Прокомментируем суть теоремы 3.7.

Для случая гауссовских контейнеров с распределением оптимальное атакующее воздействие легко синтезируется нарушителем. Атакующий просто заменяет стего шумовым сигналом, имеющим нормальное распределение с математическим ожиданием и дисперсией при . Если допустимое для нарушителя искажение достаточно велико, чтобы выполнилось неравенство , то согласно выражения (3.20) оптимальной стратегией нарушителя является, перехватив стего , замена его на сигнал , независимый от . Такая атака достаточно просто реализуется на практике. Таким образом, чтобы гарантированно подавить канал скрытой связи, нарушителю надо внести в стего искажение величиной порядка энергии контейнера.

Отметим, что в соответствии с выражением (3.19) для обеспечения ненулевой скрытой ПС при выполнении неравенства вклад обоих слагаемых суммы равноценен. Это потенциально обеспечивает возможность маневра при синтезе стегосистем: увеличивать или искажение кодированияпри встраивании скрываемого сообщения или энергию контейнера, или сочетать оба подхода.

Рис. 3.4. Пример двоичной стегосистемы с искажениями D1 = 1/8 и D2 = 1/16

Таким образом, если нарушитель способен сформировать достаточно точную оценку контейнера (иными словами, выполняется неравенство , где величина достаточно мала), то величина скрытой ПС ограничена этой малой величиной. А на практике это означает, что располагая подписанным водяным знаком стего, нарушитель может попытаться воспроизвести из него с некоторой допустимой погрешностью пустой контейнер, из которого удалено скрываемое сообщение. Такие примеры известны еще с доэлектронных времен стеганографии. Например, если перерисовать картину, заверенную художником малозаметными для визуального восприятия авторскими знаками, то хорошая копия может быть практически неотличима от оригинала (по крайней мере, для обычных зрителей), а авторские знаки, скорее всего, будут разрушены.

Исследуем скрытую ПС при активном противодействии нарушителя, стремящегося разрушить скрытно передаваемую информацию. Информационно-скрывающее противоборство между отправителем сообщений и атакующим удобно описать методами теории игр. Цена игры равна величине скрытой ПС. Для максимизации скрытой ПС (максимизации платежа) скрывающий информацию оптимально строит скрывающее преобразование. Для минимизации скрытой ПС (минимизации платежа) атакующий синтезирует оптимальное атакующее воздействие. Величина скрытой ПС может быть получена последовательным соединением скрывающего преобразования и атакующего воздействия. Оценим величину скрытой ПС для стегосистемы с двоичным алфавитом. Исследуем теоретико-игровые аспекты проблемы скрытия информации стегосистемами.

Рассмотрим теорему, которая названа в [2] основной теоремой информационного скрытия при активном противодействии нарушителя. Для любых произвольно сложных стегосистем и любых атак без памяти эта теорема ограничивает сверху скорость безошибочной передачи для скрывающего информацию при условии, что атакующий знает описание скрывающего преобразования, а декодер знает описание и скрывающего преобразования и атакующего воздействия. Данное условие на самом деле не является трудновыполнимым, как это кажется на первый взгляд. Даже если стратегии действий скрывающего информацию и атакующего неизвестны, но стационарны, то можно утверждать, что и атакующий и декодер потенциально способны определить их, обработав достаточно большой объем статистического материала. Это допущение вполне реалистично, хотя и не всегда может быть достигнуто на практике из-за высокой вычислительной сложности.

Предварительно рассмотрим два утверждения, устанавливающие области существования стегосистем, потенциально способных безошибочно передавать скрываемую информацию при заданном атакующем воздействии.

Утверждение 3.1: Зафиксируем атакующее воздействия и выберем скрывающее преобразование , которое максимизирует количество информации вида

(3.8)

над . Для любого сколь угодно малого значения ε > 0 и достаточно большого значения N существует стегосистема с длиной блока N, обеспечивающая вероятность разрушения скрываемых сообщений для множества скрываемых сообщений мощностью .

Утверждение 3.2: Пусть стегосистема с длиной блока N способна безошибочно передаватьскрываемые сообщения cо скоростьюпри атакующем воздействии Q(y/x). Если для любого ε > 0 стегосистема обеспечивает вероятность при , то существует конечный алфавит и такое скрывающее преобразование , что выполняется .

Эти утверждения очень напоминают известные теоремы теории передачи сообщений в каналах связи с помехами [1].

Теорема 3.3:Пусть атакующий знает описание обобщенного скрывающего преобразования , а декодер знает описание обобщенного скрывающего преобразования и обобщенного атакующего воздействия . Для любого информационно-скрывающего противоборства, приводящего к искажениям не более (D₁, D₂), скорость передачи R скрываемых сообщений достижима, если и только если R < , величина определяется как

,(3.9)

где U есть случайная переменная над произвольным конечным алфавитомпеременныеобразуют марковскую цепь, и количество информации определяется выражением (3.8).

Таким образом, теорема 3.3 определяет величину нижней грани скрытой ПС в условиях, когда все участники информационного противоборства знают стратегии действий друг друга. Заметим, что в этой теореме определяется величина скрытой ПС стегоканала, существование которого атакующему известно. Данная скрытая ПС равна среднему количеству информации на один элемент контейнера, которое нарушитель не может разрушить, выбирая любую стратегию противодействия из множества при искажении контейнера не более величины D₂.

Доказательство этой теоремы сводится к следующему: зафиксируем атакующее воздействие . В утверждении 3.1 доказывается, что все скорости безошибочной передачи скрываемых сообщений менее достижимы. Утверждение 3.2 включает обратный результат, то есть достоверная передача невозможна выше этой скорости. Так как атакующий знает распределение , он способен выбрать такое распределение , которое минимизирует скорость передачи.

Следствие 3.4 далее показывает, что в важном специальном случае (секретным ключом стегосистемы является описание используемого контейнера и сам контейнер известен декодеру), нет потери в оптимальности при ограничении кодера стегосистемы видом, представленным на рис. 3.2.

Следствие 3.4:В случае выбор значения переменной оптимален, если и только если стего может быть записано в форме , где отображение обратимо для всех значений . В частности, выбор оптимален. Скрытая ПС в этом случае определяется в виде

. (3.10)

Это следует из того, что когда , выражение (3.8) может быть записано в виде

. (3.11)

Представляется вполне логичным, что величина скрытой ПС равна взаимной информации между стегои искаженным стего при условии, что отправителю и получателю скрываемой информации известен пустой контейнер .

Для практических систем защиты информации, если секретным ключом стегосистемы является описание используемого контейнера, возникают две проблемы. Во-первых, получатель должен знать исходный контейнер, что ограничивает возможную область применения таких стегосистем. Во-вторых, отправитель и получатель скрываемых сообщений должны использовать секретную ключевую информацию очень большого объема, что неудобно на практике.

3.3.2. Свойства скрытой пропускной способности стегоканала

Скрытая ПС является функцией аргументов и , что удобно выразить в виде . Скрытая ПС удовлетворяет следующим свойствам:

1. Величина монотонно увеличивается при увеличении искажения кодированияи монотонно уменьшается с ростом искажения .

2. Функция выпукла по аргументу .

3. Величина ограничена сверху энтропией искаженной стегограммы и энтропией контейнера :

4.

.

Это свойство очевидно, так как скрытая пропускная способность не может быть больше энтропии искаженного стего . В свою очередь, в силу возможной потери информации из-за атакующего воздействия величина не может быть больше энтропии стего , а из-за возможной потери информации при встраивании скрываемых сообщений равно или меньше энтропии пустого контейнера. Из теории информации известно, что энтропия источника контейнеров меньше или равна логарифму от мощности его алфавита [18]. Так как наиболее часто используются контейнеры в виде существенно избыточных изображений или речевых сигналов, то для таких контейнеров выполняется неравенство , что существенно уменьшает возможное значение скрытой ПС. Таким образом, в стегосистеме чем ближе характеристики дискретных контейнеров к бернуллиевскому распределению или непрерывных контейнеров к гауссовскому распределению, тем больше может быть величина скрытой ПС.

5. Величина для любых значений искажения , так как означает, что , то есть контейнер полностью совпадает со стего и никакой скрываемой информации не передается.

6. Если допустимо достаточно большое искажение, то для любого значения искажения может быть построена атака нарушителя, в которой формируется независимо от . Следовательно, в таком устранены все следы скрываемого сообщения и скрытая пропускная способность равна нулю для любых значений искажения кодирования . Таким образом, если атакующий имеет возможность подавлять канал передачи скрываемых сообщений неограниченно мощной помехой, то он гарантированно разрушит передаваемые сообщения. К счастью, во многих практических случаях информационного скрытия у нарушителя нет такого энергетического потенциала радиоэлектронного подавления или при его наличии им невозможно воспользоваться.

Сформулируем выводы из теоремы 3.3 и прокомментируем свойства скрытой ПС.

1. Теорема 3.3 определяет, что установление теоретической возможности скрытой безошибочной передачи информации и теоретической возможности противодействия этому сводится к вычислению величины скрытой ПС при известных стратегиях сторон и сравнению ее с требуемой скоростью передачи скрываемой информации. Если скрытая ПС меньше требуемой скорости, то даже теоретически не существует способа передачи скрываемых сообщений без искажений и задача атакующего по подавлению произвольных стегосистем гарантированно решается.

Оптимальная атака нарушителя заключается во внесении такого искажения, при котором величина скрытой ПС меньше требуемой скорости передачи скрываемых сообщений. Оптимальная стратегия скрывающего информацию заключается в выборе такого кодирования и такой величины искажения, при которых с учетом искажения требуемая скорость безошибочной передачи не превышает скрытой ПС. Это означает, что теоретически существует такой способ безошибочной передачи. Однако теоретическая возможность еще не означает, что скрывающий информацию способен реализовать ее на практике. Например, разработчик стегосистемы может не знать оптимальных принципов ее построения (они еще не открыты), из-за ограниченности в вычислительных ресурсах он не может себе позволить оптимальную обработку или требования к своевременности доставки скрываемых сообщений ограничивают длину N блока кодирования и так далее.

Таким образом, успех скрывающего информацию или атакующего определяется в конечном счете соотношением между скоростью передачи R и величинами искажения и контейнера, в котором скрывается информация. Рассмотренная теорема информационного скрытия при активном противодействии нарушителя очень напоминает фундаментальную теорему К. Шеннона, в которой определяется, что существует способ безошибочной передачи сообщений по каналу с помехами, если скорость передачи меньше пропускной способности канала, и невозможна достоверная передача со скоростью, большей пропускной способности. К. Шеннон также показал, что существуют зависимости между отношением мощности полезного сигнала к мощности помех в канале связи и величиной скорости безошибочной передачи сообщений по этому каналу. Аналогично этому, в информационно-скрывающем противоборстве существуют подобные зависимости между отношением величины искажения кодирования к величине искажения атакующего воздействия и величиной скорости безошибочной передачи скрываемых сообщений по стегоканалу.

Однако при внешнем сходстве у задач открытой и скрытой передачи есть существенные различия. Открытая связь осуществляется в условиях воздействия случайных помех канала связи, а передача скрываемой информации должна быть обеспечена при оптимизированном преднамеренном противодействии организованного нарушителя.

2. Рассмотрим связь задачи информационного скрытия с задачей защиты информации от перехватчика в подслушивающем канале. В 1975 году американский ученый А.Вайнер предложил метод защиты информации от чтения нарушителем, заложивший основу теории кодового зашумления [19,20]. Отправитель дискретных сообщений осуществляет их случайное избыточное кодирование на передаче и передает преобразованные сообщения получателя по основному каналу связи. Нарушитель наблюдает их в подслушивающем канале, который является отводом от основного канала. Случайное кодирование на передаче построено таким образом, что если в подслушивающем канале есть ошибки, то при декодировании они размножаются и надежно искажают защищаемую информацию. Метод кодового зашумления предназначен для систем передачи, в которых основной канал безошибочный. Например, основной канал образован на основе волоконно-оптической линии, а нарушитель пытается вести разведку по каналам побочного электромагнитного излучения и наводок, в которых в силу их природы имеется большое число ошибок. Отметим, что нарушитель знает описание системы кодового зашумления, которая не использует секретной ключевой информации (способ защиты некриптографический). Подслушивающий канал характеризуется секретной ПС, которая есть максимальная скорость безошибочной передачи по основному каналу при условии, что неопределенность для перехватчика максимальна (неопределенность защищаемых сообщений равна энтропии этих сообщений). Однако если подслушивающий канал менее шумный, чем основной канал, то секретная ПС равна нулю.

В задаче информационного скрытия атакующий способен на большее, чем обычный перехватчик в подслушивающем канале, так как он после перехвата защищаемого сообщения преднамеренно искажает основной канал. Поэтому основной канал передачи не менее шумный, чем подслушивающий канал. Следовательно, в задаче информационного скрытия с активным нарушителем секретная ПС равна нулю.

3. Выбор переменной U независимо от контейнера , как это делается в системе водяного знака согласно рис. 3.2, является в общем случае не оптимальным. Анализ выражения (3.8) показывает, что скорости безошибочной передачи в этом случае ограничены сверху величиной .

4. Пусть выполняется условие ≥. Если атакующему известно описание контейнера , то оптимальная атака состоит просто в формировании искаженного стего в виде . В этом случае выходной сигнал после атакующего не содержит никаких следов сообщения и скрытая ПС равна нулю. На практике это означает следующее. Если нарушителю известен оригинал защищаемой от пиратского копирования мультимедийной информации, то никакие стегосистемы не защитят авторские и имущественные права производителей мультимедийной продукции.

Рассмотрим потенциально сильную атаку, в которой атакующий стремится сконструировать достаточно близкую к оригиналу оценку контейнера . Если атакующий способен синтезировать искаженное стего такое, что , то платеж ограничен сверху величиной

(3.12)

для всех U. Следовательно, величина скрытой ПС стегоканала .

3.4. Двоичная стегосистема передачи скрываемых сообщений

Определим величину скрытой ПС стегосистемы, в которой алфавит скрываемых сообщений, контейнеров, ключей и стего является двоичным алфавитом . Пусть контейнер формируется источником Бернулли, то есть символы последовательности контейнера являются независимыми друг от друга и равновероятными. Функция искажения описывается расстоянием Хэмминга: , если и в ином случае. Описание контейнера является секретным ключом стегосистемы () и известно декодеру. Пусть двоичная последовательность формируется независимо и равновероятно. Стегограммы формируются в виде, где операция есть суммирование по модулю2. Переменная Z имеет бернуллиевское распределение и отображает скрываемое сообщение с искажением . Искажение означает, что каждый символ двоичной последовательности Z отличается от соответствующего символа двоичной последовательности свероятностью . Преобразование сообщения в последовательность Z выполняется скрывающим информацию с использованием кодера с искажением. Нарушитель обрабатывает стего наложением на него двоичной шумовой последовательности , в которой единичный символ порождается с вероятностью . Получатель суммирует искаженное стего с двоичной последовательностью по модулю2, и из полученной таким образом двоичной последовательности декодирует принятое скрываемое сообщение . Особенностью этой стегосистемы является то, что в ней скрываемое сообщение при встраивании искажается с вероятностью искажения и это искажение равно искажению кодирования стего. Такая стегосистема показана на рис. 3.3.

Рис.3.3. Структурная схема двоичной стегосистемы

Утверждение 3.5: Для двоичной стегосистемы при величинах искажений скрытая ПС определяется в виде

, (3.13)

где, по определению, , и .

Оптимальная атака нарушителя определяется в виде , где есть случайная двоичная последовательность, распределенная по бернуллиевскому закону с вероятностью появления единичного символа . Для и скрытая ПС равна . Для и , скрытая ПС равна .

Опишем распределения переменных стегосистемы, при которых достигается такая величина скрытой пропускной способности. Для данной стегосистемы переменную можно формировать как или , причем оба варианта выбора могут быть оптимальны, так как в качестве операции встраивания используется операция суммирования по модулю2.

Для и скрытая ПС равна . Заметим, что на первый взгляд удивительно, что при скрытая ПС не равна нулю независимо от значения . Это объясняется тем, что при преобразовании скрываемого сообщения впоследовательность искажение не является равновероятным: скрывающий информацию может выбрать такое распределение ошибок , при котором минимизируется изменение сообщения .Для скрытая ПС равна нулю при любых значениях . Нетрудно заметить, что при выход канала связи не зависит от его входа , что означает обрыв канала связи. И если при обрыве канала связи не передается никакой информации по открытому каналу связи, то тем более не передается по скрытому каналу, образованному на основе открытого канала.

Применим следствие 3.4 для анализа двоичной стегосистемы. Мы должны проверить, что распределения для и имеют седловую точку платежа . Сначала зафиксируем . Полагая , получим

где равенство (а) справедливо в соответствии с определением условной взаимной информации, (b) выполняется благодаря тому, что есть марковская цепь, неравенство (с) справедливо, так как условие уменьшает энтропию. Равенство достигается в (с) если и только если , следовательно, независима от . Неравенство (d) справедливо, так как Z и W независимы в силу того, что формируют марковскую цепь и . Равенство достигается, если переменная Z имеет бернуллиевское распределение с дисперсией . Распределение удовлетворяет обоим неравенствам с равенством и поэтому максимизирует значение

Второй шаг заключается в фиксации и минимизации над . При определенном ранее распределении , и независимы. Так как формирует марковскую цепь, и также независимы.

Мы имеем

,

где неравенство (а) справедливо, так как условие уменьшает энтропию, и неравенство (b) справедливо потому, что и независимы и , которое становится равенством, если – переменная с бернуллиевским распределением с вероятностью единичного символа .

Рассмотренная двоичная стегосистема похожа на систему шифрования однократной подстановки (шифр гаммирования с бесконечной равновероятной независимой шифрующей гаммой). При независимой и равновероятной последовательности выполняется равенство , что означает, что эта система удовлетворяет требованию к совершенным криптосистемам [1], следовательно, перехват и анализ криптограммы Х не дает атакующему никакой информации о защищаемом сообщении Z. Однако эта двоичная система удовлетворяет также требованию к совершенным стеганографическим системам: распределения и идентичны, поэтому для нарушителя невозможно определить, принадлежат ли перехваченные данные к распределениюпустых контейнеров или к распределению стего со встроенным сообщением [17]. Подробно совершенные стегосистемы будут описаны в следующем разделе. Однако заметим, что в рассматриваемой стегосистеме предполагается, что контейнеры и, соответственно, стегограммы описываются бернуллиевским распределением, что обычно не характерно для реальных систем скрытия информации.

Рассмотрим пример двоичной стегосистемы с выбором . Пусть требуется скрытно передать сообщение M, которое является цифровым представлением речевого сигнала. Первые несколько отсчетов речевого сигнала в моменты времени дискретизации t₁, t₂, t₃, t₄ принимают десятичные значения M₁ = 0, M₂ = 17, M₃ = 35, M₄ = 67 (рис. 3.4а). В общем виде скрываемое сообщение может быть представлено в виде M = (M₁, M₂ , M₃ , M₄, . .). В двоичной форме скрываемое сообщение запишем как

M₁ = 0000 0000, M₂ = 0001 0001, M₃ = 0010 0011, M₄ = 0100 0011, . . .

В данной записи младшие двоичные разряды расположены справа. Преобразуем двоичную последовательность M в двоичную последовательность с погрешностью . В двоичной стегосистеме погрешность кодирования вычисляется по метрике Хэмминга. Пусть искажение = 1/8. Следовательно, для формирования последовательности = (,,,,…) скрывающий информацию искажает восьмую часть битов последовательности M. Для уменьшения погрешности скрываемого сообщения ему целесообразно искажать только младшие биты двоичной последовательности M. Поэтому скрывающий информацию выберет последовательность , например, такого вида:

= 0000 0001, = 0001 0010, = 0010 0011, = 0100 0010,…

В десятичном виде последовательность показана на рис. 3.4б. C помощью генератора случайных чисел сформируем секретный ключ K = (K₁, K₂, K₃, K₄,…).

K₁ = 1001 0101, K₂ = 0010 1110, K₃ = 1101 1001, K₄ = 0110 1001,…

Сформируем стегограмму по правилу, где = (,,,, . .) .

= 1001 0100, = 0011 1100, = 1111 1010, = 0010 1011, . . .

Пусть искажение = 1/16. Нарушитель случайным образом формирует двоичную последовательность , в которой вероятность появления единичных символов равна. Например, = (, , ,, . .) имеет вид

= 0000 0100, = 0000 0000, = 0000 0010, = 0000 0000, . . .

Атакующее воздействие представляет собой сложение по модулю 2 стегограммы и шумовой последовательности . Образованное искаженное стего = (, , ,, . .) имеет вид

= 1001 0000, = 0011 1100, = 1111 1000, = 0010 1011, . . .

Получатель складывает последовательность с последовательностью ключа K для формирования принятой .

= 0000 0101, = 0001 0010, = 0010 0001, = 0100 0010, . .

В декодере получатель восстанавливает сообщение M из последовательности . В самом простом случае = .Вид последовательности показан на рис. 3.4в. Если скрываемое сообщение представляет собой речевой сигнал, то при указанных величинах искажений и степень близости M и , то есть качество обеспечиваемой скрытой телефонной связи, для ряда телекоммуникационных задач может быть оценено удовлетворительной.

3.5. Теоретико-игровая формулировка

информационно-скрывающего противоборства

Скрывающий информацию выбирает алфавит и скрывающее преобразование из множества . Атакующий выбирает атакующее воздействие из множества . В теореме 3.3 предполагается, что атакующий знает распределение , а декодер знает распределения Q и . Это вполне разумное предположение, хотя оно может в некоторых случаях и не выполняться на практике. Рассмотрим теоретико-игровую постановку противоборства между скрывающим информацию и атакующим.

Скрывающий информацию. Он желает обеспечить гарантированную скорость безошибочной передачи при любой атаке, при которой атакующее воздействие приводит к величине искажения не более согласно выражения (3.7). Пусть он синтезирует стегосистему при предположении, что атакующий знает описание используемого скрывающего преобразования. При этом предположении скрывающий информацию может гарантировать, что минимальная скорость безошибочной передачи скрытой информации определяется выражением (3.9), которое для удобства повторяем:

.

Такой метод часто рассматривается как безопасная стратегия в теории игр [21]. Для максимизации скорости согласно выражения (3.9), декодер получателя должен знать описание используемого атакующего воздействия.

Атакующий: Он стремится минимизировать скорость безошибочной передачи при любой стратегии скрытия информации, которая удовлетворяет искажению кодирования не более согласно выражения (3.5). Соответственно, нарушитель должен знать описание используемого скрывающего преобразования. Он может строить атакующее воздействие при прежнем предположении, что скрывающий информацию и декодер знают вероятностные характеристики используемого воздействия. При этом предположении, зная описание используемого скрывающего преобразования, атакующий может гарантировать, что скрываемая информация не способна надежно передаваться на скорости большей, чем

. (3.14)

Седловая точка. В соответствии с терминологией теории игр, величины пропускной способности согласно выражений (3.9) и (3.14) являются, соответственно, нижней и верхней ценой игры [21]. Если они равны, их значение определяет седловую точку игры. Скрывающий информацию и атакующий выбирают, соответственно, распределения и , которые удовлетворяют условию седловой точки.

Если какая-либо из противоборствующих сторон выбирает стратегию, отличающуюся от условия седловой точки, а вторая сторона придерживается условия седловой точки, то первая сторона уменьшает свои шансы на успех

, . (3.15)

Из выражения (3.15) видно, что если нарушитель использует неоптимальную стратегию , то величина скрытой ПС может быть увеличена по сравнению со случаем равновесия игры (). Соответственно, если скрывающий информацию отклоняется от своей оптимальной стратегии , то величина скрытой ПС может быть уменьшена.

Таким образом, если действия противоборствующих сторон заранее известны (случай чистых стратегий обоих игроков), то обоим целесообразно придерживаться условия седловой точки игры. Этот случай удобен для расчета величины скрытой ПС стегоканала. Однако в реальных информационно-скрывающих системах противоборствующие стороны стремятся скрыть стратегию своих действий. Атакующий может попытаться достоверно определить используемое скрывающее преобразование, анализируя перехваченные стего. Соответственно, декодер может пытаться вычислить вероятностные характеристики атакующего воздействия, анализируя искаженные стего. Для достоверной оценки и необходимо иметь универсальный декодер на множестве и , соответственно. Существует развитая теория универсального декодирования для составных каналов [18], но расширение этой теории и построение практически реализуемых алгоритмов универсального декодирования для информационно-скрывающих систем пока является нерешенной проблемой. Поэтому для реальных стегосистем характерны ситуации, когда точные описания стратегий действий игроков неизвестны.

Смешанные стратегии: Рассмотрим случай, когда игроки не знают стратегию оппонента. Это означает использование смешанной стратегии в теоретико-игровой терминологии. В этом случае скрывающий информацию и атакующий неизвестным для противостоящей стороны образом выбирают используемые стратегии и Q в соответствии с вероятностными распределениями и .

Таким образом, скрывающее преобразование и атакующее воздействие могут быть неэргодичны на длительных промежутках. Например, множество возможных стратегий для атакующего может включать недетерминированно выбираемые атаки из программы Stirmark [22]. Эта программа широко используется для тестирования практических систем водяного знака, использующих в качестве контейнера изображение. Множество возможных стратегий для скрывающего информацию может включать стратегию рандомизированного кодирования с расширением спектра [4], или недетерминированное квантование контейнера [23], или недетерминированные встраивание с одновременным изменением скрываемого речевого сигнала и контейнерного речевого сигнала [24]. При использовании смешанных стратегий скрывающий информацию на распределении , максимизирует платеж, равный , а атакующий минимизирует этот платеж на распределении. Для неэргодических скрывающих преобразований и атакующих воздействий определим средние искажения в виде

, (3.16)

, (3.17)

на распределениях и . Преимущество определения искажений в виде (3.16) и (3.17) заключается в том, что требуется учитывать только два искажения вместо значений искажений для каждой возможной пары распределений в выражениях (3.5) и (3.7).

Однако точное описание информационно-скрывающего противоборства при смешанных стратегиях противостоящих сторон затруднительно, так как возможное множество зависит от множества при распределении . В соответствии с теоретико-игровой терминологией, эти множества являются связанными [21]. К счастью, в некоторых случаях связь между этими множествами может быть несущественной. Например, это выполняется при малых величинах искажений и по сравнению с энергией контейнера, независимых от информационно-скрывающей стратегии, когда распределение стегограмм асимптотически приближается к распределению контейнеров. Этот случай будет далее рассмотрен в пункте 3.8. Если зависимость между множествами и является незначительной, то теоретико-игровой анализ дает следующие результаты. Сначала заметим, что функция непрерывна и ограничена сверху и снизу, и ее аргументы принадлежат компактному подмножеству. В общем cлучае функция выпукла в Q, но не вогнута в . Следовательно, оптимальной стратегией атакующего является чистая стратегия, в то время как оптимальной стратегией для скрывающего информацию есть смешанная стратегия.

Отметим, что использование смешанной стратегии защиты информации характерно для многих задач передачи информации в условиях преднамеренных помех. Примером является работа радиолинии в режиме псевдослучайной перестройки рабочей частоты (ППРЧ). Перескоки по частоте непредсказуемы для атакующего, осуществляющего радиоэлектронное подавление радиолинии. Атакующий, зная, что вероятность использования каждого значения частоты примерно равновероятна, максимизирует свои шансы на подавление радиолинии формированием заградительной помехи с равновероятным распределением в полосе рабочих частот. Известно, что выбор рандомизированной стратегии отправителем (работа в режиме ППРЧ) существенно повышает его шансы на доставку сообщений в условиях радиоэлектронного подавления, а выбор атакующим чистой стратегии максимизирует вероятность успешного подавления [25]. Возвращаясь к стегосистемам, отметим, что скрывающий информацию существенно повышает свои шансы на безошибочную доставку скрываемых сообщений в условиях активного противодействия, если стратегия скрытия неизвестна оппоненту. Поэтому целесообразно держать в секрете от атакующего выбранное распределение , а чтобы атакующий не смог определить его в процессе наблюдения за каналом, оно должно изменяться во времени непредсказуемым для оппонента образом.

Приведем простой пример смешанной стратегии скрывающего информацию и чистой стратегии атакующего. Пусть отправитель и получатель скрываемых сообщений для их встраивания и извлечения используют синхронно работающие криптографически стойкие генераторы псевдослучайных последовательностей. Напомним, что криптографически стойким генератором называется такой генератор, для которого нарушитель с полиномиально ограниченными вычислительными ресурсами, наблюдая за его выходной последовательностью произвольной длины, не в состоянии предсказать очередной генерируемый символ с вероятностью выше вероятности случайного угадывания [26]. В качестве начального заполнения в такие генераторы отправителем и получателем скрываемых сообщений записывается секретный ключ, и генераторы одновременно запускаются. Выходная последовательность генератора определяет те элементы контейнера, в которые встраиваются скрываемые сообщения, а оставшиеся элементы контейнера передаются без изменения. Если нарушитель не в состоянии различить между собой элементы стего и пустого контейнера, то для него оптимальное подавление стегоканала заключается в наложении на перехватываемую последовательность равновероятных ошибок. В описанной стегосистеме чем больше элементов пустого контейнера передается по сравнению с числом элементов стего, тем меньше вероятность разрушения скрываемых сообщений при фиксированной величине .

Далее в главе 4 будет показано, что рандомизированная стратегия полезна и для скрытия в тайне факта передачи сообщений при пассивном нарушителе.

Рис. 3.5. Информационно-скрывающее противоборство при чистой стратегии

атакующего и смешанной стратегии скрывающего информацию

На рис. 3.5 проиллюстрирована игра между скрывающим информацию и атакующим. Атакующий придерживается чистой стратегии в вероятностном распределении , что на рисунке соответствует горизонтальной прямой, а скрывающий информацию – вероятностного распределения , что на рисунке обозначено вертикальной кривой справа. Кривая в центре рисунка определяет возможные значения цены игры при данном атакующем воздействии. Выбором своей смешанной стратегии скрывающий информацию может повысить свой выигрыш. Для максимизации величины скрытой ПС он выбирает выгодную для себя точку на кривой в центре рисунка.

3.6. Стегосистемы с бесконечными алфавитами

Результаты, приведенные выше, могут быть расширены на случай стегосистем с бесконечными алфавитами контейнеров и стего и ключей. Заметим, что стегосистемы с непрерывными сообщениями и ключами существенно отличаются от известных криптографических систем. Для бесконечномерных сигналов существуют криптосистемы, например, использующие частотные или временные преобразования речи или изображений. Системы шифрования, в которых криптографические преобразования осуществляются над непрерывными в пространстве или времени сигналами, называются маскираторами и, как правило, не обеспечивают высокой криптографической стойкости [27]. Забегая вперед, скажем, что в отличие от криптосистем, для стегосистем с бесконечными алфавитами известны доказуемые оценки их устойчивости к атакам нарушителя. К тому же маскираторы используют ключ конечной длины, элементы которого принадлежат дискретному алфавиту. И, вообще, представить себе произвольную криптосистему с ключом, элементы которого принадлежат бесконечному алфавиту, довольно затруднительно.

Расширим определение взаимной информации для переменных и стегосистемы, принадлежащих бесконечным алфавитам в виде [25]:

где дискретные переменные и , принадлежащие конечным алфавитам, аппроксимируют с некоторой допустимой погрешностью соответствующие непрерывные переменные. Если все функции плотности вероятности являются абсолютно непрерывными, то результаты из пункта 3.3 справедливы при замене соответствующих сумм интегралами.

Особый интерес имеет случай контейнеров , распределенных по нормальному закону и оцениваемых среднеквадратической погрешностью вида . Назовем этот случай гауссовскимконтейнером. Он позволяет точно оценит величину скрытой ПС. Пусть множествосовпадает с множеством действительных значений, математическое ожидание значений отсчетов контейнера равно нулю и их дисперсия равна . В дальнейшем будем использовать условное обозначение нормального распределения с математическим ожиданием и дисперсией в виде .

Рассмотрим два случая. В первом случае секретным ключом К стегосистемы является контейнер . Во втором случае контейнер получателю не известен (слепая система скрытия информации).

Случай негауссовского распределения контейнера намного сложнее, но полезные результаты также могут быть получены. В частности, нижняя граница скрытой ПС может быть получена оценкой оптимальной атаки при конкретной, в общем случае подоптимальной, информационно-скрывающей стратегии . Нижние и верхние границы скрытой ПС могут быть вычислены оценкой оптимальной информационно-скрывающей стратегии при конкретной, в общем случае подоптимальной, атаке :

. (3.18)

Эти границы полезны для негауссовских контейнеров, полагая что распределения и выбраны соответствующим образом (см. пункт 3.8). Разумеется, если нижняя и верхняя границы в выражении (3.18) равны, пара распределений дает седловую точку платежа в формуле (3.8).

3.6.1. Использование контейнера как ключа стегосистемы

Рассмотрим случай, когда в качестве секретного ключа стегосистемы используется описание контейнера. Соответственно, ключ-контейнер должен быть известен получателю скрываемого сообщения. Для этого случая теорема 3.6 определяет величину скрытой ПС стегоканала с бесконечным алфавитом контейнеров.

Назовем гауссовским атакующим воздействием воздействие нарушителя, при котором искаженное стего имеет нормальное распределение с математическим ожиданием, величина которого пропорциональна среднему значению стего, и дисперсией, величина которой пропорциональна искажению .

Теорема 3.6: Пусть в стегосистеме с бесконечным алфавитом используется среднеквадратическая мера погрешности вида . При использовании контейнера в качестве секретного ключа :

1) если контейнер имеет нормальное распределение с нулевым средним и дисперсией , то при использовании оптимального скрывающего преобразования величина скрытой ПС равна

(3.19)

где . Оптимальное скрывающее преобразование задается в виде , где переменная имеет нормальное распределение с нулевым средним и дисперсией и независима от контейнера . Оптимальная атака нарушителя есть гауссовское атакующее воздействие с функцией распределения вида

(3.20)

2) если контейнер является негауссовским с нулевым средним и дисперсией , то выражение (3.19) определяет верхнюю оценку скрытой ПС.

На рис. 3.6 представлена стегосистема с гауссовским контейнером и гауссовским атакующим воздействием. Скрываемое сообщение М преобразуется в последовательность с искажением кодирования не более . По условию последовательность описывается нормальным законом распределения с нулевым средним и дисперсией и независима от гауссовского контейнера . Нарушитель искажает стего с помощью гауссовского атакующего воздействия. Для этого согласно рис. 3.6 на стего сначала накладывается шум , описываемый нормальным законом распределения с нулевым средним и дисперсией , тем самым формируя промежуточную последовательность . Искаженное стего получается умножением последовательности на коэффициент . На приемной стороне получатель восстанавливает суммированием последовательностей и .

Рис. 3.6. Стегосистема с гауссовским контейнером и гауссовским атакующим

воздействием

Из формулы (3.19) видно, что величина скрытой ПС растет при увеличении отношения /и при уменьшении коэффициента . Коэффициент принимает минимальное значение, равное 1, при . Очевидно, что в реальных стегосистемах обычно >, следовательно, увеличение скрытой ПС может быть достигнуто за счет увеличения дисперсии . Скрытая ПС равна нулю, если , что соответствует случаю использования контейнера, энергия которого меньше величины искажения при атакующем воздействии.

В целом недопустимо малая величина скорости передачи скрываемой информации при активном противодействии нарушителя является основным недостатком многих ранее предложенных системах водяного знака, в которых водяной знак прячется в наименее значимых битах контейнера, что является уязвимым даже к небольшим по величине искажениям . Такие водяные знаки легко удаляются атакующим простой рандомизацией наименее значимых битов, при этом в контейнер вносятся минимальные искажения. Следовательно, в более совершенных системах водяные знаки должны скрытно внедряться в существенно значащие компоненты контейнера. Однако при этом увеличивается величина искажения кодирования и поэтому ухудшается качество контейнера (что актуально для систем ЦВЗ) или ухудшается незаметность стегоканала (что актуально для систем скрытия от нарушителя факта передачи информации).

Таким образом, задача синтеза стегосистемы может быть сформулирована как задача поиска компромисса между ее характеристиками, так как улучшение одного ее параметра, например, величины скрытой ПС, приходится обеспечивать за счет других параметров, таких как скрытность передачи информации или устойчивость к разрушающему воздействию.

3.6.2. Слепая стегосистема с бесконечным алфавитом

Рассмотрим стегосистему с бесконечным алфавитом, в которой декодеру получателя неизвестно описание использованного отправителем контейнера. Очевидно, что скорость достоверной передачи скрываемой информации в слепых системах не может быть выше, чем скорость передачи в случае, когда декодер имеет доступ к дополнительной информации, такой как использованный контейнер. Поэтому в слепых стеганографических системах величина скрытой ПС ограничена сверху выражением (3.19) для произвольных распределений контейнерных сигналов.

Рассматриваемая далее теорема 3.7 для слепых стегосистем определяет оптимальную стратегию скрывающего информацию и оптимальное атакующее воздействие для гауссовских контейнеров. Эта пара оптимальных стратегий противоборствующих сторон формирует решение седловой точки. Оптимальная атака нарушителя описывается гауссовским атакующим воздействием с распределением согласно выражения (3.20). Теорема 3.7 также определяет величину скрытой ПС для слепых информационно-скрывающих систем.

Теорема 3.7. Пусть в слепой стегосистеме с бесконечным алфавитом используется среднеквадратическая мера искажения вида . Контейнер описывается нормальным распределением с нулевым математическим ожиданием и дисперсией . Тогда следующее построение стегосистемы дает седловую точку платежа в выражении (3.8):

где коэффициенты принимают значения , переменная описывается нормальным распределением с нулевым математическим ожиданием и дисперсией и независима от контейнера , а распределение описывает гауссовское атакующее воздействие вида (3.20). Величина скрытой ПС слепой стегосистемы определяется выражением (3.19).

Таким образом, в общем случае максимальная скорость безошибочной передачи скрытой информации не зависит от того, знает или нет декодер описание контейнера.

1. Рассмотрим построение скрывающего преобразования в виде , где значение отличается от оптимальной величины . Скорость безошибочной передачи скрываемых сообщений определяется в виде:

(3.21)

Рассмотрим частный случай построения скрывающего преобразования, при котором коэффициент . Это означает, что встраивание скрываемого сообщения совершенно не зависит от используемого контейнера . В явном виде этот вариант построения стегосистемы показан на рис. 3.2.

Из выражения (3.21) определим скорость безошибочной передачи для такого класса кодеров стегосистемы для случая малых искажений контейнера в виде

. (3.22)

Игнорирование характеристик контейнера существенно уменьшает скорость надежной передачи скрываемой информации. Уменьшение величины скрытой ПС при отклонении от оптимального построения скрывающего преобразования наглядно показано на рис. 3.7. Из графика видно, насколько величина скрытой ПС при оптимальном построении (сплошная линия) превышает величину скрытой ПС при неиспользовании характеристик контейнера выбором (штрих-пунктирная линия). При заданных величине искажения = 1 и дисперсии контейнера игнорирование характеристик контейнера приводит к снижению величины скрытой ПС в десятки раз.

Рис. 3.7. Зависимость скрытой ПС стегоканала с гауссовским

контейнером при и ,

оптимальное скрывающее преобразование,

скрывающее преобразование при ,

скрывающее преобразование при .

Для оптимального построения скрывающего преобразования, если искажение кодирования существенно больше энергии контейнера , величина скрытой ПС очень мала. По мере увеличения величины искажения кодирования скрытая ПС быстро увеличивается, достигая максимума при .

2. Рассмотрим построение стегосистемы при выборе (соответственно, ). Практическая схема такой стегосистемы, в которой кодер построен по принципу кодовой книги, описана в [23]. Из выражения (3.21) следует, что максимальная скорость такой системы равна . Можно показать, что скорость передачи скрываемых сообщений равна нулю для . Следовательно, при выполнении неравенства такие стегосистемы нереализуемы. Зависимость скрытой ПС для случая вида показана на рис. 3.7 пунктирной линией при параметрах и . Из представленных графиков видно, что из-за неоптимальности построения стегосистемы для случая вида максимальный проигрыш в величине скрытой ПС составляет порядка 0,15 бит на отсчет гауссовского контейнера.

Из двух рассмотренных случаев очевидно, что стегосистему целесообразно строить для выбора , где .

3. Рассмотрим возможные атаки нарушителя на слепую стегосистему с бесконечным алфавитом. Атака с аддитивным белым гауссовским шумом со средним значением и мощностью является в общем случае подоптимальной, но она становится асимптотически оптимальной при так как в этом случае . Напротив, атака, в которой делается попытка разрушить скрытое сообщение путем восстановления пустого контейнера из перехваченного стего с использованием правила максимальной апостериорной вероятности (МАВ) вида , является совершенно неэффективной. В такой атаке , поэтому значения X и Y совпадают при . В этом случае условие выполняется с равенством и данная атака не способна удалить скрываемую информацию. Однако на практике такая стратегия действий нарушителя может быть достаточно эффективной, если законным получателем используется неоптимальный декодер, например, восстанавливающий водяные знаки при простом масштабировании яркости пикселов изображений, что приводит к невозможности обнаружения водяных знаков в таких декодерах.

4. На рис. 3.7 представлены зависимости достижимой скорости безошибочной передачи для гауссовских контейнеров при различных информационно-скрывающих стратегиях. Скорость является функцией от величины искажения при искажении с дисперсией контейнера . Показано, что при использовании оптимальной стратегии в каждом отсчете гауссовского контейнерного сигнала можно надежно передавать до 0,5 бит скрываемой информации (сплошная линия). В ряде работ приведены оценки достигнутых в реально построенных стегосистемах скоростей передачи скрываемой информации [4,5]. Достигнутые скорости во много раз меньше величины скрытой ПС, что должно стимулировать поиск более совершенных принципов построения стегосистем.

5. Вернемся к случаю малых искажений при . Из теории связи известно, что для достижения скорости безошибочной открытой передачи информации очень близкой к величине пропускной способности канала связи, требуется построить блочный код достаточно большой длины N, для которого количество кодовых комбинаций равно [25]. Соответственно, сложность реализации декодера системы открытой передачи пропорциональна числу вычислительных операций . В работе [2] показано, что для достижения скрытой ПС необходим блочный код с числом кодовых комбинаций не , а . Соответственно, сложность реализации стегосистемы пропорциональна числу операций . Величина обычно является существенно больше по сравнению со скоростью . Следовательно, построить стегосистему со скоростью передачи скрываемой информации, приближающейся к величине скрытой ПС, значительно сложнее, чем построить систему передачи открытой информации со скоростью, приближающейся к величине ПС открытого канала связи.

Таким образом, если мы желаем передавать информацию по каналу связи не только безошибочно, но и скрытно, то мы должны за это дополнительно платить. Эта плата заключается как в меньшей скрытой ПС по сравнению с пропускной способностью каналов открытой связи, так и в большей сложности стегосистемы по сравнению со сложностью системы открытой связи. Этот вывод подтверждается накопленным к настоящему времени опытом построения стегосистем. Известно, как сложно построить практическую стегосистему, способную безошибочно передавать скрываемую информацию в условиях целенаправленного активного противодействия нарушителя. Например, до сих пор известные системы ЦВЗ не обеспечивают требуемую защищенность авторских и имущественных прав производителей информационной продукции при всевозможных практически реализуемых атаках злоумышленников [22].

3.7. Построение декодера стегосистемы

Рассмотрим возможные методы извлечения получателем скрываемой информации из искаженной нарушителем стегограммы. Оптимальные характеристики декодирования достигаются использованием правилом МАВ декодирования вида , где В есть кодовая книга для последовательностей . Оптимальность декодера обеспечивается исчерпывающим перебором по кодовой книге. Для оптимальных информационно-скрывающей и атакующей стратегий

, (3.23)

где коэффициент определяется через математическое ожидание значений и в виде

,

где , если . Декодер просто масштабирует принятое значение с коэффициентом и находит кодовое слово, ближайшее по евклидовой метрике к значению . Практическая система водяного знака, основанная на этом принципе, описана в работе [16]. Для построения стегосистемы при выборе , описанного в главе 3.6.2, величины приблизительно одинаковы для всех последовательностей , и правило МАВ декодирования согласно (3.23) приблизительно эквивалентно правилу максимума корреляции вида

. (3.24)

Если сигналы и не являются гауссовскими, или если величины не одинаковы для всех , то правило максимума корреляции (3.24) подоптимально. В известных стегосистемах метод максимума корреляции, подобный (3.24), часто используется для оценки характеристик алгоритмов обнаружения водяных знаков. В декодере проверяется гипотеза и ее альтернатива для конкретного фиксированного значения [14]. Детектирование искомого водяного знака заключается в сравнении величины корреляции с некоторым пороговым значением, значение которого выбирается из условия, чтобы вероятность ошибочного решения декодера была бы достаточно мала. Другими часто используемыми в декодере стегосистемы статистиками являются нормализованный коэффициент корреляции между и [15,28].

3.8. Анализ случая малых искажений стего

Случай малых величин искажений и типичен для многих информационно-скрывающих задач. Этот случай для стегосистем аналогичен случаю малых искажений в теории зависимости скорости передачи открытых сообщений от величины их искажения [1]. Малыми искажениями в стегосистемах считаются те искажения контейнера, при которых величины и во много раз меньше дисперсии . В большинстве реальных стегосистемах величины искажений и являются малыми. В стегосистемах, ориентированных на необнаруживаемость факта наличия скрытой связи это обусловлено требованиями скрытности связи, в системах ЦВЗ формирователь водяного знака и атакующий вынуждены ограничивать искажения и , сохраняя потребительское и иные качества контейнера.

В случае малых искажений, при использовании оптимальных скрывающих преобразований величина скрытой ПС согласно выражения (3.19) близка к величине ½ бита на отсчет контейнера при =.

На рис. 3.8 показана зависимость скрытой ПС в битах на отсчет гауссовского контейнера от величины искажения при фиксированном искажении кодирования и дисперсии контейнера = 10. Из графика видно, что с ростом величины искажения значение скрытой ПС экспоненциально быстро уменьшается как для оптимального скрывающего преобразования, так и при выборе при построении стегосистемы случая . При малых величины скрытая ПС незначительно проигрывает оптимальному случаю, но и при =для таких систем скрытно передавать информацию нельзя (обрыв стегоканала). Для большинства применений стегосистем в условиях активного противодействия нарушитель может искажать контейнер на величину сопоставимую с величиной искажения кодирования. Например, такая ситуация характерна для атак на систему ЦВЗ, при условии сохранения требуемого качества контейнера. Или когда нарушитель подавляет заградительной помехой предполагаемый канал передачи скрываемых сообщений. Во втором случае нарушитель не ограничен необходимостью сохранения контейнера и может применить помеху с мощностью численно больше помехи вносимой при кодировании отправителем сообщений. Отметим, что в обоих случаях стегосистема, построенная по принципу , непригодна для практического использования.

Рис 3.8. Зависимость скрытой ПС в битах на отсчет гауссовского контейнера

при и ,

оптимальное скрывающее преобразование,

при выборе ,

при выборе .

На рис. 3.8 также показана зависимость скрытой ПС для выбора при встраивании скрываемого сообщения. Видно, что такой принцип построения стегосистемы даже при по сравнению с другими вариантами построения обеспечивает существенно меньшую величину скрытой ПС. Когда величина искажения приближается к величине энергии контейнера, значения скрытой ПС при оптимальном скрывающем преобразовании и при выборе становятся сопоставимыми. Однако столь большие величины искажения не характерны для стегосистем. При использовании в качестве контейнеров звуковые (речевые) сигналы или изображения допустимая степень искажения таких контейнеров практически ограничивается. Например, если заверять речевые или музыкальные файлы водяными знаками, то для сохранения минимально приемлемого их качества требуется обеспечить отношение мощности заверяемого сигнала к мощности помехи не хуже 10-20 дБ. Для заверяемых изображений отношение сигнал/помеха должно быть не хуже 30 дБ. Если к стегосистеме предъявляются требования необнаруживаемости факта существования стегоканала, то требуемое отношение сигнал/помеха должно быть существенно выше. Следовательно, для наиболее употребительных в стеганографии контейнеров требуется обеспечить отношение . Заметим, что аналогичным образом на практике приходится уменьшать и отношение . Таким образом, для стегосистем практически интересен случай, когда величины искажения и существенно меньше энергии контейнера.

Особый интерес вызывает вопрос, как соотносятся между собой величины скрытой ПС стегоканала передачи скрываемых сообщений и обычной пропускной способности открытого канала передачи. Пусть по открытому каналу передается сигнал с нормальным распределением. На передаваемый сигнал воздействует гауссовский шум с мощностью . Из теории связи известно, что максимальная скорость передачи по открытому каналу равна

Пусть в стегосистеме в качестве контейнера используется рассмотренный сигнал с нормальным распределением. В него встраивается скрываемое сообщение, при этом в контейнер вносится искажение кодирования величиной . На стего накладывается такой же шум с мощностью , как и в открытом канале. Таким образом, для стегосистемы рассматривается случай гауссовского скрывающего преобразования и гауссовского атакующего воздействия. Таким образом, стегосистема и система открытой передачи поставлены в одинаковые условия (за исключением искажения кодирования, отсутствующего для системы открытой передачи). Для стегосистемы рассматривается случай гауссовского скрывающего преобразования и гауссовского атакующего воздействия.

На рис. 3.9 показаны зависимости величин ПС открытого канала передачи гауссовского сигнала и скрытой ПС стегоканала при оптимальном скрывающем преобразовании этого же гауссовского контейнера с дисперсией = 10. Пропускная способность выражена в битах на отсчет гауссовского сигнала (контейнера). Для стегосистемы рассмотрен случай фиксированной величины искажении кодирования (сплошная линия) и случай (штрих-пунктирная линия). Из рис. 3.9 видно, что ПС открытого канала передачи существенно превышает скрытую ПС стегоканала, причем при уменьшении искажения кодирования величина скрытой ПС составляет все меньшую часть величины ПС открытого канала. Следовательно, для случая малых искажений и , составляющего наиболее практически важный случай применения стегосистем, за скрытность передачи информации приходится платить уменьшением скорости защищенной передачи по сравнению со скоростью открытой передачи в десятки раз. Можно сделать вывод, что при образовании стегоканала внутри открытого канала передачи основной ресурс этого открытого канала расходуется не на передачу скрываемого сообщения, а на передачу контейнера, выступающего в роли сигнала прикрытия скрываемого сообщения.

Рис. 3.9. Зависимость ПС открытого канала передачи гауссовского сигнала от искажения (пунктирная линия) и скрытой ПС стегоканала с оптимальным скрывающим преобразованием гауссовского контейнера при и (сплошная линия), при и (штрих-пунктирная линия)

Используя среднеквадратическую метрику покажем, что величина скрытой ПС независима от статистики контейнера при асимптотическом уменьшении величин искажений и . Это дополняет полученные в главе 3.6.2 результаты для гауссовского распределения, которые справедливы для всех уровней искажения. Скрытая ПС существенно зависит от геометрии областей малых искажений, увеличиваясь при таких малых областях, в которых распределение равномерно.

Теорема 3.8: Пусть в стегосистеме с непрерывным алфавитом используется среднеквадратическая мера искажений вида . В стегосистеме распределение контейнеровимеет нулевое среднее значение и дисперсию , оно ограничено и непрерывно. Тогда при величинастремится к значению скрытой ПС при гауссовском контейнере, равной . Построение стегосистемы, при котором асимптотически достигается максимальное значение скрытой ПС, совпадает с гауссовским случаем: , , где , последовательность имеет нулевое математическое ожидание, дисперсию и является независимой от контейнера, а распределение описывает гауссовское атакующее воздействие вида (4.3) при .

Рассматриваемые результаты имеют очень важное практическое значение. Они определяют, что при использовании таких контейнеров как видео или речевые, характеристики которых не распределены по нормальному закону, при малых величинах и величина скрытой ПС практически не уменьшается по сравнению со случаем гауссовских контейнеров. Для этого встраиваемая информация должна внедряться в такие малые участки контейнера, для которых распределение приближается к равномерному.

3.9. Атакующее воздействие со знанием сообщения

В рассмотренных ранее стегосистемах предполагалось, что нарушитель не знает правила преобразования скрываемого сообщения в последовательность которая встраивается в контейнер. Следовательно, даже если нарушитель знает вероятностные характеристики множества скрываемых сообщений, то ему неизвестны характеристики множества . Теперь рассмотрим случай, когда нарушитель знает распределение последовательностей и пытается использовать это знание для разрушения сообщения . Назовем такие действия нарушителя атакующим воздействием со знанием преобразованного в последовательность скрываемого сообщения. Как это ни удивительно, обладание этой информацией автоматически не означает, что нарушитель всегда способен удалить скрываемое сообщение из стего X.

Ясно, что в такой стегосистеме скрытая ПС ограничена сверху значением скрытой пропускной способности, вычисленной согласно теоремы 3.3, так как атакующий использует больше информации, чем оговорено в этой теореме. Но может ли скрытая ПС при данной атаке нарушителя быть строго больше нуля? Рассмотрим подробнее эту задачу. Опишем атакующее воздействие условной функцией распределения и пусть есть множество таких воздействий, удовлетворяющих неравенству

. (3.25)

Приведем теорему, похожую на теорему 3.3, но отличающуюся тем, что нарушитель дополнительно знает использованные скрывающим информацию кодовые слова , а также тем, что рассматриваемое в ней множество больше.

Теорема 3.9: Пусть атакующий знает описание стегосистемы и распределение используемых кодовых слов а декодер знает описание атакующего воздействия. Для любой атаки, приводящей к искажению , скорость достижима, если и только если , где

. (3.26)

Доказательство этой теоремы аналогично доказательству теоремы 3.3.

Следствие 3.10: Если в качестве секретного ключа стегосистемы использовать контейнер то при выборе величина скрытой ПС в выражении (3.26) одинакова с величиной скрытой ПС в выражении (3.9).

Схема доказательства этого следствия состоит из следующих шагов. Если декодер знает , то из следствия 3.4 выбор является оптимальным построением для скрывающего преобразования. С другой стороны, если , то величина дополнительной информации для атакующего равна нулю.

Для данной теоремы и следствия из него просматриваются некоторые аналогии из области криптографии. Если нарушитель знает шифруемое сообщение, но не знает секретного ключа, то при использовании стойкой криптосистемы он все равно не в состоянии определить, какая шифрограмма будет сформирована. Соответственно, для стегосистемы, если нарушитель знает внедряемое в контейнер сообщение, но не знает секретного ключа, то для него знание скрываемой информации не должно увеличивать его возможности по разрушению этого сообщения.

Очевидно, что условие накладывает определенные ограничения на стегосистему. Ключ стегосистемы должен выбираться из множества естественных контейнеров с вероятностными распределениями, весьма отличающимися от привычных для криптографии распределений ключевой информации. Этот ключ, элементы которого в общем случае принадлежат непрерывному множеству, должен быть точно известен отправителю и получателю скрываемых сообщений. Для таких стегосистем возникает проблема рассылки ключа очень большого объема. И, очевидно, такой ключ стегосистемы может быть использован только один раз.

3.10. Скрывающие преобразования и атакующие воздействия с памятью

Расширим основные результаты пункта 3.3 на простой класс атакующих воздействий и скрывающих преобразований с памятью. Реальные скрывающие преобразования во многом определяются корреляционными зависимостями между элементами используемых контейнеров. Практически используемые методы скрытия в контейнерах, представляющие собой изображения и речевые сигналы, во многом базируются на хорошо разработанных методах блочного преобразования, таких как дискретное косинусное преобразование, вейвлет-преобразование, векторное квантование и других, в которых на длине блока преобразования имеется существенная зависимость от других элементов блока. И так как скрывающее преобразование синтезируется с учетом той памяти, то нарушитель также использует атакующее воздействие с соответствующей памятью. Например, при скрытии информации в изображении с использованием алгоритма сжатия JPEG целесообразно строить атакующее воздействие, искажающее соответствующим образом весь блок пикселов (обычно матрицу 8 8 пикселов). Например, такие атакующие воздействия с памятью на блок реализованы в программе тестирования практических систем водяного знака Stirmark [22]. В этой программе комплексно используется ряд атакующих воздействий, таких как сжатие изображений по алгоритму JPEG, модификация и фильтрация значений яркости блоков пикселов, удаление и перестановка в изображении строк и столбцов пикселов, сдвиг и обрезание краев изображения и т.д.

Дадим формальное описание скрывающего преобразования атакующего воздействия с памятью. Пусть скрывающее преобразование и атакующее воздействие учитывают зависимости между элементами контейнера, отстоящими друг от друга не более чем на L позиций. Назовем L глубиной памяти скрывающего преобразования и атакующего воздействия. Из последовательности контейнера , в которой N > L, скрывающий информацию и атакующий формирует блоки с памятью вида и , соответственно. Пусть есть условная функция распределения из множества во множество , для которой выполняется ограничение вида (3.2). Рассмотрим блочное атакующее воздействие без памяти, описываемое расширением :

где есть -ый блок вида и . Заметим, что длина блока N стегосистемы выбрана кратной глубине памяти L.

Функцию совместного распределения контейнера и ключа аналогичным образом представим в виде

Коль в стегосистемах используются зависимости между ключами и контейнерами, то из наличия памяти в контейнере должно следовать наличие аналогичной памяти в ключе стегосистемы. И если между элементами контейнера наблюдаются существенные корреляционные зависимости, что справедливо для большинства реальных контейнеров практически используемых стегосистем, то между элементами ключа стегосистемы также должны быть существенные корреляционные зависимости. Такие свойства ключа стегосистем существенно отличают их от криптосистем. В криптосистемах наличие каких-либо зависимостей между элементами ключа является признаком низкой криптографической стойкости.

Определение 3.10: Блочное скрывающее преобразование без памяти, приводящее к искажению не более , описывается произведением условных функций распределения вида

из множества во множество таких, что

. (3.27)

Определение 3.11: Обобщенное блочное скрывающее преобразование без памяти, приводящих к искажению не более , описывается множеством всех блочных скрывающих преобразований без памяти, удовлетворяющих условию (3.27).

Структурная схема стегосистемы при скрывающих преобразованиях и атакующих воздействиях с памятью показана на рис. 3.10.

Рис. 3.10. Структурная схема стегосистемы при скрывающих преобразованиях

и атакующих воздействиях с памятью

Рассмотрим следующий результат, который является следствием теоремы 3.3 при использовании алфавитов и вместо алфавитов и . Алфавит может быть представлен в форме произведения без потери общности.

Теорема 3.11: Пусть атакующему известно описание скрывающего преобразования, а декодер знает описание и скрывающего преобразования и атакующего воздействия с глубиной памяти не более L. При любой атаке, приводящей к искажению не более, скорость R достижима, если и только если , где

(3.28)

,

и цепочка переходов есть марковская цепь.

Таким образом, если скрывающее преобразование имеет память ограниченной длины, то используя стандартный в теории связи прием укрупнения алфавитов, можно привести его к преобразованию без памяти. Такой же подход годится для атакующего воздействия с памятью, и в целом потенциальные возможности по достоверной передаче скрываемой информации и возможности по ее подавлению помехой не изменяются. Однако здесь надо учитывать, что для построения оптимальной стегосистемы и для оптимального ее подавления необходимо существенно увеличить размерность решаемых вычислительных задач, а сложность их решения, как правило, экспоненциально зависит от их размерности.

3.11. Стегосистемы идентификационных номеров

С позиций теории информации рассмотрим особенности построения и обеспечения устойчивости к атакам нарушителя одного практически очень важного класса информационно-скрывающих систем, называемых стегосистемами идентификационных номеров (ИН). В стегосистемах ИН, как описано в главе 1, в каждый экземпляр контейнера , предоставляемый определенному пользователю, встраивается ее индивидуальный номер. Таким образом, в качестве скрываемого сообщения передается уникальный номер, который может быть использован для отслеживания любого неавторизованного использования данного контейнера конкретным пользователем. Актуальным практическим примером рассматриваемой задачи информационного скрытия является защита авторских и имущественных прав при выпуске и продаже CD-дисков (DVD-дисков, видео или аудиокассет) с уникальными номерами, наличие которых позволяет отследить, с какого экземпляра были сделаны нелегальные (“пиратские”) копии. Стегосистемы ИН также востребованы в области служебного делопроизводства различных организаций, в которых разграничивается доступ к информационным ресурсам разных пользователей и требуется контролировать копирование электронных документов. В таких стегосистемах законный пользователь электронного документа или лицензионного информационного товара, или не имеющий законных прав доступа злоумышленник, не должны иметь возможности удалить из заверенного контейнера идентификационный номер или подменить его на другой номер таким образом, чтобы нельзя было бы обнаружить факт этих противоправных действий. При этом при встраивании идентификационной информации искажение кодирования должно быть достаточно малым, чтобы не ухудшить потребительские и иные качества заверяемого контейнера [29].

Известно, что трудно построить стегосистемы идентификационных номеров, устойчивые к атакующему воздействию на них. Дополнительно к атакам на обычные системы ЦВЗ для них существует очень опасная атака сговора между многими пользователями [28,30].

Опишем атаку сговора против стегосистемы идентификационных номеров. Пусть отправителем формируется L* разныхэкземпляров заверенного контейнера и из них некоторое число LL* экземпляров попало в руки злоумышленных пользователей. Сформируем модель нарушителя, который представляет собой коалицию из L злоумышленных пользователей, каждый из которых получил свой экземпляр одного и того же контейнера, заверенного уникальным идентификационным номером. Согласованно действуя, коалиция злоумышленников пытается построить достаточно близкую к оригиналу оценку контейнера, из которой удалена идентификационная информация. Под достаточно близкой оценкой контейнера неформально будем понимать представление контейнера с такой погрешностью, при которой практически не снижаются его потребительские и иные качества как записи изобразительного, музыкального или иного произведения либо служебного электронного документа.

Покажем, что совместные действия позволяют злоумышленникам вычислить достаточно близкую к оригиналу оценку контейнера, что позволяет удалить индивидуальные отпечатки из защищаемых контейнеров и тем самым исключить возможность отслеживания неавторизованных действий пользователей. На рис. 3.11 представлена структурная схема стегосистемы идентификационных номеров при сговоре L пользователей. Рассмотрим следующую формулировку данной задачи информационного противоборства. Для каждого пользователя из контейнера индивидуально формируется стего где есть идентификационный номер для пользователя l и отображение описывает скрывающее преобразование в стегокодере. Таким образом, один и тот же контейнер и один и тот же ключ используется для встраивания всех L скрываемых сообщений. Будем полагать, что эти сообщения независимо и равновероятно распределены на множестве . Идентификационные номера декодируется по правилу , где есть функция декодирования стегосистемы. В декодере для всех экземпляров стего его идентификационный номер вычисляется по одной и той же функции с использованием неизменного ключа .

Рис. 3.11. Структурная схема стегосистемы идентификационных номеров

при сговоре L пользователей

Пусть есть -ый элемент стего, , предоставленный -ому пользователю, . Согласованно действующие мошенники из всех -ых элементов стего формируют последовательности вида и из каждой такой последовательности вычисляют оценку соответствующего элемента контейнера. Если злоумышленники сумели последовательно сформировать достаточно близкие оценки контейнера для всех , то они удалили из стего (или исказили) информацию идентификации. Атакующее воздействие опишем условной функцией распределения из множества во множество . Скрывающие преобразования и атакующие воздействия обозначим и , соответственно. Определим среднюю вероятность ошибочного декодирования идентификационного номера в виде

.

Если в результате действий нарушителя в произвольном экземпляре стего за номером , где , детектор обнаруживает идентификационный номер, не принадлежащий множеству , то это значит, что нарушитель способен переложить ответственность за несанкционированное копирование на невиновного пользователя. Нарушитель также добился успеха, если детектор не обнаруживает никакого идентификационного номера. Любой из этих фактов классифицируется как взлом стегосистемы идентификационных номеров. Назовем совершенной стегосистемой идентификационных номеров систему, обеспечивающую нулевую вероятность ошибочного декодирования при ограничении искажений контейнера, вносимых атакующим, величиной при условии, что число доступных атакующему экземпляров бесконечно велико.

Также введем определение стойкой стегосистемы идентификационных номеров, для которой неравенство , где есть допустимое ненулевое значение, выполняется при ограничении искажений, вносимых атакующим, величиной при условии, что атакующему доступно конечное число заверенных экземпляров. Определим такую стегосистему идентификационных номеров стойкой. Например, для практически востребованных стегосистем вероятность ошибочного декодирования идентификационных номеров, то есть вероятность успеха нарушителя, может быть задана величиной порядка …, для заверяемых изображений допустимая величина искажения может быть получена из величины отношения средней мощности сигнала контейнера к величине не хуже 40 – 45 дБ, а число доступных злоумышленникам экземпляров не более десятков-сотен. Предположим, что этот пример описывает задачу защиты имущественных прав фирмы-производителя, продающей лицензионные записи видеофильма на DVD-дисках. Величина в этом случае ограничивается бюджетом коалиции злоумышленников, пытающихся стереть аутентифицирующую информацию с видеозаписи и тиражировать для продажи ”пиратские” копии. Им невыгодно покупать слишком много экземпляров, так как доходы от нелегального бизнеса могут не покрыть расходы на приобретение дорогостоящих DVD-дисков. Злоумышленники вынуждены сами ограничивать величину искажений , так как иначе низкокачественные контрафактные видеозаписи никто не купит. И если вероятность успеха злоумышленников не превышает значения порядка , то этот вид преступного бизнеса оказывается бессмысленным.

Скорость передачи R идентификационных номеров и скрытая ПС стегоканала передачи идентификационных номеров определяется так же, как и для ранее описанных систем ЦВЗ.

Рассмотрим известные результаты для систем идентификационных номеров.

Теорема 3.12: При любой атаке нарушителя, приводящей к искажению, скорость передачи R идентификационных номеров достижима, если и только если , где величина скрытой ПС стегоканала передачи идентификационных номеров определяется в соответствии с выражением (3.28). Пусть используется симметричная функция искажений , величина искаженияпревышает величину искажения кодирования , для некоторого значения , где есть расстояние Чернова между распределениями и . Тогда скрытая ПС экспоненциально быстро стремится к нулю со скоростью, ограниченной снизу величиной при .

В работе [2] указывается, что оптимальное атакующее воздействие не имеет памяти, и что экспоненциальное уменьшение скрытой ПС с ростом L справедливо для любого распределения контейнеров. Быстрое уменьшение величины скрытой ПС при увеличении числа доступных нарушителю экземпляров свидетельствует о том, что трудности построения стойких систем идентификационных номеров существенно превышают трудности построения стойких систем ЦВЗ. Можно сказать, что для обычной системы ЦВЗ значение равно единице. В работах [28,30] приводятся примеры реальных систем идентификационных номеров, оказавшихся слабыми против сговора большого числа пользователей. В соответствии с теоремой 3.12, эти результаты справедливы для большого класса алгоритмов идентификационных номеров.

В атаке сговора злоумышленник для каждого элемента контейнера вычисляет его оценку по правилу максимальной апостериорной вероятности вида . Заметим, что атака на основе максимальной апостериорной вероятности, неэффективная для восстановления хорошей оценки контейнера с гауссовским распределением в обычной системе ЦВЗ (см. пункт 3.4.2), оказалась так эффективна против систем с ИН. Очевидно, это объясняется тем, что атака на систему ИН построена как детерминированная, используя множество заверенных контейнеров для получения одного решения.

В атаке сговора средняя вероятность ошибочного декодирования идентификационного номера уменьшается при увеличении размерности алфавита . Это означает, что шансы сохранить неразрушенным идентификационный номер контейнера существенно возрастают при увеличении размерности алфавита символов контейнера. Этот результат интуитивно понятен, так как чем больше экземпляры стего отличаются друг от друга, тем сложнее нарушителю точно восстановить пустой контейнер. А при малой размерности алфавита больших отличий разных экземпляров стего физически нельзя обеспечить.

Существуют также стегосистемы, в которых одновременно встраивается общая для всех экземпляров аутентифицирующая информация и идентификационный номер экземпляра. В таких системах внедряемое в контейнер сообщение содержит две части: сообщение , общее для всех пользователей (например, водяной знак для защиты авторских прав) и зависимые от номера конкретного пользователя сообщения (ИН). Тогда метод кодирования должен состоять из двух этапов: на первом этапе общее для всех сообщение внедряется в контейнер для формирования L* одинаковых экземпляров промежуточных стегограмм, и затем в каждый экземпляр встраивается свой идентификационный номер , формируя L* уникальных экземпляров стего. Очевидно, что этапов декодирования таких стего также будет два. В рассматриваемых стегосистемах задача защиты может ставиться в следующем виде: даже если и не удастся определить конкретный канал утечки защищаемой информации (нарушитель сумел стереть идентификационный номер), должны быть защищены авторские и имущественные права на заверенный контейнер.

В целом, несмотря на теоретическую невозможность построения стойкой стегосистемы ИН при в рамках условий теоремы 3.12, задача защиты реально используемых контейнеров (видео и музыкальных записей) от нелегального копирования не является безнадежной. Во-первых, теоретическая возможность построения оптимальной атаки на систему защиты информации, как известно из истории развития различных направлений информационной безопасности, отнюдь не означает возможность практической реализации такой сильной атаки. Во-вторых, если в рассматриваемой теореме для встраивания ИН использовать индивидуальные независимые друг от друга секретные ключи, то сговор произвольного числа злоумышленных пользователей может оказаться бесполезным. При этом, пользуясь похожими постановками в задачах защиты подлинности сообщений криптографическими методами, можно построить детектор с одним ключом для обнаружения множества идентификационных номеров. Например, в ряде известных систем цифровой подписи сообщений используется один и тот же ключ для проверки авторства отправителей сообщений, когда каждый отправитель имеет свой уникальный ключ [31]. И, в-третьих, рассматриваемую атаку сговора можно расстроить индивидуальной модификацией каждого экземпляра контейнера до встраивания ИН (видео и аудиофайлы это вполне допускают).

4. ОЦЕНКИ СТОЙКОСТИ СТЕГАНОГРАФИЧЕСКИХ СИСТЕМ

И УСЛОВИЯ ИХ ДОСТИЖЕНИЯ