таким образом, чтобы расстояние между исходным и квантованным значением коэффициента было минимальным.

При извлечении ЦВЗ вслепую вместо исходного коэффициента используется его аппроксимация . Таким образом, получим

(6.26)

Слепая схема извлечения оказывается намного менее помехоустойчивой, как это отмечено в [29].

6.1.2. Обзор алгоритмов на основе слияния ЦВЗ и контейнера

Если вместо последовательности псевдослучайных чисел в изображение встраивается другое изображение (например, логотип фирмы), то соответствующие алгоритмы внедрения называются алгоритмами слияния. Размер внедряемого сообщения намного меньше размера исходного изображения. Перед встраиванием оно может быть зашифровано или преобразовано каким-нибудь иным образом.

У таких алгоритмов есть два преимущества.

Во-первых, можно допустить некоторое искажение скрытого сообщения, так как человек все равно сможет распознать его.

Во-вторых, наличие внедренного логотипа является более убедительным доказательством прав собственности, чем наличие некоторого псевдослучайного числа.

Рассмотрим некоторые алгоритмы внедрения изображений в изображения.

А29 (J.Chae [4,5]).

В алгоритме внедряется черно-белое изображение (логотип), размером до 25 % от размеров исходного изображения. Перед встраиванием выполняется одноуровневая декомпозиция как исходного изображения, так и эмблемы с применением фильтров Хаара. Вейвлет-коэффициенты исходного изображения обозначаются, как f(m,n), а вейвлет-коэффициенты логотипа — w(m,n).

Модификации подвергаются все коэффициенты преобразования, как это показано на рис. 6.2.

Рис 6.2. Схема встраивания ЦВЗ

Вначале коэффициенты каждого поддиапазона, как исходного изображения, так и логотипа представляются 24 битами (из которых один бит отводится на знак). Так как размер логотипа в 4 раза меньше исходного изображения, то необходимо увеличить количество его коэффициентов. Для этого выполняются следующие действия.

Обозначим, через А, В, и С соответственно, старший, средний и младший байты 24-битного представления логотипа. На рис. 6.2 показано формирование трех 24-битных чисел А′, В′ и С′. Старший байт каждого из этих чисел представляет собой соответственно А, В, или С, два других байта заполняются нулями.

Затем формируется расширенный вчетверо блок коэффициентов логотипа. После чего он поэлементно складывается с 24-битной версией исходного изображения

. (6.27)

Полученное значение отображается назад к исходной шкале на основе значений минимального и максимального коэффициента поддиапазона. После чего осуществляется обратное дискретное ВП.

Для извлечения ЦВЗ используется инверсная формула, аналогичная (6.4).

Данный алгоритм позволяет скрыть довольно большой объем данных в исходном изображении: до четверти от размеров исходного изображения.

А30 (D.Kundur [14]).

Также, как и в предыдущем алгоритме, исходное и внедряемое изображения подвергаются вейвлет-преобразованию. Для встраивания используются все коэффициенты детальных поддиапазонов.

Множество этих коэффициентов разбивается на неперекрывающиеся блоки размером . Блоки обозначаются , где , а k и l, соответственно местоположение коэффициента и уровень разрешения.

Водяной знак прибавляется к элементам исходного изображения по формуле

, (6.28)

где S — коэффициент масштаба, вычисляемый по формуле

, (6.29)

C(u,v) — взвешивающая матрица, определяющая частотную чувствительность системы зрения человека, Т — оператор ДПФ.

Таким образом, алгоритм использует довольно сложную модель человеческого зрения. Для обнаружения в детекторе может быть использовано как вычисление корреляционной функции, так и визуальное сравнение.

6.2. Стеганографические методы на основе квантования

6.2.1. Принципы встраивания информации с использованием квантования. Дизеризованные квантователи

Под квантованием понимается процесс сопоставления большого (возможно и бесконечного) множества значений с некоторым конечным множеством чисел. Понятно, что при этом происходит уменьшение объема информации за счет ее искажения. Квантование находит применение в алгоритмах сжатия с потерями. Различают скалярное и векторное квантование. При векторном квантовании, в отличии от скалярного, происходит отображение не отдельно взятого отсчета, а их совокупности (вектора). Из теории информации известно, что векторное квантование эффективнее скалярного по степени сжатия, обладая большей сложностью. В стеганографии находят применение оба вида квантования.

В кодере квантователя вся область значений исходного множества делится на интервалы, и в каждом интервале выбирается число его представляющее. Это число есть кодовое слово квантователя и обычно бывает центроидом интервала квантования. Множество кодовых слов называется книгой квантователя. Все значения, попавшие в данный интервал, заменяются в кодере на соответствующее кодовое слово. В декодере принятому числу сопоставляется некоторое значение. Интервал квантования обычно называют шагом квантователя.

Встраивание информации с применением квантования относится к нелинейным методам. В работе [41] было показано, как может быть построена подобная «слепая» стегосистема, пропускная способность которой эквивалентна пропускной способности стегосистемы, имеющей на приеме исходный сигнал. При этом делается предположение о гауссовском характере исходного сигнала.

Модель стегосистемы, не требующей наличия исходного сигнала в декодере представлена на рис. 6.3.

Рис. 6.3 Модель «слепой» стегосистемы

Передаваемое сообщение m имеет ограниченную энергию для выполнения требования его незаметности. Помехами являются исходный сигнал и еще одна гауссовская помеха — шум обработки (квантования). Кодеру исходный сигнал известен, декодер должен извлечь ЦВЗ m без знания обеих составляющих помех. В работе [40] Костасом предложен метод борьбы с помехами, который, однако, является непрактичным в силу необходимости выполнения полного перебора кодовых слов в книге большого размера. Поэтому, были предложены многочисленные улучшения метода Костаса, заключающиеся в применении различных структурированных квантователей (например, решетчатых или древовидных).

Как было показано в главе 5, наиболее предпочтительно внедрение информации в спектральную область изображения. Если при этом используются линейные методы, то встраивание ЦВЗ производят в средние полосы частот. Это объясняется тем, что энергия изображения сосредоточена, в основном, в низкочастотной (НЧ) области. Следовательно, в детекторе ЦВЗ в этой области наблюдается сильный шум самого сигнала. В высокочастотных (ВЧ) областях большую величину имеет шум обработки, например, сжатия. В отличие от линейных, нелинейные схемы встраивания информации могут использовать НЧ области, так как мощность внедряемого ЦВЗ не зависит от амплитуды коэффициентов. Это объясняется тем, что в нелинейных алгоритмах скрытия не используется корреляционный детектор, коэффициенты малой и большой амплитуды обрабатываются одинаково.

Итак, как показано на рис. 6.3, внедряемый ЦВЗ m определенным образом модулируется и складывается с исходным сигналом x, в результате чего получается заполненный контейнер s(x,m). Этот контейнер может рассматриваться и как ансамбль функций от x, проиндексированных по m, т. е. sm(x). Эти функции обладают следующими свойствами:

— каждая из них должна быть близка, визуально неотличима от x;

— точки одной функции должны находиться на достаточном расстоянии от точек другой функции, чтобы обеспечить возможность робастного детектирования ЦВЗ.

В качестве таких функций может выступать семейство квантователей. Число всевозможных m определяет необходимое число квантователей; индекс m определяет используемый квантователь для представления ЦВЗ m. Для случая m = 2 мы получаем бинарный квантователь. На рис. 6.4 поясняется принцип встраивания информации с применением модуляции индекса квантования (МИК). Для вложения бита , точка изображения отображается в одно из близлежащих кодовых слов. Минимальное расстояние между кодовыми словами различных квантователей определяет робастность схемы ЦВЗ.

В работе [38, 39] рассматривается применение в схеме МИК так называемого дизеризованного квантователя. Дизеризация заключается в том, что перед квантованием к сигналу добавляется некоторое число di, которое вычитается после квантования:

. (6.30)

Рис. 6.4. Отображение точки изображения в близлежащее кодовое слово

Таким образом, семейство дизеризованных квантователей образуется на основе одного квантователя Q и вектора дизеризации d длиной L. Рассмотрим для примера бинарный скалярный равномерный квантователь Q с размером шага . Семейство дизеризованных квантователей может быть получено, например, путем генерации в качестве вектора d(1) случайной равномерно распределенной последовательности длиной L, члены которой принимают значения из диапазона . В качестве вектора d(2) выбираем

. (6.31)

Интересной особенностью рассмотренного дизеризованного квантователя является то, что ошибка квантования не зависит от входного сигнала [43].

Дизеризованный квантователь может применяться и в развитии техники расширения спектра сигнала в стеганографии. Изменение обычного метода встраивания с расширением спектра заключается в простой замене сложения на операцию квантования. Вложение информации при помощи сигналов с расширением спектра может быть представлено как

, (6.32)

где u — нормализованный псевдослучайный вектор. Это выражение может быть переписано в виде

, (6.33)

где - проекция сигнала x на вектор u: . Теперь заменим операцию сложения на операцию квантования. Тогда формула для встраивания ЦВЗ будет иметь вид

. (6.34)

6.2.2. Обзор алгоритмов встраивания ЦВЗ с использованием скалярного квантования

А31 (C.-J. Chu [44]). В данном алгоритме к цветному изображению первоначально применяется пятиуровневое целочисленное вейвлет-преобразование. ЦВЗ представляет собой последовательность ±1. Модификации подвергаются только высокочастотные коэффициенты голубой компоненты, так как человеческий глаз наименее чувствителен к искажениям в этой области спектра. Перед встраиванием ЦВЗ двоичное представление коэффициентов сдвигается вправо, а после встраивания — влево. За счет этого достигается робастность к возможному последующему квантованию. Коэффициенты встраиваются в соответствии со следующей формулой:

, (6.35)

где определяет мощность ЦВЗ wi, а яркость соответствующего пиксела изображения — .

Извлечение ЦВЗ происходит в отсутствие исходного изображения, а искаженный коэффициент голубого канала оценивается на основе близлежащих коэффициентов. При этом находится разность между принятым коэффициентом и его оценкой, и бит ЦВЗ определяется исходя из ее знака:

(6.36)

А32 (Hsu [42]). В этом алгоритме в качестве ЦВЗ используется бинарное изображение размером вдвое меньше исходного. Оба изображения подвергаются кратномасштабному разложению: контейнер декомпозируется при помощи вейвлет-преобразования (фильтр Добеши-6, два уровня), а ЦВЗ преобразуется при помощи понижающей разрешение функции, описанной в стандарте JBIG (Joint Binary Image Group). Таким образом, к каждому изображению применяется соответствующее ему преобразование. ЦВЗ с уменьшенным разрешением будем называть остаточным. Остаточный ЦВЗ интерполируется (то есть между всеми пикселами вставляются нули) и вычитается из начального ЦВЗ. В результате получается разностный ЦВЗ, энергия которого значительно меньше остаточного.

И разностный и остаточный ЦВЗ встраиваются в вейвлет-образ исходного изображения. При этом внедрение осуществляется только в ВЧ-НЧ и НЧ-ВЧ области. Область НЧ-НЧ не используется, так как значения коэффициентов большие, а значит велик шум изображения, а область ВЧ-ВЧ не используется, так как в ней большую величину имеет шум обработки: коэффициенты в ней малы и будут удалены после сжатия. Для большей робастности внедрение ЦВЗ выполняется «через столбец» в каждую из областей: в одну внедряются четные столбцы, а в другую — нечетные. Перед встраиванием биты ЦВЗ перемешиваются по псевдослучайному закону. Процесс внедрения показан на рис. 6.5. Как видно из рисунка, остаточный ЦВЗ встраивается в более энергетически значимые области изображения, чем разностный. Тем самым достигается согласование между изображением-контейнером и ЦВЗ.

Рис. 6.5. Встраивание остаточного и разностного ЦВЗ

Надо отметить, что этот алгоритм вряд ли является стойким к операциям обработки сигнала: так как вейвлет-преобразование прекрасно концентрирует энергию изображения в НЧ-областях, ВЧ-коэффициенты будут малы. Поэтому они будут удалены алгоритмом сжатия вместе с вложенной информацией. Другим недостатком алгоритма является то, что для декодирования ЦВЗ требуется наличие в декодере исходного изображения.

6.2.3. Встраивание ЦВЗ с использованием векторного квантования

В предыдущем разделе рассматривался случай, когда на вход квантователя подавались скалярные значения, и каждое кодовое слово квантователя представляло собой единичный отсчет выхода источника. Стратегия квантования, которая предусматривает работу с последовательностями или блоками отсчетов называется векторным квантованием. Проблема в этом случае состоит в генерации множества последовательностей, называемой кодовой книгой. Этот процесс проиллюстрирован на рис. 6.6.

Рис. 6.6. Векторное квантование

Алгоритм квантования должен отыскивать ближайший вектор в достаточно большой кодовой книге для заданного вектора источника с ограниченной вычислительной сложностью

А33 (J.Chae, [45]). ЦВЗ в этом алгоритме есть последовательность символов, полученная из логотипа, размер которого в четыре раза меньше размеров контейнера. n коэффициентов вейвлет-преобразования группируются для формирования n-мерного вектора. В частности, при n = 4 создается решетчатая структура D4. Для внедрения одного коэффициента логотипа осуществляется манипуляция вектора квантованных коэффициентов изображения-контейнера.

Встраивание. Вектор коэффициентов ДВП контейнера vi модифицируется в соответствии с масштабированным кодовым словом, представляющим wi

(6.37)

Таким образом, при n = 4 для встраивания одного коэффициента логоизображения необходимо изменить четыре коэффициента контейнера.

Для извлечения информации требуется исходное изображение. Вектор ошибки вычисляется по формуле и затем, для восстановления вложения по кодовой книге ищется ближайшее кодовое слово

(6.38)

Если кодовая книга упорядочена, имеет структуру, то поиск может быть выполнен быстро. В целом, авторы отмечают, что метод внедрения посредством векторного квантования является более гибким по сравнению со скалярным случаем и позволяет лучше контролировать робастность, уровень искажений и качество внедряемого изображения через параметр .

6.3. Стегоалгоритмы, использующие фрактальное преобразование

В алгоритмах данного пункта используются идеи, заимствованные из области кодирования изображений. Тема фрактального сжатия изображения, наверное, самого оригинального алгоритма сжатия, стала популярной в середине 90-х годов. Этому методу выдавались громадные авансы, сообщалось о фантастических достигнутых коэффициентах сжатия (порядка нескольких тысяч). Как выяснилось позднее, значительная часть этих публикаций имела чисто рекламный характер, а эксперименты были поставлены некорректно. Насколько нам известно, лучшие фрактальные кодеры незначительно превосходят по эффективности сжатия алгоритм JPEG и значительно уступают алгоритму JPEG2000. Важным преимуществом фрактального метода сжатия для многих приложений является его резкая асимметричность. Декодер реализуетсяя исключительно просто. Так, сжатый этим методом видеофильм может быть воспроизведен даже на 386DX-40.

Основная идея метода сжатия заключается в поиске последовательности афинных преобразований (поворот, сдвиг, масштабирование), позволяющих аппроксимировать блоки изображения малого размера (ранговые) блоками большего размера (доменами). То есть считается, что изображение самоподобно. Эта последовательность преобразований и передается декодеру. Будучи примененными к любому изображению, эти преобразования дают в результате искомое изображение. Фрактальное кодирование может рассматриваться, как разновидность векторного квантования, причем в качестве кодовой книги выступают различные преобразования.

Мы рассмотрим три стегоалгоритма, использующих фрактальное преобразование. Как нам кажется, только первый из них является более или менее перспективным. Второй и третий алгоритмы не являются устойчивыми к сжатию изображения — заполненного контейнера.

А34 (Bas[48]). Интересно, что «внешний» ЦВЗ в данном алгоритме вообще отсутствует. Информация встраивается за счет такого изменения изображения, чтобы оно стало содержать самоподобия. Таким образом может быть внедрено 15 различных ЦВЗ.

Алгоритм работает следующим образом. Вначале выбираются несколько «особых» точек с использованием известного из фрактального кодирования метода Стефана-Харриса. Каждая особая точка определяет блок размером 4х4 вокруг нее и 16 блоков размером 4х4, образующих доменный пул (рис. 4.7). Для каждой особой точки выполняют изменение доменного блока в той же позиции так, чтобы он был более похож на ранговый блок, чем любой другой доменный блок. (Так как всего можно выбрать 15 блоков, это дает возможность внедрить 15 ЦВЗ). Получившийся доменный блок определяется выражением

, (6.39)

где - среднее значение пикселов в D. Он добавляется к Rj в соответствии с выражением

, (6.39)

где s — коэффициент, учитывающий квантование.

При извлечении ЦВЗ вначале восстанавливаются значения особых точек, Dj и Wj. Для каждого блока Rj вычисляется

. (6.40)

Далее находят наиболее похожий блок, который должен быть тем же, что и в процессе встраивания. Число совпавших блоков есть мера вероятности того, что ЦВЗ присутствует в изображении.

А35 (Puate [47]). В качестве ЦВЗ выступает строка бит. Секретным ключом, от которого зависит эффективность всего алгоритма, является в данном случае выбор рангового блока. Число ранговых блоков есть верхняя граница для числа встраиваемых бит. Доменный пул делится на две части: одной будет соответствовать внедрение единиц, другой — внедрение нулей.

ЦВЗ добавляется следующим образом. Для выбранного в соответствии с ключом рангового блока в доменном пуле ищется соответствующий блок. Если надо встроить 1, поиск выполняется в одной части пула, если 0 — в другой части. Для ранговых блоков, в которые не встраивается биты ЦВЗ, поиск осуществляется во всем доменном пуле. После фрактального кодирования изображения осуществляется его декодирование для получения исходного изображения.

Декодер знает секретный ключ и выполняет обратные преобразования, восстанавливая ЦВЗ. В работе [47] показано, что этот алгоритм устойчив к сжатию JPEG.

А36 (Davern [49]). Алгоритм заключается в следующем. Пользователь вручную выбирает две неперекрывающиеся квадратные области на изображения, называемые ранговой и доменной областью. Местоположение этих областей составляет часть секретного ключа, необходимого для извлечения ЦВЗ.Блоки ы ранговой области модифицируются для внедрения битов ЦВЗ. Эти блоки могут иметь размеры 4х4, 8х8 или 16х16. Число блоков есть верхняя граница длины ЦВЗ. Блоки выбираются в псевдослучайном порядке, что составляет вторую часть секретного ключа. Также, как и в предыдущем алгоритме, доменная область делится на две части: соответствующую внедрению нулей и единиц. Далее вычисляются значения масштабирующего коэффициента и коэффициента сдвига , удовлетворяющих равенству

, (6.41)

где Rk — ранговый блок, Dmk — соответствующий ему (и ЦВЗ) доменный блок. Получив коэффициенты, выполняем обратное преобразование: вычисляем значение рангового блока

. (6.41)

Теперь находим отличный от первого коэффициента коэффициент в , либо равный нулю, либо равный 255, путем зигзагообразного сканирования , начиная со второго коэффициента. Пусть найденный коэффициент . Далее вычисляем новые значения коэффициентов :

, (6.42)

. (6.43)

Как видно из этого выражения, в вычислении новых значений коэффициентов участвуют не все пикселы ранговой и доменной областей. И, наконец, мы вычисляем значения всех пикселов от до с использованием :

, где . (6.44)

Получившимся блоком заменяют исходный блок . При извлечении ЦВЗ ранговые блоки обходятся в том же порядке, что и при встраивании. Для каждого рангового блока ищется соответствующий ему доменный. Если находится полностью соответствующий блок, то по его принадлежности к той или иной части доменной области судят о встроенном бите ЦВЗ.

Недостатком этого алгоритма является, на наш взгляд, способ вычисления коэффициентов масштабирования и сдвига — всего лишь по двум пикселам. Это может существенно ухудшить качество изображения при внедрении ЦВЗ.

7. СКРЫТИЕ ДАННЫХ В АУДИОСИГНАЛАХ

Для того, чтобы перейти к обсуждению вопросов внедрения информации в аудиосигналы, необходимо определить требования, которые могут быть предъявлены к стегосистемам, применяемым для встраивания информации в аудиосигналы:

— скрываемая информация должна быть стойкой к наличию различных окрашенных шумов, сжатию с потерями, фильтрованию, аналогово-цифровому и цифро-аналоговому преобразованиям;

— скрываемая информация не должна вносить в сигнал искажения, воспринимаемые системой слуха человека;

— попытка удаления скрываемой информации должна приводить к заметному повреждению контейнера (для ЦВЗ);

— скрываемая информация не должна вносить заметных изменений в статистику контейнера;

Для внедрения скрываемой информации в аудиосигналы можно использовать методы, применимые в других видах стеганографии. Например, можно внедрять информацию, замещая наименее значимые биты (все или некоторые). Или можно строить стегосистемы, основываясь на особенностях аудиосигналов и системы слуха человека.

Систему слуха человека можно представить, как анализатор частотного спектра, который может обнаруживать и распознавать сигналы в диапазоне 10 — 20000 Гц. Систему слуха человека можно смоделировать, как 26 пропускающих фильтров, полоса пропускания, которых увеличивается с увеличением частоты. Система слуха человека различает изменения фазы сигнала слабее, нежели изменения амплитуды или частоты.

Аудиосигналы можно разделить на три класса:

— разговор телефонного качества, диапазон 300 — 3400 Гц;

— широкополосная речь 50 — 7000 Гц;

— широкополосные аудиосигналы 20 — 20000 Гц.

Практически все аудиосигналы имеют характерную особенность. Любой из них представляет собой достаточно большой объем данных, для того, чтобы использовать статистические методы внедрения информации. Первый из описываемых методов, рассчитанный на эту особенность аудиосигналов, работает во временной области.

7.1. Методы кодирования с расширением спектра

Алгоритм, предложенный в работе [2], удовлетворяет большинству из предъявляемых требований, изложенных выше. ЦВЗ внедряется в аудиосигналы (последовательность 8- или 16-битных отсчетов) путем незначительного изменения амплитуды каждого отсчета. Для обнаружения ЦВЗ не требуется исходного аудиосигнала.

Пусть аудиосигнал состоит из N отсчетов x(i), i =1, …, N, где значение N не меньше 88200 (соответственно 1 секунда для стереоаудиосигнала, дискретизированного на частоте 44,1 кГц). Для того чтобы встроить ЦВЗ, используется функция f(x(i), w(i)), где w(i) — отсчет ЦВЗ, изменяющийся в пределах [-α; α], α — некоторая константа. Функция f должна принимать во внимание особенности системы слуха человека во избежание ощутимых искажений исходного сигнала. Отсчет результирующего сигнала получается следующим образом:

(7.1)

Отношение сигнал-шум в этом случае вычисляется как

(7.2)

Важно отметить, что применяемый в схеме генератор случайных чисел должен иметь равномерное распределение. Стойкость ЦВЗ, в общем случае, повышается с увеличением энергии ЦВЗ, но это увеличение ограничивается сверху допустимым отношением сигнал-шум.

Обнаружение ЦВЗ происходит следующим образом. Обозначим через S следующую сумму:

. (7.3)

Комбинируя (7.1) и (7.3), получаем

. (7.4)

Первая сумма в (7.4) равна нулю, если числа на выходе ГСЧ распределены равномерно и математическое ожидание значения сигнала равно нулю. В большинстве же случаев наблюдается некоторое отличие, обозначаемое , которое необходимо также учитывать.

Следовательно, (7.4) принимает вид

. (7.5)

Сумма , как показано выше, приблизительно равна нулю. Если в аудиосигнал не был внедрен ЦВЗ, то S будет приблизительно равна . С другой стороны, если в аудиосигнал был внедрен ЦВЗ, то S будет приблизительно равна . Однако, — это исходный сигнал, который по условию не может быть использован в процессе обнаружения ЦВЗ. Сигнал можно заменить на , это приведет к замене на , ошибка при этом будет незначительной.

Следовательно, вычитая величину из S, и деля результат на , получим результат r, нормированный к 1. Детектор ЦВЗ, используемый в этом методе, вычисляет величину r, задаваемую формулой

. (7.6)

Пороговая величина обнаружения теоретически лежит между 0 и 1, с учетом аппроксимации этот интервал сводится к [0 — ε; 1 + ε]. Опытным путем установлено, что для того чтобы определить действительно ли определенный ЦВЗ находится в сигнале, пороговое значение ЦВЗ должно быть выше 0,7. Если требуется большая достоверность в определении наличия ЦВЗ в сигнале, пороговое значение необходимо увеличить. Работа кодера и декодера представлены на рис. 7.1.

На рис. 7.2 показана эмпирическая функция плотности вероятности для аудиосигнала с ЦВЗ и без ЦВЗ. Эмпирическая функция плотности вероятности аудиосигнала без ЦВЗ показана непрерывной кривой, пунктирная кривая описывает эмпирическую функцию плотности вероятности аудиосигнала с встроенным ЦВЗ. Оба распределения были вычислены с использованием 1000 различных значений ЦВЗ при отношении сигнал-шум 26 дб.

Рис. 7.1. Блок-схема стегокодера и стегодекодера

Рис. 7.2. Функция плотности распределения величины обнаружения для сигналов с ЦВЗ и без ЦВЗ

Внедрение в один аудиосигнал большого количества различных ЦВЗ приводит к увеличению слышимости искажений. Максимальное число ЦВЗ ограничено энергией каждого из них. Декодер способен правильно восстановить каждый ЦВЗ при условии использования кодером уникальных ключей. На рис. 7.3 показан пример обнаружения ЦВЗ с использованием 1000 различных ключей, из которых только один — верный [1].

Рис. 7.3. Распознавание заданного ключа встраивания ЦВЗ

В работе [1] проверялась стойкость рассматриваемого метода внедрения информации к сжатию MPEG до скоростей 80 кб/с и до 48 кб/с. После восстановления при сжатии до скорости 80 кб/с можно наблюдать незначительное уменьшение пороговой величины обнаружения в аудиосигналах с ЦВЗ (рис. 7.4). При сжатии аудиосигнала до 48 кб/с появляются звуковые эффекты, ощутимо снижающие качество сигналов с ЦВЗ.

Стойкость алгоритма встраивания ЦВЗ к фильтрации проверена применением к нему скользящего фильтра средних частот и фильтра нижних частот. Аудиофайлы с внедренным ЦВЗ профильтрованы скользящим фильтром средних частот длины 20, который вносит в аудиоинформацию значительные искажения.

Рис. 7.4. Влияние сжатия данных на ЦВЗ

Рис. 7.5. Влияние на ЦВЗ применения к аудиосигналу скользящего фильтра средних частот

На рис. 7.5 показано, как изменяется пороговая величина обнаружения при применении вышеописанного фильтра. В общем, порог обнаружения увеличивается в отфильтрованных сигналах. Это происходит по причине того, что функция плотности распределения сигналов после фильтрации сдвигается вправо по сравнению с относительной функцией распределения сигналов, не подвергавшихся фильтрации.

ЦВЗ сохраняется и при применении к аудиосигналу фильтра нижних частот. Однако при фильтрации аудисигналов с ЦВЗ фильтром нижних частот Хэмминга 25-го порядка с частотой среза 2205 Гц имело место уменьшение вероятности обнаружения наличия ЦВЗ.

Для проверки стойкости ЦВЗ к передискретизации Р. Бассиа и И. Питасом аудиосигналы были передискретизированы на частоты 22050 Гц и 11025 Гц и назад на начальную частоту. ЦВЗ сохранялся.

При переквантовании аудиосигнала из 16-битного в 8-битный и обратно внедренный ЦВЗ сохраняется, несмотря на частичную потерю информации. На рис. 7.6 показано насколько хорошо ЦВЗ сохраняется в 1000 аудиосигналах при их переквантовании в 8-битные отсчеты и обратно в 16-битные.

Рис. 7.6. Влияние переквантования сигнала на ЦВЗ

Девиация функции плотности распределения переквантованного сигнала увеличивается, как и в случае применения фильтра нижних частот, следовательно, имеет место уменьшение эффективности обнаружения.

7.2. Внедрение информации модификацией фазы аудиосигнала

Метод, предлагающий использовать слабую чувствительность системы слуха человека к незначительным изменениям фазы сигнала, был предложен В. Бендером, Н. Моримото и др.

Внедрение информации модификацией фазы аудиосигнала — это метод, при котором фаза начального сегмента аудиосигнала модифицируется в зависимости от внедряемых данных. Фаза последующих сегментов согласовывается с ним для сохранения разности фаз. Это необходимо потому, что к разности фаз человеческое ухо более чувствительно. Фазовое кодирование, когда оно может быть применено, является одним из наиболее эффективных способов кодирования по критерию отношения сигнал-шум.

Процедура фазового кодирования состоит в следующем:

1. Звуковой сигнал разбивается на серию N коротких сегментов рис. 7.7(а), 7.7(б).

2. К n-му сегменту сигнала применяется k-точечное дискретное преобразование Фурье, где К = I/N, и создаются матрицы фаз и амплитуд для (рис 7.7(в)).

3. Запоминается разность фаз между каждыми двумя соседними сегментами рис. (7.7(г)).

(7.7)

4. Бинарная последовательность данных представляется, как и - (рис 7.7(д)), .

5. С учетом разности фаз создается новая матрица фаз для n > 0, (рис. 7.7(е)):

(7.8)

6. Стегокодированный сигнал получается путем применения обратного дискретного преобразования Фурье, к исходной матрице амлитуд и модифицированной матрице фаз. (рис. 7.7(ж) и 7.7(з)).

Рис. 7.7. Блок-схема фазового кодирования

Получателю должны быть известны: длина сегмента, и точки ДПФ. Перед декодированием последовательность должна быть синхронизирована.

Недостатком этой схемы является ее низкая пропускная способность. В экспериментах В. Бендера и Н. Моримото пропускная способность канала варьировалась от 8 до 32 бит в секунду.

7.3. Встраивание информации за счет изменения времени задержки эхо-сигнала

Теми же авторами был предложен метод внедрения информации с использованием эхо-сигнала.

Этот метод позволяет внедрять данные в сигнал прикрытия, изменяя параметры эхо сигнала. К параметрам эхо, несущим внедряемую информацию (рис. 7.8), относятся: начальная амплитуда, время спада и сдвиг (время задержки между исходным сигналом и его эхо). При уменьшении сдвига два сигнала смешиваются. В определенной точке человеческое ухо перестает различать два сигнала, и эхо воспринимается, как добавочный резонанс. Эту точку трудно определить точно, так как она зависит от исходной записи, типа звука и слушателя. В общем случае, по исследованиям В. Бендера и Н. Моримото, для большинства типов сигналов и для большинства слушателей слияние двух сигналов происходит при расстоянии между ними около 0,001 секунды.

Рис. 7.8. Параметры эхо-сигнала

Кодер использует два времени задержки: одно для кодирования нуля, другое для кодирования единицы. И то, и другое время задержки меньше того, на котором человеческое ухо может распознать эхо. Кроме уменьшения времени задержки необходимо добиться установлением начальной амплитуды и времени спада того, чтобы внедренная информация не могла быть воспринята системой слуха человека.

Кодирование. Для простоты, был выбран пример только двух импульсов (один для копирования исходного сигнала, другой для формирования эхо сигнала). Увеличение количества импульсов приведет к увеличению количества отсчетов эхо-сигналов.

Пусть на рис. 7.9а показан способ кодирования «единицы» а на рис. 7.9б — способ кодирования «нуля». Внедрение данных показано на рис. 7.10.

Задержка () между исходным сигналом и его эхо зависит от внедряемых в данный момент данных. Единице соответствует задержка (), а нулю — задержка эхо-сигнала ().

Для того чтобы закодировать более одного бита, исходный сигнал разделяется на маленькие участки. Каждый участок рассматривается как отдельный сигнал, и в него внедряется один бит информации. Результирующий закодированный сигнал (содержащий несколько бит внедренной информации) представляет собой комбинацию отдельных участков. На рис. 7.11 показан пример, в котором сигнал разделяется на семь участков — a, b, c, d, e, f, g.

Рис. 7.9. Кодирование одного бита информации

Рис. 7.10. Внедрение одного бита информации

В участки a, с, d, g будет внедрена единица. Следовательно, на этих участках система будет функционировать так, как показано на рис. 7.9а. Нули будут внедрены в участки b, e, f, на этих участках система будет функционировать так, как показано на рис. 7.9б.

Рис. 7.11. Разделение сигнала на участки

Для достижения минимума заметности сначала создаются два сигнала: один, содержащий только «единицы», и другой — содержащий только нули. Полученные в результате сигналы показаны на рис. 7.12.

Рис. 7.12. Сигналы, содержащие только одно бинарное значение

Затем создаются два переключающих сигнала — нулевой и единичный (рис. 7.13). Каждый из них представляет собой бинарную последовательность, состояние которой зависит от того, какой бит должен быть внедрен в данный участок звукового сигнала.

Рис. 7.13. Переключающие сигналы

Далее вычисляется сумма произведений нулевого смешивающего сигнала и аудиосигнала с задержкой «нуль», а также единичного смешивающего сигнала и аудиосигнала с задержкой «единица». Другими словами, когда в аудиосигнал необходимо внедрить «единицу», на выход подается сигнал с задержкой «единица», в противном случае — сигнал с задержкой «нуль». Так как сумма двух смешивающих сигналов всегда равна единице, то обеспечивается гладкий переход между участками аудиосигнала, в которые внедрены различные биты. Блок-схема стегокодера показана на рис. 7.14.

Рис. 7.14. Блок-схема стегокодера

Декодирование. Декодирование внедренной информации представляет собой определение промежутка времени между сигналом и эхо. Для этого необходимо рассмотреть амплитуду (в двух точках) автокорреляционной функции дискретного косинусного преобразования логарифма спектра мощности (кепстра).

В результате вычисления кепстра получится последовательность импульсов (эхо, дублированное каждые секунд) (рис. 7.15).

Рис. 7.15. Результат вычисления кепстра

Для определения промежутка времени между сигналом и его эхом необходимо рассчитать автокорреляционную функцию кепстра.

Всплеск автокорреляционной функции будет иметь место через или секунд после исходного сигнала (рис. 7.16). Правило декодирования основано на определении промежутка времени между исходным сигналом и всплеском автокорреляции.

При декодировании «единица» принимается, если значение автокорреляционной функции через секунд больше чем через секунд, в противном случае — «нуль».

Рис. 7.16. Поведение автокорреляционной функции при различной внедренной информации

По исследованиям В. Бендера и Н. Моримото данная схема позволяет внедрять 16 бит в одну секунду аудиозаписи незаметно, без потери ее качества.

7.4. Методы маскирования ЦВЗ

К методам, использующим не только особенности строения аудиосигналов, но и системы слуха человека относится также метод маскирования сигнала. Маскированием называется эффект, при котором слабое, но слышимое звуковое колебание становится неслышимым при наличии другого более громкого (сигнал маскирования). Эффект маскирования зависит от спектральных и временных характеристик маскируемого сигнала и сигнала маскирования.

Можно говорить о маскировании по частоте и маскировании по времени. Первое заключается в следующем: если два сигнала одновременно находятся в ограниченной частотной области, то более слабый сигнал становится неслышимым на фоне более сильного. Порог маскирования зависит от частоты, уровня подавления сигнала и тональной или шумовой характеристик маскируемого сигнала и сигнала маскирования. Легче широкополосным шумовым сигналом маскировать тональное колебание, чем наоборот. Кроме того, более высокочастотные колебания маскировать легче. Маскирование по времени определяет следующий эффект: более слабый сигнал становится не слышимым за 5 — 20 мс до включения колебания маскирования и становится слышимым через 50 — 200 мс после его выключения.

Воспользовавшись информацией о маскировании по частоте для системы слуха человека, мы можем определить спектральные характеристики внедряемой информации. Обработка импульсных сигналов, таких как звук кастаньет, может привести к образованию слышимого пре-эхо. Для устранения этого эффекта при внедрении информации его также необходимо учитывать.

Рассмотрим конкретный метод внедрения ЦВЗ (псевдослучайной последовательности) с использованием эффекта маскирования, предложенный в работе [3]. Каждый аудиосигнал помечается уникальным кодовым словом. Для того, чтобы использовать маскирующие характеристики системы слуха человека по частоте необходимо соотнести ПСП с порогом маскирования сигнала, при этом необходимо также учесть эффект временного маскирования. Невозможно внести большое количество информации в сигнал малой мощности, в противном случае внедренная информация может стать слышимой. Это происходит из-за того, что преобразование Фурье фиксированной длины не может сразу обладать хорошей локализацией в частотной и временной областях. Если время длительности сигнала высокой мощности больше длительности окна, то его энергия распространяется по всем частотам. Следовательно, необходимо взвешивать ЦВЗ с энергией сигнала.

Для внедрения ЦВЗ необходимо вычислить порог маскирования сигнала. Порог маскирования определяется для сегментов аудиосигнала длиной 512 отсчетов, взвешенных при помощи окна Хэмминга, с 50 % перекрытием текущих блоков. Он аппроксимируется идеальным фильтром 10-го порядка, M(w), с использованием критерия наименьших квадратов. ПСП фильтруется с применением фильтра M(w), чтобы обеспечить то, что спектральная плотность мощности ЦВЗ была ниже порога маскирования.

ЦВЗ, находящийся ниже порога маскирования в частотной области, распространяется на все окно 512 отсчетов. Если внутри блока имеются пиковые изменения амплитуды, то области сигнала высокой мощности распространяются на области сигнала низкой мощности, создавая ощутимые искажения. Слышимым эффектом будет шум, предшествующий пиковому изменению амплитуды. Поэтому ЦВЗ взвешивается во временной области с взятой в квадрат и нормированной огибающей сигнала,

. (7.9)

Для облегчения обнаружения ЦВЗ нужно увеличить его мощность, но при этом необходимо, чтобы спектральная плотность мощности ЦВЗ оставалась ниже порога маскирования. Если «вычисленный ЦВЗ» меньше шага квантования его нужно увеличить во столько раз, чтобы ЦВЗ в процессе квантования не был потерян.

Если во всех отрезках времени ЦВЗ ниже порога маскирования, то можно утверждать, что ЦВЗ неслышим.

Рис. 7.17. Блок-схема генератора ЦВЗ

На рис. 7.17 изображена блок-схема устройства встраивания ЦВЗ в аудиосигнал. В базовой схеме внедрения ЦВЗ кодовое слово фильтруется при помощи фильтра, приближенного по характеристикам к системе слуха человека. Полученный результат сравнивается во времени с исходным аудиосигналом, для исключения временных эффектов, таких, как пре-эхо. Затем результат добавляется к оригинальному аудиосигналу, давая в результате

(7.10)

где под w понимается отфильтрованная ПСП.

Исследования А. К. Хамди и др. [3] показывают, что ЦВЗ лучше размещать в высокочастотной области сигнала.

Незарегистрированный пользователь будет пытаться сделать невозможным распознавание ЦВЗ, добавляя к нему окрашенный шум, фильтруя его, кодируя, осуществляя над ним цифро-аналоговое и аналогово-цифровое преобразование, сжатие и т. д. При рассмотрении проблемы распознавания предполагается, что оригинальный сигнал доступен, как распознавателю, так и автору ПСП.

Необходимо различить пиратский аудиосигнал и подлинный аудиосигнал , на который наложились помехи и ЦВЗ. При этом подлежат проверке следующие гипотезы:

(7.11)

Отметим, что ЦВЗ неслышим, и нас интересуют случаи, когда искажения, вносимые незарегистрированным пользователем также неслышны. Можно использовать взаимную корреляцию между x и w, чтобы обнаружить наличие ЦВЗ с помехами, сравнивая его с порогом. Исследования А.Хамди и др. [3] показывают, что возможно надежно определять наличие ЦВЗ при использовании 50 или более блоков по 512 отсчетов для порога приблизительно равного 0,7. Необходимо отметить, что это определено для 0,8 секунды аудиосигнала (при частоте дискретизации 32 к Гц).

Тогда можно вычислить вероятность определения и вероятность ложного определения для каждого сегмента из 50 блоков по 512 отсчетов. При этом, даже если ЦВЗ произведены при помощи одинаковых псевдослучайных последовательностей для всего аудиосигнала, то в течение сигнала они будут изменяться в зависимости от порога маскирования и мощности сигнала для каждого блока из 512 отсчетов.

Автор должен выбирать различные ПСП для каждого аудиосигнала, чтобы его подписи невозможно было найти сравнением или изучением зависимости между несколькими аудиосигналами.

В работе [3] была проверена возможность удаления ЦВЗ при помощи аддитивных шумов. Был исследован наихудший случай аддитивного искажения ЦВЗ: шум, который «придерживается» порога маскирования сигнала с ЦВЗ. Опыты по обнаружению ЦВЗ были произведены на сегментах аудио сигнала длиной 50 участков по 512 отсчетов с присутствием или без ЦВЗ, при воздействии наихудшего варианта шума. Вероятность обнаружения ЦВЗ и вероятность ложного обнаружения были соответственно равны 1 и 3.1285 * 10-4, для порога 0,7.

Проведенные в [3] исследования показали, что данная система является также стойкой к аналого-цифровым и цифро-аналоговым преобразованиям.

Несмотря на то, что в рассмотренном методе используются свойства, присущие аудиосигналам, он может быть после некоторой модификации успешно применен и для внедрения информации в видео.

8. СКРЫТИЕ ДАННЫХ В ВИДЕОПОСЛЕДОВАТЕЛЬНОСТЯХ

Наиболее популярными стандартами кодирования видео являются MPEG-2 и MPEG-4. В настоящей главе приведены методы внедрения информации в видео, сжимаемое по стандарту MPEG-2.

Стеганографические методы, применяемые для встраивания информации в видео, сжатое по стандарту MPEG-2 (далее — MPEG), должны работать в реальном времени. Способы встраивания ЦВЗ, работающие в реальном времени, должны отвечать нескольким требованиям и, в первую очередь они должны быть слепыми и обладать малой вычислительной сложностью. Таким образом, единственно приемлемыми являются методы, встраивающие данные непосредственно в поток сжатых данных, чтобы избежать лишних вычислений, как это показано на рис. 8.1.

Рис. 8.1. Встраивание / извлечение ЦВЗ в развернутые данные и осуществление этой же операции со сжатыми данными.

Кроме того, операция по внедрению ЦВЗ не должна увеличивать размер сжатых видео данных. Если размер данных увеличивается, то могут возникнуть проблемы при передаче потока видео данных по каналу фиксированной скорости.

Перед тем, как перейти непосредственно к обсуждению способов встраивания ЦВЗ низкой вычислительной сложности, необходимо кратко описать собственно стандарт сжатия видеоданных MPEG [8].

8.1. Краткое описание стандарта MPEG и возможности внедрения данных

Основная идея сжатия по MPEG состоит в том, что из всего потока данных полностью передаются только некоторые кадры, для остальных же передается их отличие от других кадров.

Поток видеоданных в MPEG имеет иерархическую синтаксическую структуру. Каждый уровень содержит один или более подчиненных уровней, как это показано на рис. 8.2. Последовательность видеоданных разделяется на множество групп кадров (ГК), представляющих собой множество видеокадров, непосредственно следующих друг за другом в порядке показа. Далее, кадры подразделяются на слои и макроблоки. Низший уровень, блоковый, состоит из блоков яркости и цветности макроблока.

Рис. 8.2. Многоуровневая синтаксическая структура MPEG.

Рис. 8.3. Гибридная схема кодирования с компенсацией движения.

Алгоритм сжатия MPEG основан на гибридной схеме кодирования [12]. Как показано на рисунке 8.3, эта схема объединяет межкадровое (ДИКМ) и внутрикадровое кодирование последовательности видеоданных.

В пределах ГК временная избыточность среди видеокадров уменьшается за счет применения ДИКМ с временным предсказанием. Это означает, что одни кадры предсказываются по другим. Затем результирующая ошибка предсказания кодируется. В стандарте MPEG используются три типа кадров:

— I-кадры — intra-кадры, кодируются без ссылок на другие кадры, содержат неподвижное изображение и вдобавок используются для построения других типов кадров;

— Р-кадры — предсказуемые кадры, которые кодируются со ссылкой на предыдущий (с точки зрения приемника) принятый (I) или (Р) кадр;

— В-кадры двусторонне интерполируемые кадры, которые кодируются наиболее сложным образом. Такой кадр может строиться и на основе предыдущего кадра, и на основе последующего кадра, и как интерполяция между предыдущим и последующим кадрами.

Закодированная ГК всегда начинается с I-кадра для обеспечения доступа к потоку видеоданных с любой случайной точки. ГК образуется из 12 кадров. Таким образом, при частоте 25 кадров в секунду, I-кадр приходит не реже чем один раз в 0,48 секунды. Вместе с ним восстанавливается полная в той или иной мере идентичность изображения.

На рисунке 8.4 показан пример группы кадров с использованием трех типов кадров и связями между ними.

Рис. 8.4. ГК с использованием трех типов кадров и связями между ними.

Изображение представляется в формате YUV, то есть одним каналом яркости и двумя каналам цветности. Изображение в канале яркости — это, по существу, черно-белое изображение. Известно, что зрительная система человека более чувствительна к изменениям в канале яркости, нежели в каналах цветности. Поэтому компоненты U и V могут быть подвергнуты большему сжатию, чем Y.

Каждый компонент I-кадра разбивается на блоки 8*8 пикселов, затем каждый блок подвергается дискретному косинусному преобразованию (ДКП).

После ДКП в каждую ячейку блока вместо значения яркости (цветности) ставится коэффициент ДКП. Таким образом, получается двумерный энергетический спектр участка изображения. Энергетический спектр изображения обычно сосредотачивается в низкочастотных коэффициентах. Чем меньше отличаются друг от друга значения соседних пикселов, тем ближе к нулю значения более высокочастотных коэффициентов ДКП. Коэффициенты ДКП квантуются.

Р-кадры (В-кадры кодируются практически аналогично) также разбиваются на блоки 8*8 пикселов и затем сравниваются с некоторым опорным кадром. Затем возможны 3 случая:

1. Отдельный блок в кодируемом Р-кадре совпадает с расположенным в этой же позиции блоком опорного кадра. Тогда достаточно указать, что блок остался таким же.

2. Отдельный блок в кодируемом кадре совпадает с блоком опорного кадра, находящимся в другой позиции. Тогда для его кодирования необходимо задать вектор смещения.

3. Отдельный блок в кодируемом кадре может не совпадать ни с одним из блоков опорного кадра. Тогда он будет кодироваться полностью.

ДКП концентрирует энергию в области низких частот, а, так как человеческий глаз менее чувствителен к высокочастотным колебаниям, то ВЧ компоненты могут быть оцифрованы более грубо. Коэффициент ДКП с индексом (0,0) называется DC-коэффициентом (постоянного тока), и он представляет среднее значение по блоку пикселов. Другие коэффициенты ДКП называются AC-коэффициентами (переменного тока).

Рис. 8.5. Уровни представления блока ДКП.

Таким образом, на низшем уровне синтаксической структуры MPEG находятся блоки пикселов 8*8, представляемые 64 коэффициентами ДКП. Рисунок 8.5 показывает три области, на которые может быть разделен блоковый уровень.

Первый уровень — коэффициентов, где блок содержит 8*8 оцифрованных коэффициентов ДКП, представленных целыми числами. Многие из них обычно равны нулю, особенно высокочастотные.

Второй уровень — пар, в нем коэффициенты ДКП зигзагообразно сканируются, и затем коэффициенты заменяются парами, состоящими из длины нулевой серии, предшествующей ненулевому коэффициенту, и значения этого коэффициента. Нулевые коэффициенты опускаются.

Третий уровень — битовый, в нем сформированные ранее пары кодируются кодом Хаффмана. Каждый блок коэффициентов ДКП заканчивается маркером конец блока (КБ).

Наиболее вычислительно простым будет алгоритм внедрения данных на блоковом уровне. Также невысокую сложность имеет алгоритм встраивания ЦВЗ на уровне коэффициентов, требующий только осуществления кодирования Хаффмана, кодирования длин серий и квантования, как показано на рисунке 8.6.

Рис. 8.6. Встраивание ЦВЗ в области коэффициентов.

Алгоритм встраивания ЦВЗ, работающий в битовой области, требует только осуществления дополнительного кодирования Хаффмана. Из этого следует, что вся процедура встраивания может состоять из декодирования Хаффмана, специальной модификации и кодирования с Хаффмана. Этот процесс показан на рисунке 8.7.

Рис. 8.7. Встраивание водяных знаков в битовой области.

Первый из описываемых методов осуществляет внедрение водяного знака на уровне коэффициентов.

8.2. Методы встраивания информации на уровне коэффициентов

В методе, предложенном в работе [7], осуществляется добавление псевдослучайного массива к DC-коэффициентам видео, сжатого по стандарту MPEG. В процессе встраивания ЦВЗ непосредственно участвуют только значения яркости в I-кадрах.

Для внедрения водяного знака осуществляется следующая процедура:

1. На секретном ключе генерируется массив псевдослучайных целых чисел {-1,1}, имеющий те же размеры, что и I-кадр.

2. Полученный массив модифицируется в соответствии водяным знаком и умножается на некоторый коэффициент усиления.

3. Значения коэффициентов постоянного тока каждого из I-кадров складываются с соответствующими числами модифицированного массива.

Авторы этого метода утверждают, что при его применении значительно ухудшается качество видео. Следовательно, чтобы сохранить необходимое качество получаемого в результате видео, коэффициент усиления необходимо брать низким (<1), и количество пикселов на один бит ЦВЗ должно быть достаточно большим (>>100,000). Это происходит, главным образом, из-за того, что элементы массива ЦВЗ внедряются только в один из 64 коэффициентов ДКП — коэффициент постоянного тока. А к изменениям в этой области человеческий глаз особенно чувствителен.

В статьях [9]-[11] предложен более тонкий метод встраивания битов ЦВЗ в коэффициенты ДКП. При использовании этого метода осуществляется внедрение информации не только в коэффициенты постоянного тока, но и в коэффициенты переменного тока в I, Р, В-кадров. ЦВЗ, как и в предыдущем случае, представляет собой массив псевдослучайных чисел. Для того, чтобы встроить ЦВЗ, массив W(x,y) делится на блоки размером 8*8. Затем над этими блоками осуществляется ДКП, и коэффициенты преобразования обозначаются, как Wx,y(u,v), где х, у=0,8,16,… и u,v=0,…,7. После этого выполняется зигзагоообразное сканирование блоков Wx,y(u,v), в результате чего получается одномерный массив Wx,y(i), где I=0….,63. Тогда Wx,y(0) — это коэффициент постоянного тока, а Wx,y(63) — коэффициент переменного тока, соответствующий наивысшей частоте. Такой же обработке подвергаются и блоки видеоданных, и массив Ix,y(i) поэлементно складывается с ЦВЗ. Таким образом, для каждого массива видеоданных Ix,y(i) любого из типов кадров осуществляются действия:

1. Изменяется коэффициент постоянного тока:

. (8.1)

Это означает, что среднее значение ЦВЗ складывается со средним значением блока видеоданных.

2. Для встраивания информации в коэффициенты переменного тока поток бит кодируемого блока просматривается по кодовым словам (код Хаффмана) на предмет нахождения ненулевого коэффициента ДКП. Длина серии и значение этого кодового слова декодируются для определения позиции и амплитуды Ix,y(i) коэффициента — кандидата для внедрения информации.

3. Определяется стегообраз этого коэффициента

. (8.2)

Размер SzI кодовых слов, необходимых для кодирования Ix,y(i) и размер SzIw кодовых слов, необходимых для кодирования IWx,y(i), определяются с использованием таблицы кода переменной длины В.14 и В.15 стандарта MPEG-2 [8]. Если размер кодового слова, предназначенного для кодирования стегообраза коэффициента ДКП, меньше или равен длине кодового слова, предназначенного для кодирования исходного коэффициента ДКП, то исходное кодовое слово заменяется. В противном случае оно остается неизменным. Это означает, что коэффициент ДКП Ix,y(i) модифицируется следующим образом:

Если

4. Процедура кодирования повторяется до тех пор, пока все коэффициенты переменного тока блока видеоданных не будут обработаны таким же образом.

Для извлечения водяного знака поток видеоданных полностью декодируется, и биты водяного знака извлекаются путем вычисления корреляции между стегообразом и водяным знаком.

Главной проблемой непосредственной модификации коэффициентов ДКП в сжатом потоке видео является накопление сдвига или ошибок. Дело в том, что предсказания по предыдущим кадрам используются для восстановления действующего кадра, который, в свою очередь, может служить основой для будущих предсказаний. Следовательно, искажения, вносимые процессом встраивания ЦВЗ, могут распространяться как во временной, так и в пространственной области. Для компенсации искажений добавляется специальный сигнал. Этот сигнал должен быть равен отличию между предсказанием вектора компенсации движения видео с встроенным ЦВЗ и без него.

Недостатком такого подхода является увеличение сложности алгоритма встраивания ЦВЗ, так как для вычисления сигнала компенсации необходимо выполнить полное декодирование сжатого видео и вычислить ДКП, как это показано на рис 8.8.

Рис. 8.8. Увеличение сложности вычислений, необходимое для компенсации сдвига

В силу ограничения на битовую скорость, при внедрении модифицируются только около 10–20 % коэффициентов ДКП, в зависимости от содержания блока видеоданных и грубости MPEG-квантователя. В некоторых случаях, особенно для низкоскоростного видео, изменяются только коэффициенты постоянного тока. Так как биты водяного знака могут быть внедрены только в ненулевые коэффициенты, внедряемый водяной знак зависит от содержания блока видеоданных. В областях, где имеется только низкочастотное содержание, водяной знак будет состоять только из низкочастотных компонент.

Авторы рассматриваемого алгоритма утверждают, что его сложность меньше сложности последовательного выполнения операций декодирования видео, внедрения ЦВЗ, сжатия видео [11]. Водяной знак не заметен на глаз, за исключением непосредственного сравнения стегообраза с соответствующим ему пустым контейнером, и ЦВЗ сохраняется при следующих операциях: фильтрование, зашумление (аддитивным шумом) и дискретизация.

8.3. Методы встраивания информации на уровне битовой плоскости

В первой главе был рассмотрен алгоритм, основанный на внедрении информации в наименее значащий бит неподвижных изображений. Этот метод отличается высокой пропускной способностью и небольшой вычислительной сложностью. В работах [1]-[6] был предложен аналогичный метод для данных, сжатых по стандарту MPEG.

Водяной знак, состоящий из l битов некоторой последовательности bj (j = 0, 1, 2, …, l-1), внедряется в поток видеоданных, сжатых по стандарту MPEG, путем замены специально выбранных, подходящих кодовых слов кода переменной длины, заменяя наименее значащий бит их оцифрованного значения на значение bj. Для того, чтобы убедиться, что внесенные изменения не будут заметны после декодирования, и что поток видеоданных не изменил своих размеров, необходимо выбирать только кодовые слова, для которых найдется хотя бы одно другое кодовое слово, удовлетворяющее условиям:

— одинаковая длина нулевой серии;

— различие между значениями коэффициентов ДКП равно 1;

— одинаковая длина кодовых слов.

Согласно табл. В.14 и В.15 стандарта MPEG-2 [8], таких кодовых слов существует множество. Некоторые примеры таких слов приведены в табл.8.1, где под символом s понимается бит, определяющий знак коэффициента ДКП.

В процессе встраивания водяных знаков задействуются кодовые слова, полученные, как при межкадровом (ДИКМ), так и при внутрикадровом кодировании. Коэффициенты постоянного тока не используются потому, что они могут быть предсказаны по другим коэффициентам постоянного тока. Более того, изменение всех коэффициентов постоянного тока может привести к зрительно воспринимаемым искажениям из-за накопления ошибок. При использовании же в процессе встраивания только коэффициентов переменного тока ошибка невелика.

Кодовые слова (КС) Размер (КС) Пробег Уровень НЗБ
0010 0110 s 8+1 0 5 1
0010 0001 s 8+1 0 6 0
0000 0001 1101 s 12+1 0 8 0
0000 0001 1000 s 12+1 0 9 1
0000 0000 1101 0 s 13+1 0 12 0
0000 0000 1100 1 s 13+1 0 13 1
0000 0000 0111 11 s 14+1 0 16 0
0000 0000 0111 10 s 14+1 0 17 1
0000 0000 0011 101 s 15+1 1 10 0
0000 0000 0011 100 s 15+1 1 11 1
0000 0000 0001 0011 s 16+1 1 15 1
0000 0000 0001 0010 s 16+1 1 16 0

Табл.8.1. Некоторые примеры lc-кс из таблицы В.14 стандарта MPEG-2.

Рис. 8.9. Пример процесса встраивания битов водяного знака в наименее значащие биты.

Для встраивания ЦВЗ L в MPEG видео прежде всего выполняется поиск подходящих кодовых слов. Младший бит таких слов заменяется на бит ЦВЗ. Эта процедура продолжается, пока не будут внедрены все биты водяного знака. На рис. 8.9 показан пример встраивания в двух битов.

Извлечение ЦВЗ реализуется аналогично: сначала ищутся подходящие кодовые слова, из которых берутся младшие биты.

Ясно, что скорость передачи скрытой информации определяется числом подходящих кодовых слов. Попробуем оценить ее экспериментально. Для этого воспользуемся тестовой последовательностью длительностью 10 секунд. Величина кадра 720х560 пикселов, кодируется 25 кадров в секунду, размер кодируемой группы равен 12 кадрам. В последовательности присутствуют различные типы кадров: с сравнительно гладкими областями, текстурированные участки и контуры. Для проведения эксперимента последовательность кодировалась на скоростях 1.4, 2, 4, 6, и 8 мбит/с.

В табл.8.2 показаны результаты встраивания информации в поток видеоданных, сжатый с различными скоростями. Для внедрения использовались только подходящие кодовые слова из I-кадров, исключая DC-коэффициенты. В этой таблице под количеством кодовых слов понимается количество всех кодируемых коэффициентов ДКП, включая коэффициенты, кодируемые кодами с фиксированной длиной кодового слова и коэффициенты постоянного тока. Из таблицы видно, что при работе со сжатым видео можно достичь скорости передачи информации 7 кбит/с с использованием только I-кадров.

Если же использовать и другие типы кадров, то максимальная скорость передачи данных по скрытому каналу связи может быть увеличена до 29 кбит/с. Эти результаты показаны в таблице 8.3.

Экспертные оценки показывают, что вышеописанный процесс встраивания водяного знака не приводит к каким бы то ни было зрительным эффектам при кодировании потока видеоданных на скоростях 4, 6, 8 мбит/с. Оценить степень влияния встроенных водяных знаков на качество видео при скоростях меньших 2 мбит/с не представляется возможным из-за изначально низкого его качества.

Скорость передачи сжатых данных Количество кодовых слов Количество 1с-кс Максимальная скорость передачи меточных бит
1.4 Мбит/с 334.433 1.152 (0.3 %) 0.1 кбит/с
2.0 Мбит/с 670.381 11.809 (1.8 %) 1.2 кбит/с
4.0 Мбит/с 1.401.768 34.650 (2.5 %) 3.5 кбит/с
6.0 Мбит/с 1.932.917 52.337 (2.7 %) 5.2 кбит/с
8.0 Мбит/с 2.389.675 69.925 (2.9 %) 7.0 кбит/с

Табл.8.2. Соотношение скорости кодирования потока видеоданных и максимальной скорости передачи данных по скрытому каналу связи при использовании только внутрикадрово кодированных макроблоков.

Скорость передачи сжатых данных Количество кодовых слов Количество 1с-кс Максимальная скорость передачи меточных бит
1.4 Мбит/с 350.656 1.685 (0.5 %) 0.2 кбит/с
2.0 Мбит/с 1.185.866 30.610 (2.6 %) 3.1 кбит/с
4.0 Мбит/с 4.057.786 135.005 (3.3 %) 13.5 кбит/с
6.0 Мбит/с 7.131.539 222.647 (3.1 %) 22.3 кбит/с
8.0 Мбит/с 10.471.557 289.891 (2.8 %) 29.0 кбит/с

Табл.8.3. Соотношение скорости кодирования потока видеоданных и максимальной скорости передачи данных по скрытому каналу связи.

Рассмотренный метод наряду с его неоспоримыми достоинствами — высокой пропускной способностью и небольшой вычислительной сложностью — обладает и существенным недостатком. Водяной знак, встроенный с его помощью, может быть легко удален. Для этого достаточно просто повторно наложить последовательность ЦВЗ. Тогда качество видео ухудшится незначительно, а водяной знак будет уничтожен.

8.4. Метод встраивания информации за счет энергетической разности между коэффициентами

Далее описывается метод, сочетающий в себе достоинства методов, работающих с исходным и сжатым видео. В его основе лежит дифференциальное встраивание энергии (ДЭВ) ЦВЗ [3]-6].

В случае MPEG/JPEG кодированных видеоданных ДЭВ может быть осуществлено в области коэффициентов. Сложность алгоритма ДЭВ незначительно выше сложности описанного ранее метода, основанного на НЗБ, и значительно ниже метода основанного на корреляции с компенсацией ошибок предсказания, также описанного ранее. Метод ДЭВ может быть применен не только к видеоданным MPEG/JPEG, но и к другим алгоритмам сжатия видео, например, к вейвлет-кодеру нуль-дерева [13].

Метод ДЭВ осуществляет внедрение ЦВЗ, состоящего из l бит bj (j = 0, 1, 2, …, l-1) в I-кадры MPEG-видео или в JPEG-изображения. Каждый бит ЦВЗ встраивается в выбранную область, состоящую из n блоков по 8*8 коэффициентов ДКП канала яркости изображения каждый.

На рис. 8.12 показан пример, в котором первый бит ЦВЗ расположен в верхнем левом углу изображения или I-кадра в выбранной области, состоящей из 16 (n=16) блоков 8*8 коэффициентов ДКП. Размер этой области определяет скорость вложения информации. Чем выше n, тем ниже скорость.

Бит ЦВЗ внедряется в выбранную область модификацией разности энергий D между высокочастотными коэффициентами ДКП верхней части этой области (субобласть А) и ее нижней части (субобласть В). Подмножество ВЧ коэффициентов обозначается S(c) и показано на рис. 8.13 белыми треугольниками.

Энергия субобласти А вычисляется по формуле

, (8.4)

где - коэффициент ДКП с индексом i из d-го блока коэффициентов ДКП субобласти А; []Q — означает, что энергия вычисляется у квантованных коэффициентов.

Рис. 8.12. Позиции битов ЦВЗ в I-кадре.

Энергия субобласти В вычисляется аналогичным способом.

Подмножество S(с) определяется на основе выбранного порога

. (8.5)

Выбор подходящего значения порога крайне важен, так как этим определяется стойкость ЦВЗ к удалению и его заметность на изображении. Когда порог для каждой lc-области определен, разность энергий определяется следующим образом:

. (8.6)

На рисунке 8.13 графически показана процедура вычисления разности энергий для области, состоящей из 16 блоков 8*8 коэффициентов ДКП.

Значение внедряемого бита определяет знак энергетической разности. Если значение бита «0» то D > 0, в противном случае D < 0. Следовательно, процедура встраивания информации модифицирует энергии ЕА или ЕВ, чтобы встроить информацию в разность энергий D. Если встраивается нуль, то в блоках по 8*8 коэффициентов субобласти В после пороговой обработки энергия будет удалена, а коэффициенты ДКП приравнены нулю так, что

Рис. 8.13. Определение энергии областей

. (8.7)

Если встраивается единица, то высокочастотные коэффициенты ДКП в субобласти А приравниваются нулю и

. 8.8

Существует несколько причин, по которым вычисление энергий осуществляется по блокам треугольной формы. Наиболее важной из них является то, что, таким образом легко производить вычисление энергетической разности и модификацию значений энергии в потоке сжатых данных. Все коэффициенты ДКП, необходимые для вычисления ЕА и ЕВ, расположены в конце одномерного массива, полученного после зигзагообразного сканирования. Таким образом, коэффициенты могут быть приравнены нулю без перекодирования потока данных. Для этого необходимо просто сдвинуть маркер конца блока (КБ) в сторону DC-коэффициента. Процедура вычисления Е для единичного сжатого блока коэффициентов и изменения Е путем удаления высокочастотных коэффициентов ДКП, расположенных в конце макроблока, показана на рисунке 8.14.

Рис. 8.14. Вычисление и изменение энергии в lc-областях

Тот факт, что ЦВЗ встраивается просто путем удаления нескольких коэффициентов ДКП имеет сразу два преимущества. Так как в сжатый поток видеоданных ничего добавлять не надо, то можно обойтись без повторного сжатия восстановленного потока видео, как это показано на рисунке 8.15. Это означает, что алгоритм ДЭВ имеет приблизительно половинную сложность по сравнению с методами встраивания информации в коэффициенты.

Рис. 8.15. Встраивание водяного знака методом ДЭВ.

Удаление высокочастотных коэффициентов будет уменьшать размер стегообраза потока сжатых видеоданных по сравнению с исходным потоком. Если необходимо сохранить размер потока видеоданных, то перед каждым макроблоком нужно вносить добавочные биты.

Центральную роль, как в процессе встраивания, так и в процессе извлечения встроенной информации играют энергии субобластей А и В, величина которых определяется четырьмя факторами:

— характером субобластей А и В;

— количеством блоков n на одну выбранную область;

— шагом квантователя;

— размером подмножества S(c).

Если выбранная область однородная, то ее энергия будет содержаться в DC-коэффициенте ДКП. Энергия ВЧ коэффициентов равна нулю. В случае наличия контуров или текстур значения ВЧ коэффициентов будут большими.

Чем больше блоков n берется на одну выбранную область, тем больше значение содержащейся в ней энергии.

Шаг квантователя определяет стойкость ЦВЗ к атаке перекодированием. При перекодировании стегоообраз видеоданных частично или полностью декодируется и затем снова кодируется, но уже на более низкой скорости. Чем меньше шаг квантователя, тем более водяной знак стоек по отношению к атаке перекодированием. Однако, одновременно уменьшается и величина энергии в выбранной области.

Размер подмножества S(с) определяется порогом с. Если после зигзагообразного переупорядочивания коэффициенты ДКП пронумерованы от 0 до 63, причем индексу 0 соответствует коэффициент постоянного тока, а индексу 63 наиболее высокочастотный коэффициент ДКП, то подмножество S(с) будет состоять из коэффициентов ДКП с индексами с … 63 (с>0). На рисунке 8.16 показаны примеры подмножеств S(с) и соответствующих им энергий.

Для увеличения разности энергий необходимо, чтобы в процессе встраивания информации участвовало как можно больше коэффициентов ДКП. Но чрезмерное увеличение размера подмножества S(c) приведет к заметным визуальным искажениям. Это означает, что для каждой выбранной области необходимо найти такое минимальное по размерам подмножество, для которого можно было бы достичь необходимой разницы энергий.

НЧ коэффициенты ДКП модифицировать нежелательно, так как это может ухудшить визуальное качество видео. Поэтому, порог должен быть не меньше определенного значения сmin. Для определения подходящего с может быть использована следующая формула

. (8.9)

Рис. 8.16. Примеры подмножеств S(c) и соответствующих им энергий.

На рисунке 8.17 показан пример внедрения бита «0» при разнице энергий D=500 и выбранной области, состоящей из двух блоков по 8*8 коэффициентов ДКП. В этом случае максимальный порог с, при котором энергия субобласти ЕА превышает 500 равен 35, а для энергии субобласти EB равен 36. Из этого следует, что для того, чтобы энергии «хватало» в обеих субобластях необходимо выбрать порог с=38. Для встраивания бита b0=0 все коэффициенты ДКП в субобласти В, начиная с 35, приравниваются нулю.

Рис. 8.17. Встраивание бита в область, состоящую из двух блоков ДКП.

Для извлечения встроенного бита получателю снова необходимо найти порог с. Но теперь берется уже максимум по всем порогам для субобластей А и В.

. (8.10)

Естественно, что для правильной работы алгоритма необходимо, чтобы Q′=Q и D′=D. Порог обнаружения D′ определяет помехоустойчивость схемы встраивания водяного знака.

Оценка качеств схемы встраивания водяного знака ДЭВ была проведена Г.Лангелларом [6].

Для определения пропускной способности алгоритм ДЭВ был применен к тестовой видеозаписи, сжатой при различных скоростях. Экспертные оценки показали, что встроенные водяные знаки незаметны при n=32 и скорости кодирования видеоданных 6 и 8 мбит/с. При кодировании видеоданных на более низких скоростях появляются искажения возле контуров. Устранить искажения можно увеличением числа блоков ДКП, приходящихся на одну выбранную область. Проведенные исследования показали, что алгоритм ДЭВ позволяет осуществлять встраивание информации в цифровой поток 6–8 мбит/с со скоростью 0,42 кбит/с практически без искажений.

Алгоритм ДЭВ вносит в видео несколько меньше искажений, чем описанный ранее метод встраивания информации в НЗБ.

Другим положительным свойством алгоритма ДЭВ является то, что для удаления ЦВЗ требуется проведение вычислительных операций, более сложных, чем встраивание нового произвольного водяного знака.

Заключение

Все большее значение в нашем быстро изменяющемся мире приобретает защита информации. Это относится и к государственным секретам, которые надо теперь скрывать не только от разведок известно каких стран мира, но и от внутренних врагов — агентов мирового терроризма и экстремизма. Это относится и к секретам фирм, и личным делам граждан, в которые так любит вникать Большой Брат. Последние изменения в законодательстве ряда стран, в том числе и США, показывают популярность на правительственном уровне идеи всеобщей слежки и непротивление ей граждан.

Отстоять свободу личности, самостоятельность фирмы, сохранить государственную тайну помогут, наряду с другими средствами, и стеганографические методы защиты информации. В развитии этих средств сделан пока лишь первый шаг, как в теоретическом, так и в практическом плане. Перечислим некоторые интересные задачи, решение которых поможет увеличить эффективность подобных средств.

Прежде всего, необходима разработка математических моделей мультимедийных контейнеров: речи, изображений, видео. Большой поток исследований в этой области, связанный с разработкой алгоритмов сжатия информации, не привел пока к появлению конструктивных универсальных моделей.

Важным представляется дальнейшее развитие методов теории распознавания образов. Особенно в свете появления таких новых математических инструментов, как нейронные сети, генетические алгоритмы, нечеткая логика. Авторам, к сожалению, неизвестны публикации по применению этих инструментов в стеганографии.

Совершенствование методов встраивания информации будет выполняться за счет применения сигналов с расширенным спектром, помехоустойчивых кодов. Это направление совершенно не рассмотрено в нашей книге, хотя здесь проделана большая работа. Тем не менее, имеется и много нерешенных задач.

В стегоанализе необходимо введение в рассмотрение иных, чем всеми любимый хи-квадрат, критериев проверки статистических гипотез. Для тестирования качества последовательностей, генерируемых псевдослучайным генератором случайных чисел, в настоящее время известны десятки различных критериев. Возможно, многие из них найдут применение в стеганографии.

История показывает, что время прохождения технологии от ее зарождения до промышленного применения составляет обычно 20–25 лет. Если считать, что цифровая стеганография зародилась в середине 90-х годов прошлого века, то у нее все еще впереди.

Литература

Глава 1

1. Matsui K., Tanaka K., and Nakamura Y. Digital signature on a facsimile document by recursive MH coding // Symposium On Cryptography and Information Security, 1989.

2. Osborne C., van Schyndel R., Tirkel A. A Digital Watermark // IEEE Intern. Conf. on Image Processing, 1994. P. 86–90.

3. Anderson R., editor. // Proc. Int. Workshop on Information Hiding: Lecture Notes in Computer Science. Springer-Verlag, Cambridge. 1996.

4. Ramkumar M. Data Hiding in Multimedia. PhD Thesis. New Jersey Institute of Technology, 1999. 72 p.

5. Simmons G. The prisoner`s problem and the subliminal channel // Proc. Workshop on Communications Security (Crypto`83), 1984. P. 51–67.

6. Simmons G. The History of Subliminal Channels // IEEE Journal on Selec-ted Areas of Communications. 1998. Vol. 16, № 4. P. 452–461.

7. Fridrich J., Du R., Long M. Steganalysis of LSB encoding in color images // ICME, 2000.

8. Voloshynovskiy S., Pereira S., Iquise V., Pun T. Attack Modelling: Towards a Second Generation Watermarking Benchmark // Preprint. University of Geneva, 2001. 58 p.

9. Marvel L. Image Steganography for hidden communication. PhD Thesis. Univ.of Delaware, 1999. 115 p.

10. Cox J., Miller M., McKellips A. Watermarking as communications with side information // Proceedings of the IEEE. 1999. Vol. 87. № 7. P. 1127–1141.

11. Schneier B. Applied Cryptography: Protocols, Algorithms, and Source Code in C, 2nd ed. New York // John Wiley and Sons, 1996.

12. Anderson R. Stretching the Limits of Steganography // Information Hiding, Springer Lecture Notes in Computer Science. 1996. Vol. 1174. P. 39–48.

13. Craver S. On Public-Key Steganography in the Presence of an Active Warden // Intel Corp., 1997. 13 p.

14. Craver S. Zero Knowledge Watermark Detection // Princeton Univ., 1999. 16 p.

15. Pitas I. A Method for Signature Casting on Digital Images // Proceedings of ICIP. 1996. Vol.3. P. 215–218.

Глава 2

1. Schneier B. Applied Cryptography: Protocols, Algorithms, and Source Code in C, 2nd ed. New York // John Wiley and Sons, 1996.

2. Hartung F., Su J., Girod B. Spread Spectrum Watermarking: Malicious Attacks and Counterattacks.

3. Petitcolas F., Anderson R., Kuhn M. Attacks on Copyright Marking Systems // Lecture Notes in Computer Science. 1998. P. 218–238.

4. Langelaar G., Lagendijk R., Biemond J. Removing spatial spread spectrum watermarks by non-linear filtering // Proceedings EUSIPCO-98. 1998.

5. Kutter M., Voloshynovskiy S., Herrigel A. The Watermark Copy Attack // Proceedings of SPIE: Security and Watermarking of Multimedia Content II. 2000. Vol. 3971.

6. Su J., Girod B. On the imperceptibility and robustness of digital fingerprints // IEEE ICMCS-99. 1999.

7. Voloshynovskiy S., Herrigel, A., Baumgrtner N., Pun T. A stochastic approach to content adaptive digital image watermarking // Proceeding of International Workshop on Information hiding. 1999.

8. Cox I., Linnartz J. Some general methods for tampering with watermarks // IEEE Journal on Selected Areas of Communications. 1997.

9. Kutter M. Digital Image Watermarking: Hiding Information in Images. PhD thesis, Swiss Federal Institute of Technology, Lausanne, Switzerland, 1999.

10. Petitcolas F. Weakness of existing watermarking schemes. http://www.cl.cam.ac.uk/~fapp2/watermarking/image_watermarking. 1997.

11. Lin C. Watermarking and Digital Signature Techniques for Multimedia Authentication and Copyright Protection. PhD Thesis, Columbia University, 2000.

12. Wu M. Multimedia Data Hiding. PhD Thesis, Princeton University, 2001.

13. Craver S., Memon N., Yeo B., Yeung M. Can Invisible Watermarks Resolve Rightful Ownerships? // IBM Research Report. 1996.

14. Craver S., Memon N., Yeo B., Yeung M. On the Invertibility of Invisible Watermarking Techniques // Proc. of ICIP. 1997.

15. Craver S., Memon N., Yeo B., Yeung M. Resolving Rightful Ownerships with Invisible Watermarking Techniques: Limitations, Attacks, and Implications // IEEE Journal on Selected Areas in Communication. 1998. Vol. 16. № 4. P. 573–586.

16. Deguillaume F., Csurka G., Pun T. Countermeasures for unintentional and intentional video watermarking attacks // SPIE Electronic Imaging. 2000.

17. Maes M. Twin Peaks: The Histogram Attack to Fixed Depth Image Watermarks // Proceeding of International Workshop on Information hiding. 1998.

Глава 3

1. Шеннон К. Работы по теории информации и кибернетики / Пер. с англ. —М.: Иностранная литература, 1963. — 829 с.

2. Moulin P., O’Sullivan J. Information-theoretic analysis of information hiding. 1999. 43 p.

3. Su J.K., Eggers J.J., Girod B. Analysis of Digital Watermarks Subjected to Optimum Linear Filtering and Additive Noise // Signal Processing. Special Issue on Information Theoretic Issues in Digital Watermarking. 2001. Vol. 81. № 6. P. 1141–1175.

4. Marvel L. Image Steganography for Hidden Communication. PhD Thesis. University of Delavare, 1999. 115 p.

5. Ramkumar M. Data Hiding in Multimedia — Theory and applications. PhD Thesis. University Heights, 1999. 68 p.

6. Petitcolas F., Anderson R.J., Kuhn M.G. Information Hiding — A Survey // Proceedings IEEE, Special Issue on Identification and Protection of Multimedia Information. 1999. Vol. 87. №. 7. P. 1069–1078.

7. Hartung F., Kutter M. Multimedia Watermarking Techniques // Proceedings IEEE, Special Issue on Identification and Protection of Multimedia Information. 1999. Vol. 87. №. 7. P. 1079–1107.

8. Быков С.Ф. Алгоритм сжатия JPEG c позиций компьютерной стеганографии // Защита информации. Конфидент. 2000. № 3.

9. Swanson M.D., Kobayahi M., Tewfik A.H. Multimedia Data-Embedding and Watermarking Strategies // Proceeding of IEEE. 1998. Vol. 86. №. 6. P. 1064–1087.

10. Wolgang R.B., Podilchuk C.I., Delp E.J. Perceptual Watermarking for Digital Images and Video // Proceeding IEEE, Special Issue on Identification and Protection of Multimedia Information. 1999. Vol. 87. №. 7. P. 1088–1126.

11. Wong P.W. A Public Key Watermark for Image Verification and Authentication // Proc. Int. Conf. Im. Proc. 1998. Vol. I. P. 455–459.

12. Bender W., Gruhl D., Morimoto N. Techniques for Data Hiding // Proc. SPIE. 1995. Vol. 2420. P.40.

13. Busch C., Funk W., Wolthusen S. Digital Watermarking: From Concepts to Real-Time Video Applications // IEEE Computer Graphics and Applications. 1999. P. 25–35.

14. Hartung F., Girod B. Digital Watermarking of Uncompressed Video // Signal Processing. 1998. Vol. 66. P. 283–301.

15. Cox I.J., Miller M.L., McKellips A.L. Watermarking as Communication with Side Information // Proceeding IEEE, Special Issue on Identification and Protection of Multimedia Information. 1999. Vol. 87. №. 7. P. 1127–1141.

16. Kutter M. Digital image watermarking: hiding information in images. PhD Thesis. University of Lausanne, EPFL, 1999.

17. Cachin C. An Information-Theoretic Model for Steganography // Proceeding of the Workshop on Information Hiding. 1998.

18. Чиссар И., Кернер Я. Теория информации: Теоремы кодирования для дискретных систем без памяти / Перевод с англ. — М.: Мир, 1985, –400 с.

19. Wyner A.D. The wire-tap channel // Bell System Tech. J. 1975. Vol. 54. № 8. P. 1355–1387.

20. Яковлев В.А. Защита информации на основе кодового зашумления. Часть 1. Теория кодового зашумления. / Под ред. В.И. Коржика. — С.Пб.: ВАС, 1993.–245 с.

21. Коршунов Ю.М. Математические основы кибернетики.—М.: Энергия, 1980.— 424 с.

22. Voloshynovkiy S., Pereira S., Pun T., Eggers J., Su J. Attacks on digital watermarks: classification, estimation-based attacks, and benchmarks // IEEE Communications Magazine. 2001. Vol. 39. № 8. P. 118–126.

23. Chen B., G.W. Wornell G.W. An Information-Theoretic Approach to the Design of Robust Digital Watermarking Systems // Proceeding Int. Conf. on Acoustics, Speech and Signal Processing. 1999.

24. Грибунин В.Г., Оков И.Н., Туринцев И.В. Стеганографическая защита речевых сигналов в каналах открытой телефонной связи / Сборник тезисов Российской НТК «Методы и технические средства обеспечения безопасности информации», — СПб.:, ГТУ, 2001, с. 83–84.

25. Теория электрической связи: Учебник для вузов / Зюко А.Г., Кловский Д.Д., Коржик В.И., Назаров М.В. — М.: Радио и связь, 1999.— 432 с.

26. Menezes A.J., Oorschot P.C., Vanstone S.A. Handbook of applied cryptography. CRC Press. 1996. 780 p.

27. Алферов А.П., Зубов А.Ю., Кузьмин А.С., Черемушкин А.В. Основы криптографии.—М.: Гелиус АРВ, 2001.— 480 с.

28. Cox I.J., Killian J., Leighton F.T., T. Shamoon T. Secure Spread Spectrum Watermarking for Multimedia // IEEE Trans. Image Proc. 1997. Vol.6. № 12. P. 1673–1687.

29. Оков И.Н., Ковалев Р.М. Электронные водяные знаки как средство аутентификации передаваемых сообщений // Защита информации. Конфидент. 2001. № 3, с. 80–85.

30. Boneh D., Shaw J. Collision-Secure Fingerprinting for Digital Data // Advances in Cryptology: Proc. Crypto-95. 1995.

31. Оков И.Н. Криптографические системы защиты информации. — СПб.:, ВУС, 2001. –236 c.

32. Яглом А.М., Яглом И.М. Вероятность и информация. — М.: Гл. ред. физ. — мат. лит., 1973, –511 с.

33. Калинцев Ю.К. Разборчивость речи в цифровых вокодерах. — М.: Радио и связь, 1991.— 320 с.

Глава 4

1. Кан Д. Взломщики кодов. —М.: Издательство «Центрполиграф», 2000. — 473 с.

2. J.Zollner, H.Federrath, H.Klimant, A.Pfitzmann, R.Piotraschke, A.Westfeld, G.Wicke, G.Wolf. Modeling the Security of Steganographic Systems // Proceeding of the Workshop on Information Hiding. 1998.

3. C. Cachin. An Information-Theoretic Model for Steganography // Proceeding of the Workshop on Information Hiding. 1998.

4. Коротков Ю.В., Ковалев Р.М., Оков И.Н., Туринцев И.В. Некоторые проблемы противоборства в современных информационных системах // Сборник научных трудов Военного университета связи, —С.Пб.: 2001.

5. Оков И.Н., Ковалев Р.М. Электронные водяные знаки как средство аутентификации передаваемых сообщений // Защита информации. Конфидент. 2001. № 3, с. 80–85.

6. Simmons G.J. The subliminal channel and digital signatures // Advances in Cryptology. Proc. EUROCRYPT-84. P. 364–378.

7. Шеннон К. Работы по теории информации и кибернетики / Пер. с англ. — М.: Иностранная литература, 1963. — 829 с.

8. Menezes A.J., Oorschot P.C., Vanstone S.A. Handbook of applied cryptography. CRC Press, 1996. –780 p.

9. Diffie W., Hellman M.E. New directions in cryptography // IEEE Trans. on Information Theory. 1976. Vol. 22. № 6. P. 644–654.

10. Чиссар И., Кернер Я. Теория информации: Теоремы кодирования для дискретных систем без памяти / Пер. с англ. —М.: Мир, 1985, –400 с.

11. Теория электрической связи: Учебник для вузов / Зюко А.Г., Кловский Д.Д., Коржик В.И., Назаров М.В. — М.: Радио и связь, 1999.— 432 с.

12. Грибунин В.Г., Оков И.Н., Туринцев И.В. Стеганографическая защита речевых сигналов в каналах открытой телефонной связи / Сборник тезисов Российской НТК «Методы и технические средства обеспечения безопасности информации», — СПб.:, ГТУ, 2001, с. 83–84.

13. Simmons G.J. Autentication theory/coding theory // Advances in Cryptology. Proc. CRYPTO-84. Proceedings. P. 411–431.

14. Оков И.Н. О требуемой пропускной способности каналов передачи аутентифицированных сообщений в безусловно стойких системах // Проблемы информационной безопасности. Компьютерные системы. 2000. № 3(7), с. 78–64.

15. Westfeld A., Pfitzmann A. Attacks on Steganographic Systems. Breaking the Steganographic Utilities EzStego, Jsteg, Steganos, and S-Tools — and Some Leassons Learned // Proceeding of the Workshop on Information Hiding. 1999.

16. Provos N. Defending Against on Statistical Steganalysis // Proceeding of the 10 USENIX Security Symposium. 2001. P. 323–335.

17. Provos N., Honeyman P. Detecting Steganographic Content on the Internet // Proceeding of the 10 USENIX Security Symposium. 2001. P. 323–335.

18. Вентцель Е. С. Овчаров Л. А. Теория вероятностей и ее инженерные приложения. —М.: Наука. Гл. ред. физ. — мат. лит. 1988. — 480 с.

19. Moskowitz I.S., Longdon G.E., Chang L. A new paradigm hidden in Steganography // Proceedings of Workshop «New Security Paradigms». ACM Press. 2000. P. 41–50.

20. Katzenbeisser S., Petitcolas F. Defining Security in Steganographic Systems.

Глава 5

1. Girod B. The information theoretical significance of spatial and temporal masking in video signals // Proc. of the SPIE Symposium on Electronic Imaging. 1989. Vol. 1077. P. 178–187.

2. Watson A. The cortex transform: rapid computation of simulated neural images // Computer Vision, Graphics, and Image Processing. 1987. Vol. 39. № 3. P. 311–327.

3. Lewis A., Knowles G. Image compression using the 2-d wavelet transform // IEEE Transactions on Image Processing. 1992. № 2. P. 244–250.

4. Shapiro J. Embedded image coding using zerotrees of wavelet coefficients // IEEE Trans. on Signal Processing. 1993. № 12. P. 3445–3462.

5. Said A., Pearlman W. A new, fast, and efficient image codec based on set partitioning in hierarchical trees // IEEE Trans. on Circuits and Systems for Video Technology. 1996. № 3. P. 243–250.

6. Taubman D., Ordentlich E., Weinberger M., Seroussi G. Embedded block coding in JPEG 2000 // Signal Processing: Image Communication. 2002. № 17. P. 49–72

7. Shoham Y., Gersho A. Efficient bit allocation for an arbitrary set of quantizers // IEEE Trans. Acoustics, Speech, and Signal Processing. 1988. № 9. P. 1445–1453.

8. Kutter M., Jordan F., Bossen F. Digital signature of color images using amplitude modulation // Proc. of the SPIE Storage and Retrieval for Image and Video Databases V. 1997. Vol. 3022. P. 518–526.

9. Darmstaedter V., Delaigle J.-F., Quisquater J., Macq B. Low cost spatial watermarking // Computers and Graphics. 1998. Vol. 5. P. 417–423.

10. Langelaar G., Lagendijk R., Biemond J. Robust labeling methods for copy protection of images // Proc. of the SPIE Storage and Retrieval for Image and Video Databases V. 1997. Vol. 3022.

11. Nikolaidis N., Pitas I. Robust image watermarking in the spatial domain // Signal Processing, Special Issue on Copyright Protection and Control. 1998. Vol. 66. № 3. P. 385–403.

12. Maes M., Rongen P., van Overveld C. Digital image waermarking by salient point modification practical results // SPIE Conference on Security and Watermarking of Multimedia Contents. 1999. Vol. 3657. P. 273–282.

13. Bender W., Gruhl D., Morimoto N., Lu A. Techniques for Data Hiding // IBM Systems Journal. 1996. Vol. 35.

14. Marvel L., Boncelet C., Retter J. Reliable Blind Information Hiding for Images // Proceedings of 2nd Workshop on Information Hiding. Lecture Notes in Computer Science. 1998.

15. Ramkumar M. Data Hiding in Multimedia — Theory and Applications. 1999.

16. Hernandez J., Perez-Gonzalez F., Rodriguez J., Nieto G. Performance Analysis of a 2-D Multipulse Amplitude Modulation Scheme for Data Hiding and Watermarking of Still Images // IEEE Journal on Selected Areas in Communications. 1998. Vol. 16, № 5. P. 510–525.

17. Koch E., Zhao J. Towards Robust and Hidden Image Copyright Labeling // IEEE Workshop on Nonlinear Signal and Image Processing. 1995. P. 123–132.

18. Benham D., Memon N., Yeo B.-L., Yeung M. Fast watermarking of DCT-based compressed images // Proc. of the International Conference on Image Science, Systems and Technology. 1997. P. 243–252.

19. Podilchuk C., Zeng W. Perceptual watermarking of still images // Electronic Proceedings of the IEEE Workshop on Multimedia Signal Processing. 1997.

20. Hsu C.-T., Wu J.-L. Hidden digital watermarks in images // IEEE Transactions on Image Processing. 1999. Vol. 8. № 1. P. 58–68.

21. Tao B., Dickinson B. Adaptive watermarking in the DCT domain // Proceedings of the International Conference on Acoustics, Speech and Signal Processing. 1997.

22. Cox I., Kilian J., Leighton T., Shamoon T. Secure spread spectrum watermarking for multimedia // IEEE Transactions on Image Processing. 1997. Vol. 6. № 12. P. 1673–1687.

23. Barni M., Bartolini R., Cappellini V., Piva A. A DCT-domain system for robust image watermarking // Signal Processing, Special Issue on Copyright Protection and Control. 1998. Vol. 66. № 3. P. 357–372.

24. Fridrich J. Combining low-frequency and spread spectrum watermarking // Proceedings of the SPIE Conference on Mathematics of Data/Image Coding, Compression and Encryption. 1998. Vol. 3456. P. 2–12.

Глава 6

1. Arnold M., Kanka S. MP3 robust audio watermarking // International Watermarking Workshop. 1999.

2. Barlow J. P. The economy of ideas. Wired Magazine. 1994. № 2.

3. Barni M., Bartolini F., Cappellini V., Lippi A., Piva A. A DWT-based technique for spatio-frequency masking of digital signatures // Proceedings of the 11th SPIE Annual Symposium, Electronic Imaging '99, Security and Watermarking of Multimedia Contents. 1999. Vol. 3657.

4. Chae J. J. Robust Techniques for Data Hiding in Images and Video. PhD thesis, CA, USA, 1999.

5. Chae J. J., Mukherjee D., Manjunath B. S. A robust embedded data from wavelet coeffcients // Proceedings of SPIE, Electronic Imaging, Storage and Retrieval for Image and Video Database. 1998. Vol. 3312. P. 308–317.

6. Collberg C., Thomborson C. On the limits of software watermarking // Technical report, University of Auckland, New Zealand, 1998.

7. Corvi M., Nicchiotti G. Wavelet-based image watermarking for copyright protection // Scandinavian Conference on Image Analysis. 1997.

8. Cox I. J., Kilian J., Leighton T., Shamoon T. G. Secure spread spectrum watermarking for multimedia // Technical report, NEC Research Institure, USA, 1996.

9. Cox I. J., Kilian J., Leighton T., Shamoon T. G. A secure, robust watermark for multimedia // Information hiding: first international workshop. Lecture Notes in Comp. Science. 1996. Vol. 1174. P. 183–206.

10. Cox I. J., Kilian J., Leighton T., Shamoon T. G. Secure spread spectrum watermarking for images, audio and video // Proceedings of the IEEE International Conference on Image Processing. 1996. P. 243–246.

11. Cox I. J., Kilian J., Leighton T., Shamoon T. G.. Secure spread spectrum watermarking for multimedia // Proceedings of the IEEE International Conference on Image Processing. Vol. 6. P. 1673–1687. 1997.

12. Kim J. R., Moon Y. S. A robust wavelet-based digital watermark using level-adaptive thresholding // Proceedings of the 6th IEEE International Conference on Image Processing. 1999. P. 202.

13. Kim Y.-S., Kwon O.-H., Park R.-H.. Wavelet based watermarking method for digital images using the human visual system // Electronic Letters. 1999. № 35(6). P. 466–467.

14. Kundur D., Hatzinakos D. A robust digital image watermarking method using wavelet-based fusion // Proceedings of the IEEE International Conference on Image Processing. 1997. Vol. 1. P. 544–547.

15. Lewis A. S., Knowles G. Image compression using the 2-d wavelet transform // IEEE Transactions on Image Processing. 1992. № 1. P. 244–250.

16. Loo Р., Kingsbury N. G. Watermarking using complex wavelets with resistance to geometric distortion // Proceedings of the 10th European Signal Processing Conference. 2000.

17. Lu C.-S., Liao H.-Y. М. Oblivious watermarking using generalized gaussian // Proceedings of the 7th International Conference on Fuzzy Theory and Technology. 2000. P. 260–263.

18. Lu C.-S., Huang S.-K., Sze C.-J., Liao H.-Y. M. A New Watermarking Technique for Multimedia Protection. CRC Press, 2000.

19. Lu C.-S., Liao H.-Y. M., Huang S.-K., Sze C.-J. Cocktail watermarking on images // Proceedings of the 3rd Information Hiding Workshop. 1999. Vol. 1768. P. 333–347.

20. Lu C.-S., Liao H.-Y. M., Huang S.-K., Sze C.-J. Highly robust image watermarking using complementary modulations // Proceedings of the 2nd International Information Security Workshop. 1999. P. 136–153.

21. Nicchiotti G., Ottaviano E. Non-invertible statistical wavelet watermarking // Proceedings of the 9th European Signal Processing Conference. 1998. P. 2289–2292.

22. Piva A., Barni M., Bartolini F., Cappellini V. A watermarking technique for the protection of digital images IPR // Proceedings of European Multimedia, Microprocessor System and Electronic Commerce Conference and Exhibition: Advances in Information Technologies: The Business Challenge. 1997. P. 636–643.

23. Podilchuk C. I., Zeng W. Digital image watermarking using visual models // Proceedings of the 2nd SPIE Human Vision and ElectronicImaging Conference. 1997. Vol. 3016. P. 100–111.

24. Podilchuk C. I., Zeng W. Image-adaptive watermarking using visual models // IEEE Journal on Selected Areas in Communications, special issue on Copyright and Privacy Protection. 1998. № 16(4). P. 525–539.

25. Wang H.-J., Bao Y.-L., Jay Kuo C.-C., Chen H. Multithreshold wavelet codec (MTWC) // Technical report, Department of Electrical Engineering, University of Southern California, Switzerland, 1998.

26. Wang H.-J., Jay Kuo C.-C. High fidelity image compression with multithreshold wavelet coding (MTWC) // SPIE's Annual meeting — Application of Digital Image Processing XX, USA, 1997.

27. Wang H.-J., Jay Kuo C.-C. Image protection via watermarking on perceptually significant wavelet coefficients // Proceedings of the IEEE Workshop on Multimedia Signal Processing. 1998.

28. Wang H.-J., Jay Kuo C.-C., An integrated approach to embedded image coding and watermarking // Proceedings of IEEE ICASSP. 1998.

29. Wang H.-J., Jay Kuo C.-C. Watermark design for embedded wavelet image codec // Proceedings of the SPIE's 43rd Annual Meeting, Applications of Digital Image Processing. 1998. Vol. 3460. P. 388–398.

30. Wang H.-J., Su P.-C., Jay Kuo C.-C. Wavelet-based digital image watermarking // Optics Express. 1998. № 3. P. 491–496.

31. Watson A. B., Yang G. Y., Solomon J. A., Villasenor J. Visibility of wavelet quantization noise // IEEE Transaction in Image Processing. 1997. № 6. P. 1164–1175.

32. Wolfgang R. B., Podilchuk C. I., Delp E. J. The effect of matching watermark and compression transforms in compressed color images // Proceedings of the IEEE International Conference on Image Processing. 1998.

33. Xia X.-G., Boncelet C. G., Arce G. R.. Wavelet transform based watermark for digital images // Optics Express. 1998. № 3. P. 497–502.

34. Fridrich J. Combining low-frequency and spread spectrum watermarking // Proceedings of the SPIE Symposium on Optical Science, Engineering and Instrumentation. 1998.

35. Dugad R., Ratakonda K., Ahuja N. A new wavelet-based scheme for watermarking images // Proceedings of the IEEE International Conference on Image Processing. 1998.

36. Piva A., Barni M., Bartolini F., Cappellini V. DCT-based watermark recovering without resorting to the uncorrupted original image // Proceedings of the IEEE International Conference on Image Processing. 1997. Vol. 1. P. 520.

37. Zeng W., Lei S. Transform domain perceptual watermarking with scalable visual detection a proposal for JPEG2000 // Technical report, Digital Video Department,Sharp Laboratories of America, Inc., USA, 1998.

38. Chen B., Wornell G. W. Digital watermarking and information embedding using dither modulation // Proceedings of the IEEE Workshop on Multimedia Signal Processing. 1998. P. 273–278.

39. Chen B., Wornell G. W. Dither modulation: A new approach to digital watermarking and information embedding // Proceedings of the 11th SPIE Annual Symposium, Electronic Imaging, Security and Watermarking of Multimedia Contents. 1999. Vol. 3657. P. 342–353.

40. Costa M. Writing on dirty paper // IEEE Transactions on Information Theory. 1983. № 29(3). P. 439–441.

41. Eggers J. J., Su J. K., Girod B. A blind watermarking scheme based on structured codebooks // IEE Colloqium: Secure images and image authentication, UK, 2000.

42. Hsu C.-T., Wu J.-L. Multiresolution watermarking for digital images // IEEE Trans. on Circuits and Systems II. 1998. № 45(8). P. 1097–1101.

43. Schuchman L. Dither signals and their effect on quantization noise // IEEE Transaction on Communication Technology. 1964. № 12. P. 162–165.

44. Chu C.-J. H. and Wiltz A. W. Luminance channel modulated watermarking of digital images // Proceedings of the SPIE Wavelet Applications Conference. 1999. P. 437–445.

45. Chae J. Robust Techniques for Data Hiding in Images and Video. PhD thesis, Department for Electrical and Computer Engineering, University of California, Santa Barbara, CA, USA, 1999.

46. Chae J., Mukherjee D., Manjunath B. A robust embedded data from wavelet coefficients // Proceedings of SPIE, Electronic Imaging, Storage and Retrieval for Image and Video Database. 1998. Vol. 3312. P. 308–317.

47. Puate J., Jordan F. Using fractal compression scheme to embed a digital signature into an image // Technical report. Swiss federal institute of technology, 1996. 12p.

48. Bas P., Chassery J.-M., Davoine F. A geometrical and frequential watermarking scheme using similarities // In SPIE Conference on Security and Watermarking of Multimedia Contents. 1999. № 3657. P. 264–272.

49. Davern P., Scott M. Fractal based image steganography // Lecture Notes in Computer Science. 1996. Vol. 1174. P. 279–294.

Глава 7

1. Arnold M., Kanka S. MP3 robust audio watermarking // International Watermarking Workshop. 1999.

2. Bassia P., Pitas I., Robust audio watermarking in the time domain // Department of Informatics, University of Tressaloniki.

3. Boney L., Tewfic A.H., Hamdy A.K., Digital watermarks for audio signals, Department of Electrical engineering, University of Minnesota.

4. Bender W., Gruhl B., Morimoto N., Lu A. Techniques for data hiding // IBM systems journal. 1996. Vol, 35. № 3.

Глава 8

1. Langelaar G., van der Lubbe J., Biemond J. Copy Protection for Multimedia Data based on Labeling Techniques // 17th Symposium on Information Theory in the Benelux. 1996.

2. Langelaar G. Feasibility of security concept in hardware. 1996. AC-018, SMASH, SMS-TUD-633-1.

3. Langelaar G., Lagendijk R., Biemond J. Real-time Labeling Methods for MPEG Compressed Video // 18th Symposium on Information Theory in the Benelux. 1997.

4. Langelaar G., Lagendijk R., Biemond J. Real-time Labeling of MPEG-2 Compressed Video // Journal of Visual Communication and Image Representation. 1998. Vol. 9. № 4. P. 256–270.

5. Langelaar G., Lagendijk R., Biemond J. Watermark Removal based on Non-linear Filtering // ASCI'98 Conference. 1998.

6. Langelaar G., Lagendijk R., Biemond J. Removing Spatial Spread Spectrum Watermarks by Non-linear Filtering // IX European Signal Processing Conference. 1998.

7. Wu T., Wu S. Selective encryption and watermarking of MPEG video // International Conference on Image Science, Systems, and Technology. 1997.

8. ISO/IEC 13818-2:1996(E), «Information Technology — Generic Coding of Moving Pictures and Associated Audio Information», Video International Standard, 1996

9. Hartung F., Girod B. Digital Watermarking of Raw and Compressed Video // Proceedings SPIE 2952: Digital Compression Technologies and Systems for Video Communication. 1996. P. 205–213.

10. Hartung F., Girod B. Watermarking of MPEG-2 Encoded Video Without Decoding and Re-encoding // Proceedings Multimedia Computing and Networking. 1997.

11. Hartung F., Girod B. Watermarking of Uncompressed and Compressed Video // Signal Processing. 1998. Vol. 66. №. 3. P. 283–301.

12. Girod B. The efficiency of motion-compensating prediction for hybrid coding of video sequences // IEEE Journal on Selected Areas in Communications. 1987. Vol. 5. P. 1140–1154.

13. Воробьев В.И., Грибунин В.Г. Теория и практика вейвлет-преобразования. СПб.:ВУС, 1999 г.