Вадим Грибунин - Цифровая стеганография
Атака (игра) заключается в следующем. Нарушитель имеет неоднократную возможность генерировать контейнеры и соответствующие им стего, пытаясь выяснить структуру стегоалгоритма. При этом имеется то ограничение, что вся процедура должна быть полиномиальной по длине ключа и размеру контейнера. После того, как он закончил работу, ему предъявляются два случайно выбранных контейнера: один пустой, другой — заполненный. Стегосистема называется условно стойкой, если у нарушителя нет возможности правильного определения стего с вероятностью, незначительно отличающейся от 1/2. В работе [20] дано определение понятия «незначительно отличающейся» и приведено математическое описание вербально изложенной выше модели. Условно стойкая стегосистема сохраняет это свойство для всех возможных ключей и всех возможных контейнеров.
Ясно, что понятие условно стойкой стегосистемы более слабое, чем понятие стегосистемы, стойкой с информационо-теоретической точки зрения и включает ее как частный случай. Безусловно стойкая стегосистема в приведенной выше модели получается в случае, если снять ограничение полиномиальности во времени игры.
Каким образом построить условно стойкую стегосистему? Одна из возможностей, широко используемая и в криптографии, заключается во взятии за основу какой-нибудь трудной в вычислительном смысле математической задачи, например, обращение односторонней функции (разложение на множители, дискретное логарифмирование и т. д.). Тогда останется показать связь между невозможностью решения этой задачи и невозможностью вскрытия стегосистемы — и условно стойкая стегосистема построена. Из криптографии известно, что, к сожалению, вопрос построения доказуемо односторонней функции нерешен. В работе [20] показано, как можно построить стегосистему на основе известного криптоалгоритма RSA.
4.6. Имитостойкость системы передачи скрываемых сообщений
Ранее была исследована стойкость стегосистем к попыткам пассивного нарушителя установления факта скрытия передаваемых сообщений. Дополнительно к требованиям скрытности связи могут предъявляться требования по исключению навязывания в стегоканале ложных сообщений активным нарушителем. Например, в работе Г.Симмонса описана так называемая задача заключенных [6]. В этой задаче арестованные Алиса и Боб пытаются по скрытому каналу связи договориться о побеге. Тюремщик Вилли пытается не только обнаружить факт обмена информации, но и от имени Алисы навязать Бобу ложную информацию. Потому рассмотрим особенности построения стегосистем с возможностью аутентификации передаваемых сообщений, возможные атаки нарушителя и определим оценки имитостойкости стегосистем.
Формально опишем построение стегосистемы с аутентификацией скрытно передаваемых сообщений. Пусть стегосистема использует секретный ключ, принимающий значения Множество контейнеров С разбивается на n подмножеств каждое из которых описывается своим вероятностным распределением Поставим подмножества контейнеров в соответствие секретным ключам При действующем ключе аутентификации сообщение, доставленное по каналу скрытой связи, считается получателем подлинным, если оно вложено в контейнер, принадлежащий подмножеству с распределением Если при действующем ключе заполненный контейнер не принадлежит подмножеству , то извлеченное из него сообщение признается получателем ложным. Таким образом, при действующем ключе все множество контейнеров разделено на допустимые, в которых подлинность вложенных в них сообщений признается получателем, и недопустимые, которые не могут быть выбраны для передачи отправителем скрываемых сообщений. Следовательно, получение таких контейнеров с вложенными сообщениями означает, что они навязаны нарушителем.
Если принятое стего S имеет распределение , совпадающее с распределением множества допустимых контейнеров при действующем ключе , то функция проверки подлинности скрываемых в них сообщений принимает единичное значение и полученное сообщение признается подлинным, а если распределения не совпадают, то функция принимает нулевое значение и сообщение отвергается как имитонавязанное:
Функция проверки подлинности при построении стегосистемы с аутентификацией сообщений может быть задана аналитически, графически или в виде таблицы. При аналитическом задании каждому значению ключа ставится в соответствие свое подмножество допустимых контейнеров. Эти подмножества отличаются друг от друга законами распределения или их параметрами. Например, используются различные распределения вероятностей непрерывных контейнеров (нормальное, Райса, Накагами и другие). Или подмножества контейнеров-изображений отличаются спектральными характеристиками. Например, в каждом подмножестве энергия спектра изображений сосредоточена в своем диапазоне частот. Известно, что изображения можно разделить на высокочастотные, основная энергия спектра которых принадлежит верхней полосе частот, и на низкочастотные. Также можно разделить контейнеры-изображения на подмножества по типу сюжета: пейзаж, портрет, натюрморт и т. п. Хотя при сюжетном разбиении трудно математически строго задать функцию в терминах законов распределения, на практике задание такой функции не представляет труда. Множество всех контейнеров разбивается на n непересекающихся подмножеств контейнеров Например, контейнеры могут быть разбиты на подмножества их пересечением. При действующем ключе отправитель выбирает подмножество контейнеров . Скрываемое сообщение , где , встраивается в контейнер этого подмножества, образуя стегограмму . Получатель стегограммы проверяет ее соответствие действующему ключу. Он убеждается, что полученная стегограмма допустима при ключе , если выполняется . Это равенство выполняется, если стегограмма принадлежит подмножеству контейнеров . Следовательно, извлеченное из этой стегограммы сообщение подлинно. Но если принятая стегограмма не принадлежит допустимому подмножеству контейнеров, то функция проверки принимает нулевое значение, и принятое сообщение отвергается как ложное. Графическое описание функции проверки подлинности представлено на рис. 4.12. Пусть по стегоканалу могут передаваться k различных сообщений: Множество ключей стегосистемы состоит из n ключей, из которых равновероятно и случайно выбирается действующий ключ.
Рис. 4.12. Графическое описание функции проверки подлинности скрываемых сообщений
Из рис. 4.12 легко заметить, что подмножества контейнеров имеют одинаковые размеры. Если скрываемые сообщения равновероятны и равновероятно выбирается ключевая информация, то для нарушителя, не знающего действующий ключ, множество сообщений, подлинность которых подтверждается при проверке, в n — 1 раз меньше множества сообщений, отвергаемых при проверке как ложные.
Рассмотрим возможные атаки нарушителя на подлинность скрываемых сообщений и оценки имитостойкости стегосистем при этих атаках. Из криптографии известно, что активный нарушитель может выполнить атаку имитации или атаку замены [13]. При атаке имитации, иначе называемой имитонавязыванием в пустом канале, нарушитель не дожидаясь перехвата заверенного сообщения, от имени отправителя формирует ложное сообщение. Обозначим вероятность успеха нарушителя в атаке имитации через . Из рис. 4.3 очевидно, что для нарушителя не знающего действующего ключа и навязывающего любое сообщение из множества , вероятность успеха не может быть меньше чем число всех сообщений, поделенное на число всех стегограмм при и
. (4.24)
Граница Симмонса для систем аутентификации определяет, что выражение (4.24) выполняется с равенством при удовлетворении двух условий:
1. Атака имитации оптимальна, то есть имеет одинаковую вероятность успеха нарушителя при равновероятном случайном выборе им любой навязываемой стегограммы.
2. Для каждой стегограммы вероятность ее формирования отправителем одинакова при всех ключах аутентификации, для которых выполняется .
Если эти условия выполняются, то при заданных размерах множества скрываемых сообщений и множества стегограмм вероятность обмана является минимальной. Следуя Симмонсу, стегосистему с аутентификацией скрываемых сообщений можно назвать совершенной относительно атаки имитации, если она удовлетворяет равенству в выражении (4.24). Из выражения (4.24) следует, что малая вероятность обмана, то есть высокая имитозащищенность стегоканала обеспечивается при . Отметим, что ни при каких принципах построения стегосистемы величина не может быть получена меньшей, чем в выражении (4.24).
