Группировка Witchetty придумала прятать вирусы в изображениях. например, в логотипе Windows, "anti-malware"

[MarlinScalk]

Хакеры находят всё новые способы взламывать системы. И на сей раз это стало возможным с помощью обычного изображения. Если точнее, злоумышленники спрятали код вредоносного ПО в картинке с логотипом Windows. Для этого они использовали метод стеганографии.
Хакеры придумали прятать вирусы в изображениях. Например, в логотипе Windows
Метод позволяет скрывать текст или программный код прямо в изображении и обойти традиционные защитные системы. При этом сама картинка не вызовет никаких подозрений и будет правильно отображаться.
Как оказалось, «заражённая» версия логотипа хранилась в общедоступных облачных сервисах, которые обычно пользуются доверием многих антивирусных систем. Её можно было найти даже на GitHub.
Для заражения системы вирус использовал уязвимости Microsoft Exchange ProxyShell и ProxyLogon на корпоративных ПК, которые были актуальны в прошлом году. После скачивания и извлечения кода вредоносное ПО могло получить повышенные привилегии в системе, подгрузить новые файлы и атаковать сеть компании.
Для борьбы с этим нужно блокировать скачивание всех файлов из общедоступных ресурсов и установить последние обновления ОС.

В Windows еще остаются необнаруженные уязвимости и хакеры используют для вирусных атак стенографию

Цифровая стеганография — направление классической стеганографии, основанное на сокрытии или внедрении дополнительной информации в цифровые объекты, вызывая при этом некоторые искажения этих объектов. Но, как правило, данные объекты являются мультимедиа-объектами (изображения, видео, аудио, текстуры 3D-объектов) и внесение искажений, которые находятся ниже порога чувствительности среднестатистического человека, не приводит к заметным изменениям этих объектов. Кроме того, в оцифрованных объектах, изначально имеющих аналоговую природу, всегда присутствует шум квантования; далее, при воспроизведении этих объектов появляется дополнительный аналоговый шум и нелинейные искажения аппаратуры, все это способствует большей незаметности сокрытой информации.

Сетевая стеганография
В последнее время приобрели популярность методы, когда скрытая информация передаётся через компьютерные сети с использованием особенностей работы протоколов передачи данных. Такие методы получили название «сетевая стеганография». Этот термин впервые ввёл Кшиштоф Щипёрский (польск. Krzysztof Szczypiorski) в 2003 году. Типичные методы сетевой стеганографии включают изменение свойств одного из сетевых протоколов. Кроме того, может использоваться взаимосвязь между двумя или более различными протоколами с целью более надёжного сокрытия передачи секретного сообщения. Сетевая стеганография охватывает широкий спектр методов, в частности:

WLAN-стеганография основывается на методах, которые используются для передачи стеганограмм в беспроводных сетях (Wireless Local Area Networks). Практический пример WLAN-стеганографии — система HICCUPS (Hidden Communication System for Corrupted Networks).
LACK-стеганография — скрытие сообщений во время разговоров с использованием IP-телефонии. Например: использование пакетов, которые задерживаются или намеренно повреждаются и игнорируются приемником (этот метод называют LACK — Lost Audio Packets Steganography) или сокрытие информации в полях заголовка, которые не используются.
Принцип функционирования LACK выглядит следующим образом. Передатчик (Алиса) выбирает один из пакетов голосового потока, и его полезная нагрузка заменяется битами секретного сообщения — стеганограммой, которая встраивается в один из пакетов. Затем выбранный пакет намеренно задерживается. Каждый раз, когда чрезмерно задержанный пакет достигает получателя, незнакомого со стеганографической процедурой, он отбрасывается. Однако, если получатель (Боб) знает о скрытой связи, то вместо удаления полученных RTP-пакетов он извлекает скрытую информацию[8].

Алгоритмы
Все алгоритмы встраивания скрытой информации можно разделить на несколько подгрупп:

Работающие с самим цифровым сигналом. Например, метод LSB.
«Впаивание» скрытой информации. В данном случае происходит наложение скрываемого изображения (звука, иногда текста) поверх оригинала. Часто используется для встраивания цифровых водяных знаков (ЦВЗ).
Использование особенностей форматов файлов. Сюда можно отнести запись информации в метаданные или в различные другие не используемые зарезервированные поля файла.
По способу встраивания информации стегоалгоритмы можно разделить на линейные (аддитивные), нелинейные и другие. Алгоритмы аддитивного внедрения информации заключаются в линейной модификации исходного изображения, а её извлечение в декодере производится корреляционными методами. При этом ЦВЗ обычно складывается с изображением-контейнером либо «вплавляется» (fusion) в него. В нелинейных методах встраивания информации используется скалярное либо векторное квантование. Среди других методов определенный интерес представляют методы, использующие идеи фрактального кодирования изображений. К аддитивным алгоритмам можно отнести:

А17 (Cox);
А18 (Barni);
L18D (Lange);
А21 (J. Kim);
А25 (С. Podilchuk).
Стегоалгоритмы встраивания информации в изображения
Основная статья: Стеганография в изображениях
Именно изображения чаще всего используются в качестве стегоконтейнеров. Вот несколько значимых причин:

практическая значимость задачи защиты фотографий, картин, видео и прочей графической информации от незаконного копирования и распространения.
большой информационный объём цифрового изображения, что позволяет скрывать ЦВЗ (скрываемую информацию) большого объёма, либо делать больше устойчивость внедрения.
на момент встраивания ЦВЗ известен конечный объём контейнера.
нет ограничений на встраивание ЦВЗ в режиме реального времени, как, например, в потоковом видео.
многие изображения имеют области, имеющие шумовую структуру и хорошо подходящих для встраивания информации.
криптоанализ таких систем начинается, обычно, с визуальной оценки, однако глаз не может различить незначительное изменение оттенка, вызванное записью информации в битовое представление цветов, что оставляет такой канал передачи информации вне подозрения.
Раньше цифровой водяной знак старались вложить в незначащие биты цифрового представления, что уменьшало визуальную заметность изменений. Однако со временем алгоритмы сжатия стали столь совершенны, что сжатие стеганограммы с ЦВЗ в незначащих битах может привести к потере в том числе и скрываемой информации. Это заставляет современные стегоалгоритмы встраивать ЦВЗ в наиболее существенные с точки зрения алгоритмов сжатия области изображения — такие области, удаление которых привело бы к существенной деформации изображения. Алгоритмы сжатия изображений работают подобно системе человеческого зрения: выделяются наиболее значимые части изображения и отсекаются наименее значимые с точки зрения человека (например, длинные тонкие линии обращают на себя больше внимания, чем круглые однородные объекты). Именно поэтому в современных стегоалгоритмах анализу человеческого зрения уделяется такое же внимание, как и алгоритмам сжатия.

Техника FontCode — информация шифруется в незаметных глазу изменениях глифа (формы отдельных символов), не затрагивая суть самого текста[9].

Система человеческого зрения[10]

В целом, особенности человеческого зрения можно разделить на:

низкоуровневые («физиологические») — они используются в «классических» стегосистемах
чувствительность к изменению яркости

Зависимость минимального контраста {\displaystyle {\frac {\Delta \mathrm {I} }{\mathrm {I} }}}{\displaystyle {\frac {\Delta \mathrm {I} }{\mathrm {I} }}} от яркости {\displaystyle \mathrm {I} }\mathrm{I}
Как видно из рисунка, для среднего диапазона яркости {\displaystyle \mathrm {I} }\mathrm{I} контраст (а с ним и различимость глазом) примерно постоянен и принимает минимальное значение, тогда как для малых и больших яркостей значение порога различимости возрастает. Для средних значений яркости человеческий глаз воспринимает неоднородность изображения, когда относительное изменение яркости {\displaystyle {\frac {\Delta \mathrm {I} }{\mathrm {I} }}}{\displaystyle {\frac {\Delta \mathrm {I} }{\mathrm {I} }}} превышает 1—3 %. Однако результаты новейших исследований показывают, что при малых значениях яркости порог различимости увеличивается, то есть человеческий глаз более чувствителен к шуму при низкой интенсивности света.
частотная чувствительность Система человеческого зрения имеет нелинейную амплитудно-частотную характеристику: низкочастотный шум мы видим гораздо лучше высокочастотного, который обычно просто немного искажает истинные оттенки.
эффект маскирования Используется для сокрытия цифровых водяных знаков в видеосигнале. Глаз разбивает поступающий видеосигнал на отдельные компоненты, каждая из которых возбуждает нервные окончания глаза через ряд подканалов. Каждая из компонент имеет различную пространственную, частотную характеристики и ориентацию[11]. Если на глаз одновременно воздействуют две компоненты видеоизображения с похожими характеристиками, возбуждаются одни и те же подканалы. Из-за этого увеличивается порог обнаружения видеосигнала, если присутствует видеосигнал с похожими характеристиками. Это и называется эффектом маскирования. Эффект проявляется максимально, если видеосигналы имеют одинаковую пространственную ориентацию. Из этих рассуждений можно сделать вывод, что аддитивный шум будет более заметен на равномерной («гладкой») части изображения и незаметен на высокочастотных («шероховатых») областях.
высокоуровневые («психофизиологические») — те, которые нашли отражение в алгоритмах сжатия.
чувствительность к контрасту — более контрастные участки изображения обращают на себя больше внимания.
чувствительность к цвету и размеру — большие и яркие области изображения наиболее заметны и т. д.
Учитывая описанные выше особенности, можно приблизительно составить общую схему внедрения данных в изображение[10]:

Пропустить стегоконтейнер (изображение) через ориентированный полосовой фильтр, получив на выходе распределение энергии по частотно-пространственным компонентам изображения.
Зная из полученного распределения локальные величины энергии, вычисляем порог маскирования — относительное изменение энергии, которое не будет заметно глазом.
отмасштабировать значения энергии, внедряемой в изображение информации (цифрового водяного знака), чтобы оно не превышало порог маскирования.
Скрытие данных в пространственной области

Этот класс алгоритмов описывает внедрение цифрового водяного знака в область исходного изображения.[12] Их основное преимущество: для внедрения цифрового водяного знака в изображение не нужно выполнять вычислительно сложное линейное преобразование. Внедрение выполняется за счёт изменения яркости {\displaystyle l(x,y)\in {1,...,L}}{\displaystyle l(x,y)\in {1,...,L}} или цветовых составляющих {\displaystyle red(x,y),blue(x,y),green(x,y)}{\displaystyle red(x,y),blue(x,y),green(x,y)}.

Алгоритмы:

(Kutter)[13] В работе[13] есть также модификация этого алгоритма для встраивания нескольких битов. Там же проведено исследование его робастности ко многим известным атакам: низкочастотной фильтрации изображения, его сжатию алгоритмом JPEG, обрезанию краёв.
(Bruyndonckx)[13]
(Langelaar)[14]
(Pitas)[15] Также в этой работе приведена модификация алгоритма, устойчивого к атаке удаления линий из изображения.
(Rongen)[16]
Алгоритм PatchWork[16] Использование блоков (Pathes — отсюда и название алгоритма) вместо отдельных пикселей повысило устойчивость алгоритма к дальнейшему сжатию. Использование блоков переменного размера может рассматриваться как формирование шумового спектра, вносимого цифровым водяным знаком (Shaping).
(Bender)[16]
(Marvel)[16]
Бо́льшая часть перечисленных алгоритмов использует широкополосные сигналы для встраивания цифрового водяного знака. Такой метод популярен в радиоканалах при передаче узкополосных сигналов, где данные встраиваются в маломощный шумовой сигнал. В процессе передачи по каналу связи на маломощный сигнал накладываются шумы канала, вместе с которыми на приемной стороне будет удалена встроенная информация. Чтобы этого избежать используют помехоустойчивые коды.

Скрытие данных в области преобразования

В современной стеганографии наиболее популярны Вейвлет-преобразование и ДКП ввиду их широкого применения в алгоритмах сжатия изображений. Для скрытия данных в области преобразования предпочтительно применять то же преобразование, которому изображение может быть подвергнуто при дальнейшем сжатии, например, при сжатии по стандарту JPEG — использовать ДКП, а при использовании JPEG-2000 — вейвлет-преобразование. Это делает стегоалгоритм более устойчивым к дальнейшему сжатию изображения этими алгоритмами. Нужно отметить, что стегоалгоритм, использующий ДКП, не обязан быть устойчивым к компрессии с использованием вейвлет-преобразования (JPEG-2000) и наоборот. Обычно заранее не известен применяемый алгоритм сжатия. Поэтому главная задача при попытке скрыть информацию в области преобразования — нахождение максимально робастного ко всем алгоритмам преобразования, то есть не зависящего от применяемого в дальнейшем алгоритма сжатия. Обычно предпочтения относительно конкретного стегоалгоритма определяются экспериментально, как, например, здесь[17].

О пропускной способности стегоканала[10][18]

Преобразования, используемые в алгоритмах сжатия, можно упорядочить по достигаемым выигрышам от кодирования, то есть по степени перераспределения дисперсий коэффициентов преобразования.


Различные преобразования, упорядоченные по возрастанию достигаемого выигрыша от кодирования
Как видно из графика — наибольший выигрыш даёт преобразование Корунена-Лоэва, наименьший — отсутствие преобразования. Преобразования, имеющие высокие значения выигрыша от кодирования, такие как ДКП, вейвлет-преобразование, имеют сильно неравномерное распределение дисперсий полосовых коэффициентов. Высокочастотные полосы неэффективны как стегоконтейнеры из-за высокого уровня шума при обработке, а низкочастотные — из-за высокого шума самого изображения. Именно поэтому обычно ограничиваются полосами средних частот, в которых собственные шумы изображения примерно равны шумам обработки. Ввиду относительно малого количества таких полос у высокоэффективных преобразований, пропускная способность стегоканала, как правило, невелика. Если же применять для сжатия преобразования с относительно низким выигрышем от кодирования, например Адамара или Фурье, получается больше блоков, в которых уровни шумов изображения и обработки примерно совпадают. Дисперсии полосовых коэффициентов в этом случае распределены более равномерно и количество полос, пригодных для записи информации, больше. И, следовательно, повышается пропускная способность стегоканала. Неочевидный вывод: для повышения пропускной способности стеганографического канала эффективнее применять преобразования с меньшими выигрышами от кодирования, хуже подходящие для сжатия.

ДКП и вейвлет-преобразование так эффективны в алгоритмах сжатия изображений благодаря способности «моделировать» высокоуровневые особенности системы человеческого зрения — отделять более информативные области изображения от менее информативных. Следовательно, их целесообразнее применять при борьбе с активными нарушителями авторского права (при использовании в качестве цифрового водяного знака). В этом случае изменение значимых коэффициентов приведет к сильному искажению изображения. Если при этом применяется алгоритм с низким выигрышем от кодирования, то коэффициенты преобразования будут менее чувствительны к модификациям и вложенный в изображение ЦВЗ может быть нарушен. Во избежание этого необходимо рассматривать всю имеющуюся гамму преобразований. Если выбранное преобразование (в противоречие принципу Керкгоффса) не будет известно аналитику, то изменить стеганограмму будет крайне сложно.

Ниже приведены названия алгоритмов для скрытия данных в области преобразования, подробное описание которых можно найти в работах, указанных в сносках.

(Koch)[19]
(Benham)[20]
A25 (C. Podilchuk)[21]
(Hsu)[22]
(Tao)[23]
A17 (Cox)[24]
A18 (Barni)[25]
(Friderich)[17]
Скрытие данных в коэффициентах ДКП Метод ДКП (дискретное косинусное преобразование) — метод сокрытия данных, который заключается в изменении величин коэффициентов ДКП. Впервые использование ДКП для скрытия информации было описано в работе[19]. При этом ДКП применялось ко всему изображению в целом.

LSB, о котором сказано ниже, неустойчив к различным искажениям, в том числе и сжатию. В таких случаях применяются более устойчивые методы, засекречивающие информацию в частотной области, а не во временной, как в методе LSB. Преимуществом преобразований в частотной области является их применение не только ко всему изображению, но и каким-то определенным его зонам.

В данном способе изображение разделяется на блоки 8x8 пикселей, каждый из которых используется для шифрования одного бита сообщения. Шифрование начинается с произвольного подбора блока {\displaystyle b_{i}}b_{i}, используемого для шифрования i-го бита сообщения. Затем для подобранного блока {\displaystyle b_{i}}b_{i} применяют ДКП: {\displaystyle B_{i}=D\{b_{i}\}}{\displaystyle B_{i}=D\{b_{i}\}}. Для осуществления секретного канала абоненты должны выбрать два определенных коэффициента ДКП, которые будут применяться для шифрования секретной информации, обозначим их как {\displaystyle (u_{1},v_{1})}{\displaystyle (u_{1},v_{1})} и {\displaystyle (u_{2},v_{2})}{\displaystyle (u_{2},v_{2})}. Данные коэффициенты — косинус-функции, соответствующие средним частотам. Такое соответствие позволит сохранить данные в необходимых областях сигнала при JPEG-сжатии, так как эти области не будут удаляться.

В случае выполнения неравенства {\displaystyle B(u_{1},v_{1})>B(u_{2},v_{2})}{\displaystyle B(u_{1},v_{1})>B(u_{2},v_{2})} считаем, что блок кодирует значение 1, в противном случае — 0. При внедрении данных выбранные коэффициенты обмениваются друг с другом значениями, если их относительный размер не соответствует кодируемому биту. Следует отметить, что JPEG-сжатие влияет на относительные размеры коэффициентов, поэтому всегда должно выполняться условие {\displaystyle |B(u_{1},v_{1})-B(u_{2},v_{2})|>X}{\displaystyle |B(u_{1},v_{1})-B(u_{2},v_{2})|>X}, где {\displaystyle X>0}X>0. Алгоритм становится устойчивее при увеличении {\displaystyle X}X, но при этом теряется качество изображения. Обратное дискретное косинусное преобразование осуществляется после соответствующей корректировки коэффициентов. Получение зашифрованных данных осуществляется с помощью сравнения двух выбранных коэффициентов для каждого блока.

Метод LSB
LSB (Least Significant Bit, наименьший значащий бит (НЗБ)) — суть этого метода заключается в замене последних значащих битов в контейнере (изображения, аудио или видеозаписи) на биты скрываемого сообщения. Разница между пустым и заполненным контейнерами должна быть не ощутима для органов восприятия человека.

Суть метода заключается в следующем: Допустим, имеется 8-битное изображение в градациях серого. 00h (00000000b) обозначает чёрный цвет, FFh (11111111b) — белый. Всего имеется 256 градаций ({\displaystyle 2^{8}}2^{8}). Также предположим, что сообщение состоит из 1 байта — например, 01101011b. При использовании 2 младших бит в описаниях пикселей, нам потребуется 4 пикселя. Допустим, они чёрного цвета. Тогда пиксели, содержащие скрытое сообщение, будут выглядеть следующим образом: 00000001 00000010 00000010 00000011. Тогда цвет пикселей изменится: первого — на 1/255, второго и третьего — на 2/255 и четвёртого — на 3/255. Такие градации, мало того, что незаметны для человека, могут вообще не отобразиться при использовании низкокачественных устройств вывода.

Методы LSB являются неустойчивыми ко всем видам атак и могут быть использованы только при отсутствии шума в канале передачи данных.

Обнаружение LSB-кодированного стего осуществляется по аномальным характеристикам распределения значений диапазона младших битов отсчётов цифрового сигнала.

Все методы LSB являются, как правило, аддитивными (А17 (Cox), L18D (Lange)).

Другие методы скрытия информации в графических файлах ориентированы на форматы файлов с потерей, к примеру, JPEG. В отличие от LSB, они более устойчивы к геометрическим преобразованиям. Это получается за счёт варьирования в широком диапазоне качества изображения, что приводит к невозможности определения источника изображения.

Эхо-методы
Эхо-методы применяются в цифровой аудиостеганографии и используют неравномерные промежутки между эхо-сигналами для кодирования последовательности значений. При наложении ряда ограничений соблюдается условие незаметности для человеческого восприятия. Эхо характеризуется тремя параметрами: начальной амплитудой, степенью затухания, задержкой. При достижении некоего порога между сигналом и эхом они смешиваются. В этой точке человеческое ухо не может уже отличить эти два сигнала. Наличие этой точки сложно определить, и она зависит от качества исходной записи, слушателя. Чаще всего используется задержка около 1/1000, что вполне приемлемо для большинства записей и слушателей. Для обозначения логического нуля и единицы используется две различных задержки. Они обе должны быть меньше, чем порог чувствительности уха слушателя к получаемому эху.

Эхо-методы устойчивы к амплитудным и частотным атакам, но неустойчивы к атакам по времени.

Фазовое кодирование
Фазовое кодирование (phase coding, фазовое кодирование) — так же применяется в цифровой аудиостеганографии. Происходит замена исходного звукового элемента на относительную фазу, которая и является секретным сообщением. Фаза подряд идущих элементов должна быть добавлена таким образом, чтобы сохранить относительную фазу между исходными элементами. Фазовое кодирование является одним из самых эффективных методов скрытия информации.

Метод расширенного спектра
Метод встраивания сообщения заключается в том, что специальная случайная последовательность встраивается в контейнер, затем, с использованием согласованного фильтра, данная последовательность детектируется. Данный метод позволяет встраивать большое количество сообщений в контейнер, и они не будут создавать помехи друг другу при условии ортогональности применяемых последовательностей. Преимуществом данного метода является противодействие геометрическим преобразованиям, удалению части файла и тд. Метод заимствован из широкополосной связи.

Широкополосные методы
Широкополосные методы используются при передаче данных, обеспечивая высокую помехоустойчивость и препятствуя процессам их перехвата. Отличительной особенностью широкополосного метода от других является расширение диапазона частот сигнала за счёт кода, на который не влияют передаваемые данные. Необходимая информация рассредоточена по всей полосе частот и, в случае потери сигнала, данные могут быть восстановлены из других полос частот. Подобный подход к сокрытию сигналов значительно усложняет процесс выявления зашифрованной информации, а также её удаления. Поэтому широкополосные методы устойчивы к любым атакам.

Существует два основных метода расширения спектра:

Метод псевдослучайной последовательности. В данном методе используется секретный сигнал, модулируемый псевдослучайным сигналом.
Метод прыгающих частот. В данном методе частота несущего сигнала должна меняться по определенному псевдослучайному закону.
Статистические методы
Статистический метод — метод сокрытия данных, при котором изменяются определенные статистические характеристики изображения, при этом получатель способен распознать видоизмененное изображение от исходного.

Методы искажения
Методы искажения — методы сокрытия данных, при которых, в зависимости от секретного сообщения, выполняются последовательные преобразования контейнера. В данном методе важно знать первоначальный вид контейнера. Зная различия между первоначальным контейнером и стеганограммой, можно восстановить исходную последовательность преобразований и извлечь скрытые данные. Следует отметить, что при применении данного метода важно соблюдать правило: распространение набора первоначальных контейнеров осуществляется только через секретные каналы доставки. В случае несоблюдения данного правила противник тоже сможет завладеть набором первоначальных контейнеров, что приведет к вскрытию тайной переписки.

Структурный метод
Структурный метод — метод сокрытия данных, при котором формируется скрываемый текст посредством осуществления последовательных модификаций частей изображения. Данный метод позволяет не только модифицировать изображение, в котором будет скрыто послание, но и создавать изображение по секретному сообщению. Структурный метод весьма устойчив против атак.

Методы цифровой параметрической стеганографии [26]
Основная статья: Цифровая параметрическая стеганография
Атаки на стегосистемы
Основная статья: Стегоанализ
Для стеганографических систем принято определять необнаруживаемость — вероятность пропуска (то есть отсутствием обнаружения стегосистемы, когда она была представлена для анализа), и вероятность ложного обнаружения (когда стегосистема ложно обнаруживается при её действительном отсутствии). Практические подходы оценки стойкости стегосистем основаны на их устойчивости к обнаружению посредством разработанных к настоящему времени алгоритмов стегоанализа. Все они построены на том, что все алгоритмы встраивания так или иначе вносят в стегограммы искажения относительно использованных контейнеров.

Под атакой на стегосистему понимается попытка обнаружить, извлечь, изменить скрытое стеганографическое сообщение. Такие атаки называются стегоанализом по аналогии с криптоанализом для криптографии. Способность стеганографической системы противостоять атакам называется стеганографической стойкостью.

Многие атаки на стегосистемы аналогичны атакам на криптосистемы:

атака на основании известного заполненного контейнера;
атака на основании известного встроенного сообщения;
атака на основании выбранного встроенного сообщения;
адаптивная атака на основании выбранного встроенного сообщения (частный случай атаки на основе выбранного скрытого сообщения, когда аналитик имеет возможность выбирать сообщения, исходя из результатов анализа предыдущих контейнеров);
атака на основании выбранного заполненного контейнера.
Некоторые же не имеют аналогов в криптографии:

атака на основании известного пустого контейнера;
атака на основании выбранного пустого контейнера;
атака на основании известной математической модели контейнера или его части.
Стеганография и цифровые водяные знаки
Цифровые водяные знаки (ЦВЗ) используются для защиты от копирования, сохранения авторских прав. Невидимые водяные знаки считываются специальным устройством, которое может подтвердить либо опровергнуть корректность. ЦВЗ могут содержать различные данные: авторские права, идентификационный номер, управляющую информацию. Наиболее удобными для защиты с помощью ЦВЗ являются неподвижные изображения, аудио- и видеофайлы.

Технология записи идентификационных номеров производителей очень похожа на ЦВЗ, но отличие состоит в том, что на каждое изделие записывается свой индивидуальный номер (так называемые «отпечатки пальцев»), по которому можно вычислить дальнейшую судьбу изделия. Невидимое встраивание заголовков иногда используется, к примеру, для подписей медицинских снимков, нанесения пути на карту и т. п. Скорее всего, это единственное направление стеганографии, где нет нарушителя в явном виде.

Основные требования, предъявляемые к водяным знакам: надёжность и устойчивость к искажениям, незаметности, робастности к обработке сигналов (устойчивость — способность системы к восстановлению после воздействия на неё внешних/внутренних искажений, в том числе умышленных). ЦВЗ имеют небольшой объём, но для выполнения указанных выше требований, при их встраивании используются более сложные методы, чем для встраивания обычных заголовков или сообщений. Такие задачи выполняют специальные стегосистемы.

Перед помещением ЦВЗ в контейнер водяной знак нужно преобразовать к подходящему виду. К примеру, если в качестве контейнера используется изображение, то и ЦВЗ должны быть представлены как двумерный битовый массив.

Для повышения устойчивости к искажениям часто применяют помехоустойчивое кодирование или используют широкополосные сигналы. Начальную обработку скрытого сообщения делает прекодер. Важная предварительная обработка ЦВЗ — вычисление его обобщённого фурье-преобразования. Это повышает помехоустойчивость. Первичную обработку часто производят с использованием ключа — для повышения секретности. Потом водяной знак «укладывается» в контейнер (например, путём изменения младших значащих бит). Здесь используются особенности восприятия изображений человеком. Широко известно, что изображения имеют огромную психовизуальную избыточность. Глаза человека подобны низкочастотному фильтру, который игнорирует мелкие элементы изображения. Наименее заметны искажения в высокочастотной области изображений. Внедрение ЦВЗ также должно учитывать свойства восприятия человека.

Во многих стегосистемах для записи и считывания ЦВЗ используется ключ. Он может предназначаться для ограниченного круга пользователей или же быть секретным. Например, ключ нужен в DVD-плеерах для возможности прочтения ими содержащихся на дисках ЦВЗ. Как известно, не существует таких стегосистем, в которых бы при считывании водяного знака требовалась другая информация, нежели при его записи. В стегодетекторе происходит обнаружение ЦВЗ в защищённом им файле, который, возможно, мог быть изменён. Эти изменения могут быть связаны с воздействиями ошибок в канале связи, либо преднамеренными помехами. В большинстве моделей стегосистем сигнал-контейнер можно рассмотреть как аддитивный шум. При этом задача обнаружения и считывания стегосообщения уже не представляет сложности, но не учитывает двух факторов: неслучайности сигнала контейнера и запросов по сохранению его качества. Учёт этих параметров позволит строить более качественные стегосистемы. Для обнаружения факта существования водяного знака и его считывания используются специальные устройства — стегодетекторы. Для вынесения решения о наличии или отсутствии водяного знака используют, к примеру, расстояние по Хэммингу, взаимокорреляцию между полученным сигналом и его оригиналом. В случае отсутствия исходного сигнала в дело вступают более изощрённые статистические методы, которые основаны на построении моделей исследуемого класса сигналов.

Типы стеганографических систем на основе ЦВЗ
Существует три типа систем, в которых применяются ЦВЗ:

Хрупкие — используются для распознавания сигналов и разрушаются при любом изменении заполненного контейнера. Следует отметить, что хрупкие ЦВЗ позволяют изменять контент. Благодаря такой особенности обеспечивается защита мультимедийной информации. Стоит заметить ещё одно преимущество хрупких ЦВЗ — указание вида и местоположения осуществленного изменения контейнера.
Полухрупкие — могут быть устойчивы не ко всем видам атак и к данному типу можно отнести все ЦВЗ. Важно учесть тот факт, что полухрупкие ЦВЗ изначально проектируется неустойчивыми к определенным видам воздействий. К примеру, полухрупкие ЦВЗ могут дать возможность сжимать изображение, при этом запретив вставку или вырезку фрагмента в него.
Робастные — системы ЦВЗ, которые устойчивы к любым воздействиям на стего.
Атаки на системы встраивания ЦВЗ
Рассмотрим ряд известных атак на системы ЦВЗ и дадим их краткое описание.

Существует шесть наиболее известных атак:

Атака скремблирования
Атаки искажения
Атаки копирования
Атаки неоднозначности
Атаки анализа чувствительности
Атаки градиентного спуска
Атака скремблирования — атака, в которой источник данных сначала шифруется до предоставления его к детектору ЦВЗ, а после этого расшифровывается. Существует два основных типа скремблирования: простая перестановка или сложное псевдослучайное скремблирование из значений выборок.

Рассмотрим пример атаки скремблирования — мозаичная атака. Данная атака заключается в следующем: изображение разбивается на множество маленьких прямоугольных фрагментов. Благодаря малому размеру этих фрагментов они становятся скрытыми для обнаружения системами ЦВЗ. Затем фрагменты изображения представляются в виде таблицы, в которой края фрагментов примыкают друг к другу. Полученная таблица из маленьких фрагментов соответствует исходному изображению до разбиения. Данная атака применяется, чтобы избежать веб-сканирования детектором в веб-приложениях. По сути, скремблирование — это разделение изображения на фрагменты, а дескремблирование реализуется самим веб-браузером.

Атаки искажения включают в себя два вида самых распространенных атак, таких как: временные или геометрические атаки (атаки, направленные против синхронизации) и атаки, направленные на удаление шумов.

Атаки синхронизации
Большинство методов создания водяных знаков восприимчивы к синхронизации. Так, например, искажая синхронизацию, нарушитель старается скрыть сигнал водяного знака. В качестве примеров искажения синхронизации могут послужить время масштабирования и задержка для видео- и аудио-сигналов. Существуют и более сложные методы искажений, такие как: удаление столбца или строки в изображении, удаление какого-либо фрагмента из аудио, нелинейное искажение изображения.

Атаки, направленные на удаление шумов
Такие атаки направлены против ЦВЗ, являющихся статическим шумом. С целью удаления этих шумов, а также и самого водяного знака, нарушители использует линейные фильтры. В качестве примера рассмотрим ситуацию: нарушитель, используя фильтр нижних частот, может сильно ухудшить водяной знак, значительная энергия которого лежит в области высоких частот.

Существуют системы ЦВЗ, для которых фильтрация Винера является самой оптимальной. Такая линейная фильтрация позволяет осуществлять удаление шума.

Атака копирования — осуществляется путем копирования водяного знака с одной работы на другую. Одним из методов противодействия таким атакам может служить использование криптографических подписей, которые связаны с самими водяными знаками. Таким образом, если нарушитель все-таки скопирует водяной знак с такой защитой, то детектор сможет определить это.

Атаки неоднозначности — такие атаки осуществляются путем создания видимости существования водяного знака на каких-либо данных, хотя на самом деле он не существует. Таким образом, нарушитель может просто выдавать себя за автора, хотя таковым не является.

Атаки анализа чувствительности — данная атака направлена на удаление водяного знака и осуществляется с помощью детектора черного ящика. Нарушитель использует детектор для определения направления, которое укажет самый короткий путь от работы, защищённой водяным знаком до края области детектирования. В данном методе предполагается, что направление короткого пути хорошо аппроксимируются по нормали к поверхности области детектирования и эта нормаль неизменна на протяжении большей части этой области. Нарушитель, зная нормаль к границе детектирования в точке, которая отдалена от работы с водяным знаком, может найти короткий путь из области детектирования.

Атаки градиентного спуска

Рассмотрим два определения, использующихся в данном пункте:

Область детектирования — область, в которой обнаруживаются водяные знаки. Каждый водяной знак имеет определенную область детектирования;
Статистика детектирования — мера вероятности присутствия сигнала. Статистика детектирования включает в себя такие понятия как: коэффициент корреляции, нормированная и линейная корреляции.
Такие атаки осуществляются нарушителем, если у него есть детектор, который сообщает ему не окончательное бинарное решение (как в атаках анализа чувствительности), а текущие значения детектирования. В ходе реализации данного метода нарушитель использует именно изменение значения детектирования, чтобы определить градиент статистики детектирования в защищённых водяным знаком данных. Зная направление градиентного спуска, можно определить направление кратчайшего пути из области детектирования.

Метод противодействия таким атакам заключается в следующем: статистика детектирования в области детектирования не должна быть монотонно убывающей к границе. Для осуществления этого условия необходимо, чтобы статистика детектирования содержала много локальных минимумов. При выполнении данного условия направление локального градиента не будет содержать в себе какие-либо данные, и нарушитель не сможет узнать о кратчайшем пути из области детектирования.

Применение водяных знаков и их основные свойства
Рассмотрим основные области применения водяных знаков для защиты данных:

Широковещательный контроль
Идентификация владельца
Доказательство права собственности
Отслеживание взаимодействий
Аутентификация данных
Контроль незаконного копирования
Управление устройством
Совместимость разных технологий
Широковещательный контроль

Играет немаловажную роль в телерадиовещании. Так, например, в Японии в 1997 году разразился скандал по поводу трансляции телевизионной рекламы. Рекламодатели платили деньги за показ реклам, которая не транслировалась в эфире телевизионных станций. Этот обман рекламодателей длился более чем 20 лет, так как не было систем контроля трансляции реклам.

Рассмотрим два основных типа контроля вещания: пассивные и активные системы контроля:

Активные системы контроля направлены на определение соответствия информации, транслируемой вместе с контентом;
Пассивные системы контроля реализуется посредством распознания содержания передач.
Проанализируем различия между двумя этими типами. В пассивных системах контроля компьютер осуществляет процесс контролирования вещания. В ходе этого процесса он сравнивает полученные сигналы со своей базой данных, включающей данные каких-либо известных телепередач, фильмов, песен и т. д. При обнаружении совпадений происходит идентификация и данные (фильм, реклама и т. д.) поступают в эфир.

Пассивные системы контроля имеют свои недостатки. Процесс определения компьютером совпадений между поступающим сигналом и его базой данных не является тривиальным. Стоит отметить также, что само транслирование сигнала может его ухудшить. Поэтому такая система контроля не способна определить точного соответствия между сигналом и своей базой данных. Если даже удастся отладить процесс поиска в базе данных, то само хранение и управление ей может оказаться слишком дорогим из-за её большого размера. Стоит отметить, что компании не использует пассивные системы контроля из-за их недостаточно точной системы распознавания.

Рассмотрим теперь активные системы контроля, которые проще реализуется, чем пассивные системы. В данном методе компьютер передаёт идентификационные данные вместе с контентом.

Для осуществления такой системы контроля в отдельной области транслируемого сигнала размещается идентификационная информация. У данного метода тоже существуют недостатки. Так, например, при добавлении дополнительных данных в сигнал, он вряд ли выдержит преобразования его формата от аналогового к цифровому. Данные преобразования требуют наличия специального аппаратного обеспечения, которые смогут выполнить данные модификации. Для решения такой проблемы есть альтернативный способ кодирования идентификационной информации — это водяные знаки. Они могут находиться внутри контента, не используя сегмент сигнала транслирования. Немаловажным преимуществом этого способа является тот факт, что водяные знаки полностью совместимы с базой вещательного оборудования, которые включают аналоговые и цифровые передачи. Тем не менее, этот способ тоже имеет свои недостатки. Реализация встраивания водяного знака сложнее, чем размещение дополнительных данных. Также может оказаться, что водяные знаки могут повлиять на качество передаваемых данных, например, это может привести к ухудшению качества аудио- или видеоданных.

Идентификация владельца

Многие создатели оригинальных данных используют только текстовые уведомления об авторских правах, но, не задумываясь, что они могут быть легко удалены как намеренно, так и ненамеренно. Затем такие данные, с удаленными авторскими правами, могут попасть к законопослушному гражданину, и он не сможет определить, имеются ли у этих данных авторские права. Процесс установления авторских прав очень трудоёмкий и не всегда удаётся найти автора. Для решения проблемы защиты авторских прав стали использовать водяные знаки, так как они незаметны и неразрывно связаны с данными. В таком случае автора будет легко определить по водяному знаку, используя детекторы, предназначенные для этого.

Доказательство права собственности

Злоумышленники могут использовать чей-либо водяной знак, чтобы заявить себя обладателем каких-либо данных. Чтобы избежать подобных ситуаций, следует ограничить доступность детектора. Злоумышленник, не имея доступ к детектору, не сможет удалить водяной знак, так как это нелегкий процесс.

Отслеживание взаимодействий

Суть данного типа заключается в следующем: водяной знак, принадлежащий определенным данным, записывает количество копирований и однозначно определяет каждую копию. Например: обладатель каких-либо данных будет ставить на каждую их копию разные водяные знаки и, в случае утечки данных, он сможет определить, кто виноват в этом.

Аутентификация данных

Для защиты подлинности данных используют цифровые подписи, в которых находятся зашифрованные сообщения. Только правообладатель знает ключ, необходимый для создания такой подписи. У таких подписей есть недостаток — их потеря при эксплуатации. Впоследствии работа без цифровой подлинности не может пройти проверку подлинности. Решение данной проблемы заключается в непосредственном встраивании подписи в данные, защищённые водяным знаком. Такие встроенные подписи называются знаком аутентификации. Если правообладатель изменит данные, то знак аутентификации изменится вместе с ними. Благодаря такой особенности можно определить, каким способом нарушитель пытался подделать данные. Например, исследователи выдвигали такую идею: если изображение может быть разбито на блоки, каждый из которых имеет собственный встроенный знак аутентификации, то возможно определить, какие фрагменты изображения были подвержены изменениям, а какие остались подлинными.

Контроль незаконного копирования

Рассмотренные выше способы применения водяных знаков вступают в силу только после совершения каких-либо действий правонарушителя. Эти технологии позволяют обнаружить нарушителя только после совершения каких-либо незаконных действий. Поэтому этот тип рассматривает другую технологию, которая сможет помешать правонарушителю сделать незаконную копию данных, защищённую авторскими правами. Лучший контроль над незаконным копированием могут обеспечить водяные знаки, которые встроены в сами данные.

Управление устройством

По мнению пользователей, данный тип отличается от рассмотренного выше тем, что он добавляет новые возможности к данным и не огранивает их применение. Рассмотрим пример использования такого типа. Недавно компанией Digimarc’s Mobile System было предложено встраивать уникальные идентификаторы в изображения, используемые в газетах, журналах, рекламах и т. д. Затем пользователь фокусирует камеру телефона на данном изображении, которая способна считать водяной знак изображения с помощью специального программного обеспечения. Идентификатор, в свою очередь, перенаправляет веб-браузер телефона на соответствующий сайт.

Совместимость разных технологий

Пользователям каких-либо больших систем иногда может потребоваться их обновление для получения улучшенного функционала. Тем не менее, обновление может оказаться несовместимым со старой системой. Для решения проблемы совместимости двух разных систем и продолжения их уже совместной работы используются цифровые водяные знаки.

Применение стеганографии
В современных принтерах
Основная статья: Жёлтые точки
Стеганография используется в некоторых современных принтерах. При печати на каждую страницу добавляются маленькие точки, содержащие информацию о времени и дате печати, а также серийный номер принтера.[27]

Применение цифровой стеганографии
Из рамок цифровой стеганографии вышло наиболее востребованное легальное направление — встраивание цифровых водяных знаков (ЦВЗ) (watermarking), являющееся основой для систем защиты авторских прав и DRM (Digital rights management) систем. Методы этого направления настроены на встраивание скрытых маркеров, устойчивых к различным преобразованиям контейнера (атакам).

Полухрупкие и хрупкие ЦВЗ используются в качестве аналоговой ЭЦП, обеспечивая хранение информации о передаваемой подписи и попытках нарушения целостности контейнера (канала передачи данных).

Например, разработки Digimarc в виде плагинов к редактору Adobe Photoshop позволяют встроить в само изображение информацию об авторе. Однако такая метка неустойчива, впрочем, как и абсолютное их большинство. Программа Stirmark, разработчиком которой является ученый Fabien Petitcolas, с успехом атакует подобные системы, разрушая стеговложения.

Предполагаемое использование террористами

Пример, показывающий то, как террористы могут использовать аватары для передачи скрытых сообщений. Эта картинка содержит в себе сообщение «Босс сказал, что мы должны взорвать мост в полночь.» (ориг. англ. Boss said that we should blow up the bridge at midnight.), зашифрованное с помощью https://web.archive.org/web/20091218092 ... g/encrypt/ с использованием сочетания символов «växjö» в качестве пароля
Слухи о использовании стеганографии террористами появились с момента публикации в газете USA Today 5 февраля 2001 года двух статей — «Террористы прячут инструкции онлайн»[28] и «Террористические группы прячутся за веб-шифрованием».[29] 10 июля 2002 года в той же газете появилась статья «Боевики окутывают веб с помощью ссылок на джихад». В этой статье была опубликована информация о том, что террористы использовали фотографии на сайте eBay для передачи скрытых сообщений.[30] Многие средства массовой информации перепечатывали данные сообщения, особенно после терактов 11 сентября, хотя подтверждения данной информации получено не было. Статьи в USA Today написал иностранный корреспондент Джек Келли, который был уволен в 2004 году после того, как выяснилось, что данная информация была сфабрикована.[31] 30 октября 2001 года газета The New York Times опубликовала статью «Замаскированные сообщения террористов могут скрываться в киберпространстве».[32] В статье было высказано предположение о том, что Аль-Каида использовала стеганографию для скрытия сообщений в изображениях, а затем передавала их по электронной почте и Usenet в целях подготовки терактов 11 сентября. В пособии по обучению террориста «Технологичный муджахид, учебное пособие для джихада» присутствует глава, посвящённая использованию стеганографии.[33]