Обнаружение стеганографии

Так называемая « Проблема Заключенных» (Simmons 1983) часто используется, чтобы описать стеганографию, хотя первоначально её вводили для описания сценария криптографии.

Проблема включает в себя двух заключенных, Элиса и Боба, которые заперты в отдельных тюремных камерах и желают сообщить друг другу некоторый секретный план. Элису и Бобу разрешают обмениваться сообщениями друг с другом, но Уильям, тюремный надзиратель, может читать все сообщения. Элис и Боб знают, что Уильям прекратит их связь, если он обнаружит секретный канал.

Уильям может действовать пассивно или активно. В пассивной модели надзирателя, Уильям исследует каждое сообщение и решает, отправить сообщение или нет, основываясь на своей способности обнаружить скрытое сообщение. В активной модели надзирателя, Уильям может изменить сообщения, если желает. Консервативный или злой надзиратель мог бы фактически изменять все сообщения в попытке разрушить любой тайный канал так, чтобы Элису и Бобу нужно было бы использовать очень надёжный метод стеганографии.

Трудность задачи начальника будет в значительной степени зависеть от сложности алгоритма стеганографии и количества предшествующих знаний Уильяма.

В чистой модели стеганографии, Уильям ничего не знает о методе стеганографии, используемом Элисом и Бобом. Со стороны Элиса и Боба будет неправильным полагаться на это, так как безопасность редко работает в условиях неясности и особенно катастрофична применимо к криптографии. Однако, часто это является моделью проведения компьютерно-техническим аналитиком поиска возможного использования стеганографии на веб-сайте или жестком диске.

Стеганография, с использованием секретного ключа, предполагает, что Уильям знает алгоритм стеганографии, но не знает секретный стеганографический/криптографический ключ, применяемый Элисом и Бобом. Это последовательно при условии, что пользователь криптографии будет действовать по Принципу Керкхоффа (тоесть, «безопасность криптографической схемы лежит в управлении ключом, а не в секретности алгоритма».)

Возможно, это является слишком сильным предположением для применения на практике, потому что полная информация включала бы в себя доступ к источнику файла-контейнера.

Стегоанализ, обнаружение стеганографии третьим лицом, является относительно молодой дисциплиной исследований, несколько статей по этой теме появились перед концом 1990-ых. Искусство и наука стегоанализа предназначены, чтобы обнаружить или оценить скрытую информацию, основываясь на наблюдении некоторой передачи даннях и не делая никаких предположений об алгоритме стеганографии.

Обнаружение скрытой информации может быть не достаточным. Возможно, стегоаналитик также захочет извлечь скрытое сообщение, повредить скрытое сообщение, чтобы получатель не мог извлечь его, и/или изменить скрытое сообщение, чтобы послать дезинформацию получателю. Обычно достаточным является обнаружение и извлечение стеганографии, если цель – это сбор доказательств, связанных с прошлым преступлением, хотя разрушение и/или изменение скрытой информации также могли бы быть законными целями правоприменительных органов в ходе расследования деятельности преступных или террористических групп.

Методы стегоанализа можно классифицировать подобно методам криптоанализа, которые в значительной степени основаны на том, какое количество предшествующей информации известно.

- Атака только стеганографии: Стеганографический носитель – единственный элемент, доступный для анализа;

- Атака известного контейнера: Для анализа доступен и контейнер (исходный файл в который позднее были помещены стеганографические данные) и стеганографический носитель;

- Атака известного сообщения: Известно скрытое сообщение;

- Атака выбранной стеганографии: Известен как стеганографический носитель, так и стеганографический алгоритм;

- Атака выбранного сообщения: Известное сообщение и алгоритм стеганографии используются, чтобы создать стеганографический носитель для будущего анализа и сравнения;

- Атака известной стеганографии: Известны контейнер и стеганографический носитель, а так же алгоритм стеганографии.

Методы стеганографии для цифровых носителей можно широко классифицировать как работающие в области изображений или области преобразований. Инструменты области изображений скрывают сообщение в контейнере неким видом побитовой манипуляции, например, изменением самого младшего бита. Инструменты области преобразований управляют алгоритмом стеганографии и фактическими преобразованиями, используемыми в скрытии информации, например, коэффициентами дискретного косинусного преобразования в изображениях формата JPEG.

В таком случае, отсюда вытекает, что стегоанализ следует по пути, в котором развивается стеганография. Первый простой подход состоит в том, чтобы визуально осмотреть контейнер и носитель стеганографии. Многие простые стеганографические инструменты работают в области графических изображений и используют для стеганографического скрытия сообщения биты, в контейнере, независимо от содержания контейнера. Хотя легче скрыть сообщение в области более яркого цвета или болем громкого звука, программа не может отыскать эти области. Таким образом, визуальный осмотр может быть достаточным, чтобы появилось подозрение что исследуемый носитель содержит стеганографические данные.

Второй подход состоит в том, чтобы искать странности в структуре, которые предполагают манипуляцию. Вложение самого младшего бита в изображение на основе палитры часто является причиной большого количества двойных цветов, где идентичные (или почти идентичные) цвета дважды появляются в палитре и имеют отличия только в самом младшем двоичном разряде. Стеганографические программы, которые скрывают информацию просто, управляя порядком цветов в палитре, также вызывают структурне изменения. Структурные изменения часто создают сигнатуру алгоритма стеганографии, который использовался.

Стеганографические методы обычно изменяют статистические данные контейнера и, очевидно, что более длинные скрытые сообщения изменят контейнер больше чем короткие.

Статистический анализ, как правило, используется для обнаружения скрытых сообщений, особенно когда аналитик работает в слепую. В области статистического стегоанализа имеется большое количество работ.

Статистический анализ графических и звуковых файлов может показать, отклоняются ли статистические свойства файлов от ожидаемой нормы. Эти так называемые статистические данные первого порядка – средства, дисперсия, критерий хи-квадрат ( Χ2) - могут определить количество избыточной информации и/или искажения в носителе. Хотя эти измерения могут спрогнозировать, было ли содержание изменено или кажется подозрительным, они не являются окончательными.

Процесс статистического стегоанализа осложняется, так как некоторые алгоритмы стеганографии стараются сохранить статистические данные первого порядка файла-контейнера, чтобы избежать только этого типа обнаружения. Шифрование скритого сообщения также затрудняет его обнаружение, потому что зашифрованные данные обычно имеют высокую степень случайности, и единицы и нули появляются с равным правдоподобием.

Восстановление скрытого сообщения добавляет ещё один уровень сложности по сравнению с простым обнаружением присутствия скрытого сообщения. Восстановление сообщение требует знания или оценки длины сообщения и, возможно, ключа шифрования и знания криптографического алгоритма.

Алгоритмы для определенных типов файлов-контейнеров могут сделать анализ более простым. Формат JPEG, в частности, получил большое внимание исследователей из-за способа, с помощью которого различные алгоритмы работают с этим типом файла.

Формат JPEG является плохим контейнером при использовании для сокрытия вложения стеганографического метода изменения самого младшего бита, так как модификация в файле, вызванная сжатием JPEG, упрощает задачу обнаружения скрытой информации. Существует несколько алгоритмов, которые скрывают информацию в файлах формата JPEG, и все они работают по-разному. Алгоритм JSteg последовательно вкладывает скрытые данные в самые младшие биты, алгоритм JP Hide&Seek использует вероятностный процесс для выбора самых младших битов, алгоритм F5 использует матричное кодирование, основанное на коде Хемминга, а алгоритм OutGuess сохраняет статистические данные первого порядка.

Сегодня большинство стегоанализов основаны на сигнатурах, подобно антивирусным приложениям и системам обнаружения вторжения. Системы стегоанализа на основе детектирования аномалий только начинают появляться. Хотя прежние системы являются точными и надёжными, последние будут более гибкими и приспособленными быстро отвечать требованиям детектирования новых методов стеганографии. Одна форма так называемого «слепого поиска стеганографии» различает между собой «чистые» изображения и изображения, содержащие стеганографические данные, используя статистику, основанную на разложении волны малой амплитуды, или исследовании пространства, ориентации, и масштаба через подмножества большего изображения.

Этот тип статистического стегоанализа не ограничивается графическими и звуковыми файлами. Программа Hydan сохраняет размер оригинального контейнера, но, используя набор «функционально эквивалентных» команд, изменяет некоторые команды, которые обычно не используются. Это обнаруживает программу Hydan при исследовании статистического распределения команд программы. Будущие версии программы Hydan будут поддерживать целостность статистического профиля оригинального приложения, чтобы защититься от этого анализа.